S3経由でXSS!?不可思議なContent-Typeの値を利用する攻撃手法の新観点 - Flatt Security Blog
はじめに セキュリティエンジニアの齋藤ことazaraです。今回は、不可思議なContent-Typeの値と、クラウド時代でのセキュリティリスクについてお話しします。 本ブログは、2024 年 3 月 30 日に開催された BSides Tokyo で登壇した際の発表について、まとめたものです。 また、ブログ資料化にあたり、Content-Type の動作や仕様にフォーカスした形で再編を行い、登壇時に口頭で補足した内容の追記、必要に応じた補足を行なっています。 また、本ブログで解説をする BSides Tokyoでの発表のもう一つの題である、オブジェクトストレージについては、以下のブログから確認をすることが可能ですので、ご覧ください。 blog.flatt.tech なぜ今、この問題を取り上げるのか？ 従来のファイルアップロードにおいて、Content-Type の値を任意の値に設定すること
Defender for Cloud Apps delivers new in-browser protection capabilities via Microsoft Edge
In today's increasingly online and hybrid work environment, facilitating seamless work from any location and device is crucial, especially with the growing necessity to share data externally for enhanced collaboration. On the other hand, protecting your organization's data and resources remains important. Additionally, the rising reliance on web browsers for enterprise tasks introduces new securit
インシデント対応訓練をやってみた - OPTiM TECH BLOG
はじめに みなさん、こんにちは。 プロモーション・デザインユニット（以下プロモ・デザインU）の竹内・牧山・安田です。 今回はプロモ・デザインUの目標の一つである「プロモーション業務でのNOインシデント対策」をデザインサプリ（社内勉強会）で報告してきました。 プロモ・デザインUの活動について詳しく知りたい方は👉過去の記事をご覧ください！ プロモ・デザインUのOKR（目標）の記事はこちら tech-blog.optim.co.jp 社内デザイン勉強会「デザインサプリ💊」の記事はこちら tech-blog.optim.co.jp はじめに プロモーション業務でのNOインシデント対策 ヒヤリハット収集 インシデント発生後の対応フロー インシデント対応訓練の実施 訓練当日の流れ 訓練の振り返り まとめ おわり プロモーション業務でのNOインシデント対策 前述した通り、プロモ・デザインUではWeb
セキュリティインシデントから会社を守る！~小さく始めるCSIRT設計事例~ - Techtouch Developers Blog
はじめに CSIRT とは CSIRT を立ち上げるモチベーション セキュリティインシデントは避けられない 意思決定者の訓練機会の不足 世界的なインシデントレスポンスの重要性の高まり CSIRT 作りの準備 教科書に学ぶ 他社に学ぶ テックタッチにおける CSIRT の設計 スモールスタートするための責任境界 ちゃんと機能する！ハンドリングマニュアル 窓口の明確化 継続的なスペシャリティの維持 さいごに 参考 はじめに こんにちは。SRE 兼 CSIRT の izzii（𝕏）です。Flatt Security mini CTF #4 に参加して入賞景品のTシャツをゲットできたのが最近のプチ自慢です。 さて本日の記事は、テックタッチにおいて私含む現場のメンバー（izzii, kacchan, ue）が Computer Security Incident Response Team (CS
はてなブログでの情報漏洩に備えてセキュリティインシデント対応演習を実施しました - Hatena Developer Blog
こんにちは、Webアプリケーションエンジニアのid:Furutsukiです。普段は、はてなブログチームにいます。 はてなブログチームではセキュリティインシデント対応演習を実施しました。演習の実施にあたって何を準備しどのように実施したかを紹介します。 ひとくちにセキュリティインシデントへの対応といっても様々なケースが考えられますが、今回実施したのははてなブログが情報の漏洩元になってしまった場合にサービスの開発・運用チームとしてどうすればよいかを確認する演習です。 当然、全社的に情報漏洩に対する備えとして、もし何かあったらこう動きましょうというフローは用意されているので、それに対してチームとしてより具体的なアクションに落とし込み、フローを整理したりするところまで備えるため、演習を行うことにしました。 セキュリティインシデント対応マニュアルの準備 演習のシナリオ準備 机上演習形式で演習を実施 演
インシデント発生時における初動対応の自動化 - Gunosy Tech Blog
これまでの課題感 どのように実現したか Slackワークフローとは Google App Scriptとは 実装内容 Slackワークフローの実装 トリガーの設定 ステップの追加 Google App Scriptの実装 Slack Appの設定 Slack Appの作成 OAuth Tokensの設定 Google App Scriptのスクリプトプロパティの設定 今後の課題 GASのバージョン管理 レガシーワークフローからの移行 まとめ こんにちは、テクノロジー本部 プロダクト開発部 SRE の koizumi です。 この記事は Gunosy Advent Calendar 2023 の 8 日目の記事です。昨日の記事は 石川 さんの「オンライン実験を速く試すための基盤構築」でした。 本記事では、インシデントフローの改善として、インシデント発生時における初動対応の自動化を行なった実例
Microsoft Defender Attack Surface Reduction Recommendations
This blog post provides a set of recommendations based on the audit data Palantir’s Infosec team has collected from the Windows Defender Attack Surface Reduction (ASR) family of security controls over the past two years. We hope it will assist other security teams who are considering a deployment. We’ll aim to highlight the considerations for each setting based on production deployment experience.
GMOサイバーセキュリティカンファレンス - IERAE DAYS 2023 - | 世界トップレベルのホワイトハッカーが魅せるサイバーセキュリティの最前線
これまでのサイバーセキュリティは、多層防御によるセキュリティが主流であり、攻撃者の侵入を100％防ぐことが目指されてきました。 しかし、守るべきデジタル資産の増加と攻撃者の技術力向上により、近年では攻撃者の侵入を100%防ぐことは難しいとされています。 「攻撃者が絶対優位」といわれるセキュリティ業界において、防御側は全ての資産をやみくもに守るのではなく、攻撃者の思考・動向・手法を知ったうえで、対策や監視に優先度を付けピンポイントに対策していくことが求められています。 GMOサイバーセキュリティカンファレンス - IERAE DAYS 2023 - では、世界トップレベルのホワイトハッカーによる最先端の攻撃手法のご紹介を通じて、攻撃者たちの思考を実感していただくことで、今行うべきセキュリティ対策に関するヒントをご提供します。 当社の脆弱性調査・研究チーム「GMOイエラエ」が、2023年8月に
Vulnerability Exploitability eXchange (VEX) beta files now available
Red Hat Product Security is pleased to announce that official Red Hat vulnerability data is now available in a new format called the Vulnerability Exploitability eXchange (VEX). In April 2023, we mentioned in an article titled “The future of Red Hat security data”, that Red Hat was working on providing a new security data format. This new format has been created to replace the old OVAL data format
Threat Modeling the Supply Chain for Software Consumers – Open Source Security Foundation
By Jonathan Meadows In today’s digital landscape, the software supply chain security topic has certainly caught on in the mainstream with a surge of blogs, conference talks, presentations and startups actively engaged to help address this critical threat. We are also starting to see various frameworks and standards emerge to address this multifaceted puzzle as the number of supply chain attacks in
Custom auto-triage rules for Dependabot alerts (public beta)
September 14, 2023 Auto-triage rules are a powerful tool to help you reduce false positives and alert fatigue substantially, while better managing your alerts at scale. Starting today, you can now create your own custom rules to control how Dependabot auto-dismisses and reopens alerts – so you can focus on the alerts that matter, without worrying about the alerts that don’t. What’s changing? For a
Whose CVE Is It Anyway?
Security Leader, Researcher, Developer, Writer, & Photographer The latest vulnerability causing headaches across the world is CVE-2023-4863, issued by Google Chrome and described as “Heap buffer overflow in WebP in Google Chrome prior to 116.0.5845.187 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page”. This same CVE is cited by a number of other vendors as
VEX (Vulnerability Exploitability eXchange) とは
はじめに Vulnerability Exploitability eXchange (VEX) とは、米国商務省国家電気通信情報庁 (NTIA) によって開発が進められたセキュリティアドバイザリの形式のひとつです。VEX の目的は、ソフトウェア製品の開発者がコンポーネントに存在する脆弱性について、機械処理可能な定型的な形式でユーザに提供することにあります。VEX が提供されるソフトウェア製品を利用することにより、そのソフトウェア製品のユーザは開発者が影響無しと判断した脆弱性を知ることができます。このエントリでは VEX が必要とされる背景や VEX の特徴・利点についてお伝えします。 背景 検出される脆弱性が多い 現在、様々な場面で言及されている Software Bill of Materials (SBOM、ソフトウェア部品表) ですが、SBOM を脆弱性管理に活用した場合、従来の方
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
LOLDrivers
Windowsでもようやく利用できるようになった「Sudo」コマンドを早速体験／Linuxの「Sudo」とは似て非なるものだが快適。セキュリティレベルの低下には注意【やじうまの杜】
ATT&CK DS Event Mappings
xknow_infosec/M365D_tables.md at main · Iveco/xknow_infosec
GitHub - CrowdStrike/crimson-falcon: A Shiny Ruby SDK of our Falcon API
https://www.amazon.co.jp/dp/479817890X?ref_=cm_sw_r_tw_ud_dp_HRV6S1NWHVNN5PBXAGAC
VEX - Trivy