記事 標的型攻撃 ランサムウェア台頭で「ストレスの限界」、ガートナーが説く確認すべき重大項目トップ7 2023/09/20 サイバー攻撃は犯罪者の「ビジネス」へと変質を遂げ、攻撃の手口は巧妙化するばかりだ。対する企業は予算と人材の双方の問題から、苦しい防衛戦を強いられている。この中でCISOに何より求められているのが、サイバー攻撃によるビジネスへの影響を極小化させることだ。ガートナー シニア ディレクター, アドバイザリのウェイン・ハンキンス氏が、ランサムウェア攻撃に直面した際にチェックすべき7つの項目を伝授する。
記事 OS Microsoft Entraとは何か？マイクロソフトのセキュリティ・ID管理サービスのゆくえ 2023/06/16 マイクロソフトは約1年前の2022年5月末、新しい製品サービス群「Microsoft Entra」を発表しました。Azureのポータルやドキュメントでこの名称を目にすることが多くなってきたと思いますが、Microsoft Entraとは一体何なのか、ざっくり見てみましょう。
記事 セキュリティ総論 クラウドのセキュリティ対策の4ステップをガートナーが解説、ツールはどう使い分け？ 2022/09/06 クラウド利用が拡大する中、セキュリティ対策は企業経営にとっての最優先課題の1つと位置付けられまでになった。背景には、従来からのアプローチでは対応しきれないセキュリティ・リスクが生じていることがある。企業はクラウド・セキュリティへの対応をどう推し進めるべきなのか。クラウドセキュリティへの具体的な取り組み方、CASBやCSPM、CWPPなど無数にあるツール/ソリューションの使い分け方など、ガートナー シニア ディレクター,アナリストのチャーリー・ウィンクレス氏が解説する。
記事 セキュリティ戦略 Log4jが突きつけた認めたくない現実、「あらゆる脆弱性の排除はできない」 2022/01/12 セキュリティ界隈のみならず、久々にNHKニュースや一般紙にもとりあげられた「Apache Log4j」の脆弱性。Heartbleedやシェルショックにも匹敵する最悪の脆弱性とも言われている。技術視点でみてもまさにそのとおりなのだが、問題の本質はそこだけではない。枯れたシステムに潜む脆弱性はインパクトが大きい傾向がある。それはなぜか？ そして、我々はソフトウェアのバグや脆弱性について本当に理解しているのか？ 改めて考えてみたい。
記事 セキュリティ総論 ゼロトラストセキュリティをアナリストが解説、メリットや移行方法をわかりやすく 2021/12/03 従業員の勤務形態の1つとしてテレワークが定着してきた。そこで、企業のネットワークセキュリティは、境界防御からゼロトラストの考え方へと移行しつつある。アイ・ティ・アールのコンサルティング・フェローである藤 俊満氏は「ゼロトラストアーキテクチャは、自社の従業員の作業環境を変化させるだけでなく、企業の壁を取り除き、企業間のエコシステムをセキュアに形成する」と予想している。同氏の講演からゼロトラストアーキテクチャによってもたらされる新しい企業システムの姿を考察する。
記事 メールセキュリティ ランサムウェアとは何か？手口・対策・事例、気になるポイントをまとめて解説 2021/09/09 悪意あるソフトウェアであるマルウェアの中でも、特に被害が大きくなりがちである「ランサムウェア」。その攻撃は年々巧妙化してきており、被害件数・被害額ともに増加傾向にあります。近年はニュースでもその名前をよく聞くようになったのではないでしょうか。では、その手口はどのようなものか、どんな対策が必要か、理解できていますか？この記事では、個人・企業を問わず気を付けなければならないランサムウェアについて、最低源押さえておきたい基礎知識を網羅的に説明します。
記事 セキュリティ総論 ゼロトラストとは何か？ 新セキュリティ対策へ移行するための第一歩と成功の秘訣 2020/12/14 業務システムのクラウドシフトやテレワークの急速な普及によって、ネットワークセキュリティの維持が従来の手法では困難になっている。そこで注目されてきたのが「ゼロトラストネットワーク」だ。「通信相手を信頼せずに攻撃されることを前提とする」というコンセプトの下、新たなセキュリティ対策として採用を検討する企業が増えている。ゼロトラストネットワークのメリット／デメリット、具体的な移行手順や失敗しない方法などをアイ・ティ・アール（ITR）のコンサルティング・フェローの藤 俊満氏が解説した。
記事 セキュリティ戦略 フィッシングサイトの最新動向を解説、HTTPSやEV SSLは「何も保証しない」現実 2020/04/03 JPCERT/CCが3月19日に、「JPCERT/CCに報告されたフィッシングサイトの傾向」というブログエントリーを公開している。同センターに寄せられたフィッシングサイト報告や届出についての傾向をまとめたものだが、フィッシングサイトのテイクダウン（閉鎖）日数に関する経年推移のグラフがある。それによると、近年フィッシングサイトの報告を受けてからテイクダウンにかかる日数が伸びる傾向にあるという。これはどういうことだろうか？
記事 ファイアウォール・IDS・IPS（不正侵入検知／防御） 【マンガ解説付】5分でざっくりわかる「DMZ」、役割や構築方法をやさしく解説 2020/03/17 ネットワーク・セキュリティの世界では「DMZ」と呼ばれる特別なネットワーク領域が作られることがあります。これは、ネットワークに接続する大切な情報や端末を守るために設けられる「緩衝領域」の役割を果たします。DMZはどのように構築でき、どんな機能を持つのか、またどんな使われ方をするのか。DMZの基本的な仕組みをやさしく解説していきます。
記事 セキュリティ総論 AI攻撃には「AI」で対抗せよ。「東大超え」OISTが実施するセキュリティ対策とは？ 2020/01/06 ITシステムに対する脅威は、近年、ますます巧妙かつ高度になり、セキュリティ対策も難しくなっている。「質の高い論文の割合が高い研究機関ランキング」で、東京大学を上回り日本トップになった沖縄科学技術大学院大学（OIST）は、AIを活用した最新のセキュリティ対策ツールを多層的に導入することで、安定したセキュリティ基盤を実現した。ここでは、OISTの具体的な成功事例と、セキュリティ対策ツールの導入ポイントについて紹介しよう。
記事 Webセキュリティ EDRをやさしく解説、「攻撃されること前提」のセキュリティがなぜ重要か 2019/11/21 ここ数年、企業が抱える機密情報の価値が高まり、不正アクセスによる情報漏えいの割合が増加しています。JNSA（日本ネットワークセキュリティ協会）の調査によると、実に2018年の情報漏えいの2割が不正アクセスによるものと判明しています。企業もウイルス対策ソフトなどを導入し、情報セキュリティに力を入れるようになってきましたが、それでも突破されて漏えいする事例が後を絶ちません。そこで「攻撃を受けることが前提」のセキュリティ技術、EDR（Endpoint Detection and Response）が注目されています。本稿ではEDRをやさしく解説します。
記事 Webセキュリティ 企業にとって「一番の脅威」はDDoSに、名和利男氏が警戒を呼びかけるワケ 2019/07/09 本連載では、ITトレンドから毎回ホットなキーワードを取り上げ、その最新動向とともに筆者なりのインサイト（洞察）や見解を述べたい。第18回に取り上げるキーワードは、サイバー攻撃の中でも代表的な「DDoS（分散型サービス妨害）攻撃」。その監視と解析、および対策ソリューションにおいて最大手の米ITセキュリティベンダーの調査結果を基に実態を探ってみたい。
記事 Webセキュリティ DNSとは何か？「セキュリティの穴」にしない対策と基礎的な仕組みを徹底解説 2019/02/14 「DNS（Domain Name System）」と聞いて何を連想するだろう。「インターネット」「セキュリティ」という言葉が思い浮かぶ人は、普段ITニュースに接している人のはずだ。では「DNSって何をするものなんですか？」という質問に答えられるだろうか。DNSはインターネットで重要な役割を占めるが、その働きをきちんと理解している人は少ない。ここでは、普段は意識しないが、実は重要なDNSと、そのセキュリティの関係について、最新の攻撃事例を交えて解説する。
記事 セキュリティ戦略 「10万円無料」で“炎上”の侍エンジニア塾、セキュリティ観点での問題も 2018/11/06 「侍エンジニア塾」というプログラマー向けの私塾が、景品表示法違反が濃厚な広告で生徒を勧誘していたとして炎上した。一部で不正を知った受講生からの解約拒否のトラブルも発生。さらに、このことをブログ等で告発した人たちを、当該企業がグーグルへのDMCA申請を行う逆SEOでさらに炎上。しかし問題は不正が濃厚な広告やDMCAの濫用、企業コンプライアンスだけではい。セキュリティ上のある問題点を指摘したい。
記事 セキュリティ戦略 「Googleをお使いのあなた！」当選詐欺フィッシングはなぜなくならないのか 2018/10/31 グーグルを装い、はてな匿名ダイアリーなどのWebサイトにおいて「（iPadなどの製品名）の当選者に選ばれました」というポップアップ広告が表示される事案が発生している。同様の問題は夏ごろにニュースサイトなどでも発生していた。なぜ当選詐欺フィッシングはなくならないのだろうか？ 背景には、漫画村問題でも取り上げられたアドネットワークの仕組みがかかわっている。
記事 セキュリティ戦略 なぜアドウェアは検挙されず、無断マイニングでは逮捕者が出るのか 2018/10/05 Webサイトやソフトウェア製品において、サービスや製品提供に随伴する広告、利用履歴や個人情報の利用（販売を含む）は、どこまでが許容されるかどうかの境界は非常にあいまいだ。コインハイブでは無断マイニングで逮捕者が出た。デンソーウェーブのQRコードリーダー、トレンドマイクロのスマホアプリでは、利用者が認識していない情報収集が問題視されているが、法執行機関が動く気配はない。違いはどこにあるのだろうか。
記事 PKI・暗号化・認証 実は「何も証明しない」サーバ証明書、HTTPSが当たり前なら何を信頼すればよい？ 2018/09/27 W3CによるHTTP/2（HTTPバージョン2）の議論に端を発する、Webにおける通信の常時暗号化の問題。グーグルが主導する形で、Webブラウザは「HTTPS通信以外、安全な通信でない」と扱うようになってきている。その影響はあらゆるWebページにかかわるものだが、問題はサイト運営者の作業だけではない。サーバ証明書のビジネスや認証局の在り方にも及ぼうとしている。
記事 Webセキュリティ マイクロソフト、パスワードが不要になる「WebAuthn」をEdgeに実装 2018/08/23 マイクロソフトは、2018年10月頃に予定されているWindows 10の大型アップデート（RS5）に向けて開発中の最新ビルド、Windows 10 build 17723で、パスワード不要でWebサイトにログインできる標準仕様「WebAuthn」をMicrosoft Edgeに実装したことを明らかにしました。
記事 セキュリティ戦略 仮想通貨マイニング「コインハイブ」は違法？ 警察の勇み足？ 問題を整理する 2018/06/21 Webサイトの閲覧者に仮想通貨を発掘（マイニング）させる「コインハイブ（Coinhive）」。これによるマイニングを違法として、各地で書類送検や逮捕が相次いでいる。これに対し、逮捕は行き過ぎだという声がセキュリティ専門家、法律家、エンジニアなどから上がっている。新聞やテレビの不正確な報道や情報が、事態をさらに複雑なものにしている。無断マイニングは違法、いや広告のほうが悪質、とさまざまな意見がある中、問題の本質はどこにあるのか見えにくい。いったい何が問題なのか考えてみたい。
記事 セキュリティ戦略 ヤフーがパスワード廃止、人類はパスワードから解放されるか？ 2018/06/01 5月18日、ヤフーが「Yahoo! Japan IDのパスワードを無効化する機能」を発表した。所定のURLで手続きをすると、以降、ヤフーサイトへのログイン、ヤフースマートログイン対応のサービス利用について、パスワードの代わりに登録した携帯番号のSMSで送られてくるワンタイムパスワードを利用するようになる。煩わしいパスワード管理から解放され利便性は高そうだが、セキュリティはどうなのだろうか。
記事 セキュリティ戦略 ダークウェブのウソ・ホント なぜニューヨーク・タイムズが利用するのか 2018/05/23 5月7日に日経新聞が、ソリトンシステムズの調査として22億件のアカウント情報がネットに漏えいしていると報じた。続く18日にはファイア・アイが、2億件もの日本のアカウント情報が中国で売買されていると発表した。このような情報は、標的型攻撃やばらまき型のリスト攻撃に利用され、「ダークウェブ」で手に入るといわれている。ダークウェブとはどんなネットワークなのだろうか。改めて考えてみよう。
記事 Webセキュリティ 人工知能がプログラムの「バグ指摘」や「コード補完」 マイクロソフトが開発 2018/05/18 マイクロソフトは、5月初旬に米国シアトルで開催されたイベント「Microsoft Build 2018」で、AIを用いてプログラマの開発を支援する「Visual Studio IntelliCode」を発表しました。
記事 Webセキュリティ いよいよパスワードから解放か グーグル、マイクロソフトなど「WebAuthn」実装開始 2018/04/23 Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。
記事 Webセキュリティ Facebookの「いいね！」ボタン、無断で個人情報を送信？ あらためてその仕組みを知る 2018/03/05 2月25日、読売新聞が、企業サイトや公式ページに設置されているFacebook（フェイスブック）の「いいね！」ボタンが押した人の個人情報を無断で収集していると報じた。しかし、この機能はもう何年も前から実装され利用されてきているものだ。これまで大きな問題にならなかったはずなのに、なぜいま話題に上がったのか。機能や運用方法に変更があったのだろうか。あらためてSNSの広告について考えてみよう。
記事 セキュリティ総論 DX時代だからこそ取り組むべき、3つのセキュリティ対策 2018/03/01 昨今、「DX」というキーワードを目にする機会が増えてきた。これは「デジタルトランスフォーメーション」の略で、生活のあらゆる場面が情報化/デジタル化することによって起こる大きな変革を意味する。「DX」の進展によって、企業はこれまで以上にインターネットを介してさまざまなデータをやりとりするようになる。そこで忘れてはならないのがセキュリティ対策だ。本稿では最新の調査結果を踏まえながら、企業がDX時代を生き抜くために留意すべきセキュリティ対策のポイントを探っていくことにする。
記事 セキュリティ総論 JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ 2017/12/29 12月20日、日本航空（JAL）が取引先を装ったメールに騙され、3億8000万円以上を詐欺犯に振り込んでしまったというニュースがあった。金額もさることながら、大企業が振り込め詐欺のような手口で億単位の被害にあったということも注目が集まった。しかし、この手の攻撃の予防は簡単ではなく、どんな企業でも騙される可能性がある。加えて、今回の報道を受け、模倣犯など類似の攻撃が活発化するかもしれない。
記事 セキュリティ総論 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 2017/12/26 サイバー犯罪の多くは金銭目的だ。オンラインバンキングではアカウント情報を窃取し、不正送金を行い、ランサムウェアはWebマネーやビットコインを要求する。先日、取引を装った偽メールで日本航空（JAL）が約3.8億円もの詐欺被害にあったばかりだ。しかし、サイバー犯罪とてゼロコストでできるわけではないはずだ。マルウェアを自分で開発できるとしてもサーバを立てたり環境を整えるコストはかかるだろう。サイバー犯罪は儲かるのだろうか。
記事 セキュリティ総論 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 2017/11/30 日々新たな脅威が生まれるサイバーセキュリティの世界。11月16日、経済産業省が「サイバーセキュリティ経営ガイドライン 2.0」を発表した。前バージョンとなる1.1に対する主な改訂ポイントは、「経営者がCISO等に指示すべき10の重要項目」に侵入検知、復旧体制が追加され、サプライチェーンセキュリティに関する項目が再編された。その改訂意図から見えてくる現代のセキュリティマネジメントを見てみたい。
記事 セキュリティ総論 ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ 2017/11/20 10月31日、京都新聞がセキュリティ会社ディアイティの社員をウイルス保管容疑で逮捕したと発表した。その後毎日新聞やネットメディアなどが続報を伝えている。セキュリティ企業がウイルスを業務上保管することはあり得るので、業界では、誤認逮捕または警察権の濫用ではないのか、といった声も聞かれた。新聞やネットの情報では詳細が見えてこないので、当事者企業のディアイティおよび京都府警に取材したので、得られた情報を整理したい。
記事 セキュリティ総論 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 2017/10/26 （有）クライテリオン 技術・研究部 小林成龍 WPA2の脆弱性KRACKs(key reinstallation attacks)というのは、WPA2の認証手順の４Way Handshakeの3番目で不正な鍵を攻撃者に再インストールされることで端末とWiFiアクセスポイント間の通信をバイパスされてしまう攻撃だ。この通信がバイパスされてしまうとWiFi利用者としては正規のWiFiアクセスポイントとセキュアなWPA2で接続しているつもりでも、実際には攻撃者が用意した不正なクローンAPと接続させられている上に平文の通信をさせられているので盗聴がされ放題の状況になっている。 記事でも解説しているようにPCやスマートフォン/タブレットのような端末とWiFiアクセスポイント間の通信が丸裸になっているだけなので、SSL/TLSで保護された通信の中身までは覗き見られることはない。2018年以降WEBサイトのHTTPS化というのが推奨されたため現在では世間に公開されているWEBサイトの多くがHTTPS化しているし、コロナ渦以降VPN接続を利用するユーザが増えて業務外のプライベートなWEBアクセスでもVPN接続を利用しているユーザは多い。この類の通信はSSL/TLSで暗号化されているので通信の秘密が第三者に漏洩することは基本的にない。 WEBアクセスはすべてHTTPSのサイトのみ、メールはSSL/TLSに対応している、インターネットアクセス時にはすべてVPN経由にしているのであれば、問題の回避ができているのかと云うと必ずしもそうとは言い切れない。確かにSSL/TLSの暗号は強力で容易に破ることはできず安全なのだが、それは正しくSSL/TLSが実装されている場合に限る。HTTPSのサイトやVPNサービスでも技術的に正しく実装されていないものはそれなりの割合ある。そういったものであれば、攻撃者はSSL/TLSを引き剥がして通信を丸裸にすることができる。そのようなリスクを回避するためにも正しく実装されているサービスを利用する必要がある。 正しく実装されているSSL/TLSか否かは利用者側から判別することは難しい。それに対しての答えとしては信用のできるサービスを使う。例えば、VPNサービスであれば無料で誰でも使えるサービスではなくて、業務利用であれば所属企業が正規に提供しているVPNサービスを使う、私的なWEBアクセスであれば商用サービスのVPN接続サービスを利用する。適切なセキュリティ監査を受けた製品やサービスを理由するのであれば、安全と考えてよいだろう。
