記事 ゼロトラスト・クラウドセキュリティ・SASE マイクロソフト、パスワードが不要になる「WebAuthn」をEdgeに実装 マイクロソフト、パスワードが不要になる「WebAuthn」をEdgeに実装 2018/08/23 マイクロソフトは、2018年10月頃に予定されているWindows 10の大型アップデート（RS5）に向けて開発中の最新ビルド、Windows 10 build 17723で、パスワード不要でWebサイトにログインできる標準仕様「WebAuthn」をMicrosoft Edgeに実装したことを明らかにしました。
記事 ゼロトラスト・クラウドセキュリティ・SASE VPNではクラウドとモバイルを生かしきれない？働き方変える「真の」セキュリティとは VPNではクラウドとモバイルを生かしきれない？働き方変える「真の」セキュリティとは 2018/06/21 「働き方改革」に取り組む企業にとって、クラウドとモバイルの活用は不可欠だ。時間や場所に制約されず、生産性の高い多様な働き方を実現するには、クラウドとモバイルが欠かせないからだ。ところが、従来のセキュリティ対策では、クラウドとモバイルのメリットを十分に引き出せない可能性がある。それはなぜなのか。それが事実だとすれば、どのような対策でクラウドとモバイルのメリットを引き出せるのか。「働き方改革」の足を引っ張りかねない、従来のセキュリティ対策の課題と解決策をまとめた。
記事 セキュリティ総論 仮想通貨マイニング「コインハイブ」は違法？ 警察の勇み足？ 問題を整理する 仮想通貨マイニング「コインハイブ」は違法？ 警察の勇み足？ 問題を整理する 2018/06/21 Webサイトの閲覧者に仮想通貨を発掘（マイニング）させる「コインハイブ（Coinhive）」。これによるマイニングを違法として、各地で書類送検や逮捕が相次いでいる。これに対し、逮捕は行き過ぎだという声がセキュリティ専門家、法律家、エンジニアなどから上がっている。新聞やテレビの不正確な報道や情報が、事態をさらに複雑なものにしている。無断マイニングは違法、いや広告のほうが悪質、とさまざまな意見がある中、問題の本質はどこにあるのか見えにくい。いったい何が問題なのか考えてみたい。
記事 セキュリティ総論 ヤフーがパスワード廃止、人類はパスワードから解放されるか？ ヤフーがパスワード廃止、人類はパスワードから解放されるか？ 2018/06/01 5月18日、ヤフーが「Yahoo! Japan IDのパスワードを無効化する機能」を発表した。所定のURLで手続きをすると、以降、ヤフーサイトへのログイン、ヤフースマートログイン対応のサービス利用について、パスワードの代わりに登録した携帯番号のSMSで送られてくるワンタイムパスワードを利用するようになる。煩わしいパスワード管理から解放され利便性は高そうだが、セキュリティはどうなのだろうか。
記事 セキュリティ総論 ダークウェブのウソ・ホント なぜニューヨーク・タイムズが利用するのか ダークウェブのウソ・ホント なぜニューヨーク・タイムズが利用するのか 2018/05/23 5月7日に日経新聞が、ソリトンシステムズの調査として22億件のアカウント情報がネットに漏えいしていると報じた。続く18日にはファイア・アイが、2億件もの日本のアカウント情報が中国で売買されていると発表した。このような情報は、標的型攻撃やばらまき型のリスト攻撃に利用され、「ダークウェブ」で手に入るといわれている。ダークウェブとはどんなネットワークなのだろうか。改めて考えてみよう。
記事 ゼロトラスト・クラウドセキュリティ・SASE 人工知能がプログラムの「バグ指摘」や「コード補完」 マイクロソフトが開発 人工知能がプログラムの「バグ指摘」や「コード補完」 マイクロソフトが開発 2018/05/18 マイクロソフトは、5月初旬に米国シアトルで開催されたイベント「Microsoft Build 2018」で、AIを用いてプログラマの開発を支援する「Visual Studio IntelliCode」を発表しました。
記事 ゼロトラスト・クラウドセキュリティ・SASE いよいよパスワードから解放か グーグル、マイクロソフトなど「WebAuthn」実装開始 いよいよパスワードから解放か グーグル、マイクロソフトなど「WebAuthn」実装開始 2018/04/23 Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。
記事 ゼロトラスト・クラウドセキュリティ・SASE Facebookの「いいね！」ボタン、無断で個人情報を送信？ あらためてその仕組みを知る Facebookの「いいね！」ボタン、無断で個人情報を送信？ あらためてその仕組みを知る 2018/03/05 2月25日、読売新聞が、企業サイトや公式ページに設置されているFacebook（フェイスブック）の「いいね！」ボタンが押した人の個人情報を無断で収集していると報じた。しかし、この機能はもう何年も前から実装され利用されてきているものだ。これまで大きな問題にならなかったはずなのに、なぜいま話題に上がったのか。機能や運用方法に変更があったのだろうか。あらためてSNSの広告について考えてみよう。
記事 セキュリティ総論 DX時代だからこそ取り組むべき、3つのセキュリティ対策 DX時代だからこそ取り組むべき、3つのセキュリティ対策 2018/03/01 昨今、「DX」というキーワードを目にする機会が増えてきた。これは「デジタルトランスフォーメーション」の略で、生活のあらゆる場面が情報化/デジタル化することによって起こる大きな変革を意味する。「DX」の進展によって、企業はこれまで以上にインターネットを介してさまざまなデータをやりとりするようになる。そこで忘れてはならないのがセキュリティ対策だ。本稿では最新の調査結果を踏まえながら、企業がDX時代を生き抜くために留意すべきセキュリティ対策のポイントを探っていくことにする。
記事 衛星通信・HAPS・NTN 2018年は改めて「ネットワーク」を本気で考えるべき 2018年は改めて「ネットワーク」を本気で考えるべき 2018/01/17 企業の「デジタル化」が進む中、今後データが爆発的に増大するのは間違いない。ところが、そのデータの通り道である「ネットワーク」を真剣に心配している企業は少ない。しかし、現在のネットワークは、爆発的に増大するテータに本当に対応できるのだろうか？ そこに問題があるとしたら、企業はどう対応すればよいのか。
記事 セキュリティ総論 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 「守るべきはデータの価値」、 山崎文明氏らが語るデータ中心のセキュリティ対策とは 2017/12/31 サイバー攻撃の悪質化や巧妙化が増す中、情報漏えい事件・事故が後を絶たない。さらにIoT（モノのインターネット）やビッグデータなどの潮流によって、企業・組織には、データセントリックな（データを中心に据えた）ITセキュリティ戦略が求められている。このほど開催された「Gemalto 5th Crypto Live Japan Forum 2017」では情報安全保障研究所 首席研究員 山崎 文明 氏らが登壇し、情報漏えいが起きても情報の価値を守る暗号化の有効性と具体的な導入方法などが紹介された。
記事 セキュリティ総論 JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ JALを襲った「3.8億円詐欺」は他人事ではない メールはもはや仕事では使えない？ 2017/12/29 12月20日、日本航空（JAL）が取引先を装ったメールに騙され、3億8000万円以上を詐欺犯に振り込んでしまったというニュースがあった。金額もさることながら、大企業が振り込め詐欺のような手口で億単位の被害にあったということも注目が集まった。しかし、この手の攻撃の予防は簡単ではなく、どんな企業でも騙される可能性がある。加えて、今回の報道を受け、模倣犯など類似の攻撃が活発化するかもしれない。
記事 セキュリティ運用・SOC・SIEM・ログ管理 セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ セキュリティの被害は8割超、対抗するための「レジリエント セキュリティ」とは？ 2017/12/26 IoT（Internet of Things）の台頭やモバイルデバイスの多様化、クラウドの普及――企業を取り巻くIT環境は急激に変化している。スピーディにビジネスが動くのと同時に増大しているのが、サイバー空間におけるセキュリティのリスクだ。もちろん、各社セキュリティ対策は講じているだろうが、どれだけ強固に守りを固めたとしても、日々進化しているサイバー攻撃を完全に防ぐことは不可能に近い。このような現状で、企業はサイバー攻撃に対してどのような対策を講じるべきなのか。
記事 セキュリティ総論 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 サイバー犯罪は「儲かる」のか？ 個人情報の値段とマルウェアの値段 2017/12/26 サイバー犯罪の多くは金銭目的だ。オンラインバンキングではアカウント情報を窃取し、不正送金を行い、ランサムウェアはWebマネーやビットコインを要求する。先日、取引を装った偽メールで日本航空（JAL）が約3.8億円もの詐欺被害にあったばかりだ。しかし、サイバー犯罪とてゼロコストでできるわけではないはずだ。マルウェアを自分で開発できるとしてもサーバを立てたり環境を整えるコストはかかるだろう。サイバー犯罪は儲かるのだろうか。
記事 セキュリティ総論 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 「侵入前提」から「被害前提」へ サイバーセキュリティ経営ガイドライン改訂ポイント 2017/11/30 日々新たな脅威が生まれるサイバーセキュリティの世界。11月16日、経済産業省が「サイバーセキュリティ経営ガイドライン 2.0」を発表した。前バージョンとなる1.1に対する主な改訂ポイントは、「経営者がCISO等に指示すべき10の重要項目」に侵入検知、復旧体制が追加され、サプライチェーンセキュリティに関する項目が再編された。その改訂意図から見えてくる現代のセキュリティマネジメントを見てみたい。
記事 セキュリティ総論 ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ 2017/11/20 10月31日、京都新聞がセキュリティ会社ディアイティの社員をウイルス保管容疑で逮捕したと発表した。その後毎日新聞やネットメディアなどが続報を伝えている。セキュリティ企業がウイルスを業務上保管することはあり得るので、業界では、誤認逮捕または警察権の濫用ではないのか、といった声も聞かれた。新聞やネットの情報では詳細が見えてこないので、当事者企業のディアイティおよび京都府警に取材したので、得られた情報を整理したい。
記事 セキュリティ総論 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 世界中が「狂騒」したWPA2の脆弱性「KRACK」問題 ここから得るべき2つの教訓は 2017/10/26 （有）クライテリオン 技術・研究部 小林成龍 WPA2の脆弱性KRACKs(key reinstallation attacks)というのは、WPA2の認証手順の４Way Handshakeの3番目で不正な鍵を攻撃者に再インストールされることで端末とWiFiアクセスポイント間の通信をバイパスされてしまう攻撃だ。この通信がバイパスされてしまうとWiFi利用者としては正規のWiFiアクセスポイントとセキュアなWPA2で接続しているつもりでも、実際には攻撃者が用意した不正なクローンAPと接続させられている上に平文の通信をさせられているので盗聴がされ放題の状況になっている。 記事でも解説しているようにPCやスマートフォン/タブレットのような端末とWiFiアクセスポイント間の通信が丸裸になっているだけなので、SSL/TLSで保護された通信の中身までは覗き見られることはない。2018年以降WEBサイトのHTTPS化というのが推奨されたため現在では世間に公開されているWEBサイトの多くがHTTPS化しているし、コロナ渦以降VPN接続を利用するユーザが増えて業務外のプライベートなWEBアクセスでもVPN接続を利用しているユーザは多い。この類の通信はSSL/TLSで暗号化されているので通信の秘密が第三者に漏洩することは基本的にない。 WEBアクセスはすべてHTTPSのサイトのみ、メールはSSL/TLSに対応している、インターネットアクセス時にはすべてVPN経由にしているのであれば、問題の回避ができているのかと云うと必ずしもそうとは言い切れない。確かにSSL/TLSの暗号は強力で容易に破ることはできず安全なのだが、それは正しくSSL/TLSが実装されている場合に限る。HTTPSのサイトやVPNサービスでも技術的に正しく実装されていないものはそれなりの割合ある。そういったものであれば、攻撃者はSSL/TLSを引き剥がして通信を丸裸にすることができる。そのようなリスクを回避するためにも正しく実装されているサービスを利用する必要がある。 正しく実装されているSSL/TLSか否かは利用者側から判別することは難しい。それに対しての答えとしては信用のできるサービスを使う。例えば、VPNサービスであれば無料で誰でも使えるサービスではなくて、業務利用であれば所属企業が正規に提供しているVPNサービスを使う、私的なWEBアクセスであれば商用サービスのVPN接続サービスを利用する。適切なセキュリティ監査を受けた製品やサービスを理由するのであれば、安全と考えてよいだろう。
記事 セキュリティ総論 三上 洋氏が指摘！「手軽にセキュリティのスペシャリストを雇えて、安全性が高まる」セキュリティサービスとは 三上 洋氏が指摘！「手軽にセキュリティのスペシャリストを雇えて、安全性が高まる」セキュリティサービスとは 2017/09/22 近年、サイバー攻撃が巧妙化かつ高度化し、企業の被害も後を絶たない。最近では標的型攻撃に加え、新たに金銭を狙ったランサムウェアが猛威を振っている。10年以上にわたりセキュリティ動向をウォッチしてきたITジャーナリストの三上 洋氏は、「中堅企業にとっては、より他人事ではなくなっている状況です」と指摘する。三上氏に最近のサイバー攻撃の現状と、企業が攻撃を防ぐための有効な戦略およびセキュリティ対策について、話を聞いた。
記事 セキュリティ総論 「完全に防ぐのは不可能」なDDoS攻撃、どうする？ 意外なところから切り札が登場！ 「完全に防ぐのは不可能」なDDoS攻撃、どうする？ 意外なところから切り札が登場！ 2017/09/14 DDoS攻撃は、サイバー攻撃の主な手法として古くから知られている。2015年4月に改訂された金融庁の金融検査マニュアルでも、サイバー攻撃として「DDoS攻撃」が明記され、対策を打つ必要性を謳っている。DDoS攻撃が一般的かつ重大な攻撃であることが、政府機関においても認められた格好だ。ただし、DDoS攻撃を完全に防ぐ方法は、実はまだ確立されていない。それはなぜなのか。また、現時点で企業がとりうる最善の対策は何なのか。DDoS対策ソリューションに本格参入したライムライト・ネットワークスに話を聞いた。
記事 セキュリティ総論 セキュリティ対策の「運用の壁」をどう乗り越える？ コストを抑えて安全性を高める秘訣 セキュリティ対策の「運用の壁」をどう乗り越える？ コストを抑えて安全性を高める秘訣 2017/09/14 巧妙化・多様化したサイバー攻撃による被害が相次いでいる。特に最近では、標的型攻撃に加えて、身代金を要求するランサムウェアによる攻撃も急増している。たとえば2017年春頃に世界150か国で20万件の被害を出した「WannaCry(ワナクライ)/WannaCrypt(ワナクリプト)」は、日本国内でも大手企業が被害に遭い、業務が停止するという事件が起きたことは記憶に新しい。このような被害は大企業のみならず、中堅企業でも起きており、もはや対岸の火事とは言えない状況だ。とはいえセキュリティ対策には、高コストで導入・運用の手間もかかり、本格的な対策に踏み切れない企業も多いだろう。こうした課題をどのような視点で解消すべきだろうか。
記事 セキュリティ総論 東名高速の衝突事故、東神観光バス「13時間の危機管理」から学ぶべきもの 東名高速の衝突事故、東神観光バス「13時間の危機管理」から学ぶべきもの 2017/06/26 2017年6月10日、東名高速道路にて痛ましい衝突事故が起きてしまった。上り線の新城パーキングエリア付近を走行中の観光バスに、対向車線から乗用車が飛んできて衝突したというものだ。今回注目したいのは、被害にあったバス会社「東神観光バス」が異例の早さで車載カメラ（ドライブレコーダー）の映像を公開し、約13時間後に即日で緊急リリースを出したという点だ。精査してみると、今回の事故でバス側に死者がでなかった背景、同社の危機管理への意識が見えてくる。インシデント対応からも参考になる本事例を掘り下げてみたい。
記事 セキュリティ総論 企業のドメイン名が不正取得されたら？対策とドメイン名紛争処理の仕組み 企業のドメイン名が不正取得されたら？対策とドメイン名紛争処理の仕組み 2017/06/20 Webサイトを運営している企業にとって、自社名や商品、サービスなどの名称をドメイン名として取得する行為は欠かせない。そんなドメイン名は、転売、営業妨害、フィッシングサイトなどを目的として、第三者によって不正に申請、取得されることでビジネス上のさまざま問題が起こり得る。こうした際に、企業はどのような対策がとれるのだろうか。JPCERT/CCではまさにこの問題を経験し、解決するまでの措置の詳細を公開している。類似ドメイン名を不正取得された場合の対処方法のひとつとして紹介しよう。
記事 衛星通信・HAPS・NTN ライムライトCEOに聞く、3年後にはトラフィックの8割が動画になる時代のCDN戦略 ライムライトCEOに聞く、3年後にはトラフィックの8割が動画になる時代のCDN戦略 2017/06/02 動画コンテンツの増大やIoTの広がりによって、インターネットのトラフィックが爆発的に増大している。それと比例するかのように存在感を高めているのが、コンテンツ配信に特化したネットワーク網、コンテンツデリバリネットワーク（CDN）だ。中でも最先端のCDNベンダーとして知られるライムライト・ネットワークスは、コンテンツ配信を高速化するCDN事業だけでなく、DDoS対策などのセキュリティ事業にも力を注いでいる。来日した同社のCEO ボブ・レント氏に、最新の市場動向と同社の戦略を聞いた。
記事 ソーシャルメディア マストドンのセキュリティを考える、利用する前に要注意な「3つの問題」 マストドンのセキュリティを考える、利用する前に要注意な「3つの問題」 2017/05/15 SNSサービスの「Mastodon（マストドン）」をご存じだろうか。Twitter（ツイッター）とよく似たサービスとして注目を集めるマストドンだが、サービスの仕組みはツイッターとは大きく異なる。オープンソースソフトウェアであるマストドンは、個別でサーバーを用意すれば誰でもインスタンスを立ち上げることが可能だ。つまり、誰もがSNSサービスの管理者になれてしまうのである。今回は、マストドンのユーザーと管理者が注意すべきセキュリティを考えてみたい。
記事 IT資産管理 監視エージェント「SKYSEA Client View」の脆弱性、Skyの対応に問題はあったのか 監視エージェント「SKYSEA Client View」の脆弱性、Skyの対応に問題はあったのか 2017/05/09 数年前から検知されていた政府機関やインフラ事業者へのサイバー攻撃の手段の一つとして、大手ITベンダーのセキュリティ関連ソフトの脆弱性が利用されていたことが、4月11日付けの朝日新聞によって報道された。利用されたのは、セキュリティソフトベンダー、Skyの「SKYSEA Client View」という監視エージェントソフトだ。すでにパッチは配布されているが、この問題によってセキュリティ対策ソフトの脆弱性についての議論が再燃した。
記事 市場調査・リサーチ 2017年のテクノロジー・メディア・通信業界で起こる「10のトレンド」 2017年のテクノロジー・メディア・通信業界で起こる「10のトレンド」 2017/04/20 デロイト トーマツ コンサルティングは20日、テクノロジー・メディア・通信（TMT）業界における最新のトピックスについて、グローバルの動向に日本の動向を加えてまとめた「TMT Predictions 2017 日本版」を発表した。生体認証、DDoS攻撃といったセキュリティの話題から、テレビ広告、アナログレコード市場といったコンシューマー向けの話題まで。2017年のテクノロジー・メディア・通信業界に起こる「10のトレンド」を紹介しよう。
記事 ID・アクセス管理・認証 グーグルがシマンテックのSSL証明書失効を提案した理由、村八分か自浄作用か グーグルがシマンテックのSSL証明書失効を提案した理由、村八分か自浄作用か 2017/04/11 3月24日、グーグルのChromeチームがシマンテックが発行するSSL証明書を段階的に無効にしていく提案を行った。実施されればモバイルでもデスクトップでも50％を越えるシェアを持つChrome上で、シマンテック傘下の認証局が発行する証明書（EV SSLも含む）ではエラーや警告が表示されることになる。シマンテックの証明書は全世界で30％以上を占めるともいわれており、大きな問題とされた。グーグルのシマンテックに対するけん制にはどのような背景があるのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 偽造クッキー（Cookie）で大量アカウント流出、米ヤフーが2年間気付けなかった理由 偽造クッキー（Cookie）で大量アカウント流出、米ヤフーが2年間気付けなかった理由 2017/03/22 3月1日、米Yahoo!（以下、ヤフー）は、過去に発生した2件の大規模なサイバーインシデントによる被害を発表し、米証券取引委員会（SEC）に詳細を報告した。2件のインシデントとは、2014年に発生した5億人分のアカウント情報の漏えい（すでに公表済）と、新たに発覚した2013年の10億人のアカウント情報の漏えいのことだ。この攻撃の中で、3200万人のアカウントに対し、偽造クッキーによる不正アクセスも確認された。偽造クッキーとはいったいどのように造られ、どのような被害を及ぼすのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「デジタル変革」実現に必要なセキュリティとは？知っておきたい重要テクノロジー4つ 「デジタル変革」実現に必要なセキュリティとは？知っておきたい重要テクノロジー4つ 2017/03/21 モビリティ、ビッグデータ、クラウド、ソーシャルなどの新たな技術を活用し、これまでになかった顧客体験、ビジネス価値を創出するデジタルトランスフォーメーション（DX）を実現するためには、セキュリティのリスクが大きな経営課題となる。IDC Japan ソフトウェア＆セキュリティ リサーチマネージャー 登坂恒夫 氏が、DX時代に必要なセキュリティの重要テクノロジーや、セキュリティ人材、組織の整備の考え方などについて解説する。
記事 AI・生成AI クラウド、AI、IoT関連のセキュリティ脅威への対策は？ DX成功のカギをIDCが解説 クラウド、AI、IoT関連のセキュリティ脅威への対策は？ DX成功のカギをIDCが解説 2017/03/16 多くの企業が新たな顧客体験やビジネス価値を創出するため、デジタルトランスフォーメーション（DX）に取り組んでいる。しかし、クラウドやコグニティブ／AIシステム、IoTの活用が本格化していく状況で、サイバーセキュリティの脅威はDXを妨げかねない。IDC Japanの眞鍋敬 氏と入谷光浩 氏が、増加するランサムウェア対策のポイントやクラウドセキュリティに関する懸念など、デジタル変革を実現させたい企業が知っておくべきサイバーセキュリティの最新トレンドを解説した。
