- 0.1. 2022/5/29主にITとかセキュリティの記事
- 0.2. あなたのCORS設定、本当に理解してる？？？
- 0.3. dnsmap とは
- 0.4. フットプリンティング とは
- 0.5. 2022/5/28主にITとかセキュリティの記事
- 0.6. SSHポートフォワードを使った、社内開発環境へのスキャン方法
- 0.7. 2022/5/27主にITとかセキュリティの記事
- 0.8. バックオリフィス ってなに？
- 0.9. 2022/5/26主にITとかセキュリティの記事
- 0.10. PSIRT ってなに？
- 0.11. 2022/5/25主にITとかセキュリティの記事
- 0.12. 2022/5/24主にITとかセキュリティの記事
- 0.13. 2022/5/23主にITとかセキュリティの記事
- 0.14. 2022/5/22主にITとかセキュリティの記事
- 0.15. ラテラルフィッシング とは
- 0.16. 【大事！】GitHubアカウントで2段階認証を有効化する
- 0.17. 2022/5/21主にITとかセキュリティの記事
- 0.18. PG見聞録 ~FE編其の13 セキュリティ~
- 1. 基本情報技術者試験其の13
2022/5/29主にITとかセキュリティの記事
【Excel中級者向け】マクロを覚えてデータ領域へキャリアアップ！6/14（火）無料セミナー「Excelで学ぶデータ集計～マクロ～」
https://prtimes.jp/main/html/rd/p/000002469.000003670.html【オンデマンド視聴のご案内】 国内最大級の情報セキュリティ カンファレンス「Xpand Digital Japan 2022」(6/30まで)
https://www.kyodo.co.jp/pr/2022-05-27_3692686/SOMPOが脆弱性対策に本腰 リスクを経営陣と早期共有(5/26)
https://xtech.nikkei.com/atcl/nxt/mag/nc/18/020800017/051900721/ライオンが歯磨き粉開発にMI活用 チューブへの充填性能をAIが予測(5/26)
https://xtech.nikkei.com/atcl/nxt/mag/nc/18/020800017/051900723/ショールーム型店舗閉店ラッシュ 隠れたアマゾンの深謀(5/25)
https://xtech.
あなたのCORS設定、本当に理解してる？？？
Web開発初心者が引っかかるCORS。私はいまだにちゃんと理解できていなかったなと感じたので、ちゃんと分かるようになるまで調べた倒しました！なるべく初心者にもわかりやすいように、調べた内容をまとめてみたいと思います。
## CORSってなんだ？
CORSとは`Cross-Origin Resource Sharing`のことです。オリジン間リソース共有、そのまんまの意味ですが、異なるオリジン間でリソースを共有する仕組みのことです。ちなみにここでいうオリジンは
1. プロトコル
2. ホスト
3. ポート番号の3つで構成されています。
例えばhttps://localhost:8080なら
プロトコル →https, ホスト →localhost, ポート番号 →8080です。ここでは例えばローカルホストで起動したフロントエンドで、とあるAPIにアクセスしてデータ取得した結果を画面に表示したいとします。
その時の前提としては、
フロントエンド:https://localhost:3000
アクセス先API:https://localhost:8080
という設定でアクセスし
dnsmap とは
## 勉強前イメージ
dnsのtreeが見えたりするのかな？
## 調査
### dnsmap とは
サブドメインの存在チェックを行うツールです。
DNSサーバはゾーンの転送が抑制されているのでサブドメインの情報を確認できません。
そこで辞書式にドメインを問い合わせてサブドメインを探すツールがdnsmapになります。
辞書式に問い合わせるのでアタックになるため第三者のサーバには使用しないでください。しかし [フットプリンティング](https://qiita.com/miyuki_samitani/items/e8239518deed723a0f2f) で下調べを行う際に
使用されることがあります。## 勉強後イメージ
総当りで無理やり引っ張ってくるって感じなのか・・・・
確かに攻撃として認識される。。## 参考
– [特定ドメインのサブドメインを探る](https://one-it-thing.com/3935/)
フットプリンティング とは
## 勉強前イメージ
セキュリティ分野でー….
いろんなところに攻撃する的な？
足跡いっぱいつけていくぞーみたいな## 調査
### フットプリンティング とは
サイバー攻撃を行う前に標的の弱点を下調べすることを指します。
攻撃手法を検討するために行われます。### フットプリンティングの種類
– 受動的フットプリンティング
標的に接触せずに情報収集することを指します。
例えば、ドメイン名の登録情報を見たりwhois情報を確認したりします。– 能動的フットプリンティング
標的に接触して情報収集することを指します。
何らかの方法でハッキングなどして情報を収集します。### フットプリンティングで取得する情報
主に以下のような情報の取得を狙っています。
– 組織情報
– ネットワーク情報
– システム情報この情報を元に脆弱性の特定などを行い、攻撃を仕掛けます。
## 勉強後イメージ
攻撃をする前に探るのか
結構攻撃って無差別にする的なイメージもあったけど
大きな企業？とか狙ってたらたしかに下調べも必要か。## 参考
– [「フットプリンティ
2022/5/28主にITとかセキュリティの記事
VMware製IDアクセス管理製品の脆弱性狙う攻撃コードが公開 – パッチから1週間強で
https://www.security-next.com/136862「Citrix ADC」「Citrix Gateway」にサービス拒否の脆弱性
https://www.security-next.com/136838HTTPクライアント機能を提供するライブラリに脆弱性 – CMSにも影響
https://www.security-next.com/136842「Trend Micro Apex One」に権限昇格の脆弱性 – アップデートで修正
https://www.security-next.com/136858「個人情報を考える週間」、2022年は5月30日から
https://www.security-next.com/136865サイバー犯罪者集団「Lapsus$」による被害が相次ぐ
大手IT企業に次々と不正侵入 多要素認証を破る手口も報告される(5/27)
https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/041800
SSHポートフォワードを使った、社内開発環境へのスキャン方法
SaaS型Webアプリ診断ツール「AeyeScan」を運営している株式会社エーアイセキュリティラボが、セキュリティテストの自動化、脆弱性診断の内製化、AI/機械学習などの技術情報の共有を目的とした記事です。
AeyeScanの情報はこちら https://www.aeyescan.jp
エーアイセキュリティラボの情報はこちら、https://www.aeyesec.jp[](https://www.aeyescan.jp)
こんにちは。株式会社エーアイセキュリティラボ カスタマーサクセス担当 日髙です。
今回は、SSHポートフォワードを利用して、社内開発環境など、インターネットから直接アクセスできないWebサイトにスキャンを実施する方法についてご紹介します。# 概要
SaaS型のスキャンツールを利用する場合、スキャン対象のW
2022/5/27主にITとかセキュリティの記事
サーバに大量のSQLi攻撃、メアド流出か – エフシージー総研
https://www.security-next.com/136810共同購入サービスサイトで一部個人情報が閲覧可能に
https://www.security-next.com/136682国内ではランサムウェア被害者の約3割が身代金を支払う Trellixが調査結果を発(5/25)
https://enterprisezine.jp/news/detail/16042和菓子店のECサイトに不正アクセス カード情報漏洩か(5/25)
https://www.nikkei.com/article/DGXZQOUC2496Q0U2A520C2000000/ランサムでシステム障害、生産出荷は通常どおりに – 理研農産化工
https://www.security-next.com/136753ウクライナで大規模停電を引き起こしたマルウェアが「Industroyer」の新バージョンであると発表(5/25)
https://ascii.jp/elem/000/004/092/4092306/?rssRed
バックオリフィス ってなに？
## 勉強前イメージ
バックドア的な？
## 調査
### バックオリフィス とは
クラッキングツールの一つで、
Cult of the Dead Cow と呼ばれるハッカーブループが配布している有名なリモートアクセスツールになります。
バックオリフィスはwindowsマシンを制御するソフトでサーバとクライアントに分かれている。
クライアントの部分は、ユーザ宛のメールに添付ファイルなどで送られて実行するとプログラムが実行されてシステムが内部にインストールされます。
ネットを通じてサーバと接続し、リモートアクセスが可能になってしまいます。バックオリフィスと同じようなクラッキングツールは他にも
SubSeven や NetBus などがあります。バックオリフィスはフリーでインターネット上で配布されていたので
スクリプトキディの蔓延に繋がりました。
※スクリプトキディとは専門知識がなく、配布されている攻撃ツールを使って使用するクラッカーのこと基本的な対策はアンチウイルスソフトを使用することになります。
## 勉強後イメージ
結構いろんな攻撃方法見てても、
ウイルスソフ
2022/5/26主にITとかセキュリティの記事
看護関係者向け会員サイトにPWリスト攻撃 – P不正交換も
https://www.security-next.com/136655和菓子通販サイトでクレカ情報流出 – 悪用された可能性
https://www.security-next.com/136760県電子納品システムで利用者情報が流出、プログラムミスで – 群馬県
https://www.security-next.com/136765「VMware Tools for Windows」に脆弱性 – アップデートが公開
https://www.security-next.com/136757都の医療機器産業参入支援事業でメアドが流出 – システムの不具合で
https://www.security-next.com/136720メーリングリストの返信設定に誤り、返信メールが流出 – 秋田労働局
https://www.security-next.com/136775不正アクセスでオンライン囲碁サービスが一時停止
https://www.security-next.com/136726第2回：こうし
PSIRT ってなに？
## 勉強前イメージ
[CSIRT](https://qiita.com/miyuki_samitani/items/4ef0413640d05d9c6f99) じゃなくて？
## 調査
### PSIRT とは
Product Security Incident Response Team の略で、ピーサートと読みます。
自社で開発する製品、またサービスのセキュリティレベルの向上やインシデント発生時に対応を行う組織のことを指します。### PSIRTの業務内容
– 自社製品のセキュリティ面での安全管理・ユーザサポート
– 自社製品から脆弱性が発見された際の対応
– 脆弱性関連の情報収集### CSIRTとの違い
主に以下に違いがあります。
– PSIRT : `自社製品` のサービスのセキュリティレベルの向上やインシデント発生時に対応を行うチーム
– [CSIRT](https://qiita.com/miyuki_samitani/items/4ef0413640d05d9c6f99) : `自組織` サービスのセキュリティレベルの向上やインシデント発生時に対
2022/5/25主にITとかセキュリティの記事
MS、定例外パッチでDC認証エラーの問題を解消
https://www.security-next.com/136734国内主要上場企業の約半数がDMARC導入 – 対象ドメインの12.1％
https://www.security-next.com/136644不正アクセスでオンライン囲碁サービスが一時停止
https://www.security-next.com/136726ランサムでシステム障害、生産出荷は通常どおりに – 理研農産化工
https://www.security-next.com/136753WP向けアクセス解析プラグインにXSSの脆弱性
https://www.security-next.com/1367466月に「IoTセキュリティシンポジウム2022」を開催 – CCDS(6/28開催)
https://www.security-next.com/136744ランサムウェア攻撃の被害にあった日本企業の75%が未公表(5/23)
https://news.mynavi.jp/techplus/article/20220523-2349
2022/5/24主にITとかセキュリティの記事
「Firefox」や「Thunderbird」に深刻な脆弱性 – アップデートで修正
https://www.security-next.com/136694資格検定の申込サイトにサイバー攻撃 – データ改ざんや流出の可能性
https://www.security-next.com/136684トレンドマイクロのWindows向けパスワード管理製品に脆弱性
https://www.security-next.com/136696過去12カ月に従業員の電子メール関連のミスによってデータを損失した企業は6割超(5/21)
https://news.mynavi.jp/techplus/article/20220521-2348733/Microsoft、SQL Serverを標的とした新しいブルートフォース攻撃について警告(5/21)
https://news.mynavi.jp/techplus/article/20220521-2348587/連載企画「サイバーカオス 解明コンティ」 まとめ読み(5/22)
https://www.nikkei.com/artic
2022/5/23主にITとかセキュリティの記事
日立など、脱PPAP パスワード付きファイル廃止相次ぐ(5/21)
https://www.nikkei.com/article/DGXZQOUC112B30R10C22A5000000/Microsoft、SQL Serverを標的とした新しいブルートフォース攻撃について警告(5/21)
https://news.mynavi.jp/techplus/article/20220521-2348587/不審メールにご注意ください 地域包括支援センター利用者等のメールアドレス流出疑いについて（5月20日）仙台市
https://www.city.sendai.jp/kaigo-suishin/040520houkatu-maleadress-ryusyutuutagai.htmlAppleの最新CMに見る「プライバシー情報搾取」の現状(5/20)
https://www.itmedia.co.jp/pcuser/spv/2205/20/news048.html「ロシアによるウクライナ侵攻から考える情報リテラシー、サイバーセキュリティ」と題し、（株）第一生命経済研究所 柏村
2022/5/22主にITとかセキュリティの記事
中小企業等のサイバー対策強化に補助金の活用を(5/19)
https://www.jimin.jp/news/information/203580.html【記者のひとこと】技術力に優れたホワイトハッカー(5/20)
https://www.bcnretail.com/market/detail/20220520_280140.html女性服ECでクレカ情報1.6万件漏えいの可能性 不正アクセス・システム改ざん被害で(5/20)
https://www.itmedia.co.jp/news/spv/2205/20/news121.html日経新聞、シンガポール法人に不正アクセス ランサムウエアに感染(5/19)
https://newspicks.com/news/7082027/body?sentlogバックアップがあってもランサムウェア攻撃から回復できない理由とは(5/20)
https://news.mynavi.jp/techplus/article/20220520-2347539/首相 サイバー攻撃対策に万全を 来年日本開催のG7控え(5/20)
htt
ラテラルフィッシング とは
## 勉強前イメージ
フィッシングの一種？
## 調査
### ラテラルフィッシング
Lateral Phishing と書き、社会的信頼の高い組織で利用されているメールアドレスなどを乗っ取って悪用していく攻撃手法になります。
ラテラルとは横方向を意味しており、サイバー攻撃で不正侵入後感染を拡大するラテラルムーブメントとも近い意味になります。
ラテラルフィッシングは乗っ取り後、正規のアカウントからフィッシングメールを送るので一般的に検知が困難になります。以前の被害例で言えばMicrosoft365のアカウントの情報を狙ったものがありました。
企業アカウントを乗っ取ることで共有ファイルなど企業の機密情報を取得することが出来ます。### ラテラルフィッシングの対策
– 従来の考えは捨てる
ラテラルフィッシングでは怪しいドメインからメールが来たり、怪しいURLが来たときにクリックしないというだけでは防げません。
– セキュリティソフトを使用する
複数の種類のセキュリティソフトを導入する必要があります。
– 多要素認証を導入
多くのクラウドサービスでは多要素認証が
【大事！】GitHubアカウントで2段階認証を有効化する
# 本記事の内容
– Git Hubアカウントで2段階認証を設定する。
ID/PASS認証だけだと、「何かあったらどうしよう・・」等セキュリティーに不安に感じる覚えることもあり、GitHubアカウントへ2段階認証設定を行ってみました。
セキュリティー対策やって損は無いと思いますので、本手順を参考に実施頂ければと思います。# 実施環境
– Windows 10
– Chrome# 手順の流れ
1. GitHubアカウントを2段階認証設定にする
2. 2段階認証でのログインを確認する## 1.GitHubアカウントを2段階認証設定にする
GitHubのサイトにログインしマイページを表示する。
https://github.com/
右上のメニューから「Settings」をクリックする。
https://news.mynavi.jp/t
PG見聞録 ~FE編其の13 セキュリティ~
基本情報技術者試験其の13
セキュリティについて
2022/5/20主にITとかセキュリティの記事
米政府、VMwareのID管理製品脆弱性で緊急指令 – 侵害確認とパッチ適用求める
https://www.security-next.com/136609VMware製IDアクセス管理製品に重要度「クリティカル」の脆弱性 – 認証回避のおそれ
https://www.security-next.com/136589「BIND」の「DNS over HTTPS」に脆弱性 – DoS攻撃のおそれ
https://www.security-next.com/136615サービス終えた「ログ解析サービス」のドメインを第三者が取得 – タグの除去徹底を
https://www.security-next.com/136593楽天モバイルのフェムトセルに複数の脆弱性
https://www.security-next.com/136620住信SBIネット銀行の利用者狙うフィッシングに注意
https://www.security-next.com/136618サプライチェーンのマルウェアリスク意識に大きな断絶 NTTビジネスソリューションズがレポート発表(5/18)
ht
【概要】秘密計算を調べてみた
# 背景・目的
Techplayの「[映像データ解析によるDX協業実例と画像解析AIの未来](https://techplay.jp/event/856909)」というイベントで秘密計算というワードを聞き、興味を持ったので簡単に調べてみました。# まとめ
– データを暗号化したまま計算できる技術。
– 準同型暗号方式と、秘密分散方式の2つの方式がある。# 概要
NRIさんの[ページ](https://www.nri.com/jp/knowledge/glossary/lst/ha/secure_computation#:~:text=%E3%83%87%E3%83%BC%E3%82%BFに%E3%82%92%E6%9A%97%E5%8F%B7%E5%8C%96%E3%81%97%E3%81%9F,%E3%81%A8%E6%9C%9F%E5%BE%85%E3%81%95%E3%82%8C%E3%81%A6%E3%81%84%E3%82%8B%E3%80%82)と、EAGLYSさんの[ページ]((https://www.eaglys.co.jp/news/column/secure
