[B! security] vanbraamのブックマーク

vanbraam id:vanbraam

securityに関するvanbraamのブックマーク (433)

『米CISAが“強く”推奨する「ネットワークセキュリティのベストプラクティス」を発表』へのコメント
<blockquote class="hatena-bookmark-comment"><a class="comment-info" href="https://b.hatena.ne.jp/entry/4756501279160409632/comment/cyph" data-user-id="cyph" data-entry-url="https://b.hatena.ne.jp/entry/s/atmarkit.itmedia.co.jp/ait/articles/2407/19/news065.html" data-original-href="https://atmarkit.itmedia.co.jp/ait/articles/2407/19/news065.html" data-entry-favicon="https://cdn-ak2.favicon.st-haten
vanbraam 2024/07/20
元記事,会員限定で公開部分には当該 "ネットワークセキュリティのベストプラクティス" へのリンクもないという酷い記事なので,そちらではなくこちらをブクマ

security

ICT

国際

メタブクマ案件
リンク
世界規模でWindowsデバイスが次々とブルースクリーン（BSoD）に！大規模障害発生中【17:10追記】／「CrowdStrike Falcon Sensor」に含まれるドライバーが原因か
vanbraam 2024/07/20
この規模の障害でも(ソフトウェアだと)免責なのかな. 賠償責任負わせたらたぶんCrowdStrike社余裕で吹っ飛ぶくらいの金額になると思うんだけど

security

ICT

software

犯罪・事件・トラブル
リンク
サイバーセキュリティの近未来｜NSA 2023 Cybersecurity Year in Reviewから読み解く今後の動向
2023年12月19日、NSA︵National Security Agency‥アメリカ国家安全保障局︶が﹁NSA 2023 Cybersecurity Year in Review[i]﹂を公開しました。この資料では、NSAの2023年のサイバーセキュリティに関連する取り組みや成果を紹介しています。 NSA自身の1年の成果報告書のような位置づけの資料ですが、この内容を読み取ることで、世界でも最先端のサイバーセキュリティ技術を有するアメリカが、現在どこで戦っていて、どのような未来に注目しているのかなどの貴重な情報が得られます。本ブログでは、このレポートの内容から気になるポイントをいくつかピックアップしてご紹介しつつ、個人的な感想も交えながら、そこから読み取れるサイバーセキュリティ業界の動向について解説します。
vanbraam 2024/03/09
とても良い話だった

security

素晴らしいシゴト
リンク
Javaで書いた4行のコード、依存関係をたどると51万行に――超複雑化するソフトウェア構成、SBOMで探るには
＠IT編集部は2022年8月22日、デジタルイベント「＠IT ソフトウェア品質向上セミナー」を開催した。基調講演では、「SBOMによるサプライチェーン攻撃対策～自社ソフトウェアのリスク、把握していますか？～」と題して、JFrog Japanの横田紋奈氏（デベロッパーアドボケイト兼Java女子部・JJUG運営）が、企業におけるオープンソースソフトウェア（OSS）の使用に潜むリスクにはどのようなものがあり、それにどう対処していけばよいかについて解説した。ソフトウェアのセキュリティで注目されるソフトウェアサプライチェーン攻撃 SBOMとソフトウェアサプライチェーンの話題の前に、横田氏はDevSecOpsとは何かから話を始めた。DevOpsは、開発者と運用者が協力してサービスを改善していくもの。ユーザーからのフィードバックなどを受けて取り組みを繰り返し、改善を継続する。そのための考え方であり、組
vanbraam 2022/09/28
software

security
リンク
日本の実情が反映された新国際標準「X.1060」とは何か　編纂者がセキュリティの変遷から紐解く
そもそも﹁X.1060﹂と﹁ITU-T﹂とは何か 2021年6月末、ITU-T︵国際電気通信連合の電気通信部門︶にて、国際勧告X.1060が承認されました。タイトルは、﹃Framework for the creation and operation of a cyber defence centre﹄であり、日本語訳するならば﹁サイバーディフェンスセンターを構築・運用するためのフレームワーク﹂といったところでしょうか。﹁サイバーディフェンスセンター﹂と言われてしまうと何か身構えてしまいます。そこで本連載では、日本でどのように解釈すればよいのかを紐解き、より良いセキュリティ対策を実現するための組織作りに役立ててもらえればと思います。まずは、ITU-Tがどのような組織か紹介します。ITU-Tは国際連合の専門機関の1つで、国際電気通信連合の﹁ITU︵International Telec
vanbraam 2021/12/14
結局,反映された"日本の実情"が具体的に何なのかは書かれていなかった.次回以降内容に触れるらしいがそこで明らかになるのだろうか

羊頭狗肉

イマイチ

security

国際

日本
リンク
「権限要求多すぎ」──セブン-イレブンのTwitterキャンペーンに批判相次ぐ→中止に　なぜこうなったかは「確認中」
セブン-イレブン・ジャパンが7月11日に始めたTwitterキャンペーンが波紋を呼んでいる。社名にちなんだ「セブン-イレブンの日」として無料クーポンをプレゼントする企画だったが、応募のためには個人のTwitterアカウントと外部アプリを連携させる必要があった。その際に要求される権限が不適切ではないかという声が上がり、同社は12日午後11時にキャンペーンの新規応募を中止した。要求の中には「他のアカウントをフォロー、フォロー解除する」「他のアカウントをミュート、ブロック、報告する」「このアカウントでダイレクトメッセージを送信、確認、管理、削除する」など、アカウント情報を閲覧する以上の権限が含まれていた。この要求を許可すると、セブン-イレブンが管理するサードパーティーアプリからツイートやフォロー、いいね、RT、プロフィール変更などの操作が可能となってしまう。これに対し、立命館大学の上原哲太郎
vanbraam 2021/07/14
(想像) 請負: 権限要求どうしますか？ 711: わかんないから全部でいいよ全部で請負: え？全部ですか？全部は必要ないのでやり過ぎでは？ 711: 全部でいいったらいいんだよ請負: (マジかよ知ーらないっと) わかりました

security

privacy

SNS
リンク
中古のAmazon Echoを調べたら、そもそもみんな個人情報を消してなかったし、リセットしても個人情報を復元できてしまった
中古のAmazon Echoを調べたら、そもそもみんな個人情報を消してなかったし、リセットしても個人情報を復元できてしまった2021.07.08 21:0069,067 Lucas Ropek - Gizmodo US ［原文］（ mayumine ）中古品を売る、譲渡する時には改めて気をつけましょう。 Amazon Echo等のIoTデバイスは、一般家庭にも普及し、新しいデバイスもどんどん登場するので、使わなくなった中古デバイスをメルカリ等でリセールするのは当たり前になってきました。アマゾンは製品の利用後、個人情報の消去のためにデバイスを工場出荷時状態までリセットしてから、他者への販売や譲渡することを推奨しています。しかしデバイスを単純にリセットしただけでは、そのデータがこの世界から抹消されるわけではありません。その端末を再販することで、その古い個人情報が蘇ってしまう可能性も仮説上
vanbraam 2021/07/12
"Wi-Fi認証情報や、（以前の）所有者の物理的な位置情報、サイバー物理デバイス（例：カメラやドアのスマートロック）などの機密情報"<これが漏洩してて"現実的な解決法"とか笑うしかない

これはひどい

security

IoT

Amazon
リンク
声を出さずに「助けて」と伝える世界共通サイン、憶えておくといつか助けられたり誰かを助けることができるかもしれない
リンク Wikipedia Signal for Help The Signal for Help (or the Violence at Home Signal for Help) is a single-handed gesture that can be used by an individual to alert others that they feel threatened and need help over a video call, or in-person. Itwas originally created as a tool to comb 1073 ゆずみかん🇫🇷パリでフリーランサー @yuzumikan4791 世界中で使える”助けて“のハンドサイン。HelpのHと、MeのMの形。家庭内暴力など、声をあげて助けを呼べない場面で使うことが可能です。国際女性
vanbraam 2021/03/13
社会

security

communication
リンク
ブラウザの追跡ブロック機能を回避する「CNAMEクローキング」を行うサービス・企業のリストが公開中
プライバシーへの懸念からウェブサイトや広告配信においてCookieの利用が制限されていく中で、Cookieを使わずにユーザーを追跡する手法を利用したケースが増加しています。このような手法の1つであり、検出・ブロックが難しいとされる「CNAMEクローキング」を行う企業・サービスのリストを、広告ブロッカーを開発するAdGuardが発表しました。 AdGuard names 6,000+ web trackers that use CNAME chicanery: Feel free to feed them into your browser's filter • The Register https://www.theregister.com/2021/03/04/adguard_cname_tracker/ Ad-Blocker Company Releases List of 6K Tr
vanbraam 2021/03/07
privacy

security

犯罪・事件・トラブル

悪

広告
リンク
ブロックチェーンを用いたマイクロソフトの「分散型ID」が、実装に向け動き始めた
vanbraam 2021/03/07
identity

security

privacy
リンク
Googleに騙されてはいけない：FLoCは邪悪なアイデアである | p2ptk[.]org
Electronic Frontier Foundation サードパーティクッキーは死につつある。そしてGoogleはその代替手段を作ろうとしている。ご承知の通り、クッキーの死を嘆く必要など微塵もない。サードパーティクッキーは20年以上に渡り、ウェブ上の不気味で胡散臭い、数十億ドル規模の広告監視産業の要であった。だが、その基盤に暗雲が立ち込めるようになったことで、最大手のプレイヤーはなんとか窮地を脱しようとしている。 Googleは、サードパーティクッキーを新たなターゲティング広告テクノロジーにリプレイスするべく奔走している。その提案のいくつかは、Googleが従来の監視ビジネスモデルへの批判から正しい教訓を学んでいないことを露わにしている。本稿では、おそらく最も野心的で、最も有害な影響を及ぼしうる提案の1つであるFLoCに焦点を当てる。 FLoCは、サードパーティトラッカーが行ってい
vanbraam 2021/03/07
privacy

security

悪

Google

広告
リンク
Googleが導入予定の「FLoC」は最悪なものだと電子フロンティア財団が指摘
Googleは2022年までにCookieを使った広告配信を終了させ、新たな仕組みをGoogle Chromeに導入する予定です。その仕組みとして検討中のアイデアの1つに﹁FLoC﹂と呼ばれるものがありますが、電子フロンティア財団(EFF)はFLoCについて﹁最悪のアイデア﹂﹁実行しないで欲しい﹂と述べています。 Google’s FLoC Is a Terrible Idea | Electronic Frontier Foundation https://www.eff.org/deeplinks/2021/03/googles-floc-terrible-idea 2018年にEUの新データ保護規則﹁GDPR﹂が施行されて以降、SafariやFirefoxがサードパーティーCookieをブロックし、Googleも2020年に﹁2年以内にChromeでサードパーティーCookieのサポ
vanbraam 2021/03/07
犯罪・事件・トラブル

悪

Google

広告

security

privacy
リンク
TechCrunch
Hyde Park Venture Partners is known for having visibility into more than 90% of mid-continent startups and being early backers of companies like ShipBob, FourKites, G2, LogicGate and Dentologie. When Joanna Strober was around 47, she stopped sleeping. While losing sleep is a common symptom of perimenopause, she first had to go to multiple providers, including driving 45 minutes out of San Fra
vanbraam 2021/03/07
犯罪・事件・トラブル

security

privacy
リンク
Brian Tracy - copy-paste-shell
Don't Copy Paste Into A ShellWhen you see a shell command on the Internet, do not copy it into your terminal. Modern JavaScript Clipboard APIs allow a website to trivially overwrite what you put inside your clipboard, without the user's confirmation or permission. Here is an example of how easy it is to perform this attack. Imagine that the red text below is a shell command you want to use. Below
vanbraam 2020/11/01
仕事柄こういうもののコピペを使うことも多いので,気をつけないと……

security

Web

JavaScript
リンク
Zero Touch Productionとは何か
GoogleのSREとSecurityによるBuilding Secure Reliable Systemsという本の中で﹁Zero Touch Production (ZTP) ﹂という考え方が紹介されていた．これはインフラの権限管理やインフラの構築そのものの指針となる概念であり，自分がそうあるべきだとずっと思ってきた考え方でもある．これはどのような考え方なのか?をこれまでの歴史を踏まえて具体的なツールや事例とともにまとめておく． Zero Touch Production Building Secure Reliable SystemsにおいてZero Touch Production (ZTP) は以下のように定義されている． The SRE organization at Google is working to build upon the concept of least
vanbraam 2020/10/17
「sshしたら負け」という話は,ChefやAnsibleが流行った頃から言われ出していて(所謂Immutable Infrastructure, 以下II), Docker/k8sの時代にはそれが当然になった様に思う.ZTPはIIの言い換えとも感じるが,記事中にはIIへの言及がない

疑義あり

devops

security

reliability

service

container
リンク
日本のDX促進の突破口となれるか？ DevSecOpsを一括でカバーするGitLabの魅力
ソフトウェアの開発プロジェクトにおいて、ライフサイクルのすべての情報やタスクを管理するのに欠かせないリポジトリ管理。バージョン管理システムGitを使ったリポジトリサービスはいろいろ登場しているが、最近、注目を集めているのが﹁GitLab﹂である。今年3月に日本法人 GitLab合同会社を設立。なぜこのタイミングで日本に進出したのか。またGitLabとはどのようなソリューションなのか。そのコンセプトや活用するメリット、さらにはGitHubとの違いなどについて、カントリーマネージャー︵日本担当︶の村上督氏、シニア・ソリューション・アーキテクトの伊藤俊廷氏にお話を伺った。 GitLab 日本担当カントリーマネージャー村上督︵むらかみただし︶氏Citrix SystemsやAcronisなどの企業で経営幹部を務めるなど、テクノロジー分野に25年従事。複雑な販売情勢下におけるダイレクト販売や、
vanbraam 2020/08/01
PR記事だから仕方ないとは思うのだが,全般的に浅い; 特にGitLabがセキュリティにどう役立つかについて知りたかったのだが,ほぼ情報がなかった

version control

security

devops

内容がない
リンク
Google、VPNに代わる企業向け「BeyondCorp Remote Access」公開
米Googleは4月20日（現地時間）、新型コロナウイルス感染症対策で企業が従業員のリモートワーク化を進める中、リモートからイントラネット内のWebアプリに安全にアクセスするためのシステム「BeyondCorp Remote Access」のGoogle Cloudユーザーへの提供を開始したと発表した。 Google Cloudのコンテキストアウェアアクセスソリューションを使用すると、ほぼすべての組織で有効にできる。 BeyondCorp Remote Accessは、VPNを使わずに従業員が「信頼できないネットワーク」を通じて働けるようにするGoogle社内のイニシアチブとして約10年前に始まった、ゼロトラストアプローチに基づくクラウドソリューション。現在ほとんどのGoogle従業員が日常的に使っている。ユーザーのIDとコンテキスト（アクセスしようとしている端末のセキュリティステー
vanbraam 2020/04/21
Chrome OSの仕組みの応用っぽく見える(違うかもしれないが)

security

network

Google

仕事
リンク
Zoomのセキュリティとプライバシーへの影響
シュナイアーのブログより。 Zoomは、今日のCOVID-19の世界で選ばれるビデオ会議プラットフォームになってから、ここ数週間で使用が急増しています。(私の大学、ハーバード大学は、すべてのクラスでこれを使用しています。ボリス・ジョンソンは、Zoomで内閣の閣議を開催しました。) 同じ期間に、同社は、お粗末なプライバシーとお粗末なセキュリティの両方を抱えていることが明らかになりました。ここでの私の目標は、すべての問題をまとめ、解決策と回避策について話すことです。一般的に、Zoomの問題は、(1) 不適切なプライバシー慣行、(2) 不適切なセキュリティ慣行、(3) 不適切なユーザー設定という3つの大きなバケットに分類されます。最初にプライバシーです。Zoomは個人的な利益のためにユーザーをスパイします。誰もが注意を払い始めてから、これは幾分か整理したようですが、それでもまだあります。同
vanbraam 2020/04/06
これ許可とって翻訳してるのかな? 翻訳の質もあまり良くないし(機械翻訳臭がある),原文読んだ方が良さそう

疑義あり

security

privacy
リンク
Security and Privacy Implications of Zoom - Schneier on Security
Security and Privacy Implications of Zoom Over the past few weeks, Zoom’s use has exploded since it became the video conferencing platform of choice in today’s COVID-19 world. (My own university, Harvard, uses it for all of its classes. Boris Johnson had a cabinet meeting over Zoom.) Over that same period, the company has been exposed for having both lousy privacy and lousy security. My goal here
vanbraam 2020/04/06
security

privacy

悪

企業・組織

service
リンク
パスワードで攻撃は防げない - Your Pa$$word doesn't matter
こんにちは、Azure Identityサポートチームの鈴木です。本記事は Your Pa$$word doesn’t matter を意訳したものになります。ご不明点等ございましたらご連絡ください。セキュリティに関して組織の方針を決定できる方との会話の中で﹁これまでに漏洩したことがあるパスワードは絶対に再度使用するな﹂﹁長いパスワードを使用したほうがいい﹂﹁パスワードよりも長いパスフレーズを使えばいい﹂などなどの話題がでます。実はこれらは、これまでの研究結果と異なっており、マイクロソフトが毎日何億ものパスワードベースの攻撃を防いでいる状況から見ますと正しくありません。多要素認証 (MFA) や脅威の検出の仕組みなど本当に価値のあるものにではなく、パスワード規則に着目しても、気晴らし程度の効果しかありません。ここでは、パスワードの構成や長さに関しては︵ほとんど︶意味がないというこ
vanbraam 2020/04/06
"パスワードの構成や長さに関しては（ほとんど）意味がない"<これが後半で証明されてない.最初の4つの攻撃は効果的だが特殊な方法だし,残り2つに対しては構成や長さが重要

疑義あり

authentication

security
リンク
1 2 3 4 5 6 7 8 9 10 次のページ