日経新聞、新卒エンジニア向けセキュリティ研修資料を無償公開
日本経済新聞社は5月18日、新卒エンジニア向けセキュリティ研修資料を無償公開した。同社が4月の新人研修で使用した34ページの資料。同社のエンジニアたちが作成したという。 今回の資料では、「セキュリティに対してポジティブに付き合えるようになる」などを目的に、直近で話題になったセキュリティに関するトピックやセキュリティを取り巻く環境などを紹介している。 同社では2017年から、新卒エンジニアを対象にしたデジタル分野の講義を行う研修を実施している。配属後に必要となる基礎知識の習得や、企画立案を進めるためのデータを取り扱うスキルの習得などを目的としているという。 23年はセキュリティ研修の他、Web APIやモバイルアプリ開発、UI/UX、機械学習などに関する講義を実施。セキュリティ研修は、講義とハンズオンの2回に分けて行い、座学で基礎を学んだ後、サイバーセキュリティの学習サービス「KENRO」で
チャットGPT「プロンプト・インジェクション」に3つのリスク
チャットGPT（ChatGPT）をはじめとする大規模AI言語モデルに基づくチャットボットがさまざまな製品に大規模に組み込まれつつある。だが、こうしたチャットボットのプロンプト（指示文）を悪用する行為も多数見つかっており、警鐘を鳴らす声もある。 by Melissa Heikkilä2023.04.07 24 22 人工知能（AI）言語モデルは今、テック業界で最も輝き、最もエキサイティングな存在だ。その一方で、新たな大問題を引き起こす可能性がある。AI言語モデルは強力なフィッシングや詐欺のツールとして悪用することが極めて容易だ。その際に、プログラミングのスキルは必要ない。さらに悪いことに、問題を起こさないようにモデルを修正する方法が分かっていない。 旅行の予約からカレンダーの整理、会議でのメモ取りまであらゆる作業を支援するため、テック企業は競ってAI言語モデルをさまざまな製品に組み込もうとし
「AIに毒を盛る」──学習用データを改ざんし、AIモデルをサイバー攻撃 Googleなどが脆弱性を発表
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。Twitter: ＠shiropen2 米Google、ETH Zurich、NVIDIA、Robust Intelligenceに所属する研究者らが発表した論文「Poisoning Web-Scale Training Datasets is Practical」は、学習用データセットの一部を改ざんし、それらを学習した機械学習モデルを攻撃する手法を提案した研究報告である。 機械学習モデルの学習用データセットには、インターネットをクロールして収集した大量のデータサンプルが含まれるWebスケールデータセットがある。だが、これらの収集したデータの信頼性が保証されているわけではない。信頼性を保証す
GPT-4が脅威分析し「パワポ1枚」で報告、マイクロソフトがSecurity Copilot公開
米Microsoft（マイクロソフト）は2023年3月28日（米国時間）に開催した自社イベント「Microsoft Secure」で、米OpenAI（オープンAI）の大規模言語モデル（LLM）「GPT-4」を活用したセキュリティー分析ツール「Microsoft Security Copilot」を発表した。現在はプレビュー版を公開する。このツールで何ができるのか、マイクロソフトが示した実例に基づき解説しよう。 Security Copilotは、セキュリティー担当者が社内外で発生したセキュリティーインシデントなどについて自然言語で質問をすると、GPT-4ベースのAI（人工知能）がセキュリティーログなどのデータを分析して、攻撃の実態や対処方法などをテキストや図、PowerPointのスライドなどで返答するツールである。 Security Copilotは、マイクロソフトのSIEM（セキュリテ
MicrosoftがGPT-4を活用して「セキュリティの新時代」を目指す「Microsoft Security Copilot」を発表
Microsoftが、OpenAIのGPT-4を活用したセキュリティ分析ツール「Microsoft Security Copilot」を発表しました。Microsoft Security Copilotはサイバーセキュリティの専門家向けのツールで、サイバー攻撃を探知して次の攻撃を予測したり、セキュリティ環境をチェックしたり、報告書の作成を手助けしたりすることが可能です。 Microsoft Security Copilot | Microsoft Security https://www.microsoft.com/en-us/security/business/ai-machine-learning/microsoft-security-copilot With Security Copilot, Microsoft brings the power of AI to cyberdefe
Microsoft Security Copilot──GPT-4採用のサイバーセキュリティ分析ツール誕生
米Microsoftは3月28日（現地時間）、米OpenAIの大規模言語モデル（LLM）「GPT-4」採用のセキュリティ分析ツール「Microsoft Security Copilot」を発表した。Azure上で稼働し、組織のセキュリティ担当者が侵害を特定し、防御するのを助けるAIサービスだ。まだプレビュー段階で、一般提供は開始されていない。 GPT-4をMicrosoftのセキュリティ固有のモデルと組み合わせた「単なるLLMではなく学習するシステム」。Microsoftのモデルにはセキュリティ固有のスキルセットが組み込まれており、独自の脅威インテリジェンスとMicrosoftが毎日受け取っている65兆以上の脅威シグナルで情報が提供されているという。 セキュリティ担当者がプロンプトから自然言語で、例えば「最近のランサムウェア攻撃の傾向は？」と尋ねると、関連するデータやレポートを提示する。さ
【セキュリティ ニュース】5年ぶりに全面改訂、「セキュリティ対応組織の教科書 第3.0版」が公開（1ページ目 / 全1ページ）：Security NEXT
日本セキュリティオペレーション事業者協議会（ISOG-J）は、「セキュリティ対応組織の教科書 第3.0版」を公開した。ITU-T勧告の発行を受けて約5年ぶりに全面改訂し、より実用的な内容を目指した。 同資料は、「SOC」や「CSIRT」などセキュリティ対応を行う組織の機能や役割などを取りまとめたもの。国際電気通信連合の電気通信標準化部門における国際標準「ITU-T勧告 X.1060」や国内標準「JT-X1060」で参照されている。 平時の運用からインシデント対応に至るまで、セキュリティ対応組織の方向性を示しており、経営層、管理者、現場実務者など、幅広い立場の読者を想定している。 2016年11月に初版を公開、その後も版を重ねてきたが、2021年10月に「ITU-T勧告 X.1060」が公開されたことにともない、2018年3月にリリースした第2.1版から約5年ぶりとなる改訂を行った。全面的な
ImageMagick: The hidden vulnerability behind your online images
Meet Batuta, the first ever game-changing Cyber Defense Command and Control Center.
Windows 11がハッキング大会中に6回もハッキングされる、テスラやUbuntuも餌食に
2022年5月18日から5月20日まで開催されたハッキングコンテストの「Pwn2Own 2022」で、Windows 11やUbuntu、テスラ車のシステムのセキュリティが次々と破られ、未発見だった脆弱(ぜいじゃく)が次々と明るみにされたと報じられています。 Zero Day Initiative — Pwn2Own Vancouver 2022 - The Results https://www.zerodayinitiative.com/blog/2022/5/18/pwn2own-vancouver-2022-the-results Windows 11 hacked three more times on last day of Pwn2Own contest https://www.bleepingcomputer.com/news/security/windows-11-hac
Apple、Google、MicrosoftがFIDO標準のサポート拡大にコミット、パスワードレス認証の普及を促進 （国際版の日本語訳）
Apple、Google、MicrosoftがFIDO標準のサポート拡大にコミット、パスワードレス認証の普及を促進 （国際版の日本語訳）より速く容易で安全な認証をコンシューマー向けに主要なデバイスやプラットフォームに提供 2022年5月5日、カリフォルニア州マウンテンビュー – すべての人にとってウェブをより安全で使いやすいものにするための共同の取り組みとして、Apple、Google、Microsoftは本日、FIDOアライアンスとWorld Wide Web Consortium（以下、W3C）が策定した共通のパスワードレス認証のサポートを拡大する計画を発表しました。この新機能により、ウェブサイトやアプリケーションは、コンシューマーに対してデバイスやプラットフォームを問わず一貫して、安全かつ容易なパスワードレス認証を提供できるようになります。 パスワードのみによる認証はウェブにおける最
Security advisory for the regex crate (CVE-2022-24713) | Rust Blog
This is a cross-post of the official security advisory. The official advisory contains a signed version with our PGP key, as well. The Rust Security Response WG was notified that the regex crate did not properly limit the complexity of the regular expressions (regex) it parses. An attacker could use this security issue to perform a denial of service, by sending a specially crafted regex to a servi
当社より流出した過去の情報について（2022年1月14日）| 株式会社ラック
当社より流出した過去の情報について 2022年1月14日 | プレス 株式会社ラック（本社：東京都千代田区、代表取締役社長：西本 逸郎、以下 ラック）は、2021年11月2日、フリーマーケットで販売されていたハードディスクに当社内のビジネス文書が含まれていたことを、社外からの通報により確認いたしました。その後の通報者とのやり取りの結果、12月17日にハードディスクを回収し、流出経路、流出情報の調査並びに情報の拡散が無いことの確認が完了しましたのでお知らせいたします。 なお、この件につきまして、お客様はじめ多くのご関係先にご迷惑とご心配をおかけしますことを、深くお詫び申しあげます。 1．情報流出の経緯と概要について 2021年10月31日、フリーマーケットで購入したハードディスクに、当社のビジネス文書が入っていたという匿名の通報があり、その根拠として提供された一部のビジネス文書のスクリーンキ
隠しカメラを見つける方法
指向性マイクや隠しカメラなどの監視装置は、普通の人にとってはスパイ映画に出てくる小道具ですが、現実の世界にも普通にあります。アパートの一室、高級ホテルの客室、オフィスの中やスポーツジムなどに仕掛けられていることがありますし、もしかすると自宅に仕掛けられているかもしれません。今回は、そうした監視装置を見つける方法を探っていくことにしましょう。 小さなスパイたち ミニサイズのカメラは、それほど高価ではありません（本記事執筆時点では約4,000円〜）。また、普通のWi-Fiに接続してクラウドなどにデータを送信する機能を持っています。ということは、誰でもスパイごっこができるということです。そんなことをする人の動機は何なのでしょうか？ 例えば、賃貸アパートの大家が、盗難や器物破損に備えて設置する場合が考えられます。相手の行動を疑う配偶者や、どんな手を使ってでもライバルを蹴落としたい人にも、そうする理
緊急レベルのJava「Log4j」脆弱性、多くのシステムに影響する恐れ（山口健太） - エキスパート - Yahoo!ニュース
米国時間の12月9日ごろから、Java用のログ出力ライブラリ「Apache Log4j」におけるリモートコード実行の脆弱性が話題になっています。広く普及しているライブラリに致命的な問題が見つかったことで、影響範囲の大きさが心配されます。 Log4jはJavaプログラムからログを出力するときに使われる定番のライブラリです。開発者がLog4jを使ってログを出力していれば、運用担当者は設定ファイルを利用してログの出力先をファイルからメール送信に変えるといったことが可能になります。 最初のバージョンがリリースされたのは2001年となっており、筆者の記憶では少なくとも2004年くらいにはJavaによる業務システムの案件で使っていました。他のプログラミング言語にも似たような名前で移植されています。 今回の脆弱性（CVE-2021-44228）は2014年に出たバージョン2以降が対象となっており、現在稼
log4jの脆弱性について
log4jとはJava用のloggingライブラリだ。loggingライブラリというのはログとして記録すべき文字列を受け取り、それをどこかに出力するものだ。文字列の中身を通常のloggingライブラリは気にしない。 log4jが通常のloggingライブラリと違うのは、文字列の中身を見て、一部の文字列を変数とみなして置換することだ。これはlog4jのドキュメントではlookupと呼ばれている。 Log4j – Log4j 2 Lookups 例えばプログラムを実行中のJava runtimeのバージョンをログに含めたい場合は、"Java Runtime: ${java:runtime}"などとすると、"Java Runtgime: Java(TM) SE Runtime Environment (build 1.7.0_67-b01) from Oracle Corporation"などの
GitHub上のsensitive dataを削除するための手順と道のり | メルカリエンジニアリング
Advent Calendar day 7 担当の vvakame です。 予告では Apollo Federation Gateway Node.js実装についてポイント解説 としていましたが、社内各所のご協力によりAdvent Calendarの私の担当日に間に合う形で公開できる運びとなりました。そのため告知とは異なりますが GitHub上のsensitive data削除の手順と道のり をお届けしていきたいと思います。 メルペイVPoE hidekによるday 1の記事で振り返りがあったように、今年、弊社ではCodecovのBash Uploaderに係る情報流出という事案が発生しました。当該インシデント対応において、プレスリリースにも記載のある通り、ソースコード上に混入してしまった認証情報や一部個人情報などの機密性の高い情報（sensitive data）について調査を実施し、対応
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【やじうまPC Watch】 Samsung、ChatGPTの社内利用で3件の機密漏洩
ReDoS 検出の最先端 recheck の紹介 / State of the Art of ReDoS Detection
GitHub - YfryTchsGD/Log4jAttackSurface