経済産業省、全ECサイトが義務化対象 セキュリティー対策で脆弱性対策と本人認証導入を義務化 | 日本ネット経済新聞｜新聞×ウェブでEC＆流通のデジタル化をリード

2023/01/24 209 users リート セキュリティー対策 EC＆流通 経済産業省 報告書案

2023.01.24 経済産業省、全ECサイトが義務化対象 セキュリティー対策で脆弱性対策と本人認証導入を義務化 経済産業省は1月20日、ECサイトの脆弱性対策と本人認証の仕組みを導入することを義務化する方針を固めた。2024年3月末までに、全てのECサイトが脆弱性対策と本人認証を導入することを、検討会の報告書案に盛り込ん... 続きを読む

フロントエンド開発のためのセキュリティ入門 知らなかったでは済まされない脆弱性対策の必須知識 | 翔泳社

2022/12/23 186 users 翔泳社 セキュリティ入門 フロントエンド開発 必須知識

Webアプリケーションの堅牢化に欠かせない知識を凝縮！ セキュリティ学習のスタートに最適の一冊！本書は、安全なWebアプリケーションを開発するための基本知識を、フロントエンドエンジニア向けに解説したセキュリティの入門書です。 これまでWebアプリケーションの開発で、セキュリティは「バックエンドの仕事」という... 続きを読む

Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました | DevelopersIO

2021/12/10 276 users DevelopersIO log すずき AWS 緩和

AWS WAFのマネージドルールとして新たに追加された「Log4JRCE」、Log4j の脆弱性(CVE-2021-44228)の緩和に有効であるか試してみました。 AWSチームのすずきです。 2021年12月11日、 AWS の Managed Ruleとして提供されている AWSManagedRulesKnownBadInputsRuleSetに新しい保護ルール「Log4JRCE」が追加されました。 Log... 続きを読む

早め早めの脆弱性対策！ 開発チームでできるアプリとサーバのセキュリティ診断と要件定義の作り方 - エンジニアHub｜若手Webエンジニアのキャリアを考える！

2019/11/12 160 users エンジニアHub サーバ 要件定義 若手Webエンジニア 松本

こんにちは、松本（@ym405nm）です。 みなさんは業務やコミュニティ、趣味などでWebサイト作ってますか？ SEO対策、ユーザビリティ、レスポンジブル、オートスケールなどなど、Webサイトを1つ作るだけでもさまざまな技術や考え方が必要であり、非常に奥深いものであるということは、このエンジニアHubの記事の多さが物語... 続きを読む

コンテナ・セキュリティ入門 脆弱性 - Qiita

2019/10/10 290 users Qiita Kubernetes レジストリ コンテナ 実装

コンテナイメージのレジストリでは、脆弱性検査の実装が当たり前になっている。企業でKubernetesなどコンテナを使用するにあたって脆弱性対策がどれほど重要なものか理解するために、脆弱性検査や、関連する国際的な標準について整理した。 脆弱性（ぜいじゃくせい）とは 脆弱性とは、プログラムの動作の不備を悪用され... 続きを読む

Intel、Core 2 Duoなど旧CPUの「Spectre」対策を中止 - PC Watch

2018/04/04 123 users SPECTRE マイクロコード Intel プロセッサ 中止

Core 2 Duo 　 米Intel は2日(米国時間)、同社プロセッサのマイクロコードのアップデート計画についてのガイダンス「Microcode Revision Guidance」を更新し、一部の古いプロセッサ製品について、「Spectre」脆弱性対策のマイクロコード提供を行なわないことを明らかにした。 　Spectreは、投機実行機能を利用したプロセッサの脆弱性で、攻撃者に悪意あるコードを... 続きを読む

AWSもSpectreとMeltdownの対策完了を報告。対策後、Amazon EC2で性能の低下は見られないと － Publickey

2018/01/14 182 users meltdown Publickey SPECTRE 本件

Amazon Web Services（AWS）は、「Spectre」および「Meltdown」と名付けられたCPUの脆弱性に関して同社の対応をまとめたWebページ「 Processor Speculative Execution Research Disclosure 」において、すでに脆弱性対策が済んだことを報告しています。 AWSがこうした特設ページを設けるのは珍しいことで、本件の重要性と緊... 続きを読む

マイクロソフト、CPUの脆弱性対策でAzureの計画メンテを前倒し、全リージョンの仮想マシンを今朝から強制再起動。Googleは対策済みと発表 － Publickey

2018/01/04 224 users Publickey Azure ARM AMD インテル

マイクロソフト、CPUの脆弱性対策でAzureの計画メンテを前倒し、全リージョンの仮想マシンを今朝から強制再起動。Googleは対策済みと発表 インテルやAMD、ARMなどのCPUに存在する脆弱性が発見された問題で、マイクロソフトはあらかじめ計画されていたMicrosoft Azureの計画メンテナンス期間を急きょ前倒しし、今日1月4日の8時半（日本時間）からAzure IaaS 仮想マシンが強制... 続きを読む

世界中で感染が拡大中のランサムウェアに悪用されているMicrosoft製品の脆弱性対策について：IPA 独立行政法人 情報処理推進機構

2017/05/14 307 users IPA 支障 英国 コンピュータ ランサムウェア

2017年3月15日(日本時間)にMicrosoft製品に関する脆弱性の修正プログラム MS17-010 が公表されました。 この脆弱性がランサムウェアの感染に悪用され国内を含め世界各国で被害が確認され、英国では医療機関において業務に支障が出るなどの深刻な影響が発生しています。 ランサムウェアに感染するとコンピュータのファイルが暗号化され、コンピュータが使用できない被害が発生する可能性があります。... 続きを読む

WordPress の脆弱性対策について：IPA 独立行政法人 情報処理推進機構

2017/02/06 284 users CMS IPA 遠隔 REST API 第三者

WordPress.org が提供する WordPress は、オープンソースのCMS（コンテンツマネジメントシステム）です。 WordPress には、REST API の処理に起因する脆弱性が存在します。 本脆弱性が悪用された場合、遠隔の第三者によって、サーバ上でコンテンツを改ざんされる可能性があります。 本脆弱性を悪用する攻撃コードが確認されていますので、 対策済みのバージョンへのアップデー... 続きを読む

IPA、無償の脆弱性体験学習ツール「AppGoat」の最新版v3.0を公開 - 窓の杜

2016/10/31 173 users AppGoat IPA 無償 実習形式 演習問題

独立行政法人情報処理推進機構（IPA）は31日、脆弱性体験学習ツール「AppGoat」の最新版v3.0.0を公開した。現在、IPAのWebサイトから無償でダウンロード可能。 　「AppGoat」は、脆弱性とその対策方法についての基礎的な知識を実習形式で体系的に学べるツール。脆弱性対策に必要なスキルを習得したい開発者やWebサイトの管理者向けに制作されており、テーマごとに用意された演習問題に挑戦しな... 続きを読む

glibcの脆弱性対策（取り急ぎiptables/firewalldで叩き落とす！）for CVE-2015-7547 - Qiita

2016/02/17 263 users glibc iptables Qiita Linux 大部分

はじめに glibcでヤバメな脆弱性キター！ 「glibc」ライブラリに脆弱性、Linuxの大部分に深刻な影響 - ITmedia エンタープライズ Google Online Security Blog: CVE-2015-7547: glibc getaddrinfo stack-based buffer overflow CVE-2015-7547: Critical Vulnerabili... 続きを読む

CMS四天王のバリデーション状況を調査したところ意外な結果になった | 徳丸浩の日記

2015/06/09 218 users 徳丸浩 バリデーション バリデーション状況 セキュリティ施策

2015年6月9日火曜日 CMS四天王のバリデーション状況を調査したところ意外な結果になった 私がいまさら指摘するまでもなく、グローバル（日本以外の多く）では脆弱性対策としてバリデーションが極めて重視されています。一々参照や引用はしませんが、海外の多くの標準において、バリデーションが重要なセキュリティ施策として指摘されています。Webアプリケーションにおいてバリデーション（以下バリデーションとはア... 続きを読む

「安全なウェブサイトの作り方」最新版をIPAが公開、脆弱性対策を教示 | はじめてWEBニュース | Web担当者Forum

2015/03/19 125 users IPA 教示 セキュリ ウェブサイト Web担当者Forum

Web担トップ » 編集記事一覧 » はじめてWEBニュース » 「安全なウェブサイトの作り方」最新版をIPAが公開、脆弱性対策を教示 はじめてWEBニュース 「安全なウェブサイトの作り方」最新版をIPAが公開、脆弱性対策を教示 脆弱性の原因や特徴、解決策、安全性を向上させる取り組みを網羅 はじめてWEBニュース 3/19(木) 7:00 ツイート Web担当者／仕事 | 解説／ノウハウ セキュリ... 続きを読む

SSL 3.0 の脆弱性対策について(CVE-2014-3566)：IPA 独立行政法人 情報処理推進機構

2014/10/17 107 users プロトコル 解読 IPA 悪用 サーバ

SSL 3.0 プロトコルには、通信の一部が第三者に解読可能な脆弱性が存在します。サーバ、クライアント間の通信において、SSL 3.0 を使用している場合、通信の一部が第三者に漏えいする可能性があります。 ただし、攻撃には複数の条件が必要で、例えば、中間者攻撃や、攻撃対象に大量の通信を発生させるなど一定の条件が必要になります。そのためただちに悪用可能な脆弱性ではありません。 サーバ管理者および利用... 続きを読む

情報処理推進機構：情報セキュリティ：脆弱性対策：ウェブサイト攻撃の検出ツール

2014/07/03 140 users 検出ツール 情報処理推進機構 情報セキュリティ

続きを読む

Internet Explorer の脆弱性対策について(CVE-2014-1776)：IPA 独立行政法人 情報処理推進機構

2014/04/28 145 users IPA Microso アプリケーションプログラム 至急 細工

Microsoft 社の Internet Explorer に悪意のある細工がされたコンテンツを開くことで任意のコードが実行される脆弱性が存在します。 この脆弱性が悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御される可能性があります。 既に、当該脆弱性を悪用した攻撃が確認されているとの情報があるため、至急、回避策を実施して下さい。 以下の Microso... 続きを読む

Internet Explorer の脆弱性対策について(CVE-2014-1776)：IPA 独立行政法人 情報処理推進機構

2014/04/28 146 users IPA Microso アプリケーションプログラム 至急 細工

Microsoft 社の Internet Explorer に悪意のある細工がされたコンテンツを開くことで任意のコードが実行される脆弱性が存在します。 この脆弱性が悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御される可能性があります。 既に、当該脆弱性を悪用した攻撃が確認されているとの情報があるため、至急、回避策を実施して下さい。 以下の Microso... 続きを読む

覚えやすいけど強固なパスワード文字列を考えるコツ - tarのブログるっ by @tarVolcano

2014/04/20 336 users OpenSSL tar IPA CVE-2014-0160

2014-04-20 覚えやすいけど強固なパスワード文字列を考えるコツ インターネット iPhone パソコン Computer Security Photo by IntelFreePress ここ最近のOpen SSLのHeart Bleedバグなどで、セキュリティについて考えさせられることが多くなってきました。 更新：OpenSSL の脆弱性対策について(CVE-2014-0160)：IPA... 続きを読む

co3k.org - Blog - CSRF 対策用トークンの値にセッション ID そのものを使ってもいい時代は終わりつつある

2014/02/17 187 users CSRF 文脈 アプリケーション 前提 用途

CSRF 脆弱性対策には攻撃者の知り得ない秘密情報をリクエストに対して要求すればよく、そのような用途としてはセッション ID がお手軽でいいよねという時代があったかと思います。 いや、もちろん、 CSRF 対策の文脈だけで言えば今も昔も間違いというわけではありません。セッション ID が秘密情報であるのは Web アプリケーションにおいて当然の前提ですので、 CSRF 対策としてリクエストに求める... 続きを読む

UX Clip（35）：HTML5時代のWeb開発者が知らないとガチヤバな3つの未来予測と6つの脆弱性対策 (1/2) - ＠IT

2013/09/05 492 users 未来予測 HTML5時代 Web開発者 6つ 3つ

CEDEC 2013のHTML5に関する2つの講演を、主にセキュリティの観点からレポート。サイボウズ・ラボ竹迫氏とネットエージェント長谷川氏が語るWebは、こんなにヤバい 8月21～23日にパシフィコ横浜で開催された「CEDEC 2013」では、Webの世界に関するセッションも数多く行われた。本記事ではその中から、サイボウズ・ラボの竹迫良範氏による「HTML5のこれまでとこれから、最新技術の未来予... 続きを読む

ファーストサーバの手順の問題点 - きしだのはてな

2012/06/24 193 users ファーストサーバ オペレーションミス はてな 手順 問題点

えらいことなってますが。 正規手順と今回の現象の説明などを含めた中間報告が出されています。大規模障害の概要と原因について（中間報告） ファーストサーバ サポートWEB ここで、正規手順で、途中でオペレーションミスがあったときに復旧できない状態になってしまう可能性があることがわかります。具体的には「原因3：メンテナンス仕様」のこの部分。脆弱性対策のメンテナンスに関しては対象サーバー群とそのサーバー群... 続きを読む

大規模障害の概要と原因について（中間報告） ファーストサーバ サポートWEB

2012/06/24 1048 users 障害 対象 実施 運用 作業

6月20日に発生した大障害について、最新の状況を下記の通りご報告いたします。 なお、FAQを6月25日 9時ごろ公開予定です。あわせてご覧ください。 ■ 障害の概要 6月20日（水）17時ごろ、脆弱性対策を特定のサーバー群に対して実施しました。 脆弱性対策は更新プログラムを利用して一括して対象とするサーバー群に対して実施するという運用を以前から行っており、今回も同様に作業を実施しました。 実施にあ... 続きを読む

徳丸浩の日記: 処理開始後の例外処理では「サニタイズ」が有効な場合もある

2012/03/29 248 users kazuho セキュアプログラミング サニタイズ エントリ

このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推奨される場合がありますが、必ずしもそうではないというのが結論です。 はじめに Webアプリケーションの脆弱性対策では、脆弱性が発生するのはデータを使うところであるので、データを使う際の適切なエ... 続きを読む

ここが変だよ、グローバルスタンダードの脆弱性対策～入力値の考え方～

2012/03/27 117 users 入力値 考え方 OWASP 徳丸 OWASP TOP

ここが変だよ、グローバルスタンダードの脆弱性対策～入力値の考え方～ — Presentation Transcript ここが変だよ、 グローバルスタンダードの脆弱性対策 ～入力値の考え方～ 2012年3月27日 徳丸 浩 OWASP Japan 1st Local ChapterMeeting まことにおめでとうございます 2 OWASPと言えば・・・OWASP TOP 10 3 OWASP T... 続きを読む