454の結果を表示中

Goでセキュアにロギングするzlog

以下、経緯や使い方の説明です。 背景:サーバーサイドにおけるロギングと秘匿値の問題 Webサービスを含む多くのサーバーサイドのサービスでは、サービスの挙動に関するログを出力・記録しておくのが一般的です。継続的にログを出力しておくことで、トラブルシューティングやデバッグ、セキュリティインシデントの対応や…

ALB配下のApache HTTP Serverに対して脆弱性(CVE-2021-41733)の再現ができない理由をNGINXの挙動から考えてみた | DevelopersIO

ALB配下のApache HTTP Serverに対して脆弱性(CVE-2021-41733)の再現ができない理由をNGINXの挙動から考えてみた ALBの実装はわからないのであくまで考察となります。 ALBについて考えてみたと謳っていますが、メインはNGINXのソースリーディングです。 少し長いですが、AWS環境でパストラバーサル攻撃の検証を行う際には…

ランサムウェア攻撃者が利用する脆弱性リストメモ

■概要 2021年09月12日、Recorded FutureのCSIRTメンバーであるAllan Liska氏がTwitter上で呼びかけを行いました。 その呼びかけはランサムウェアの攻撃者が初期アクセスを獲得するために使用する脆弱性のリストを作成しようとしているというもので、いくつかのベンダーや製品名とともにCVE番号が列挙されたリストの画像…

無料SSLサーバ証明書発行のLet’s Encryptに脆弱性 犯罪者が悪用する“穴”とは?

関連キーワード サイバー攻撃 | ハッキング | セキュリティ 無料でSSLサーバ証明書を発行する認証局(CA)「Let’s Encrypt」について、ドメイン所有権の検証方法に脆弱(ぜいじゃく)性があることが分かった。サイバー犯罪者は実際に所有していないドメインのSSLサーバ証明書を取得できる可能性があるという。脆弱性は、…

Windows Server 2022正式版がひっそりとリリース。セキュアコアサーバ搭載、SMB over QUICでVPN不要のファイルアクセスなど - Publickey

Windows Server 2022正式版がひっそりとリリース。セキュアコアサーバ搭載、SMB over QUICでVPN不要のファイルアクセスなど マイクロソフトからの発表はまだありませんが、Windows Server 2022正式版のリリースが事実上開始されました。 ライフサイクルのページに製品が登録され、2021年8月18日がサポート開始日となって…

みずほ銀行「5度目」のシステム障害、原因はDBサーバーのハード故障 | 日経クロステック(xTECH)

みずほフィナンシャルグループ(FG)は2021年8月20日、傘下のみずほ銀行とみずほ信託銀行で8月19日から20日に起こったシステム障害に関し、都内で記者会見を開いた。障害の原因は、営業店や行内端末と勘定系システムをつなぐ「業務チャネル統合基盤」のデータベース(DB)サーバーのハードウエア故障にあった。 関連記事…

[初心者向け]200以上あるAWSサービスのどこから始めれば良いのかガイド | DevelopersIO

AWS認定トレーニング講師の平野@おんせん県おおいたです。 みんな、温泉入ってますかー? (挨拶 さて先日こんなご質問をいただきました 「AWSは200サービス、「今から学ぼう!」て人は、多さが障壁になると思うので、この辺はどういったアドバイスありますか?」 確かにそうですよね。多くの人も同じように感じてるは…

Goでプライベートネットワークへのアクセスを制限する – 詩と創作・思索のひろば

Go において、いわゆる SSRF (Server Side Request Forgery) を防ぐような目的で、内部 IP アドレスにアクセスしない HTTP クライアントを作るには hakobe/paranoidhttp が便利だった。ただ、近年ではこれが作られて以降の Go 側のアップデートとして、net.Dialer.Control の登場がある(Go 1.11 より)。 type Dialer s…

Microsoft、Windows Update を通じた Windows 7 へのドライバー提供を終了

Microsoft は17日、Windows Update を通じた Windows 7 SP1/Server 2008/2008 R2 のドライバー提供を同日終了すると発表した(Windows Hardware Certification ブログの記事、 Bleeping Computer の記事、 BetaNews の記事、 Windows Central の記事)。

Microsoft が5月10日からSHA-2 アルゴリズムへ全面移行したことで、信頼されたルートプログラム参加パートナーが未…

Linuxでプロセスの権限を設定するpolkit、7年以上前から存在した特権昇格の脆弱性が見つかる

多くのLinuxディストリビューションに標準でインストールされるシステムサービス「polkit」に7年以上前から存在していた特権昇格の脆弱性が修正された(The GitHub Blogの記事、 The Registerの記事、 Computingの記事、 CVE-2021-3560)。

polkitは非特権プロセスが特権プロセスと通信するためのポリシーを定義し、認証処理を行うツールキットだ。systemdがpolkitを使用するため、systemdを使用するLinuxディストリビューションはpol…

2021年6月のセキュリティアップデートレビュー解説

今月の第2火曜日となった2021年6月8日、Adobe社およびMicrosoft社から更新プログラムがリリースされました。最新のセキュリティ更新プログラムの詳細について確認しましょう。 ■Adobe社による2021年6月…

The post 2021年6月のセキュリティアップデートレビュー解説 first appeared on トレンドマイクロ セキュリティブログ.

ALPACA Attack

Paper Q&A How to ALPN/SNI News ALPACA will be presented at Black Hat USA 2021 and at USENIX Security Symposium 2021. Recommended articles: Ars Technica (Dan Goodin), Golem (Hanno Böck; German) Introduction TLS is an internet standard to secure the communication between servers and clients on the …

Mac向けマルウェア「XCSSET」が最新のmacOS 11やM1チップ搭載端末に対応、攻撃手口を解説

2020年にトレンドマイクロは、Xcodeプロジェクトに感染してMacユーザを攻撃するマルウェア「XCSSET」を初めて発見しました。当初は単発の事例で使用されたマルウェアファミリとして報告しましたが、今回の調査結果を踏…

The post Mac向けマルウェア「XCSSET」が最新のmacOS 11やM1チップ搭載端末に対応、攻撃手口を解説 first appeared on トレンドマイクロ セキュリティブログ.

脆弱性「ProxyLogon」を悪用する攻撃:コインマイナー、ランサムウェア、ボットネットを新たに確認

2021年3月、Microsoftは中国のハッキンググループ「HAFNIUM」による大規模な攻撃にオンプレミス版のMicrosoft Exchange Serverの4つのゼロデイ脆弱性が利用されたことについてアドバイザ…

The post 脆弱性「ProxyLogon」を悪用する攻撃:コインマイナー、ランサムウェア、ボットネットを新たに確認 first appeared on トレンドマイクロ セキュリティブログ.

Microsoft Exchange Serverの侵害を抑止するための技術的対策 | トレンドマイクロ セキュリティブログ

2020年、トレンドマイクロが運営する脆弱性発見・研究コミュニティ「Zero Day Initiative(ZDI)」は、ZDIプログラム史上最多となる1,453件のアドバイザリを発表しました。加えて、そのうちの18.6%については公開時にベンダによる修正プログラムが提供されておらず、記録的な1年となりました。そして2021年も、ZDIの予測…

Microsoft Exchange Serverの侵害を抑止するための技術的対策

2020年、トレンドマイクロが運営する脆弱性発見・研究コミュニティ「Zero Day Initiative(ZDI)」は、ZDIプログラム史上最多となる1,453件のアドバイザリを発表しました。加えて、そのうちの18.6…

The post Microsoft Exchange Serverの侵害を抑止するための技術的対策 first appeared on トレンドマイクロ セキュリティブログ.