VAddy

VAddyはクラウド型の脆弱性診断ツールです。 VAddyのエンタープライズプランには9つの検査項目がありますが、これに加えてSSRF(サーバサイドリクエストフォージェリ)の検査を追加しました。 ▼VAddy Enterpriseプラン検査項目一覧 SQLインジェクション検査 XSS検査 コマンドインジェクション検査 ディレクトリトラバーサル検査 リモートファイルインクルージョン検査 HTTPヘッダインジェクション検査 ブラインドSQLインジェクション検査 XXE検査 安全でないデシリアライゼーション検査 SSRF脆弱性（CWE-918）検査 [NEW] HTTPヘッダインジェクション検査から…

クラウド型脆弱性診断ツールVAddyのSQLインジェクション検査をアップデートしました。 今まではGETやPOST時のKey=Value形式のValue側だけを対象に、SQLインジェクションの検査を実施していました。今回のアップデートにより、Key=ValueのKey側も検査対象となり、より広範囲にSQLインジェクションを検出できるようになりました。 今回の検査追加の背景 最近のWebアプリケーション開発現場では当たり前のようにフレームワークが使われるようになってきました。フレームワークのORM(Object-rerational mapping)機能により、SQL文を文字列連結で書くことは減…

登場人物 Webマーケ担当（IT業界10年）：新人 VAddy 契約担当：西野 VAddy 開発担当：市川 第4回：脆弱性診断を実施する企業が急増している理由とは？ 新人：10月のブログ記事を飛ばしてしまいました。すいません・・・。 9月末にITmediaNEWSで下記の記事を公開しました！そちらも合わせてご覧ください！ www.itmedia.co.jp 新人：本日のテーマ「脆弱性診断を実施する企業が急増している理由とは？」についてお話を伺っていきたいと思います！今まで脆弱性診断はどれくらいの頻度で実施するのが主流だったのでしょうか？ 西野：いや、脆弱性診断を実施していないことが主流だったん…

×2317 一定の高齢者等へのPCR検査等費用の助成｜宇都宮市公式Webサイト ×114 [タイトルが取得できませんでした] ×74 アイコンを見るだけでデータが破壊されるNTFSの脆弱性 - PC Watch ×38 [タイトルが取得できませんでした] ×36 シスコの複数の製品に脆弱性、中小企業向けルータなど | マイナビニュース ×24 How I found a bug in YouTube that let me watch private videos I wasn't allowed to, says compsci student • The Register Verified…

×165 【ニュース速報】水産庁山口長官が最難関の「日本さかな検定1級」に合格 水産庁技官職員動揺を隠せず - Togetter ×62 Microsoft社長、サイバー攻撃「脅威情報の共有を」: 日本経済新聞 ×53 会社のプログラムを書き換え、業務妨害に問われた男性に無罪判決 高松地裁「故意は認められない」 | KSBニュース | KSB瀬戸内海放送 ×44 楽天サーバーに漏出情報 SB元社員、同僚と共有の疑い：朝日新聞デジタル ×43 Bypass EDR’s memory protection, introduction to hooking | by Hoang Bui | Medi…

VAddyはクラウド型の脆弱性診断ツールです。 VAddyのエンタープライズプランには9つの検査項目がありますが、これに加えてSSRF(サーバサイドリクエストフォージェリ)の検査を追加しました。 ▼VAddy Enterpriseプラン検査項目一覧 SQLインジェクション検査 XSS検査 コマンドインジェクション検査 ディレクトリトラバーサル検査 リモートファイルインクルージョン検査 HTTPヘッダインジェクション検査 ブラインドSQLインジェクション検査 XXE検査 安全でないデシリアライゼーション検査 SSRF脆弱性（CWE-918）検査 [NEW] HTTPヘッダインジェクション検査から…

こんにちは。エンジニアの@daikichiです。 今回は、弊社サービスにセルフ脆弱性診断ツールVAddyを導入した時の話をしたいと思います。 脆弱性診断の診断方法 大きく2パターンあります。 ツール診断 メリット: ⾃動で効率的に膨⼤なパターンをチェックできる デメリット: 複雑なシステムで検知率が上げづらい ⼿動診断 メリット: セキュリティの専⾨家が実施し、ツールでは⾒つけ づらい脆弱性に対象可能 デメリット:専⾨的な知識が必要となるため、価格が⾼く時間 がかかりやすい 導入予定のサービスでは今後の開発を見込んで、継続的に診断できる方法を検討していました。 その中でも、現在の環境でもっとも…

はじめに 2020年12月17日に開催された、Ruby World Conference 2020にはじめて参加しました。今回は、新型コロナウイルスの影響により、オンライン開催でした。 2020年のうちにセミナーレポートを投稿します。 視聴URL www.youtube.com 開会 実行委員長のMatzさんより。参加者のみなさんは全員、フェイスシールド着用でした。 島根県知事から、産学官連携でRubyビジネス拡大をしているというお話もありました。地方自治体が県をあげてIT誘致しているのはとてもいいですね。 松江市長からもお話がありました。15年で40社を超えるIT企業が松江市に事務所を開設し…

クラウド型脆弱性診断ツールVAddyの機能アップデートを行いました。 WebAPIで検査の結果を取得できるのですが、今回はその結果のJSONの中にクロールラベルのフィールド(crawl_label)を追加しました。 github.com WebAPIから取得できる検査結果には、脆弱性の有無、結果詳細の画面URL、クロールIDがありました。これに加えてクロールラベルの文言も結果に含まれるようになったため、特定のクロール（シナリオ）の検査だけ必ずslack通知、メール通知、など細かく制御できるようになりました。 go-VAddyツールも合わせてアップデート VAddyの検査実行や結果の出力を行うg…

×106 三菱パワーが被害に遭ったMSP経由の不正アクセスについてまとめてみた - piyolog ×96 三菱パワーが不正アクセス被害を公表、日立システムズの運用監視サービス経由か | 日経クロステック（xTECH） ×68 三菱パワーの不正アクセス、日立システムズ経由で侵入: 日本経済新聞 ×33 ファクトチェック：「カキの殻」ツイート投稿者が異例の自己検証 「指摘は真摯に受け止めたい」 - 毎日新聞 ×27 史上最大の仮想通貨事件のその後、被疑者はなぜ記者に接触したのか？【関西オープンフォーラム】 - INTERNET Watch ×21 アングル：米大麻業界の「ハイ」続くか コロナと合…

×98 Tactics, Techniques and Procedures (TTPs) Utilized by FireEye’s Red Team Tools ×48 三菱パワー株式会社 | 当社ネットワークに対するマネージド・サービス・プロバイダを経由した第三者からの不正アクセスに係る件 「Apache Struts 2」において任意のコードが実行可能な脆弱性 (S2-061)（JVN#43969166）：IPA 独立行政法人 情報処理推進機構 ×17 [タイトルが取得できませんでした] ×16 【お詫び】交通局公式ツイッターアカウントへの不正アクセスについて／札幌市交通局 ×13 ネ…

×844 ペイペイ加盟全260万店情報流出か 第三者がアクセス：朝日新聞デジタル ×81 狙われるVPN、警察庁も餌食 闇の掲示板サイトに痕跡：朝日新聞デジタル ×70 [タイトルが取得できませんでした] ×66 当社管理サーバーのアクセス履歴について - PayPayからのお知らせ ×32 GoogleフォトやGmailなど、2年不使用でデータ強制削除 21年6月から - Engadget 日本版 ×17 「脆弱性が見つかった」 VPN標的、CEOが語る内幕：朝日新聞デジタル 第66回 テック感から始まって脱暗号化Zipについて考えたぜ！スペシャル！ « podcast - #セキュリティの…

クラウド型脆弱性診断ツールVAddyのSQLインジェクション検査をアップデートしました。 今まではGETやPOST時のKey=Value形式のValue側だけを対象に、SQLインジェクションの検査を実施していました。今回のアップデートにより、Key=ValueのKey側も検査対象となり、より広範囲にSQLインジェクションを検出できるようになりました。 今回の検査追加の背景 最近のWebアプリケーション開発現場では当たり前のようにフレームワークが使われるようになってきました。フレームワークのORM(Object-rerational mapping)機能により、SQL文を文字列連結で書くことは減…

この記事の前提 セキュリティ対策はインフラDivが実施している。 Linux で動く Web サービスを開発・運用している あいさつ こんにちは、インフラの市橋です。最近引っ越しました。 都会に引っ越してから徒歩に慣れた & リモートワーク主体で全然出勤しないので、 思い切って駅から遠い物件にしてみました。ほぼ同じ広さかつ築年数が若くなったのに1万円ほど家賃下がって最高です。 さて、今回はソフトウェアエンジニアリングにおける永遠の課題、セキュリティ対策を進めるための施策として、 脆弱性スキャンツールである Vuls の実行環境を (ほぼ) ワンコマンドでつくれるツールを作成したので紹介します。…