TesujiTESUJI / Security / STORIES
Security · 事例・記事
公開記事を表示しています。自分の下書きを見るには、投稿したアカウントでログインしてください。
Node.js × Brotli：依存ライブラリの修正を、配布先のランタイムまで届ける
Node.jsに同梱されるBrotliの修正を、実行環境の版情報とビルド・配布・稼働の記録に対応づける。
公開PHP × Brotli：同じ版番号でも違うWindows配布物を、どう確認するか
PHP公式Windows版とBrotliの関係をたどり、本体の版番号・再ビルドした配布物・反映先を分けて確認する。
公開Studioが10月28日に案内を更新：フォーム運営者が受付開始前に整理すること
Studioの10月28日更新を受け、フォームの情報項目・対象人数・通知状況と、運営者・制作会社の担当を整理する。
公開BrotliがKEV入り：PHP・Node.js・.NETで、配布物まで更新を確認する
BrotliとPHP2ShellのKEV追加日を区別し、PHP・Node.js・.NETの配布物と稼働環境まで更新を確認する。
公開Chromeで52件のセキュリティ修正：更新通知から「再起動後の確認」まで進める
Chromeの10月27日付更新とCritical 4件を確認し、再起動後の版番号まで端末の適用状況を確かめる。
公開Security NEXTで国内の事案を追い、公式発表の更新を確認する
国内のセキュリティニュースから関連する事案を見つけ、公式発表の確認時点と対応を記録する。
公開ITmediaのセキュリティ記事を、一次情報へ進む入口にする
ニュースで広い動向を拾い、元の発表や調査報告を確認して社内の判断につなげる。
公開Google Threat Intelligenceの調査報告を、自社の確認事項に落とし込む
攻撃調査の記事を観測範囲と時点に沿って読み、製品の公式対策や自社のログ確認と組み合わせる。
公開JPCERT/CC Eyesの調査記事から、攻撃の条件と観測の範囲を読む
技術調査の記事から観測時点・対象・攻撃手法を読み、検知や調査の参考情報として扱う。
公開EPSSの確率は何を表す？ CVSS・KEVと組み合わせて使う
EPSSの予測対象とパーセンタイルの違いを理解し、自社の公開範囲・業務影響と合わせて優先順位を判断する。
公開CISA KEVは『実際の悪用』の確認に使う：未掲載でも安全とは限らない
KEVの既知の悪用情報を利用環境と照合し、深刻度や予測スコアとは区別して対応順を判断する。
公開OSVで、依存パッケージのバージョンと脆弱性を照合する
パッケージやコミットを手掛かりにOSVで調べ、配布物の依存関係と対策を対応づける。
公開GitHub Advisory Databaseは、パッケージ名とレビュー状態を確認して使う
GitHubのアドバイザリのレビュー状態、対象パッケージ、影響バージョンを照合し、依存関係の対応につなげる。
公開NVDの脆弱性情報を読む：CVSSと製品情報を、自社の判断につなげる
NVDの情報拡充とCVSSの役割を理解し、ベンダー告知や利用環境と照合して判断する。
公開CVE番号で何が分かる？ 同じ脆弱性を追うための識別子の使い方
CVE番号を使ってベンダー告知・データベース・攻撃観測を結びつけ、深刻度や影響判断と区別する。
公開AWS Security Bulletinsとサービスの稼働状況を分けて確認する
AWSのセキュリティ告知から利用サービスへの影響を確認し、RSSの対象期間とアーカイブも使い分ける。
公開PHPのセキュリティ更新は、版番号と配布パッケージを合わせて確認する
PHP公式の告知から対象系列や配布物の更新を読み、サーバー・コンテナなど実際の稼働環境と照合する。
公開Node.jsのセキュリティ告知は、リリース系列と配布先まで確認する
Node.js公式の脆弱性告知から影響系列と修正版を調べ、実際に配布・稼働する環境の確認につなげる。
公開Microsoft Security Update Guideで、製品ごとの更新対象を確認する
Microsoftの公式更新ガイドから対象製品・構成と更新情報を読み、自社の適用確認につなげる。
公開JVN iPediaで、利用製品に関係する過去の脆弱性を調べる
製品名や識別子を使った検索から、過去の脆弱性対策情報と現在の利用環境を照合する。