#セキュリティのアレ (26) 脆弱性情報の見方

Hardeningの準備にかまけて、ブログのことすっかり忘れてましたw
先週は GW前に公開された Apache Struts2の脆弱性を題材に、脆弱性情報への対処の仕方について話してみました。地味だけど結構大事！

www.atmarkit.co.jp

www.youtube.com

参考リンクを紹介します。

• S2-032 - Apache Struts 2 Documentation - Apache Software Foundation
• Apache Struts2 の脆弱性対策について(CVE-2016-3081)(S2-032)：IPA 独立行政法人 情報処理推進機構
• Apache Struts2の脆弱性(CVE-2016-3081/S2-032)に対する攻撃を確認
• Apache Struts 2 DMIへの攻撃増加と、被害発生を確認しました | ラック公式ブログ | 株式会社ラック
• CVE-2016-3081 - 脆弱性調査レポート | ソフトバンク・テクノロジー
• CVE-2016-0099 - 脆弱性調査レポート | ソフトバンク・テクノロジー
• CVE-2014-6324 - 脆弱性調査レポート | ソフトバンク・テクノロジー
• Badlock Bug
• Common Vulnerability Scoring System (CVSS-SIG)
• 共通脆弱性評価システムCVSS概説：IPA 独立行政法人 情報処理推進機構
• 共通脆弱性評価システムCVSS v3概説：IPA 独立行政法人 情報処理推進機構

みなさんからの質問やコメントなどハッシュタグ #セキュリティのアレでお待ちしてます！

#セキュリティのアレ (25) Google Hackingとは?

今週はちょっとマニアックな用語解説シリーズで "Google Hacking" をテーマに取り上げてみました。

www.atmarkit.co.jp

www.youtube.com

例によって参考リンクをいくつか挙げておきます。

• Google Hacking Database, GHDB, Google Dorks
• Shodan
• ZoomEye | 钟馗之眼 - 网络空间搜索引擎
• » Personal info of 93.4 million Mexicans exposed on Amazon (UPDATED)
• Hack Brief: Site for ‘Beautiful’ People Suffers Ugly Million-Member Breach | WIRED

来週もお楽しみに！

#セキュリティのアレ (24) 4月の時事ネタ振り返り

GWの休み明け最初の今回は4月の時事ネタについてです。

www.atmarkit.co.jp

www.youtube.com

2つの話題について取り上げてみました。

ケータイキット for Movable Type

CMSのプラグインにある OSコマンドインジェクションの脆弱性が攻撃されて情報が窃取されるという事件が話題となりました。参照リンクをのせておきます。

• 安全なウェブサイトの作り方：IPA 独立行政法人 情報処理推進機構
• プレスリリース - 【重要】ケータイキット for Movable Typeの脆弱性をチェックする「KeitaiKit セキュリティチェック」プラグインを公開、[購入者向け]ケータイキットの脆弱性対策 特設ページを開設 | アイデアマンズ株式会社
• JVNVU#92116866: ケータイキット for Movable Type に OS コマンドインジェクションの脆弱性
• ケータイキット for Movable Type の脆弱性 (CVE-2016-1204) に関する注意喚起
• ケータイキット for Movable Type の脆弱性についてまとめてみた - piyolog
• J-WAVE WEB サイトへの不正アクセスによる個人情報流出の可能性に関する概要 (PDF)
• 弊社アーティストオフィシャルサイトへの不正アクセスによる個人情報流出の可能性のお詫びとお知らせ (PDF)
• お客様情報の流出に関するお詫びとお知らせ (PDF)

ランサムウェア

この動画でもたびたび話題にしていますが、相変わらずランサムウェアは要注意ですね。実際に感染した被害者の方に辻さんがインタビューした記事はもうまもなく @ITで公開されるようです。楽しみですね〜。

来週もぜひご覧ください！

#セキュリティのアレ (23) パスワードの定期的な変更について

最近はアレかねの記事しか書いてない気が…まあいっか。ということで今週の Show Notesです。

www.atmarkit.co.jp

www.youtube.com

今回は「みんな大好きパスワード」のネタです。パスワードを定期的に変更することの効果については、もう議論は尽くされていると思うので、タイトルに反して特に考え直すようなことはありません。あらためてポイントを整理してみたという感じですかね。パスワードは変えたいと思ったときが変え時です。

参考になるリンクを以下にあげておきますね。

• パスワード定期的変更の効能について徳丸さんに聞いてみた | 徳丸浩の日記
• 武田圭史 » 【パスワードの定期変更１】〜まずは結論から
• Time to rethink mandatory password changes | Federal Trade Commission
• News ＆ Trend - 「パスワードの強制定期変更」は時代遅れ、企業に再考促す：ITpro

あとついでに雑談編あらため増刊号もあわせて公開されました。何気に真面目なことを議論している増刊号、こちらもぜひご覧ください。

www.youtube.com

• あなたのID ＆ パスワード、結構バレバレです！ - anan（アンアン） - X BRAND
• 適切なインシデント対応と情報公開には、適切な評価を：EmEditorや「オバQの毛」に気付いたeBookJapanに見る、「有事」のあるべき姿勢とは (1/2) - ＠IT
• Father asks Apple head Tim Cook to unblock dead son's iPhone | Technology | The Guardian
• ランサムウェア（身代金要求型ウイルス）対応フロー v1.0.0 | (n)inja csirt

みなさん、楽しい連休をお過しください！

#セキュリティのアレ (22) APTとはなにか

今回は専門用語解説シリーズの第2弾ということで APT (Advanced Persistent Threat) について取り上げました。

www.atmarkit.co.jp

www.youtube.com

動画の中でも触れてますが、過去にブログ等で何度か APTについて書いているので紹介しておきます。

• Advanced Persistent Threat (APT)とは何か (Part 1) - セキュリティは楽しいかね？
• APT(Advanced Persistent Threat)について語るなら、これくらいは読んでおけ！ - セキュリティは楽しいかね？
• Comment Groupのこれまでの活動 - セキュリティは楽しいかね？ Part 2
• APT1レポートに関するまとめ？ - セキュリティは楽しいかね？ Part 2
• レポートの「オモテ」と「ウラ」を読み込む：再考・APT〜Mandiantレポートを基に〜 (1/4) - ＠IT

また NISC, IPA, JPCERT/CCなどから出されている資料も非常に参考になります。それぞれ APTについてどう説明しているかもあわせて紹介します。

「高度サイバー攻撃対処のためのリスク評価等のガイドライン」について (NISC, 2014年7月)
この文書では「高度サイバー攻撃」という用語を「政府機関においては、標的型攻撃その他の組織的・持続的な意図をもって外部から行われる情報の窃取・破壊等の攻撃」と説明しています。

「『高度標的型攻撃』対策に向けたシステム設計ガイド」の公開：IPA 独立行政法人 情報処理推進機構 (IPA, 2014年9月)
この文書では「高度標的型攻撃」という用語を「特別な攻撃意図および計画性をもって、標的とする組織の情報システム内部に深く継続的に侵入し、国家や企業規模を問わず、機微情報や知財情報等の窃取を目的に、基幹業務システムや社会インフラシステムの破壊の恐れがある、他の標的型攻撃とは一線を画す特別な攻撃である」と説明しています。

高度サイバー攻撃(APT)への備えと対応ガイド～企業や組織に薦める一連のプロセスについて (JPCERT/CC, 2016年3月)
この文書では「高度サイバー攻撃 (APT)」という用語を「ある脅威が APT(先進的で執拗な脅威)とみなされるためには、攻撃者が戦略的かつ組織的に攻撃活動を行い、標的とする特定の企業や組織に対し執拗に関心を持ち続けるということが条件となる」と説明しています。

あと最後の方で触れた「標的型」と「ばらまき型」という言葉については、警察庁の発表資料とこれらの用語について説明している記事を紹介しておきます。

• 平成27年におけるサイバー空間をめぐる脅威の情勢について｜警察庁
• 辻伸弘の裏読みセキュリティ事件簿 - ウイルスが届いても慌てない、「ばらまき型」と「標的型」は違う：ITpro
• 記者の眼 - 分かりにくいよセキュリティ用語、ばらまき型で標的型って何？：ITpro

みなさんからの質問やコメントなどハッシュタグ #セキュリティのアレでお待ちしてます！

#セキュリティのアレ (21) セキュリティ情報収集術

今週はセキュリティ情報の収集術をテーマに話をしてみました。

www.atmarkit.co.jp

www.youtube.com

情報の種類 (脅威、脆弱性、事件/事故ほか) や情報の発信元 (メディア、ベンダー、専門家、被害企業、公的機関ほか) などに注意しつつ、どうやってその情報を活用するのかを考えながら収集できるといいですね。

動画の中では自分の気になるキーワードを Googleアラートで追いかける方法なんかも取り上げてみました。はてなのマイホットエントリー機能も私はよく使いますね。

あと動画では触れませんでしたが、海外のセキュリティ情報やニュースをチェックするのに便利なサイトをいくつか紹介しておきます。(私自身は RSSリーダーで毎日ニュースをチェックしているので、これらのまとめサイトにお世話になることはあまりありませんw)

• Security Research - Hewlett Packard Enterprise Community
• iSIGHT Partners—Finally, Cyber Intelligence That's Actually Intelligent
• SANS Institute| Newsletters - Newsbites
• SANS Institute| Newsletters - @RISK
• Recorded Future Cyber Daily
• HACKMAGEDDON – Information Security Timelines and Statistics

これが正解という方法があるわけじゃないので、みなさんもいろいろ試行錯誤してみてください。

#セキュリティのアレ (20) 「3月の注目事件」

今週は月に1度の時事ネタ特集号です。

www.atmarkit.co.jp

www.youtube.com

今回は 2016年3月の注目事件として 2つの話題を取り上げました。以下、それぞれの参考リンクをのせておきます。

リスト型攻撃

当社インターネットショッピングサイトでの会員ＩＤ、パスワード不正使用被害について
My JR-EAST への不正ログインに関するお詫びとお知らせ (3/25発表の資料が4/6に差し替えられた)
「Mobage」への不正ログインに関するご報告とパスワード変更のお願い | 株式会社ディー・エヌ・エー【DeNA】
不正アクセスのサーバーにＩＤ１８００万件 警視庁押収：朝日新聞デジタル
サーバーに個人情報１８００万件保存 中国からの不正アクセスに悪用か 警視庁摘発の業者 - 産経ニュース
摘発されたプロキシサーバーのしくみは？ : ＩＴ＆メディア : 読売新聞（YOMIURI ONLINE）
セキュリティのアレ（13）：セキュリティ専門家が教える「誰でもできるパスワード管理のやり方」 - ＠IT
セキュリティのアレ（18）：「パスワード管理ツール」を使ってみよう！――デモ有り - ＠IT

情報セキュリティ10大脅威

情報セキュリティ10大脅威 2016：IPA 独立行政法人 情報処理推進機構

みなさんからの質問やコメントなどハッシュタグ #セキュリティのアレでお待ちしてます！