Microsoft PowerPoint - lecture rev01.pptx

Save this PDF as:
 WORD  PNG  TXT  JPG

Size: px
Start display at page:

Download "Microsoft PowerPoint - lecture rev01.pptx"

Transcription

1 概要 1 ネットワークを介した様々な攻撃 名古屋大学情報基盤センター情報基盤ネットワーク研究部門嶋田創 IP 通信における攻撃 認証突破系 ブルートフォース攻撃系 セッションハイジャック系 経路ハイジャック系 サービス不能攻撃系 L3/L4 レベル アプリケーションレベル インジェクション攻撃系 ウェブサーバへ 空いている TCP/UDP ポートへ 公開サーバへの攻撃 2 公開サーバを攻撃して乗っ取ってどうする? 3 今時の公開サーバに対して攻撃は山ほどある 正規の遠隔操作 (SSH, リモートデスクトップ, など ) への認証ブルートフォース攻撃 ウェブ認証ページへの認証ブルートフォース攻撃 偽サーバへの誘導 大量データの送信により公開サーバを麻痺 (DoS) ウェブサーバに対しての変な URL クエリの送付してインジェクション系攻撃 設定のうっかりミス系を狙うものもある うっかりデフォルト設定 ( 初期設定 ) のパスワードが動いていた そもそも 不要なサービスを動かしていた うっかりテスト用アカウントが残っていた そのサーバの内部の情報を得る そのサーバを踏み台にして 組織内部に浸潤 そのサーバを外部への悪意のあるアクションへの利用 マルウェア配布に利用 マルウェアへの司令 (C&C, C2: Command and Control) サーバへの利用 DDoS 攻撃に参加させる 組み込み機器 (IoT 機器を含む ) の悪用も増えている 4 5 ポート番号と公開の簡単な復習 IP 通信における攻撃 TCP/UDPの通信はお互いのポート ( ) へデータを送ることで成立 1023 番までのポートはWell Known Portとして 特定のサービスに紐付けられている 一般的なTCP 接続による通信 1. 適当なポート番号を確保して そこからサーバに接続要求を出す 2. サーバ側は提示されたポートに 要求されたデータを返す 最初の接続要求がうまくいかなければ 通信は成立しない サーバ側はサービスに対応するポートで接続を待ち受ける ウェブページ表示時の動作クライアントウェブサーバ適当なポート ( 例 : ポート12345) ポート80へ要求 空いているポートに不正な応答を誘発するリクエスト 接続を待ち受けているポートに接続できなければ 通信は開始しない 一般的に ファイアウォールは待ち受けているポートへの接続をブロックする 成立した通信は双方向で可能 一般的に クライアント側への接続開始要求はブロック 一般的に サーバ側でも公開を前提とするポート以外への接続開始要求はブロック 攻撃者 サーバポートxxへ不正な応答を誘発するリクエスト ポート へデータを返す 不正なデータ入りの応答など

2 6 7 ポートの公開状態の調査 (telnet) ポートの公開状態の調査 (nmap) telnet IP アドレス / ホスト名ポート番号 Windows でもデフォルトで入っている 入っていなかった! 応答を見ればポートで何のサービスが走っているか分かる 間にファイアウォールが入っている時の挙動が 2 種類ある RST を返す 即 connection refused SYN/ACK を返さない 応答が返ってこない 全ポートを調査するツールの 1 つ オプション次第では応答からの情報も提示 攻撃 ( の前の事前調査 ) と間違えられないように注意 ポートが開いているホストを探すサービス 8 Shodan 9 ネット上をクロールして開いているポートを確認してまとめてくれるサイトが複数ある 中には わざわざそのポートから確認できるデータの一部を出している所も 使いようによっては 自組織の穴があるホストのチェックにも ポートの公開状態を検索できるサイトの草分け ウェブカム, BEMS(Building Energy Management System), インターネット冷蔵庫 発電所 信号機などのネットワーク接続された機器も発見できる 代表例 Shodan Censis Insecam Censis Censis で嶋田サーバを検索した結果 最近話題のポートの公開状態を検索できるサイト Shodan よりも検索能力が強化されている 登録されているデータに対して Google と同程度の検索を可能 OS 名 HTTP サーバソフトウェア名 サーバが返す HTTP ヘッダ など 正規表現でもマッチ可能

3 Censis で色々と検索してみよう 12 Insecam 13 "x.x.x.* FreeBSD" x.x.x.0/24 で OS が FreeBSD なホストが見つかる "x.x.x.* SSH" x.x.x.0/24 で SSH が開いているホストが見つかる "x.x.x.* Apache " x.x.x.0/24 で Apache が動作しているホストが見つかる 残念ながら バージョン指定はうまくいかなかった? わざわざポート番号を変更しても見つけてくれます http: 9000, 8443, 8172, 4004, 20000, など ssh: 6478, 60022, 60122, 60222, 44413, 2222, 22222, 20100, など 詳細は 倫理的に少しどうかと思うので URL は無し セキュリティの甘い IP カメラの画像をリアルタイムに掲載 初期パスワードのまま パスワードが空 など (*1) 画像は (*1) より引用 うっかり面倒なものを見たくない ロシアのサイトをアクセスするのはちょっと ThreatCloud 14 その他 15 逆に怪しい IP アドレスかどうか調べてくれるサービスもある 例 : ランサムウェア Petya の通信先 IP アドレス 他にも CYMON( などいくつかサービスがある Petya の通信先 IP アドレスを ThreatCould に入れた結果 ZoomEye, FOFA, ONYPHE: Shodan, Censys の同類 PublicWWW HTML や Javascript のコード断片 ( スニペット ) での検索に注力 IntelligenceX ブルートフォース攻撃系 16 セッションハイジャック系 17 適当な情報を送って認証を突破しようとする 主な対象 : SSH, telnet, www( 認証 ) 余計なポートを公開しない ( パスワードの強度確保 他との共有の禁止 ) 接続元 IP アドレスの制限 時間あたりの認証数の制限 認証失敗回数に応じた無効化 (IP アドレス アカウント ) 最近だと複数の IP アドレスから分散して攻撃してくることもある 認証後のセッションキーなどを奪取 認証後のセッションを奪取して 認証情報を自分に都合の良いように書き換えて永久利用を可能とする 例 : Cookie を奪取 man in the middle 攻撃 telnet, FTP, BASIC 認証のような生パスワードを流れる物も同様 ローカルに保存された Cookie を奪取 (Remote Administration Trojan などのマルウェアで ) https 下のみ cookie を要求するような設定にする リクエストごとに新 cookie を発行する 一応 TCP のシーケンス番号を予測して変なパケットを紛れ込ませる方法もできなくもないが

4 18 19 アップデートハイジャック系 偽サーバへの誘導 ソフトウェアアップデートの通信先にマルウェアを置く サーバ乗っ取り DNSインジェクション など 2019/4のASUS Live Updateのハイジャックは記憶に新しい 例 : EmEditorアップデートハイジャックを利用した攻撃 [1] 以下の様な.htaccessファイルがアップデート配布ディレクトリに置いてあった 指定したIPアドレスの範囲からアップデート要求があれば別ファイルを配布 SetEnvIf Remote_Addr [0-9]+ install SetEnvIf Remote_Addr [0-9]+ install ( 同様に 70 行 ) SetEnvIf Remote_Addr [0-9]+ install RewriteEngine on RewriteCond %{ENV:install} =1 RewriteRule (.*.txt)$ /pub/rabe/editor.txt [L] そのサーバに接続に来ていたクライアントに対して攻撃をしかける 大規模なサービスが狙われるだけでなく 水飲み場型攻撃の踏み台として小規模なサービスも狙われる可能性がある ( スペースがあるので ) 最近 この手の いつも接続していたサーバ いつもの取引相手 を乗っ取ったりして攻撃をしかける話が多い サプライチェーン攻撃 この先 さらに増える傾向にあると思うので注意 [1] 今回のハッカーによる攻撃の詳細について / ドメインハイジャック系 20 ネットワーク経路ハイジャック (BGP 経路ハイジャック ) 21 DNS インジェクション ドメイン登録情報不正書き換え などで実施 ドメイン登録情報不正書き換え ドメインレジストラを経由した登録において そのドメインを管轄する DNS サーバを変更して自サーバへ誘導 BGP(Border Gateway Protocol) の動作 サブネットを運営する組織は Autonomous System(AS) 番号を持つ 名古屋大学の AS 番号は AS の番号を列挙したものが経路となる ブロードキャストした AS 番号に経由した AS の AS 番号をつなげていく どこに どこまで ブロードキャストするかの制御も可能 現在は IPv4 で 70 万経路ぐらい 有名サイトと 1 文字違いなど typo 違いを狙うのもドメインハイジャックの亜種と言えなくもない domain squatting にちなんで typosquatting と呼ぶ AS17687 ネットワーク経路ハイジャック (BGP 経路ハイジャック ) 22 ハイジャック系の実例 23 この BGP に偽の経路を流す 自分が存在する AS の別サーバに誘導 自分が存在する AS の自分が乗っ取ったネットワーク機器を経由するようにルート変更 暗号化されていない通信を見ることができる 暗号化されている通信でも どことどこが どれだけの頻度で どれぐらいの通信量で通信している という情報は得ることができる DNS への BGP ハイジャックと偽 DNS サーバによる仮想通貨窃取 (2018/4)[1] BGP ハイジャックで Amazon の DNS サービスである Route 53 への経路をハイジャック Route 53 利用者が偽 DNS サーバに誘導される 偽 DNS が仮想通貨ウォレットサービスを偽サイトに誘導 正規サービス 正規 DNS サーバ 偽 DNS サーバ AS17687 偽サービス [1]

5 サービス不能攻撃 (DoS 攻撃 ) 24 SYN Flood 25 Denial of Service 攻撃 サーバやネットワークの処理能力を超えた大量のリクエストを送りつけて 処理不能にさせる 攻撃元を分散させると DDoS(Distributed DoS) 攻撃 様々な階層で実行可能 SYN flood(l3) UDP Flood(L4) DNS リフレクションなどのリフレクション系攻撃は主にこれ HTTP GET flood(l5) Slow HTTP DoS(L5) TCP は 3 ウェイハンドシェイクで通信の開始 / 終了 この最初の SYN だけを送りまくる攻撃 サーバ側は新 TCP セッションのために計算機資源を消費 厳密には 偽装 IP アドレスが発信元の SYN を送る ネットワークスイッチによる Ingress/Egress フィルタリング サブネットの入り口で偽装 IP アドレスのパケットを落とす サーバ側では SYN cache などで SYN を一旦待たせるなど サーバクライアント SYN SYN/ACK ACK FIN FIN/ACK ACK UDP Flood(1/2) 26 UDP Flood(2/2) 27 いくつかの UDP プロトコルにおいてリクエストに対して応答の方がサイズが大きいことを利用 要求の方は短い問い合わせ 応答の方は多くのデータがあるので データサイズは 応答 > 要求 大抵はリフレクション攻撃も併用する DNS サーバ DNS サーバ DNS サーバ DNS サーバ DNSサーバ DNSサーバ DNS 応答 指令サーバ 防衛の面では UDP は送信 / 受信ともに同じポートを使うのがやっかい 例 : NTP リクエストは NTP サーバの UDP 123 ポートへ送信 応答はクライアントの UDP 123 ポートへ返信 ( 攻撃の ) 応答なのか正規の問い合わせの応答なのか分かりにくい DNS/NTP のリフレクション攻撃が有名 最近では マイナーな UDP プロトコルにも攻撃の手は伸びている SSDP(Simple Service Discovery Protocol), chargen(charcter GENerator), SNMP(Simple Network Management Protocol) など 名大では外部にポート公開することは禁止されている 偽 IP アドレスからの DNS 要求 UDP Flood 系の増幅率 とりあえず できるだけ多くのデータを送る応答を選択した時 DNS(UDP 53): 8 倍 TFTP(UDP 69): 60 倍 古い組み込み機器で使われる非常にシンプルな FTP( ファームウェア更新など ) NTP(UDP 123): 倍 SNMP(UDP 161): 650 倍 ネットワーク機器のステータスなどのログ報告 SSDP(UDP 1900):? Universal Plug and Play に必要なデータを送る chargen(udp 19): 無限大? 動作確認などを目的としてひたすら文字列を生成するサービス 28 DDoS Mon: DDoS の様子を見れるサイト IP アドレスもしくはドメイン単位で DDoS の履歴を見ることが可能 もちろん CDN 等の観測ポイントを経由している通信のみ 29

6 30 31 HTTP Get Flood Slow HTTP DoS HTTP Get 要求を多数送る 要求よりも応答のデータが多い ウェブブラウザのリロードで意図せずに発生することも ウェブページが重くてなかなかデータが来ない とりあえずリロードしてみる F5(Windows におけるブラウザのリロードのショートカット ) 攻撃という話もかつてはあった コンテンツキャッシュサーバの準備 最近だと Content Delivery Network(CDN) に任せる方が手軽 単位 IP アドレスあたりのセッション数の制限 HTTP セッションが途切れない程度に通信を継続 被害 セッション維持のために HTTP サーバにおけるメモリリソース等の浪費 TCP ポート数が不足することによるサービス不能 タイムアウト時間の短縮 単位 IP アドレスあたりのセッション数の削減 ただ 最近のクライアントは数十セッションを張って高速化したりするので そういう利用で遅くなる弊害 ( サービス悪化 ) 参考 : Google Map は利用可能セッション数 10 以下になると目に見えて表示が遅くなる 参考 : クライアントの多セッション利用は大規模 NAT における 1 グローバル IP アドレスあたりの収容数にも影響する 他の DoS 攻撃 UDP Flood 対策 ICMP Flood ping(icmp ECHO) を送りまくる パケットサイズが大きい ping だとなお効果的 あまり効果は無いけど 存在ぐらいは覚えておいても良さそう アプリケーションなどの実装の脆弱性を利用した DoS 攻撃 規格外のサイズのパケットを送ると処理が止まる 規格外のデータを送ると処理が止まる など ping of death など データ窃取が可能な脆弱性だとこちらもできる物が多そう 意図せず実装の脆弱性をついて攻撃に間違われた事例も 岡崎市立図書館事件 : 蔵書検索システムが検索ごとに消費したリソースを解放しない ゆっくりした頻度のクロールでもリソース不足へ 攻撃参加しないように 要求に応答する範囲を制限する 防衛 基本的に完全な防衛は難しい 全く無意味なパケット でも物理層を埋めることはできる いろいろと対策はあるが 何かを切り捨てる 必要は出てくる ある国からの正規のアクセスは ( 一時的に ) 切り捨てる 自組織外からのアクセスは ( 一時的に ) 切り捨てる UDP Flood 対策 ( 自ネットワーク入口 ) 34 UDP Flood 対策 ( 自ネットワーク上流 ) (1/2) 35 外から来ることが考えられないプロトコルは落とす ステートフルファイアウォールを導入して LAN から出してない要求への応答は落とす 対外接続部で通信を制限する 対外接続の帯域を食われることには変わらないが サーバや内部からのユーザは対応できる Content Delivery Network(CDN) を使って耐える CDN はユーザに近い所にコピーコンテンツを保持して応答 DNS を引くと近い CDN のサーバが返ってくる マスタサーバの負荷低減にもなる ただし お金はかかる (DoS オプションなどもある ) マスタサーバ自体を直接狙われることがある マスタサーバ CDN のサーバ コンテンツのコピー

7 UDP Flood 対策 ( 自ネットワーク上流 ) (2/2) 36 DoS についてもっと調べたい方 37 BGP で特定の通信を捨てさせる指示が可能 (Blackhole routing の応用 ) BGP のオプションで 特定の AS に対してのみ捨てさせるよう BGP の広報を行なう 特定の国などからの流入を防ぐ Akamai のレポートが詳しい Akamai: Content Delivery Network(CDN) の最大手 提供するコンテンツをインターネット上のいくつかの場所にキャッシュ可能とし 本サーバの負荷を減らす 4 半期ごとに DoS 攻撃の傾向をレポート掲載 攻撃の変遷も見ることが出来る リフレクション攻撃に使われるプロトコルの変遷が面白い インジェクション系攻撃 38 コンテンツマネージメントシステム (CMS) 39 ウェブサーバへ クロスサイトスクリプティングやSQLインジェクションは良く話題になる 最近はコンテンツマネジメントシステムが多様されるので それらを狙った攻撃も多い 例 : 2017/1のWordpress 脆弱性の利用 空いているTCP/UDPポートへ 基本は正規のプロトコルを使ったbrute force 攻撃が多い ただ 変なリクエストを送ってくる事例はちょこちょこある 攻撃の結果により 情報が流出したり サーバをマルウェア配布などに悪用されたり コンテンツを登録するだけできれいなページを作成可能 データベースに登録されたコンテンツを フォーマットして表示 代表的な CMS とシェア [1] WordPress 59.2% Joomla 6.9% Drupal 4.7% バックエンドで DB を使っているので SQL インジェクションなどの脆弱性が良く見つかる 本体だけでなく プラグインにも脆弱性が見つかる Pukiwiki などの Wiki エンジンなども CMS 一番重要なこと : 最新の CMS を使いましょう [1] クライアント側でのウェブのデータ操作 HTTP POST の例 URL を入れると HTTP GET 要求でデータをもらって表示 ウェブページのフォームに入力したデータを HTTP POST や URL クエリでウェブサーバに提供 HTTP POST: HTTP GET の末尾に入力フォームの内容を羅列 URL クエリ : URL の後ろにパラメータと値を列挙する方法 名大 IT ヘルプデスクの質問入力フォーム HTML の form タグで post が指定されている ( 上の赤線 ) 入力項目には name が指定されている ( 下の赤線 ) クライアント 待機 HTTP GET サーバ example.com のページ 待機 HTTP POST + データ HTTP GET 入力データに対応したページ 待機

8 URL クエリ 42 サーバ側でのウェブのデータ操作 43 URL の末尾に? をつけ それ以降が URL クエリとなる 個々のパラメータと値は " パラメータ名 "=" 値 " で表現 複数のパラメータがある場合は & で区切る例 : 実際の URL では全角文字を扱えないので パーセントエンコーディングされる ( =&? などの記号も同じ ) E5%89%B5&ie=utf-8&oe=utf-8&hl=ja URL クエリはブラウザのアドレスバーに表示されるため おおっぴらに見えて欲しくない情報が露わになることも クライアントからのアクセス方法により動作を変更可能 静的コンテンツ提示 : 事前に登録しておいたデータを表示するだけ 動的コンテンツ表示 : ウェブサーバ側でクライアントのリクエストに応じてプログラムで処理した結果を提示可能 CGI 方式による外部プログラム呼び出しや PHP 言語 (Hypertext Processor) の利用 クライアント側で JavaScript プログラムを動作させて ユーザの操作に応じたリクエストを出す ( ウェブブラウザ側から ) 物もある Ajax CGI を利用することでクライアントから POST で受けたデータをサーバ内に保存可能 必要に応じて 保存したデータを加工して動的コンテンツとして表示 HTTP Cookie の発行と管理 HTTP Cookie 44 Cookie 関連の情報セキュリティ 45 サーバ側からクライアント ( のウェブブラウザ ) に記憶させることができる情報 ウェブブラウザは Cookie のドメインに対応するウェブサーバへの再アクセス時には Cookie の情報を送信 攻撃 : Cookie に変な値を設定 シーケンス番号 ID が推測可能だと特に狙われやすい クライアント 初回の GET リスエストの応答で Cookie を設定 Set-Cookie: id=78safdhj87, domain=example.com... 次回に example.com にアクセスする時に HTTP GET の中に以下を追加 Cookie: id=78safdhj87 すでに 1 回アクセス済みの人への対応 サーバ Tracking Cookie: 利用者の追跡を目的とした Cookie 主に広告コンテンツが実施 例 : サイト A に出した広告で Cookie を設定 サイト B に出した広告で設定した Cookie を受け取る 通常は 3rd party Cookie( 閲覧中サイトとは違うドメインの Cookie) となる 気になるならばブラウザで Do not track の設定と 3rd party Cookie の禁止 を実施しておく それでも IP アドレスや User agent 情報などからある程度は追跡できる Supercookie, LSO など HTTP Cookie と同等の物を HTTP とは別の処理の中で実装 例 : Adobe Flash を使った場合に Adobe Flash 用のデータ領域に 他にも Canvas fingerprinting など 利用者追跡の技術は積極的に開発されている ( 有効性の高低はあるが ) 古典的な Web ビーコンもまだまだけっこう使われている クロスサイトスクリプティング (1/3) 46 クロスサイトスクリプティング (2/3) 47 フォームなどへの特定の応答により 攻撃者が用意したスクリプト ( プログラム ) が実行される フォームに書いた値や URL クエリの値を表示させる時のミス 基本的に 入力の一部でタグを途中で終了させ その後にスクリプトを挿入 の形 例 : と入力すると <input initdata="hoge"> となる HTML を動的生成における JavaScript 挿入 入力例 : initdata=" 出力例 : <input initdata=""><script>alart(1);</script>"<input initdata=""> 基本的な対策 : 入力データをエスケープ < < > > " " ' $#39; & & 略称は XSS ウェブ関係で CSS だと Cascading Style Sheet が先にあったため Microsoft Edge などがクロスサイトスクリプティングフィルタを搭載 Firefox では NoScript アドオンとかで追加可能 有害なスクリプトをブロックするが たまに誤検出することも 今度は XSS フィルタ悪用する攻撃も出てきたり Edge から XSS フィルタを削除することも検討されたりする

9 クロスサイトスクリプティング (3/3) クロスサイトスクリプティングを起点として 多種多様な攻撃を実現することが多い サーバのデータ閲覧など : SQL インジェクション LDAP インジェクション ディレクトリトラバーサル OS コマンドインジェクション Xpath インジェクション メモリ初期化ミスを利用したメモリリーク ユーザ側の閲覧データ加工 : 強制ブラウズ リモートファイルインクルード MITM による ( セッション ) ハイジャック : セッション ID 固定攻撃 HTTP ヘッダインジェクション (iframe など上位のページを設定しての )Cookie の読み出し その他 : オープンリダイレクタを利用した誘導 48 ディレクトリトラバーサル (1/2) 本来は見れない範囲にあるデータを見ようとする攻撃 フォーム等でデータを指定する部分などで 本来見れないないデータを指定できてしまったりする 例 : 電子掲示板の書き込み番号など <input type="hidden" name="datafile" value="file645"> hiddenをユーザ側からも見れないと勘違いした非常に初歩的な実装 多くのシステムでは ".." は1つ上のディレクトリに移動を示す 入力にあったとしても処理しないようにシステムを組む 何らかのミスで許してしまうと 本来は見れないパスワードやデータの閲覧が可能に /var/www/htmlなどが外部公開の最上位のはずが それより上のディレクトリも読まれる 49 ディレクトリトラバーサル (2/2) 50 OS コマンドインジェクション (1/2) 51 使っているソフトウェアが汎用の物ならば データ位置はまず初期名称から変わっていない 例 : 某 Wikiの初期ディレクトリ / ファイル名.../wiki/webroot ( 本来の外部公開の最上位 ).../wiki/wiki-common (auth.iniとかがある).../wiki/wiki-data ルートディレクトリに出るまで.. を繰り返して 例 : /etc/hogeの表示を試みる../etc/hoge../../etc/hoge../../../etc/hoge 以下 繰り返し 基本的な対策 : 正しく ".." の無害化処理を入れる ウェブサーバ側で URL クエリを処理するアプリケーションの設計ミスなどでウェブサーバ側で OS のコマンドを実行 Perl による CGI 等の中から system 関数などで OS( 主に UNIX 系 ) のコマンドを呼び出している所 Windows サーバでも PowerShell を呼び出ししている所で同じことができる やり方は XSS と同じ 例 : perl の system 関数で入力値を引数としたファイルを検索 $files = system "/bin/ls $input" ここで $input に a; /bin/cat /etc/passwd とすると? $files = system "/bin/ls a; /bin/cat /etc/passwd" /bin/ls a と /bin/cat /etc/passwd が連続実行される OS コマンドインジェクション (2/2) マルウェアをダウンロードして実行するコマンドのインジェクションが多い テンポラリファイル置き場 ( どのプログラムも書き込み権限がある場所 ) にダウンロードして実行させる 基本的な対策 : XSS と同じくエスケープ OS コマンド呼び出しを行わない実装を考える 52 SQL インジェクション (1/2) データベース (DB) への SQL(Standard Query Language) によるクエリを追加 XSS と似ているが 認証処理を同時にやっていたりすることもある 例 : SQL の条件文から真が返って来たら認証成功 例 : ログイン処理でフォームのユーザ名とパスワードが一致するか? フォームの入力は inuser と inpasswd とする 条件文例 : user = 'inuser' AND passwd = 'inpasswd' 何も対策されていないと inpasswd に a' OR 'a' = 'a を設定する user = 'inuser' AND passwd = 'a' OR 'a' = 'a' OR に恒真節が入って常に真が返る 認証突破 53

10 SQL インジェクション (2/2) 54 クロスサイトリクエスト偽造 (CSRF: Cross Site Request Forgery) 55 DB のエントリを表示させて情報流出につながることも DB のテーブルにサーバ内のファイルを指定して サーバ内の別データからの情報流出につながることも いろいろ所で 高機能化のために DB は使われていたりするので ウェブサービスの裏で DB が動いている事例は多い 例 : ファイルサーバでのファイルに関するデータ 例 : チャットシステムでの発言データ 基本的な対策 : XSS と同じくエスケープ ここでのリクエスト : HTTP POST などによるクライアントからサーバへのリクエスト XSS がブラウザ側 偽のリクエストを作り サーバ側のデータを書き換える のがこの攻撃の特徴 認証のあるページでも ユーザが認証終了した後 ( 認証済み Cookie を持っているとか ) していたら書き換え可能 例 : パスワード変更ページに攻撃者側があらかじめ設定したパスワードに変更 例 : 掲示板への悪意のある書き込み データ更新ページの遷移前後で追加のセッションキーを設定 データ更新承認時に再度認証を要求する オープンリダイレクタによる誘導 56 クロスサイト系攻撃における iframe の悪用 57 リダイレクト : 別 URL のウェブページに転送すること HTTP ヘッダの Location ヘッダの設定とか 動的に遷移先ページを 例 : ログインしていなくてもある内容を見れるが 必要に応じて ログイン (or 新規加入 ) ボタンを押してログインしてもらうウェブページ ログイン処理や新規加入処理の後は元のウェブページに戻らせたい リダイレクト先を選択 このリダイレクト先を (URL クエリなどで ) 好きなページに設定できたら? 悪い人が攻撃ページに誘導するのに悪用可能 URL を見ただけでは リダイレクタを準備しているサービスに見える 普通はサービス関連ページのみリダイレクト可能とする iframe(inline frame): ページの一部にフレームを設定して 別 HTML を表示するフレームワーク 古来の frame と比較して フレームの境目が分かりにくい クロスサイト系攻撃においてよく悪用される 攻撃 ( 詐欺 ) ページの中に iframe で元のページを表示する 元ページの上に背景を塗りつぶした攻撃ページの iframe を置いて 元ページを隠蔽 攻撃 JavaScript を動作させるために透明もしくはサイズ極小の iframe を設定して その中で攻撃 JavaScript を動作させる HTML を表示 URL からの推測 空いているポートへの攻撃 (1/2) 他の URL から推測可能な URL に未公開資料を置いてあった 例 : 2016/kessan.pdf をもとに 2017/kessan.pdf( 未公開 ) を発見される ディレクトリインデクスを有効にしていて 2016/ とディレクトリ名でアクセスすると一覧が見えてしまう その中に編集途中の物などの都合の悪い物が : 不必要なファイルをウェブサーバに置かない ディレクトリインデクスはデフォルトで無効に 一部 OS で 不要なサービスが動いていることはある さらに デフォルトのユーザ名とパスワードが利用可能だったりする 最近は OS やソフトウェア提供者側が学習してデフォルトをまともな設定にするようになった と思ったら 最近は組み込み機器や IoT 機器で問題が増加 さらに 機器性能から後述の古いプロトコルを利用している物が 空いているポートにデフォルトのユーザ名 / パスワード等による brute force 攻撃 SQL サーバのポートに対して SQL を送りつける物も多い SQL サーバでリクエスト受理する IP アドレスの範囲を間違えたら というか 適当にポートを空けていると色々なリクエストを試みてくる感じ

11 空いているポートへの攻撃 (2/2) 60 空いているポートへの攻撃 (2/2) 61 あまり古いサービスをインターネットに公開するのはよろしくない 例 : 暗号化されていないパスワードがネット上を流れる telnet, rsh SSH が後継 FTP FTPS, SSH(SSH サブセットの SCP, SFTP) が後継 POP3/IMAP POP3S/IMAPS が後継 例 : そもそも認証が緩すぎる SMTP( クライアントとサーバの間において ) Submission その他 SMB NFS(~v2) Apple Filing Protocol などのファイル共有系も弱い物が多い SMB(v1) は WannCry に使われた点が記憶に新しい AFP も Apple 自体が インターネットに公開するな と言っている 逆に わざと開いているポートを設定して攻撃観測することもある ハニーポット 色々なハニーポットフレームワークがあるので ( 個人で ) 試してみるのも面白い もっと大規模な物では 未割り当て IP アドレス領域 ( ダークネット ) へのリクエストをまとめて観測することも 余談 : 最近 ダークウェブとダークネットをごっちゃにされていることが多くて嫌な感じ

Microsoft PowerPoint - lecture rev02.pptx

Microsoft PowerPoint - lecture rev02.pptx 概要 1 ネットワークを介した様々な攻撃 名古屋大学情報基盤センター情報基盤ネットワーク研究部門嶋田創 IP 通信における攻撃 認証突破系 ブルートフォース攻撃系 セッションハイジャック系 経路ハイジャック系 サービス不能攻撃系 L3/L4 レベル アプリケーションレベル インジェクション攻撃系 ウェブサーバへ 空いている TCP/UDP ポートへ 公開サーバへの攻撃 2 公開サーバを攻撃して乗っ取ってどうする?

More information

Microsoft PowerPoint - lecture rev02.pptx

Microsoft PowerPoint - lecture rev02.pptx ネットワークを介した様々な攻撃 名古屋大学情報基盤センター情報基盤ネットワーク研究部門嶋田創 1 概要 IP 通信における攻撃 認証突破系 ブルートフォース攻撃系 セッションハイジャック系 経路ハイジャック系 サービス不能攻撃系 L3/L4レベル アプリケーションレベル インジェクション攻撃系 ウェブサーバへ 空いているTCP/UDPポートへ 2 公開サーバへの攻撃 今時の公開サーバに対して攻撃は山ほどある

More information

WEBシステムのセキュリティ技術

WEBシステムのセキュリティ技術 WEB システムの セキュリティ技術 棚橋沙弥香 目次 今回は 開発者が気をつけるべきセキュリティ対策として 以下の内容について まとめました SQLインジェクション クロスサイトスクリプティング OSコマンドインジェクション ディレクトリ トラバーサル HTTPヘッダ インジェクション メールヘッダ インジェクション SQL インジェクションとは 1 データベースと連動した Web サイトで データベースへの問い合わせや操作を行うプログラムにパラメータとして

More information

Microsoft PowerPoint - lecture0511_rev01.pptx

Microsoft PowerPoint - lecture0511_rev01.pptx ネットワークとによるネットワークサービス提供 名古屋大学情報基盤センター情報基盤ネットワーク研究部門嶋田創 なぜネットワークとサービスの話をここで? Local/Wide Area なネットワークが関連しないセキュリティ関連の話が少ないため 一旦ざっくりとした説明をしておいた方が説明が楽 すでに皆さんもスマホを介して多数恩恵を浴びていると思うので ざっくりとした説明でも知っておいた方が良い ( 自分で考える基礎

More information

内容 ( 演習 1) 脆弱性の原理解説 基礎知識 脆弱性の発見方法 演習 1: 意図しない命令の実行 演習解説 2

内容 ( 演習 1) 脆弱性の原理解説 基礎知識 脆弱性の発見方法 演習 1: 意図しない命令の実行 演習解説 2 AppGoat を利用した集合教育補助資料 - クロスサイトリクエストフォージェリ編 - 独立行政法人情報処理推進機構 (IPA) 技術本部セキュリティセンター 内容 ( 演習 1) 脆弱性の原理解説 基礎知識 脆弱性の発見方法 演習 1: 意図しない命令の実行 演習解説 2 クロスサイト リクエスト フォージェリ (CSRF) とは? CSRF(Cross Site Request Forgeries)=

More information

— intra-martで運用する場合のセキュリティの考え方    

— intra-martで運用する場合のセキュリティの考え方     1 Top 目次 2 はじめに 本書の目的 本書では弊社製品で構築したシステムに関するセキュリティ対策について説明します 一般的にセキュリティ ( 脆弱性 ) 対策は次に分類されます 各製品部分に潜むセキュリティ対策 各製品を以下のように分類します ミドルウェア製品ミドルウェア製品のセキュリティ ( 脆弱性 ) 対策リリースノート システム要件 内に記載のミドルウェア例 )JDK8の脆弱性 WindowsServer2012R2の脆弱性

More information

2.5 トランスポート層 147

2.5 トランスポート層 147 2.5 トランスポート層 147 TCP と UDP TCP (Transmission Control Protocol) コネクション型 ギャランティード マルチキャスト ブロードキャスト不可 UDP (User Datagram Protocol) コネクションレス ベストエフォート マルチキャスト ブロードキャスト可 cf. IP (Internet Protocol) コネクションレス ベストエフォート

More information

1.indd

1.indd Ver.1 Copyright 2008 Copyright 1995-2008 Trend Micro Incorporated. All Rights Reserved. 2008 9 オンラインヘルプで問題解決 セキュリティ対策ツールサポートページで問題解決 http://www.flets-west.jp/redir/sec/to_top.html NTT 西日本セキュリティサポートセンタ

More information

SAMBA Stunnel(Windows) 編 1. インストール 1 セキュア SAMBA の URL にアクセスし ログインを行います xxx 部分は会社様によって異なります xxxxx 2 Windows 版ダウンロード ボ

SAMBA Stunnel(Windows) 編 1. インストール 1 セキュア SAMBA の URL にアクセスし ログインを行います   xxx 部分は会社様によって異なります xxxxx 2 Windows 版ダウンロード ボ 操作ガイド Ver.2.3 目次 1. インストール... - 2-2. SAMBA Stunnel 利用... - 8-2.1. 接続確認... - 8-2.2. 編集... - 11-2.3. インポート... - 14-2.4. 削除... - 15-2.5 フォルダショートカットの作成... - 16-3. 動作環境... - 18-4. 参考資料 ( 接続状況が不安定な場合の対処方法について

More information

(8) [ 全般 ] タブをクリックします (9) [ インターネット一時ファイル ] の [ 設定 ] ボタンをクリックします (10) [ 保存しているページの新しいバージョンの確認 ] から [ ページを表示するごとに確認する ] をクリックします (11) [OK] ボタンをクリックしていき

(8) [ 全般 ] タブをクリックします (9) [ インターネット一時ファイル ] の [ 設定 ] ボタンをクリックします (10) [ 保存しているページの新しいバージョンの確認 ] から [ ページを表示するごとに確認する ] をクリックします (11) [OK] ボタンをクリックしていき Internet Explorer 5.5 SP2 をご利用の場合の設定方法 1. BACREX を利用するための標準的な設定 [1] WWW ブラウザの設定 (1) Internet Explorerを起動し [ ツール ] メニューの [ インターネットオプション ] を選択します (2) [ セキュリティ ] タブをクリックします (3) [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する

More information

金融工学ガイダンス

金融工学ガイダンス 情報セキュリティ脅威の種類 セキュリティ脅威 1( 不正アクセス ) 2014 年 10 月 15 日 後保範 破壊 ( データの破壊 消去 ) 漏洩 ( 機密情報漏洩 個人情報漏洩 ) 改ざん (HP やデータベースの不正な書き換え ) 盗難 ( ノートパソコンや書類 USB メモリ等の盗難 ) 不正利用 ( 通信回線 サーバー等の不正利用 ) サービス停止 ( 大量アクセス等で利用不能に ) 踏み台

More information

DDoS攻撃について

DDoS攻撃について DDoS 攻撃について 2016 年 3 月 1 日 株式会社グローバルネットコア 金子康行 目次 DDoS 攻撃とは DDoS 攻撃が成立する背景 DDoS 攻撃の目的 DDoS 攻撃の状況 DDoS 攻撃の防御手法私たちはどうすればいいのか 2 DDoS 攻撃とは Denial of Service Attack サービス不能攻撃

More information

PowerPoint Presentation

PowerPoint Presentation コンピュータ科学 III 担当 : 武田敦志 http://takeda.cs.tohoku-gakuin.ac.jp/ IP ネットワーク (1) コンピュータ間の通信 to : x Data to : x y Data to : y z Data 宛先 B のパケットは z に渡す A 宛先 B のパケットは y に渡す ルーティング情報

More information

第 7 回の内容 動的な Web サイト フォーム Web システムの構成

第 7 回の内容 動的な Web サイト フォーム Web システムの構成 第 7 回の内容 動的な Web サイト フォーム Web システムの構成 動的な Web サイト 静的なリソース ファイルシステムのパス / URI のパス a 公開ディレクトリ / b b GET /b HTTP/1.1 c c e d /a/b を送り返す d e 静的なリソース ファイルシステムのパス / / URI のパス f b c e GET /g/e HTTP/1.1 d /f/e

More information

金融工学ガイダンス

金融工学ガイダンス セキュリティ脅威 1( 不正アクセス ) 2014 年 10 月 15 日 後保範 1 情報セキュリティ脅威の種類 破壊 ( データの破壊 消去 ) 漏洩 ( 機密情報漏洩 個人情報漏洩 ) 改ざん (HPやデータベースの不正な書き換え) 盗難 ( ノートパソコンや書類 USBメモリ等の盗難 ) 不正利用 ( 通信回線 サーバー等の不正利用 ) サービス停止 ( 大量アクセス等で利用不能に ) 踏み台

More information

ウェブデザイン技能検定 1 級実技 平成 28 年度 第 4 回 ウェブデザイン技能検定 1 級 実技試験概要 試験にあたっての注意事項 試験者は本試験の留意事項 注意事項に留意して作業を行うこと ペーパー実技試験は 課題 1 から 5 までの 5 課題を 60 分間で行うこと 作業実技試験は 課題

ウェブデザイン技能検定 1 級実技 平成 28 年度 第 4 回 ウェブデザイン技能検定 1 級 実技試験概要 試験にあたっての注意事項 試験者は本試験の留意事項 注意事項に留意して作業を行うこと ペーパー実技試験は 課題 1 から 5 までの 5 課題を 60 分間で行うこと 作業実技試験は 課題 平成 28 年度 第 4 回 ウェブデザイン技能検定 1 級 実技試験概要 試験にあたっての注意事項 試験者は本試験の留意事項 注意事項に留意して作業を行うこと ペーパー実技試験は 課題 1 から 5 までの 5 課題を 60 分間で行うこと 作業実技試験は 課題 1 から 4 までの 4 課題を 180 分間で行うこと 試験問題の詳細は 試験当日配布する 1 1. 試験実施にむけての留意事項 試験は

More information

CloudEdgeあんしんプラス月次レポート解説書(1_0版) _docx

CloudEdgeあんしんプラス月次レポート解説書(1_0版) _docx クラウド型セキュリティ対策サービス Cloud Edge あんしんプラス 月次レポート解説書 第 1.0 版 日本事務器株式会社 改版履歴 版数日付変更内容 1.0 2016/03/07 新規作成 2 目次 1. サービス概要............ 4 1.1. CLOUD EDGE あんしんプラスとは... 4 2. 月次レポート解説............ 5 2.1. VBBSS がインストールされているクライアントの概要...

More information

金融工学ガイダンス

金融工学ガイダンス 情報セキュリティ脅威の種類 セキュリティ脅威 1( 不正アクセス ) 2013 年 10 月 8 日 後保範 破壊 ( データの破壊 消去 ) 漏洩 ( 機密情報漏洩 個人情報漏洩 ) 改ざん (HP やデータベースの不正な書き換え ) 盗難 ( ノートパソコンや書類 USB メモリ等の盗難 ) 不正利用 ( 通信回線 サーバー等の不正利用 ) サービス停止 ( 大量アクセス等で利用不能に ) 踏み台

More information

R80.10_FireWall_Config_Guide_Rev1

R80.10_FireWall_Config_Guide_Rev1 R80.10 ファイアウォール設定ガイド 1 はじめに 本ガイドでは基本的な FireWall ポリシーを作成することを目的とします 基本的な Security Management Security Gateway はすでにセットアップ済みであることを想定しています 分散構成セットアップ ガイド スタンドアロン構成セットアップ ガイド等を参照してください [Protected] Distribution

More information

BACREX-R クライアント利用者用ドキュメント

BACREX-R クライアント利用者用ドキュメント Ver4.0.0 IE 設定の注意事項 第 1.1 版 はじめに このマニュアルは BACREX-R を実際に使用する前に知っておいて頂きたい内容として 使用する前の設定や 動作に関する注意事項を記述したものです 最初に必ずお読み頂き 各設定を行ってください 実際に表示される画面と マニュアルの画面とが異なる場合があります BACREX-R は お客様の使用環境に合わせてカスタマイズのできるシステムです

More information

PC にソフトをインストールすることによって OpenVPN でセキュア SAMBA へ接続することができます 注意 OpenVPN 接続は仮想 IP を使用します ローカル環境にて IP 設定が被らない事をご確認下さい 万が一仮想 IP とローカル環境 IP が被るとローカル環境内接続が行えなくな

PC にソフトをインストールすることによって OpenVPN でセキュア SAMBA へ接続することができます 注意 OpenVPN 接続は仮想 IP を使用します ローカル環境にて IP 設定が被らない事をご確認下さい 万が一仮想 IP とローカル環境 IP が被るとローカル環境内接続が行えなくな 操作ガイド Ver.2.3 目次 1. インストール... - 2-2. SAMBA Remote 利用... - 9-2.1. 接続確認... - 9-2.2. 自動接続... - 11-2.3. 編集... - 13-2.4. インポート... - 16-2.5. 削除... - 18-2.6. 参考資料 ( 接続状況が不安定な場合の対処方法について )... - 19-2.6.1. サービスの再起動...

More information

<4D F736F F F696E74202D DB A B C C815B E >

<4D F736F F F696E74202D DB A B C C815B E > ネットワーク工学 第 13 課アプリケーションと トランスポート 学習内容アプリケーションプロトコル TCP 制御とポート番号 13.1.1 アプリケーションプロトコルの概要 ネットワークを利用するアプリケーション特有の通信処理を行う OSI モデルの第 5 6 7 層のすべての機能をもつ通信コネクションの管理 ( セッション ) データフォーマットの変換 ( プレゼンテーション ) 相手ホストとのやり取り

More information

Internet Initiative Japan Inc. プロトコルの脆弱性 ( 株 ) インターネットイニシアティブ 永尾禎啓 Copyright 2004, Internet Initiative Japan Inc.

Internet Initiative Japan Inc. プロトコルの脆弱性 ( 株 ) インターネットイニシアティブ 永尾禎啓 Copyright 2004, Internet Initiative Japan Inc. プロトコルの脆弱性 ( 株 ) インターネットイニシアティブ 永尾禎啓 nagao@iij.ad.jp Copyright 2004, TCP/IP プロトコルスタックの脆弱性 プロトコルの仕様から見た脆弱性の分類 1. 仕様は正しいが 実装上のバグ 2. 仕様の曖昧さに起因! 実装によっては脆弱性が存在 3. 仕様自体のバグ 4. バグではないが仕様上不可避な問題 プロトコルの脆弱性 とは " プロトコルの仕様に起因する脆弱性

More information

KDDI ホスティングサービス G120 KDDI ホスティングサービス G200 WordPress インストールガイド ( ご参考資料 ) rev.1.2 KDDI 株式会社 1

KDDI ホスティングサービス G120 KDDI ホスティングサービス G200 WordPress インストールガイド ( ご参考資料 ) rev.1.2 KDDI 株式会社 1 KDDI ホスティングサービス G120 KDDI ホスティングサービス G200 WordPress インストールガイド ( ご参考資料 ) rev.1.2 KDDI 株式会社 1 ( 目次 ) 1. WordPress インストールガイド... 3 1-1 はじめに... 3 1-2 制限事項... 3 1-3 サイト初期設定... 4 2. WordPress のインストール ( コントロールパネル付属インストーラより

More information

Template Word Document

Template Word Document 管理サービス (SSH FTP) に対する パスワード推測攻撃 NTT コミュニケーションズ株式会社 マネージドセキュリティサービス推進室 2013 年 12 月 25 日 Table of Contents 1 概要... 3 2 GROC での検知状況... 4 2.1 2.2 SSH に対するパスワード推測攻撃... 4 FTP に対するパスワード推測攻撃... 6 3 対策... 8 3.1

More information

株式会社 御中 Sample_SHIFT_Service 脆弱性診断報告書 報告書提出日 :20XX 年 月 日 サンプル 本報告書について本報告書は以下の脆弱性診断について その結果を報告します 診断期間 20XX 年 月 日 ~ 20XX 年 月 日 診断実施場所 - SHIFT SECURITY ( 東京都神谷町 ) IP: xxx.yyy.zzz.www 診断種別 Web アプリケーション診断

More information

SQL インジェクションの脆弱性

SQL インジェクションの脆弱性 別紙 脆弱性体験学習ツール AppGoat ハンズオンセミナー 演習解説 SQL インジェクションの脆弱性 [ 演習 ] AppGoat を用いた疑似攻撃体験 SQL インジェクションのテーマ 不正なログイン ( 文字列リテラル ) 画面上に Congratulations!! と表示されると演習クリアです 3 脆弱性のある箇所を特定する ログイン ID またはパスワードにシングルクォート ' を入力し

More information

LightSwitch で申請システム Windows ストアアプリで受付システムを構築してみた 情報政策グループ技術職員金森浩治 1. はじめに総合情報基盤センターでは 仮想サーバホスティングサービスや ソフトウェアライセンス貸与といった さまざまなエンドユーザ向けサービスを行っている 上記のよう

LightSwitch で申請システム Windows ストアアプリで受付システムを構築してみた 情報政策グループ技術職員金森浩治 1. はじめに総合情報基盤センターでは 仮想サーバホスティングサービスや ソフトウェアライセンス貸与といった さまざまなエンドユーザ向けサービスを行っている 上記のよう LightSwitch で申請システム Windows ストアアプリで受付システムを構築してみた 情報政策グループ技術職員金森浩治 1. はじめに総合情報基盤センターでは 仮想サーバホスティングサービスや ソフトウェアライセンス貸与といった さまざまなエンドユーザ向けサービスを行っている 上記のようなサービスを利用する際 エンドユーザは利用申請を行うが 利用申請手段はメールや紙となっている そのため

More information

<4D F736F F D2089E696CA8F4390B35F B838B CA816A>

<4D F736F F D2089E696CA8F4390B35F B838B CA816A> 新メールシステム (Gmail) ネットワークの切り替え作業のため 平成 23 年 6 月 30 日 ( 木 ) 正午から 30 分ほどのうちの 10 分程度 メールシステムに繋がらない場合があります ( メールが消失することはありません ) 時間をおいてから再度アクセスしてください 平成 23 年 6 月 30 日 ( 木 ) 正午頃から 7 月 2 日 ( 土 ) 頃までの間は 旧メールシステム

More information

目次〜.indd

目次〜.indd 目次 1 はじめに 3 1. 1 本書の目的 3 1. 2 セキュリティ ホールの一生 5 1. 2. 1 フルディスクロージャという思想 6 1. 3 セキュリティの階層 8 2 HTTP 通信の基礎 21 2. 1 Web アプリケーションとネットワーク 21 2. 2 階層化されている通信プロトコル 22 2. 3 HTTP 26 2. 4 パケットキャプチャによって 実際に確認する 27 2.

More information

WebARENA SuiteX V2 EC-CUBE 2.13 インストールマニュアル ( 標準 MySQL+ 非 SSL ) 作成 :2014 年 2 月 Ver.1.1

WebARENA SuiteX V2 EC-CUBE 2.13 インストールマニュアル ( 標準 MySQL+ 非 SSL ) 作成 :2014 年 2 月 Ver.1.1 WebARENA SuiteX V2 EC-CUBE 2.13 インストールマニュアル ( 標準 MySQL+ 非 SSL ) 作成 :2014 年 2 月 Ver.1.1 注意事項 EC-CUBE は株式会社ロックオンの提供するソフトウェアです ここでは株式会社ロックオンから提供されている EC-CUBE バージョン 2.13 のパッケージをご利用される前提で 基本的な設置手順を掲載しております

More information

McAfee Application Control ご紹介

McAfee Application Control ご紹介 SHieldWARE ファイル改ざん検知 / 防御機能 株式会社富士通ソーシアルサイエンスラボラトリ ファイル変更監視概要 指定したファイル / ディレクトリへの編集操作をリアルタイムで検知 サーバ 不正ユーザー Web コンテンツディレクトリ ログファイルディレクトリ ファイル読込 ファイル書込 事前定義したファイルへの書込を検知しログ出力 事前定義したファイルへの書込を検知しログ出力 改ざん 改ざん

More information

スライド 1

スライド 1 i-path ルータのフロー情報を用いた DoS 攻撃検知法 情報理工学専攻後藤研究室 5108B096-1 野上晋平 1 研究背景 従来のインターネット エンドノードからネットワーク内部の情報が得られない (ICMP を用いて間接的に得る ) ネットワークの多様化情報開示を求める声の高まり 2 研究概要 本研究ではこれまで注目されてないルータが持つ情報を活用する ルータを通過するフロー情報を用いて

More information

6-3.OS セキュリティに関する知識 OS のセキュリティ機能として必要な機能と オープンソース OS とし Ⅰ. 概要てもっとも利用が期待される Linux のセキュリティ管理に関して 電子メール Web CGI DNS などの具体的な管理手法について学ぶ Ⅱ. 対象専門分野職種共通 Ⅲ. 受講

6-3.OS セキュリティに関する知識 OS のセキュリティ機能として必要な機能と オープンソース OS とし Ⅰ. 概要てもっとも利用が期待される Linux のセキュリティ管理に関して 電子メール Web CGI DNS などの具体的な管理手法について学ぶ Ⅱ. 対象専門分野職種共通 Ⅲ. 受講 6-3- 応 OS セキュリティに関する知識 1 6-3.OS セキュリティに関する知識 OS のセキュリティ機能として必要な機能と オープンソース OS とし Ⅰ. 概要てもっとも利用が期待される Linux のセキュリティ管理に関して 電子メール Web CGI DNS などの具体的な管理手法について学ぶ Ⅱ. 対象専門分野職種共通 Ⅲ. 受講対象者 基礎的なコンピュータ科学 セキュリティ工学基礎

More information

SOC Report

SOC Report MS-IIS FTP Service5/6 の NLST コマンドの脆弱性について N T T コミュニケーションズ株式会社 IT マネジメントサービス事業部セキュリティオペレーションセンタ 2009 年 09 月 14 日 Ver. 1.1 1. 調査概要... 3 2. 検証結果... 3 2.1. 検証環境... 3 2.2. 検証結果 (NLST の POC)... 4 2.3. 検証結果

More information

2.2 Reflected XSS 攻撃攻撃者の用意した悪意のあるリンクとターゲットサーバが同じホストである場合の Reflected XSS 攻撃を, 本稿では Reflected XSS 攻撃と呼ぶ. 例えば, サーバ A の target.php に Reflected XSS 脆弱性があった

2.2 Reflected XSS 攻撃攻撃者の用意した悪意のあるリンクとターゲットサーバが同じホストである場合の Reflected XSS 攻撃を, 本稿では Reflected XSS 攻撃と呼ぶ. 例えば, サーバ A の target.php に Reflected XSS 脆弱性があった Busting Frame Busting 機能を備えた Click Jacking 攻撃と same-origin reflected XSS 攻撃 マルチメディア, 分散, 協調とモバイル (DICOMO2016) シンポジウム 平成 28 年 7 月 田邉杏奈 1 寺本健悟 2 齊藤泰一 1 概要 : Web アプリケーション上における攻撃手法の一つとして Click Jacking 攻撃がある.Click

More information

新環境への移行手順書

新環境への移行手順書 HOSTING 新環境への移行 手順書 株式会社ネットワールド 目次 1. はじめに... - 3-2. 弊社連絡先情報... - 4-2.1. 電話連絡先... - 4-2.2. メール連絡先... - 4-2.3. 対応時間... - 4-2.3.1. 電話対応... - 4-2.3.2. メール対応... - 4-3. 移行の流れ... - 5-4. 移行作業... - 6-4.1. WordPress

More information

Microsoft PowerPoint - lecture0515v07.pptx

Microsoft PowerPoint - lecture0515v07.pptx 概要 1 サイバー攻撃とマルウェア 目的から考えるサイバー攻撃の分類 マルウェアを利用した攻撃 公開サーバ ( ウェブサーバ ) に対する攻撃 その他の攻撃 名古屋大学情報基盤センター情報基盤ネットワーク研究部門嶋田創 2 3 目的から考えるサイバー攻撃の分類 攻撃の例 以下の 4 パターンで分類すると事後対応を考えやすい もちろん 例外や攻撃成功後の目的の移行なども考える 無差別な攻撃 標的を絞った攻撃

More information

マルウェアレポート 2018年1月度版

マルウェアレポート 2018年1月度版 マイニングマルウェア JS/CoinMiner の爆発的流行 ショートレポート 2018 年 1 月マルウェア検出状況 1. 1 月の概況について 2. マイニングマルウェア JS/CoinMiner の爆発的流行 3. 脆弱性を悪用した攻撃の種類が増加 1. 1 月の概況について 2018 年 1 月 1 日から 1 月 31 日までの間 ESET 製品が国内で検出したマルウェアの種類別の割合は

More information

金融工学ガイダンス

金融工学ガイダンス セキュリティ脅威 1( 不正アクセス ) 2013 年 10 月 8 日 後保範 1 情報セキュリティ脅威の種類 破壊 ( データの破壊 消去 ) 漏洩 ( 機密情報漏洩 個人情報漏洩 ) 改ざん (HPやデータベースの不正な書き換え) 盗難 ( ノートパソコンや書類 USBメモリ等の盗難 ) 不正利用 ( 通信回線 サーバー等の不正利用 ) サービス停止 ( 大量アクセス等で利用不能に ) 踏み台

More information

_mokuji_2nd.indd

_mokuji_2nd.indd 前書き 3 目次 5 第 1 章 UTM/ 次世代ファイアウォールを導入しよう 13 1-1 UTM が求められる背景 14 1-2 FortiGate の特徴 15 1-3 FortiGate が備えるセキュリティ機能 16 1-4 製品の種類と性能 18 [ コラム ]FortiGate の歴史 21 1-5 ハードウェア仕様 22 第 2 章 FortiGate の基本設定 25 2-1 FortiGate

More information

1. ネットワーク経由でダウンロードする場合の注意事項 ダウンロード作業における確認事項 PC 上にファイアウォールの設定がされている場合は 必ずファイアウォールを無効にしてください また ウイルス検知ソフトウェアが起動している場合は 一旦その機能を無効にしてください プリンターは必ず停止状態 (

1. ネットワーク経由でダウンロードする場合の注意事項 ダウンロード作業における確認事項 PC 上にファイアウォールの設定がされている場合は 必ずファイアウォールを無効にしてください また ウイルス検知ソフトウェアが起動している場合は 一旦その機能を無効にしてください プリンターは必ず停止状態 ( ファームウェアのダウンロード手順 概要 機能変更や修正のために プリンターを制御するファームウェアを PC から変更することが可能です ファームウェアはホームページ (http://www.jbat.co.jp) から入手可能です ファームウェアは プリンター本体制御用のファームウェアと Interface Card 用ファームウェアの 2 種類で それぞれ独自にダウンロード可能です プリンター本体制御用のファームウェアは

More information

べきでない悪意のあるSQL 文が攻撃者から入力された場合 データベースで実行される前にSQL 文として処理されないよう無効化する必要がありますが ( 図 1 1) 無効化されずにデータベースで実行された場合 データベースの操作が可能となります ( 図 1 2) 本脆弱性を悪用するとデータベース接続ユ

べきでない悪意のあるSQL 文が攻撃者から入力された場合 データベースで実行される前にSQL 文として処理されないよう無効化する必要がありますが ( 図 1 1) 無効化されずにデータベースで実行された場合 データベースの操作が可能となります ( 図 1 2) 本脆弱性を悪用するとデータベース接続ユ 事務連絡 平成 24 年 1 月 19 日 各府省庁情報セキュリティ担当課室長あて ( 注意喚起 ) 情報セキュリティ対策推進会議オフ サ ーハ ー機関情報セキュリティ担当課室長等あて ( 情報提供 ) 内閣官房情報セキュリティセンター内閣参事官 ( 政府機関総合対策促進担当 ) 公開ウェブサーバ脆弱性検査において複数の省庁で確認された脆弱性について ( 注意喚起 ) 内閣官房情報セキュリティセンターでは

More information

汎用プロキシ利用案内 汎用プロキシ利用案内 目次 汎用プロキシ利用案内 はじめに 汎用プロキシとは 利用可能なポート 概要 動作環境 インストール Windows <I

汎用プロキシ利用案内 汎用プロキシ利用案内 目次 汎用プロキシ利用案内 はじめに 汎用プロキシとは 利用可能なポート 概要 動作環境 インストール Windows <I 目次...- 1-1. はじめに...- 1 - 汎用プロキシとは...- 1 - 利用可能なポート...- 1 - 概要...- 1 - 動作環境...- 1-2. インストール...- 2 - Windows...- 2 - ...- 2 - ...- 5 - Macintosh...- 7 - ...- 7-3. 次回以降の利用方法...-

More information

XAMPP で CMS のお手軽 テスト環境を手に入れよう 2011/5/21 上村崇 1

XAMPP で CMS のお手軽 テスト環境を手に入れよう 2011/5/21 上村崇 1 XAMPP で CMS のお手軽 テスト環境を手に入れよう 2011/5/21 上村崇 1 CMS はphpファイルなど 動的なファイルばかりで 構成されています 2 パソコン上で静的な html ファイルは 開くことはできます しかし php ファイルはうまく表示されません 3 パソコン上では CMS の動作確認 はうまく行えません 4 CMS のデザインを編集するときの 一般的なフロー 5 ファイルを修正するたびに

More information

PowerPoint プレゼンテーション

PowerPoint プレゼンテーション 情報種別 : 公開会社名 : NTT データイントラマート情報所有者 : 開発本部 intra-mart で運用する場合の セキュリティの考え方 株式会社 NTT データイントラマート Webアプリケーションのセキュリティ対策 一般的にセキュリティ 脆弱性 対策は次に分類されます ①各製品部分に潜むセキュリティ対策 製品の中でも 次のように分類したとします A サーバOS Java データベース製品

More information

TFTP serverの実装

TFTP serverの実装 TFTP サーバーの実装 デジタルビジョンソリューション 佐藤史明 1 1 プレゼンのテーマ組み込みソフトのファイル転送を容易に 2 3 4 5 基礎知識 TFTP とは 実践 1 実際に作ってみよう 実践 2 組み込みソフトでの実装案 最後におさらい 2 プレゼンのテーマ 組み込みソフトのファイル転送を容易に テーマ選択の理由 現在従事しているプロジェクトで お客様からファームウェアなどのファイル転送を独自方式からTFTPに変更したいと要望があった

More information

製品を使う前に基本操作インターネットアプリケーション Q&A 付録 Web Internet Explorer の使い方 1 Web Web Windows Internet Explorer Web Internet Explorer Internet Explorer を ❶ 起動する Inte

製品を使う前に基本操作インターネットアプリケーション Q&A 付録 Web Internet Explorer の使い方 1 Web Web Windows Internet Explorer Web Internet Explorer Internet Explorer を ❶ 起動する Inte 製品を使う前に基本操作インターネットアプリケーション Q&A 付録 Web Internet Explorer の使い方 1 Web Web Windows Internet Explorer Web Internet Explorer Internet Explorer を 起動する Internet Explorer Web URL Web Internet Explorer が 起動する Internet

More information

目的 概要 全体像 概念図 用語の定義 用語 説明 用語 説明 用語 説明 用語 説明 参考資料

目的 概要 全体像 概念図 用語の定義 用語 説明 用語 説明 用語 説明 用語 説明 参考資料 ID シート説明 1 背景 趣旨 Web サービス Web サイトの制作背景と趣旨 全体像 概念図 用語の定義 参考資料 2 プロジェクト作業スコープ プロジェクト体制 納品物 納品場所 受け渡し 想定スケジュール 3 サイト構成対象サイト種別 対象 OS 対象ブラウザ サイトマップ 4 システム要件機能要求 非機能要求 5 技術要件 開発言語 プラットフォーム (OS) 実装ミドルウェア 通信プロトコル

More information

プレゼンテーション

プレゼンテーション 統合ログ管理ソリューションでマルウェアを発見し 情報漏洩を防ぐためには? McAfee SIEM と CAPLogger SFChecker マルウェアの発見概要 従来型アンチマルウェアによる発見 新型アンチマルウェアによる発見 振る舞い検知 レピュテーション サンドボックス SIEM による不審動作発見 マルウェア感染が疑われる PC の特定 発見後の課題 Copyright 2014 dit Co.,

More information

Microsoft Word - XOOPS インストールマニュアルv12.doc

Microsoft Word - XOOPS インストールマニュアルv12.doc XOOPS インストールマニュアル ( 第 1 版 ) 目次 1 はじめに 1 2 XOOPS のダウンロード 2 3 パッケージの解凍 4 4 FFFTP によるファイルアップロード手順 5 5 ファイルアップロード後の作業 11 6 XOOPS のインストール 15 7 インストール後の作業 22 8 XOOPS ログイン後の作業 24 愛媛県総合教育センター情報教育研究室 Ver.1.0.2

More information

SQLインジェクション・ワームに関する現状と推奨する対策案

SQLインジェクション・ワームに関する現状と推奨する対策案 SQL インジェクション ワームに関する現状と推奨する対策案 - 新たな脆弱性と攻撃の巧妙化についての報告 - 2008/5/29 診断ビジネス部辻伸弘松田和之 前回 5 月 21 日付けのレポートで報告した SQL インジェクション ワームに関する現状と推奨する対策案 に加え 新たに利用される脆弱性が確認されましたので ご報告いたします 状況 誘導先サイトが攻撃に利用する脆弱性に 新たに Adobe

More information

【EW】かんたんスタートマニュアル

【EW】かんたんスタートマニュアル かんたんスタートマニュアル ここでは 新規お申込み後に メールの設定および 基本的な ( 静的な ) サイトを 設定するまでの方法をご案内致します 静的なサイトとは プログラムやデータベースなどを使わない テキストデータおよび画像などで構成された HTML のサイトです コントロールパネルへログインする ユーザーポータル ( お客様管理ページ ) にてログイン情報を確認する http://secure.windowshosting.jp/index.php

More information

9 WEB監視

9  WEB監視 2018/10/31 02:15 1/8 9 WEB 監視 9 WEB 監視 9.1 目標 Zabbix ウェブ監視は以下を目標に開発されています : ウェブアプリケーションのパフォーマンスの監視 ウェブアプリケーションの可用性の監視 HTTPとHTTPSのサポート 複数ステップで構成される複雑なシナリオ (HTTP 要求 ) のサポート 2010/08/08 08:16 Kumi 9.2 概要 Zabbix

More information

SHODANを悪用した攻撃に備えて-制御システム編-

SHODANを悪用した攻撃に備えて-制御システム編- SHODAN を悪用した攻撃に備えて - 制御システム編 - 一般社団法人 JPCERT コーディネーションセンター制御システムセキュリティ対策グループ 2015 年 6 月 9 日 ( 初版 ) 1 SHODAN とは? 1.1 SHODAN とは? SHODAN とは インターネット上に公開されている様々な機器 ( 表 1 参照 ) に関する情報をデータベース化し インターネット上のサービスとして検索可能にする

More information

X-MON 3.1.0

X-MON 3.1.0 株式会社エクストランス X-MON 3.1.0 アップデート内容 内容機能追加... 3 LDAP 認証機能... 3 LDAP サーバ管理... 3 ユーザ管理... 8 アップデート内容通知機能... 11 Windows サーバ再起動コマンド... 13 変更箇所... 14 エスカレーション設定改修... 14 不具合の修正... 20 監視プラグイン... 20 複数の監視プラグイン...

More information

ご利用のブラウザのバージョンによっては 若干項目名が異なる場合があります 予めご了承ください Windows をお使いの場合 [ 表示 ] [ エンコード ] [ 日本語 ( 自動選択 )] を選択 [ 表示 ] [ エンコード ] [Unicode(UTF-8)] を選択 Firefox をご利用

ご利用のブラウザのバージョンによっては 若干項目名が異なる場合があります 予めご了承ください Windows をお使いの場合 [ 表示 ] [ エンコード ] [ 日本語 ( 自動選択 )] を選択 [ 表示 ] [ エンコード ] [Unicode(UTF-8)] を選択 Firefox をご利用 FAQ よくあるご質問 宿泊予約申込 Web サイトについて Q. 1 設定は正しいのですが ログインできません LAN に導入されているファイアーウォール ( ネットワークのセキュリティのための仕組み ) が SSL によるデータ通信を許可していない場合があります その場合はログイン画面を開くことができません 詳しくは 所属機関のネットワーク管理担当部署までお尋ねください また プロキシサーバ経由でアクセスする場合は以下の設定に誤りが無いか

More information

( 目次 ) 1. はじめに 開発環境の準備 仮想ディレクトリーの作成 ASP.NET のWeb アプリケーション開発環境準備 データベースの作成 データベースの追加 テーブルの作成

( 目次 ) 1. はじめに 開発環境の準備 仮想ディレクトリーの作成 ASP.NET のWeb アプリケーション開発環境準備 データベースの作成 データベースの追加 テーブルの作成 KDDI ホスティングサービス (G120, G200) ブック ASP.NET 利用ガイド ( ご参考資料 ) rev.1.0 KDDI 株式会社 1 ( 目次 ) 1. はじめに... 3 2. 開発環境の準備... 3 2.1 仮想ディレクトリーの作成... 3 2.2 ASP.NET のWeb アプリケーション開発環境準備... 7 3. データベースの作成...10 3.1 データベースの追加...10

More information

アルファメールプレミア 移行設定の手引き

アルファメールプレミア 移行設定の手引き サーババージョン 2 に切替えされるお客様へ アルファメールプレミア サーババージョン切替えの手引き ( 管理者向け ) http://www.alpha-prm.jp/ 必ずお読みください 本資料は現在ご利用中の Web サーバをバージョン 1 からサーババージョン 2 へ切替えされるお客様の管理者用の資料です 手順にそった操作 お手続きが行われない場合 正常に移行が完了できない可能性がございます

More information

2 目次 1 はじめに 2 システム 3 ユーザインタフェース 4 評価 5 まとめと課題 参考文献

2 目次 1 はじめに 2 システム 3 ユーザインタフェース 4 評価 5 まとめと課題 参考文献 1 検索エンジンにおける 表示順位監視システムの試作 工学部第二部経営工学科沼田研究室 5309048 鳥井慎太郎 2 目次 1 はじめに 2 システム 3 ユーザインタフェース 4 評価 5 まとめと課題 参考文献 3 1-1 背景 (1) 1 はじめに インターネットユーザーの多くが Yahoo や Google などの検索エンジンで必要とする ( 興味のある ) 情報の存在場所を探している.

More information

人類の誕生と進化

人類の誕生と進化 2017/7/27 第 14 回易しい科学の話 何でもできる インターネットの仕組み 吉岡芳夫 このテクストは www.soumu.go.jp/main_sosiki/joho_tsusin/.../k01_inter.htm をもとに作成しました 1 インターネットとは インターネットは 世界中のネットワークが接続されたネットワークで プロバイダが持っているサーバーによって インターネットに接続されます

More information

v6

v6 / v6 27 13 22 v6 1 v6 NTT セキュリティ対策ツールサポート情報 http://f-security.jp/ 1...6 2...8 3... 13 4... 17 5... 20 6... 22 7...24 8... 28 9... 30 10 Web... 32 11... 44 12...48 13... 49 14... 53 15 OS... 57 16... 59

More information

PowerPoint Presentation

PowerPoint Presentation IDENTITY AWARENESS 設定ガイド (AD クエリ編 ) 1 はじめに 本ガイドは AD サーバと連携してユーザ ( グループ ) ベースでアクセス制御を実現する手順を解説します (AD クエリ ) 本ガイドでは基本的な設定 ポリシーはすでにセットアップ済みであることを想定しています 構成については 分散構成セットアップ ガイド スタンドアロン構成セットアップ ガイド等を参照してください

More information

030403.インターネット問題

030403.インターネット問題 インターネット問題 問 1 Webサーバにおいて, クライアントからの要求に応じてアプリケーションプログラムを実行して, その結果をブラウザに返すなどのインタラクティブなべージを実現するために,Webサーバと外部プログラムを連携させる仕組みはどれか ア CGI イ HTML ウ MIME エ URL 問 2 利用者のパソコンから電子メールを送信するときや, メールサーバ間で電子メールを転送する ときに使われるプロトコルはどれか

More information

版数 更新日 更新理由 /12/21 初版制定 /7/25 平成 28 年度初版制定 /8/7 平成 29 年度初版制定 /11/13 機能追加に伴い以下の箇所を更新 4 ログイン を更新 6 コメント対象情報参照 を更新 7 新規コメ

版数 更新日 更新理由 /12/21 初版制定 /7/25 平成 28 年度初版制定 /8/7 平成 29 年度初版制定 /11/13 機能追加に伴い以下の箇所を更新 4 ログイン を更新 6 コメント対象情報参照 を更新 7 新規コメ 環境情報開示基盤整備事業コミュニケーションツール操作マニュアル ( 企業向け ) 4.0 版 版数 更新日 更新理由 1.0 2015/12/21 初版制定 2.0 2016/7/25 平成 28 年度初版制定 3.0 2017/8/7 平成 29 年度初版制定 3.1 2017/11/13 機能追加に伴い以下の箇所を更新 4 ログイン を更新 6 コメント対象情報参照 を更新 7 新規コメント送信

More information

SiteLock操作マニュアル

SiteLock操作マニュアル SiteLock 操作マニュアル ~ エントリープラン向け ~ XSS 脆弱性診断 SQL インジェクション脆弱性診断 アプリ診断 GMO クラウド株式会社 2017 GMO CLOUD K.K. All Rights Reserved. 目次 1. XSS( クロスサイトスクリプティング ) とは?... 2 2. XSS 脆弱性診断 (XSS SCAN) とは?... 2 3. SQL インジェクション

More information

/ 11

/ 11 / 11 1 セキュリティ対策ツールサポート情報 http://f-security.jp/ 1...6 2...8 3... 13 4... 16 5... 18 6...20 7... 23 8... 25 9 Web... 27 10... 39 11...41 12... 44 13... 47 14... 51 15 OS... 55 16... 57 17... 59 18... 69...

More information

スライド 1

スライド 1 Man in the Browser in Androidの可能性 Fourteenforty Research Institute, Inc. Fourteenforty Research Institute, Inc. 株式会社フォティーンフォティ技術研究所 http://www.fourteenforty.jp Ver 2.00.01 1 Android の普及と Man in the Browser

More information

マルウェアレポート 2018年3月度版

マルウェアレポート 2018年3月度版 インターネットバンキングの認証情報窃取を狙ったマルウェアを多く検出 ショートレポート 1. 3 月の概況について 2. バンキングマルウェア Ursnif 感染を狙った添付メール攻撃 3. 偽のシステム警告を表示する詐欺サイト 1. 3 月の概況について 2018 年 3 月 1 日から 3 月 31 日までの間 ESET 製品が国内で検出したマルウェアの種類別の割合は 以 下のとおりです 国内マルウェア検出数の比率

More information

Pirates Buster Series Secure Viewer セットアップマニュアル (Web インストーラ)

Pirates Buster Series Secure Viewer セットアップマニュアル (Web インストーラ) Pirates Buster Series Secure Viewer セットアップマニュアル (Web インストーラ ) Pirates Buster for Document Pirates Buster for WebDocument 本書の利用方法 目的と概要本書は Web インストーラを利用した Secure Viewer のインストールについて説明します 利用対象者本書は 暗号化されたファイルの利用者を対象としています

More information

マルウェアレポート 2018年2月度版

マルウェアレポート 2018年2月度版 Web ブラウザー上の脅威を多く観測 ショートレポート 2018 年 2 月マルウェア検出状況 1. 2 月の概況について 2. バンキングマルウェア Ursnif 感染を狙ったメール攻撃 3. Adobe Flash Player の脆弱性を突いた攻撃を確認 1. 2 月の概況について 2018 年 2 月 1 日から 2 月 28 日までの間 ESET 製品が国内で検出したマルウェアの種類別の割合は

More information

本製品に接続された端末の IPv6 情報が表示されます 端末に割り当てられた IPv6 アドレス IPv6 アドレスを取得した端末の MAC アドレスが確認できます 注意 : 本ページに情報が表示されるのは本製品が 上位から IPv6 アドレスを取得した場合のみとなります DDNSサービス :DDN

本製品に接続された端末の IPv6 情報が表示されます 端末に割り当てられた IPv6 アドレス IPv6 アドレスを取得した端末の MAC アドレスが確認できます 注意 : 本ページに情報が表示されるのは本製品が 上位から IPv6 アドレスを取得した場合のみとなります DDNSサービス :DDN Web 設定画面へのログイン 1. 本製品とパソコンを有線 (LAN ケーブル ) もしくは無線で接続します 2.Web ブラウザ (Internet Explorer Firefox Safari Chrome など ) を起動し 192.168.0.1 を入力し [Enter] キーを押す 1 1 3. ユーザー名 パスワードを入力し [OK] ボタンを押す 入力するユーザー名とパスワードは 本製品に貼付されているラベル記載の

More information

PowerPoint プレゼンテーション

PowerPoint プレゼンテーション 情報種別 : 公開会社名 : NTT データイントラマート情報所有者 : 開発本部 intra-mart で運用する場合の セキュリティの考え方 株式会社 NTT データイントラマート Webアプリケーションのセキュリティ対策 一般的にセキュリティ 脆弱性 対策は次に分類されます ①各製品部分に潜むセキュリティ対策 製品の中でも 次のように分類したとします A サーバOS Java データベース製品

More information

2

2 クラウドサービス設定マニュアル (CentOS6 版 ) 第 1.1 版 2017 年 3 月 13 日 作成日 最終更新日 2016 年 7 月 29 日 2017 年 3 月 13 日 青い森クラウドベース株式会社 1 2 目次 1. はじめに... 5 2. 組織 VDC ネットワークの新規作成... 6 2-1. ネットワークタイプの選択... 7 2-2. ネットワークの構成... 8 2-3.

More information

Microsoft PowerPoint - lecture0419v03.pptx

Microsoft PowerPoint - lecture0419v03.pptx 全学メールの利用 名古屋大学情報基盤センター情報基盤ネットワーク研究部門嶋田創 1 全学メールサービス 名大 ID 所持者にメールアカウントを提供 http://www.icts.nagoya-u.ac.jp/ja/services/numail/ 検索情報 : 名大全学メール 自分のメールアカウントの確認も可能 ( 名大 IDでログイン ) Webメール ( ブラウザから使える ) もあります https://www2.itc.nagoya-u.ac.jp/zengakumail/

More information

Thunderbird 利用 Windows Mac 共通 Thunderbird を利用した移行は Web メールのフォルダを階層化している場合 移行ができない場合があります この場合の移行は Outlook を利用した移行で行ってください メールの移行マニュアル 本書は Office 365 導

Thunderbird 利用 Windows Mac 共通 Thunderbird を利用した移行は Web メールのフォルダを階層化している場合 移行ができない場合があります この場合の移行は Outlook を利用した移行で行ってください メールの移行マニュアル 本書は Office 365 導 Thunderbird 利用 Windows Mac 共通 Thunderbird を利用した移行は Web メールのフォルダを階層化している場合 移行ができない場合があります この場合の移行は Outlook を利用した移行で行ってください メールの移行マニュアル 本書は Office 365 導入に伴い 現在利用している Web メールから Office 365 へのメールデータをコピー移行する手順になります

More information

SAMBA Remote(Mac) 編 PC にソフトをインストールすることによって OpenVPN でセキュア SAMBA へ接続することができます 注意 OpenVPN 接続は仮想 IP を使用します ローカル環境にて IP 設定が被らない事をご確認下さい 万が一仮想 IP とローカル環境 IP

SAMBA Remote(Mac) 編 PC にソフトをインストールすることによって OpenVPN でセキュア SAMBA へ接続することができます 注意 OpenVPN 接続は仮想 IP を使用します ローカル環境にて IP 設定が被らない事をご確認下さい 万が一仮想 IP とローカル環境 IP 操作ガイド Ver.2.3 目次 1. インストール... - 2-2. SAMBA Remote 利用... - 5-2.1. 接続確認... - 5-2.2. 自動接続... - 10-2.3. 編集... - 12-2.4. インポート... - 15-2.5. 削除... - 17-2.6. 参考資料 ( 接続状況が不安定な場合の対処方法について )... - 18-2.6.1. サービスの再起動...

More information

SAMBA Stunnel(Mac) 編 1. インストール 1 セキュア SAMBA の URL にアクセスし ログインを行います xxxxx 部分は会社様によって異なります xxxxx 2 Mac OS 版ダウンロー

SAMBA Stunnel(Mac) 編 1. インストール 1 セキュア SAMBA の URL にアクセスし ログインを行います   xxxxx 部分は会社様によって異なります xxxxx 2 Mac OS 版ダウンロー 操作ガイド Ver.2.3 目次 1. インストール... - 2-2. SAMBA Stunnel 利用... - 5-2.1. 接続確認... - 5-2.2. 編集... - 9-2.3. インポート... - 12-2.4. 削除... - 14-3. 動作環境... - 15-4. 参考資料 ( 接続状況が不安定な場合の対処方法について )... - 16-4.1. サービスの再起動...

More information

感染条件感染経路タイプウイルス概要 前のバージョン Adobe Reader and Acrobat より前のバージョン Adobe Reader and Acrobat before より前のバージョン Adobe Flash Player before

感染条件感染経路タイプウイルス概要 前のバージョン Adobe Reader and Acrobat より前のバージョン Adobe Reader and Acrobat before より前のバージョン Adobe Flash Player before 1. PDF-Exploit-m 情報 1.1 PDF-Exploit-m の流行情報 2011 年 9 月に 日本の防衛産業メーカーの 1 社が標的型のサイバー攻撃被害に遭い 複数のサーバやパソコンが本ウイルスに感染する被害が発生したと報じられた ( 被害に遭ったのは同年 8 月 ) 今回解析する PDF-Exploit-m は そのウイルスの亜種と思われる PDF ファイルである この標的型攻撃は

More information

情報通信の基礎

情報通信の基礎 情報通信の基礎 2016 年 5 月 19 日 ( 木 ) 第 4 回授業 1 本日の予定 グローバルIPアドレスとプライベートIPアドレス DHCPサーバ (IPアドレスの自動割り当て等) DNSサーバ ( 名前解決 ) MACアドレス ARP( アドレス解決プロトコル ) ネットワークの階層モデル アプリケーションを識別するポート番号 2 TCP/IP (Transmission Control

More information

Microsoft Word - Gmail-mailsoft設定2016_ docx

Microsoft Word - Gmail-mailsoft設定2016_ docx 全学 Gmail メールソフト設定方法 総合情報メディアセンター情報基盤部門 2016 年 6 月 1 日 はじめに 1 1 Gmail との連携を有効にする 2 2 Gmail にて POP または IMAP を有効にする 3 3 アカウントでの設定 5 4 メールソフトへの設定 7 5 設定例 :Windows メールのアカウント追加手順 9 6 設定例 :Windows メールのアカウント追加手順

More information

UNIVERGE SG3000 から SG3600 Ver.6.2(2012 年モデル ) への 移行手順 All Rights Reserved, Copyright(C) NEC Corporation 2017 年 11 月 4 版

UNIVERGE SG3000 から SG3600 Ver.6.2(2012 年モデル ) への 移行手順 All Rights Reserved, Copyright(C) NEC Corporation 2017 年 11 月 4 版 UNIVERGE SG3000 から SG3600 Ver.6.2(2012 年モデル ) への 移行手順 2017 年 11 月 4 版 目次 1. はじめに... 1 2. 事前準備... 2 2.1 バックアップデータの移行に必要なもの... 2 2.2 事前準備... 3 3. 移行手順... 5 3.1 初期設定の実行... 5 3.2 バックアップデータのリストア... 5 4. 注意制限事項...

More information

Microsoft Word - ssVPN MacOS クライアントマニュアル_120版.doc

Microsoft Word - ssVPN  MacOS クライアントマニュアル_120版.doc Mac OS クライアントソフトマニュアル 第 1.10/1.20 版 2014 年 1 月 7 日 - 目次 - はじめに... 3 1 動作環境... 3 2 インストール... 3 3 ssvpn の起動... 3 4 システム環境設定 ( Mac OS X 10.8, 10.9 )... 5 4.1 システム環境設定手順... 5 5 接続先設定 編集 削除... 8 5.1 新規接続先を設定する...

More information

Cisco CSS HTTP キープアライブと ColdFusion サーバの連携

Cisco CSS HTTP キープアライブと ColdFusion サーバの連携 Cisco CSS 11000 HTTP キープアライブと ColdFusion サーバの連携 目次 概要 HTTP ヘッダーについて HTTP HEAD メソッドと HTTP GET メソッドの違いについて ColdFusion サーバの HTTP キープアライブへの応答方法 CSS 11000 で認識される HTTP キープアライブ応答もう 1 つのキープアライブ URI と ColdFusion

More information

novas HOME+CA WEB 設定画面アクセス方法 novas HOME+CA の WEB 設定画面接続方法 本製品の設定は WEB 設定画面から変更できます WEB 設定画面のアクセス方法は以下のとおりです 1 本製品と有線または無線 LAN で接続した端末で WEB ブラウザを起動します

novas HOME+CA WEB 設定画面アクセス方法 novas HOME+CA の WEB 設定画面接続方法 本製品の設定は WEB 設定画面から変更できます WEB 設定画面のアクセス方法は以下のとおりです 1 本製品と有線または無線 LAN で接続した端末で WEB ブラウザを起動します novas HOME+CA WEB 設定ガイド WEB 設定ガイドの内容は 製品の機能向上及びその他の理由により 予告なく変更される可能性がございます novas HOME+CA WEB 設定画面アクセス方法 novas HOME+CA の WEB 設定画面接続方法 本製品の設定は WEB 設定画面から変更できます WEB 設定画面のアクセス方法は以下のとおりです 1 本製品と有線または無線 LAN

More information

PowerPoint プレゼンテーション

PowerPoint プレゼンテーション EX AntiMalware v7 USAV Ⅱ UTM セキュリティ機能詳細 1. ファイアウォール 2. IPS 3. アンチウイルス 5. URL フィルタリング 6. アプリケーションコントロール 7. アンチボット 4. スパムメールフィルタ ファイアウォール ファイアウォールの草分け的な製品である Firewall-1 で培った技術と性能を有する 17 万を超える企業に 採用されている業界最先端のファイアウォールです

More information

SOC Report

SOC Report Web ブラウザの SOCKS 実装状況について N T T コ ミ ュ ニ ケ ー シ ョ ン ズ株式会社 経営企画部 マネージドセキュリティサービス推進室 セ キ ュ リ テ ィ オ ペ レ ー シ ョ ン担当 2013 年 03 月 11 日 Ver. 1.0 1. 調査概要... 3 1.1. 調査概要... 3 2. SOCKS とは... 3 2.1. SOCKSとは... 3 2.2.

More information

安全なウェブサイトの作り方 7 版 の内容と資料活用例 2

安全なウェブサイトの作り方 7 版 の内容と資料活用例 2 安全なウェブサイトの作り方 と 届出られたウェブサイトの脆弱性の実情 独立行政法人情報処理推進機構 (IPA) 技術本部セキュリティセンター 安全なウェブサイトの作り方 7 版 の内容と資料活用例 2 2016 年のウェブサイトにまつわる事件 時期 報道 2016/1 セキュリティー会社不覚 顧客情報が流出金銭要求届く ( 朝日新聞 ) 2016/1 厚労省サイト 再び閲覧不能サイバー攻撃か ( 日経新聞

More information

共通フィルタの条件を設定する 迷惑メール検知 (SpamAssassin) の設定 迷惑メール検知 (SpamAssassin) とは.

共通フィルタの条件を設定する 迷惑メール検知 (SpamAssassin) の設定 迷惑メール検知 (SpamAssassin) とは. 目次 はじめに サービス内容............................................................ 8 基本サービス.......................................................... 8 オプションサービス....................................................

More information

Microsoft Word - FTTH各種設定手順書(鏡野地域対応_XP項目削除) docx

Microsoft Word - FTTH各種設定手順書(鏡野地域対応_XP項目削除) docx 2 1: ネットワーク設定手順書 が完了後に行なってください 140502 鏡野町有線テレビ 各種設定手順書 この手順書では以下の内容の手順を解説しています メール設定 ホームページの掲載 お客様がご利用の OS により設定方法が異なる部分があります OS をご確認の上 作業を行なってください お客様のパソコン環境によっては 本手順書に記載されている内容と異なる場合があります 本手順書は 鏡野町有線テレビのインターネット接続サービスを利用するためのものです

More information

正誤表(FPT0417)

正誤表(FPT0417) 正誤表 よくわかるマスター CompTIA Security+ 問題集試験番号 :SY0-101 対応 FPT0417 改版時期 奥付日付 2004 年 11 月 23 日 2007 年 09 月 03 日 2008 年 08 月 11 日 版数第 1 版 修正箇所 P 30 問題 89 c. 信頼性 c. 冗長性 P 64 問題 89 c 5 行目 ユーザの信頼性を確保することができます そのため

More information

conf_example_260V2_inet_snat.pdf

conf_example_260V2_inet_snat.pdf PPPoE 接続環境におけるサーバ公開 ( スタティック NAT) PPPoE を使用してインターネットサービスプロバイダ ( 以下 ISP) に接続します ISP の複数固定グローバル IP アドレス契約を使用し スタティック NAT による Web/SMTP/DNS サーバ公開を実現します インターフェース ENAT により 複数クライアントからのインターネット向け通信も可能です ISP からは

More information

◎phpapi.indd

◎phpapi.indd PHP や HTML の知識がなくても大丈夫 PHP や HTML の基本も学べる FileMaker データベースを Web に公開したい FileMaker を使って動的な Web サイトを作りたい FileMaker しか知らない人が Web アプリケーションを作れるようになる! はじめに まず 本書を手に取ってくださりありがとうございます 本書はある程度 FileMaker Pro の扱いに慣れ

More information

Microsoft PowerPoint - janog15-irr.ppt

Microsoft PowerPoint - janog15-irr.ppt JPIRR IRRの未来 JPNIC 川端宏生 NTT コミュニケーションズ JPNIC IRR 企画策定専門家チーム Chair 吉田友哉 発表内容 JPNIC IRR(JPIRR) の正式サービス化へ向けた検討報告 川端宏生 JPIRR IRR の未来 吉田友哉 2005/1/21 copyright (c) JPNIC

More information

スライド 1

スライド 1 サーバ / アプリケーション / ネットワーク監視ソフトウェア SIGNAlert は マルチプラットフォーム対応のサーバ / アプリケーション / ネットワーク監視ソフトウェアです TCP/IP で接続された LAN において 複数の監視対象マシンをリアルタイムに監視します SIGNAlert 製品紹介 セゾン情報システムズ HULFT 事業部 2 SIGNAlert とは OS ハードウェア監視

More information

目次 1. 概要 本書について CGI バージョンについて はじめに カメラへの不正アクセスを防ぐ 定期的にファームウェアを確認する デバイスへの不要なアクセスを避ける

目次 1. 概要 本書について CGI バージョンについて はじめに カメラへの不正アクセスを防ぐ 定期的にファームウェアを確認する デバイスへの不要なアクセスを避ける ネットワークカメラ 2018 年 7 月 01 日 G6G7TG001 改訂 1.0.0 テクニカルガイド SNC シリーズ G6/G7 目次 1. 概要... 3 1.1. 本書について... 3 1.2. CGI バージョンについて... 3 2. はじめに... 4 2.1. カメラへの不正アクセスを防ぐ... 4 2.2. 定期的にファームウェアを確認する... 6 2.3. デバイスへの不要なアクセスを避ける...

More information

学生実験

学生実験 1 学生実験 5 日目 DNS IP ネットワークアーキテクチャ 江崎研究室 DNS Domain Name System 2 インターネット上の名前解決を実現 正引き www.ee.t.u-tokyo.ac.jp 157.82.13.244 逆引き 3 名前空間 インターネットで唯一ドメイン = 名前空間内の範囲 www.ee.t.u-tokyo.ac.jp の場合. (root) com jp

More information

Microsoft Word 基_シラバス.doc

Microsoft Word 基_シラバス.doc 4-5- 基 Web アプリケーション開発に関する知識 1 4-5- 基 Web アプリケーション開発に関する知識 スクリプト言語や Java 言語を利用して Ruby on Rails やその他 Web フレームワークを活用して HTML(4, 5) XHTML JavaScript DOM CSS といったマークアップ言語およびスクリプト言語を活用しながら Ⅰ. 概要ダイナミックなWebサービスを提供するアプリケーションを開発する際に

More information

Microsoft PowerPoint ï½žéł»å�’å–¥æœ�ㇷㇹㅃㅀ㇤ㅳㇹㅋㅼㅫ曉逃.ppt [äº™æ‘łã…¢ã…¼ã…›]

Microsoft PowerPoint ï½žéł»å�’å–¥æœ�ㇷㇹㅃㅀ㇤ㅳㇹㅋㅼㅫ曉逃.ppt [äº™æ‘łã…¢ã…¼ã…›] 電子入札システムクライアント V4 インストール手順 平成 30 年 3 月 富山市財務部契約課 注意事項 平成 30 年 3 月以降は現在インストールしていただいている 電子入札システムクライアント V3 は使用できなくなります 本手順に従い必ず 電子入札システムクライアント V4 をインストールしてください Windows10 の標準ブラウザ Microsoft Edge は富山市電子入札システムを使用できません

More information

SciFinder (Web版) のエラーへの対処法

SciFinder (Web版) のエラーへの対処法 SciFinder (Web 版 ) のエラーへの対処法 一般社団法人化学情報協会 2011 年 4 月改訂 ケース 1:SciFinder (Web 版 ) にアクセスできない ブラウザーの お気に入り から SciFinder (Web 版 ) にアクセスしている場合, 左記のエラー (HTTP 500 内部サーバーエラー ) によりアクセスできない. 解決方法 : お気に入りに登録された URL

More information