「CISO-PRACTSIEワークショップ用マテリアル」について 本資料は、2023年１月に出版した「CISOのための情報セキュリティ戦略」*1で掲載した、机上演習を行うためのマテリアル（フォーマットなどのドキュメント群）の見直しを行い、ワークショップ進行用の資料を追加したもので、以下に記載するクリエイティブ・コモンズ（表示-非営利-継承）*2の元で公開いたします。 「営利目的の利用」「転載・引用」「資料内容に関するお問い合わせ」については「報告書の転載・引用連絡（JNSA）」（リンクはこちら＞＞）からご連絡下さい。「営利目的の利用」でのお問合せの場合は、「８．引用部分 」の自由記入欄にご要望をご記入ください。 ドキュメントの内容は、「01 ワークショップ進行用資料」に記載されています。2ページ目の「資料 ドキュメント名」と照らして参照下さい。 ご自身の企業にあった内容に修正して活用いただ
１．はじめに ２．インプットで参照している情報源（海外） ３．インプットで参照している情報源（国内） ４．調査によく使っている便利ツール ５．アウトプットも忘れてはいけない 偉大な先人達へ敬意を表して・・・ 新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2025年版）」を今年も公開します。 １．はじめに サイバー攻撃は国境を越えて発生しています。ランサムウェアやフィッシング、DDoS攻撃などの手法を用いる脅威アクターの多くは、日本ではなく海外に拠点を置いています。このため、日本の警察が国内拠点や協力者を摘発するケースは一部あるものの、脅威アクターの首謀者（コアメンバー）を、特に日本で逮捕まで至る事は極めて少ないのが現状です。 このため世界の脅威動向を、可能な限り正確に把握することは、日本組織にとってますます重要になってきています。 しかし、その役割を担うべ
サイバーセキュリティの「有事」に何が必要なのか ～Locked Shields2024演習参加からの考察～ - JPCERT/CC Eyes | JPCERTコーディネーションセンター公式ブログ 2024年4月23日～26日、NATO CCDCOE主催の国際サイバー演習「Locked Shields 2024」が開催され、JPCERT/CCから筆者を含む5名が参加しました。今回はこうした演習に官民双方が参加することの意義について考えます。 演習の概要等はこれまでにもさまざまな参加者／組織の方の記事が出ていますので、そちらをご覧いただければと思います。 サイバーセキュリティの「有事」に何が必要なのか ～Locked Shields2024演習参加からの考察～ - JPCERT/CC Eyes | JPCERTコーディネーションセンター公式ブログ このLocked Shields演習では情勢分
例えば、Content-Typeメタデータの値を細工したオブジェクトを取得させることでXSSを発生させたり、Content-Dispositionメタデータを細工してRFD (Reflected File Download) を引き起こしたり、 x-amz-storage-classメタデータを操作して意図せぬストレージクラスを使用させEDoS (Economical Deninal of Sustainability)を発生させたり、といった攻撃が成立する可能性があります。 中でもContent-Typeを悪用したXSSは、S3の仕様や使用方法だけでなく、ブラウザの挙動にも注意を払う必要があり、アプリ開発者は攻撃の原理と対処を理解しておく必要があります。 9/21にAzaraさんとSecurity-JAWSのコラボで、この問題にフォーカスしたCTFイベント「とある海豹とSecurity-
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 伝えたいこと Microsoft社が中心となって開発しているオープンソースソフトウェア MSTICpyについて書かれているQiitaの記事がほとんどなかったため、 まずはMSTICpyで何ができるかの機能紹介をし、クイックスタート概要(Quick Start Overview)のページで紹介されている機能について、トレース実行したトラシューポイントを共有できればと思います。 ※ msticpyの「バージョン 2.4.0」を対象にテストした結果ですのでご注意ください。 MSTICpy 101 MSTICPyとは、「Microsoft Th
想定読者 本書ではSBOMの導入・運用を主導する部門を主な対象読者として想定しています。また、SBOMを知らない組織をはじめ、導入に課題を抱えている組織、導入後に活用できていない組織など、幅広い組織層を対象としています。 本書の構成 第1章 背景と目的 第2章 SBOMの概要 第3章 SBOM導入・運用に関する基本指針 第4章 環境構築・体制整備フェーズにおける実施事項 第5章 SBOM作成・共有フェーズにおける実施事項 第6章 SBOM運用・管理フェーズにおける実施事項 第7章 まとめ Appendix ダウンロード SBOM導入・運用の手引き(PDF:3.0 MB) 更新履歴 2024年12月20日
この記事は、 NTT Communications Advent Calendar 2024 14日目の記事です。 脆弱性対応の分野で注目度が高まりつつあるSSVCの概要と、その運用方法について紹介します。 脆弱性対応の課題 公開される脆弱性の増加 実際に悪用される脆弱性は一部に過ぎない 脆弱性の悪用までが高速化 CVSSによる脆弱性のトリアージ SSVCとは SSVCを構成する要素 ステークホルダーのロールの特定 決定すべき優先度（Decision）の特定 Decisionが取りうる値（Outcome）の定義 Outcomeの算出に使う入力の決定（Decision Points） Outcomeの算出方法の決定（Policy） 要素のまとめ 既定のDecision Modelの活用 Deployer Decision Model SSVCの活用 組織に合わせたModelの選択 SSVC運
みなさん、こんにちは。m（@the_art_of_nerd）です。 今回は私がWebサーバーをフォレンジック調査を担当した際に発見した、任意の拡張子からPHPを実行する方法について紹介します。 背景 Webサーバーが攻撃者によって侵害されたという事案で、フォレンジック調査を実施した際に発見したテクニックです。（正規の仕様を悪用） Webサーバーの侵害のため、WebShellの設置を疑い、まず拡張子ベースで不審なファイル（改ざん・作成）が存在しないか調査していたところ、いくつか不審なファイルは発見されましたが、どうしてもWebShellのような機能を有するファイルだけ見つかりませんでした。 そこで、拡張子で見ていく調査から各ディレクトリごとに気になるファイルが存在しないかの調査に切り替えたところ、1つだけ明らかにWebサーバーのコンテンツとして違和感のある"ファイル名"が付けられたCSSファ
Cyber-sec+のコミュニティリーダをやっている12banです。 昨日はこちらのイベントに参加しました。 参加の目的 セキュリティの世界に入って数年。ハードニングの存在は知っていましたが、敷居の高さからハードニングに参加したことはありませんでした。 そんな中で友人（同じくCyber-sec+運営であるhayapiさん）が主催するイベントということ、そしてハードニングへの興味から参加しました。 得られたもの 役割分担、コミュニケーションや戦略の大切さ すぐに手が動くレベルでのシステム構成の理解の大切さ SOC（ログの監視、分析）の大切さ 実際の現場ではセキュリティ担当者はインシデントコマンダー（インシデントを解決に導く指揮官）か、SOC（ログの監視、分析）のどちらかの役割になることが多いのではないかと思います。その意味では2は実際には開発（アプリ、インフラ）にお任せして、その関係性づくり
脅威モデリングオープンコミュニティさんが、12/7(土)から「脅威モデリングコネクト東京 / Threat Modeling Connect Tokyo Chapter (略称:TMC Tokyo)」となり、グローバルコミュニティとして活動するということで、そのローンチイベントに遊びに勉強しに行きましたよ(´・ω・｀) 脅威モデリングコネクト東京とは何か 脅威モデリングオープンコミュニティとして脅威モデリングに関する知見を共有するコミュニティが今年何度か勉強会を開催していて不詳私めも何度か参加させていただいていたのですが、この度正式に12/7(土)にグローバルな脅威モデリングのコミュニティThreat Modeling ConnectのTokyo Chapterとなってグローバルコミュニティとして活動することになりました。アジアではまだやっているところがまだないとのことで、アジアでは東京が
近年、アジャイル開発手法の採用が急速に増加しています。その背景には、エンドユーザの要求が不確実で多様化していること、そしてその変化に迅速に対応する必要性が高まっていることが挙げられます。このような状況下で、開発スピードを維持しつつもセキュリティを確保するための手法として、DevSecOpsが注目されています。 DevSecOpsは、開発（Development）、運用（Operations）、そしてセキュリティ（Security）を統合したアプローチであり、セキュリティをソフトウェア開発ライフサイクルの全体にわたって組み込むことを目指しています。これを実現するためには、開発の各フェーズでセキュリティ対策を講じるだけでなく、全体を見渡し、統合的にセキュリティを管理することが不可欠です。 本ブログでは、DevSecOpsのサイクルにおいて抑えるべきポイントについて解説し、同時に、”Sec”をリ
キーワードで探す カテゴリで探す 業界トレンド／展望 技術トレンド／展望 事例 サービスで探す コンサルティング CRM（Salesforce） ERP（SAP/Biz∫） 顧客接点・決済 カーボンニュートラル SCM・ロジスティクス 電子申請 データ＆インテリジェンス 生成AI アプリケーション開発・管理 データスペース ブロックチェーン 量子コンピュータ・イジングマシン デジタルツイン IoT ロボティクス・RPA クラウド ネットワーク データセンター サイバーセキュリティ アウトソーシング 業種で探す 金融 官公庁・自治体 医療・ヘルスケア 防災・レジリエンス 食品 流通・小売 モビリティ 製薬・ライフサイエンス 食農・農業 製造 通信・放送 電力・ガス・水道 建設・不動産 個人のお客様向け 教育 トピックで探す Foresight Day サステナビリティ キーワードで探す カテ
ISOG-J（日本セキュリティオペレーション事業者協議会）より、当社セキュリティ＆テクノロジーコンサルティング事業本部の河島 君知、藤原 稔也が作成協力している「セキュリティ対応組織の教科書 第3.2版」が公開されました。 「セキュリティ対応組織の教科書」は、日本のセキュリティオペレーション事業従事者たちがまとめた組織構築・運用ノウハウと国際勧告ITU-T X.1060を統合し、グローバルにも適用できるセキュリティ体制構築・運用・評価のフレームワークを提供しています。 今回公開される第3.2版では、64のサービスの着手事例が新たに紹介されています。これらの事例は、実際の運用に基づいた具体的なアプローチを示しており、セキュリティ対応組織が参考にできる貴重な情報が提供されています。また、セキュリティ対応組織の教科書 第2.1版からセルフアセスメントシートが刷新され、より実践的で具体的な評価が可
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
