WebアプリのセキュリティはコードだけでなくHTTPレスポンスヘッダーでも大きく左右されます。HSTS、CSP、X-Frame-Optionsなど、設定すべきヘッダーは複数あり、それぞれの役割や推奨値を覚えるのは大変です。 11本の主要セキュリティヘッダーをリスクレベル付きで解説し、Express / nginx / Apache のコードスニペットをすぐコピーできる参照ツールを作りました。 ツール HTTP Security Headers Reference 機能 11ヘッダーを収録 — リスクレベル（Critical/High/Medium/Low）付き 軽減できる攻撃を明示 — XSS、クリックジャッキング、MitMなど 推奨値 — 各ヘッダーのベストプラクティス値 フレームワーク別スニペット — Express / nginx / Apache 実装メモ — 導入時の注意点やよく
** 本記事は、‘AuKill’ EDR killer malware abuses Process Explorer driver の翻訳です。最新の情報は英語記事をご覧ください。** Sophos X-Ops は過去数ヶ月間にわたって、攻撃者が AuKill と命名した防御機能を回避する新しいツールによって、EDR クライアントを無効化する複数のインシデントを調査しました。AuKill ツールは、マイクロソフトのユーティリティである Process Explorer のバージョン 16.32 で使用されていた古いバージョンのドライバを悪用し、標的システムにバックドアやランサムウェアを展開する前に、EDR プロセスを無効化します。 AuKill ツールは、2023 年の初めから少なくとも 3 件のランサムウェアインシデントにおいて、標的の保護機能を妨害し、ランサムウェアを展開するために使
Haskellコミュニティでは、ネットワーク関連を担当。 4児の父であり、家庭では子供たちと、ジョギング、サッカー、スキー、釣り、クワガタ採集をして過ごす。 Encrypted ClientHello(ECH)は、TLS の ClientHello を暗号化するための仕様であり、現在標準化の最終段階にあります。今回は、読者の方にある程度の暗号の知識を仮定して、ECHについて説明します。 SNI とプライバシー 多くのユーザにとって、自分がどのサイトのどのサービスを利用したかは、他人に知られたくないものです。広域監視に代表されるように、インターネットに盗聴者が存在するとして、どのサイトにアクセスしたかという情報が漏れてしまう理由は、3つあると言われています。 1番目はDNSです。ユーザは通常サーバ名を使ってサーバを指定しますが、実際の通信はIPアドレスが用いられます。そこで、サーバへの通信を
※この記事は以下記事を読んだ前提で書いてます。 ※あまりに被害が多かったのか、2025/6/19 夕方にPayPay連携機能は止まったようです。 この記事を読んで、QRコードを読み取るだけでお金抜かれるなんてことがあるのか？と思ったら、実際あまりに簡単に抜けるような構成であることがわかったので、検証結果を置いておきます。 WINTICKET連携はQRコード2連続読込方式正規のログイン・連携機能のUIを先に確認します。 PCブラウザでWINTICKETを操作、スマホでPayPayアプリを操作する場合の流れです。 競輪投票のWINTICKETでアカウント作成、ログイン後、 ポイント残高右側の「＋」ボタンでチャージ画面に遷移します。 遷移後、入金手段としてPayPayを選択します。 オレンジの＋ボタンでポイントをチャージする ※ポイント残高は出金できないが、投票結果の払戻金は出金できる仕様すると
KDDIは11月7日、セキュリティ企業のラックに対し、普通株式の公開買付（TOB）を実施し、完全子会社化すると発表した。買付価格は1株あたり1160円、買付総額は約246億円におよぶという。 KDDIとラックは2007年に資本提携し、新サービスの共同開発や、クラウド・IoT領域への拡大など、数多くの協業案件を通じてサイバーセキュリティーソリューションを提供してきたという。KDDIは「本取引を通じて、ラックのサイバーセキュリティーに関する豊富な知見と、KDDIのネットワークサービスなどの経営資源を集約し、お客さまに最適なソリューションを提供できる体制を構築していく」としている。 公開買付は11月下旬を予定。買付が成立した場合、一連の手続きを経て上場廃止を見込む。これに先駆け、ラックが設置した特別委員会による答申を受け、24年11月7日開催のラックの取締役会において、TOBに賛同するとともに、
NTTは2024年9月19日、ゼロ知識証明の「リセット可能統計的ゼロ知識アーギュメント」について、その実現には証拠暗号の利用が不可欠だと証明した。さまざまな分野で平文を使わない技術の一つとしてゼロ知識証明の実用化が期待されており、今回の証明によってその実現に貢献できると説明されている。 ゼロ知識証明は秘密情報を一切開示せずにその情報を知っていることを証明する暗号技術であり、リセット可能統計的ゼロ知識アーギュメントはその一種。これまで証拠暗号を使ってリセット可能統計的ゼロ知識アーギュメントを実現可能であることは知られていたが、証拠暗号なしで実現できるかどうかは不明だった。 ゼロ知識証明でNTTが新たな発見 これによって得られるメリットとは？ リセット可能統計的ゼロ知識アーギュメントはゼロ知識証明の一種で、統計的ゼロ知識性とリセット可能性を兼ね備えた暗号プロトコルとされている。統計的ゼロ知識性
「Defender for Office 365 攻撃シミュレーション トレーニング」という機能をご存じでしょうか。 例えばフィッシング対策のトレーニングとして、"安全な" フィッシングメールをユーザーに送り、それに引っかかったユーザーに対して自動的に e-Learning を受講させる、という一連の訓練を実施できます。 (機能概要をお知りになりたい方はこちらをご一読ください：Defender for Office 365での攻撃シミュレーション トレーニングの使用を開始する) 攻撃シミュレーション トレーニング 攻撃内容の選択画面年１回程度での定期的な座学セキュリティ教育を実施されている会社は多いですが、それと並行して、この攻撃シミュレーション トレーニングを不定期に実施することで、ユーザー リテラシーの更なる向上が期待できますよね。 注意点さて、この Defender for Offi
パスキーとは、FIDO（ファイド）アライアンスとW3Cが共同で規格化した、パスワードが不要な認証技術です。 現在、オンラインバンキングやオンラインショッピングなど多くのウェブサービスでユーザ認証の手段としてパスワードが用いられています。パスワード認証は最も基本的で普及している認証方式ですが、パスワードがフィッシング攻撃などによって攻撃者に盗まれると被害に直結しやすく、インターネット環境で使用するにはセキュリティ上の問題があります。 本記事では、パスワードを必要としない認証方式として注目されている「パスキー」について、定義や利点、課題について解説します。 パスキーとは 1. FIDO2 2. （狭義の）パスキー パスキーの利点 フィッシング攻撃に対する耐性が高い ローカル認証である 不正アクセスが困難 パスキーの課題 パスキーの同期による利便性向上とセキュリティ強化のトレードオフ 現状では、
先日(2023/08/15)、Chromeの次期リリース（116）でPQCをサポートする、とのニュースが飛び込んできました 従前からCanaryチャネルやChromiumでは実験的にPQCをサポートしていたものの、リリースチャネルに降りてくるのは、初です 今回サポートされているのはX25519-Kyber768というハイブリッド方式 です ハイブリッドというと、なんとなく 「（どちらかの）いいとこ取り（いわゆるOR）」 をイメージしがち？ですが、この方式は両方満たさないといけない （いわゆるAND）という意味です Chromeはブラウザですので、当然対向のサーバが必要です、ただ、なぜか？googleはテストできるサーバを準備していないようです（私がざっとググった限りでは発見できず） 感のいい読者はお気づきのように、手はあるはずです。 PQCに関わる人間が知らないとモグリとされる、あのサイト
この記事を開いたということは、おそらく「キャプティブポータル (Captive Portal)」についてある程度はご存じのことと思います。無線LANを使おうとすると、ぱかっとブラウザやポップアップを開いて、利用規約を表示したりログインを要求してくる、うざったいアレです。 煩わしい手動ログイン操作を無くして、自動接続で快適な無線LANを実現したいなら、WPA2 Enterpriseなり、その拡張のPasspointなりを導入すればよいです。セキュリティも高まるし、良いことだらけです……と言いたいところですが、実は欠点もあります。少なくとも現時点では (意味深)。セキュアな公衆無線LANが普及すれば、キャプティブポータルの技術がまったく不要になるかというと、そうでもなさそうです。この話は別の機会に譲るとして、今回はキャプティブポータルの仕組みと変遷についてまとめてみます。 macOSのCapt
CVSS v4.0では、従来のバージョンよりも細かい基本メトリクスが提供されており、スコアリングの曖昧さの低減や脅威メトリクスの簡素化、環境固有のセキュリティ要件や補完的なセキュリティ要件の評価効果が向上している。 脆弱性評価を補足するため「Automatable」（ワーム化可能）「Recovery」（回復力）「Value Density」（価値密度）「Vulnerability Response Effort」（脆弱性対応努力）「Provider Urgency」（提供者の緊急度）など幾つかのメトリクスが追加されている。 また、CVSS v4.0における機能拡張の重要なポイントとしてOT／ICS、IoTへの適用性を高めたことなども注目される。昨今、OT／ICS、IoTはサイバー攻撃者にとって格好の標的となっており、その深刻度を適切に評価する指針が必要になっていた。 その他、CVSSは単な
【Zscaler】ZCCってなんだ？！概要・設定編【Zscaler Client Connector】 みなさん、こんにちは！ Zscalerには全てのプロダクトの中心となる ZCC：Zscaler Client Connectorと呼ばれるクライアントがあります。端末にインストールすることでインターネットやアプリケーションに安全にアクセスできるとても便利な優れものです。今回は概要と設定の方法をご紹介します。 ■押さえるべき３つのポイント ZCCを知るために押さえるべきポイントが３つあります。ZCCの概要、メリットをざっくりと理解できるポイントとしてご紹介します。 端末にインストールするクライアント ZIA, ZPA, ZDX共通 手軽かつ安全 端末にインストールするクライアント ZCCは、Zscalerの各プロダクトをご利用いただくにあたり端末にインストールするクライアントです。インスト
Barracuda ESG Zero-Day Vulnerability (CVE-2023-2868) Exploited Globally by Aggressive and Skilled Actor, Suspected Links to China Written by: Austin Larsen, John Palmisano, Mathew Potaczek, John Wolfram, Matthew McWhirt On May 23, 2023, Barracuda announced that a zero-day vulnerability (CVE-2023-2868) in the Barracuda Email Security Gateway (ESG) had been exploited in-the-wild as early as October
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
