セキュリティ関連 の履歴(No.1)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• セキュリティ関連 へ行く。
  • 1 (2022-12-27 (火) 11:32:14)
  • 2 (2023-01-02 (月) 16:32:38)
  • 3 (2023-01-24 (火) 17:58:37)
  • 4 (2023-01-26 (木) 22:23:14)
  • 5 (2023-02-02 (木) 12:19:52)
  • 6 (2023-02-03 (金) 22:59:29)
  • 7 (2023-02-11 (土) 13:28:36)
  • 8 (2023-02-13 (月) 10:07:56)
  • 9 (2023-03-01 (水) 21:46:57)
  • 10 (2023-03-02 (木) 16:16:53)
  • 11 (2023-04-27 (木) 21:36:50)
  • 12 (2023-05-24 (水) 14:02:35)
  • 13 (2023-07-22 (土) 22:50:48)
  • 14 (2023-07-23 (日) 11:24:52)
  • 15 (2023-08-24 (木) 08:26:01)
  • 16 (2023-08-24 (木) 16:11:19)
  • 17 (2023-09-21 (木) 14:07:57)
  • 18 (2023-10-06 (金) 09:59:48)
  • 19 (2023-10-31 (火) 22:09:17)
  • 20 (2023-11-10 (金) 12:29:50)
  • 21 (2023-12-12 (火) 22:10:13)
  • 22 (2024-01-23 (火) 21:44:00)

---

→技術分野別index

サブトピック†

• 脆弱性関連
• マルウェア
• 個人情報の保護・漏洩
• 暗号化
• セキュリティ関連ツール
• 認証技術

セキュリティ一般†

• ASCII.jp：Webセキュリティの2022年の振り返り 2022.12

• SPAセキュリティ超入門 | ドクセル 2022.9

• Month of PowerShell: Process Threat Hunting, Part 2 | SANS Institute 2022.7

     Is the process a new or unrecognized name?
     Is the process name random-looking?
     Is the process running from a non-standard path or a temporary directory?
     Is the parent-child relationship suspicious?
     Is the parent process suspicious?
     Are the command-line options suspicious?

• 「このサイトは安全ではありません」が表示された際の原因・対処法｜サイバーセキュリティ.com 2022.5

• 「壁」で守る時代は終わった。「データそのもの」を守り抜く「秘密計算」の時代へ｜セキュリティ通信 2022.5

• 第7回「産業サイバーセキュリティ研究会」を開催し、「産業界へのメッセージ」を発出しました （METI/経済産業省） 2022.4

• Web開発者はもっと「安全なウェブサイトの作り方」を読むべき - Flatt Security Blog 2022.4

• 未経験からOSCP取得ガイド - Qiita 2022.3

• サイバーセキュリティの2022年の予測〜クラウド・セキュリティのトレンドのトップ5〜 (Oracle Cloudウェビナーシリーズ: 2022年1月26日)/20220126-OCW-CyberSecurityTrend2022 - Speaker Deck 2022.1

• CSIRTとは？その概要や役割、必要性、設置方法について詳しく解説｜サイバーセキュリティ.com 2018

• GPOでWindows10『モバイル ホットスポット』を無効にする方法 | IT trip 2021.10

• 非エンジニアがHack The Boxを始めてHackerになるまで 2021.3

• もうEDRしか勝たん、という話 2020.12
  • Endpoint Detection and Response の頭文字。
  • 「エンドポイントの情報（インストールされているアプリケーション、ログ、起動プロセスなど）を収集し、エンドポイントでの脅威検知及び対応を支援するツール」

• 情報処理安全確保支援士試験 完全制覇への道 2019.8

• 体系的に学ぶモダン Web セキュリティ 2019.8

• 情報セキュリティ白書2022　7月15日発売：IPA 独立行政法人 情報処理推進機構 2022.7
• 情報セキュリティ白書2019 2019.8

• Linuxセキュリティ標準教科書（Ver1.0.0） 2013.10.1
  • 本教材を学校教育や企業研修において活用していただき、OSS/Linuxにおけるセキュリティ教育の質向上の一助としていただければ幸いです。
  • また、本教材は、セキュアなシステム設計・サーバ構築のスキルを認定する「LPICレベル3 303試験（LPI-303 Security Exam）」の教育および学習にも役立ちます。

• “守り”に入ったセキュリティ部門は捨てられる 2013.8.9

• 基本に勝る防御なし：直撃取材！ 「たて」の裏側 2013.6.21

• Gmail乗っ取りが大流行中！被害報告まとめ 2012.12.26

• アカウント乗っ取りを防げ！Google２段階認証プロセスを設定する全手順 2012.12.26

• ソーシャルエンジニアリングは他人事じゃない 2012.8.10

• 美しいグラフィックでサイバー攻撃をリアルタイムに可視化、警告を発するシステム 2012.6.20

• エロサイトに「いいね」した人がエロサイトを見ていたとは限らない 2012.5.2

• 各種Webサービスでやっておくべきプライバシー設定まとめ 2012.5.2

• 「2011年版 10大脅威 進化する攻撃．．．その対策で十分ですか？」を公開 2011.3
  • http://www.ipa.go.jp/security/vuln/documents/10threats2011.pdf

• PS3 呆気無く陥落
  • 何で、そんな大事な private key が解析されてしまったのでしょうか？。
  • カンファレンスにおける fail0verflow の説明によると、ECDSA（楕円曲線暗号デジタル署名) でキーの生成に使う乱数がなんと「固定値」になっているということで、private key の探索範囲が一挙に縮まり、どうやら private key の奪取に成功したようです。
  • これはもう人災ですね。カンファレンスでも、「これはプログラムの不具合ではなく、PS3 の実装を使っただけですから」どか言われてるし…。

• ソニーに何が起きたのか――ハッカーとの暗闘の末に史上最大規模の個人情報流出 2011.5.5

• 悪質なFlashリダイレクタ 2008.9.17

• ボットネットの新たな温床になりかねないネットワーク・プロセッサ 2008.7.31
  • NPUネットワーク・カードが普及し，さらに同カードを悪用するボットが登場したとしよう。悪質なソフトウエアが同カードに攻撃を仕掛け，パソコン本体のプロセッサやOSに影響を与えずに同カードを完全に掌握する可能性がある。ボットがNPUを管理下に置いてしまえば，このパソコンで送受信しているすべてのネットワーク・データが盗聴される上，ほかのパソコンのNPUネットワーク・カードも攻撃対象になりかねない。加えて，これらの攻撃はすべて，通常のウイルス対策ソフトから検知されずに実行できるのだ。

• 無責任なキャリア様に群がるIDクレクレ乞食 ―― 退化してゆく日本のWeb開発者 2008.7.28

• SQLインジェクション攻撃の波が再来、通常の70〜100倍に 2008.3.13
  • ASPを用いて開発されたアプリケーションは、企業の要件に応じて個別に開発されることが多いが、その「バグが作り込まれやすいところを狙ってきている。このため、一概にパッチの適用で修正できるというわけではなく、対処が困難だ」と新井氏は指摘。Webサーバを運用している企業や組織は、パッケージ製品だけでなく、外注しているアプリケーションについても改めて診断を受け、修正を施すべきだと述べた。

• 無線LANのMACアドレス制限の無意味さがあまり理解されていない 2007.11.2
  • パケットの中にMACアドレスは暗号化されずに入っている
  • WPAによる暗号化が有効に働いていれば、鍵を知る者以外には接続できないのだから、MACアドレス接続制限をする必要性は全くない。それなのに、なぜか、「暗号化で秘匿」「MACアドレスで接続制限」の両方が必要だと勘違いした解説がたくさん出回っている。

• IPアドレスがブラックリストに載っているか調べるスクリプト@Ruby

• IPアドレスを最近傍識別するスパムフィルタ 2007.4.13
  • 内容でなくてIPアドレスを識別することに意味があるのか？
  • →IPアドレスは，組織の種別によって番号の偏りがあるので，まっとうな送信元と，SPAMメイルの送信元にはかなりの偏りがあるため
  • 参考URL:http://vrl.sys.wakayama-u.ac.jp/~twada/NNIPF.html
  • 参考２：http://blog.livedoor.jp/dankogai/archives/50809795.html

• Hello Screensaver, Sayonara Files 2007.3.5
• 何が変わった？ エッジ層を保護するISA Server 2006

• McAfeeによる2007年におけるセキュリティ問題ベスト１０ 2006.11.30

  1. 偽のサインインのページを使って人気のあるオンライン・サービスの
    IDやパスワードを盗むWebサイトが増加する
  2. スパムの量，とくに画像を使ったスパムが引き続き増加する
  3. オンラインのビデオ共有サービスの人気により，攻撃者が悪意のあるコードを
     配布する手段としてMPEGファイルを利用するようになる
  4. 携帯電話が多機能化してインスタント・メッセージング，BlueTooth，WiFi，USBなどを通じて
     接続性が高まるにつれて，携帯電話をターゲットとする攻撃が増加する
  5. 商用のPUP（Potentially Unwanted Program：不審なプログラム）の増加に続き，アドウエアも増加する
  6. コンピュータの盗難，バックアップの損失，情報システムへの侵入などによる
     個人情報の盗難やデータ損失が引き続き社会的な問題となる
  7. ボットを使った攻撃が増加する
  8. ディスク上の既存のファイルを書き換える寄生型のマルウエアまたはウイルスが復活する
  9. 32ビット・プラットフォームをターゲットとするルートキットが増加する
  10. 公開されるぜい弱性が増加する

• 『ハッカーズ その侵入の手口』PDFで半分公開

• Free Security Audit
  • サイトの安全性をチェックしてくれる
• コストをかけずにできるセキュリティ対策 2006.7.28
• S/MIMEでセキュアな電子メール環境を作る

DevSecOps†

→CI/CD

→システム運用

• DevSecOps for AI Engineering 2022.7
• DevSecOps: A Complete Guide - DEV Community 2022.7
• ASCII.jp：マイクロソフトとGitHubが実現し、進化させるDevSecOpsの姿 2022.6

ゼロトラストネットワーク†

• ゼロトラスト採用企業の「半分が失敗する」と考える2つの理由　“小リソース”の中小企業がセキュリティを強固にする方法 - ログミーBiz 2022.11

• なぜ「ゼロトラスト」は注目されるようになったのか？ 導入のメリットと懸念点は？ | TECH+（テックプラス） 2022.8

• ゼロトラスト移行のすゝめ：IPA 独立行政法人 情報処理推進機構 2022.7

• SSE（Security Service Edge）入門：SASEとの違いをひも解く(2) SSE(Security Service Edge)を構成するサービスと提供される機能 | TECH+ 2022.5
  • SSEでは下記の主要なセキュリティサービスがすべて単一のプラットフォームで提供される。
  • セキュアWebゲートウェイ（SWG）、
  • クラウドアクセスセキュリティブローカー（CASB）、
  • ゼロトラストネットワークアクセス（ZTNA）、
  • クラウドファイアウォール（FWaaS）、
  • クラウドサンドボックス、
  • クラウドデータ漏えい防止（DLP）、
  • セキュリティポスチャ管理（CSPM）、
  • およびクラウドブラウザ隔離（CBI）

• ゼロトラスト・セキュリティとは？従来モデルとの違…｜Udemy メディア 2022.4

• ゼロトラストが重要な理由｜VPNの問題点やZTNA導入のメリットについて解説｜サイバーセキュリティ.com 2022.4

• ゼロトラスト実現の肝となる「特権アクセス管理」。適用に必要な5ステップとは | TECH+ 2022.3

• ゼロトラストをベースにセキュリティを考えてみた - Gaudiy Tech Blog 2022.3

• SDP（Software Defined Perimeter）とは？ | 情シスのミカタ 2021.1

• ゼロトラストの正しいつくり方　NISTの7原則をやさしく解説 | ビジネスネットワーク.jp 2021.11
• ゼロトラストネットワークとは？テレワーク普及で求められるセキュリティ対策 2021.4
• さらばVPN、ゼロトラストネットワーク入門 2020.6

SSH†

• 最強のSSH踏み台設定 2015.10.17
• SSHの仕組み!ぼんやりとした理解だったものをすっきりさせようの会
• Windows用定番SSHクライアントTera Termの使い方

関連サイト†

• マイクロソフトが脅威インテリジェンスを外販してるってよ - Qiita 2022.12

• IPAのセキュリティ関連NIST文書
  • NIST-SP800など

• The AKE Protocol Zoo
  • The AKE Protocol Zoo は、安全な通信インフラに不可欠な認証および鍵交換（AKE, Authentication and/or Key Exchange）の主要な暗号プロトコルの現時点の安全性が一目で分かる画期的なポータルサイトです。

• セキュリティホールmemo

• 情報セキュリティスペシャリスト試験に楽々合格

• あなたのPCをセキュリティ診断
• 安全なWebサイト利用の鉄則
• サイバークリーンセンター
• Mcfeeの刊行物"Sage"(無料)
• Security Engineering the book
• .NET Framework エンタープライズ セキュリティ ポリシーの管理と導入@MSDN
• Windows Live Safety Centerを活用する
• http://wizardbible.org/
• 開発者向けオンラインセミナー@MS
  • セキュリティの脅威を知る@MS
• Security Akademeia
• KENJI'S HOME PAGE

• http://www.rootkit.com/

• 日本のセキュリティチームのブログ@MS
  • 情報漏えい対策ガイド@MS

• 情報セキュリティblog@日立システム

海外†

• PentesterLab: Learn Web Penetration Testing: The Right Way 2022.3
• All labs | Web Security Academy 2022.3
• GitHub - swisskyrepo/PayloadsAllTheThings: A list of useful payloads and bypass for Web Application Security and Pentest/CTF 2022.3
• HackTricks - HackTricks 2022.3
• ttp://www.zone-h.org/ （念のため直リンせず）

用語説明†

• ISMS
  • ISMSとは、個別の問題毎の技術対策の他に、組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランを持ち、資源配分して、システムを運用することである。
  • 組織が保護すべき情報資産について、機密性、完全性、可用性をバランス良く維持し改善することが情報セキュリティマネジメントシステム(ISMS)の基本コンセプトである。(ISO/IEC 13335-1:2004より引用）
  • ●機密性：認可されていない個人、エンティティ（団体等）又はプロセスに対して、情報を使用不可又は非公開にする特性。
  • ●完全性：資産の正確さ及び完全さを保護する特性。
  • ●可用性：認可されたエンティティ（団体等）が要求したときに、アクセス及び使用が可能である特性。　

• サイドチャネル攻撃
  • サイドチャネル攻撃（サイドチャネルこうげき、side-channel attack）とは、暗号装置の動作状況を様々な物理的手段で観察することにより、装置内部のセンシティブな情報を取得しようとする攻撃方法である。
  • 白熱電球の例えがわかりやすい。電球の明滅の情報だけでなく、消した後に残る熱からどの電球が点いていたかの情報を得るのがサイドチャネル攻撃に相当する。

• シフトレフト｜セキュリティ用語解説｜NRIセキュア 2022
  • シフトレフトとは、開発ライフサイクルが短期間化し、迅速かつ頻繁にアプリケーションをリリースする傾向が広がっていくなか、リリースのスケジュールを妨げないように、セキュリティに関わる工程を前倒しして実施するという概念です。
  • 具体的には、開発前の段階からセキュリティを考慮した設計を行ったり、開発したシステムにおけるセキュリティ診断工程を内製化・自動化したりする取り組みが行われています。システム開発のスケジュールは、左から右に進行する流れで描かれるため、工程を前倒しすることは、左側へ移行することを意味することから、このように呼ばれるようになりました。

• What is Shift Left Security? | CrowdStrike 2022.1

• クロスサイト・リクエスト・フォージェリ
  • 「ぼくはまちちゃん」 ――知られざるCSRF攻撃
  • CSRFで強制ログインさせるというアイデア 2012.5.22

• セッション固定攻撃について
• セッション・フィクセーション 2008.3.5
  • 対策は，ログイン成功時に古いセッションIDを無効化し，セッションIDを再発行することである。

• ルートキット@Wikipedia
• Buffer Overflow@Wikipedia
• Data Execution Prevention@Wikipedia
  • いわゆるDEP。データ領域においたコードを実行できないようにすること
  • 参考になるページ：ハードウェアDEPの調査
  • 参考になるページ２@ひまじゃのう
    • XP SP2のソフトウェアDEPで防げるのは例外処理を利用したDEであり、リターンアドレス書き換えによるDEは防げないという話
• 検疫ネットワーク
  • 外から持参したノートなどをLANにつなぐ前にいったんそこにつないで検査するための隔離されたネットワークのこと
  • 参考：なぜ検疫ネットワークが普及しないのか
• SQLインジェクション …文字列を単純に接続してSQLを作成しているような場合、入力値をうまくいじって想定外の動きをさせることでクラックする。くわしくは上記ページを参照。
• ゼロデイアタック…問題が発見されてから１日とたたずに（対応パッチが出たりする前に）攻撃すること
• マジックバイト問題 2005.11.2

解析・リバースエンジニアリング、バイナリ解析†

• Binary Ninja - Introducing Decompiler Explorer 2022.7
  • Decompiler Explorer

• X86 Opcode and Instruction Reference 2022.7
  • coder64 edition | X86 Opcode and Instruction Reference 1.12
  • coder32 edition | X86 Opcode and Instruction Reference 1.12

• The Best .NET Decompiler Comparison Guide ✅ (Free and Paid) - DEV Community 2022.7

• System V Application Binary Interface AMD64 Architecture Processor Supplement 2022.6
  • AMD64のABI

• ふんいきでやる はじめてのバイナリ解析【社内勉強会開催レポート】 - CADDi Tech Blog 2022.6

• プログラムがメモリをどう使うかを理解する(1) 2022.4
• プログラムがメモリをどう使うかを理解する(2) 2022.4
• プログラムがメモリをどう使うかを理解する(3) 2022.4
• プログラムがメモリをどう使うかを理解する(4) 2022.4

• RetDec
  • RetDec is an open-source machine-code decompiler based on LLVM.

• PE(Portable Executable)ファイルフォーマットの概要
• 脅威のスポットライト：Ghidraによるコード解析入門 2019.8
• NSAがリバースエンジニアリングツール「Ghidra」を公開 2019.3
  • https://ghidra-sre.org/
  • A software reverse engineering (SRE) suite of tools developed by NSA's Research Directorate in support of the Cybersecurity mission

• リバースエンジニアリング入門

• IDA Pro 4.9 Freeware Version
  • 逆アセンブラ

• リバースエンジニアリング
• 別のプロセスにコードを割り込ませる3つの方法
• OllyDbg
• デジタルトラベシア