DevelopersIO 2022にて「OSSで始めるコンテナセキュリティ」というタイトルで登壇しました #devio2022 | DevelopersIO
コンサル部のとばち（@toda_kk）です。 2022/7/26〜28に開催された弊社主催のオンラインイベントDevelopersIO 2022にて、「OSSで始めるコンテナセキュリティ」をテーマに登壇しました。 動画 発表資料 セッション概要 「コンテナセキュリティってなんかいろいろあるけど、結局なにからやればいいの？」という方向けに、コンテナセキュリティの全体像や概要を解説しつつ、コンテナセキュリティに対応するためのOSSを紹介するセッションです。 ざっくりとした内容 OSSを用いることで気軽にコンテナセキュリティを実現してみよう、というテーマでお話ししました。 コンテナセキュリティに関する概要を、コンテナライフサイクルに沿ったリスクの評価と対応という形で整理した上で、関連するAWSサービスと機能を紹介しました。 また、コンテナセキュリティのOSSツールとして、Kubernetesセキ
米国防総省、ソフトウェア調達で「OSS」を第一優先とする指針を発表
DoDのCIO（最高情報責任者）、ジョン・B・シャーマン氏が署名したこの覚書は、DoD上層部に宛てたもので、DoDがオープンソースソフトウェア（OSS）コミュニティーにいつ、どこで、どのように参加、貢献、交流するのかを明確にすることを目的に、ソフトウェア開発とOSSに関するガイダンスを提供している。 DoDは「2018 Department of Defense Cyber Strategy」（2018年米国防総省サイバー戦略）により、可能なときはOSSの使用を増やし、（新規開発よりも）商用の既製ツールを使用する方針を打ち出している。また、近く発表する「Software Modernization Strategy」（ソフトウェアモダナイゼーション戦略）では、適切なスピードでレジリエント（復元力のある、強靭《きょうじん》な）ソフトウェア機能を提供することを中心に据えている。 「OSSは、ソ
2022年、Linuxとオープンソース開発者の最優先事項はセキュリティ
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 石橋啓一郎 2022-01-17 06:45 Linuxはあらゆるところで使われている。あらゆるクラウドで（Microsoft Azureも含めて）使われているだけでなく、「TOP500」のスーパーコンピューターも、そのすべてがLinuxで動いている。また、Pornhubの記事を信じるとすれば、デスクトップの分野でもLinuxが増えており、「Windows」ユーザーが3％減少している一方で、Linuxユーザーは28％増加したという。 また、オープンソースソフトウェア（OSS）も飛躍的に成長している。Gartnerが発表した2021年版「Hype Cycle for Open-Source Software」（オープンソースソフトウェアのハイプサイクル）では、「2025年までに、企業
Open source maintainer pulls the plug on npm packages colors and faker, now what? | Snyk
On January 8, 2022, the open source maintainer of the wildly popular npm package colors, published [email protected] and [email protected] in which they intentionally introduced an offending commit that adds an infinite loop to the source code. The infinite loop is triggered and executed immediately upon initialization of the package’s source code, and would result in a Denial of Service (DoS) to
colorsなどのnpmパッケージに悪意あるコードが含まれている問題について
追記: 2022年1月11日 2:29 JSTにDoS脆弱性としてセキュリティアドバイザーが出されて、悪意あるバージョン(1.4.1や1.4.2)はnpmからunpublishされ、npmの最新は安全なバージョンである1.4.0へと変更されました。 Infinite loop causing Denial of Service in colors · GHSA-5rqg-jm4f-cqx7 · GitHub Advisory Database 2022-01-08 に colors というnpmパッケージにDoS攻撃のコードが含まれたバージョンが1.4.44-liberty-2として公開されました。 GitHub: https://github.com/Marak/colors.js npm: https://www.npmjs.com/package/colors 問題についてのIssu
パッケージマネージャで配布されるマルウェア、対策と課題について - ぶるーたるごぶりん
はじめに 画像は記事に全く関係ないカニのフィギュアです👋 近年、善良なパッケージを騙ったマルウェアが配布されているケースが増えてきています。 これらのマルウェアはパッケージマネージャ上で配布され、開発者端末やそれをビルトインしたシステムを利用するユーザー端末で悪事を働きます。 これは俗にいうサプライチェーン型攻撃で、 これらの関連ニュースを目にする機会が増えてきていることを、多くの開発者が体感されていると思います。 ただ、これらのサプライチェーン型攻撃の記事は、 どうしてもエンドユーザー（パッケージを利用する開発者側・それらを組み込んだアプリを実行するユーザー側）の対策に焦点が当てられたものが殆どのように感じています。 そこで本記事では、このエンドユーザー側の対策だけではなく、 パッケージマネージャメンテナーたちがどう対策しているのかも含めて、 「パッケージマネージャ上で行われるマルウェ
sudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit) - SIOS SECURITY BLOG
OSSに関するセキュリティ・ツールの使い方・脆弱性等を紹介しています。 SELinux/Capability/AntiVirus/SCAP/SIEM/Threat Intelligence等。 OSS脆弱性ブログ01/27/2021にsudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit)が公開されています。どのローカルユーザでもパスワード認証を経ずに特権昇格が出来るため、一度ローカルユーザのターミナルを開くことが出来れば権限昇格できてしまうという強烈なものです。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 【01/27/2021 10:30更新】Amazon Linuxのリンク（ALSA-2021-1478)も加えました。また、詳細情報を追記しました。 【01/27/2021 14:30更新】O
OSSのTCP/IPスタックに33種類の脆弱性「Amnesia:33」を報告 Forescout
関連キーワード OSS | IoT（Internet of Things） | 脆弱性 セキュリティ企業のForescout Technologiesは2020年12月8日（現地時間）、オープンソースソフトウェア（OSS）のTCP/IPスタック（TCP/IPに関するプログラム群）4種類にリモートコード実行を含む複数の脆弱（ぜいじゃく）性があると発表した。新たに見つけた脆弱性は33種類で、同社はこの脆弱性群を「Amnesia:33」と名付けた。 併せて読みたいお薦め記事 脆弱性に関わる注目トピック NSAがVMware製品の脆弱性に注意喚起 「Workspace One Access」などに影響 マルウェア「TrickBot」にUEFI／BIOS脆弱性を検出する新モジュール 研究で明らかに IoT関連の注目トピック いまさら聞けない「LoRa」と「LoRaWAN」の違いは？ IoTの要素技術
Blog｜Webセキュリティはどこから手をつければよいのか？
脆弱性診断、動的アプリケーションセキュリティテスト（DAST / Dynamic Application Security Testing）多くの方が脆弱性を検出する方法として利用されているかと思います。 脆弱性診断では、Webアプリケーションに脅威となる擬似攻撃の実施、既知の脆弱性を行い、攻撃・悪用できる脆弱性、情報漏洩に繋がる恐れのある問題点（ロジック）を見つけることができます。 メリット 緊急度の高い脆弱性を洗い出せる （診断サービスなどを利用すれば）セキュリティの知見がなくてもテスト可能 網羅的 デメリット 診断自体に時間がかかる 問題箇所を特定しなければならず、修正が難しい場合がある アプリケーションが動いていなければならず、脆弱性の作り込みから修正までの時間が長い ソフトウェアコンポジション解析（SCA / Software Composition Analysis）近年OSS
知らなかった、時に困るWebサービスのセキュリティ対策 - builderscon tokyo 2018
Abstract Webサービスを運営していく上で考えなければいけないこととして、セキュリティ対策が挙げられるかと思います。 セッションオーナーの所属するGMOペパボは、事業として提供している10ほどのWebサービスを、ほぼ標準的なOSS（OSとしてLinux(CentOS/Ubuntu)、サービスの開発言語はPHP,Rubyをメインに、データストアはMySQLをメインに）を利用して構築しています。 そんなペパボですが、2018年1月にセキュリティインシデントが発生しました。社内でも事態を重く受け止め、再発を防ぐために組織体制も変更しセキュリティ対策を強化して来ました。 セキュリティ対策と一口で言っても、具体的な施策を講じるに当たっては、どのようなポリシーによって情報を守るかを決め、「技術的対策」と「管理的対策」によるリスクアセスメントを行い、リスクが高いものについて管理策を検討し対応を行
秘密主義のアップル、OSS利用を公表した狙い
秘密主義で有名な米アップル（Apple）が、知られざる社内ビッグデータ環境の一端を明らかにした。2018年6月4～6日（米国時間）に米サンフランシスコで開催された「Spark + AI Summit 2018」で、オープンソースソフトウエア（OSS）の分散データ処理ソフト「Apache Spark」の利用事例を公表したのだ。 アップルが社内におけるOSSの利用事例を公開するのは珍しい。5日の基調講演には情報セキュリティ部門に所属するドミニク・ブレジンスキー（Dominique Brezinski）氏が登壇して、セキュリティ監視や不正検出にSparkを活用していることを紹介した。6日の技術セッションでも、社内に構築するストレージ容量1エクサバイトを超えるSparkクラスターの詳細や、Spark用のリソーススケジューラーを自社開発した事情などを説明している。 アップルはSparkを使ううえで、
オープンソースの脆弱性スキャナ OpenVAS を使ってみる - CUBE SUGAR CONTAINER
今回はオープンソースの脆弱性スキャナである OpenVAS を使ってみることにする。 脆弱性スキャナというのは、ホストに既知の脆弱性が含まれないかどうかを自動でスキャンしてくれるツール。 注意: 脆弱性スキャンはポートスキャンやペネトレーションを含むため外部のサーバには実行しないこと 使った環境は次の通り。OS は Ubuntu 16.04 LTS にした。 $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 16.04.3 LTS Release: 16.04 Codename: xenial $ uname -r 4.4.0-89-generic セキュリティ用途だと Kali Linux を使うことも多いみたい。 インストール Ubuntu で OpenVA
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Audacity」のフォーク（分岐）プロジェクト、名称は「Tenacity」に【7月15日追記】／ユーザーのプライバシーを重視。新しいロゴも用意され動きが本格化