IPA（独立行政法人情報処理推進機構、理事長：富田 達夫）は、正しい脆弱性情報の発見・報告方法の理解と倫理観の向上のため、全8編の短編動画「脆弱性発見・報告のみちしるべ～発見者に知っておいて欲しいこと～」を公開しました。 URL: https://www.youtube.com/playlist?list=PLi57U_f9scIJGRvDPcEuh_oQtHKUCMGv- IPAはこれまで、脆弱性関連情報の届出の受付機関(*1)として、その適切な流通と対策の促進を目的に業務を担ってきました。しかし当初は“脆弱性”という言葉はほとんど知られておらず、ごく一部の専門家以外に、脆弱性の問題と対策の重要性は認識されていませんでした。 その後、2013年以降には、複数の国内組織や政府機関のウェブサイトで、使用されていたCMS(*2)の脆弱性が悪用され、改ざんの被害が発生したことがありました。このよ
■ bash の危険な算術式 _ 使ってる人がいちばん多いだろうからタイトルでは bash としてるけど、ここで取り上げることは zsh および ksh 一族(本家 ksh、pdksh、mksh)にも該当する。ash、dash などでは該当しない。 _ 以下のシェルスクリプトには脆弱性がある。わかるだろうか。 #!/bin/bash # "品目,単価,個数" の形式の CSV を読んで、"品目,合計金額" の形式で出力する csv="foo.csv" while IFS=, read item price num; do echo "$item,$((price*num))" done < "$csv" これ、細工された CSV ファイルを食わせることで、任意コードの実行ができてしまう。数ある脆弱性の中でもとくにヤバいやつだ。どこが穴なのかというと、タイトルにもあるとおり算術式なのだが、し
制御システムを保有する事業者にとって、国内外で発生したサイバーインシデント事例の情報をもとに、自社の制御システムに対して同様の脅威が発生した場合のリスクアセスメント（リスクの特定・分析・評価）を実施することは、セキュリティリスク管理の強化につながります。 IPA（情報処理推進機構）は、制御システムにおけるリスクアセスメントの具体的な手順を解説した「制御システムのセキュリティリスク分析ガイド」を公開しています。このガイドでは、制御システム保有事業者の事業に重大な被害を与えるサイバー攻撃からの回避に重点を置いた「事業被害ベースのリスク分析手法」を紹介しています。 同分析手法でも、攻撃シナリオの検討時に過去の攻撃事例を参考にすることを提示しており、これによって、自社の制御システムに対して類似の脅威が発生した場合の事業への影響、脅威の発生可能性、発生した脅威の受容可能性／脅威に対するセキュリティ対
IPA（独立行政法人情報処理推進機構）は、中小企業の情報セキュリティ対策に関する検討を行い、より具体的な対策を示す「中小企業の情報セキュリティ対策ガイドライン」を公開しました。 概要 「中小企業の情報セキュリティ対策ガイドライン」（以下「本ガイドライン」）は、情報セキュリティ対策に取り組む際の、(1)経営者が認識し実施すべき指針、（2）社内において対策を実践する際の手順や手法をまとめたものです。経営者編と実践編から構成されており、個人事業主、小規模事業者を含む中小企業（以下「中小企業等」）の利用を想定しています。 第3.1版は第3版（2019年3月）を公表して以降、新型コロナウイルス感染防止策によるテレワークの普及や、DX 推進の両輪としての情報セキュリティ対策といった社会動向の変化などを踏まえ、具体的な対応策を盛り込むための改訂を行いました。例えば実践編において、テレワークを安全に実施す
IPA（独立行政法人情報処理推進機構、理事長：富田 達夫）は、本日「制御システムのセキュリティリスク分析ガイド 第2版」を公開しました。本ガイドは主に2017年10月公開の第1版で示した、リスク分析作業の工数を削減するため、手法を見直したものです。 URL：https://www.ipa.go.jp/security/controlsystem/riskanalysis.html 標的型攻撃などのサイバー攻撃への対策はかねてより、組織内の情報システム（IT）を中心に行われてきました。さらに昨今では、海外での大規模停電や国内工場での操業停止が発生し、制御システムの保有事業者において、運用・制御技術（OT(*1)）への脅威と対策の必要性の認識が進んでいます。 第1版を2017年10月に発行した同ガイドは、自組織でリスクアセスメント(*2)を実施し、セキュリティ対策を向上するための実践的な分析手
本ページは、サイバーセキュリティ注意喚起サービス「icat」に掲載している重要なセキュリティ情報および、以下に記載のソフトウェア製品を対象とし、インターネット上で公開されている情報を元にして、主に製品情報とセキュリティに関する情報を掲載しています。 対象ソフトウェア製品： ・インターネット等からアクセス可能なウェブサーバ上で動作をしているサーバ用ソフトウェアのうち、日本で広く利用されているオープンソースソフトウェアを対象としています。 活用の対象者： ・ウェブサイト運営者 ・ウェブサイトを構築するシステム構築事業者（SIer） ・組織内のシステム管理者 活用例： 本ページは、掲載対象となっているソフトウェア製品に関して、製品開発者が公開しているソフトウェア製品に関する情報や、 セキュリティに関する情報を定期的に取集、および更新（週1回程度）をします。定期的に本ページを参照していただき、利用
IPA のことから話そう 私は友達と渋谷にあるクラフトビールが飲める店に行くことがあるのだけれど、そこで友達はいつも IPA （インディア・ペール・エール）を頼んでいる。IPA は美味しいのだろうか。私はそもそもビールを飲まない。 この記事で話したい IPA はビールとは関係がない。話したいのは過去の記事でも書いた「情報処理推進機構（Information-technology Promotion Agency）」通称 IPA のことである。IPA と書くと勝手にリンクが張られるが、このはてなのキーワードリンク先では下の方に出てくる説明の方である。 それで IPA がどうした ここからは、はてなのキーワードリンクがうざいので []IPA[] のように管理画面から文字を打って文章を書いていくことにする。この方法はヘルプに書いてある。 IPA には「脆弱性関連情報の届出受付」というものがある。
経済産業省は、独立行政法人情報処理推進機構（IPA）と協力し、サイバーセキュリティ経営ガイドラインのより一層の普及を図るべく、当該ガイドラインを改訂しました。 1．背景 経済産業省では、独立行政法人情報処理推進機構（IPA）と協力し、経営者がリーダーシップを取ってサイバーセキュリティ対策を推進するための指針となる、「サイバーセキュリティ経営ガイドライン」を平成27年12月に策定し、その普及を行ってまいりました。 昨今サイバー攻撃は更に巧妙化しており、防御が難しく、サイバー攻撃を受けていること自体に企業が自ら気づかないケースも増えるなど、事前対策だけでは対処が困難となってきています。特に、日本を含むアジア諸国は世界の平均よりもサイバー攻撃の発見に時間を要する傾向にあります。一方、米欧では、こうした状況を踏まえて対処方針の見直しが進められ、事後対策を国内企業に求めるなど、検知・対応・復旧といっ
IPA/ISEC（独立行政法人情報処理推進機構 セキュリティセンター）は、 政府や企業の経営者、セキュリティ担当者などが、自組織の情報セキュリティ対策を向上させることに役立つ資料として、世界的に評価の高い海外の情報セキュリティ関連文書等の翻訳・調査研究をNRIセキュアテクノロジーズ（株）と共同で行い、その成果を一般に公開しています。 米国国立標準技術研究所（NIST: National Institute of Standards and Technology）の発行するSP800シリーズ（SP: Special Publications）とFIPS（Federal Information Processing Standards）の中から、日本において参照するニーズが高いと想定される文書の翻訳・監修を行い、公開するとともに、NISTの文書体系や内容について、日本の実情に即した解説を行うよ
IPA（独立行政法人情報処理推進機構）は、2015年12月に経済産業省と共同で策定した「サイバーセキュリティ経営ガイドライン」 (*1) の普及と実践に向けて、ガイドラインの内容を補足し、実施方法を具体的に解説する「サイバーセキュリティ経営ガイドライン解説書」を公開しました。 近年、組織を狙うサイバー攻撃が増加し、組織の重要な情報の漏えいや不正利用により、経営や事業に対して大きなダメージを与える事故や事件が発生しています。 このような状況において、サイバーセキュリティの確保は、企業がITを利活用し、ビジネスを発展させていく上で、経営者が果たすべき責任のひとつであり、経営者自らがリーダーシップをとってサイバーセキュリティ対策を講じる必要があります。 このため2015年12月に経済産業省とIPAは、サイバーセキュリティ経営ガイドラインを公表しました。ただし、本ガイドラインは基本的な考え方を中心
本ページの情報は2019年4月時点のものです。 2015年5月、独立行政法人情報処理推進機構（以下、「IPA」という。）では、暗号技術評価プロジェクトCRYPTREC の活動を通じ、オンラインショッピング、インターネットバンキング、ネットトレードなどのサービスで使用するSSL (Secure Socket Layer) /TLS (Transport Layer Security) プロトコルの適正な利用促進を目的として、SSL/TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするため、SSL/TLS暗号設定ガイドライン （以下「設定ガイドライン」という。）を公開しました。 その後、一般に販売されているSSL/TLSを利用するアプライアンス製品（以下、SSL/TLSアプライアンス製品という）の設定方法等への要望が多数寄せられたため、SSL/TLSに関してどの
AppGoatは、2011年1月から公開されている、Webサイトにおける脆弱性の発見方法、およびその対策のための個人用学習を想定した演習形式の体験学習ツール。 今回公開された「AppGoat V3.0」では、2015年3月にIPAが公開した「安全なウェブサイトの作り方改訂第7版」に準拠し、学習対象の脆弱性をこれまでの9種から12種に増やすとともに、円滑な集合学習のための管理者（教育担当者）機能を新たに追加した。 学習のための機能としては、悪用の可能性が高い脆弱性を「基礎編」、それ以外を「応用編」としたほか、演習問題を難易度に応じて「Level 1」（脆弱性の発見手法の学習）から「Level 3」（脆弱性コードの発見・修正方法）に分類し、脆弱性の種類ごとに各5問の習熟度テストを追加している。 新たに追加した管理者機能では、ブラウザ経由でのAppGoatの利用を可能にする「集合学習モード」、管
IPA（独立行政法人情報処理推進機構）セキュリティセンターは、ウェブサイトへの情報セキュリティインシデントが後を絶たないことを受け、ウェブサイトの構築・運用に用いられるCMS（コンテンツマネジメントシステム）に着目し、その脅威と対策、および構築・運用のポイントを解説した“IPAテクニカルウォッチ”「CMSを用いたウェブサイトにおける情報セキュリティ対策のポイント」を9月28日（水）に公開しました。 下記より「CMSを用いたウェブサイトにおける情報セキュリティ対策のポイント」についてのレポートPDF版をダウンロードしてご利用いただけます。 1．CMSとは 2．CMSで構築されたウェブサイトを狙う攻撃と対策 3．CMSを使ったウェブサイト構築・運用のポイント 4. チェックリスト 【別冊付録】ウェブサイト構築・運用のポイント 1. ウェブサイトを構築する上での注意点 2. ウェブサイトの運用開
IPA（独立行政法人情報処理推進機構）セキュリティセンターは、2013年に公開した“IPAテクニカルウォッチ”「ウェブサイトにおける脆弱性検査手法の紹介」を更新し、「ウェブサイトにおける脆弱性検査手法（ウェブアプリケーション検査編）」として公開しました。 本書では、5種の無償ツールによる検出方法等の解説や、無償ツールの活用例を3点提案しています。 下記より「ウェブサイトにおける脆弱性検査手法（ウェブアプリケーション検査編）」についてのレポート（PDF版）をダウンロードしてご利用いただけます。 1.被害事例および脆弱性検査ツールの活用 2.ウェブアプリケーション脆弱性検査ツールの概要 3.脆弱性検査ツールのタイプの定義とツールの紹介 4.脆弱性検査ツールの使用例 5.評価・まとめ 6.おわりに 7.参考
1. © 2015 Kenji Urushima All rights reserved. いろんなSSL/TLS設定ガイド JNSA臨時スキルアップTF 実世界の暗号・認証技術に関する勉強会 於：NTTソフトウェア(品川) 日時：2015年6月22日(月) 19:00-19:30 漆嶌賢二 JNSA 電子署名WG(ゾンビ?)メンバ 2. © 2015 Kenji Urushima All rights reserved. 1 ・経歴 ・富士ゼロックス(2010～) ・エントラストジャパン(2005～2010) ・セコム(1988～2005) ・興味： PKI, TLS, 電子署名, SSO, 認証, 暗号, CSIRT, 脆弱性検査, フォレンジック, スマホ, プログラミング, ビットコイン ・別名 ・証明書ハンター ・(TLS)暗号スイートウォッチャー ・委員、標準
経済産業省は、独立行政法人情報処理推進機構とともに、「サイバーセキュリティ経営ガイドライン」を策定しました。これに基づき、経営者のリーダーシップの下でサイバーセキュリティ対策が推進されることを期待しています。 1．策定の背景 様々なビジネスの現場において、ＩＴの利活用は企業の収益性向上に不可欠なものとなっている一方で、企業が保有する顧客の個人情報や重要な技術情報等を狙うサイバー攻撃は増加傾向にあり、その手口は巧妙化しています。 そこで、企業戦略として、ＩＴに対する投資やセキュリティに対する投資等をどの程度行うかなど、経営者による判断が必要となっています。 ２．サイバーセキュリティ経営ガイドラインの概要 経済産業省では、独立行政法人情報処理推進機構（ＩＰＡ）とともに、大企業及び中小企業（小規模事業者除く）のうち、ＩＴに関するシステムやサービス等を供給する企業及び経営戦略上ＩＴの利活用が不可欠
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
