« 2009年11月 | トップページ | 2010年1月 »

2009年12月の記事

2009年12月29日 (火)

「JNSA 2009セキュリティ十大ニュース」

今年もいよいよ、残すところあと4日。
このブログも2009年最後の記事となりそうです。

さて、「JNSA 2009セキュリティ十大ニュース」が発表されました。

「セキュリティ十大ニュース」は昨年まで、2001年から毎年ネットワークリスクマネジメント
協会(NRA)から発表されてきました。しかし、今年NRAが解散してしまったので、もう終わりかと思っていたのですが…
JNSAが引き継いだのですね。

今年もいろいろありました。
来年もいろいろありそうですが、明るい年になりますように・・・

※ 来年は、1月4日くらいから更新再開予定です。

◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆

 セキュリティのプロが選ぶ!
 J N S A
┏━┳━┳━┳━┓┏━┳━┳━┳━┳━┳━┳━┳━┳━┳━┳━┓
┃2┃0┃0┃9┃┃セ┃キ┃ュ┃リ┃テ┃ィ┃十┃大┃ニ┃ュ┃―┃ス┃
┗━┻━┻━┻━┛┗━┻━┻━┻━┻━┻━┻━┻━┻━┻━┻━┛

■       トンネルを抜けるとそこは雲の中だった        ■
■       2009年はトンネルに次ぐトンネルの年        ■

◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆
          2009セキュリティ十大ニュース
◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆

【第1位】3月29日 クラウド台頭、セキュリティは雲の中
       ~所有から利用へのシフトに伴うリスク~
【第2位】5月20日 長引く不況でセキュリティ投資低迷
       ~裏ビジネスは好況になる?~
【第3位】10月8日 台風18号、通勤客をもてあそぶ
       ~安全基準の差がもたらした混乱?~
【第4位】10月8日 Winny開発者に高裁で逆転無罪判決
       ~無罪判決に様々な見方広がる~
【第5位】3 月30日 パンデミックが明らかにしたBCPの不備
       ~新型インフルエンザで見直しへ~
【第6位】10月23日 IPv4アドレス枯渇、いよいよカウントダウンか!?
       ~IPv6で割り振り Worry-free~
【第7位】9月11日 政権交代で後退する?セキュリティ政策
       ~情報セキュリティをどう仕分けるのか~
【第8位】7月23日  アリコジャパン、犯人特定に苦戦
       ~今年も起きた情報漏えい~
【第9位】 7月29日 P2Pによる意図的な情報流出でついに逮捕者
       ~しかし個人情報の再放流行為自体は取り締まれない?~
【第10位】5月19日 Gumblerウイルスによる改ざん被害
       ~もっと対策をガンブラーないと!~

◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆◆

| | コメント (1) | トラックバック (0)

2009年12月25日 (金)

2009年のセキュリティ業界

ITmediaの記事「1分で分かる2009年のセキュリティ業界」からです。

この記事では、2009年のセキュリティ業界をあらわす事柄として、以下のようなものが挙げられています。

・2009年度ワーム・オブ・ザ・イヤー:最大の脅威となったConficker

・Windows 7

・ソーシャルネットワーキング

・SEO(エンジン最適化)攻撃とスケアウェア(偽アンチウイルスソフト)詐欺

・iPhoneワーム

・2009年クラウドセキュリティ

どれも「確かに・・・」というものばかりですが、ワーム関係ではGumblar(通称GENOウイルス)もインパクトが大きいですね。
(特に最近のこのニュースにより)

ここに挙げられているものは、「2010年も引き続き・・・」になりそうなものばかりです。

| | コメント (0) | トラックバック (0)

2009年12月24日 (木)

平成21年度秋期情報処理技術者試験、過去最高の合格率

IPAのプレスリリース「平成21年度秋期情報処理技術者試験(応用情報技術者試験及び高度試験)の合格発表について ~ 全ての高度試験区分で過去最高の合格率 ~」からです。

21日に、応用情報技術者試験及び高度試験の合格者が発表されています。

(1) 応用情報技術者試験は、応募者数が62,294名、受験者数が41,565名、合格者数が8,908名で、合格率は21.4%でした。
(2) ITストラテジスト試験は、応募者数が8,322名、受験者数が5,514名、合格者数が754名で、合格率は13.7%でした。
(3) システムアーキテクト試験は、応募者数が13,056名、受験者数が8,395名、合格者数が1,112名で、合格率は13.2%でした。
(4) ネットワークスペシャリスト試験は、応募者数が25,161名、受験者数が16,368名、合格者数が2,433名で、合格率は14.9%でした。
(5) 情報セキュリティスペシャリスト試験は、応募者数が26,666名、受験者数が17,980名、合格者数が3,326名で、合格率は18.5%でした。
(6) ITサービスマネージャ試験は、応募者数が5,788名、受験者数が3,673名、合格者数が460名で、合格率は12.5%でした。

情報セキュリティスペシャリストが3,326名誕生したわけです。
合格率は18.5%ということで、以前は8%くらいの時期がありましたので、かなり上がっていますね。

この「過去最高の合格率」というのをどう考えるのかですが・・・
とりあえず、数が増えているのは良いことでしょう。
しかし、市場の活性化とか、人材の質の向上とミスマッチの解消につながらないとねぇ、というのが率直かつ個人的な感想です。

| | コメント (2) | トラックバック (0)

2009年12月22日 (火)

「MyJVN セキュリティ設定チェッカ」公開

IPAのHPで「MyJVN セキュリティ設定チェッカ」が公開されています。

今回公開された「MyJVN セキュリティ設定チェッカ」がチェック対象とする項目は

●チェック対象項目
①USBメモリ自動実行機能を無効にする設定になっているか
②USBメモリ自動実行機能を無効にするパッチが適用済みであるか

の2点です。

この2点が簡単にチェックできるツールということですね。

「MyJVN セキュリティ設定チェッカ」がチェック対象とする項目は、今回公開したUSBメモリの自動実行機能に加え、今後はパスワードの最低文字数やパスワードの有効期間、スクリーンセーバーの自動実行が有効になっているかなどを追加し、順次公開予定とのことです。

<参考URL>
「簡単な操作でWindowsのセキュリティ設定をチェックできる「MyJVN セキュリティ設定チェッカ」を公開」
~ ウイルスから個人情報や機密情報を守るため、USBメモリ自動実行機能を無効にしましょう ~

| | コメント (0) | トラックバック (0)

2009年12月21日 (月)

クラウドセキュリティのガイダンス第2版、公開

日経ITproの記事「クラウドのセキュリティ確保を目指すCSA,ガイダンス第2版を公開」からです。

米国のクラウド・コンピューティングのセキュリティ確保を目指す業界団体のCloud Security Alliance(CSA)「Guidance for Critical Areas of Focus in Cloud Computing Version 2.1」を公開したようです。

この第2版では、クラウド・コンピューティング導入について,ガバナンスとリスク管理,法的証拠の電子開示,コンプライアンスと監査,情報管理,データ・センター運用など13分野にわたるベスト・プラクティスを示しているようです。

文書は英語での公開ですが、とりあえずダウンロードして読んでみようかと・・・

ところで、いまやIT業界はどこに行ってもクラウド・コンピューティングの話題で盛り上がっています。
しかし、「クラウド・コンピューティングにおけるセキュリティの必要性と課題」とか「そもそも、クラウド・コンピューティングとは?」という話になると、みんな揃って歯切れが悪くなります。オチだけは「クラウドだけに、その辺は「もやっ」としております・・・」とか「雲をつかむようなお話で・・・」と決まっているんですが・・・(お後が、よろしいようで)

| | コメント (4) | トラックバック (0)

2009年12月19日 (土)

検索サイトのキャッシュにマルウェア

ITmediaの記事「検索サイトのキャッシュにもマルウェアの危険」からです。

このリスクは「マルウェアに感染したサイト本体がダウンしている場合でも、検索で表示されるキャッシュに不正コードがそのまま残っていることがある」というもの。
そして「キャッシュには、サイトに仕込まれた隠しiFrameも含めてページのコンテンツが正確に反映され、偽ウイルス対策ソフトの配布ページにユーザーをおびき寄せる仕掛けも生きていた」ということです。

このテのマルウェアは、ウイルス対策ソフトでの検出も難しいということで、検索サイトのキャッシュにも注意が必要ということですね。
ほんとに、現在のインターネットはいつどこで感染するか分からない地雷原といえそうです。

| | コメント (2) | トラックバック (0)

2009年12月18日 (金)

年末年始のセキュリティ事故予防策

ITmediaの記事「年末年始のセキュリティ事故予防策、JPCERT/CCが紹介」からです。

もうそういう時期なんですね。
今年も1年が早かった・・・

さて、これらの項目のチェックでもしてみるとしますか。

<システム管理と利用者がそれぞれに注意すべき項目>
●全般
・緊急時の連絡網が整備、周知されていることを確認する
・休暇中に使用しない機器の電源を切る
●システム管理者向け
・最新のセキュリティ更新プログラムが適用されていることを確認する
・不要なサービスを無効にしていることを確認する
・各種サービスへのアクセス権限を必要最低限に設定する
・休暇時の業務遂行のために特別にアクセス制御を変更する場合、通常の状態に戻す手順やスケジュール、およびそれに合わせた監視体制が整備されていることを確認する
●システム利用者向け
・不要なプログラムがインストールされていないことを確認する
・生年月日や電話番号、アカウントと同一のものなど、容易に推測できる脆弱なパスワードを設定していないか確認する
・データを持ち出す際には、自組織のポリシーに従い、その取り扱いや情報漏えいに細心の注意を払う

<長期休暇明けに確認すべき事項>
●システム管理者向け
・導入している機器やソフトウェアについて、休暇中にセキュリティ更新プログラムを確認し、速やかに適応する
・休暇中に持ち出していたPCを組織内のネットワークに接続する前に、ウイルスなどに感染していないことを確認する(確認用のネットワークを別途用意するなど)
●システム利用者向け
・ウイルス対策ソフトの定義ファイルを最新の状態にし、ウイルス検知機能が有効になっていることを確認する
・休暇中に持ち出していた外部記憶装置などは、組織内のPCに接続する前にウイルスチェックを行う

<参考URL>
「冬期の長期休暇を控えて」~JPCERT/CC

| | コメント (0) | トラックバック (1)

2009年12月17日 (木)

「Googleによるデータ保有が人々の個性を奪う」

ITmediaの記事「「Googleによるデータ保有が人々の個性を奪う」―セキュリティ研究者シュナイアー氏」からです。

この記事はブルース・シュナイアー氏の以下のような主張によるものなのですが・・・

 プライバシーとは権力者による情報の悪用から人々を守るためのものだ。たとえ、調査されたときに、われわれが何も悪いことをしていない場合でもだ。人々は愛し合ったり、トイレに行ったりするが、これは何も悪いことをしているわけではない。われわれが熟考したり会話をしたりするときにプライベートな場所を探すのは、意図的に何かを隠そうとしているのではない。われわれは内緒の日記を付け、シャワーを浴びながら1人で歌を歌い、片思いの相手に手紙を書いては破り捨てる。プライバシーは人間の基本的要求なのだ。

 われわれのあらゆる行為が観察されれば、訂正、評価、批判、さらには自身の独自性の盗用といった脅威に絶えずさらされることになる。プライベートで罪のない行為に対して取締当局の監視の目が向けられることにより、人々は注意深い視線に縛られる子供になってしまい、自分の残した形跡が今にも、あるいはいつか将来、何らかの事件と関連付けられるのではないかと絶えずおびえるようになる。人々は個性を失うだろう。人々のあらゆる行為が観察・記録可能になるからだ。

ブルース・シュナイアー氏は個人的に好きな方なのですが、(率直なところ)「人々は個性を失う」というこの主張は「そうかなぁ~」と懐疑的にならざるを得ません。
論理的に飛躍している気がします。注意喚起や問題提起というより、必要以上にリスクを強調して不安を煽っているような・・・
それとも、やはり、シュナイアー氏はアンチ・グーグル派?

何にしろ、リスクがあることはその通りなので、解決策は必要ですね。
専門家としては、不信を抱いたり、不安を煽ったりするのではなく、こういう考え方をすることが必要です。

それについて、この記事ではこう結ばれています。

 ではどんな解決策があるのだろうか。データの匿名化は無意味だ。だれもそんなことでは満足しないからだ。それよりも、Googleはリアルタイム分析エンジンを開発すべきではないだろうか。これは、システムにデータが入る時点でユーザーに関するデータを選び出し、検索機能の改善にそれを利用し(リアルタイムのパーソナライズド検索のようなものだ)、その後でデジタル墓場に永久にそのデータを廃棄するというものだ。

 Googleは先週、検索結果をリアルタイムでインデックス化できることを示した。つまり、有用なユーザーデータをかき集め、コンテキスト広告のターゲット設定に役立つリアルタイム分析を実行するアルゴリズムをGoogleが作成するのは、現実的に可能だということだ。

 そうすればGoogleは、ユーザーデータを保存してそれを匿名化手法で覆い隠さなくても済む。Googleは技術的チャレンジを解決するのが好きだ。つまり、同社がプライバシー問題を解決するために技術に目を向けるというのは、理にかなったことなのだ。

| | コメント (0) | トラックバック (0)

2009年12月16日 (水)

偽セキュリティソフト被害は1億5000万ドル超

ITmediaの記事「偽セキュリティソフト被害は1億5000万ドル超、FBIが注意喚起」からです。

この記事によると、

米連邦捜査局(FBI)は12月11日、ネット閲覧中にポップアップメッセージをしつこく表示して偽セキュリティソフトの導入を迫る手口が横行しているとして、消費者向けの注意喚起を行った。この手口による被害総額は推定1億5000万ドルを超えているという。

とのこと。私個人の予想をはるかに超える推定金額でした。
これだけの被害(攻撃者によっては、「市場」ということになります)があるということは、まだまだしばらくはこの手口が使われ続けられる、ということが予測できます。

ちなみに、対策は以下のようなものを推奨しているようです。

偽セキュリティソフトは名のある大手の製品を思わせる名称でだまそうとすることも多いため、ユーザーがセキュリティ製品を導入する際は、正確な製品名を確認する必要があるとFBIは忠告。もしも偽ソフトの購入を迫る警告メッセージがポップアップが表示されたら、ブラウザを閉じるかPCの電源を切り、再起動した後に正規のウイルス対策ソフトでPCをスキャンするよう促している。

| | コメント (0) | トラックバック (1)

2009年12月15日 (火)

「電子メール利用時の危険対策のしおり」公開

IPAセキュリティセンターの「対策のしおりシリーズ」「電子メール利用時の危険対策のしおり」が新たに公開されています。

ちなみに、章立ては以下の通り。

1. 電子メールの誤送信防止のために
2. Microsoft社のOutlook Expressのセキュアな設定
3. 標的型攻撃から身を守るために
4. 不審メール110 番
5. 参考情報

電子メール利用時の脅威にもいろいろありますが、最近はまずは誤送信とスパムですかね。

| | コメント (0) | トラックバック (0)

2009年12月14日 (月)

2010年はソーシャル・ネットワークを悪用した攻撃が増加

Computerworldの記事「SNSや銀行を狙ったサイバー犯罪が増加傾向に―シスコ調査」からです。

この記事のサブタイトルは「かつてのフィッシングに代わり、「Koobface」や「Zeus」などのマルウェアが台頭」となっていて、「フィッシング」は、すでに過去のもの扱いなんですね。

現在、増加傾向にあるのは、ソーシャル・ネットワーク(「Facebook」「Twitter」など)を悪用したものや、データを盗み出すトロイの木馬「Koobface」などとのこと。2010年にはソーシャル・ネットワークを悪用した攻撃が大問題になると予想されています。

そして、最後にこのように締めくくられています。

 だが、それでも廃れることのない手口がスパムである。Ciscoでは、米国をはじめ各国が一部のスパマーをオンライン上から追放したにもかかわらず、スパムの量は来年30%~40%増加すると予想している。ただし、米国発のスパムは2009年に20%減少し、米国はもはや世界最大のスパム発信国ではなくなった。今やブラジル発のスパムのほうが多いということだ。

スパムは、まだしばらくは健在のようで…

| | コメント (0) | トラックバック (0)

2009年12月11日 (金)

クラウドサービスを使った攻撃

ITmediaの記事「Amazon EC2からマルウェアを遠隔操作、クラウド利用に着目か」からです。

Amazonのクラウドサービス「Amazon EC2」を使って感染PCをコントロールしているマルウェアがあるそうです。

クラウドサービスというと、ユーザーがサービス提供者に情報を預ける、サービスを委託する、ということばかりに目が向いているようです。
しかし、「クラウド化」はIT環境そのものの変化を意味するわけで、攻撃する側も何ら変わりがないということですね。

| | コメント (0) | トラックバック (0)

2009年12月10日 (木)

友達の友達はみな友達?

ITmediaの記事「架空ユーザーからの友達リクエストに多数反応、Sophosが実験」からです。

この記事では「ソーシャルネットワーキングサービス(SNS)で知らない相手から届いた友達リクエストに応えてしまうユーザーがあまりに多い」という問題を取り上げています・

 Sophosではユーザーの反応を調べる目的で、米大手SNSのFacebookに架空のユーザーアカウントを作成。「デイジー・フェレティン・21歳」にはアヒルの玩具の写真を、「ディネッティ・ストーニリー・56歳」には2匹の猫の写真を添えて登録し、Facebookユーザーの中からそれぞれ同じ年齢層の100人ずつを無作為に選んで友達になりたいとリクエストを送った。

 その結果、2週間で合計95人の友達ができてしまい、頼んでもいないのに友達になった相手も8人いたという。Sophosでは2年前にも同様の実験を行ったが、今回の方が成功率は高かったとしている。

 友達になったユーザーのうち、20代の89%、50代の57%が生年月日を公開していたほか、友人や家族の個人情報を公開していたユーザーも20代の約半数、50代の約3分の1に上ったという。

そして「こうした手口を使えばSNSのユーザーをだまして簡単に個人情報を収集し、犯罪目的で利用できてしまう」と結ばれています。
そうなると(特に中高生の親御さんから)「SNSとかプロフは使うな」という話がよく聞かれます。
しかし、それでは問題の本質的な解決にはなりません。

私は個人情報に関する講演や認証についての講習などでよく話すのですが「友達の友達は、みな友達でしょうか?」ということを考えてもらうことが大事だと思っています。それによって、「誰が信頼できて、どこまで情報が開示できるか」ということが判断できるようになることが必要です。

本当は「友達の友達は、みな友達だ」のほうが、コミュニケーションとしては楽しく、あるべき姿なんですけどね・・・

| | コメント (0) | トラックバック (0)

2009年12月 9日 (水)

「Network Security Forum 2009」

JNSAのHP「Network Security Forum 2009」の開催告知と申し込みが始まっています。

今回は、基調講演にISF(the Information Security Forum)プレジデント兼CEOのハワード・シュミット氏が講演されます。
JNSAとISFは、先月1日提携契約をしており、その内容についてもお話があるようです。

◆━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
  NPO 日本ネットワークセキュリティ協会(JNSA)主催
     === Network Security Forum 2009 ===
              情報セキュリティ新時代
  <転換期を迎える情報セキュリティのこれからを考える>
 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━◆

 <会 期>  2010年1月27日(水)
 <時 間>  10:30~18:00
 <会 場>  ベルサール神田 3階 Room1・Room2
        (千代田区神田美土代町7 住友不動産神田ビル)

 <主 催>  NPO 日本ネットワークセキュリティ協会
          
 <後 援>  (申請中)情報セキュリティ政策会議、総務省、
                経済産業省、独立行政法人情報処理推進機構(IPA)

 <参加費>  無料(事前登録制)
 <申 込>  ホームページよりお申込みください。
              

 ─────────────────────────────
 ★事前登録スタート!
 ─────────────────────────────
◎開催概要◎
 今年のNSFは、2つのトラックに分かれてディスカッションを中心
 としたセッションで構成します。
 ISO/IEC 27000関連規格の最新動向、話題のクラウド、情報セキュリ
 ティにおける人材育成、また、中小企業、個人情報保護法など多岐
 にわたる課題について講演並びにディスカッションを行います。

 また、基調講演にISF (the Information Security Forum)
 プレジデント兼CEOハワード・シュミット氏をお招きし、ご講演
 いただくと共に、2009年11月1日にバンクーバーで開催されたISF
 の総会にて締結したISFとJNSAとのパートナーシップ提携契約の報告
 と今後の協業の在り方についてもお話したいと考えております。

 是非とも、本イベントにご来場いただき、また、議論にも積極的に
 ご参加いただきますよう、よろしくお願いいたします。

※本イベントはCPEポイント(CAISとCISSP)申請対象イベントです。

■□■────────────────────────■□■
                       プログラム
■□■────────────────────────■□■

★聴講無料★

===== 基調講演 =====
10:30-12:30(90分)(Room 1+Room 2/定員:252名)

「タイトル調整中」  ※逐次通訳が入ります。
 情報セキュリティフォーラム(ISF) 会長 ハワード・シュミット 氏

=====トラックA (Room1/定員120名)=====

【A1】「情報漏えい対策の次の一手に向けて」13:30-14:00(30分)
            セキュリティ被害調査WGリーダー/(株)NTTデータ
                         大谷尚通 氏

【A2】パネルディスカッション 14:00-15:00〈60分〉
    「リスクアセスメントの課題」~JNSA WG 合同特別セッション~
            モデレーター:東京電機大学教授/JNSA会長 佐々木良一氏
            パネラー    :住商情報システム(株) 二木真明 氏
                        富士通(株) 奥原雅之 氏
                        被害調査WGメンバー(調整中)

【A3】パネルディスカッション 15:10-16:30〈80分〉
    「クラウド(を使うための)セキュリティを考える」
            モデレーター:住商情報システム(株) 二木真明 氏
            パネラー    :調整中

【A4】パネルディスカッション 16:40-18:00〈80分〉
    「IPv6導入でセキュリティはどう変わるか」
            モデレーター:(株)ブロードバンドセキュリティ 佐藤友治 氏
            パネラー    :マカフィー(株) 野々下幸治 氏
                        (株)IIJテクノロジー 加藤雅彦 氏
                        (株)ブロードバンドセキュリティ 許 先明 氏
                        (社)テレコムサービス協会 今井恵一 氏

===== トラックB (Room2/定員99名)=====

【B1】講演 13:30-14:30〈60分〉
    「ISO/IEC 27000関連規格の最新動向」
            KDDI(株) 中尾康二 氏

【B2】講演 14:40-15:10〈30分〉
    「人財アーキテクチャーの活用・実証方法及び方向性について」
            教育事業者連絡会(ISEPA)スキルWGリーダー/(ISC)2ジャパン
                    衣川俊章 氏

【B3】講演 15:10-15:40〈30分〉
    「情報セキュリティ基本教育実証」結果に学ぶ
        人材育成における産官学連携の重要性について
        情報セキュリティ基本教育実証WGリーダー/日本アイ・ビー・エム(株) 
                     平山敏弘 氏

【B4】講演 15:40-16:10〈30分〉
    「出社してから退社するまでのリスク対策」
        出社してから退社するまでのリスク対策WGリーダー/
        アイネット・システムズ株式会社 元持哲郎 氏

【B5】パネルディスカッション 16:30-18:00〈90分〉
    「個人情報保護法は、どこへ行く
     ~事業者の誤解と、適正な個人情報保護のあり方~」
            モデレーター:(株)大塚商会 佐藤憲一 氏
            パネラー    :(株)OSK 小林 健 氏
                         (株)NTTデータ 西尾秀一 氏
                         ネットワンシステムズ(株) 山崎文明 氏
                        その他調整中 

─────────────────────────────────

<参考記事>
「JNSAとISF パートナーシップ提携契約を締結」~JNSAプレスリリース

| | コメント (0) | トラックバック (0)

2009年12月 8日 (火)

ネット詐欺師の儲け方[前編]

Computerworldの記事「ネット詐欺師の儲け方[前編]」からです。

「金銭的利益を得るためにサイバー犯罪者たちはどういった手口を使っているのか」 という内容の興味深い記事です。
先月のこのブログの記事(地下経済の調査報告書「アンダーグラウンドエコノミー」)でも取り上げた、「地下市場」についての記事です。

攻撃の動向や動機を知るための様々な情報があります。

たとえば・・・
フィッシングおよびファーミングを仕掛ける人たちはGoogle、eBayよりも、PayPalが好きなんですね。(しかも圧倒的に)

後編も期待です・・・

| | コメント (0) | トラックバック (0)

2009年12月 7日 (月)

最も安全な国別ドメインは「日本」

日経ITproの記事「最も安全な国別ドメインは「日本」、「カメルーン」は3割以上が危険」からです。

この調査は「2009年中に収集した危険なサイトの情報を、国別ドメインごとに集計したもの。国別ドメインごとに、全サイトに占める「危険なサイト」の割合を算出。その割合を、国ごとの「危険度」とした」というもの。

さて、その結果は…

 危険度が最も高かったのは、アフリカのカメルーン。ドメイン名が「.cm」で終わるサイトの36.7%に、何らかの危険が潜んでいるという。次いで、中国(.cn)が23.4%、サモア(.ws)が17.8%、フィリピン(.ph)が13.1%、旧ソ連(.su)が5.2%だった。

 逆に、危険なサイトが最も少なかった国別ドメインは、日本、アイルランド(.ie)、クロアチア(.hr)、ルクセンブルグ(.lu)。いずれも0.1%だった。このうち、日本ドメインだけは2008年も0.1%だったため、マカフィーでは「最も安全な国別ドメイン」と評価している。

カメルーンの危険度が高いのは、「.com」→「.cm」という「タイプスクワッティング」を狙っているからですね。

さて、そういえば(この調査での)最も安全な国「日本」と最も危険な国「カメルーン」が、来年のサッカーのワールドカップで同じ組でしかも初戦なんですね。

<参考記事>
「Webで「世界一安全」な国、McAfeeのドメイン別危険度ランキング」~ITmedia

| | コメント (0) | トラックバック (0)

2009年12月 4日 (金)

安易なユーザー名とパスワードのワースト10

ITmediaの記事「安易なユーザー名とパスワードのワースト10、Microsoftが発表」からです。

ユーザー名が「Administrator」でパスワードが「password」なんですね。

パスワード攻撃では「password」「123456」という安易なパスワードが標的となるケースが圧倒的に多く、次いで「#!comment:」「changeme」「F**kyou(英語の悪態表現)」「abc123」などが上位を占めた

 1回の攻撃で試されるユーザー名とパスワードの組み合わせは40万通り近くに上り、8~10文字のパスワードが狙われるケースがほとんどだったが、たとえ10文字以上の長いパスワードでも、辞書に載っているような単語を使っている場合、一部を数字や記号などに置き換えていたとしても安全とはいえないとしている。

大文字/小文字、記号などを使用したり、桁を増やしたりして複雑性を上げたつもりでも、クラックツールの辞書に載ってしまえば、ほとんど意味がないということですね。

<参考記事>
「最も狙われるパスワードは「password」、p@$$w0rd」でも危ない」~日経ITpro

| | コメント (2) | トラックバック (0)

2009年12月 3日 (木)

1カ月120ドルでボットネット構築を支援

日経ITproの記事「「1カ月120ドルでボットネット構築を支援」、新手のサービスが出現」からです。

このサービスは、「ZeuEsta Host(ズーエスタ・ホスト)」と呼ばれるもの。

スキルのない詐欺師(攻撃者)でもボットネットを構築できる“サービス”が確認されているとして注意を呼びかけた。1カ月120ドルで、ボットネットを構築するために必要なツールやサーバー、サポートなどを提供するという。

<中略>

同サービスには、(1)ボットネットを構築するためのボット、(2)感染させたボットを管理するサーバーへのアクセス権、(3)ボットが盗んだ情報を集約するサーバーへのアクセス権などが含まれる。ボットや管理用サーバーを持たないユーザーでも、ボットネットを構築できるとする。

という内容のようです。

ちなみに、ボットネットがうまく構築できなくても保証はしないそうで・・・

| | コメント (0) | トラックバック (0)

2009年12月 2日 (水)

“情報漏えい元が一目で分かる”追跡システム

日経ITproの記事「“情報漏えい元が一目で分かる”追跡システム、早大や日立などが開発」からです。

先日の記事「サイバー攻撃源の逆探知システム」に続いて、追跡のシステムについて。

このシステムは「体裁を損なわない紙文書への電子透かし埋め込み、個人のプライバシ保護に配慮した電子署名技術の採用など、実際の業務利用での利用を想定した実装が特徴。メールの送受信やファイル・コピー、印刷文書の出力などの操作を記録して、情報の流れを可視化できる」というメカニズムのようです。

「今後はシステムとしての安全性を検証する目的で、12月1~3日の日程で早大内において実証実験を実施。2010年3月の委託研究終了まで実用化の検討を進める。要素技術については、各社が事業化を目指すという」とのことなので、来年から再来年には、この技術を使ったソリューションが登場しそうですね。

<参考記事>
「組織を跨いだ情報漏えいの経路を追跡する技術、早大らが実証へ」~ITmedia

| | コメント (0) | トラックバック (0)

2009年12月 1日 (火)

MyJVN 脆弱性対策情報収集ツール、公開

JVNのHP「MyJVN 脆弱性対策情報収集ツール」「MyJVN バージョンチェッカ」が公開されています。
(「MyJVN 脆弱性対策情報収集ツール」は、少し前から公開されていました・・・)

それぞれのツールは、以下のような機能のツールのようです。

MyJVN 脆弱性対策情報収集ツールは、JVN iPedia の情報を、利用者が更に効率的に活用して頂けるように、フィルタリング条件設定機能、自動再検索機能などを有した脆弱性対策情報収集ツールです。
脆弱性対策情報収集ツールでは、「ベンダ一覧」「製品情報一覧」「脆弱性対策概要情報一覧」「脆弱性対策詳細情報」を取得する API(MyJVN API) を利用することで、JVN iPediaに登録されている脆弱性対策情報のうち、利用者に関係する情報のみの表示を実現しています。

MyJVN バージョンチェッカは、利用者のPCにインストールされているソフトウェア製品のバージョンが最新であるかを、簡単な操作で確認するツールです。
MyJVN バージョンチェッカでは、「定義データ一覧」「定義データ」を取得する API (MyJVN API) を利用することで、JVN iPediaに登録されている脆弱性対策情報を利用したバージョン確認を実現しています。

MyJVN バージョンチェッカの今回のバージョンでチェックできるソフトは、Adobe Flash Player、Adobe Reader、JRE、Firefox、Thunderbird、Lhaplus、QuickTime。
今後も対応製品は拡充されていく予定のようです。

まずは、利用してみましょうかね・・・

<参考記事>
「最新版ソフトかどうかをチェックして―IPAがツール公開」~ITmedia

| | コメント (0) | トラックバック (1)

« 2009年11月 | トップページ | 2010年1月 »