「職人芸とされていた脆弱性診断の技術を誰でも使えるものに」Webセキュリティのプロ・上野宣さんに訊く
業界標準の脆弱性診断技術を具体化した入門書が必要とされている ――8月1日（月）に『Webセキュリティ担当者のための脆弱性診断スタートガイド 上野宣が教える情報漏えいを防ぐ技術』が刊行となりました。上野さんはこの道のプロフェッショナルですが、具体的にはどのようなお仕事をされているのでしょうか。 上野：現在、私は主に脆弱性診断に関して広く携わっています。2006年に立ち上げたサイバーセキュリティ関連のトレーニングを行う株式会社トライコーダでは、「Webアプリケーション脆弱性診断講座」を実施しており、脆弱性診断サービスも提供しています。トレーニングの顧客には自社で脆弱性診断を行いたいという開発会社を始めとして、防衛省や警察などの官公庁の方々がいらっしゃいます。加えて、社内にCSIRT（コンピュータセキュリティ問題に対応するチーム）を立ち上げるための教育にも役立てていただいています。 また、私自
内部不正を犯す従業員の“兆候”は日頃のメールの文面に潜んでいる――武田秀樹・ＵＢＩＣ最高技術責任者に聞く
シリコンバレー在住。著書に『行動主義： レム・コールハース ドキュメント』『にほんの建築家： 伊東豊雄観察記』（共にTOTO出版）。7月に『なぜシリコンバレーではゴミを分別しないのか？世界一ＩＱが高い町の「壁なし」思考習慣』（プレジデント）を刊行。 IT insight 情報家電、インターネット、ソーシャルメディア、携帯電話など、ＩＴツールの最新情報に加え、激動の市場を勝ち抜くＩＴ企業の戦略、ＩＴを駆使した新しい企業経営の姿などを伝える。ＩＴエグゼクティブや編集部の視点から、ＩＴビジネスの最前線を徹底分析する。 バックナンバー一覧 ベネッセ事件以降、企業の内部不正による被害の大きさと、企業の信用失墜リスクが改めて問題視されている。そんな中、ＡＩ（人工知能）を用いてメールの文言などから不正の証拠を検出したり、犯罪の兆候を示す従業員を見つけ出す技術を開発した日本の企業であるＵＢＩＣに対して、内
情報漏えい大国・日本の打つ手
社員にストレスがある場合、通常なんらかのサインがあるが、外部からマークされる前に自社で先に気がつき問題を解決する対象者特定の管理である。うまくいかずに退職するのであれば、米国の多くの事例では秘密情報を盗むのは退職の1カ月前からであることが参考になる。その間のアクセスログが後に証明として役に立つ。 場合によってはアクセス権限を即座に停止する。アクセスログ管理が厳しいと電子データではなく紙で盗まれることになるが、プリントアウトの頻度と量のモニタも役に立つ。ともあれ退職時の一連のプログラムの中でログの確認やツールや紙の返却の確認がきわめて重要である。 社員が知る必要のない情報には普段からアクセスさせないこともポイントである。権限を超えてアクセスしたいという社員はそれだけで脅威と認識しなければならない。他の社員のアクセスコードを借りて権限外の情報にアクセスしようとする社員がいる場合、匿名で報告可能
『暴露 スノーデンが私に託したファイル』世界24カ国同時発売−世界初レビュー - HONZ
【本書は世界24カ国同時発売である。日本では本日朝から書店店頭に並べられている。ということはこのレビューが世界最速になるかもしれない】 このレビューを書くため、「スノーデン」や「NSA」などのキーワードを20回以上Googleで検索し、何件かの事実確認をするためにMicrosoft Office 365を経由してメールを送受した。すでにこれらの通信は北米大陸のどこかに存在するサーバーに蓄積されているかもしれない。 “バウンドレス・インフォーマント”と呼ばれるプログラムが、2013年3月8日から1ヶ月間で世界中から傍受したメールは970億件以上、通話は1240億件以上だ。なかでもイランやパキスタンなどは140億件を超えている。それどころか、傍受が禁止されている米国内や、技術的に難しいはずの中国からですら30億件以上のメールと通信データを収集している。もちろん日本も例外ではない。米国企業に勤務
テストエンジニアが活躍する場を作り続けるシフト
元々は金型生産の企業で働いていた丹下大社長は、そこで培ったノウハウをIT業界で生かせるはずだと考え、システムテストを手掛けるシフトを立ち上げた。 業務システムやアプリケーションソフトなどのテストを専門に請け負うIT企業がある。2005年に創業したシフトで、年率50％で成長を続けている。ユーザーも、受託ソフト開発会社も、開発とテストを分業しようとしていることが背景にある。テストの方法論を確立する一方、テストエンジニアの地位向上に努める。 IT業界のビジネスモデルに疑問を抱く シフトの原点は、丹下大社長兼CEOが同社創業前に勤めていたインクスだ。同社は金型生産の超短納期化で有名。丹下氏は自動車や電機などのメーカーへのコンサルティングに携わり、生産管理や品質管理のノウハウを培った。それを生かして、業務の改善や改革に関するコンサルティング会社としてスタートしたのがシフトだ。 コールセンターや物流セ
拡大する「バックドア」問題、RSAが暗号ツールへの注意を呼びかけ
米EMCのRSA事業本部は2013年9月19日（米国時間）、自社の暗号ツールである「RSA BSAFE」や「RSA Data Protection Manager」の顧客に対して、乱数生成アルゴリズムの技術標準「Dual_EC_DRBG」を使わないよう呼びかけていることを明らかにした。「Dual_EC_DRBG」には、NSA（米国家安全保障局）が暗号解読に使うバックドア（裏口）が存在する恐れがあり、米NIST（国立標準技術研究所）が同アルゴリズムを使わないよう勧告している。 RSA BSAFEは、セキュリティアプリケーションを開発するためのツールキットであり、「多数の商用アプリケーションにBSAFEソフトウェアが組み込まれ、市場で活用されています」（RSAのWebサイトより）という。またRSA Data Protection Managerは、データの暗号化を行うためのツールである。いずれ
エクスコムの情報流出はシステム設計というより業務設計がだめな件 - aike’s blog
そんなわけでクレジットカード再発行しました。そうです流出です。今年の3月にアメリカ行ったときに海外旅行者向けWiFiルーターレンタル業者を探してたらエクスコムが安かったので申し込みました。まさかこんなことになろうとは、という感じでくやしかったのでブログのネタにしてみました。 申し込みから返却まで経緯はこんな感じでした。 ■3月5日 申し込み エクスコムのウェブフォームから住所氏名とともにクレジットカード情報を入力して申し込んだら、こんな確認メールが返ってきました。一部省略、伏字にしています。 Subject: レンタルお申し込みありがとうございます Date: 5 Mar 2013 10:46:21 +0900 From: エクスコムグローバル株式会社 この度は、お申込みいただき、誠にありがとうございます。 ご利用に際しては、以下の注意事項をご確認ください。 （略） ━━━━━━━━━━━
JPEG画像のEXIFヘッダにマルウェアを隠して実行させる新しい手口が登場
JPEG画像のEXIFヘッダに隠された仕掛けられたマルウェアを、Sucuri Research Labの調査チームが発見しました。このマルウェアはPHPの機能を用いてEXIFヘッダを読み込ませ、自らを実行させるようになっていました。 Malware Hidden Inside JPG EXIF Headers | Sucuri Blog http://blog.sucuri.net/2013/07/malware-hidden-inside-jpg-exif-headers.html Sucuri Research Labのチームは攻撃サイト認定されたサイトでこのマルウェアを発見しました。通常、バックドアはBASE64変換やgzip圧縮で身を隠しますが、このマルウェアはJPEG画像のEXIFヘッダに隠されていて、PHPの機能を用いて実行されるようになっています。 まず、サイト内で見つかった
中国の福建省はスパマーだらけ!? IPアドレスからアクセス元を調べる方法 | 初代編集長ブログ―安田英久
今日は、Web担のサイトに中国の福建省からのスパムアクセスが突出して多いという話題と、Webサーバーのログから怪しいアクセスを見つけて、それがどこからのアクセスかを調べる方法の解説をお届けします。 Web担へのスパムや攻撃の大部分が福建省から？Web担のアクセスログをチェックして、怪しいアクセスがないか調べて対処することが日課になっているのですが、やたらと中国の福建省からのスパムや攻撃が多いんですよ。 脆弱性を狙ったアクセス（攻撃は失敗していますが、記録は残るのです）のIPアドレスを調べると、感覚値で8割ぐらいが福建省から。次いで浙江省と広東省ですね。 そういうアクセスのあったネットワークからはWeb担にアクセスできないようにブロックするのですが、そういう作業をやっていると、福建省が「Fujian Province」で、浙江省が「Zhejiang Province」で広東省が「GuangD
いくつもの暗証番号、パスワード…もう限界に来ていませんか
「まあ実際のところ、ICカード運転免許証の暗証番号を覚えている方は、ほとんどいないですね」 区役所の窓口担当職員は、私の質問にこう言って苦笑いした。 自治体では2011年から、住民基本台帳カードを交付する際に、窓口でICカード運転免許証の真贋チェックを行っている。偽造した運転免許証を使って他人の住基カードを不正に取得されるのを防ぐためだ。 このときに必要となるのが、免許証を取得する際に登録した、2種類の暗証番号である。免許証の券面に書かれた情報と、暗証番号を使ってICチップから取り出した情報を照合することで、運転免許証が本物かどうかを判別できるわけだ。 日経コンピュータ2012年11月22日の特集「認証“改革”待ったなし」の取材をしていた私は、IC運転免許証による認証が本当に機能しているのかを確かめるため、地元の区役所に実態を聞いてみた。その答えが冒頭の発言というわけだ。 住民が暗証番号を
ファイル感染型ウイルス「バイラックス」の脅威
今年2月に登場した「PE_VIRUX.A（バイラックス）」は高度なファイル感染型ウイルスの最新モデルともいえるウイルスだ。このウイルスの何が高度なのか、感染の仕組みから紹介していこう。 ファイルに感染する古典的ウイルス 「PE_VIRUX.A」は特に米国を中心に大きな被害が報告されている「ファイル感染型ウイルス」だ。トレンドマイクロのウイルストラッキングセンターでも、日本でこれまでに1万台弱のPCへの感染を観測している（トレンドマイクロのオンラインスキャンによる検出数と一部製品からの報告数を集計）。侵入後には外部からのリモートコントロールを可能するバックドア活動が行なわれ、情報漏えいやさらなるウイルスの侵入、新たな攻撃の踏み台になるといった被害が懸念される。 そもそも「ウイルス」という言葉は、元々はほかのプログラムに寄生して増殖する不正プログラム、つまりファイル感染型ウイルスのみを指す言葉
よく使われる危険なパスワードトップ500
セキュリティを強化するために使用されるパスワードですが、面倒くさいからとか覚えられないからといって安易なものを使ってしまうとあまり意味がありません。多くの人が思い浮かべる使われやすいパスワード500個が紹介されているので、自分の使っているものと同じものがないかチェックしてみてください。 詳細は以下から。 What’s My Pass? >> The Top 500 Worst Passwords of All Time よく使われるパスワードトップ500。 50人に1人はトップ20のうちのどれかのパスワードを使用しているそうです。「1234」といった簡単な数字の羅列や「qwerty」などのキーボードを横に順番に押しただけのもの、「password」といったそのままの単純なものが上位に多くありますが、「porsche」や「ferrari」といった自動車の名前や「starwars」「matri
間近に迫る「暗号の2010年問題」、企業が取るべき対応は？−RSAセキュリティ
RSAセキュリティ株式会社は11月20日、「暗号の2010年問題」に関するラウンドテーブルを開催した。 2010年はやたら「問題」の多い年である。代表的なのが、企業の中核となってきた団塊の世代が2010年ごろに一気にリタイヤする「ナレッジの2010年問題」だ。ほかにも医療業界には、2010年前後に大型医薬品の特許が一斉に切れてしまう問題が存在し、通信業界にも、政府が2010年にブロードバンドゼロ地域の解消を目指していることから、やはり2010年問題が存在するようだ。 そうした中でも今回のテーマは、暗号の2010年問題。 ■ 暗号の2010年問題とは？ そもそも暗号の2010年問題とは何か。 暗号化とは、アルゴリズムを用いて平文を意味のない文字列に変えることだ。この暗号アルゴリズムは、ある規則性に従ったり、数学的な不可逆性を利用したりして成り立っている。人間の手で規則性を見つけ出すのは困難だ
データ復旧「データサルベージコーポレーション」による復旧事例の数々をムービーでチェック、ハードディスクが壊れてもあきらめてはいけない
通常の業者はゴミ箱から消えたファイルを復元するソフトを使っているだけというケースも多く、物理的な故障についてはさらに別の技術力がある業者に丸投げしているという場合がよくありますが、以前にGIGAZINEでも紹介した「データサルベージコーポレーション」は自社内にラボを抱えており、スタッフや技術者もすべて正社員で運営しているとのこと。 そのため、ハードディスクを分解しなければならないような重度の症状であっても、他社や海外などの外部業者に依存せず、100％自社内ラボで作業を行うため、独自知識と技術力が蓄積されており、信頼のおけるデータ復旧業者といえるでしょう。他社では対応不可だった案件でも復旧に成功した事例も多数あるとのことで、多くの企業からも復旧が難しいケースを受託しているほど。 というわけで、知られざるデータサルベージ社のデータ復旧・復元の実態に迫ってみました。実際にどのような感じなのか、復
すぐに使える電話番号を5分以内にさくっと作る方法
何かの都合で電話番号を人に教えなくてはならない、あるいはネットに公開しなくてはならないが、永久に使うわけではないので、できれば捨てメアドのような感覚で電話番号を持ちたいな、という人にうってつけなのがこの方法です。大体5分ぐらいで電話番号を持つことができます。しかも留守番電話機能付きで、応答メッセージも自作可能です。 割と有名な方法というかサービスなので、ネット中級者から上級者の人なら知っている場合が多いわけですが、実際に作ったことがある人というのは割と少ないのかも。 簡単な手順は以下の通り。 ■手順1：Skypeのアカウントを作る 使用するのはフリーソフト「Skype（スカイプ）」、世界中の固定電話・携帯へ格安通話が可能で、同じSkypeユーザー同士なら無料で通話可能というアレです。 Skype公式サイト - 無料通話・インターネット通話ができるSkypeを今すぐ無料ダウンロード http
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サイバー攻撃のパターンはわずか9つだけ?! Verizonが調査報告書を公開
「詐欺被害を避けるには電話に出ないのが一番」 「迷惑電話チェッカー」担当者インタビュー
IT news, careers, business technology, reviews
PC
エレベーターに「地震お助けマン」優先契約を / SAFETY JAPAN [細野 透氏] / 日経BP社