脆弱性診断の検索結果1 - 40 件 / 134件

• あとで読む

  脆弱性診断内製化ガイド | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構

  • 755 users
  • www.ipa.go.jp
  • テクノロジー
  • 2025/08/01

  背景 近年、企業システムに対するサイバー攻撃は多様化・高度化しており、企業は日々新たな脅威への対応を迫られています。さらに、脆弱性の発見件数も年々増加傾向にあり、システムのリリース前後を問わず、潜在的な脆弱性をいかに早期に発見し適切に対策を講じるかが、事業継続や信頼性維持の観点からますます重要になっています。 一方で、脆弱性診断については多くの企業が外部ベンダーへ発注するケースが一般的ですが、脆弱性の増加やリリースサイクルの高速化により対応しきれないケースが増えつつあり、内製化への関心も高まっています。 こうした背景を踏まえ、当プロジェクトでは「脆弱性診断内製化ガイド」を作成しました。ガイドの作成にあたり、まず複数のツールを用いた技術検証で脆弱性診断の概要や概念、自動・手動診断の違いを整理し、それぞれの特性や有効性を明らかにしました。そのうえで、文献調査やアンケート、有識者・内製企業へのヒ

  • セキュリティ
  • あとで読む
  • IPA
  • security
  • 脆弱性診断
  • 組織
  • 企業
  • guide
  • 仕事
  • 内製化

  
• あとで読む

  サーバサイドレンダリングの導入から生じるSSRF | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

  • 272 users
  • gmo-cybersecurity.com
  • テクノロジー
  • 2021/03/22

  オフェンシブセキュリティ部の山崎です。サーバサイドレンダリング（SSR）の導入によってSSRFが発生する問題を見つける機会があったため、本記事では実例を交えながら紹介したいと思います。 サーバサイドレンダリング（SSR）とは？ 本記事で扱うSSRとは「サーバ上でHTMLを出力すること」を指しています。ただしerbやjspのようなテンプレートからHTMLを出力するのとは異なり、一般的には以下のようにクライアントサイドレンダリング（CSR）の文脈で使われることが主です。 近年のVue.jsやReactを代表するようなWebフロントエンドフレームワークはブラウザ上で動的にDOMツリーを構築して画面を描画（CSR）するのが主流となっています。これによってページ遷移を挟まずユーザ体験のよいシングルページアプリケーション（SPA）が作ることができるというメリットがあります。 ただ、単純なSPAにはデメ

  • セキュリティ
  • あとで読む
  • ssr
  • ssrf
  • security
  • next.js
  • graphql
  • javascript
  • サーバ
  • node.js

  
• あとで読む

  政府情報システムにおける 脆弱性診断導入ガイドライン

  • 233 users
  • www.digital.go.jp
  • テクノロジー
  • 2022/06/30

  政府情報システムにおける 脆弱性診断導入ガイドライン 2022（令和 4）年 6 月 30 日 デジタル庁 〔標準ガイドライン群ＩＤ〕 DS-221 〔キーワード〕 セキュリティ、脆弱性、脆弱性診断 〔概要〕 政府情報システムの関係者が脆弱性診断を効果的に導入するための基準及 びガイダンスを提供する。 改定履歴 改定年月日 改定箇所 改定内容 2022年6月30日 - 初版決定 1 目次 １ はじめに ......................................................... 2 １.１ 目的とスコープ .............................................. 2 １.２ 適用対象 .................................................... 3 １.３ 位置づけ ...

  • security
  • セキュリティ
  • あとで読む
  • デジタル庁
  • 脆弱性
  • owasp
  • システム
  • ガイドライン
  • guideline
  • web
• あとで読む

  OSSは“使う前に”Claude Codeで脆弱性診断しよう

  • 209 users
  • zenn.dev/wisteria30
  • テクノロジー
  • 2025/08/03

  ここはサボってはいけないと感じた 「あ、便利そう 🤩」と感じたOSSのプラグインやMCP Serverをそのまま使っていませんか？ Vibe Codingで作られ、誰がセキュリティを見ているのか分からないOSSも最近増えてきました。 そんな中でリスクを無視し「動けば OK」と投入した結果、トークン漏洩・バックドアで泣く悲劇は今後増えると予想しています。 エンジニアとして、この問題を無視して迂闊に推進することも、冷笑してノータッチで過ごすことも良くないと思っています。なぜなら、 僕達が享受している自由は、先人たちの 信頼と責任 の上に成り立っているから です。手を抜けば、巡り巡って自分の首を絞める─そんな危機感を感じています。 では、どうやって負荷をかけずに担保するか？ それが Claude Code に脆弱性診断を任せ、人間がサクッとレビュー するプロセスです。 やり方 # 1️⃣ リポ

  • Claude
  • あとで読む
  • セキュリティ
  • AI
  • oss
  • MCP
  • security
  • プログラミング
  • 開発
  • エンジニア

  

脆弱性診断の関連エントリー

• 

  【Midjourney | Nano Banana】商品撮影のプロが撮影をやめた。誰も教えない、ブランドやECの現場レベルで使える画像生成AIと動画生成AIの神業プロンプトまとめ。｜さきすた

  1038 users
• 

  正直いうと「業務時間外に勉強すべきかどうか」みたいな頭の悪い質問をしようと思う時点で、頭が悪いから勉強してもしなくてもどちらでも良いです→ちくちく言葉で草

  198 users
• 

  【特集】 【悲報】買い時を逃したかも……。メモリ・SSD・HDDが高騰、原因はAI？価格推移をまとめてみた

  185 users
• 

  誰が不倫をするのか？　既婚者770人調査が覆した「夫婦円満なら大丈夫」の通説　2018年の研究

  110 users
• 

  格安SIMは「通信品質が良くないから安い」といまだに言われることがあるが現状を説明したい (1/2)

  167 users
• 

  RAGを活用してセキュリティチェックシートの回答作業を自動化した話

  115 users
• 

  良かった・気になるツール2025

  141 users
• 

  MIT、AI時代の新開発論を提唱。「可読性の高いソフトウェア」は"バイブコーディング"を終わらせるか | XenoSpectrum

  219 users
• 

  GeminiにPDFやWord、Excel、テキストファイルなどの検索機能を組み込める「File Search in Gemini API」提供開始、フルマネージドなRAGシステムを提供

  69 users
• 

  スマートグラス普及のカギは“大スター”の登場？ 日本市場で注目・XREAL社の現状分析 レバテックラボ（レバテックLAB）

  44 users
• あとで読む

  WEBアプリケーション開発者です。 特別セキュリティのスペシャリストになりたいというわけでないですが、アプリケーション開発者として徳丸本に記載されている内容レベルのセキュリティ知識はあります。 システムのセキュリティに関してはベンダーの脆弱性診断を通して運用しており、個人的にはセキュリティに関して何か困ったことがいままでありません。 ただ、ふと考えてみると「情報漏洩やサイバー攻撃が発生した際などの有事にどのような行動をとるべきか」という観点ではあまり自信がないなと感じました。社内でもそのような場合の指針が

  • 203 users
  • mond.how
  • テクノロジー
  • 2024/05/01

  WEBアプリケーション開発者です。 特別セキュリティのスペシャリストになりたいというわけでないですが、アプリケーション開発者として徳丸本に記載されている内容レベルのセキュリティ知識はあります。 システムのセキュリティに関してはベンダーの脆弱性診断を通して運用しており、個人的にはセキュリティに関して何か困ったことがいままでありません。 ただ、ふと考えてみると「情報漏洩やサイバー攻撃が発生した際などの有事にどのような行動をとるべきか」という観点ではあまり自信がないなと感じました。社内でもそのような場合の指針が整っているわけではないです。 徳丸先生は、一般的な開発者には最低限どのレベルのセキュリティ知識を求められていますか？ 回答の難しい質問ですが、ここは本音をさらけ出したいと思います。 私が「安全なWebアプリケーションの作り方（通称徳丸本）」を出したのが2011年3月でして、それから13年以

  • security
  • あとで読む
  • セキュリティ
  • 開発
  • 運用
  • SQL
  • システム
  • programming

  
• あとで読む

  am I infected? - マルウェア感染・脆弱性診断サービス

  • 161 users
  • amii.ynu.codes
  • テクノロジー
  • 2022/02/24

  am I infected? は、横浜国立大学 情報・物理セキュリティ研究拠点 吉岡研究室が運営するマルウェア感染・脆弱性診断サービスです

  • セキュリティ
  • security
  • 脆弱性
  • IoT
  • webservice
  • detect
  • webサービス
  • malware
  • vulnerability
  • あとで読む

  
• あとで読む

  脆弱性診断 with AIエージェント、ついに開発チームにひろがりました。 - freee Developers Hub

  • 134 users
  • developers.freee.co.jp
  • テクノロジー
  • 2025/08/01

  こんにちは！PSIRT red team の kaworu と yusui です。4月に公開した脆弱性診断 with AIエージェント、はじめました。では、 AIエージェントを利用した脆弱性診断内製化について紹介しました。 約3ヶ月が経過し、記事で目標に掲げていた「開発のタイミングでAIエージェントによる脆弱性診断を実施し、結果に問題がなければそのままリリース」が実現し、開発チームでの脆弱性診断がついにひろがってきました！ 本記事では、実際に開発チームに展開されるまでと、工夫点をまとめました。 展開した脆弱性診断 with AIエージェント 4月の記事から、以下のような変化がありました！ AIエージェント……Cline から Roo Code へ 診断ナレッジを渡す方法……Memory Bank から freee 社内の MCP server へ Cline → Roo Code 4月の記

  • AI
  • あとで読む
  • MCP
  • セキュリティ
  • security
  • 開発
  • freee
  • エンジニア
  • チーム
  • development

  
• あとで読む

  スマホアプリの脆弱性診断って何するの？（iOS編） - STORES Product Blog

  • 124 users
  • product.st.inc
  • テクノロジー
  • 2023/11/17

  *本記事は STORES Advent Calendar 2023 6日目の記事です こんにちは。セキュリティ本部のsohです。 現在、弊社ではスマホアプリ診断内製化の準備を進めています。 同じようにスマホアプリの脆弱性診断を内製化したい、というニーズがある会社は多く存在しますが、実際のところ、スマホアプリを対象とした脆弱性診断士の確保は困難であり、外部ベンダーの方にすべてお願いせざるを得ないケースも多いかと思います。 また、その情報の少なさから、スマホアプリ診断を実施したいと考えている開発者や脆弱性診断士にとっても、「何をやればいいのか」「何から始めればいいのか」がわからないものである場合は多いかと思います。 そこで、この記事では「スマホアプリ診断って実際何をしているのか」と疑問を持つ方をターゲットとして、一般的なスマホアプリ診断の検証要件や検証方法について解説します。 要件とガイドライ

  • security
  • iOS
  • セキュリティ
  • あとで読む
  • アプリ
  • 脆弱性診断
  • mobile
  • Android
  • iphone

  
• あとで読む

  メタップス、クレカ情報最大46万件漏洩事件で脆弱性診断の改ざんまでバレた子会社に業務改善命令 : 市況かぶ全力２階建

  • 114 users
  • kabumatome.doorblog.jp
  • 世の中
  • 2022/06/30

  詐欺広告シェア4割のMeta(旧Facebook)、被害対策として実質ゼロ回答のお気持ちを仰々しく表明 読売テレビ、自称化学者の村木風海さんをテレビ出演させて「大学教授5人から研究成果を持っていかれそうになった」との主張をそのまま垂れ流してしまう

  • セキュリティ
  • あとで読む
  • システム
  • 事件
  • security
  • privacy
  • business

  
• あとで読む

  脆弱性診断につかえる実践的なテクニックを列挙してみた - shikata ga nai

  • 86 users
  • cysec148.hatenablog.com
  • テクノロジー
  • 2022/03/10

  Hello there, ('ω')ノ これまで、実例をもとに学んだ脆弱性診断につかえる実践的なテクニックは以下のとおりで。 ・サブドメインの1つに403を返すエンドポイントがある場合は、通常のバイパスは機能しないので、Refererヘッダを変更すると200 OKが取得できる場合があります。 ・エンドポイントのディレクトリとリクエストボディを削除して、メソッドを「PUT」から「GET」に変更すると隠されたエンドポイントに関する情報を取得できる場合があります。 ・見つけたエンドポイントに通常アカウントで403エラーが発生した際、管理者アカウントのjsonリクエストの本文と比較して差分のパラメータを追加するとアクセスできる場合があります。 ・Linux環境でコマンドを実行する際、スペース文字をバイパスするためのペイロードは以下のとおりです。 cat</etc/passwd {cat,/etc/

  • security
  • xss
  • あとで読む
  • セキュリティ
  • web
  • test

  
• あとで読む

  脆弱性診断 with AIエージェント、はじめました。 - freee Developers Hub

  • 79 users
  • developers.freee.co.jp
  • テクノロジー
  • 2025/04/03

  こんにちは！PSIRT red team の kaworu と yusui です。 最近力を入れて取り組んでいる、 AIエージェントを利用した脆弱性診断の取り組みについて紹介します。 取り組みの背景 はじめに、現在のfreeeの脆弱性診断の体制と、取り組みの背景についてです。 freeeの脆弱性診断の流れとしては、開発チームから、設計レビューの依頼をきっかけに始まります。 セキュリティ観点でレビューを行い、あわせて脆弱性診断が必要な対象を決定しています。診断が必要なものは準備、診断作業、そして結果が開発チームに共有、修正が必要なものは対応を依頼しています。 上述のような流れなのは、Webアプリケーションの脆弱性診断はソースコードに変更の入ったタイミング、つまりリリースごとの実施を理想として体制を作ってきたためです*1。 その結果、以下のような課題をずっと抱えています。 リリースごとの小さな

  • 人工知能
  • あとで読む
  • LLM
  • 脆弱性
  • techfeed
  • AI
  • セキュリティ

  
• あとで読む

  Burp MCP Serverを使い、自然言語でBurpを操作する 脆弱性診断を自動化したい - Qiita

  • 77 users
  • qiita.com
  • テクノロジー
  • 2025/04/25

  Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

  • MCP
  • AI
  • burp
  • あとで読む
  • security
  • セキュリティ
  • language
  • サーバ
• あとで読む

  脆弱性診断の内製化と外注

  • 53 users
  • speakerdeck.com/tsukushi
  • テクノロジー
  • 2023/09/09

  2023/09/07 Cyber-sec+ MeetUp vol.1 で発表した内容です。

  • slide
  • あとで読む
  • SRE
  • DevOps
  • security
  • セキュリティ

  
• あとで読む

  危険なCookieのキャッシュとRailsの脆弱性CVE-2024-26144 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

  • 52 users
  • gmo-cybersecurity.com
  • テクノロジー
  • 2024/07/08

  高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が

  • Rails
  • cookie
  • セキュリティ
  • CVE
  • Security
  • あとで読む
  • HTTP

  
• あとで読む

  自動脆弱性診断ツールの導入と効率化の取り組み - Cybozu Inside Out | サイボウズエンジニアのブログ

  • 50 users
  • blog.cybozu.io
  • テクノロジー
  • 2025/05/30

  はじめに こんにちは、PSIRTの田口です。 今回は、自動脆弱性診断ツール「AeyeScan」の導入とそれを活用するための取り組みによってサイボウズの脆弱性診断がどのように変わったのかをご紹介します。 背景となる課題、導入に向けた検討、そして実際の運用に至るまでの取り組みををまとめました。 サイボウズの脆弱性検出 まず、サイボウズが日頃どのように脆弱性検出に取り組んでいるかをご紹介します。 サイボウズが開発・提供する各製品に対して、PSIRTのテスターが製品ごとの特性に応じた脆弱性診断を内製で実施しています。 診断の実施タイミングや規模は製品ごとに異なりますが、各製品の開発体制やリリースプロセスに応じて柔軟に方針を定め、開発チームと連携しながら対応しています。 また、外部ベンダーによる脆弱性診断も定期的に実施しており、内製できていない領域も含め幅広い対象で診断を実施しています。 他にもサイ

  • cybozu
  • security
  • あとで読む
  • セキュリティ
  • ツール
  • tool

  
• あとで読む

  Webアプリ脆弱性診断ツール「Vex」7年連続市場シェア1位 | ScanNetSecurity

  • 48 users
  • scan.netsecurity.ne.jp
  • テクノロジー
  • 2022/12/27

  • ツール
  • あとで読む
  • セキュリティ
  • it
  • web
  • -
  • アプリ
  • 開発
  • security

  
• あとで読む

  細かすぎるけど伝わってほしい脆弱性診断手法ドキュメント

  • 44 users
  • wg1.isog-j.org
  • テクノロジー
  • 2023/04/02

  細かすぎるけど伝わってほしい脆弱性診断手法ドキュメント #始めに #本書は、ISOG-J WG1の新技術に対する診断手法分科会によってまとめられたさまざまな技術に関する脆弱性診断手法ドキュメントです。 クロスサイトスクリプティングやSQL Injectionなどの著名な脆弱性は診断手法や対策なども浸透し、日本語で読める良質なドキュメントが複数あります。 本ドキュメントでは、これらの脆弱性ではなく、一般に診断が困難であったり特有の確認方法が必要となるような脆弱性についてターゲットを絞って記載しています。 脆弱性診断員はもとより開発者の方々も、本ドキュメントを参考に、自身のアプリケーションに脆弱性が紛れ込んでいないか確認していただければ幸いです。 執筆者一覧 (敬称略、順不同) #三井物産セキュアディレクション株式会社　廣田 一貴三井物産セキュアディレクション株式会社　山本 健太三井物産セキュ

  • ドキュメント
  • セキュリティ
  • Security
  • あとで読む
• あとで読む

  ウェブサーバーのセキュリティ対策はどうすればいい？　さくらインターネットらが解説　セミナーを実施、最新のセキュリティ動向と脆弱性診断など

  • 41 users
  • internet.watch.impress.co.jp
  • テクノロジー
  • 2023/12/28

  • security
  • あとで読む
  • interview
  • セキュリティ
  • cloud
  • クラウド
  • internet

  
• あとで読む

  am I infected? - マルウェア感染・脆弱性診断サービス

  • 38 users
  • amii.ynu.codes
  • テクノロジー
  • 2022/02/26

  am I infected? は、横浜国立大学 情報・物理セキュリティ研究拠点 吉岡研究室が運営するマルウェア感染・脆弱性診断サービスです

  • security
  • あとで読む
  • セキュリティ
  • webサービス
  • gender
  • network
  • サービス
  • webservice
  • 研究

  
• あとで読む

  gRPCとは？gRPCベースのシステムの脆弱性診断とツール（前編） | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

  • 38 users
  • gmo-cybersecurity.com
  • テクノロジー
  • 2020/11/19

  札幌オフィス在籍の岸谷です。近年gRPCの利用がだいぶ普及してきましたね。今回はgRPCを利用するシステムの脆弱性診断と、そのためのツールについて書きたいと思います。 gRPCって何？ 本稿はgRPC自体の解説を目的としたものではありませんが、本題に進む前に簡単に概要に触れます。gRPCはGoogleで開発され、その後オープンソース化されたフレームワークです。grpc.ioには下記のようにあります。 gRPC is a modern open source high performance RPC framework that can run in any environment. 「環境を問わずハイパフォーマンスなRPC開発フレームワーク」ということで、XML-RPCやJSON-RPC、REST API開発用のフレームワークなどのように、他コンピュータ上のコードの呼び出しなどシステム間通

  • gRPC
  • あとで読む
  • security
  • 開発
  • web
  • サーバ

  
• あとで読む

  脆弱性診断内製化ガイド 独立行政法人情報処理推進機構 産業サイバーセキュリティセンター

  • 36 users
  • www.ipa.go.jp
  • テクノロジー
  • 2025/08/02

  • security
  • あとで読む
• あとで読む

  社内でのプロダクト脆弱性診断の方法、継続することで見つかる脆弱性の傾向の変化

  • 36 users
  • tech.plaid.co.jp
  • テクノロジー
  • 2023/11/29

  プレイドでは、社内の脆弱性診断と外部の会社に依頼する脆弱性診断を組み合わせています。 普段のセキュリティレビューは社内で行いますが、定期的に外部の会社に依頼して脆弱性診断を行なっています。 これら2つの脆弱性診断は、競合するものではないため、2つを組み合わせて行うことがセキュリティをより高めることに繋がっています。 社内の脆弱性診断の流れ 実際に社内の脆弱性診断をどのような流れで行なっているかを見ていきます。 大きく分けて次のような流れで行なっています。 依頼 ヒアリング 脆弱性のチェック フィードバック 修正/レビュー 再チェック 社内では、この一覧の流れをセキュリティレビューと呼んでいます。 開発をしてるチームから依頼が来たら、ヒアリングシートをもとにヒアリングを行います。 ヒアリングでは、そのプロダクトのアーキテクチャ、脆弱性診断のスコープ、どういう問題が起きると一番困るかといった認

  • Notion
  • あとで読む
  • vulnerability
  • security
  • セキュリティ

  
• あとで読む

  WPScanによる、WordPressの脆弱性診断の始め方 | さくらのナレッジ

  • 35 users
  • knowledge.sakura.ad.jp
  • テクノロジー
  • 2021/10/26

  WordPress のセキュリティ診断ツール WPScan 近年、不正アクセスの増加により、セキュリティに対する関心も高まりつつあります。さくらインターネットでも Web改ざん検知サービス やSSLの契約数が伸びてきているようですが、それでもやはり不正アクセスは絶えないのが現状です。 狙われるのはメールパスワード、そして WordPress さくらのレンタルサーバのサポート経験上、しばしば目にする不正アクセスは、メールパスワードの漏洩による大量メール送信です。しかし、これは比較的対策が簡単です。意識してパスワードの管理を行っていれば、それでリスクの9割以上はなくなると思います。 次に多いのがWordPressの不正アクセスです。WordPressは世界の1/3のサイトで使われており、便利で人気がある反面、非常に狙われやすいアプリケーションでもあります。 さくらのレンタルサーバのコラムにも

  • wordpress
  • SecurityTool
  • セキュリティ
  • あとで読む
  • security
  • web制作

  
• あとで読む

  小規模CSIRT向けWindowsイベントログで押さえておくこと | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

  • 34 users
  • gmo-cybersecurity.com
  • テクノロジー
  • 2021/08/16

  (この記事は2021年8月6日に公開されました。) こんにちは、ディフェンシブセキュリティ部の岩崎です。 本記事では、ログ全般に関わることの情報、インシデントレスポンスにおいて参照されることが多いイベントログに焦点を当て、情報システム部（情シス）の方、これからログ分析や管理を始める方、初めてCSIRTに所属された（CSIRT入門レベル）の方向けに、イベントログを見るための情報であったり、学習するための素材を紹介します。 ログとは セキュリティ業界にいらっしゃる方や、別の業界の方でもCSIRTに所属し運用している方は、よく目にするものかと思います。 ログとは（今更ですが、）PCおよびサーバなどで作成され、アプリケーション、OS、サービスが処理内容、警告などの履歴を逐一記録し、障害発生時や開発時（デバッグ）などに参照できるようにするため作成するためのものです。 参考ページ（Wikipedia

  • セキュリティ
  • windows
  • security
  • 資料
  • 分析
  • あとで読む
  • 情報

  
• あとで読む

  VSCode上でCodeWhispererとCopilotを両方使うと、捗る (AIが脆弱性診断→AIが解説)

  • 34 users
  • zenn.dev/ncdc
  • テクノロジー
  • 2023/12/24

  (2024/05/01追記) CodeWhispererがAmazon Qに吸収されたみたいです。 今から読む人は、CodeWhispererをAmazon Qに読み替えていただければと思います。 言いたいこと VSCode上でAmazon CodeWhispererに脆弱性診断をさせてGitHub Copilot Chatにその解説をさせると、とても捗るよ。 もう少し細かい説明 GitHub CopilotやAmazon CodeWhispererって何？ GitHub Copilotは、IDE上でAIがコーディングの補完をしてくれるGitHub提供のサービスです。 Amazon CodeWhispererは、IDE上でAIがコーディングの補完をしてくれるAWS提供のサービスです。 つまり競合しています。比較用に両方を使ったことがある人はいても、日常的に同時使用している人は少ないのではな

  • VSCode
  • CodeWhisperer
  • Copilot
  • あとで読む
  • AI

  
• あとで読む

  お知らせ | 失敗しない！脆弱性診断サービスの選び方（前編）  | 株式会社シディ（株式会社syddy）

  • 33 users
  • www.syddy.co.jp
  • テクノロジー
  • 2023/08/04

  今年「経済産業省検討会」で、全てのECサイトで脆弱性診断を義務化することが検討されていると発表され、ますます脆弱性診断の注目度が上がっています。脆弱性診断サービスは年々増加しており、診断の内容や価格は...

  • 脆弱性
  • セキュリティ
  • あとで読む
  • techfeed

  
• あとで読む

  Azure AD参加端末におけるPRT (Primary Refresh Token)悪用のリスクと対策について | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

  • 29 users
  • gmo-cybersecurity.com
  • テクノロジー
  • 2023/08/01

  TOP > セキュリティブログ > ペネトレーションテスト > Azure AD参加端末におけるPRT (Primary Refresh Token)悪用のリスクと対策について はじめに オフェンシブセキュリティ部ペネトレーションテスト課の安里 悠矢です。 普段は組織内の社内ITインフラやクラウド環境上に構築されたインフラに対するペネトレーションテストをしています。 テレワーク環境の整備が進んだ昨今、エンドポイント端末の管理とセキュリティ対策はゼロトラストネットワークを実現するにあたって重要なポイントとなります。 ゼロトラストネットワークのよくある構成の一例としては、エンドポイント端末を Azure ADに参加させてIntuneでデバイス管理を実装している環境が挙げられます。 Azure ADに参加するエンドポイント端末は、PRT(Primary Refresh Token)と呼ばれる認証

  • Azure
  • AAD
  • security
  • セキュリティ
  • あとで読む

  
• あとで読む

  Flatt Securityの脆弱性診断において「ソースコード診断を無料付帯する」方針の解説 - GMO Flatt Security Blog

  • 29 users
  • blog.flatt.tech
  • テクノロジー
  • 2023/07/07

  なにをするのか こんにちは。執行役員兼プロフェッショナルサービス事業 CTOの志賀です。 この度、通常のWebアプリケーション診断の料金でホワイトボックス診断のメリットの多くを享受できるようにサービスを大幅に改良します!! 具体的には、ソースコードをご提供いただける場合において、診断員が選択的に参照することで診断スピードや報告書の品質向上といったメリットを受けられるといったものです。 結論としてはそれで終わりなのですが、結論に至るにあたっての自分の考えも書いてみることにします。 なにをするのか 脆弱性診断における理想とのギャップ リスクフォーカス型診断による学び 選択的なホワイトボックス診断の適用 開発者のための脆弱性診断を提供するということ Flatt Securityだからできること 既存の脆弱性診断への影響 よくある質問 ホワイトボックス診断ってSASTのことですか？ リスクフォーカ

  • security
  • あとで読む
  • セキュリティ
  • 開発

  
• あとで読む

  脆弱性診断はするかしないかで悩むものではない　ハードルを下げて「何もやっていない」からの脱却を

  • 27 users
  • www.itmedia.co.jp
  • テクノロジー
  • 2021/09/27

  情報システム部門の人々は日々さまざまな業務に追われている。社内の端末の管理やセキュリティ対策、クラウド導入プロジェクトなど仕事は多岐にわたる。中小企業では“兼任情シス”として、他の業務に当たりながらIT周りの管理も担当する場合もあるだろう。 そんな情シスにとって大きな負担となるのが脆弱（ぜいじゃく）性診断だ。脆弱性診断とは、Webアプリケーションなどのシステムにサイバー攻撃の原因になるような問題がないかをチェックすること。品質管理部門や情報セキュリティを専門とする情報システム部員が担当するケースも多い。 脆弱性診断というと、自社が攻撃を受けないようセキュリティーホールを探すために実施するイメージがあるかもしれないが、商品として開発したシステムに欠陥がないかを探す場合もある。情報セキュリティ事業を手掛けるビットフォレストの西野勝也取締役によると、近年ではメーカー側に脆弱性診断を求める企業が増

  • 脆弱性診断
  • あとで読む
  • セキュリティ
  • 開発
  • it
  • security
  • business

  
• あとで読む

  セキュリティ企業における開発とドッグフーディング - gRPC-web採用プロダクトの脆弱性診断を効率的に行えるようになるまで - GMO Flatt Security Blog

  • 25 users
  • blog.flatt.tech
  • テクノロジー
  • 2022/10/11

  こんにちは、Flatt Securityでインターンをしている@smallkirbyです1。 皆さんは、「ドッグフーディング」という言葉をご存知でしょうか。開発周りでは、書いたコードを開発者側で積極的に利用し、生成されたフィードバックをまた開発に投入していくフローのことを指します。 先日のブログでは、Flatt Securityの脆弱性診断において利用されているORCAsというプラットフォームについて紹介しました。ORCAsは、この世の全てが古のスプレッドシートで管理されていた旧石器の時代を一気に文明開化まで押し上げ、Flatt Securityの脆弱性診断業務を圧倒的に効率化した事で今やFlatt Security内の必需品となっています。 ORCAsはブログ著者の@Sz4rnyさんが中心となって従来の不便を解消するために立ち上げられ、今や総コミット数5000に達しようとする中規模プロジ

  • grpc
  • security
  • セキュリティ
  • api
  • tool
  • あとで読む

  
• あとで読む

  いやいやセキュリティ ～ 上野宣がビビるほど○○だった脆弱性診断ツール「Securify（セキュリファイ）」とは？ | ScanNetSecurity

  • 24 users
  • scan.netsecurity.ne.jp
  • テクノロジー
  • 2024/11/05

  • security
  • techfeed
  • セキュリティ
  • あとで読む

  
• あとで読む

  脆弱性診断ツール「Shisho Cloud byGMO」、AIを活用したWebアプリの認可制御診断機能を提供

  • 23 users
  • cloud.watch.impress.co.jp
  • テクノロジー
  • 2025/03/05

  • !!
  • 人工知能
  • あとで読む

  
• あとで読む

  GitHub Desktop を模したマルウェアダウンロードの誘導に関する注意喚起 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

  • 23 users
  • gmo-cybersecurity.com
  • テクノロジー
  • 2025/09/08

  GMO イエラエSOC くまさか, 小林 です。 9月上旬より、弊社SOCにて、開発エンジニアを狙ったと思われる攻撃を観測しました。 本攻撃では、GitHub Desktop をダウンロードするユーザをターゲットとして、正規リポジトリのREADME.mdに書いてあるダウンロードリンクを装って悪意のあるURLに誘導するテクニックが使われています。 近年では、ClickFix, FileFixという攻撃手法も話題になり、システムの脆弱性を突くのではなく、人間を騙し、操作を誘導する形で目的を達成しようとする攻撃が発生しています。今回ご紹介する手法もユーザの操作を誘導する形であり、注意が必要です。 攻撃概要 GitHub Desktop のリポジトリである、https://github.com/desktop/desktop　が利用された手段を観測しています。 上記のページには、以下のような形でイ

  • GitHub
  • セキュリティ
  • security
  • あとで読む
  • techfeed

  
• あとで読む

  セキュリティ・キャンプ全国大会2022 オンライン 当社エンジニアの講義資料を公開 | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

  • 23 users
  • gmo-cybersecurity.com
  • 暮らし
  • 2022/09/02

  2022年8月8日-12に開催された「セキュリティ・キャンプ全国大会2022 オンライン」で当社エンジニアが講師として講義しました講義資料を公開しました。講義資料をご希望の方は以下のURLよりダウンロードいただけます。 「マイクロサービス／分散モノリス的アーキテクチャへの攻撃手法」 オフェンシブセキュリティ部アプリケーションセキュリティ課 山崎 啓太郎 オフェンシブセキュリティ部アプリケーションセキュリティ課 西谷 完太 講義資料ダウンロード用URL：https://ma.ierae.co.jp/asset/70:seccamp-2022-b2–pdf

  • security
  • セキュリティ
  • slide
  • あとで読む
  • 資料

  
• あとで読む

  Webアプリケーションに対する脆弱性診断の外注/内製化とバグバウンティの役割の違い - GMO Flatt Security Blog

  • 21 users
  • blog.flatt.tech
  • テクノロジー
  • 2024/04/03

  初めまして、Flatt Security社のブログに寄稿させていただくことになりました、西川と申します。 普段は、SaaS企業でプロダクトセキュリティをメインの仕事としていますが、一般社団法人鹿児島県サイバーセキュリティ協議会の代表理事として活動しております。 さて、今回はプロダクトセキュリティを生業としている私が、脆弱性診断を外注することと内製化すること、それからバグバウンティについてそれぞれの役割を記していきたいと思います。 本記事の目的 脆弱性診断を外注した方が良い、あるいは、内製化した方が良い、という話ではなく、それぞれ役割が異なると考えています。つまりそれは、それぞれが補い合う形で存在しているというものです。そして、これらをさらに補う要素としてバグバウンティがあるという話を通して、みなさまの組織で脆弱性診断をどのようにセキュリティ運用に組み込んでいくのかを検討したり、バグバウンテ

  • 脆弱性
  • セキュリティ
  • gender
  • techfeed
  • サービス

  
• あとで読む

  脆弱性診断＝アタックサーフェスマネジメント？　新興キーワードを深く学ぼう

  • 19 users
  • www.itmedia.co.jp
  • テクノロジー
  • 2024/11/12

  2024年11月、日本セキュリティオペレーション事業者協議会（ISOG-J）から、「ASM導入検討を進めるためのガイダンス（基礎編）」が公開されました。多くの企業から注目を集めている「アタックサーフェスマネジメント」を知る上で、最初に目を通すべき資料になり得る、コンパクトにまとまったドキュメントです。 アタックサーフェスマネジメントは、ここ最近キーワードとして認知されるようになった考え方です。売れ筋のセキュリティソリューションにありがちな課題として、プロモーションのために周辺にある機能もいつの間にか同じ名称で呼ばれるようになり、その言葉の意味がブレるということが起きます。 アタックサーフェスマネジメントも、脆弱（ぜいじゃく）性管理や脆弱性診断、IT資産管理、そしてペネトレーションテストなど多岐にわたる内容が、同じ言葉で表現されているように見受けられます。今回は、これらの有用な資料を読み解く

  • セキュリティ
  • あとで読む
  • security

  
• あとで読む

  【Devin vs Takumi】AIエージェント対決！Devinの堅牢開発 vs Takumiの脆弱性診断

  • 17 users
  • www.youtube.com
  • テクノロジー
  • 2025/05/15

  📌 Takumiについてもっと知る： https://flatt.tech/takumi 🌐 GMO Flatt Security 公式サイト： https://flatt.tech 🎥【アーカイブ配信】話題のAIエージェントを“矛と盾”に見立てて徹底比較！ 本動画は、2025年4月22日（火）に配信された「AIエージェント対決 Devin vs Takumi」ランチタイムセッションのアーカイブです。 セキュリティ診断AIエージェント「Takumi」と「Devin」異なる役割を持つAIエージェントの実力を比較し、開発とセキュリティの連携の未来を探ります。 --- 👥 こんな方におすすめ - AIエージェント（Devin, Cursor, Cline等）に関心のある開発者の方 - セキュリティ診断の自動化・AI化を検討中の技術リーダー - DevSecOps

  • あとで読む

  
• あとで読む

  脆弱性診断に必要な専門性を満たす資格とは ～ 経産省「情報セキュリティサービス基準」改訂 | ScanNetSecurity

  • 16 users
  • scan.netsecurity.ne.jp
  • 政治と経済
  • 2023/04/05

  • セキュリティ
  • security
  • あとで読む
  • techfeed

  
• あとで読む

  PHPカンファレンス、スポンサー全参加の結果は？ - クラウド型Web脆弱性診断ツール VAddyブログ

  • 14 users
  • blog-ja.vaddy.net
  • テクノロジー
  • 2025/01/08

  昨日より2025年の営業を開始いたしました。 本年もどうぞよろしくお願いします。 2014年秋にβ版としてリリースしたクラウド型Webアプリケーション脆弱性診断ツール『VAddy』は、無事に11年目を迎えることになりました。VAddyは、自社で開発から販売までを手掛けた初の製品であり、ビットフォレストにとってもチャレンジングな存在です。 リリース当初、販売やマーケティングについては手探りの状態でした。当時は脆弱性診断ツール自体が限られた業種にしか知られておらず、ターゲット層への効果的なアプローチが難しかったのです。しかし現在では、『クラウド型Webアプリケーション脆弱性診断ツール』というジャンルにおいて一定の認知を得ることができたのではないかと考えています。 そんなVAddyの成長において、PHPカンファレンスへのスポンサー参加が重要な役割を果たしてきました。2024年には「すべてのPHP

  • あとで読む

  
• あとで読む

  攻撃者に先回りして潜んだ脆弱性を見つける「Web脆弱性診断ツール」の選び方

  • 13 users
  • kn.itmedia.co.jp
  • テクノロジー
  • 2022/07/25

  脆弱性を突いたサイバー攻撃は、事前に対応していれば防げる問題だが、被害は後を絶たない。こうした事態を未然に防ぐ上で、攻撃者に先回りして脆弱性を見つける「Web脆弱性診断ツール」が有用だ。ツールの特性や選び方、脆弱性問題に対応する上で企業として気を付けるべきことをセキュリティの専門家である上野 宣氏に聞いた。 今や連日のように、サイバー攻撃による被害が報じられるようになった。ただ、一口に「サイバー攻撃」といっても、その種類はさまざまだ。 たびたび報じられている攻撃の一つがEmotetだ。実在する人物の名前をかたり、それまでのやりとりを踏襲したメールで人をだましてマルウェアに感染させる手口で知られる。いくら注意しても、それをかいくぐって人の心理を突いてくることが特徴で、感染はある程度やむを得ない部分もあるだろう。 一方、システムを運用する上で必要な義務を果たしていれば防げたはずの被害もある。そ

  • techfeed
  • あとで読む
  • セキュリティ
  • security