InfoQ ホームページ applicationSecurity に関するすべてのコンテンツ
-
セキュリティ専門家がSQLインジェクションで空港セキュリティの抜け穴を突く
「SQLインジェクションによる空港セキュリティのバイパス」という記事で、2人のセキュリティ研究者が最近、単純なSQLインジェクションによって実際に勤務実態がないパイロットおよび客室乗務員が空港保安検査をバイパスすることが可能になることを実証した。研究者によると、この脆弱性によって架空のユーザーを作成し、保安検査を回避し、民間旅客機のコックピットにアクセスすることが可能になったという。
-
CloudflareのアプリケーションセキュリティレポートがDDoS攻撃とCVEエクスプロイトの急増を浮き彫りにする
Cloudflareは最近、2024年アプリケーションセキュリティレポートを発表し、多くの懸念に対処するための提言と洞察を提供した。同レポートの主な発見は、地政学的なイベントや投票シーズンによる悪意のあるトラフィックの増加である。
-
RADIUSプロトコルの脆弱性により、ネットワーク機器の認証が暴露される
セキュリティ研究者のチームが、広く使われているRADIUS（Remote Authentication Dial-In User Service）プロトコル に重大な脆弱性を発見した。この脆弱性は、攻撃者がネットワーク機器に不正アクセスできる可能性がある。Cloudflareのスタッフは、この発見をブログ投稿で詳述し、長年使用されてきたネットワークプロトコルのセキュリティを維持するための継続的な課題を強調した。
-
AWSにおける攻撃対象領域としての非本番エンドポイント
Datadogのセキュリティチームは最近、AWSのセキュリティ問題を公開した。この問題では、本番環境ではないエンドポイントが攻撃対象として利用され、権限の列挙が無言で実行されていた。AWSはその後、これらの特定のバイパスを修正した。
-
Amazon Verified PermissionsとAmazon CognitoによるAPIアクセス
AWSは先日、Amazon API GatewayのリクエストがAmazon Verified Permissionsで認証可能になったことを発表した。この機能によって、Amazon Cognitoが発行したトークンを含むHTTPリクエストを使用し、APIリソースに対して認可の判断ができる。
-
OpenSSF、オープンソースに対する脅威インテリジェンス共有サービス "Siren"を発表
Open Source Security Foundation（OpenSSF）は、「オープンソースプロジェクトに特化した脅威インテリジェンスを集約し、広めるための共同作業」と称した、"Siren"を発表した。このイニシアチブは、オープンソースプロジェクトが関連する脅威インテリジェンスを普及させ、それらを受け取るためのより良い方法を必要としていることが明らかになった、XZ Utilsの侵害をきっかけに生まれた。企業の脅威インテリジェンス・プラットフォーム（TIPs）のように、Sirenは戦術、技術、手順（TTPs）と侵害の指標（IoCs）を共有する場所を提供する。
-
エンジニアリングの生産性に最適化されたアプリケーション・セキュリティ
アジャイル・アプリケーション・セキュリティの著者であり、SafeStackの創設者でもあるLaura Bell Main氏は最近、「Decoding Dev Culture 2024」と題したウェビナーを開催し、2024年のセキュリティについて「現場からの視点」を提供した。Bell氏は、自身の経験と SafeStack の 12 か月にわたる調査から、DevSecOps 実践者が SAST やその他のツールへの過度の集中から脱却する必要性について論じた。彼女は、セキュリティプロセスとツールに関連する開発者の経験をよりよく理解することを提唱した。Bell氏は、効果的なセキュリティ・オーナーシップはコミュニケーションの改善を通じて促進され、エンジニアの生産性にプラスの影響を与えることができると説明した。
-
AIとFinOpsが、2024年のオブザーバビリティ革新を牽引すると予測
最近発表された記事の中で、3つの大手オブザーバビリティ（可観測性）企業が、2024年以降にオブザーバビリティ分野で見られるであろうトレンドについて予測を行っている。これらの寄稿は、AIインテグレーション、FinOps、OpenTelemetry、セキュリティとガバナンスの分野が、これからの1年でオブザーバビリティに大きな影響を与えることを提案している。
-
OpenSSF、ソフトウェアの構築方法を検証するためにSBOMに認証を追加
Open Source Security Foundation (OpenSSF)は先日、ソフトウェア部品表(Software Bills of Materials:SBOM)をイントート認証で強化するために設計されたツール、SBOMitを発表した。OpenSSFセキュリティ・ツーリング・ワーキンググループの下で発表されたこの開発は、ソフトウェア開発プロセスの透明性とセキュリティ向上を目的としている。
-
AWSが未使用のIAMロール、ユーザー、権限を自動検出する機能を追加した
AWSは最近、AWS IAM Access Analyzerツール内で、IAMロールとユーザーに付与された未使用のアクセスを検出するサポートを追加した。新しいIAM Access Analyzerの未使用アクセス検出は、未使用のロール、未使用のIAMユーザーアクセスキーとパスワード、定義された使用ウィンドウ内の未使用パーミッションを特定できる。この分析は、組織内のアカウント全体で実行でき、委任された管理者アカウントから制御できる。
-
GitLabの2023年グローバルDevSecOpsレポートでは、AIが"なくてはならない"ものに
GitLabは2023年グローバルDevSecOps AIレポートを発表し、主な分析結果としてAIとMLの利用が「あるとよい」ものから「なくてはならない」ものへと進化していると発表した。
-
HashiCorp、Vault Secrets Operator for Kubernetesを一般提供開始
HashiCorpは、HashiCorp Vault Secrets Operator for Kubernetesの 一般提供を開始した。このKubernetes Operatorは、Vaultのシークレット管理ツールとKubernetes Secretsキャッシュを組み合わせたものだ。このオペレーターはシークレットのローテーションも処理し、様々なシークレット固有のカスタムリソース用のコントローラーを備えている。
-
QCon New York 2023 2日目のまとめ
2023年6月14日、ニューヨークのブルックリンにあるNew York Marriott at the Brooklyn Bridgeで、第9回QCon New Yorkカンファレンスの二日目が開催された。3日間あるこの��ベントは、エンタープライズ開発コミュニティにおける偏りのないコンテンツと情報に焦点を当てたソフトウェアメディア会社であり、InfoQとQConの運営元であるC4Mediaが主催している。Alicia Dwyer Ciancioloによる基調講演と、以下4つのテーマからのプレゼンテーションが行われた。
-
プッシュ保護が一般公開(GA)へ
GitHubは、プッシュ保護(Push Protection)を一般公開し、すべてのパブリックリポジトリで無料にした。プッシュ保護は、変更がプッシュされたときにコード内のシークレットを検出するのに役立つ。GAリリースの一環として、プッシュ保護はGitHub Advanced Security(GHAS) ライセンスを持つすべてのプライベートリポジトリでも利用できるようになった。
-
AWS Signerによるコンテナイメージの署名と検証が簡素化
AWS は、Amazon Elastic Container Registry (Amazon ECR)などのレジストリ内のコンテナイメージの署名と検証に対するネイティブ AWSサポートを提供するために、AWS Signer Container Image Signing (AWS Signer)をリリースした。AWS Signerはコード署名証明書、公開鍵、秘密鍵を管理し、ライフサイクル管理ツールを提供する。