気になった記事2017/09 その1

概要

なんとなく自分が気になった記事を週単位でまとめてみようという試み。公開された日というよりは自分が気になった日でまとめています。

  • 期間: 9/4 - 9/9
  • 全体に対してのコメント: 今週はStruts2脆弱性が気になった週でした

9/4

今月のコラム②:セキュリティ監視の「ジレンマ」を考える

blog.nic.ad.jp

いま管理しているシステムでは端末に関して気を使う担当ではないのですが、組織全体で考えると自組織ネットワークから外れる端末のセキュリティは抜けがちな視点かもしれません。でも基本的にはマルウェア対策ソフトの付属機能とかで組織に戻ってきたときやVPN接続の際に検疫やログの吸上げをするんだろうなあと思います。

Apache HTTP Serverのバージョンを当てる方法

www.mbsd.jp

診断やってたときはある程度推測してたなあというのを思い出しました。管理者側にまわっても攻撃者にどのように見られるかというのが試せるのでよい記事だと思いました。

9/5

僕が調べたApacheバージョン判定の小ネタ

tigerszk.hatenablog.com

昨日の「Apache HTTP Serverのバージョンを当てる方法」を受けてのエントリー。内容も面白いですが、Apache検証環境の作り方が良いなあと思いました。

9/6

Struts2脆弱性(おもにS2-052)

9/7

新米CSIRTへの至言:後編–セキュリティ情報の共有をめぐる現実と理想

japan.zdnet.com

お三方のTwitterは良くみていて活用させていただいてます。必要であれば1次情報もあたりますが、大抵はいろんな情報をみて判断しているし、後追い情報も参考にさせていただいています。

新米CSIRTへの至言:前編–ブームに踊らない「賢さ」をどう身に付ける?

japan.zdnet.com

そういえば、前編は?と思って検索したら5日に公開されていました。たしかに読んでいました。こちらの内容は6月のInteropで伺った内容に近いお話でした。

診断文字列を打ち込まずにPHPのバージョンを推測する

blog.eg-secure.co.jp

Apacheのバージョン判定を受けての記事。これは全然気づいてませんでした。

Struts2脆弱性関連

9/8

なんJ民の特定技術がヤバすぎる。その方法とは?過去の実績をご紹介

www.johsblog.net

ちょっとした情報から個人の特定っておこなわれてしまうんだなあと。あと本人の行動に何の落ち度もないの特定されるて炎上とかつらいものがあるなあと思いました。

米個人情報機関最大手Equifax、1億4300万人の社会保障番号など漏えい

www.itmedia.co.jp

けっこうな数だなあと。こういう情報が漏れてしまうと詐欺とか使われ放題だなあと思います。

9/9

Apache Struts 2のStruts RESTプラグイン脆弱性により、リモートから任意のコードが実行可能な脆弱性(CVE-2017-9805)(S2-052)に関する調査レポート

www.softbanktech.jp

まとめ

特にオチはありません。