今さら聞けないセキュリティ　2022年02月03日

2022/2/3主にITとかセキュリティの記事

「Emotet」に感染、関係者になりすましメールが送信 – 積水ハウス
https://www.security-next.com/133829

「IoTセキュリティ手引書」に改訂版 – 「NIST SP800-171」を反映
https://www.security-next.com/133831

macOS 12.2、バッテリー消耗で不具合の報告「一晩スリープでバッテリーが0%に」(1/31)
https://www.danshihack.com/2022/01/31/junp/macos-12-2-bug.html

地方公共団体に求められる セキュリティ対策と体制強化
https://www.projectdesign.jp/articles/42fea605-8be4-4e68-ab26-70cbbf611ef1

「Windows」のアップデート、適用には十分な接続時間が必要–MSが明らかに(2/1)
https://japan.zdnet.com/article/35182904/

Apple、macOSの脆弱性の報告者に約10万ドルの報奨金支払う(2/1)
ht

The Big Fix「脆弱性を修正すると、限定Tシャツが全員に当たります」

こんにちは。デベロッパーファーストのセキュリティプラットフォーム Snyk (スニーク) でソリューションエンジニアをしている @ToshiAizawa です！

#The Big Fix

Snyk では2月25日まで、The Big Fix というイベントをやっています。The Big Fix とは「みんなでアプリケーションの脆弱性を修正して、インターネットをもっと安全にしよう」という主旨のイベント。

オープンソースプロジェクトや、個人・会社のコードの中に隠れいている脆弱性を見つけて、修正する。それを世界中の開発者、運用担当者、セキュリティ担当者と、いっしょにやりませんか？

最終日の2月25日 (金) には、24時間のライブストリーミングイベントを予定しています (日本時間 午前9時から翌日午前9時まで)。また、The Big Fix に「参加」いただいた方には、The Big Fix のイベント T シャツをプレゼント。

# 参加方法

イベント特製の限定版 T シャツをゲットするためには、以下の4条件をクリアしてください！

1. [Snyk にサインアップ](#snyk

2022/2/2主にITとかセキュリティの記事

「Samba」に深刻な脆弱性 – リモートよりコード実行のおそれ
https://www.security-next.com/133774

「サイバーセキュリティ月間」が開始、マクロスとタイアップ – 「おぼえていますか」と対策をアピール
https://www.security-next.com/133788

フィッシング、人事装うメールが高クリック率 – IT部門が低いとは限らず
https://www.security-next.com/133792

不正アクセスでクレカ情報流出の可能性 – 化粧品メーカー
https://www.security-next.com/133627

県民プール利用者情報が流出、マルウェア感染で – 和歌山県
https://www.security-next.com/133782

約7カ月にわたり個人情報を市サイトに掲載 – 有田市
https://www.security-next.com/133745

Apache TomcatにTOCTOU 競合状態による権限昇格の脆弱性(1/31)
https://s.netsecurity.n

情報処理安全確保支援士に合格するためのアウトプット（4/n）

#Webアプリケーションファイアウォール（WAF）
IDS、IPSでNWを流れる不正なものを検知・防御できるようになったけれど、
アプリケーションの脆弱性を狙ったものは防御できない。
ただ、世の中にあるものはアプリケーションであり、そこも同様に防御する必要がある。
そんな時に近年利用されるものが、WAF（Webアプリケーションファイアウォールで、ワフと言われる）である。

##WAFの種類
いくつか種類があるが代表的なものは3つほど

– リバースプロキシ型
– いわゆるプロキシ（PCからWANに行く時に代理でアクセスする）の逆（リバース）
– なので、WANから来る通信をPCに代理で中に渡すもの
– これにより、どこの誰かも分からないアクセスを、知った人からの通信に変更できる
– ブリッジ型
– IPSなどと同様インラインで接続するが、通信は代行しない
– 橋のように単に架け橋となるだけ
– ソフトウェア型
– Webサーバーのプラグインとして利用されるもの
– サーバーには通信が届いてしまうので、防げないことも多いよ

##W

情報処理安全確保支援士に合格するためのアウトプット（3/n）

#IPS（Intrusion Prevention System：侵入防御システム）
IDSの上位版のような形として使われることも多い。
従来のNIDSをインライン接続することで、NIDSの検知およびより強力な防御を備えている。

##IPSの接続方法
– プロミスキャストモード
– 通信自体は垂れ流し（NIDSと同等）
– インラインモード
– NWの間に入って、一旦通信をキャッチする
– その分防御できるけど、NWへの影響はでかい

##主な機能
– 検知
– 遮断
– 方向問わずのポリシー設定
– IN、OUT問わずに設定可能
– VLANでの仮想IPS
– IPS１台でカバーできるよっていう

##構成例
– DMZに配置
– NIDSと同様の設置。
– インラインで接続できるので防御機能は高いが、全部チェックすると影響も大きい
– 各拠点間の接続ポイントに設置
– WANとLANの間にIPSをインラインで接続
– 双方向で防御できるが、拠点ごとに必要なので高価にはなる
– 特定システムへの経路上でIPSを

情報処理安全確保支援士に合格するためのアウトプット（2/n）

#IDS（Intrusion Detection System：侵入検知システム）
大きく2種類に分かれる。

##NIDS（Network型IDS）
ネットワーク型なので、ネットワーク上に配置可能なもの。
どこに置くかによって目的・効果も変わるので配置場所は注意。

– 設置方法
– FWの外に置く（バリアセグメント）
– FWの中に置く
– DMZに置く（中に入る前に検知できて良い）
– 内部ネットワーク上に置く（万が一内部に入ったものに対しても検知できる）

– 検知方法
– パターンマッチング
– 事前に決められたパターンのデータかどうかをマッチングし、検知する
– アノマリ検知
– RFCなどの正しいプロトコル仕様や振る舞いなどと比較し、逸脱したものを検知する

– 検知後
– TCP接続であれば、IDSからRSTパケットを送って通信を切断させる
– FWに異常検知した内容を伝え、FWに通信を遮断してもらう

##HIDS（Host型IDS）
ホスト型なので、ホスト

DoS攻撃・DDoS攻撃について その種類

## 勉強前イメージ

種類って何個かあるらしい・・・知らなかった

## 調査

### まずDoS攻撃、DDoS攻撃について

– DoS攻撃

DoS攻撃は1台の攻撃元からターゲットにサイバー攻撃を行います。
メールもボム攻撃やF5攻撃などが有名です。

– DDoS攻撃

複数台の攻撃元からサイバー攻撃を行います。
攻撃者はマルウェアなどを用いて、他者のサーバを乗っ取りそこから攻撃を行うため
攻撃元を特定するのも困難です。

### 攻撃手法

主な攻撃手法を以下に記載していきます。

– DNSフラッド攻撃

DNSサーバへの攻撃で、大量の名前解決のリクエストを送ることで正常なユーザからのリクエストを受け付けないようにする攻撃です。
対象へ名前解決できないリクエストを飛ばすことで、
DNSサーバは無効なキャッシュでリソースが割かれ、トラフィックも埋められるということになります。

– SYNフラッド攻撃・FINフラッド攻撃

TCPは接続と切断の際に、サーバ間でお互いの意思疎通(接続してもいいですか？切断していいですか？)を行っていますが、これは利用した攻撃になります。
SY

2022/2/1主にITとかセキュリティの記事

主要Linuxディストロに脆弱性「PwnKit」 – 実証コードも
https://www.security-next.com/133755

SMB向けのSonicWall製VPN製品、脆弱性未修正機器が多数稼働か
https://www.security-next.com/133750

日能研のウェブサーバに不正アクセス – SQLi攻撃でメルアド流出か
https://www.security-next.com/133759

「Apache Tomcat」にあらたな脆弱性 – 脆弱性の修正に起因
https://www.security-next.com/133771

脅威ランキング上位をランサムウエア関連が独占、IPA「セキュリティ10大脅威」の教え(1/31)
https://xtech.nikkei.com/atcl/nxt/column/18/00001/06511/

日能研から中学受験生関連のメールアドレス28万件流出、SQLインジェクション攻撃で(1/31)
https://xtech.nikkei.com/atcl/nxt/news/18/12124/

サ

ローカルストレージは安全に使用できるのか？

もう、2月。もうすぐ節分。
2022年2月3日の恵方は、「北北西」のようですね。

東京では、久しぶりに夕方グラっと地震がありドキッとしました。

QiitaでITセキュリティ関連の記事をご紹介しつつ、いざというときの家庭のセキュリティについては後回しに。
早めに見直さなければと思いつつ、また、明日と先延ばししています。

今年の抱負の一つが密かに、[何事もシフトレフトを目指す]
も入っているのですが、、、

今回は、ローカルストレージのセキュリティについて「[Is local Storage Safe to Use?](
https://snyk.io/blog/is-localstorage-safe-to-use/ )」
のブログ翻訳をご紹介します。

#ローカルストレージは安全に使用できるのか？

リラン・タル
2020年1月30日

インターネットは、基本的なテキストのレイアウトにさえ苦労していた[最初のウェブサイト](http://info.cern.ch/hypertext/WWW/TheProject.html)から長い道のりを歩んできました。HTML5はハイパーテ

外部攻撃からAWS環境を守れ！（アソシエイト試験対策）

SAAやSOAの試験勉強をしていて、こういう攻撃がきたときはこれ使う！
っていうセキュリティ系のサービスが紛らわしかったのでまとめておく。

試験対策なので問題ありきかつ、覚えやすいように体系的っぽい感じでかいていきます。

##概要図##

##試験での対策##
**①SQLインジェクション、クロスサイトスクリプティング**
SQLインジェクション：入力フォームにSQL入れて実行させる
クロスサイトスクリプティング：リンクのURLに危険なURLを仕込む
考え方：どっちもアプリケショーンの階層から攻撃してくるので、この階層で守る
回答：**WAF（Web Application Firewall）**

**②DDos攻撃**
DDoS攻撃：大量データの送信
考え方：大量データだから防御的（シール

have i been pwned? の使い方

# 概要
メールアドレス、電話番号を入力するだけで、個人情報やパスワード漏洩を確認することができるサイト「Have I Been Pwned?」の使い方をご紹介します。
https://haveibeenpwned.com/

このサービスには、110億件以上の漏えいアカウント情報が蓄積されていて検索するとデータベースに一致した情報を表示してくれます。

類似の確認サービスは多数ありますが、無料の上、信頼性が高く、全世界でもっとも信用されているのが「Have I Been Pwned?」という「漏えいの可能性があるメールアドレス／パスワード／電話番号を検索して、リスクや漏えい元を教えてくれる」サービスです。
全世界のセキュリティ研究機関や、FBIのような公的捜査機関とも連携しています。

作成したのはMicrosoftの地方支配人であり、セキュリティ開発者としてMVPも受賞したことがあるトロイ・ハントさんという方。
誰もが自分の保有するアカウントの危険性を無料かつ簡単にチェックできるようにするため、このサービスを作成したそうです。

# 使い方
##表示内容
![スクリーンショット 2

2022/1/31主にITとかセキュリティの記事

【特別企画】名和氏の特別レポート – 「セキュリティ強化」を唱えるだけでは逆効果のことも
https://www.security-next.com/133376

NTT西の光受付システム障害がようやく解消、対応に8カ月かかったわけ(1/28)
https://xtech.nikkei.com/atcl/nxt/news/18/12120/?i_cid=nbpnxt_ranking

大阪府警に「サイバー局」　２５０人規模、対策の司令塔機能(1/28)
https://www.sanspo.com/article/20220128-OBQL2TBWUVLCZOCSSKWF34UF4M/

ネット中傷、リツイートで「違法」も　有識者ら中間報告(1/29)
https://www.nikkei.com/article/DGXZQOUC246IW0U2A120C2000000/

パソコンに「ウイルス汚染」　６０代男性が２０万円詐欺被害(1/28)
https://www.sakigake.jp/news/article/20220128AK0003/

サイバー犯罪摘発、過去最多　24.

2022/1/30主にITとかセキュリティの記事

Linuxに深刻な脆弱性　ユーザーのセキュリティは12年も守られていなかった(1/27)
https://jp.sputniknews.com/20220127/linux12-10044673.html

セキュリティーソフト相次ぐトラブル　「McAfee」「ウイルスバスター」に脆弱性(1/27)
https://news.infoseek.co.jp/topics/jcasttrend_20222429813/

「Microsoft Excel」のXLLアドインを用いるフィッシング攻撃が急増(1/28)
https://japan.zdnet.com/article/35182738/

ランサムウェアやクラウドのセキュリティは2022年もCISOの課題上位–マイクロソフト(1/28)
https://japan.zdnet.com/article/35182754/

Androidマルウェアに注意、不正送金後に工場出荷時の状態へリセット(1/26)
https://news.mynavi.jp/techplus/article/20220126-2257482/

QNAP

Dockerで始めるフィッシングキットの収集・分析

環境
OS : macOS 12.2
Docker Engine : 20.10.12
#フィッシングキットについて
簡単に説明すると、フィッシングサイトを簡単に構築するためのツールみたいなもの。
これを使うことで、誰でも簡単かつ大量にフィッシングサイトを構築することが可能になる。
###フィッシングキットのサンプル
サンプルとしてAmazonのフィッシングキットを見てみる。
zipファイルの中身を表示する。

“`
Amazon
├── Billing.php
├── Help.php
├── action_page.php
├── action_page_2.php
├── cc-lRj.png
├── confirmed.php
├── content
│   ├── 81Ma9HXt-LL._SS100_.png
│   ├── ADBLCRE_928_AmazonBeaconWW3._V144350231_.png
│   ├── BeaconSprite-US-01._V141013396_ (1).png
│   ├── BeaconSprite-US-01._V141

ぼくのかんがえたさいきょうのSymbolブロックチェーンのアカウント管理方法

あらゆるハッキングから盗難リスクを下げることができると言われるマルチシグ。
最近ではヴァルキリー社とNEM/Symbolの匿名開発者であるコアデブとの間で800億円相当の資金管理の契約にも活用されました。

https://bittimes.net/news/120992.html

しかしながら、何重にもマルチシグをかければいいというものではありません。
鍵を分割することは紛失するリスクも高まります。
そこで、今回は僕の考えた2-of-4マルチシグによる最強のアカウント管理方法を紹介します。

:::note alert
自己責任でお願いします。
特に催眠術にかかりやすい人、寝言がひどいと言われる人はこの方法はお勧めできません。
:::

# ニーモニック作成

以下のスクリプトを実行してニーモニックを出力してください。
（NGLウォレットを使用してもニーモニックを生成することができます)

“`js
sym = require(“/node_modules/symbol-sdk”);
hd = require(“/node_modules/symbol-hd-wallets”);

ゼロデイ攻撃ってなに? ～情報セキュリティ10大脅威 2022にランクイン～

#「ゼロデイ攻撃」ってなに？
IPA（独立行政法人情報処理推進機構）が、情報セキュリティ 10 大脅威 2022」を公表した。
初登場で組織部門7位にランクインした「ゼロデイ攻撃」とは何だろうか？

>■「情報セキュリティ10大脅威 2022」
>独立行政法人情報処理推進機構ホームページより引用

>|昨年順位|個人|順位|組織|昨年順位|
|:—:|:—|:—:|:—|:—:|
|2位|フィッシングによる個人情報等の詐取|1位|ランサムウェアによる被害|1位|
|3位|ネット上の誹謗・中傷・デマ|2位|標的型攻撃による機密情報の窃取|2位|
|4位|メールやSMS等を使った脅迫・詐欺の手口による金銭要求|3位|サプライチェーンの弱点を悪用した攻撃|4位|
|5位|クレジットカード情報の不正利用|4位|テレワーク等のニューノーマルな働き方を狙った攻撃|3位|
|1位|スマホ決済の不正利用|5位|内部不正による情報漏えい|6位|
|8位|偽警告によるインターネット詐欺|6位|脆弱性対策情報の公開に伴う悪用増加|10位|
|9位|不正アプリによるスマートフォン利用者への

【実験】ネットワーク技術（リモートログイン編）

#試してみたいこと
telnetとsshを使用して、ラズパイに対してリモートログインをしてみます。

|関連記事|プロトコル|
|—|—|
|[ネットワーク技術（ファイル転送編）](https://qiita.com/TT551/items/acca70ba9229a0756829)|FTP/SFTP/FTPS/SCP|

#対象者
PCからラズパイにリモートログインしたい方
ルータなどのネットワーク機器の設定をtelnetで行いたい方

#環境

|機器|OS|固定IPアドレス|
|—|—|—|
|ノートPC|Windows 10 Home |192.168.1.17|
|raspberry pi 3|Raspbian 10.1|192.168.1.22|

#telnetとは
一つのTCPコネクションを利用して、相手のPCにログインを行う。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/725075/858cfb65-8f3b-6a2f-7e52-cef41f4

2022/1/29主にITとかセキュリティの記事

J-CSIPへの情報提供、76％減 – 標的型攻撃は5件
https://www.security-next.com/133702

個人情報が流出、元旦に脅迫メール – リラクゼーション店
https://www.security-next.com/133705

12月のDDoS攻撃、件数微減となるも最大規模は拡大 – IIJ調査
https://www.security-next.com/133700

ランサム被害、個人情報約2万件が流出 – コンサル会社
https://www.security-next.com/133265

土木防災情報システムのメールサーバに不正アクセス – 新潟県
https://www.security-next.com/133620

「Uber Eats」の注文受付メールを装うフィッシングに注意
https://www.security-next.com/133724

Microsoft Windows において Encrypting File System での検証不備により任意のファイルのアップロードや操作が可能となる脆弱性（Scan T

情報処理安全確保支援士に合格するためのアウトプット（1/n）

#はじめに

##背景
今までは開発側にいたので技術技術を磨いてきたが、年が経って役割が変わり、抽象的な活動が多くなってきた。
また、活動範囲も広くなったため、今まで避けてきたIPAの資格取得を通じて体系的に学んだ方がいいなと思い始めました。

##目的
実務的な内容を通して、体系的なことを学んで今まで以上にITの価値をユーザーに届けられる、
そんなエンジニアになりたいと思っています。

##目標
今さらではありますが、まずは、4月に「情報処理安全確保支援士」の取得に向けて頑張ります。

##ちなみに
エンジニアの皆さんなら分かると思いますが、体系的なものはあまり頭に入ってこない、やる気が出ないというか。
とはいえそうも言ってられないので、どうやってやる気を出すかと。だったら、アウトプットしながら進めれば「やる気」「理解力」のどっちも満たせるんじゃないかと安直に考え、凍結気味だったこのアカウントで投稿を再開しました。

とりあえずやりながら進めていこうと思ってるので、当面は私が理解した内容をつらつらと書いていく感じにします。
「知ってるよ」みたいなことも、振り返りつつやっていければと思

2022/1/28主にITとかセキュリティの記事

IPA、「情報セキュリティ10大脅威 2022」を発表 – 「ゼロデイ攻撃」が新規ランクイン
https://www.security-next.com/133667

JC3フォーラム(3/4開催)

JC3 Forum 2022

2021年上半期の開示要請は2037件、70％に対応 – LINE
https://www.security-next.com/133532

OneDrive、マルウェア配付に悪用された2大サービスのひとつに(1/26)
https://s.netsecurity.ne.jp/article/2022/01/26/47017.html

Linux：プロセスとジョブの違いは？関連コマンドと、インストール方法を確認(1/26)
https://japan.cnet.com/release/30639175/?ref=rss

穴埋めするだけで論文を作れるWebフォーム　便利すぎて無情な現実を突きつけてくると話題に(1/26)
https://www.itmedia.co.jp/news/spv/2201/26/news149.html