注意喚起や情報共有活動における受信者側の「コスト」の問題について ー情報発信がアリバイや成果目的の自己目的化した行為にならないためにー - JPCERT/CC Eyes
Top > “脆弱性”の一覧 > 注意喚起や情報共有活動における受信者側の「コスト」の問題について ー情報発信がアリバイや成果目的の自己目的化した行為にならないためにー JPCERT/CCも関わった、「サイバー攻撃被害に係る情報の共有・公表ガイダンス」[1]が今年３月に公表されました。このガイダンスでは、被害組織同士、あるいは被害組織と専門組織間のやり取りを通じた情報共有活動や被害公表をスコープとしており、主に被害組織が情報を発信する場合を中心に解説しています。他方で、多くの組織においては、情報共有活動において「情報を受け取る」側であることが大半です。また、情報共有活動に限らず、注意喚起情報など日々多くの情報を受け取っています。 今回はこの「情報の受け取り」に係る課題、特に、“自己目的化”した注意喚起や情報共有（提供）が受け取り手側にコストを与えてしまう問題点について解説し、より効果的な注
障害発生時の社内コミュニケーションをスムーズにするために - Gunosy Tech Blog
こんにちは。koid です。 この記事は Gunosy Advent Calendar 2022 25日目の記事です。 昨日の記事は ryoaita さんの PyO3 による Rust の Python バインディング でした。 早いもので、今年の Advent Calendar も最終日となりました。 今年の Advent Calendar でも、リモートワーク（以下リモート）における業務の進め方に関するエントリがいくつか書かれていました。元々我々はリモートではなく、オフィスに集まって働いていたのですが、コロナ禍以降、リモートにシフトしました。 今回は、障害発生時における、プロダクトマネージャー・セールス・メディアリレーション・広報などをはじめとした社内各所とのコミュニケーションがリモートになったらうまくいかなくなった話*1、そこでプロセスを見直した話について書きたいと思います。 オフラ
【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
続・続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
この記事は過去2回にわたる検証記事の続きとなります。 国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。 ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。 ▼これがおすすめ記事のために送信される内容 （この内容は記事の最後にテキスト情報としても掲載しておきます） URL情報に関連するもので 『c、t、d』 と呼ばれそうなものは何か。 ・cのデータ量は飛び抜けて多い ・cとdは一致が見られることがある ・一部が一致しながらもcのほうが長かったりもする
ドコモ口座問題で誰もが知っておきたいこと
先週から大きな話題になっているNTTドコモ（以下、ドコモ）の決済サービス「ドコモ口座」を経由した不正送金問題。ドコモのスマートフォンや「dビデオ」などのサービスを利用していない人は「自分は無関係」という意識があるかもしれないが、実はドコモを使っていようが、いまいが、該当する銀行の利用者は被害に遭う可能性があった。問題のポイントと注意点、現在の状況をまとめた。 1）ドコモ口座はスマホ決済の一種 サービス名に「口座」が付いていたり、同業のKDDIが子会社を通じて三菱UFJ銀行とネットバンキングサービスの「じぶん銀行」を行っていたりするため、ドコモがバンキングサービスを行っていると勘違いしやすいが、ドコモ口座は別モノだ。 では何かといえば、単なるスマホ決済サービスの一種だ。KDDIでいえばじぶん銀行ではなく「au PAY」、ソフトバンクでいえば「Pay Pay」が競合といえる。そしてau PAY
iPhoneを落としたので探す機能を使って追ったらどんどん人気のない場所に誘い込まれた話「1人で行ったらダメ」
あおい @i_aoa_i #怖い話書くからリツイートして 幽霊じゃないけど私版スマホを落としただけなのに。 数年前の深夜、私は池袋でiPhoneを落としてそれに気づかずタクシーで帰った。 翌朝気づき、夫の「iPhoneを探す」機能(GPS・アラーム鳴らせる・メッセージ出せる)で検索すると、私のスマホは 2020-08-25 12:12:32 あおい @i_aoa_i 某公園周辺の道端に落ちているようだった。悪用する人が拾っていたら電源を切られているかもと思っていたので一安心。翌日の昼に1人で探しに行った。公園にはランチ中の会社員や年配の方などがちらほら。探し物をしている私に声をかけて一緒に探してくれる方も数人いて、ありがたいなあと思ったけど 2020-08-25 12:12:33 あおい @i_aoa_i スマホは見つからなかった。付近に落ちてるようだけどアラームも聴こえない。何故か見るた
セキュリティで見るRPAのリスクとメリット
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます RPA（Robotic Process Automation）は、ここ数年で企業導入が加速したテクノロジーの1つだが、運用の歴史はまだ浅い。そこにはセキュリティの観点からどのようなリスクがあり対応が必要なのか、また、メリットも存在するのだろうのか。米Gartnerで、エンドポイントやアプリケーションのセキュリティリサーチを担当するDionisio Zumerle氏に聞いた。 「RPAは世界的にも導入が伸びているものの、まだ具体的なセキュリティリスクがインシデントのような形で表面化しているケースはほとんどないようだ。導入段階から現場での適切な運用環境を整えることが大切だといえる」（Zumerle氏） 業務の現場で運用されるRPAは、大きく
どれくらい自社ドメインがなりすまされているか、ご存知ですか? | IIJ Engineers Blog
IIJ ネットワーク本部アプリケーションサービス部・(兼)社長室所属。 メールサービスの運用業務に従事し、日々世界の悪と戦う一児の父親。社内 Power Automate エバンジェリスト(自称)。M3AAWG member / openSUSE Users / WIDE Project メンバー。趣味は大喜利。はがき職人。 企業の情報システム部門でメールを担当されているみなさん、この問いに答えられる方は、どれくらいいらっしゃるでしょうか。 「そんなこと、気にしたこともない」という方も少なくないかもしれません。それもそのはず、これまで送信ドメイン認証を代表する SPF、DKIM は、送信者側が受信者側でどのように評価されたか知る術がありませんでした。ましてや、第三者の何者かが自社ドメインを勝手に使って誰かにメールを送っている、なんて知ることは不可能でした。 しかし、DMARC(RFC 74
高木浩光氏が危惧する、「不正指令電磁的記録に関する罪」のずれた前提と善なるエンジニアが犯罪者にされかねない未来（Coinhive裁判解説 後編）
高木浩光氏が危惧する、「不正指令電磁的記録に関する罪」のずれた前提と善なるエンジニアが犯罪者にされかねない未来（Coinhive裁判解説 後編）：私たちは当事者なんです（1/3 ページ） 一審無罪となったCoinhive裁判。しかし判決の裏には、条文の誤読や残された論点がある。裁判で被告人証人となった高木浩光氏が、裁判、法律解釈について詳しく解説した。
被告弁護人と高木浩光氏は何と闘ったのか、そしてエンジニアは警察に逮捕されたらどう闘えばいいのか（Coinhive事件解説 前編）
被告弁護人と高木浩光氏は何と闘ったのか、そしてエンジニアは警察に逮捕されたらどう闘えばいいのか（Coinhive事件解説 前編）：権利は国民の不断の努力によって保持しなければならない（1/3 ページ） Coinhive、Wizard Bible、ブラクラ補導――ウイルス作成罪をめぐる摘発が相次ぐ昨今、エンジニアはどのように自身の身を守るべきか、そもそもウイルス作成罪をどのように解釈し、適用すべきか。Coinhive事件の被告人弁護を担当した平野弁護士と証人として証言した高木浩光氏が詳しく解説した。 世の中の大半のエンジニアにとって、「逮捕」や「起訴」といった言葉は縁遠いものだったかもしれない。だが2018年に入って「不正指令電磁的記録に関する罪」（通称：ウイルス作成罪）に関する摘発が相次いで行われ、状況が大きく変わり始めている。 2018年6月、自身が運営するWebサイト上に、閲覧してきた
最強のセキュリティ、原子核の自然崩壊で実現
神奈川県川崎市のK-NICで「第30回NEDOピッチ」が実施された。同イベントは、オープンイノベーション・ベンチャー創造協議会（JOIC）と、国立研究開発法人新エネルギー・産業技術総合開発機構（NEDO）との共催による、オープンイノベーションを創出することを目的としたピッチイベントだ。第30回のテーマは「サイバーセキュリティ特集」。 イベントでは、はじめに日本総合研究所のリサーチ・コンサルティング部門 プリンシパル／融合総合戦略グループ長 兼 創発戦略センター Connected Lab.ラボ長の東 博暢氏が登壇。 「サイバーセキュリティは、経産省でも新時代に向けて力を入れていこうとしている分野。私も、経産省の委員としてサイバーセキュリティ関連で新しい産業を創出していこうという動きに協力している。 また、今後はIoTが活性化し、サイバーとフィジカルが一体化してくるという流れもある。これまで
バックドア化したASUS Live Updateを通じた攻撃（Operation ShadowHammer）についてまとめてみた - piyolog
Kaspersky LabはASUSが提供するソフトウェア「ASUS Live Update」がバックドア化し、一部ユーザーを対象にマルウエアを配布する攻撃が展開されていたとして調査結果の一部を発表しました。この攻撃を同社は「Operation ShadowHammer」と呼称しています。ここでは関連する情報をまとめます。 Kaspersky Labの調査報告 securelist.com 詳細は2019年4月8日～11日にかけシンガポール開催されるSASで報告される予定。 また同社の調査報告についてMotherboardが取材した記事が公開されている。 motherboard.vice.com 2019年3月21日に取材依頼を行っているがASUSからの返事がない模様。 securelist.com ASUSの反応 Secure your ASUS PC devices now! Down
セキュリティ関連の情報収集に役立ちそうなWebサイト一覧 - セキュリティこねこね
私がRSSリーダで巡回しているサイトから抜粋してまとめておきます。主にニュースやレポート系です。他におすすめがあれば教えてください。なお、この他にCTFやフォレンジック関係も追っているのですが、それはまた別の機会に。 セキュリティベンダー Cisco Japan Blog DARK MATTER FFRI BLOG(RSS) IIJにおけるセキュリティ活動 LAC WATCH MBSD Blog Nota Bene | Eugene Kaspersky Official Blog in Japanese Save the Worldの思いを伝えたい | カスペルスキー公式ブログ SIOS Tech. Lab WAF Tech Blog wizSafe Security Signal - 安心・安全への道標- IIJ キヤノンITソリューションズの更新情報 セキュリティ研究センターブログ ト
サイバー攻撃から身を守る4つの方法 マルウェアアナリストが語る、日本が狙われる危険性とその対策 - ログミー[o_O]
2018年10月4日、JPタワー ホール＆カンファレンスにて開催された「Security Days Fall 2018」において、キヤノンITソリューションズによる講演「サイバー攻撃の最新動向」が行われました。当セッションでは、マルウェアの解析を担うアナリストの池上氏より、解析者の視点からみた最新のサイバー攻撃事例とその対策について語られました。本記事ではその全容をお送りします。 最新のサイバー攻撃手法と、その対策 池上雅人氏：みなさん、おはようございます。本日は、朝早くからお越しいただき、誠にありがとうございます。キヤノンITソリューションズ株式会社の池上と申します。 私は「マルウェアアナリスト」という肩書きのとおり、ふだんはマルウェアの解析を仕事にしています。本日は解析者の視点から最新のサイバー攻撃についてお話ししたいと思います。本セミナーでは非常に多くのテーマを取り扱います。ぜひキー
![サイバー攻撃から身を守る4つの方法 マルウェアアナリストが語る、日本が狙われる危険性とその対策 - ログミー[o_O]](https://cdn-ak-scissors.b.st-hatena.com/image/square/22f70d544cb682a018cf4ac98ed3e84274b763b3/height=288;version=1;width=512/https%3A%2F%2Fimg.logmi.jp%2Fwp-content%2Fuploads%2F2018%2F10%2FIMGP2610.jpg)
JNSA「2015セキュリティ十大ニュース」を公開しました。 NPO日本ネットワークセキュリティ協会
今年のトップニュースはマイナンバーの紐付けに相次ぐトラブルで、政府が総点検本部を組織して取り組むことになったが、単に人的ミスとは片付けられない問題をはらんでいる。第4位のAIのセキュリティリスクや第10位のパスキーの採用など、新たな切り口のニュースも出てきてはいるが、全体としては相変わらずのニュースで既視感が強いのは、際立つような重大事件等がなかった証であろう。プラス思考で考えれば、これは日本のサイバーセキュリティへの取り組みはそこそこうまくいっている証左とみることもできる。サイバー空間が社会に浸透して一体化してきた結果、それなりに事件事故は起こるものの、安定してきていることを示していると安心してもいいのかもしれない。 しかし、本当だろうかと疑いの目を向けてみると、今年のニュースには、「だんご三兄弟」とも揶揄されそうな事件・事故が並んでいる。これらのニュースの背後を深掘りしてみると、サイバ
“使いやすいパスワード”が、大規模組織のシステムをつぶす――「恐怖の実話」はなぜ起こったのか
“使いやすいパスワード”が、大規模組織のシステムをつぶす――「恐怖の実話」はなぜ起こったのか：半径300メートルのIT（1/4 ページ） 意外かもしれませんが、「誰でも知ってそう」なセキュリティ知識を私たちが伝え続ける理由は、「あなた」を守るためなんです。だって、誰もこんな事件に巻き込まれたくはないでしょうから――。 あなたが「そんなこと、もう知ってるよ！」と思うようなセキュリティ知識を、まだ知らないかもしれない人たちに向けて何度でも伝える――これ、一見ムダに思えませんか？ でも、実はセキュリティ向上にとって非常に重要なポイントは「皆の“知らなかった！”をどれだけ減らせるか」だと、私は考えています。なぜなら、多くの被害者を出した情報漏えい事件の一部は、基本的なセキュリティ知識が“皆に”伝わってさえいれば、本来防げたはずのものだから。 今回、皆さんに紹介するのは、2018年7月に公開された「
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
第12回：マイナンバーカード機能を付けたスマホを手放すときは要注意！ デジタル庁に詳しく聞いてきた【天国へのプロトコル】
個人でも参考になる「災害とITの向き合い方」～サーバーのプロは災厄とどう向き合っているのか？～ この道20年のプライベートクラウド事業者に聞いてみた
「原因が不明」という最大の問題。7payのセキュリティ問題を考察する【鈴木淳也のPay Attention】
Expired
