InfoQ ホームページ セキュリティ に関するすべてのコンテンツ
-
Airbnb：ガードレールを使ってチーム全体に悪影響を与える変更を特定
Airbnbは、内部のExperiment Guardrailsシステムを展開して、さまざまなチーム間での変更による潜在的な悪影響を特定した。提案された変更がガードレールを通過しない場合は常に、影響を受けるチームと利害関係者によるさらなる分析のためにエスカレーションされる。このように、AirbnbのデータサイエンティストのTatiana Xifara氏は説明する。
-
HashiCorpがHCP Vaultのパブリックベータ版を発表
最近のブログ投稿で、HashiCorpはクラウドプラットフォーム（HCP）で提供されるHashiCorp Vaultのパブリックベータ版を発表した。Vaultを使用すると、顧客はマネージドクラウドサービスを活用して、シークレットの管理および暗号化機能を使うことができるようになる。
-
Sysdig: コンテナセキュリティのシフトレフトとDocker利用の減少
"Sysdig 2021 container security and usage report"で強調されているのは、コンテナセキュリティのシフトレフト(shift left)傾向だ。分析対象となったイメージの多くは、いまだ基本的なセキュリティプロビジョンが欠如している状況にある。
-
Vulntureによるセキュリティ脆弱性の検出
Airbnbの情報セキュリティチームが、Vulntureという同社の社内セキュリティ脆弱性報告ツールについて記事を書いた。CVE、NVD、およびその他のベンダデータベースを活用して、インフラストラクチャおよびソフトウェアスタックをスキャンし、脆弱性を検出するツールである。
-
Docker Hub公開イメージ400万の半数に重大な脆弱性が見つかる
サイバーセキュリティ企業のPrevasioが先日、Docker Hubにある400万近いイメージを分析した結果、51パーセント以上のイメージに悪用可能な脆弱性のあることが判明した。多くは暗号通貨のマイニングに関するもので、オープンなものと非公開のものが含まれる。また、6,432のイメージにはマルウェアが発見された。
-
Googleの2FAは2FAを必要とせずに無効にできる
攻撃者に侵害された開発者のマシンは、Safariの自動入力を使用して passwords.google.com にログインし、2FAを無効にして、通知なしにパスワードを抽出することができた。InfoQは、TwitterでAmos氏 (@fasterthanlime) に、彼の経験と、同じ状況に陥る可能性のある他の人へのアドバイスについて話した。何が起こったのか、そして資産を保護するために何をすべきかを知るために読んでください。
-
Microsoft、新たなデータガバナンスサービスAzure Purviewを公開プレビューでローンチ
Microsoftは先頃、同社クラウドプラットフォーム上の公開プレビューとして、Azure Purviewという名称の新たなデータガバナンスソリューションを発表した。この新サービスは、コンプライアンスリスクを最小化しながらデータの検出とカタログ化を自動化すると同時に、すべてのデータを所在場所に関係なくマッピングすることにより、データ資産のエンドツーエンドのビューを提供する。
-
Lets Encryptの5年間
5年前、非営利団体は、TLS証明書の自動プロビジョニングを通じて、デフォルトでWebサイトの安全性を高めることを目的として、公開認証局を設立した。 5年後、Lets Encryptは独自のトップレベルルートCAを組み立てている。これは来年デフォルトで提供される。しかし、一部の古いAndroidバージョンでは使用できない。
-
12のシスコの脆弱性
セキュリティ研究者は、Cisco Security Managerを悪用する12の脆弱性を特定した。この欠陥には、逆シリアル化、リモートコード実行、および任意のファイルアクセスがある。
-
AWSがGateway Load Balancerを発表
AWS Gateway Load Balancerは、新しいフルマネージドネットワークゲートウェイおよびロードバランサである。このサービスは、ファイアウォール、侵入検知、防止システム、ディープパケットインスペクションシステムなどのサードパーティの仮想アプライアンスをクラウドに展開、拡張、管理するように調整されている。
-
SAD DNSの仕組み
SAD DNSは、DNSキャッシュポイズニングの新たな変種である。攻撃者が悪意を持ったDNSレコードをDNSキャッシュに挿入することで、任意のトラフィックを自身のサーバにリダイレクトし、中間介在者(man-in-the-middle、MITM)になることができる。
-
HashiCorp Vaultがトークン化機能とオートジョイン機能を追加
HashiCorpはVault1.6をリリースし、シークレット・ID管理プラットフォームに新機能を追加した。クラウドオートジョインにより、新しいVaultノードをクラスターに自動的に接続できる。トランスフォームシークレットエンジンでは、Vaultの外部に保存されているデータをより安全にするためにトークン化をサポートするようになった。他には、キー管理サービスとの統合と、シール移行のサポートが追加されている。
-
リモートでの脅威モデリングの促進
ThoughtWorkのJim Gumbley氏は先頃、リモートとオンサイトセッションを促進するテンプレートを使用して、Martinfowler.comで脅威モデリングのガイドを公開した。彼は、ビジネスの利害関係者とともに、各反復内での継続的な脅威モデリングを主張している。Derek Handova氏は、自動化によるセキュリティからの摩擦の除去と、SDLCにおけるセキュリティの焦点の強化についても書いている。
-
プライバシーを保護するコンタクト追跡ソリューションを可能にする Secure Multiparty Computatio
現在のCOVID-19パンデミックは、さまざまな暗号化アプローチに基づいて、コンタクト追跡アプリを実装するためのいくつかの取り組みを促進している。InfoQは、暗号とセキュリティのHashiCorpプリンシパルプロダクトマネージャであるAndy Manoske氏と話をし、Secure Multiparty Computationと、さまざまなソースからの個人データのプライバシー保護分析を可能にする方法について学んだ。
-
ハードウェア攻撃によりnRF52デバッガーが露呈
ハードウェアバイパスにより、攻撃者は、多くの消費者向けおよび医療機器で使用されているnRF52無線チップセットで完全なデバッグ機能を復元できる。フォールトインジェクションは、ソフトウェアではパッチを適用できないシリコンを攻撃する方法でデバッグを再度有効にする。