riiimparm

セキュリティと開発 | 開発チーム Rowicy |

[riiimparm @riiimparm]

いいとこまで行ったからこそ余計悔しいな🇯🇵🇧🇷

[Cloudflare @Cloudflare]

Today we're rolling out Temporary Accounts on Cloudflare Workers. Any agent can now run wrangler deploy — temporary and get a live Worker in seconds. https://t.co/o5GLomVUxb

[でえもん@川口将貴 @dmnlk]

GitHub Actionsのcheckoutがメジャーアップデート。
fork経由ではpull_request_targetとworkflow_run経由ではソースコードがチェックアウトされないようになった。
allow-unsafe-pr-checkout: trueした場合のみ可。昨今のセキュリティインシデントに対する対策の一つ
https://t.co/n59PNFq9Rc

[riiimparm @riiimparm]

^^

[CPPAlliance @CPPAlliance]

C++ just got a new operator

It looks like this: ^^

The committee calls it "the cat-ears operator." It's the gateway to the biggest language change since templates 🧵👇

[Rinrin / りんりん @rin2yh]

事業部のブログで一つ、書きました！

Webエンジニアが感じたNixの魅力 https://t.co/tTpbNT2vQe

[riiimparm @riiimparm]

わかるけど
この時代運用に耐えんよ...

優先度付けだけで言ったら①から④はいいけど、対応アクションをよっぽどでない限りCVE個別には取れない

[辻 伸弘 (nobuhiro tsuji) @ntsuji]

CISAが脆弱性対応の優先順位を実際のリスクで判断する方針を示す BOD 26-04を公開。

対応優先度評価は

・資産の露出状況
・KEV掲載
・攻撃自動化可能性
・技術的影響

を用い、最も厳しいものは3日以内の対応と侵害調査を要求。

内容をスライドに簡単にまとめました。

https://t.co/8lfhwnk1xY

[riiimparm @riiimparm]

state fullフルフルなサーバー運用をk8sでやろうとするところが面白い

https://t.co/e324hXQCA0

[nwiizo @nwiizo]

翔泳社様より『Secure APIs』の翻訳書である『セキュアAPI』が発売されます。翻訳者として参加しました。本書はAPI開発者のための実践的なセキュリティガイドです。認証・認可、JWT、ファジングなどの手法を紹介、脅威分析・セキュアな設計・テスト自動化の3つの視点からAPIを守る方法を解説します。

[russianblue @russianblue2009]

業務効率を考えるとリンク一切禁止は現実的ではないですし、認証を「パスキーログイン」に寄せる判断は最高峰の防衛策ですね。

パスワードを盗むタイプのフィッシングはこれで完全に無力化できます。

あとは「重要な通知ほどメールのリンクではなく、パスキーで保護された正規のマイページに直接ログインして確認する」という動線に社内ルールを一本化できれば、実務と安全性がきれいに両立しそうです。

[riiimparm @riiimparm]

これは騙される、メールリンク開封一切禁止もきびしいから、極力開かない程度しか対策ないか🤔
とりあえずMSの2段階認証突破はよくあるのでパスキーログイン一択かも

[russianblue @russianblue2009]

Microsoftが二段階認証やアカウント通知に使っている公式メールアドレスから、詐欺メールが送信されていることが確認されました。

仕組みはこうです。Microsoft の通知システムには、メールの件名や差出人表示をカスタマイズできる機能があります。詐欺師はその機能を使い、本物のMicrosoftサーバーから、本物のMicrosoftアドレスで、詐欺的な内容を送り込んでいます。

これが厄介なのは、フィッシング対策として広く教えられてきた「送信元アドレスを確認せよ」という方法が、この手口に対して機能しない点です。アドレスは本物だからです。

セキュリティ研究機関のSpamhausはこの問題を数カ月前に特定し、Microsoftに通知していました。「自動通知システムがこのレベルのカスタマイズを許可すべきではない」と明示的に批判しています。Microsoftは報道機関の問い合わせを受けたことは認めましたが、修正するかどうか、いつ対応するかについては現時点でコメントしていません。

今すぐできる対策は1つです。Microsoftから届いたメールに記載されているリンクは、どれだけ送信元が本物に見えても直接クリックせず、ブラウザのアドレスバーに https://t.co/Gjy5CF0gjj と手入力してアクセスしてください。

[勝又健太｜エンジニア系YouTuber｜雑食系エンジニア｜「Web系エンジニアになろう」著者 @poly_soft]

今度はGitHub本体がVSCode拡張経由で不正アクセスされたようですが、昨今のnpm周りのサプライチェーン攻撃の激化とかも考えると、もはやどこの会社さんも

・自社内の誰かのローカルマシンはいつかは侵害される

という前提で多層防御の構成を作っておくのが必須な時代になってきましたねー。

最優先でやった方がよいのは

・ローカル端末に永続的な認証情報を保持しない(一時トークンも窃取されてしまうが永続的な認証情報はさらに危ない)

・GitHub Actions等のCIツール上ではCDは実行せず、AWSのCodePipeline等をキックするだけにしておく。(CI上でIaaS側の強い権限を持った認証情報を取得しない)

・クラウドの本番環境にはローカル端末からはアクセスできないようにしておく。(AWSならAmazon Workspaces経由でしか本番環境にアクセスできないように設定するなど)

といったあたりかなと。

ちなみに「◯◯社のGitHubのソースコードが流出！」みたいなのはエンジニア的にはもはやインシデントとは考えない方がよいと思います。

サプライチェーン攻撃を完璧に回避するのは現実的には無理なので、その際にローカルに平文で転がっているソースコードが流出するのは当然なのでむしろ「その程度で済んで幸運だった」と考えるのが適切かなと。

なので「GitHubの認証情報やソースコードはいつかは流出するものだ」という前提で、被害を最小限に留めるための重層的な防御をしていかないとですね。

https://t.co/43ECTM1fV1

[riiimparm @riiimparm]

MythosによってFirefoxの脆弱性が271件明らかに

「AIは攻撃の組み合わせを高度に考えられない」という言説も崩壊して、バグハントは通常の高度テストに代替される
リリース前に塞げる穴が増え、攻撃と防御の非対称が埋まりつつあるなと

https://t.co/ykyhNu6Kgo

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

【利用登録不要＆無料】これまでPDF版として公開してきた「ランサムウェアマップ」を、世界中のランサムウェア攻撃グループの関係性が動的に分析可能なWebアプリ「CIG Ransomware Information Portal」として本日新たに公開しました。

公開時点で400以上のランサムウェア攻撃グループの情報を収録しています。

従来のPDF版は国内外の多くの皆様からご好評いただいてきましたが、更新頻度が年に1〜2回程度となっており、急速に変化するランサムウェアの脅威動向に対して即時性に課題がありました。

一年以上の開発期間を経てWebアプリへと生まれ変わり、動的に更新可能となったことで、新たな攻撃グループが確認され次第、リアルタイムに情報を追加・更新していきます。

【主な特長】

● インタラクティブな操作性：クリックや検索、自由な操作で攻撃グループの関係性や各種情報を直感的に把握可能

● 様々な分析レイアウト：従来の時系列表示に加え、母集団でのグルーピングや、個別分析など、目的に応じた整理・分析が可能

● リアルタイム更新：新たな攻撃グループの出現や既存グループの動向変化にあわせ随時反映予定

● ランサムノートのデータベースを新搭載：各攻撃グループの概要文と身代金メモ（ランサムノート）のデータベースを作成・統合。任意のキーワードで横断検索が可能

Webアプリ化により、静的なPDF版では難しかった動的な操作が可能となり、注目するグループを自由に配置しながら関係性を探索したり、目的に応じてレイアウトを切り替えて分析するなど、より実践的な活用ができるようになりました。

また、新たに搭載した身代金メモ（ランサムノート）のデータベースにより、インシデント対応時に被害環境で発見された身代金メモの特徴から、ランサムウェア攻撃グループを迅速に絞り込むといった用途にもご活用いただけます。

ランサムウェア界隈では、法執行機関による取り締まり強化の一方で、RaaSの普及やビルダー・ソースコードの流出、リブランドやメンバーの移動により、攻撃グループ間の関係性や変遷は非常に複雑化してきています。
こうした状況を俯瞰し、全体像を見渡すことは脅威を把握するうえで重要な観点の一つとなります。

本ポータルが、そうしたランサムウェアに関わる様々な脅威情報の把握において、少しでも皆様の一助となれば幸いです。

※なお、こうした無償での一般公開や運用の継続は皆様の応援によって支えられています。
ぜひリポストやご紹介などで広めていただけると大変励みになります。

※本Webアプリは膨大な情報量を扱うため、パソコン（フルHD以上推奨）での閲覧を前提として設計しています。スマートフォンでの閲覧は推奨しておりません。

▼ CIG Ransomware Information Portal
https://t.co/y8QH6E6SVB

[田中邦裕社長＠さくらインターネット @kunihirotanaka]

さくらインターネットは、本日正式に政府共通のクラウドサービスの利用環境である、「ガバメントクラウド」に正式認定されました。
これまで支えて下さった全ての方へ感謝すると共に、これからの信頼できるクラウドインフラの提供をお約束致します。 #ガバメントクラウド

https://t.co/UONkrTsfOA

[kokumօtօ @__kokumoto]

本当に意味のある手動診断とかペンテストって、こうならこう、の組み合わせだから、網羅性とはとても相性が悪いんですよね・・・で、ガイドラインとか観点リストを作ると、こうなら、の部分が欠落するから重要ではあるけど刺さるパターンは稀な診断項目が残ることになる・・・

[Koichi @x64koichi]

いまGithubで多数のリポジトリに対して展開されている不正なコードの挿入は、手口が非常に斬新です。一見、１行の短い難読化コードのように見えますが、実はs(``)の中に見えないUnicodeのデータが格納されてます。メモ帳に張り付けると18,250桁！この見えないデータをコードに変換して実行してます。しかも、そのコードの中でSolanaの特定アドレスへアクセスして追加コードも取得してます。EtherHiding！

[面白ツイート図鑑 @snsnokyoufu]

許可したくなるWebプッシュ通知を考えてみた

[riiimparm @riiimparm]

Node.js、今後は年に一度のリリースとなり、すべてのリリースがLTS版になると発表 － Publickey https://t.co/mRShXParJk

[emuty @emutyworks]

いい加減「開発分かっててAI使ってる人」と「全然わかってなくてAI使ってる人」の話分けませんか？

「AIでのコーディングは結果を確認しなくてもだいたい問題ない状態になるまでの発展が早すぎる」みたいなツイ見かけたんですが

この話には「利用者が開発を理解してて適切な指示をAIに出せた場合」って前提が付くはずなんだけど

「まったく開発を理解してない人」が使って「ほら動くものが出来た！」みたいな話とごっちゃになって語られるからだいぶ議論がおかしくなってると思う

確かに今でも「動作自体はするコードが生成される」んだと思うんだけどそれって「全然分かってない素人さんがやっても適切なコードが生成される」とはイコールじゃないと思うんでその辺履き違えないようにしないとだいぶおかしい話になる気がするんですけどね

いい加減「これで素人でもプログラミングできるんだから学習も不要だし高額なエンジニアなんて不要」みたいな頓珍漢な話を見るのにウンザリしてる

[生脚 @RENKA2027]

まる子勃たないんや！