最新記事一覧
Apache Struts2の脆弱性情報とPoCが公開されたのち、サイバー攻撃者がこれを悪用し始めた。アップデートの適用が推奨されている。
()
APIを巡るさまざまなセキュリティリスクの一つが、インジェクション攻撃だ。どうすればこの攻撃を防ぐことができるのか。そもそもどのような手法なのかを含めて解説する。
()
()
Palo Alto Networksは2022〜2023年に悪用される可能性の高い脆弱性リストを公開した。これの脆弱性に関しては優先的に確認し、アップデートや対策を講じてほしい。
()
OSSはアプリケーションを開発する際に「利用しないわけにはいかない」ほど重要な存在になった。一方でOSSの脆弱性を悪用した攻撃が跡を絶たない。OSSを安全に利用するには、どうすればいいのか。
()
2021年末に発見された「Apache Log4j」の脆弱性。この脆弱性を悪用する攻撃に対峙したセキュリティベンダーは、どんな対処を取ったのか。実際の対応を参考に、ゼロデイ攻撃への対策を考える。
()
CISAはサイバー攻撃によく利用される既知の脆弱性15個を発表した。これらの中にはMicrosoftやAppleの製品が挙がる他、ルーターなども対象に含まれている。該当製品を使用しているかどうかを確認するとともに、迅速にアップデートすることが望まれる。
()
Apache Log4j 2の脆弱性「Log4Shell」の危険性は既にご存じだろう。その真の恐ろしさは、提供されるセキュリティアップデートを適用しただけでは解決しないということだ。
()
Red Hatは、Javaアプリケーションサーバ「Red Hat JBoss Enterprise Application Platform」をAzureのネイティブサービスとして提供する「Red Hat JBoss Enterprise Application Platform on Microsoft Azure」を発表した。
()
キャリアの問題が「エンジニア35歳定年説」として議論されて久しい。では、ITの最前線で活躍するエンジニアはキャリアをどう考えているのか。2021年1月下旬にForkwellが主催した「Engineer Career Study #1」でITの最前線で活躍する古川陽介氏、和田卓人氏、松本亮介氏らが語った。
()
私がベンチャー企業を渡り歩きVPoEになるまでの経歴と、活躍している多数のエンジニアたちと出会い、一緒に仕事をしてきた経験を基に、外部の状況にかかわらず必要とされるエンジニアに共通するスキルやスタンスをお伝えします。
()
電子インボイス推進協議会は、策定中の日本国内の電子インボイス向け標準仕様を、国際規格「PEPPOL」に準拠させる。中小や小規模事業者から大企業まで幅広く、低コストで利用でき、国際的な取引にも対応できる「日本標準仕様」を目指す。
()
Apache Struts 2に任意のコードが実行できる脆弱性が報告された。Apache Struts 2は国内のWebサイトの多くで採用されており注意が必要。該当するプロダクトを使用している場合には迅速にアップデートを適用することが望まれる。
()
8月下旬に「パルセキュア社のVPN製品の脆弱性を突かれて、認証情報などが盗まれてしまい、ネット上で公開された」という事件がメディアを賑わせた。この一件にはいくつか他山の石にしたいポイントがある。
()
「Apache Struts 2」で新たに2件の脆弱性が発覚した。このうち1件については、コンセプト実証コードが公開されたと伝えられている。
()
ポストコロナのIT業界とエンジニアの生き残り術を模索する特集「ポストコロナのIT業界サバイバル術」。第2弾は、アフターコロナでSI業界が取るべき方向性を技術カットで解説します。
()
システムやサービス開発の初期設計段階からセキュリティを考慮する「セキュリティ・バイ・デザイン」（SbD）が脚光を浴びている。しかし「頑張っているのにインシデントが起きてしまう」なら、それは従来型のSbDに限界が訪れているためだ。自他のサービスやユーザーのユースケースを考慮し、個人保護や人権に配慮したエシカルな設計開発は「絵に描いた餅」なのだろうか？
()
米国民の約半数に当たる約1億5000万人の個人情報が流出した2017年のEquifax事件の容疑者として、4人の中国軍軍人が米国で起訴された。バー司法長官はこの事件を「中国軍部隊による組織化された強盗」と呼んだ。
()
自動化を駆使してコンテナアプリのDevOpsサイクルを回すとき、忘れてはならないのがビルド段階からデプロイ後までのライフサイクルを通したセキュリティ対策だ。OpenShiftを採用する場合に一緒に検討すべきポイントを整理する。
()
Akamaiが発表したレポートによると、フィッシングサイトの被害を受けた組織の50％が金融サービス部門だった。不正ログイン攻撃も18カ月で35億回確認された。金融サービスを利用する顧客の個人データや銀行口座情報がリスクにさらされている。
()
Akamaiが発表したレポートによると、金融サービスを利用する顧客の個人データや銀行口座情報がリスクにさらされているという。フィッシングサイトの被害を受けた組織の50％が金融サービス部門だった。不正ログイン攻撃も18カ月で35億回確認された。
()
2017年の事件ではおよそ1億4700万人の個人情報が流出。FTCでは、Equifaxがセキュリティ対策を怠ったと指摘していた。
()
2017年に適切な対処を怠ったことで約1億4000万人の機密情報を流出させた米信用情報機関大手のEquifaxが、最大7億ドルを支払うことで米FTCなどと和解した。
()
2000年から運用してきたECサイトにマイクロサービスを導入したオイシックス・ラ・大地。モノリシックなECサイトのアーキテクチャをどのようにマイクロサービス化させていったのか、同社のシステム基盤部で基盤刷新セクションの川上徹氏が語った。
()
()
当連載ではWebアプリケーションのセキュリティがどのような状況にあり、どのような攻撃や防御策があるのかを紹介していく。第1回はWebアプリケーションがどのように狙われているのか、概要を紹介する。Webアプリケーションに向けた攻撃は数多く、規模も大きい。主に4つの部分が攻撃にさらされており、被害の内容は異なる。
()
厳しいコスト削減要請やデジタルトランスフォーメーション（DX: Digital transformation）を背景に、オープンソースソフトウェア（OSS: Open Source Software）の活用が拡大している。コストを抑えながら、必要なソフトウェアを自由に利用したり組み合わせたりできる点はOSSの大きな利点だが、脆弱性情報の収集・管理をはじめ、セキュリティリスクにもしっかりと対応しなければ甚大なダメージを被るリスクも隠れている。だが、ただでさえ多忙な業務の中、一体どうすれば多種多様なOSSの脆弱性情報を確実に収集・管理できるのだろうか？ 日立製作所（以下、日立） に話を聞いた。
()
FinTechやIoTなど、デジタル変革の取り組みが進む中、Webサイトの更新サイクルはますます速まっている。同時に、攻撃者が新しいサービスに潜む脆弱性を見つけ出し、それを悪用する動きも加速している。これまでの手動の脆弱性検査では追随できなくなっているのが現状だ。そうしたWebサイトの現状にいま、求められるセキュリティサービスとはどのようなものなのか。
()
10連休を迎える2019年のゴールデンウイーク、改元に合わせて想定される具体的なリスクと対処法とは――情報セキュリティ専門家の徳丸浩さんに詳しく聞きました。
()
今回見つかったMiraiの亜種には、新たに法人向けのワイヤレスプレゼンテーションシステムなどの脆弱性を突くコードが組み込まれていた。
()
「Commons FileUpload」については2016年11月に脆弱性が見つかってパッチが公開されていたが、Struts 2.3.xには古いバージョンのCommons FileUploadが使われていた。
()
Webアプリケーションの価値がビジネスを左右するほど重要になる一方で、脆弱性を突かれたセキュリティ被害は後を絶たない。脆弱性検査にまつわる課題を解決する鍵は。
()
＠ITは、2018年6月22日、東京で「＠ITセキュリティセミナー」を開催した。本稿では、日本シノプシスの講演「OSSの脆弱性管理の課題と効率的な解決策」の内容をお伝えする。
()
FireEyeが「APT38」と命名した集団は、世界各国の銀行でネットワークに侵入し、多額の現金を不正送金しているという。
()
一度起こってしまった情報漏えい事故は、なかったことにできない。だからこそ問われるのが、事件後に各企業がとった対応です。さまざまな“事件”を巡って彼らの評判を分けたものとは、一体何だったのでしょうか。
()
8月のセキュリティクラスタをにぎわせた大きな話題は3つありました。「東京オリンピック開催時のサマータイム」「DEFCONやBlack Hat USAなどのサイバーセキュリティ関連のカンファレンス」「Apache Struts 2で見つかった新たな脆弱（ぜいじゃく）性」です。
()
「IoTボットネットがパッチのバージョンが古いエンタープライズデバイスを狙う傾向を強めている」とPalo Alto Networksは指摘する。
()
「企業はこれまで以上に警戒を強め、影響を受けるシステムには直ちにパッチを適用しなければならない」とF5は呼び掛けている。
()
チェック・ポイント・ソフトウェア・テクノロジーズは、既知の脆弱（ぜいじゃく）性を狙った攻撃検出数とマルウェアのランキングを発表した。対象期間は2018年7月。マルウェアの上位は仮想通貨関連が占めた。脆弱性悪用ランキングの上位10種には、IoT関連の脆弱性が新たに3件ランクインした。
()
2018年8月24日に発表されたばかりの「Apache Struts 2」の脆弱（ぜいじゃく）性を悪用するPoC（概念実証）コードが見つかった。
()
「過去に同様の重大な脆弱性が発覚した際は、その日のうちに悪用コードが公開され、重要インフラや顧客情報が危険にさらされた」とセキュリティ企業は指摘している。
()
「omni7」などのシステム開発に携わるセブン＆アイ・ネットメディアは、脆弱性チェックツールを採用し、オープンソースも含む網羅的なセキュリティ対策に取り組んでいる。
()
本連載では、グローバルスタンダードになっている「SCAP」（セキュリティ設定共通化手順）、およびそれを基にシステム構成や脆弱性の検査を行うためのOSSツール「OpenSCAP」や、その周辺の技術、用語などを紹介する。初回は、SCAPの概要について。
()
商用コードを監査した結果、多くのオープンソースコードが含まれていることが分かった。問題は、そのコードが内包している脆弱性が放置されていることだ。
()
Synopsys（シノプシス）のBlack Duckグループによると、さまざまなソースコードが含むオープンソースソフトウェア（OSS）の比率が高まっているという。それに伴い、OSSに起因する脆弱（ぜいじゃく）性をも取り込んでしまっている場合が少なくない。
()
大半のソフトウェアプログラムが、脆弱（ぜいじゃく）性やライセンス違反の問題を抱えている――。Synopsys（シノプシス）のソフトウェアインティグリティグループ（SIG）は、「2018オープンソースセキュリティ＆リスク分析（OSSRA）」レポートについて、その概要を発表した。
()
レンタルサーバーを利用する誰もが必ずしも高いサイバーセキュリティ知識をもっているわけではない。セキュリティを意識せずに誰もが安心して利用できるレンタルサーバーは理想論なのだろうか？ 理想的なセキュリティ対策に挑戦し続けるGMOペパボの担当者2人とジェイピー・セキュア担当者の鼎談（ていだん）から、Webセキュリティ対策のヒントを探る。
()
情報処理推進機構（IPA）が推進する「SECURITY ACTION」の取り組みや、サイバー攻撃の動向を踏まえ、悪質化、複雑化しているサイバー攻撃に対して企業が最低限対策すべきポイントを解説する。
()
Webサイトが攻撃されたとき、いかに被害の広がりを抑え、企業の信用を保つことができるか。大企業では部門間の壁があだとなり、スムーズな対応ができない場合がある。ヤフーの実践演習「Yahoo! JAPAN Hardening 2017」からは、顧客に寄り添う対応がいかに難しいのかが分かったという。インシデント対応のツボとは？
()
全世界のソフトウェア開発で、オープンソースソフトウェア（OSS）を使用する動きが広まる一方、それに伴うリスク対策が遅れている。2017年、こうしたリスクは実際に大規模な情報漏えいや訴訟を引き起こした。こうした例を踏まえて、2018年は開発現場でどのような対策が有効なのか、専門家に話を聞いた。
()