negima1976のブックマーク - はてなブックマーク

Amazon EC2 におけるセキュリティ(脆弱性)事例 - blog of morioka12

1. 始めにこんにちは、morioka12 です。本稿では、Amazon EC2 上で動く Web アプリケーションの脆弱性によって脆弱性攻撃が可能だった実際の事例について紹介します。 1. 始めに 2. Amazon EC2 におけるセキュリティリスク Amazon EBS 被害があった公開事例 3. Amazon EC2 で起こりうる脆弱性攻撃 SSRF が可能な脆弱性 SSRF における回避方法 4. Amazon EC2 の脆弱な報告事例画像読み込み機能に潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 SAML アプリケーションに潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 Webhook 機能に潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 Webhook 機能に潜む SSRF を悪用した EC2 のクレデ

negima1976 2023/09/01

リンク

AWSコスト削減とリソース管理 | 外道父の匠

クラウド使いなエンジニアの皆様、猛暑と円安の中いかがお過ごしですか。上層部からインフラコスト削減を突きつけられてはおりませんでしょうか。今回はおそらく初めてコスト削減についてAWSを軸に書いていきますが、考え方はどこの環境でも似たりよったりなので何かしらの足しになればと思う次第であります。目次長いです。ひきかえしたほうがいいぞ！コミュニティに捧げます AWSの売上コスト削減とは三大使命コスト状況整理 Load Balancer 参考リンク統合による削減 EC2 Autoscaling 参考リンク情報整理古いインスタンスタイプの変更スケジュールの調整スポットインスタンスの適用軽量インスタンスの統合・サーバーレス化アプリケーション処理の軽減 EC2 EBS EBSは高い不要EBSを削除・スナップショット化ボリュームタイプの変更 EC2 AMI NAT Gatew

negima1976 2023/08/29

aws
運用

リンク

FFmpeg Explorer!

negima1976 2023/08/28

リンク

Infrastructure from Code (IfC) ツールまとめ - maybe daily dev notes

昨今Infrastructure from Code (IfC)という概念をよく耳にします。先日もAWSのGregor Hohpeが関連する記事を書いていました。 architectelevator.com この記事では、Infrastructure from Codeとはなにか簡単に紹介し、具体的にどのようなツールがあるか網羅的にまとめます。 Infrastructure from Codeとはなにか Infrastructure from Code (IfC) とは、その名の通り、Infrastructure as Code (IaC) に関連する概念です。IaCとの根本的な違いは、IaCは開発者がインフラを明示的に意識して構成を記述するのに対し、IfCでは開発者がインフラをできるだけ意識しないよう抽象化を試みていることです。これにより、差別化に繋がらない重労働ができる限り排除された高

negima1976 2023/08/25

リンク

Terraformのライセンスの変更とその影響

はじめに先日、HashiCorp社はの発表により、すべての製品といくつかのライブラリの将来のリリースについて、Mozilla Public License v2.0︵MPL 2.0︶からBusiness Source License︵BSL、またはBUSL︶v1.1への移行するがわかりました。ただし、HashiCorpのAPI、SDK、およびほとんどの他のライブラリはMPL 2.0のままです。 BSLとは? MPL 2.0との違いは? BSLは下記のようにいくつの特徴があります: 特定の期間︵通常は数年︶の後に、完全なオープンソースライセンス︵たとえば、Apache 2.0︶に変わるライセンスである。 BSLの下でリリースされたソフトウェアは、特定の期間中は商業的に利用することが制限される。開発者がソフトウェアの商業的価値を保護しつつ、将来的にはコミュニティに還元することを目的として

negima1976 2023/08/14

リンク

AIいらすとや

無制限AI いらすとや「いらすとや」風の画像を生成できる「AI いらすとや」が無制限で利用ができます。無制限ダウンロード「AI いらすとや」含む「AI素材」内にある多種多様な素材を追加費用を払うことなく、すべてのサイズで無制限でダウンロードができます。

negima1976 2023/08/11

リンク

Downfall

Downfall attacks target a critical weakness found in billions of modern processors used in personal and cloud computers. This vulnerability, identified as CVE-2022-40982, enables a user to access and steal data from other users who share the same computer. For instance, a malicious app obtained from an app store could use the Downfall attack to steal sensitive information like passwords, encryptio

negima1976 2023/08/10

つらい。。。 ●CPU ●脆弱性

リンク

米紙が報じた中国による日本の防衛ネットワークの侵害についてまとめてみた - piyolog

2023年8月7日（現地時間）、2020年頃に中国軍が日本政府にサイバー攻撃を行い防衛機密情報にアクセスしていたとして米国のThe Washington Postが報じました。ここでは関連する情報をまとめます。日本政府のネットワーク侵害を米国が把握発端となったのは、現地時間2023年8月7日付でThe Washington Postが報じた中国が日本の防衛ネットワークへハッキングを行ったとする当局者の話などを取り上げた記事。2020年秋に米国NSAが日本政府が侵害されていることを確認した後、米国が日本に情報提供をはじめとする本件への対応をどのようにとってきたか経緯や関連事案などをまとめたもの。同紙で国家安全保障やサイバーセキュリティの取材を行っているEllen Nakashima氏の署名記事。氏が面談した米国の元高官ら3人を情報ソースとしているが機密性が高いことからいずれも匿名での取材

negima1976 2023/08/09

リンク

Pwn2OwnでMicrosoft Teamsをハッキングして2000万円を獲得した方法/ Shibuya.XSS techtalk #12

Shibuya.XSS techtalk #12 の発表資料です。 English version is here: https://speakerdeck.com/masatokinugawa/pwn2own2022

negima1976 2023/08/02

リンク

RDS Proxyを用いたオンラインスイッチオーバーによるMySQLのアップグレードについて - freee Developers Hub

おはこんばんちは、DBREの橋本です。今回は、Amazon RDS Proxy︵以降RDS Proxyとよぶ︶を用いたRDS for MySQLインスタンスおよびAurora MySQLクラスタのオンラインスイッチオーバーの手法について、ある程度社内での運用が確立してきましたので解説いたします。従来のアップデート手法 AWS上でRDS for MySQLインスタンスやAurora MySQLクラスタ︵以降これらをデータベースとしてまとめてよぶ︶を運用している場合、それらのエンジンバージョンの更新を行ったり、OSバージョンの更新に伴う再起動を実施する必要があります。これらの更新を行う場合、以下のような方法が考えられます。対象のデータベースに直接更新を適用するスナップショットを作成し、更新済みのデータベースとして復元する更新済みの空のデータベースを新規作成し、そちらにデータを移行し、

negima1976 2023/08/02

RDS
aurora

リンク

AWS、IPv4アドレスの使用に課金、1時間当たり0.005ドル。2024年2月1日から

Amazon Web Services︵AWS︶は、サービスを外部に公開するためのパブリックなIPv4アドレスを使用する場合に、1時間あたり0.005ドルの課金を2024年2月1日から開始することを発表しました。1時間当たり0.005ドルは1日当たりに換算すると0.12ドル、1カ月を30日とすると1カ月当たり3.6ドル。1ドル140円換算で1カ月当たり504円となります。希少資源となるIPv4アドレスインターネットで広く使われているIPv4アドレスは数に限りがあり、12年以上前の2011年2月には管理団体からの配布が終了しています。参考‥﹇速報﹈インターネットの歴史に刻まれる、最後のIPv4割り当てセレモニーが終了つまり、クラウド事業者やデータセンター事業者などが利用者に提供しているIPv4アドレスは、以前から事業者が所有していたか、もしくは何らかの方法で他のユーザーや事業者など

negima1976 2023/07/31

aws

リンク

数学教科書から“ｘ”消える　米起業家が独占使用権獲得

日本で使用されている算数・数学の教科書から変数﹁ｘ﹂が消えることが28日、わかった。ツイッターを所有する米起業家のイーロン・マスク氏がXの独占使用権を獲得したため。突然の通告に出版社も対応に苦慮している。数学の教科書を手がける複数の出版社が27日、全国の教育委員会と書店に﹁弊社算数及び数学教科書の回収・交換に関するご案内﹂という文書を相次いで送付した。いずれも教科書に登場する変数﹁ｘ﹂が買収によって使用できなくなったため、8月下旬までに改訂版と交換するという内容だった。中高生向け数学教科書を出版する鱒出版によると25日、マスク氏の代理人を名乗る人物から、数学に関する出版物におけるＸの独占使用権を氏が獲得したため、今後教科書内でｘの使用を禁じる内容の通告があったという。担当者は﹁ｘは数学で最も重要な概念。かなり厳しいところを突かれてしまった﹂と戸惑いを隠せない。Ｘに対するマスク氏の執着

negima1976 2023/07/29

リンク

CloudFront と S3 の階層化 TTL でシングルページアプリケーション (SPA) をホストする | Amazon Web Services

Amazon Web Services ブログ CloudFront と S3 の階層化 TTL でシングルページアプリケーション (SPA) をホストする数多くのお客様がシングルページアプリケーション(SPA) のデプロイのために Amazon CloudFront と Amazon Simple Storage Service (Amazon S3) を利用しています。ウェブアプリケーションは React、 Angular、 Vue 等のフレームワークで実装されています。これら SPA を開発しているチームは、一見相反するようにも思える以下のような要件を持っていることが多いです。ウェブアプリケーションをダウンロードする時のユーザーが体感する遅延をできるだけ小さくしたい。そのために、ユーザーの近くにある CloudFront のエッジロケーションにウェブアプリケーションをキャッシュさ

negima1976 2023/07/26

リンク

AWS Notification Message のメール内容を Step Functions で変更する - vague memory

EventBridge -> SNS Topic -> Em ailとした場合に、メールの件名が全て "AWS Notification Message" になります。本文は Event の JSON です。これを、AWS Chatbot のように通知設定を一箇所にして、そこに投げればイベント毎の細かな整形は行わずともどのイベントも良い感じに整形して通知できる。と良いなと思いました。 (Eメールで受け取る是非は今回は置いておきます。) 方式検討 EventBridge -> Step Functions Definition メール件名部分メール本文部分受信結果応用例 Verify Formatting Choice detail-type Trusted Advisor Check It emRefresh Notification General Slice Raw SNSP

negima1976 2023/07/12

AWS

リンク

AWS VPCルーティングの基本から発展構成例 | 外道父の匠

久々に図を書きたくなったので、今回は AWS の VPC ネットワークの主にルーティングについて雑談気味に振り返っていきたいと思います。基本的なところから、少し発展させた構成はどう実現するのか、ってのを学習用教材風にお絵かきしていきます。はじめに最近、実現できると思ってた部分が１つ通らなくて、詰んだかと一瞬諦めかけたところで、10分間くらい思案したらズバッと解決できて気持ちよかったんですよ。我ながら物凄い泥々の技術を駆使して、発想通りにAWS仕様を回避したネットワークを構築してしまった。泥臭すぎてとてもブログに書けないけどっ…自分の中では満点かつスタイリッシュっ — 外道父 | Noko (@GedowFather) July 7, 2023 元々泥臭いエンジニアリングが得意だったとはいえ、こういう発想の展開力はクラウドだけ真面目にイジってても身につきづらいだろうな、と思い、そうい

negima1976 2023/07/11

リンク

ランサムウエアによる名古屋港のシステム障害についてまとめてみた - piyolog

2023年7月5日、名古屋港統一ターミナルシステム︵NUTS / Nagoya UnitedTerminal System︶でシステム障害が発生しており、システムを管理する名古屋港湾協会は障害原因がランサムウエアによるものと公表しました。ここでは関連する情報をまとめます。ランサムウエアによる国内初の物流影響事例かシステム障害が起きたのは名古屋港湾協会が管理する名古屋港統一ターミナルシステム(NUTS)。名古屋港の5つのターミナル︵飛鳥ふ頭北、NCB、飛鳥ふ頭南、TCB、鍋田ふ頭︶と集中管理ゲート、荷役機器、NACCS、NUTS-Webをネットワークでつなぎ、船からの積み下ろし、プランニング、コンテナ保管、搬出入、ヤード作業、保税管理を行うシステム。*1 NUTSは1999年に導入されこれまで大きな障害が起きたことがなく、また2022年8月からシステム移行が行われ2023年1月に新シス

negima1976 2023/07/06

リンク

Windowsの再起動時に直接BIOS画面に入る方法。DELキーやF2キーの連打とはおさらば | ニッチなPCゲーマーの環境構築Z

Windowsを落としてマザーボードのBIOS画面に入るとき、DELキーやF2キーなどを連打されているでしょうか。もちろん、それでも問題ないのですが、本記事ではWindowsの再起動時に直接BIOS画面に入る方法をご紹介いたします。デスクトップの任意の場所で右クリック → ﹃新規作成﹄ → ﹃ショートカットの作成﹄を選択し、﹃項目の場所を入力してください﹄に以下の文字列をコピーしてください。﹃Shutdown /r /fw /t 1﹄と入力入力したら﹃次へ﹄と進めて、任意のファイル名を入れたら﹃完了﹄を押して完成です。できたファイルを右クリックして﹃管理者として実行﹄をすると、再起動がかかり、その後、BIOS画面が開きます。これでもうWindows再起動時にはDELキーやF2キーなどの連打とはおさらばです。(PC環境によっては上手く機能せず、再起動がかからない場合もあることはご留意

negima1976 2023/06/29

windows
PC

リンク

AWS Dev Day 2023 Tokyo - ブレイクアウトセッション資料まとめ - サーバーワークスエンジニアブログ

2023/06/22(木), 23(金) の2日間、AWS Dev Day 2023 Tokyoが開催されています。 aws.amazon.com みなさん、参加されていますか？私も CfP (Call for Proposals) を提出していたんですが、残念ながら落選してしまいました。6倍近い倍率でした。去年と比べても非常に応募数が多く、大盛況ぶりがここからもわかりますね...！︵来年こそは登壇側で参加したいものです︶ github.com 自分は仕事の予定が被っていたこともあり一部だけ参加者として視聴してきました。リアルタイムでは拾いきれなかった・解釈しきれなかった情報も結構あったので、後から資料見つつ掘り下げたいなと思ってます。そういうモチベで自分自身が後からゆっくり見返したいなと思ったので、まとめとして一般公募なブレイクアウトセッションを、2023/06/22 20:00 頃