セキュリティ家

セキュリティ大好き

[セキュリティ家 @offsec2501]

JSファイルの分析も同じかと

[情報通信研究機構 @NICT_Publicity]

【注意喚起】相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」
～AIで高度化する脆弱性探索、Androidアプリを手掛かりにしたA2B攻撃に注意～
詳細はCYNEX Libraryをご覧ください。
https://t.co/uz03seTKmR

#NICT #CYNEX #LETTICE #サイバーセキュリティ #A2B

[セキュリティ家 @offsec2501]

？？？：えっ 今年は全員GW休んでいいのか！！
？？？：ああしっかり休め。有給を消化してもいいぞ！

[マネーフォワード @moneyforward]

【重要】『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報）
https://t.co/yLbK3S6BVy

[セキュリティ家 @offsec2501]

Weworkは専用エリアの契約プランあるんだけど、日比谷は知らんが廊下との境界が透明パネルだったわ。
今回のインシデントにかかわらずセキュリティやる環境じゃない

[pome @pome_11]

あくまで推測の域を出ないので書くか迷ったんだけど、契約時点の住所が日比谷パークフロント19Fで、これはWeWork 日比谷パークフロントと一致する

[セキュリティ家 @offsec2501]

IPAとストーンビートの指名提示の件
別件のIPA入札仕様書に「本業務の作業従事者以外の者が立ち入ることができない対策を講じるなど」とあるから、案件用の執務室を確保していなかった可能性。在宅よりこっちかな

[セキュリティ家 @offsec2501]

お名前.comが勝手にネットde診断した上にメールでアクセス許可求めてくる。やはり来年は移管しよう

2)WAFなどのセキュリティツールで下記IPアドレスへの接続を許可するように設定してください
124.110.208.0/24
124.110.209.0/25

[Caido @CaidoIO]

Caido Labs are live 🚀

You now have hands-on labs to learn hacking using Caido's unique features.

🔗 Practice real attack scenarios with guided walkthroughs:
https://t.co/LO5Kwx0cud

What attacks or lab scenarios do you want to see next?
Drop your suggestions below👇

[セキュリティ家 @offsec2501]

またか
CVEアッピールで案件取れる顧客がいるんか🤔

[yousukezan @yousukezan]

金目的なのを隠さないのは素敵ですね
石井さん：やはりCVE報奨金制度ですかね。前職にも同様の制度はありましたが、イエラエの方が金額が高い
川根さん：そうですね。私もCVE報奨金制度はとても活用していて、やはり10件、20件と報告すると中々まとまった良い金額になる
https://t.co/kZIMwV24HV

[セキュリティ家 @offsec2501]

脆弱性診断やペネトレやってる人に多い。スコープや負荷の条件無視しやがる

[幻動鬼憑きけもの @Maelzel_opening]

悪い言い方だけど、オタクくんは「人格はアレだし指揮官の命令も聞かないから部隊で孤立してるけど戦技の能力は一番高い」みたいなの好きじゃん？

そういうの、いちばんいらない。マジでいらない。側溝で捕まえたアメリカザリガニでもコクピットに載せる方がマシ。

[セキュリティ家 @offsec2501]

ビジネス側で勝手にドメイン購入して、後から気づいた情シスが維持管理となると、総数で年額がヤバいことになるわけですよ。数千円の話じゃない。
今回のは考慮漏れやろな

[たちかわ @localhiji1]

ドメインを捨ててしまうとこうなる

[セキュリティ家 @offsec2501]

Office事件を知ってると蛮勇だなと思う（小並感

[荒木秀人｜ラナソフト代表 @araki_ranasoft]

ちょっとサイトをみてみたらエラいことに気づいてしまった。
大学ドメインのアドレスでないと登録出来ないユーザーでログインしないと再生ボタンは押せない仕様だが、音声ファイル本体は丸裸で置かれている、き��とアクセスできるよね？
ゴクリ・・・
これは別の意味で法的問題になるのでは・・・？

[セキュリティ家 @offsec2501]

イエラエの取得したCVEがHPに掲載されてるけどiOSはCVE-2022-34156の1件のみ。2019年なんて昔の話してもしょうがないよね＼(^o^)／

https://t.co/w1SNIWLiNE

[セキュリティ家 @offsec2501]

> 2024年に報告した新規の脆弱性の多くが企業から依頼を受けて調査した際に見つかった

イエラエのゼロデイ脆弱性のプレスリリースは信じていいんだよね😭

https://t.co/clXiSSEsdi

[yousukezan @yousukezan]

では

三村：iOSなどのアプリ診断の時はいろいろな脆弱性を使ってテスト���るんですが、それを公に報告してしまうと“カッコいい”けど、脆弱性が潰されちゃいますから、後でテストするときには使えな��なってしまうという。

ってどういう意味で言ってたのですか？

[spaceraccoon | Eugene Lim @spaceraccoonsec]

Things are happening soon… 👀 https://t.co/TDBsU2MeYv

[セキュリティ家 @offsec2501]

> 1週間の勉強で突破する勉強法についてご紹介します

自ら資格の価値を毀損するとか情報商材屋に乗っ取られたのかな。あと頭痛が痛いみたいな言い回ししてるぞ

[NRIセキュア 公式 @NRIST]

CISSPは、国際的に権威のあるセキュリティのプロフェッショナル資格であり、セキュリティ共通知識分野の8分野について、深い知識を有することを証明するものです。このCISSP試験を、公式ガイドブック及び公式問題集を用いて、1週間の勉強で突破する勉強法についてご紹介します

[セキュリティ家 @offsec2501]

業務独占資格じゃない限りどんな資格も刺身のつま程度、競合とのコンペで有利なるほど甘くない。
楽しんで力つける方が有益よ

[kokumօtօ @__kokumoto]

そもそも多くの資格は過程ではなく結果を評価するものだから、勉強時間の長さを誇られても困ると思う。「元々ある能力が身についていました」と「N 時間勉強してある能力を身につけました」を比べても、後者は組織次第でよく頑張ったで賞になることこそあれ、前者より優れているとはならないのでは。
と、暇潰しで腕試しにいきなり資格を受ける狂人としては思うのよね

[セキュリティ家 @offsec2501]

> NECはサイバー防衛拠点「サイバーインテリジェンス・アンド・オペレーションセンター」を公開した（8日、川崎市）

立派なセンターだけどオンサイトで監視してるんだろうか🤔

[日本経済新聞 電子版（日経電子版） @nikkei]

NECとKDDI､サイバー防衛でタッグ　国産技術で安保｢黒子｣に
https://t.co/fzwr3LDu0P

[セキュリティ家 @offsec2501]

ウイルス作成罪の要件満たしてないから罪に問うのは無理筋だろ。判例だけじゃなく刑法確認しようや

[Yo Ehara @yo_ehara]

生成AI対策で授業資料PDFに大学教員が隠れた指示を埋め込む行為、「利用者（学生）の許可なく利用者が使うAIを意図的に誤動作させるデータを配布した」と捉えると、授業資料にコンピュータウイルス仕込むのと何が違うという話になり、教員がウイルス作成罪に問われる可能性あると懸念してます。

[セキュリティ家 @offsec2501]

提案や報告の場にキラキラしてる人同席してたけど地蔵だったな
成果物は（自己検閲

[J4cx.0.L4nt32n🎃ジャック・オー・ランタン @J4cx0L]

今日イベントでもどなたかと話したけど、イベントに出てキラキラしてる人達と、実際の現場でセキュリティの対応(及びシステム対応も含む)をしてる人達は所属も目的も異なる場合が多いんじゃないかなぁと。要は外向けの活動も泥臭い業務も大事だし平等に評価される未来が嬉しいなと思いました。

[セキュリティ家 @offsec2501]

> 糊付けされた封筒に入ってる、紙に書かれたパスワード

糊付けありだと緊急用の管理者アカウントのパスワードかしら。

紙パスワードOKでも、払出し管理やモニタリング、その他物理セキュリティで安全性を担保している。とにかく面倒

[外資系うさぎのちょこさん（『ゆる転職』セミナー：まだまだ続くよ！）） @ChoConejito]

だって、今はどうか知らないけど、大抵のデータセンターの一番強いパスワードってセキュリティエリア何��にもくぐった先にある巨大な金庫に入ってる、番号が書かれて糊付けされた封筒に入ってる、紙に書かれたパスワードだったりするものね…

[セキュリティ家 @offsec2501]

地方のデータセンターに出張するときはタクシー必須だから、微々たるものだけどタクシー業界にはプラスなんじゃない

非公開のはずがXXX社のデータセンターで運ちゃんに通じるぞ

[嶋田大貴 @shimarin]

データセンターってセキュリティの関係上外部との接触を絞らないといけないから地方に誘致しても見た目で何の施設かよくわからん上に地元経済に何のプラスもなくてただただ感じ悪いだけの何かになるって聞きました。