記事 ゼロトラスト・クラウドセキュリティ・SASE ゼロトラストをエンドポイントにも適用する「本気テク」、ガートナー解説の4ステップ ゼロトラストをエンドポイントにも適用する「本気テク」、ガートナー解説の4ステップ 2024/08/30 セキュリティリスク対策として、セキュリティ担当者からの関心が高まり続けている「ゼロトラスト」。その保護対象も、従来からのネットワークのみならず、エンドポイントにまで拡大しつつある。ゼロトラストによるエンドポイントのセキュリティ強化はどのように実現すればいいのか。Gartner バイス プレジデント,アナリストのクリス・シルバ氏が、そのために必要な技術と取り組むべき施策をわかりやすく解説する。
記事 セキュリティ総論 “危険すぎる”国家が主導するサイバー攻撃、ウクライナ侵攻で見えた情報戦の変化とは “危険すぎる”国家が主導するサイバー攻撃、ウクライナ侵攻で見えた情報戦の変化とは 2024/03/18 1 ロシア・ウクライナ戦争のさなか、スロバキアのセキュリティベンダーESETが、ロシアによるウクライナへの心理戦や情報操作を目的としたサイバー攻撃を確認・報告している。開戦前後はウクライナのインフラや政府機関を狙う攻撃であったが、戦争が長期化するにつれ、その攻撃にも変化が見られるという。現在は攻撃対象を広げ、その動きは周辺国をも巻き込み始めている。ESET CEOであるリチャード・マルコ氏への取材を交え、ロシアが仕掛けるサイバー攻撃の実態を暴く。
記事 セキュリティ総論 中小企業が抱える「セキュリティ対策以前の問題」、XDRやSOCサービス導入の理想と現実 中小企業が抱える「セキュリティ対策以前の問題」、XDRやSOCサービス導入の理想と現実 2024/03/04 1 高度化するサイバー攻撃に対して、XDRやSOC、脅威インテリジェンスといったセキュリティ対策が注目されている。しかし、これらの手法やソリューションを導入できる企業は限られている。実際にセキュリティ対策に十分な投資を行えるのは、予算も人員もある大企業だけなのが現状だ。では、いずれも限られる中小規模企業（SMB）はどこまで対応すればよいのだろうか。
記事 標的型攻撃・ランサムウェア対策 ランサムウェア台頭で「ストレスの限界」、ガートナーが説く確認すべき重大項目トップ7 ランサムウェア台頭で「ストレスの限界」、ガートナーが説く確認すべき重大項目トップ7 2023/09/20 サイバー攻撃は犯罪者の「ビジネス」へと変質を遂げ、攻撃の手口は巧妙化するばかりだ。対する企業は予算と人材の双方の問題から、苦しい防衛戦を強いられている。この中でCISOに何より求められているのが、サイバー攻撃によるビジネスへの影響を極小化させることだ。ガートナー シニア ディレクター, アドバイザリのウェイン・ハンキンス氏が、ランサムウェア攻撃に直面した際にチェックすべき7つの項目を伝授する。
記事 OS・サーバOS Microsoft Entraとは何か？マイクロソフトのセキュリティ・ID管理サービスのゆくえ Microsoft Entraとは何か？マイクロソフトのセキュリティ・ID管理サービスのゆくえ 2023/06/16 マイクロソフトは約1年前の2022年5月末、新しい製品サービス群「Microsoft Entra」を発表しました。Azureのポータルやドキュメントでこの名称を目にすることが多くなってきたと思いますが、Microsoft Entraとは一体何なのか、ざっくり見てみましょう。
記事 ゼロトラスト・クラウドセキュリティ・SASE クラウドのセキュリティ対策の4ステップをガートナーが解説、ツールはどう使い分け？ クラウドのセキュリティ対策の4ステップをガートナーが解説、ツールはどう使い分け？ 2022/09/06 クラウド利用が拡大する中、セキュリティ対策は企業経営にとっての最優先課題の1つと位置付けられまでになった。背景には、従来からのアプローチでは対応しきれないセキュリティ・リスクが生じていることがある。企業はクラウド・セキュリティへの対応をどう推し進めるべきなのか。クラウドセキュリティへの具体的な取り組み方、CASBやCSPM、CWPPなど無数にあるツール/ソリューションの使い分け方など、ガートナー シニア ディレクター,アナリストのチャーリー・ウィンクレス氏が解説する。
記事 セキュリティ総論 Log4jが突きつけた認めたくない現実、「あらゆる脆弱性の排除はできない」 Log4jが突きつけた認めたくない現実、「あらゆる脆弱性の排除はできない」 2022/01/12 セキュリティ界隈のみならず、久々にNHKニュースや一般紙にもとりあげられた「Apache Log4j」の脆弱性。Heartbleedやシェルショックにも匹敵する最悪の脆弱性とも言われている。技術視点でみてもまさにそのとおりなのだが、問題の本質はそこだけではない。枯れたシステムに潜む脆弱性はインパクトが大きい傾向がある。それはなぜか？ そして、我々はソフトウェアのバグや脆弱性について本当に理解しているのか？ 改めて考えてみたい。
記事 セキュリティ総論 ゼロトラストセキュリティをアナリストが解説、メリットや移行方法をわかりやすく ゼロトラストセキュリティをアナリストが解説、メリットや移行方法をわかりやすく 2021/12/03 従業員の勤務形態の1つとしてテレワークが定着してきた。そこで、企業のネットワークセキュリティは、境界防御からゼロトラストの考え方へと移行しつつある。アイ・ティ・アールのコンサルティング・フェローである藤 俊満氏は「ゼロトラストアーキテクチャは、自社の従業員の作業環境を変化させるだけでなく、企業の壁を取り除き、企業間のエコシステムをセキュアに形成する」と予想している。同氏の講演からゼロトラストアーキテクチャによってもたらされる新しい企業システムの姿を考察する。
記事 メールセキュリティ ランサムウェアとは何か？手口・対策・事例、気になるポイントをまとめて解説 ランサムウェアとは何か？手口・対策・事例、気になるポイントをまとめて解説 2021/09/09 悪意あるソフトウェアであるマルウェアの中でも、特に被害が大きくなりがちである「ランサムウェア」。その攻撃は年々巧妙化してきており、被害件数・被害額ともに増加傾向にあります。近年はニュースでもその名前をよく聞くようになったのではないでしょうか。では、その手口はどのようなものか、どんな対策が必要か、理解できていますか？この記事では、個人・企業を問わず気を付けなければならないランサムウェアについて、最低源押さえておきたい基礎知識を網羅的に説明します。
記事 セキュリティ総論 ゼロトラストとは何か？ 新セキュリティ対策へ移行するための第一歩と成功の秘訣 ゼロトラストとは何か？ 新セキュリティ対策へ移行するための第一歩と成功の秘訣 2020/12/14 業務システムのクラウドシフトやテレワークの急速な普及によって、ネットワークセキュリティの維持が従来の手法では困難になっている。そこで注目されてきたのが「ゼロトラストネットワーク」だ。「通信相手を信頼せずに攻撃されることを前提とする」というコンセプトの下、新たなセキュリティ対策として採用を検討する企業が増えている。ゼロトラストネットワークのメリット／デメリット、具体的な移行手順や失敗しない方法などをアイ・ティ・アール（ITR）のコンサルティング・フェローの藤 俊満氏が解説した。
記事 セキュリティ総論 フィッシングサイトの最新動向を解説、HTTPSやEV SSLは「何も保証しない」現実 フィッシングサイトの最新動向を解説、HTTPSやEV SSLは「何も保証しない」現実 2020/04/03 JPCERT/CCが3月19日に、「JPCERT/CCに報告されたフィッシングサイトの傾向」というブログエントリーを公開している。同センターに寄せられたフィッシングサイト報告や届出についての傾向をまとめたものだが、フィッシングサイトのテイクダウン（閉鎖）日数に関する経年推移のグラフがある。それによると、近年フィッシングサイトの報告を受けてからテイクダウンにかかる日数が伸びる傾向にあるという。これはどういうことだろうか？
記事 ファイアウォール・IDS・IPS 【マンガ解説付】5分でざっくりわかる「DMZ」、役割や構築方法をやさしく解説 【マンガ解説付】5分でざっくりわかる「DMZ」、役割や構築方法をやさしく解説 2020/03/17 ネットワーク・セキュリティの世界では「DMZ」と呼ばれる特別なネットワーク領域が作られることがあります。これは、ネットワークに接続する大切な情報や端末を守るために設けられる「緩衝領域」の役割を果たします。DMZはどのように構築でき、どんな機能を持つのか、またどんな使われ方をするのか。DMZの基本的な仕組みをやさしく解説していきます。
記事 セキュリティ総論 AI攻撃には「AI」で対抗せよ。「東大超え」OISTが実施するセキュリティ対策とは？ AI攻撃には「AI」で対抗せよ。「東大超え」OISTが実施するセキュリティ対策とは？ 2020/01/06 ITシステムに対する脅威は、近年、ますます巧妙かつ高度になり、セキュリティ対策も難しくなっている。「質の高い論文の割合が高い研究機関ランキング」で、東京大学を上回り日本トップになった沖縄科学技術大学院大学（OIST）は、AIを活用した最新のセキュリティ対策ツールを多層的に導入することで、安定したセキュリティ基盤を実現した。ここでは、OISTの具体的な成功事例と、セキュリティ対策ツールの導入ポイントについて紹介しよう。
記事 ゼロトラスト・クラウドセキュリティ・SASE EDRをやさしく解説、「攻撃されること前提」のセキュリティがなぜ重要か EDRをやさしく解説、「攻撃されること前提」のセキュリティがなぜ重要か 2019/11/21 ここ数年、企業が抱える機密情報の価値が高まり、不正アクセスによる情報漏えいの割合が増加しています。JNSA（日本ネットワークセキュリティ協会）の調査によると、実に2018年の情報漏えいの2割が不正アクセスによるものと判明しています。企業もウイルス対策ソフトなどを導入し、情報セキュリティに力を入れるようになってきましたが、それでも突破されて漏えいする事例が後を絶ちません。そこで「攻撃を受けることが前提」のセキュリティ技術、EDR（Endpoint Detection and Response）が注目されています。本稿ではEDRをやさしく解説します。
記事 ゼロトラスト・クラウドセキュリティ・SASE 企業にとって「一番の脅威」はDDoSに、名和利男氏が警戒を呼びかけるワケ 企業にとって「一番の脅威」はDDoSに、名和利男氏が警戒を呼びかけるワケ 2019/07/09 本連載では、ITトレンドから毎回ホットなキーワードを取り上げ、その最新動向とともに筆者なりのインサイト（洞察）や見解を述べたい。第18回に取り上げるキーワードは、サイバー攻撃の中でも代表的な「DDoS（分散型サービス妨害）攻撃」。その監視と解析、および対策ソリューションにおいて最大手の米ITセキュリティベンダーの調査結果を基に実態を探ってみたい。
記事 ゼロトラスト・クラウドセキュリティ・SASE DNSとは何か？「セキュリティの穴」にしない対策と基礎的な仕組みを徹底解説 DNSとは何か？「セキュリティの穴」にしない対策と基礎的な仕組みを徹底解説 2019/02/14 「DNS（Domain Name System）」と聞いて何を連想するだろう。「インターネット」「セキュリティ」という言葉が思い浮かぶ人は、普段ITニュースに接している人のはずだ。では「DNSって何をするものなんですか？」という質問に答えられるだろうか。DNSはインターネットで重要な役割を占めるが、その働きをきちんと理解している人は少ない。ここでは、普段は意識しないが、実は重要なDNSと、そのセキュリティの関係について、最新の攻撃事例を交えて解説する。
記事 セキュリティ総論 「10万円無料」で“炎上”の侍エンジニア塾、セキュリティ観点での問題も 「10万円無料」で“炎上”の侍エンジニア塾、セキュリティ観点での問題も 2018/11/06 「侍エンジニア塾」というプログラマー向けの私塾が、景品表示法違反が濃厚な広告で生徒を勧誘していたとして炎上した。一部で不正を知った受講生からの解約拒否のトラブルも発生。さらに、このことをブログ等で告発した人たちを、当該企業がグーグルへのDMCA申請を行う逆SEOでさらに炎上。しかし問題は不正が濃厚な広告やDMCAの濫用、企業コンプライアンスだけではい。セキュリティ上のある問題点を指摘したい。
記事 セキュリティ総論 「Googleをお使いのあなた！」当選詐欺フィッシングはなぜなくならないのか 「Googleをお使いのあなた！」当選詐欺フィッシングはなぜなくならないのか 2018/10/31 グーグルを装い、はてな匿名ダイアリーなどのWebサイトにおいて「（iPadなどの製品名）の当選者に選ばれました」というポップアップ広告が表示される事案が発生している。同様の問題は夏ごろにニュースサイトなどでも発生していた。なぜ当選詐欺フィッシングはなくならないのだろうか？ 背景には、漫画村問題でも取り上げられたアドネットワークの仕組みがかかわっている。
記事 セキュリティ総論 なぜアドウェアは検挙されず、無断マイニングでは逮捕者が出るのか なぜアドウェアは検挙されず、無断マイニングでは逮捕者が出るのか 2018/10/05 Webサイトやソフトウェア製品において、サービスや製品提供に随伴する広告、利用履歴や個人情報の利用（販売を含む）は、どこまでが許容されるかどうかの境界は非常にあいまいだ。コインハイブでは無断マイニングで逮捕者が出た。デンソーウェーブのQRコードリーダー、トレンドマイクロのスマホアプリでは、利用者が認識していない情報収集が問題視されているが、法執行機関が動く気配はない。違いはどこにあるのだろうか。
記事 ID・アクセス管理・認証 実は「何も証明しない」サーバ証明書、HTTPSが当たり前なら何を信頼すればよい？ 実は「何も証明しない」サーバ証明書、HTTPSが当たり前なら何を信頼すればよい？ 2018/09/27 W3CによるHTTP/2（HTTPバージョン2）の議論に端を発する、Webにおける通信の常時暗号化の問題。グーグルが主導する形で、Webブラウザは「HTTPS通信以外、安全な通信でない」と扱うようになってきている。その影響はあらゆるWebページにかかわるものだが、問題はサイト運営者の作業だけではない。サーバ証明書のビジネスや認証局の在り方にも及ぼうとしている。
記事 ゼロトラスト・クラウドセキュリティ・SASE マイクロソフト、パスワードが不要になる「WebAuthn」をEdgeに実装 マイクロソフト、パスワードが不要になる「WebAuthn」をEdgeに実装 2018/08/23 マイクロソフトは、2018年10月頃に予定されているWindows 10の大型アップデート（RS5）に向けて開発中の最新ビルド、Windows 10 build 17723で、パスワード不要でWebサイトにログインできる標準仕様「WebAuthn」をMicrosoft Edgeに実装したことを明らかにしました。
記事 セキュリティ総論 仮想通貨マイニング「コインハイブ」は違法？ 警察の勇み足？ 問題を整理する 仮想通貨マイニング「コインハイブ」は違法？ 警察の勇み足？ 問題を整理する 2018/06/21 Webサイトの閲覧者に仮想通貨を発掘（マイニング）させる「コインハイブ（Coinhive）」。これによるマイニングを違法として、各地で書類送検や逮捕が相次いでいる。これに対し、逮捕は行き過ぎだという声がセキュリティ専門家、法律家、エンジニアなどから上がっている。新聞やテレビの不正確な報道や情報が、事態をさらに複雑なものにしている。無断マイニングは違法、いや広告のほうが悪質、とさまざまな意見がある中、問題の本質はどこにあるのか見えにくい。いったい何が問題なのか考えてみたい。
記事 セキュリティ総論 ヤフーがパスワード廃止、人類はパスワードから解放されるか？ ヤフーがパスワード廃止、人類はパスワードから解放されるか？ 2018/06/01 5月18日、ヤフーが「Yahoo! Japan IDのパスワードを無効化する機能」を発表した。所定のURLで手続きをすると、以降、ヤフーサイトへのログイン、ヤフースマートログイン対応のサービス利用について、パスワードの代わりに登録した携帯番号のSMSで送られてくるワンタイムパスワードを利用するようになる。煩わしいパスワード管理から解放され利便性は高そうだが、セキュリティはどうなのだろうか。
記事 セキュリティ総論 ダークウェブのウソ・ホント なぜニューヨーク・タイムズが利用するのか ダークウェブのウソ・ホント なぜニューヨーク・タイムズが利用するのか 2018/05/23 5月7日に日経新聞が、ソリトンシステムズの調査として22億件のアカウント情報がネットに漏えいしていると報じた。続く18日にはファイア・アイが、2億件もの日本のアカウント情報が中国で売買されていると発表した。このような情報は、標的型攻撃やばらまき型のリスト攻撃に利用され、「ダークウェブ」で手に入るといわれている。ダークウェブとはどんなネットワークなのだろうか。改めて考えてみよう。
記事 ゼロトラスト・クラウドセキュリティ・SASE 人工知能がプログラムの「バグ指摘」や「コード補完」 マイクロソフトが開発 人工知能がプログラムの「バグ指摘」や「コード補完」 マイクロソフトが開発 2018/05/18 マイクロソフトは、5月初旬に米国シアトルで開催されたイベント「Microsoft Build 2018」で、AIを用いてプログラマの開発を支援する「Visual Studio IntelliCode」を発表しました。
記事 ゼロトラスト・クラウドセキュリティ・SASE いよいよパスワードから解放か グーグル、マイクロソフトなど「WebAuthn」実装開始 いよいよパスワードから解放か グーグル、マイクロソフトなど「WebAuthn」実装開始 2018/04/23 Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。
記事 ゼロトラスト・クラウドセキュリティ・SASE Facebookの「いいね！」ボタン、無断で個人情報を送信？ あらためてその仕組みを知る Facebookの「いいね！」ボタン、無断で個人情報を送信？ あらためてその仕組みを知る 2018/03/05 2月25日、読売新聞が、企業サイトや公式ページに設置されているFacebook（フェイスブック）の「いいね！」ボタンが押した人の個人情報を無断で収集していると報じた。しかし、この機能はもう何年も前から実装され利用されてきているものだ。これまで大きな問題にならなかったはずなのに、なぜいま話題に上がったのか。機能や運用方法に変更があったのだろうか。あらためてSNSの広告について考えてみよう。
記事 セキュリティ総論 DX時代だからこそ取り組むべき、3つのセキュリティ対策 DX時代だからこそ取り組むべき、3つのセキュリティ対策 2018/03/01 昨今、「DX」というキーワードを目にする機会が増えてきた。これは「デジタルトランスフォーメーション」の略で、生活のあらゆる場面が情報化/デジタル化することによって起こる大きな変革を意味する。「DX」の進展によって、企業はこれまで以上にインターネットを介してさまざまなデータをやりとりするようになる。そこで忘れてはならないのがセキュリティ対策だ。本稿では最新の調査結果を踏まえながら、企業がDX時代を生き抜くために留意すべきセキュリティ対策のポイントを探っていくことにする。
記事 セキュリティ総論 JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ 2017/12/29 12月20日、日本航空（JAL）が取引先を装ったメールに騙され、3億8000万円以上を詐欺犯に振り込んでしまったというニュースがあった。金額もさることながら、大企業が振り込め詐欺のような手口で億単位の被害にあったということも注目が集まった。しかし、この手の攻撃の予防は簡単ではなく、どんな企業でも騙される可能性がある。加えて、今回の報道を受け、模倣犯など類似の攻撃が活発化するかもしれない。
記事 セキュリティ総論 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 2017/12/26 サイバー犯罪の多くは金銭目的だ。オンラインバンキングではアカウント情報を窃取し、不正送金を行い、ランサムウェアはWebマネーやビットコインを要求する。先日、取引を装った偽メールで日本航空（JAL）が約3.8億円もの詐欺被害にあったばかりだ。しかし、サイバー犯罪とてゼロコストでできるわけではないはずだ。マルウェアを自分で開発できるとしてもサーバを立てたり環境を整えるコストはかかるだろう。サイバー犯罪は儲かるのだろうか。
