- 1. 2022/3/30主にITとかセキュリティの記事
- 2. Tencent Cloudセキュリティサービス 脆弱性診断や侵入検知ができる Cloud Workload Protection（CWP）について
- 3. 2022/3/29主にITとかセキュリティの記事
- 4. 駆逐してやる！！AWS Security Hubの指摘を…この世から…一匹残らず！！ ～ S3編 (CLI) ～
- 5. 2022/3/28主にITとかセキュリティの記事
- 6. 2022/3/27主にITとかセキュリティの記事
- 7. Emotetってなんぞや
- 8. 2022/3/26主にITとかセキュリティの記事
- 9. 【AWS+Docker】OWASP Benchmarkの環境構築
- 10. 2022/3/25主にITとかセキュリティの記事
- 11. Node.js Expressでサーバ情報を隠蔽するには？
- 12. 2022/3/24主にITとかセキュリティの記事
- 13. コンパクトTLS (cTLS)
- 14. 2022/3/23主にITとかセキュリティの記事
- 15. TwitterでPGPを使って(比較的)安全に情報をやり取りする
- 16. ログイン情報保持について理解する（ステートレス、ステートフル）
- 17. 2022/3/22主にITとかセキュリティの記事
- 18. 駆逐してやる！！AWS Security Hubの指摘を…この世から…一匹残らず！！ ～ S3編 (CloudFormation) ～
- 19. 2022/3/21主にITとかセキュリティの記事
- 20. nginxでIPアドレス直打ちのアクセスを拒否する
2022/3/30主にITとかセキュリティの記事
セキュリティ管理製品「Trend Micro Apex Central」に脆弱性 – 悪用する攻撃も
https://www.security-next.com/135247「Sophos Firewall」に深刻な脆弱性 – すでに悪用する攻撃も
https://www.security-next.com/135220ランサムでシステム障害、情報流出の可能性も – 事務用品販売会社
https://www.security-next.com/135154決済サービス「d払い」などで「3Dセキュア」が一時利用不能に
https://www.security-next.com/135223「Emotet」に複数端末が感染、メールサーバも悪用される – 電通大
https://www.security-next.com/135232グーグル、「Chrome」の脆弱性を悪用した北朝鮮の攻撃グループの活動明らかに(3/28)
https://japan.zdnet.com/article/35185465/中小こそサイバー攻撃への対策を(3/28)
http://www
Tencent Cloudセキュリティサービス 脆弱性診断や侵入検知ができる Cloud Workload Protection（CWP）について
こんにちは！
Tencent Cloudについて猛烈勉強中のひよっこエンジニアです。今回はTencent CloudのCWPについて紹介していきます！
AWSでいうと何に近いのか考えてました・・・が、同じようなサービスはない印象です。強いて言えば、Inspectorのような機能もあれば、IPS/IDSのような機能もついているので
どちらかというと、TrendMicroのCloudOneシリーズに近いのかなと思いました。ただ、あまり他にはないサービスだと思うので、本記事にて調査結果をまとめてみたいと思います！
CWPの概要
=
Cloud Workload Protection（CWP）は、Tencent Cloudにある、CVMにエージェントをインストールすることで、侵入検知や、脆弱性、ネットワークの脆弱性などを検出/診断することができるセキュリティサービスです。Basic版とPro版が用意されており、Basic版はCVMを作成すると、デフォルトでインストールすることも可能になっていますし、コマンドでもインストールすることは可能です。
Basic版とPro版で使える
2022/3/29主にITとかセキュリティの記事
金融機関に対策徹底を再度要請、攻撃受けたら報告を – 金融庁
https://www.security-next.com/135212都内中小企業向けに特別相談窓口を開設 – サイバー攻撃リスクの増大受けて
https://www.security-next.com/135199委託先が「Emotet」感染、個人情報が流出の可能性 – 相模原市
https://www.security-next.com/135184偽警告で端末乗っ取り被害、被験者情報流出か – 国立がんセンター
https://www.security-next.com/135181SaaSアプリケーションの設定不備がセキュリティの穴に、攻撃を防ぐ方法とは？(3/25)
https://wp.techtarget.itmedia.co.jp/contents/62899巧妙な詐欺メールから高齢者を守れ(3/27)
https://gunosy.com/articles/a3V3G米安保上の脅威企業、ウイルス対策「カスペルスキー」追加…初のロシア企業(3/26)
https://www.yomi
駆逐してやる！！AWS Security Hubの指摘を…この世から…一匹残らず！！ ～ S3編 (CLI) ～
# Security Hub の指摘、駆逐してますか？
* **とりあえず、Security Hub を有効化したけど、セキュリティスコアが低くて困っている…**
* **Security Hub の検出結果 (Findings) にどう対処すればよいのかわからない…**
* **S3 のセキュリティを強化したい…**そんな方々のために、本記事では Security Hub の S3 に関する指摘事項を一匹残らず駆逐する方法を解説します。
また、解説と合わせて、Security Hub に指摘されない S3 バケットを作成するための CLI スクリプトも紹介していきます。
「解説はいいから早よ CLI をよこせ」という方はこちらをどうぞ。
↓ ↓ ↓
[**CLI を捧げよ！**]
2022/3/28主にITとかセキュリティの記事
「Chrome」や「MS Edge」にゼロデイ脆弱性 – アップデートがリリース
https://www.security-next.com/135186金融庁、金融機関にサイバー対策の強化を再要請(3/25)
https://jp.reuters.com/article/fsa-cyber-security-measures-idJPKCN2LM0AK「Kajit」は誰だ――匿名性が生んだランサムウェア攻撃者間の疑心暗鬼(3/26)
https://techtarget.itmedia.co.jp/tt/spv/2203/26/news01.htmlデータなどの複製、外部保管の病院は2割弱 セキュリティ予算、年500万円未満が半数超(3/25)
https://www.cbnews.jp/news/entry/20220325183009メルカリ、詐欺メール対策でSMSに「認証理由」(3/25)
https://www.watch.impress.co.jp/docs/news/1397983.html米通信情報機関が「Quantum」プラットフォームを構築し量子
2022/3/27主にITとかセキュリティの記事
サイバー攻撃が急増…今すぐできる防衛手段、最も注意すべきものは？(3/24)
https://news.nicovideo.jp/watch/nw10704636ざんねんなセキュリティ–経営責任の丸投げを目的とした「名ばかりCSIRT」(3/25)
https://japan.zdnet.com/article/35184875/Microsoft 365 from NTT Communicationsへの第三者からの不正利用、多要素認証を推奨(3/25)
https://s.netsecurity.ne.jp/article/2022/03/25/47358.htmlランサムウェア10種がどれだけ速くファイルを暗号化できるのかベンチマークテストした結果こうなった(3/25)
https://gunosy.com/articles/evuDi【オンラインLIVE配信】日経産業新聞フォーラム
「重要インフラ・産業サイバーセキュリティー対策」(4/27開催)
https://events.nikkei.co.jp/46804/自動車部品を手掛ける三桜工業、米子会社がラ
Emotetってなんぞや
# はじめに
最近私の身近でEmotetに感染したと言う話を聞きました。
実際に私もその組織に所属していたため攻撃を体験しましたが、全くEmotetについて知らなかったためこれを機に調べてみました。## Emotetとは
攻撃者によって不正なメールに添付されるなどして、デバイス上でそのファイルを開くと感染するウイルス。## なぜEmotetは拡大したか
– Emotet本体には不正なコードは含まないため不信感を抱かれにくい
– メールの巧妙さ
– ユーザ自身にファイルをダウンロードさせる## Emotetに感染すると
– 他のマルウェアにも感染する
– 重要な情報を盗み取られる
– 社内の他の端末にEmotetが感染する
– 社外へのEmotetばらまきの踏み台にされる## Emotetの対策
– メールのアドレスが不審なドメインになっていないか、送信元を確認する
– 添付ファイルのマクロが自動的に実行されないよう設定を確認する
– 本文中に挿入されているurlが不審なリンクになっていないか確認する
– 重要システムやデータのバックアップをとっておく## Emot
2022/3/26主にITとかセキュリティの記事
セキュリティ対策強化を再度呼びかけ、中小企業も対策を – 政府
https://www.security-next.com/135134ランサム感染で顧客情報の流出を確認 – ソフトウェア開発会社
https://www.security-next.com/135115正規表現の処理に起因するサービス拒否脆弱性の自動修正技術
https://www.security-next.com/135171「出前館」のフィッシング攻撃に注意 – 「自動退会処理」と不安煽る手口
https://www.security-next.com/135166森永製菓に不正アクセス １６５万人顧客情報流出か(3/23)
https://www.sanin-chuo.co.jp/articles/-/181934Emotetの使用添付ファイルは2種類か デジタルアーツがセキュリティレポートを公開(3/24)
https://enterprisezine.jp/news/detail/15752米国政府、ロシアからのサイバー攻撃に備えるように繰り返し警告(3/24)
https://ne
【AWS+Docker】OWASP Benchmarkの環境構築
SaaS型Webアプリ診断ツール「AeyeScan」を運営している株式会社エーアイセキュリティラボが、セキュリティテストの自動化、脆弱性診断の内製化、AI/機械学習などの技術情報の共有を目的とした記事です。
AeyeScanの情報はこちら https://www.aeyescan.jp
エーアイセキュリティラボの情報はこちら、https://www.aeyesec.jp[](https://www.aeyescan.jp)
こんにちは。株式会社エーアイセキュリティラボ カスタマーサクセス担当 日髙です。
今回は、OWASPから提供されている「OWASP Benchmark」というアプリケーションの構築方法と構築時の注意点をご紹介します。# 環境
この記事では、AWS環境（linux）のDockerに環境を構築します。
Ama
2022/3/25主にITとかセキュリティの記事
個情委、破産者情報サイトの運営者に命令 – 違反すれば刑事告発も
https://www.security-next.com/135096「Carbon Black AppC」に複数の深刻な脆弱性 – アップデートが公開
https://www.security-next.com/135101消費者の7割は利益に関わらず個人情報の提供に慎重 – JIPDEC調査
https://www.security-next.com/135023遺伝情報用いる事業分野の個人情報保護ガイドラインが改正
https://www.security-next.com/135110化粧品通販サイトに不正アクセス – クレカ情報流出の可能性
https://www.security-next.com/135118株式会社シダー、Emotet感染で不審メール発生(3/22)
https://cybersecurity-jp.com/news/64986先週のサイバー事件簿 – 東映に不正アクセス、映画『ドラゴンボール超』上映延期(3/22)
https://news.mynavi.jp/
Node.js Expressでサーバ情報を隠蔽するには？
## 以下の記事を参照して頂ければと思います
https://note.com/shift_tech/n/nd76b27d81458
**※Qiitaの記事は全て個人的な記載であり、所属する組織団体とは無関係です**
## 補足
ソースコード全体は以下。https://github.com/yuta-katayama-23/post-restaurant-reviews/commit/00786d6b94cefbfefd1159eb665dd9117cdbf36c
2022/3/24主にITとかセキュリティの記事
カーパーツショップに不正アクセス – クレカ情報が流出
https://www.security-next.com/135092複数自治体が導入進めるクラウドがスパム踏み台に – メンテ時の設定ミスで
https://www.security-next.com/135087複数サーバにサイバー攻撃、顧客情報流出の可能性 – 森永製菓
https://www.security-next.com/135060EC事業者の4社に1社、不正アクセスや不正注文を経験
https://www.security-next.com/134905東京辰巳国際水泳場の指定管理者がマルウェア感染 – 利用者情報が流出か
https://www.security-next.com/134875自治体から迷惑メール91万件 SBテクノロジーのセキュリティクラウド、設定ミス突かれ踏み台に(3/22)
https://www.itmedia.co.jp/news/spv/2203/22/news096.htmlサイバー攻撃がラインを止める日――いま、私たちにできることは？(3/22)
htt
コンパクトTLS (cTLS)
## 1. はじめに
TLS(Transport Layer Security)のセキュリティプロトコルの仕様としての課題はTLS1.3でかなりのところ整理されました。それでもいくつかの点ではさらに検討が進められています。コンパクトTLS(cTLS)もその一つです。cTLSはTLS1.3[RFC8446]プロトコルの軽量化を目指すプロトコル仕様で、2019年から検討が進められています。RFCとなるにはまだ時間がかかると思われるものの、2022年3月現在[ドラフト5](https://datatracker.ietf.org/doc/draft-ietf-tls-ctls/05/)が公開されていて、その骨格を知ることができます。以下、その内容について紹介します。
## 2. コンパクト化の方針、目標
cTLSはTLSに残されている後方互換性のためのフィールドなどを排除し、楕円曲線の点圧縮などのコンパクトエンコーディング以上の軽量化を目指します。テンプレートベースの特殊化(後述)を利用することで、ネゴシエーションによらずに通信の両者で必要な情報を共有させます。また、準静的ディフィーヘル
2022/3/23主にITとかセキュリティの記事
「Movable Type」の既知脆弱性を探索するアクセスが増加
https://www.security-next.com/135037「Suicaのオートチャージが無効」と不安煽るフィッシング
https://www.security-next.com/135043複数Dell製品のBIOSに任意のコードを実行されるおそれ
https://www.security-next.com/135017PPAPメール、14.4％が受信を禁止 – 今後3割が禁止予定
https://www.security-next.com/134979ファンクラブ会員のメアド流出 – 鹿児島レブナイズ
https://www.security-next.com/135026投資求める偽サイトに注意喚起 – 住友商事
https://www.security-next.com/134942ウクライナ侵攻後、サイバー攻撃が急増。3割の企業「攻撃を受けた」。小規模企業から標的に(3/21)
http://economic.jp/?p=95804県情報セキュリティクラウドに不正アクセス
TwitterでPGPを使って(比較的)安全に情報をやり取りする
Twitterにはダイレクトメッセージ(DM)という機能があります。
この機能はフォロワーと、他のユーザーに見られたくない個人的なやり取りをするのに便利です。
しかしながらこの機能には次のような問題点があります。
1. メッセージは暗号化されておらず、Twitter社の社員が見ることができる。
ダイレクトメッセージは基本的には送信者と受信者しか見ることができないようになっていますが、Twitter社の社員という例外があります。
住所や電話番号、メールアドレス、プライベートの写真等をダイレクトメッセージで共有するのは避けるべきです。# 解決策: PGPを使う
OpenPGPという暗号化メッセージの規格があります。本記事ではこれをTwitterで使う方法について説明します。## 必要なコマンドをインストールする
“` bash:必要なコマンドをインストールする
sudo apt install gpg zbar-tools qrencode
“`
* gpg: PGPの実装の1つ
* zbar-tools: QRコードをデコードするための `zbarimg` コマンドを含むパッ
ログイン情報保持について理解する（ステートレス、ステートフル）
## 目次
– ログイン情報はどのように保存されている？
– ステートレスの概念とは
– ステートフルの概念とは
– HTTP通信の仕組み
– ①リクエストに含まれるuser_idを頼りにする
– ②情報を暗号化してブラウザのクッキーのみで保持する
– その他のセッション管理方法
– セッション管理まとめ## ログイン情報はどのように保存されている？
ログイン情報などを保存する際に重要になる「ステートレスな通信、ステートフルな通信」という概念について解説をします。### ステートレスの概念とは
HTTP通信は **「ステートレス」** な通信です。
これは 前の通信を引き継がない、 **１つの通信が独立している** という意味です。
ステートレスの概念を理解するために、 マクドナルドでポテトを注文する ケースを想定してみましょう。
https://www.jiji.com/sp/article?k=2022032000438&g=pol秋田県情報セキュリティクラウドからの不正メール転送について(3/20)
https://www.city.akita.lg.jp/bosai-kinkyu/1034080.html2、3月企業へサイバー攻撃急増 ウクライナ侵攻後(3/20)
https://news.goo.ne.jp/article/kyodo_nor/business/kyodo_nor-2022032001000402.htmlＨＰ改ざん被害相次ぐ 企業など情報流出恐れも(3/20)
https://www.yomiuri.co.jp/local/toyama/news/20220319-OYTNT50108/「iPhone」はウイルスに感染する？ 危険な症状と対策まとめ(3/20)
https://www.lifehacker.jp/article/2203how-to-check-iphone-for-virus-or-ma
駆逐してやる！！AWS Security Hubの指摘を…この世から…一匹残らず！！ ～ S3編 (CloudFormation) ～
# Security Hub の指摘、駆逐してますか？
* **とりあえず、Security Hub を有効化したけど、セキュリティスコアが低くて困っている…**
* **Security Hub の検出結果 (Findings) にどう対処すればよいのかわからない…**
* **S3 のセキュリティを強化したい…**そんな方々のために、本記事では Security Hub の S3 に関する指摘事項を一匹残らず駆逐する方法を解説します。
また、解説と合わせて、Security Hub に指摘されない S3 バケットを作成するための CloudFormation テンプレートも紹介していきます。
「解説はいいから早よ CloudFormation をよこせ」という方はこちらをどうぞ。
2022/3/21主にITとかセキュリティの記事
ブリヂストンにサイバー攻撃、狙われるサプライヤー(3/18)
https://s.response.jp/article/2022/03/18/355318.html?utm_source=https://tokiocyberport.tokiomarine-nichido.co.jp/&utm_medium=referral国際ハッカー集団「アノニマス」
https://www.jiji.com/sp/d4?p=any316&d=d4_et米CISAとFBI、国際衛星通信ネットワークの脅威を緩和するセキュリティアドバイザリ(3/18)
https://news.mynavi.jp/techplus/article/20220318-2296901/米CISAとFBIが米国の衛星ネットワークへの脅威を警告、Viasatへのサイバー攻撃を受け(3/19)
ロシア関与の「Cyclops Blink」ボットネットがASUS製ル
nginxでIPアドレス直打ちのアクセスを拒否する
# はじめに
80番ポートを開放してWebサーバーを構築すると、よくわからない国からの変なアクセスがログに残っていることが多々あります。
そのログを確認してみると「admin」なり「eval」なりの不正アクセスを目的としてそうな単語が…
何か良からぬことをされる前に、URLからのアクセスのみを許可してIPアドレス直打ちでのアクセスをすべてブロックする設定をしてしまいましょう。ここでは「ブラックリスト方式」と「ホワイトリスト方式」の二種類を紹介しています。
最後まで読んだ上で自分に合った方式を利用することをおすすめします。:::note warn
警告
この記事では何かしらの方法で証明書を取得した前提で説明を行っています。
証明書を取得しておらずhttp通信のみでnginxを運用している場合、https関連の設定（443番ポートやsslなど）を上手いことスルーして設定を行ってください。
:::# 環境
* Ubuntu 20.04.4 LTS
* nginx 1.18.0
* Let’s Encryptにて証明書を取得
* http通信には80番ポートを使
