専門家が泣く、セキュリティ9つの誤解と現実
専門家が泣く、セキュリティ9つの誤解と現実2015.03.15 10:006,585 satomi 脆弱性、ウイルス、不正侵入で人生台無し、国が危ない…というニュースの連続ですが、現実のリスクはいかほどのものなのか？ 専門家にセキュリティのウソ&ホントをずばり訊ねてみました。以下が回答集。小見出しは全部｢ホント｣の方です。 1. 強いパスワードで世のほとんどの攻撃は追っ払える 米Yahoo情報セキュリティ最高執行責任者のAlex Stamosさんは脆弱性を見つけ、ソフトウェアの穴をどう悪用するのか考えるのが仕事。極悪ハックから単純なソーシャルエンジニアリングによる詐欺まで、あらゆる手口のものを見てきました。そのキャリアでわかったのは、大体どのユーザーにも通用する簡単なソリューションがふたつあることです。ひとつは強いパスワード、あとひとつは2段階認証です。 マスコミは最もディープで最も高度な
全搭乗客を降ろし保安検査やり直し 未検査の店員が…：朝日新聞デジタル
佐賀空港で２７日、空港内の売店の従業員が規定に反して保安検査を受けずに搭乗待合室に入ったため、すでに飛行機に搭乗していた全乗客１１５人に再び保安検査を実施した。この機の出発は４６分遅れた。空港事務所の担当者は「事業者への教育を徹底したい」と話している。 問題が起きたのは午前６時４５分発の羽田行き。空港事務所や空港ビルの管理会社などによると、午前６時半ごろ、国際線の売店の男性従業員が国内線の搭乗待合室にいるのに保安検査員が気付いた。確認したところ、保安検査を受けていないことが判明。安全確保のため、手荷物を持って乗客にいったん降りてもらい、再検査をした。 空港の規定では、乗客が搭乗待合室に入っている間は、従業員を含む空港関係者も待合室に入る際は保安検査を受けるよう定めている。売店従業員は国際線ビルにいたが、羽田行きの便に乗る同僚に急用があり、関係者しか出入りできないドアの鍵を開けて搭乗待合室に
過去一年のセキュリティ動向、「想定内」と「想定外」は？
過去一年のセキュリティ動向、「想定内」と「想定外」は？：セキュリティ・アディッショナルタイム（1） ブログやリポート、調査など、日々増え続けるセキュリティ関連情報の中から気になるものを掘り下げて紹介する新連載。第1回は、かつてないほど話題が多かった2014年のセキュリティ脅威リポートの「想定内」「想定外」を尋ねてみた。 連日のように、複数のセキュリティ機関やベンダーが、新たな攻撃手法や脅威の動向をテーマとした調査結果やブログ記事などを公開している。そこには多くの有用な情報が含まれているが、「情報セキュリティ」「サイバーセキュリティ」に関する情報があふれ気味な現状では、ただの見出しとして消費されておしまいになりがちだ。この記事では、そうした大量の情報の中から気になるものをピックアップし、その背景の深読みを試みたい。 毎年公開されるまとめリポート、想定外の項目は？ 2014年は、これまでになく
東芝、暗証番号入力失敗でデータ破壊するUSBメモリを米国発売
東芝、暗証番号入力失敗でデータ破壊するUSBメモリを米国発売2015.02.05 18:00 湯木進悟 東芝やるじゃん～。 スマホをかざすだけで中身が見れちゃうNFC搭載SDカードなど、このところ尖がった製品発表が光る東芝の米国法人｢Toshiba America Information Systems｣から、今度はセキュリティおよびデータ保護性能が大幅に向上する新USBメモリが発売されました。 本体に0から9までのPINコード入力キーを物理的に搭載している、この新たなUSBメモリは、暗証番号の入力認証を突破しない限り、中のデータを参照することができない仕組みになっていますよ。万が一、何者かが間違った暗証番号を入力し続けると、10回の認証失敗と同時に｢Brute Force Hack Defense Mechanism｣が起動し、USBメモリ内のデータは完全破壊される万全のセキュリティが備
セキュリティセンター
若い世代を中心に人気のティックトック（Tik Tok）について、そこに潜んでいる危険性と、その危険性に適切に対処する方法を解説します。
多段階認証、多要素認証から不正アクセス対策を考える
利用者本人を特定するために用いられる多要素認証は、ユーザーの利便性を下げる可能性があります。まずは多要素認証の必要条件を知り、利便性と安全性のバランスを取るにはどうすべきかを考えます。 「認証」にまつわる攻撃が増えています。利用者本人を特定するために、IDとパスワードを用いた「パスワード認証」が一般的になる中、それを突破するために全ての英数字の組み合わせを試す「総当たり攻撃」、パスワードに利用されやすい文字列を試す「辞書攻撃」、本人から何かしらの手を使ってIDとパスワードを聞き出す「ソーシャルエンジニアリング」、別のサービスから流出したIDとパスワードを使った「パスワードリスト型攻撃」、偽サイトに誘導してIDとパスワードの入力を求める「フィッシング」といった、さまざまな攻撃による不正アクセスが流行しています。 IDS／IPSやWAFには、これらの攻撃に対する対策機能もありますが、脆弱（ぜい
セキュリティセンター
若い世代を中心に人気のティックトック（Tik Tok）について、そこに潜んでいる危険性と、その危険性に適切に対処する方法を解説します。
フェイスブックが匿名化通信に対応、Tor専用URLを公開
フェイスブックが匿名化通信に対応、Tor専用URLを公開2014.11.05 13:008,777 福田ミホ 実名、だけど匿名。 プライバシーダダ漏れなどと批判されることも多いフェイスブック。でも、その彼らがセキュリティや匿名性の保護の観点では画期的な動きを見せました。フェイスブックは匿名化ネットワーク、Tor専用のリンクを作って公開したんです。従来のURLをTor経由で見るとハッカー認定されてしまうこともあったのですが、Tor用URLならそれがなくなります。フェイスブックの利用は実名ですが、Torを使うことで、ユーザはアクセス元のIPアドレスや所在地をフェイスブックのサーバに知らせずに済むため、ある意味匿名性を保てるのです。 まず、公開されたTor用フェイスブックのアドレスはこちら（https://facebookcorewwwi.onion/）です。Torユーザで、かつフェイスブックも
時論公論 「どうする？情報セキュリティ技術者不足」 | 時論公論 | 解説委員室:NHK
あらゆるものがインターネットにつながる時代。パソコンやスマートフォンは私たちの日常生活や仕事に欠かすことのできないものになっています。 一方で、公的な機関へのサイバー攻撃が相次いだり、企業の顧客情報などの個人情報が流出する事件が多発するなど大きな社会問題になっています。そして、悪意ある者のその手口は、ますます巧妙化しています。しかし、日本では、そんなサイバー攻撃から企業などの情報を守る情報セキュリティ技術者が不足しているといいます。 今夜は、情報セキュリティ技術者の不足を解消するためにはどうすればよいか？を考えます。 コンピューターへの不正侵入、データの改竄(かいざん)や破壊、情報漏洩(ろうえい)、コンピューターウイルスの感染などがなされないように、コンピューターやコンピューターネットワークの安全を確保することをいいます。 そして、情報セキュリティ技術者とは、組織の情報の、何をどう守
サイバー攻撃から“身を守る”手法、その歴史を知る
後編では、サイバー攻撃による脅威への対策としてセキュリティベンダーが取り組んできた、さまざまな技術の進歩を追いかけます。 「サイバー攻撃の今、昔（前編）」では、「脅威の変遷」という観点から、サイバー攻撃がどう変化してきたかを確認しました。一つの不正プログラムで大規模感染を引き起こした昔の脅威から、金銭目的の組織犯罪としての標的型サイバー攻撃への変化があったことが理解いただけたかと思います。 後編では、サイバー攻撃の変化に伴い、その脅威への対策としてセキュリティベンダーが取り組んできた、さまざまな技術の進歩を「ウイルス対策」「不正サイト対策」「スパム対策」「未知の脅威対策」の観点から見ていきます。 「ウイルス対策」の歴史、それは膨大な亜種との戦い 第三者評価機関として有名な「AV-TEST」では、脅威に関する統計結果を期間ごとに表示できるデータを公開しています（図1）。これを見ても分かるよう
ShellShockに管理者はショック！ パスワード定期変更の議論どころではない？
中でも多かった意見は、「サービスごとに異なるパスワードを設定する」「分かりにくい文字列をパスワードにする」の二つと同列に「パスワードの定期変更」を並べるのはどうなのかということと、これらのいずれかを対策とするという要件であるため、パスワードの定期変更だけを採用してしまうと、根本的な対策にはならないのではないかという意見です。 それに対し、@keijitakeda氏から「必ずしも駄目とも思えない、一律にパスワードの定期変更をあざ笑うような風潮を広めることはあまりよくない」と反論がありました（なお、@keijitakeda氏は基本的にパスワードの定期変更には反対の立場だそうです）。 @keijitakeda氏に対して、たくさんの反論ツイートが向かいます。まとめると、定期変更は一定の効果はあるのは分かってはいるけれど、あくまでも他の2つの補助的な役割に過ぎないので、ここでいずれかの対策に含めるの
eBayがサイバー攻撃を受けてパスワードなどの顧客情報が流出
インターネットオークションの世界最大手であるeBayが、データベースにサイバー攻撃を受けたことを明らかにし、利用者にパスワードを変更するよう要請しています。 eBay Inc. To Ask eBay Users To Change Passwords | ebay inc http://www.ebayinc.com/in_the_news/story/ebay-inc-ask-ebay-users-change-passwords 2014年5月21日、アメリカのインターネット通信販売やオークションを手がけるeBayがデータベースにサイバー攻撃を受け、顧客情報が流出したことを発表。2月から3月にわたって攻撃を受けたデータベースには顧客のパスワード・メールアドレス・住所・電話番号・生年月日などが保存されており、eBayはユーザーにパスワードの変更を要請しています。 eBayによると、ユー
ヒープに対する攻撃とその対策
攻撃手法を技術的に理解するための連載、今回はスタックと並んでよく耳にする「ヒープ破壊」を取り上げます。 連載目次 前回取り上げたスタックオーバーフローは比較的理解しやすい攻撃手法なのですが、今回取り上げるヒープオーバーフローは少々分かりにくい面があります。恥ずかしながら、筆者自身、これまでなかなか理解ができていなかったのが実情です。スタック管理と比較すると、ヒープ管理はとても複雑で、解説が難しいのですが、ここではできるだけ単純化し、ポイントとなる点をご紹介していきます。 ヒープメモリとは スタックとヒープは、どちらもプログラムに動的なメモリ領域を提供するための仕組みです。スタックは関数の呼び出しなど、プログラムの制御に伴って利用されるもので、コンパイルの結果としてスタック操作が組み込まれるため、プログラマーが意識することは少ないと思います。 これに対してヒープは、プログラム中でmalloc
設定を見直すだけ、いますぐ簡単にできる「標的型メール攻撃対策」
設定を見直すだけ、いますぐ簡単にできる「標的型メール攻撃対策」：すぐ実践可能！（1/4 ページ） カギは「ZoneID」と「アーカイバー」と「保護されたビュー」。これらの設定を見直すことで、なぜ標的型メール攻撃対策ができるのかを考察しよう。 脅威はメールからやってくる――いますぐできる対策は？ 近年、機密情報などの窃取を目的とし、特定の企業や組織を狙い撃ちにする「標的型攻撃」が、情報セキュリティの大きな課題となっている。「標的型攻撃」はさまざまな手法が存在するが、その中でも組織の関係者や顧客などを装い、メールを送信する「標的型メール攻撃」と呼ばれる攻撃が現在の主流となっており、手口も巧妙化、多様化の一途をたどっている。 本稿では、従来型のセキュリティ対策では防ぐことが難しいといわれる「標的型メール攻撃」に対し、費用負担も少なく容易に導入可能な、攻撃を緩和する対策について考察する。 標的型メ
オンラインで駆除できないマルウェアをオフラインでやっつける
今回紹介するツール ［ツール名］Windows Defender Offline ［対象］Windows ［提供元］マイクロソフト ［ダウンロード先］［URL］http://windows.microsoft.com/ja-jp/windows/what-is-windows-defender-offline オフライン＆タダで使えるMS純正のマルウェア駆除ツール 「Windows Defender Offline」は、マイクロソフトがWindows向けに無償提供しているCD／DVDメディアまたはUSBメモリから起動可能なマルウェア駆除ツールです。 マルウェア対策ソフトの導入は、Windows PCを安全に使う上でもはや常識です。しかし、定義ファイルの更新が間に合わず、対策ソフトを欺くような新種のマルウェアに感染しまうと、稼働中（オンライン）のPCでは検出や駆除が困難な場合があります。 そ
ITセキュリティの最先端、Black Hat USA 2014レポート
ITセキュリティの最先端、Black Hat USA 2014レポート：重鎮の話から緩いイベントまで（1/3 ページ） 2014年8月、ラスベガスにてBlack Hat USA 2014が開催された。セキュリティの重鎮による提言とともに、現地での様子をレポートしよう。 口先だけで終わらない技術者であれ 2014年8月2～7日、米国ラスベガスで「Black Hat USA 2014」が開催された。攻撃者の視点でセキュリティを考える同カンファレンスは、今年は91カ国、9000人以上が参加、113の講演が行われた。 「今年ほどITセキュリティへの関心が高まった年はない」。Black Hat創設者のジェフ・モス氏は冒頭のあいさつでこう述べて、「この機運を逃さないためにも、私たちは問題をただ指摘し解説するだけではダメだ。問題を解決するツールや方法を考案、開発するエンジニアになるべきだ。そして、来年こ
ベネッセの情報漏えいがあぶり出してしまった、USBメモリ管理の穴
ベネッセの情報漏えいがあぶり出してしまった、USBメモリ管理の穴：セキュリティクラスター まとめのまとめ 2014年7月版（1/2 ページ） 連載目次 2014年7月のセキュリティクラスターは、ベネッセコーポレーションが2000万人分以上もの個人情報を名簿業者に販売され、それがたくさんの会社に出回って販促などに使われてしまったことが大きな話題となりました。サーバーの脆弱性を突かれたりするなどの派手な攻撃ではなかったのですが、非正規社員が社内業務の深い部分までアクセスする権限を持っており、機密データを不正に持ち出せる環境にあったことで、サーバーへの攻撃以上に人ごととは思えなかったセキュリティ関係者も多かったようです。 技術的な話では、アプリケーションによる証明書のPinningや、ブラウザーのオートコンプリートについて活発に議論が行われていました。また日本最大のセキュリティコンテスト「SEC
AWSのセキュリティを高めるIAMとは？
本Tipsでは、Amazon Web Servicesの機能「IAM」を使い、どのようにしてセキュリティを高めることができるかを解説します。 連載目次 IAMにできること Amazon Web Servicesには、リソースへのアクセスをコントロールできるAWS Identity and Access Management（IAM）という機能があります。IAMにできることは以下の通りです。 IAMユーザー、グループを管理する AWSのサービスやリソースへのアクセス権をユーザーに付与し、それらへのアクセスを許可する。 IAMロールと権限を管理する AWSのサービス、リソースの間をつなぐ認証情報（ロール）を作成し付与することで、サービスや個々のリソースがお互いに情報をやりとりできるようになる。 IAM identityを管理する 一般的な認証機構（Microsoft Active Direct
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSL/TLSライブラリ「OpenSSL」の最新版v1.0.1j/v1.0.0o/v0.9.8zcが公開
政府、ホワイトハッカー採用へ サイバー攻撃対応で 15年度めど - 日本経済新聞
