まったり技術ブログ

Webエンジニアのセキュリティブログ

2022-01-01から1年間の記事一覧

【入門】無料で始めるCSPM(AWS編)

CSPM とは 動作検証 検査用のIAMユーザを追加 CloudSploit の導入 コードの取得 コードの修正 Dockerfile からイメージを 構築 (build) 動作テスト 検査の実行 パターン① 検査結果の確認 EC2 の検出項目 S3 の検出項目 検査の実行 パターン② 検査結果の確認 …

【開発日誌】「Hacker Trends」というサイトを作ったので紹介

今回作ったサイトはこちらから Hacker Trends 簡単なサイト説明 セキュリティクラウスター(情報セキュリティについてよくつぶやく方)のTwitterアカウントのツイートから URL を抽出し、よくツイートされているURLを表示するサイトです。 ツイート数の多いURL…

Webスキマー検知ツール「Merry Maker」を使ってみる

はじめに 「Merry Maker」 とは ざっくりと説明 環境構築 Merry Maker を起動 監視対象(EC-CUBE)を構築 Webスキマーの検知設定 監視の設定入門 ケース1:トップページを監視 "Sources" で遷移内容を設定 "Sites"で監視間隔を設定 監視結果を確認 (検知なし)…

「AWS Lambda Function URLs」をRASPで守る

はじめに 準備 AWS Lambda コードの内容 RASP 動作確認 正常系 攻撃系 攻撃ログの確認 攻撃のブロック設定 更新履歴 はじめに 2022年4月6日、AWS Lambdaに大きなアップデートがありました。 アップデート内容を簡単に説明すると「AWS Lambda Function URLs」…

2021年 人気脆弱性 TOP 10 in GitHub

はじめに 2021年 人気脆弱性 TOP 10 in GitHub 10位 975 pt 『Microsoft Windows Server における権限を昇格される脆弱性 (CVE-2021-42287)』 9位 1,005 pt 『Apache Druid における重要なリソースに対する不適切なパーミッションの割り当てに関する脆弱性 (…

OSSのIAST、DongTaiをさわる【導入編】

はじめに 環境構築 DongTaiをリポジトリから取得 DongTaiを起動 docker-compose.yml の中身 動作確認 IASTのJavaエージェントの取得 脆弱アプリケーションの起動 ビルド 起動 検出した脆弱性の確認 まとめ 豆知識 Active IAST と Passive IAST の違い IASTの…