脆弱性を作りこまない設計・
目次 はじめに... 2 本書の対象読者 昨今の脅威の実情 脅威の全貌 攻撃者が期待する段階ごとの脆弱性 設計 運用上の弱点 設計上 運用上の弱点を生む 10 の落とし穴 メールチェック
... 「攻略しづらい」と思わせるシステム 設計が必要となってくる。なお、本書で紹介した対策は、あくまで一例であり、必ずしもこれらの 方法に固執する必要はない。重要なのは、脅威の全貌を把握した上で、自組織の運用の都合に合わ せ、攻撃を検知しやすく、あるいは無効化する対策を考えることである。 「入口対策」 、 「エンドポ イント対策」 、 「出口対策」 、 ...
25
セキュリティ バイ デザインとは ソフトウェアやシステム開発の過程程で開発の早期段階 ( 分析 設計 ) からセキュリティを作りこむ 対義語? セキュアプログラミングプログラミング工程での脆弱性排除 2
... アタックサーフェスの最小化/デフォルトセキュア/最小特権/多層防御/ セキュアなエラー処理/サービスを信用しない/職掌分離/security by obscurityの回避/できるだけシンプルな実現/セキュリティ問題の適切 な対処 ...
48
TOPIC 2004 年 4 月 21 日に公開された TCP の脆弱性! Transmission Control Protocol: TCP について! 脆弱性発見の背景! 脆弱性情報の流通過程! 脆弱性の内容について! 実際の脆弱性への対応 脆弱性の対象となる製品 脆弱性の回避策と対策 公開情
... • 論文の発表が目的 • 製品開発ベンダとのモチベーションの違い • 昔から指摘されている既知の問題 • ネットワークの高速化による攻撃の現実化 • OSやアプリケーションの設計の問題 ...
32
ソフトウェア等の脆弱性関連情報に関する届出状況
... 「かんたんログイン」は携帯電話やその契約者ごとに割り振られた携帯電話の識別子だけで利 用者を認証する方式の一つですが、安全な実装が簡単ではありません （ *3 ） 。また 2010 年 10 月に は、 「かんたんログイン」に関する脆弱性が原因で個人情報漏洩事故が発生しました。 この脆弱性は 2009 年第 3 ...
23
WPA2 の脆弱性 KRACKs 公開 多数の Wi-Fi 機器に影響の恐れ Wi-Fi 認証の Wi-Fi Protected Access II (WPA2) に関する脆弱性の詳細な情報が 10 月 16 日 特設サイトで公開された 脆弱性は全部で 10 件あり この脆弱性には KRACKs (
... サイバーセキュリティのベストプラクティスに従わな いのは、どのような組織にとっても危険な行為であり、大 きな損害を被る可能性があります。公共 Wi-Fi ホットス ポットはハッカーにとって、獲物を手に入れる格好の場 所です。ハッカーにとってみれば、セキュリティ保護が 適切でない Wi-Fi 環境で、来店客のメールの認証情報やク ...
8
脆弱性対策情報データベースJVN iPediaの登録状況
... 件）でした。 脆弱性対策情報の登録件数は、日本国内で使用されているソフトウェア製品の脆弱性対 策情報を NVD から収集したものが 7,500 件を突破しており、累計では 8,400 件に達しています。 （表 1、図 1） 。 2010 年第 2 四半期に JVN iPedia ...
12
Apache ActiveMQ における認証処理不備の脆弱性
... https://www.jpcert.or.jp/securecoding/2012/No.06_Apache_ActiveMQ.pdf 本資料を引用・転載・再配布をする際は、 引用先文書、時期、内容等の情報を、J PCERT コーディ ネーションセンター広報( [email protected] )までメールにてお知らせください。なお、この連絡 ...
33
JBoss Application Server におけるディレクトリトラバーサルの脆弱性
... その後は正常処理と同様の処理が実行され、下記の場所にファイルが作成され てしまう。本来は ./deploy/management 配下にフォルダ、ファイルが作成さ れるはずが、攻撃コードでパスを操作することで任意のパスにファイルを作成 することが可能となる。 ...
45
MySQL Connector/J における SQL インジェクションの脆弱性
... https://www.jpcert.or.jp/securecoding/2012/No.04_MySQL_Connector.pdf 本資料を引用・転載・再配布をする際は、 引用先文書、時期、内容等の情報を、J PCERT コーディ ネーションセンター広報([email protected])までメールにてお知らせください。なお、この連絡に ...
36
「脆弱性対策の標準仕様SCAPの仕組み」
... ・ regedit コマンド等を使用してレジストリ情報にバージョン情報が存在するかを 確認してください。 参考） HKEY_LOCAL_MACHINE¥SOFTWARE¥ベンダ名¥アプリ名 等 の配下にバージョン情報が格納されていることがあります。 ...
106
脆弱性診断士（プラットフォーム）スキルマップ＆シラバスについて
... http://www.jnsa.org/ ～セキュリティオペレーション事業者協議会（ISOG-J） について～ 日本セキュリティオペレーション事業者協議会（Information Security Operation providers Group Japan 略称：ISOG-J）は、セキュリティオペレーション技術向上、オペレータ人材育成、および関係 ...
6
Blojsom におけるクロスサイトスクリプティングの脆弱性
... https://www.jpcert.or.jp/securecoding/2012/No.03_Blojsom.pdf 本資料を引用・転載・再配布をする際は、 引用先文書、時期、内容等の情報を、J PCERT コーディ ネーションセンター広報( [email protected] )までメールにてお知らせください。なお、この連絡に より取得した個人情報は、別途定めるJPCERT ...
28
脆弱性対策情報データベースJVN iPediaの登録状況
... (2) 脆弱性対策情報の登録件数が累計 8,000 件を突破 2010 年第 1 四半期に、脆弱性対策情報データベース「JVN iPedia（ ...の 脆弱性データベース「NVD 3 」から収集したものが 333 件（累計 7,170 件）です。一方 JVN iPedia 英 語版への新規登録件数は 11 件で累計 509 ...
10
シスコ脆弱性データベース（VDB）アップデート 307 のリリース ノート
... Talos について Talos Security Intelligence and Research Group（Talos）は、洗練されたシステムによってサポー トされる優れた脅威研究者によって構成され、既知の脅威と新たな脅威の両方を検出および分 析し、その脅威から保護するためのシスコ製品の脅威インテリジェンスを作成しています。 Talos は、Snort.org 、 ClamAV 、 ...
12
Cisco WebEx ブラウザ拡張機能リモート コード実行の脆弱性
... http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシ スコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。 通 常、これは以前購入したソフトウェアのメンテナンス アップグレードです。 無償のセキュリティ ...
10
鮮度低下による卵黄膜脆弱化と大腸菌の増殖性
... 7. M9 培地を用いた卵黄洗液における大腸菌の培養 各サンプル卵の卵殻表面を，流水中で 30 秒間お よび 70％エタノール中で 10 秒間のもみ洗いを行っ たのち，裏表の両面とも 5 分程度紫外線殺菌を行っ た。それらの卵を安全キャビネット内で割卵し， シャーレ中で卵黄膜が破れないように卵黄を無菌的 ...
6
Trend Micro 脆弱性対策オプション 導入手順書【第2版】
... 2 脆弱性対策オプションクライアントのインストール 2-1. 事前準備：名前解決ができない場合 初期設定では、脆弱性対策オプションサーバと脆弱性対策オプションクライアント間の通信に 名前解決が必要となります。名前解決ができない環境の場合は、下記手順により、サーバからク ライアントへの通信を IP ...
34
Shellshock 脆弱性 (CVE ) とは? Linux などで使用されるオープンソースプログラム bash に存在する脆弱性 bash は Linux BSD Mac OS X などの OS で使われる シェル と呼ばれるコマンドシェルの 1 つ 脆弱性が悪用されると ba
... – CGI、ssh、rsh、rloginなどで bash が使われている 場合、システムなどの関数によって呼びこまれている場 合には特に注意が必要です • また、サーバやPCだけではなく、Linuxベースのアプライアン スや組み込み機器、Internet of Everything（IoE） 関連デバイスなどでも影響を受ける可能性があります ...
20
はじめに オープンソースのCMSであるDrupalに リモートより任意のコードを実行可能な脆弱性が報告されています 本脆弱性を悪用された場合には 遠隔の第三者によって Webサーバの動作権限にて任意のコードを実行されてしまう可能性があります なお 本脆弱性は Drupalgeddon と呼称されてい
... Drupalgeddon 2: Profiting from Mass Exploitation : https://www.volexity.com/blog/2018/04/16/drupalgeddon-2-profiting-from-mass- exploitation/ Drupal の脆弱性（CVE-2018-7600）を標的としたアクセスの観測について: ...
24
HULFT Series 製品における Javaの脆弱性（CVE ）に対する報告
... 【本事象が起きる操作】 １） deTradeII のクライアント送受信機能 ２） EDI Base 運用画面のメニュー[定義情報]－[JOB 定義]機能 つきましては、本事象の原因および対処方法を、下記のとおりご案内いたしますので、ご対応をお 願いします。また、取引先様などへの影響の大きい１）のケースでは deTradeII 用にパッチを提供 いたします。 ...
7