記事 標的型攻撃・ランサムウェア対策 レノボPCにインストールされたアドウェア「Superfish」問題の本質とは何か？ レノボPCにインストールされたアドウェア「Superfish」問題の本質とは何か？ 2015/03/03 2015年2月、国内外のメディアやSNSで「レノボのPCに悪質なアドウェアがプリインストールされている」というニュースが流れた。問題のアドウェアは開発ベンダーの名前からSuperfishと呼ばれている。レノボもアドバイザリー情報を出すなど対応しているが、報道やベンダー発表などがリアルタイムで動いていたため、問題の本質を十分にとらえていない報道や情報の錯綜が見られる。問題の概要と対処方法をあらためて整理してみよう。
記事 ゼロトラスト・クラウドセキュリティ・SASE インターネットを支える技術には脆弱性があることを忘れてはいけない インターネットを支える技術には脆弱性があることを忘れてはいけない 2015/02/25 昨年は、Heartbleedに始まりShellshock、POODLEなど、枯れたはずのインターネットの基盤技術やツールに関する脆弱性が相次いで発見された。DNSによる名前解決の仕組みもこうした基盤技術のひとつだ。存在さえ意識せず「空気」のように使っていたインターネットの基盤を支えるプロトコルや実装に潜むリスクを再認識させてくれたわけだが、このようなリスクはインターネットが本質的に抱える問題でもある。それゆえ根本的な解決も難しいが改めて考えてみたい。
記事 ゼロトラスト・クラウドセキュリティ・SASE NRIセキュア、AWS向けWebセキュリティ「WAF管理サービス for AWS」を提供 NRIセキュア、AWS向けWebセキュリティ「WAF管理サービス for AWS」を提供 2015/02/05 NRIセキュアテクノロジーズ（以下、NRIセキュア）は5日、企業向けの情報セキュリティ運用監視サービスである「FNCサービス」の新メニューとして、Amazon Web Services（AWS）上で稼働するWebアプリケーション・ファイアウォール（WAF）の提供と、それによる監視を行う「WAF管理サービス for AWS」を開始すると発表した。
記事 Web戦略・EC ECサイト運営者が開発会社に勝訴、事例に見る脆弱性対応漏れ問題の本質 ECサイト運営者が開発会社に勝訴、事例に見る脆弱性対応漏れ問題の本質 2015/02/04 マイクロソフトはSDL（Security Development Lifecycle）という考え方によって、開発プロセスの設計段階からセキュリティ要件を組込み、機能チェックだけでなくセキュリティ要件をクリアしない製品をリリースさせない方針をとっている。セキュリティバイデザインの重要性はいまさら述べるまでもないが、そのことを再認識させるような出来事があった。2014年1月23日、SQLインジェクション脆弱性が原因でクレジットカード情報が漏洩した事件について、ECサイト側が開発会社を相手取り損害賠償請求の裁判を起こし、ショップ側が勝訴したという判決が出たのだ。
記事 モバイルセキュリティ・MDM カスペルスキー、Root化やJailbreak検知対応の「Kaspersky Security for Mobile」提供 カスペルスキー、Root化やJailbreak検知対応の「Kaspersky Security for Mobile」提供 2014/12/18 カスペルスキーは18日、モバイル端末向けの法人用セキュリティ製品「Kaspersky Security for Mobile」を提供開始した。
記事 セキュリティ総論 産業制御システムへの標的型攻撃 感染端末が増加するHavexの狙いとは何か？ 産業制御システムへの標的型攻撃 感染端末が増加するHavexの狙いとは何か？ 2014/10/24 7月から8月にかけて、制御システムセキュリティの関係者の間であるマルウェアの存在が注目された。Havexと呼ばれる新しいマルウェアは、「ICS」や「SCADA」とよばれる産業制御システムを狙ったAPTキャンペーンのひとつされ、感染端末が思ったより広範に広がっていることなどが明らかにされた。いまのところシステムを攻撃する挙動は確認されていないが、その全体像は完全に解明されておらず、謎の部分も多く予断を許さない状況のこのマルウェアについて説明したい。
記事 セキュリティ総論 bashが使われるLinuxやMac OS X、iOSにも影響？Shellshockは本当に危険な脆弱性なのか bashが使われるLinuxやMac OS X、iOSにも影響？Shellshockは本当に危険な脆弱性なのか 2014/10/22 9月24日、bashのコマンドインジェクションに関する脆弱性が公開された。CVE情報を管理するデータベースでも総合スコアが10.0という最高危険度の脆弱性だ。その直後から「Heartbleedに匹敵する問題」として、多くの専門家やセキュリティベンダーのブログを始め新聞なども取り上げている。ShellShockと名付けられたこの脆弱性問題はどういったもので、どのような危険があるのだろうか。
記事 ゼロトラスト・クラウドセキュリティ・SASE 4つのステップで考える、公開Webサイトのセキュリティ強化アプローチ 4つのステップで考える、公開Webサイトのセキュリティ強化アプローチ 2014/10/20 昨今、企業や団体が公開しているWebサイトへの攻撃が多発しており、大きな脅威となっている。ID・パスワードに頼ったログイン対策は限界を迎えており、アカウントリスト型の不正ログイン攻撃や会員個人情報の漏えいに関するインシデントも増加傾向にある。ソフトウェアの脆弱性は日々新しいものが発見され、これを悪用したサイト改ざんなども日々報道がされており、サイト運営者やユーザーにとって頭の痛い事態だろう。筆者もさまざまな企業の相談に乗ることが増えているが、そもそもどのようにセキュリティ強化を進めれば良いか悩まれている場面に遭遇することがある。本稿では公開Webサイトのセキュリティ強化を実現するためのポイントについて、そのための「アプローチ」に着目して概説したいと思う。なお、本稿において意見に関する部分は私見であり、所属する法人の公式見解ではないことをあらかじめお断りしておく。
記事 ゼロトラスト・クラウドセキュリティ・SASE 「いたちごっこは終わり」EMC、不正取引検知製品「RSA Web Threat Detection」を発表 「いたちごっこは終わり」EMC、不正取引検知製品「RSA Web Threat Detection」を発表 2014/10/16 EMCジャパンは16日、ネットショップやオンラインバンキングなど、オンライン取引サービスサイトの訪問者の閲覧履歴を解析して、不正な行動を検出する不正オンライン取引検知ソリューションの最新版「RSA Web Threat Detection (アールエスエー ウェブ スレット ディテクション)5.0」（旧製品名：RSA Silver Tail）の提供を開始すると発表した。
記事 個人情報保護・マイナンバー トリップワイヤ、Heartbleed対策も可能な「Tripwire PureCloud」のトライアル版を提供 トリップワイヤ、Heartbleed対策も可能な「Tripwire PureCloud」のトライアル版を提供 2014/10/10 トリップワイヤ・ジャパンは9日、クラウド型脆弱性管理ソリューション「Tripwire PureCloud」の無料トライアルサービスである「Tripwire SecureScan」を提供開始したことを発表した。
記事 ゼロトラスト・クラウドセキュリティ・SASE キヤノンITソリューションズ、法人向け「ESET Web Security for Linux」発売 キヤノンITソリューションズ、法人向け「ESET Web Security for Linux」発売 2014/10/02 キヤノンITソリューションズは、法人向けゲートウェイ製品として、Webセキュリティ製品「ESET Web Security for Linux」を販売開始した。
記事 ゼロトラスト・クラウドセキュリティ・SASE トレンドマイクロが「Trend Micro Smart Home Network」を公開 ASUSルータに搭載へ トレンドマイクロが「Trend Micro Smart Home Network」を公開 ASUSルータに搭載へ 2014/09/26 トレンドマイクロは26日、家庭内デバイスをネットワークレイヤで保護するセキュリティ技術「Trend Micro Smart Home Network」の提供を開始した。
記事 業務効率化 事例でみる、グローバル時代のコラボレーションツール。社外へ出たファイルのセキュリティ制御を可能に！ 事例でみる、グローバル時代のコラボレーションツール。社外へ出たファイルのセキュリティ制御を可能に！ 2014/09/16 グローバル化が進む中、いま積極的に海外進出している企業も多い。それに伴い、企業にとって生命線とも言える設計図面等のCADデータや仕様書、技術情報、研究開発データ等を自社の工場や海外拠点または提携先や取引先とやり取りするケースも確実に増え、情報漏えい対策のニーズも高まっている。海外拠点や提携企業とプロジェクトを円滑に進めるためには、いまや高いセキュリティ対策を講じることができるコラボレーションツールは必須のものとなっている。「ここ数年、特にアジア諸国に進出する国内企業が急増しており、さまざまな情報のやりとりにクラウドを利用した『コラボレーション環境』が求められています」と説明するのは、富士通システムズ・イーストの山岸厚之氏だ。世の中にはコラボレーションツールと呼ばれる製品は数多くある。しかし、機密データのやりとりを行うための強固なセキュリティを実現し、海外も含めて本当に安心して利用できるソリューションとなると、その選択肢はぐっと絞られる。海外でビジネス展開を目指す企業で、また、海外拠点との情報交換で悩んでいる企業で使える、一味違ったコラボレーションツールとはどのようなものだろうか。
記事 ルータ・スイッチ 急速に普及するVDI、環境構築におけるポイントは？ 急速に普及するVDI、環境構築におけるポイントは？ 2014/09/08 クライアント端末の運用負荷の低減や事業継続性、セキュリティ対策などの観点からVDI（Virtual Desktop Infrastructure：仮想デスクトップ基盤）を導入する企業が増えている。特に、今まで導入に慎重な姿勢を示していた中堅・中小企業においても、その傾向が顕著になってきた。企業がVDIを導入する際に留意すべきポイントは何か。
記事 ゼロトラスト・クラウドセキュリティ・SASE NTTや大阪府警はなぜ、不正ではない「模倣サイト」に関する注意喚起を発表したのか？ NTTや大阪府警はなぜ、不正ではない「模倣サイト」に関する注意喚起を発表したのか？ 2014/09/05 7月下旬頃から、警察や通信事業者、ECサイトなどが「模倣サイトに注意」といったリリースを立て続けに発表したことはご存じだろうか。相次ぐ事象に対処すべく、セキュリティベンダーのトレンドマイクロは8月28日、こうした模倣サイトに関する調査結果を発表。これらの喚起が指摘している「模倣サイト」に違法性はなく、不正プログラム感染などの危険性もないという報告がなされた。ではなぜ、企業や組織側は「模倣サイト」として注意喚起を行ったのだろうか。各組織注意喚起を行った理由や背景について、筆者自らが取材した。
記事 ゼロトラスト・クラウドセキュリティ・SASE 日産自動車の公式ホームページが一部改ざん、ドライブバイダウンロード攻撃の可能性も 日産自動車の公式ホームページが一部改ざん、ドライブバイダウンロード攻撃の可能性も 2014/08/26 日産自動車は26日、同社公式サイト「下取り参考価格シミュレーション」において、サイト改ざんが行われていたと発表した。
記事 ゼロトラスト・クラウドセキュリティ・SASE ニフティクラウドで実証された、仮想ADC「SteelApp Traffic Manager」の実力 ニフティクラウドで実証された、仮想ADC「SteelApp Traffic Manager」の実力 2014/08/25 セキュリティの脅威が高度化・巧妙化しつつある中、データ暗号化を行うSSL通信は、多くのWebサービスにおいて必須要件となっている。さらに、近年の暗号解読技術の進展に伴い、2048ビットSSL通信の必要性がますます高まっている。一方、ITシステムの新たな利用形態としてクラウド基盤が普及し、自社でITシステムを所有して管理・運用する高コスト体質から脱却、必要なときに必要な分だけITサービスを利用する「所有から利用」の時代へと推移している。そうした中、企業A社がニフティクラウドで350万人規模のユーザー利用を想定したWebサービスを立ち上げることになった。
記事 ルータ・スイッチ 本音座談会、今求められるネットワークとセキュリティの要件とは？ 本音座談会、今求められるネットワークとセキュリティの要件とは？ 2014/08/07 近年、スマートフォンやクラウドの普及、サイバー攻撃の活性化・多様化により、ビジネスで求められるネットワーク／セキュリティ環境は急速に変化している。そこで注目されるのが、ネットワークとセキュリティを一元管理できる製品だ。ジュニパーネットワークスが提供する「SRXシリーズ」は、そうしたニーズに応えるものとして注目を集めている。ここでは、同製品の開発元であるジュニパーネットワークスと長年ジュニパーネットワークス製品の販売を手がけているソフトバンク コマース＆サービスが、ネットワークとセキュリティに求められる要件の変化、そしてそれに伴った「SRXシリーズ」の技術と進化について徹底的に語り合った模様をお届けする。
記事 ゼロトラスト・クラウドセキュリティ・SASE 【特集】ビジネスを支える安全なネットワーク基盤を構築する 【特集】ビジネスを支える安全なネットワーク基盤を構築する 2014/08/01 サイバー犯罪の脅威が高まり、多角的なセキュリティ対策が求められている。中でもネットワークは、企業のITインフラを支える重要な役割を担う存在だ。本特集では、こうしたネットワーク基盤をいかに安全で、高効率に運用できるのかについて解説する。
記事 ゼロトラスト・クラウドセキュリティ・SASE DDoS対策製品の市場規模、66.1％増の12億4,000万円に DDoS対策製品の市場規模、66.1％増の12億4,000万円に 2014/07/23 国内のDDoS対策製品市場は、2013年度の売上金額が12億4,000万円で、前年度比24.0％増の大きな伸びを示した。2013年度から参入ベンダーが増えており、2014年度は同66.1％の大幅な伸びを見込んでいるという。
記事 セキュリティ総論 自社サイトは大丈夫？今狙われている、放置された「コンテンツ管理システム」の脆弱性 自社サイトは大丈夫？今狙われている、放置された「コンテンツ管理システム」の脆弱性 2014/07/04 6月19日、IPA（情報処理推進機構）は、「管理できていないウェブサイトは閉鎖の検討を」というリリースを発表。サポートが終了しているCMSやバージョンが古いCMSのまま運営しているサイトに対して、バックドアを仕掛けられたりウイルスに感染する攻撃サイトにされたりする被害がなくならないことへの注意喚起である。バージョンが古いだけならアップデートすればよさそうだが、閉鎖とはどういうことだろうか。
記事 セキュリティ総論 「予防的対策」だけでは防げないサイバー攻撃－ 急務は「発見的対策」の体制作り 「予防的対策」だけでは防げないサイバー攻撃－ 急務は「発見的対策」の体制作り 2014/07/02 個人や企業、時には国家を標的にしたサイバー攻撃は、金銭的な利益を目的とした一大ビジネスと化した。その技術は高度化し、手法も巧妙化の一途をたどっている。企業は、常に進化を続けるサイバー攻撃に対して、その動向を把握し、適切な対応を行うことが求められている。対策を怠ることで失うのは、ブランドや顧客からの信用だけではない。膨大な金銭的損失を招く可能性も、増し続けているのだ。
記事 セキュリティ総論 【特集】もはや「予防」は困難なサイバー攻撃にどう対処する？ 【特集】もはや「予防」は困難なサイバー攻撃にどう対処する？ 2014/06/30 ソーシャル・エンジニアリングや水飲み場型攻撃など、企業を狙うサイバー攻撃の手口はますます巧妙化している。もはや従来の「絶対に侵入させない」といったセキュリティ対策では、すべてを防ぐことはほとんど不可能だろう。では、外部から侵入されることをある程度想定したとき、どのようなセキュリティ対策が有効となるのだろうか？
記事 セキュリティ総論 “.tokyo”を皮切りに進むgTLD大量導入 名前衝突によるセキュリティ上の問題とは “.tokyo”を皮切りに進むgTLD大量導入 名前衝突によるセキュリティ上の問題とは 2014/06/19 2014年4月7日より、“.tokyo”のドメインの先行登録が始まっているが、報道や広告などで、任意のトップレベルドメイン名（gTLD）が使えるようになったことはご存じだろう。企業やISPにとっては、ブランドを生かしたドメイン名を利用できたり、サービスの付加価値を高めたりできるチャンスであるが、一方では大量のgTLDが解放されることの影響や問題についての指摘もされていた。今回はそのひとつ、名前衝突の問題を取り上げ、それはどのようにして起こるのか、またセキュリティに上の問題について説明する。
記事 メールセキュリティ 事例で知る、セキュアなクラウド環境とBYOD実現に大事なこと 事例で知る、セキュアなクラウド環境とBYOD実現に大事なこと 2014/06/16 農薬の危険性を100万回叫ぶよりも、1本の無農薬の大根を作り、運び、食べることから始めよう──そんなポリシーからスタートし、有機野菜や自然食品の宅配事業を展開している、大地を守る会。BCP対策としてメールサービスをホスティングからクラウドに移行し、その後にセキュリティ強化も実施した。セキュアなメール環境を構築し、さらにはBYODの実現へと歩みを進めている。
記事 SDN・SD-WAN KDDI、クラウド型ファイアウォール搭載の「KDDI Wide Area Virtual Switch 2」提供へ KDDI、クラウド型ファイアウォール搭載の「KDDI Wide Area Virtual Switch 2」提供へ 2014/06/13 KDDIは12日、9月末より法人向けの広域ネットワークサービス「KDDI Wide Area Virtual Switch 2（以下、KDDI WVS 2）」の提供を開始すると発表した。
記事 ゼロトラスト・クラウドセキュリティ・SASE Webセキュリティ対策のコストはどのくらいかかるのか？何から着手すべきか？ Webセキュリティ対策のコストはどのくらいかかるのか？何から着手すべきか？ 2014/06/11 いまやWebサイトは、企業のビジネスに不可欠な存在だ。ECサイト、ブランディング、マーケティング、企業内のイントラネットなど、さまざまな用途でWebサイトが活用されている。一方で、Webサイトをめぐるセキュリティ事件・事故が急増しているのも事実だ。JPCERT/CCのデータによれば、2011年には8485件だったWebサイト関連のセキュリティ事件・事故の報告件数が、2012年には20019件、2013年には2万9191件と急増している。その中で、現在のビジネスに欠かせない自社のWebサイト/Webアプリケーションをどう守っていけばよいのか。本稿では、特にコストの視点から最適なセキュリティ投資を考える。
記事 セキュリティ総論 mixi、グーグルも導入 脆弱性報告に対する報奨金制度は浸透するか mixi、グーグルも導入 脆弱性報告に対する報奨金制度は浸透するか 2014/06/06 ソーシャルネットワーキングサービスを提供するmixiは、2013年9月30日から2014年3月31までの期間で、同社サービスにおいて未知の脆弱性を発見した場合に窓口に報告し、その重要度によって報奨金を支払う「脆弱性報告制度」を運用した。脆弱性情報のハンドリングについては、その開示ポリシーや方法には、すべてを公開する考え方と、一定のルールのもとで、一斉公開を原則とする考え方が存在する。報奨金制度は前者の考え方に近いものだが、この制度を運用するにあたっては、課題も存在している。
記事 ゼロトラスト・クラウドセキュリティ・SASE 米eBayに不正アクセス、1.45億ユーザーにパスワード変更要請 米eBayに不正アクセス、1.45億ユーザーにパスワード変更要請 2014/05/23 米eBayは21日、およそ3か月前にユーザーのパスワード情報などを記録した社内データベースがハッカーに侵入されたとして、同社のユーザーにパスワードの変更を要請したと発表した。
