インターネット・セキュリティ技術一般

2020年12月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/12/01 Digitally Signed Bandook Trojan Reemerges in Global Spy Campaign 2020/12/01 Gootkit malware returns to life alongside REvil ransomware 2020/12/01 Microsoft Defender for Identity now detects Zerologon attacks 2020/12/01 内閣サイバーセキュリティセンター、ランサムウエアによるサイバー…

概要 「NTTカード重要なお知らせ」という件名のメールが届きました。そもそも、NTTカードというものを利用していないので、これはフィッシングメールです。今回は届いたメールの内容を見てみました。 // メールの内容 フィッシングメールの文面 一見するとそれらしい文章が並んでいるように見えますが、おかしな敬語や文章がつながっていない部分がいくつもあります。 また、文章内のリンクは正規のサイトのように見えますがテキスト表示してみると不正なURLにリンクされています。 文面をテキスト表示した結果 <br>ご利用確認はこちら<br><br><a href="https://d-card.lol/" ta…

概要 前回の内容ではWEPで大量に通信している端末がある前提で、やり取りされる通信をひたすら収集し、収集したデータよりキーを解析する方法でした。※前回は無線端末はYoutubeを視聴することで大量の通信を行っていました。 今回は無線端末はそこまで通信を行っていない状態から、通信を意図的に発生させてデータを収集するARP再送攻撃（ARP replay）を行います。 収集したデータからキーを解析することは前回の内容と同じですが、今回の内容は攻撃端末（Kali Linux）より、 意図的に通信を発生させることがポイントになります。 // ARP再送攻撃について ARP再送攻撃のイメージ https:…

概要 無線LANの暗号方式「WEP」には脆弱性があります。今回はAircrack-ngというツールを使ってWEPのパスワードを解析します。 // WEPの脆弱性について WEPの概要 WEP（Wired Equivalent Privacy）は、無線LANの暗号化方式で、「共通鍵」を使用して通信の暗号化を行います。 WEPの暗号化方式 ※WEPでは「RC4」という暗号アルゴリズムを使って暗号化を行います。RC4は共通鍵で暗号化/複合を行うストリーム暗号です。 ja.wikipedia.org WEPの脆弱性 WEPの脆弱性は共通鍵の生成方法にあります。 共通鍵のもとになるWEPキーが鍵が同じで…

概要 coWPAttyは無線LANのPSK方式で使用するパスワードの解析が可能なツールです。WPA2-PSK方式では、無線接続時の認証手続き(4way handshake)が収集できれば、辞書攻撃によりパスワードを解析することが可能です。今回はcoWPAttyを使用してPSKを解析してみます。 // WPA2-PSKに関して WPA2-PSKはWPA2パーソナルとも呼ばれ、端末と無線APで事前に設定されている共通のパスフレーズを使って認証する方式です。 PSK認証の仕組み（4way handshake） これに対してWPA2にはWPA2-EAP（WPA2エンタープライズ）と呼ばれる認証方式もあ…

digとは digコマンドとはdomain information groperの略で、DNSのネームサーバに対して問い合わせを行い結果を表示するコマンドです。 // digコマンドの使い方 digコマンドは以下のような形式で使用します。 digコマンド形式 dig @serverの名前orIP 調査対象のドメイン名 query-type query-typeの指定例 オプション 概要 A ネットワークアドレス （省略時） NS ネームサーバの情報 MX メールサーバの情報 SOA SOAの情報 ANY すべての情報 実際に実行した例が以下となります。 root@kali:~# dig goo…

概要 今更な感じはありますがHeartBleedの脆弱性を試す機会があったので、脆弱性の内容についてまとめてみます。 // 「Heartbleed」とは、暗号化通信に使われる「OpenSSL」の脆弱性です。HeartBleedはSSL/TLSのハートビート実装の脆弱性で、攻撃されると脆弱性を含んだOpenSSLのライブラリを使用しているサーバ上で、65,535バイトまでのメモリの内容が窃取されます。ただし、メモリ上でアクセスできる場所は選択できないため、窃取した情報が役に立たない場合もあります。 メモリにはデータの暗号化で使用する秘密鍵の情報等が含まれている場合があるため、そのような情報が窃取…

概要 hpingはオープンソースのパケットジェネレーターです。 hpingを使うことで、任意のTCP/IPパケットを送信することができます。 今回はhpingを使ってSYN Floodを実行してみました。 // 環境 以前構築したKali Linuxの検証環境で、 Kali Linux上でhpingを実行し、metasploitable2にSYN Floodを行ってみます。 実行結果 youtu.be 上記動画で実行したコマンドは以下の通りです。 Kali Linux側での実行コマンド hping3 -i u1 -S -p 80 192.168.1.222 --rand-source オプショ…

概要 vsftpdはLinuxで使われるFTPサーバです。2011年7月に、ダウンロードサイト上にあるvsftpd2.3.4が侵害され、リモートから任意のコードの実行を可能にするバックドアが仕込まれていることが確認されました。 // ※現在、上記問題は修正されており、ダウンロードサイトもGoogleに移動されました。 security.appspot.com バックドアは、vsftpdに「:)」を含むユーザ名で接続した際にTCP/6200で接続を待ち受ける動作をします。 実際の動作の様子を動画にまとめました。 環境 以前構築した環境で、 Kali Linuxよりmetasploitable2に…

概要 As-IsやTo-Beという言葉を聞く機会が多くありますが、それらの言葉の理解があやふやだったので整理しました。 As-IsやTo-Beといった言葉は、現状とあるべき状態の差を課題と捉えて、理想に近づくために必要なものを分析するギャップ分析で使われます。 それぞれの言葉を以下にまとめます。 各モデルとその内容 モデル 内容 As-Is 現状の可視化→問題点を整理する To-Be 目指すべき状態の可視化→あるべき論、理想論を示す Can-Be As-IsからTo-Beに向けた途中の状態 // To-Beはあくまで理想形であり、いきなりTo-Beを目指すことは難しいです。そのため、実際にはT…

概要 ドコモ口座の件より、eKYCという言葉が話題になっています。 この記事ではeKYCについて調べたことをまとめます。 // eKYCとは eKYCとは(electronic Know Your Customer)の略で、電子的な（非対面、オンラインでの）本人確認を行うための機能です。 本人確認を行う理由としては、金融機関等で作成される口座がマネーロンダリング等の不正送金に利用されることを防止する「犯罪による収益の移転防止に関する法律（以下、犯収法）」で定められているためです。 // 犯収法の規制内容 犯収法の6条では「顧客等の本人特定事項の確認方法」が定められています。 また、2018年1…

概要 Kali LinuxにあるMetasploitについて、初期インストール状態のものと、GitHubよりインストールしなおしたものではExploitの更新に差があるらしいことがわかりました。※初期状態ではmsfupdateを実行しても裏でapt updateが行われるのに対し、GitHubからインストールしたものは、直接リポジトリから最新ファイルを取得することができるとのことです。 この記事ではGitからmetasploitをインストールする手順をまとめます。 // インストール手順 metasploitのダウンロード git clone https://github.com/rapid7…

概要 ISMAPとはInformation system Security Management and Assessment Programの略で、 日本語では「政府情報システムのためのセキュリティ評価制度」と呼ばれます。 ISMAPは、クラウド・バイ・デフォルトの方針が打ち出されたことを受け、政府機関においてクラウドサービスを利用する際の、クラウドサービスの安全性評価基準の必要性うけて策定されました。 // ISMAPは、政府機関が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価・登録してあるため、政府機関がクラウドサービスを利用する際の選定基準として活用できます。 I…

ADSとは Windows NTの標準ファイルシステムであるNTFS（NT File System）で管理するファイルやフォルダには、代替データストリーム（Alternate Data Stream、ADS）という、ファイルやフォルダの付加情報を記録する領域があります。 // ADSには、セキュリティ管理のためにインターネットからダウンロードしたファイルに対して、ダウンロード元情報等を記載した「Zone.Identifier」という情報があります。Zone.Identifierには、以下のような内容が含まれています。 HostIpAddress：ダウンロード元のホストIPアドレス ZoneId…

概要 nmapとはNetwork Mapperの略で、オープンソースで開発されているポートスキャナです。nmapには多くのオプションが用意されており、対象ホストのOS情報や稼働しているサービスの情報を調査することができます。 // nmapの実行例 nmapは単純に対象のホストを指定するだけでも使えます。 実行例 root@kali:~# nmap 対象のIPアドレス等Starting Nmap 7.91 ( https://nmap.org ) at Nmap scan report for 対象のIPアドレス等Host is up (0.00047s latency). Not shown…

概要 HTTPにはいくつかのメソッドがあります。この記事ではHTTPのメソッドについてまとめ、また、netcatを使って実際の実行結果を見てみます。 netcatとは netcatとは、TCPもしくはUDP接続などを利用して、コマンドラインからデータを送受信するためのツールです。 // HTTPのメソッド メソッド 概要 備考 GET リソースの取得を行う GETのリクエストでリソースを更新するということは、原則としてあまりよろしくない POST リソースの作成・更新等を行う PUT リソースの更新を行う あまり使われない DELETE リソースの削除 HEAD リソースのヘッダ情報のみ取得(…

2020年11月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/11/01 GMOクリックで不正アクセス、149万円流出／FX各社「トルコリラ相場への注意喚起」ほか 10 ... 2020/11/01 コロナ禍の米国で医療機関へのランサムウェア攻撃が急増、さらなる危機が押し寄せる 2020/11/02 「TCP 445番ポート」宛てのパケットが増加傾向 - JPCERT/CC観測 2020/11/02 グーグルの新VPNサービス、「Google One」の2TBプランで提供へ 2020/11/02 マイクロソフト、「Netlogon」脆弱性を悪用する攻撃についてあらため…

概要 「安全なウェブサイトの作り方」をよみ、Webアプリの脆弱性について調べたことをまとめました。 SQLインジェクション 概要 ウェブアプリケーションの多くはデータベースと連携しており、ユーザの入力情報からSQL文作成します。SQL文の組み立てに問題がある場合、SQLインジェクションの攻撃を受ける可能性があります。 SQLインジェクションのイメージ SQLインジェクションには、本来非公開であるデータベースの内容を表示させる以外に、SQLサーバにあるコマンドを使ったものがあります。 convertやcast等で型変換のエラーを意図的に発生させ、そのエラーの内容からデータベースを攻撃するための情…

概要 クラウドの普及と利用の促進により、国内、海外問わず、様々なサービスを利用する機会が増えています。しかし、サービスを利用する場合、特に組織においては預託するデータの保護に関する取り組みについて考える必要があります。今回は個人情報に関する各国の規制や流通の取り組みについて調べてみました。 // 背景（DFFTについて） DFFT（Data Free Flow with Trust、信頼ある自由なデータ流通）とは、2019年1月23日に行われた「ダボス会議」で提言された言葉です。ダボス会議で安倍首相はデータの活用が重要であり、そのためにDFFTの体制を築くことを提言しました。 www.kant…

hashcatの概要 hashcatはパスワードクラックのツールです。hashcatで行うパスワードクラックは稼働しているシステムに対してアカウントがロックされるまでログイン試行を行うようなものではなく、パスワードのハッシュ値から元のパスワードを割り出すものです。一般的にシステム上のパスワードに関しては平文で保持されるケースは稀で、NISTのガイドラインにおいても「パスワードは適切な一方向鍵導出関数を用いてソルト付きでハッシュ化されなければならない（SHALL）。」と記載されているため、パスワードの保存に関して平文での保存は認めていません。 // hashcatによるパスワードクラック has…

概要 GCP上でWordpressを構築しました。今回の構築では以下の内容を実施しますが、使用するのはすべてGoogleが提供しているサービスを利用します。 MarketPlaceを利用したWordpress環境の構築 Google Domainsで独自ドメインを取得 Let's Encryptを使ってHTTPS化 // 1.Market Placeを利用したWordpress環境の構築 GCPのコンソールより「Marketplace」を選択します。 Market Placeの選択 Market Placeのメニューが表示された後、Wordpressを選択します。※表示されていない場合は検索バ…

Windowsの自動実行機能（Autorun）について Windowsには自動実行の機能があります。Windowsの自動実行とは、CD-ROM、DVD、USBメモリ、外付けハードディスク、あるいはネットワークドライブなどをパソコンに挿入／接続したり、そのアイコンをダブルクリックした際に、その中に格納されているソフトウェアや動画を自動的に実行／再生する機能です。AutoRunとも呼ばれます。 // AutoRunのリスク 自動実行を悪用して感染を広げる「USBメモリ感染型ウイルス」というものがあります。代表的なウイルスとしては、「Conficker」「Downad」「Autorun」「Otoru…

概要 個人的に勉強中のCompTIA PenTest+に関連して、Kali Linuxの検証環境（Kali Linuxと攻撃対象のmetasploitable2）をHyper-V上に構築しました。構築した環境のイメージは以下の通りです。 構築した環境イメージ // 環境構築 Kali Linuxのインストール Kali Linuxのインストールについては、こちらの内容をご参照ください。 攻撃対象のmetasploitable2の構築 metasploitable2はRapid7が公開している、セキュリティトレーニングのためのツールで、意図的に脆弱性含んだ仮想のLinuxマシンです。 以下のサイ…

概要 諸事情あってこれまで使っていたスマホのSIMカードが使えなくなってしまいました。新しいSIMカードが届くまでの数日間、外出先でもLineだけは使えるようにしたいと思い、プリペイドSIMを買ってインターネットに接続できるようにした時の話をまとめます。 プリペイドSIMを近所のビックカメラに買いにいって、接続設定してインターネットへ接続するまでで、表題の通り、ほぼ1時間でできました。 使用するスマホ Huwei P20（SIMフリー） // 時系列 19：30分頃 諸事情によりスマホのSIMが使えなくなりました。電話番号は引き継ぎたいので、今の電話番号が割り振られた新しいSIMが届くまでの間…

概要 最近みたニュースで「オリジン」に触れたものがありました。「オリジン」という言葉について、理解しきれていなかったので整理してみました。 // オリジンとは IPAのサイトでは、以下のような解説がされていました。 3.2. 源泉（origin） English原則として、ユーザエージェントは、すべての URI を絶縁された保護ドメインとして扱うことができ、ある URI から別の URI と相互作用するために取得したコンテンツについて、明示的な承諾（consent）を要求する。残念ながら、この設計は開発者にとっては厄介である。なぜならば、Web アプリケーションは、しばしば協調してふるまう数多…

概要 脆弱性の深刻度を表すCVSSの読み方について整理しました。 // CVSSとは CVSS(Common Vulnerability Scoring System)は、脆弱性の深刻度を評価するための指標で、FIRST(Forum of Incident Response and Security Teams)により、適用推進や仕様改善が行われています。CVSSは脆弱性に対する汎用的な評価手法であり、ベンダーに依存せず、脆弱性の深刻度を同一の基準の下で定量的に比較できます。 CVSSの3つの基準 CVSSは以下の3つの基準で脆弱性を評価します。 1.基本評価基準(Base Metrics) …

概要 ActiveDirectoryを管理するツールとして「dsコマンド」があります。組織において新入社員を登録する時等、大量のユーザを一括登録といった作業で活用されます。dsコマンドには以下のものがあります。 ディレクトリサービスコマンドラインツール ツール 概要 dsadd オブジェクトの追加 dsget オブジェクトの表示 dsmod オブジェクトの修正 dsmove オブジェクトの移動、名前変更 dsquery 検索条件に一致するオブジェクトの検索 dsrm オブジェクトの削除 // 上記の内、dsqueryをAD上で実行してみます。 C:\Users\test>dsquery 説明:…

概要 フィッシング対策協議会では、フィッシング詐欺の被害を防ぐためにWebサービス事業者に向けた対策をまとめたガイドラインを公開しています。 www.antiphishing.jp 2020年度版では、最近の脅威動向を踏まえ対策要件を見直し、また、優先度の設定が見直されています。 また、ガイドラインの対策要件の中でも、ユーザがフィッシング被害を減らすために事業者が特に重点的に取り組むべきものを5つにまとめ公開しています。 https://www.antiphishing.jp/report/phishing_report_2020.pdf 関連記事：2019年度版 www.iestudy.wo…

2020年7月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/07/01 公取委が目を付けた決済インフラ「CAFIS」の正体 2020/07/01 「NISTプライバシーフレームワーク」の翻訳を無料で提供 2020/07/01 5月のDDoS攻撃、件数は減少するも攻撃規模は拡大 - IIJレポート 2020/07/02 マルウェアの3分の2が暗号化、四半期レポート（ウォッチガード） 2020/07/02 家庭内で安全快適に在宅勤務を行うためのリファレンスガイドの公開について（JCT-ISAC） 2020/07/02 子供にスマホを持たせる親へのハンドブックを無償提供（ト…

概要 コロナの影響もあり最近はリモートワークがに関する話題が多くなっています。それに伴い、Web会議のツールの利用も増えています。Web会議ツールは業務以外にもリモート飲みなどにも使われています。そういった中で、独立行政法人情報処理推進機構は7月14日に「Web会議サービスを使用する際のセキュリティ上の注意事項」を公開しました。 www.ipa.go.jp // Web会議サービスを使用する際のセキュリティ上の注意事項（まとめ） 資料では最初にWeb会議サービス選定時の確認事項がまとめられています。 Web 会議サービス選定時に考慮すべきポイント 区分 詳細 会議データの所在 Web会議サービ…

MITERとは MITREは、米国の連邦政府が資金を提供する非営利組織であり、国の安全性に関する事項に取り組んでいます。サイバーセキュリティの分野では、NISTの連邦研究開発センター（Federally funded research and development center：FFRDC）の運営を行い、官民パートナーシップおよびハブとしての機能を提供しています。また、国土安全保障省(DHS)の資金を得て、世界中の脆弱性情報に対して採番を行うCVE（Common Vulnerabilities and Exposures、共通脆弱性識別子） の運用を行っています。 // MITRE ATT&…

背景など 最近ではクラウドの利用が進んでおり、様々な企業がクラウド上にシステムを構築し、データを格納しています。 ascii.jp クラウドは常に新しい機能が開発されており、クラウドに対する理解が浅いままシステムを構築するとセキュリティの観点からは脆弱な設定になってしまっている場合があります。 また、一般的な脆弱性診断では、システムの脆弱性の有無は確認できますが、クラウド特有の設定項目（IAM等）に対しては対応できない場合があります。 そのため、クラウドの設定を監査できるサービス／ソリューションも多く提供されています。 サービスの例 esg.teldevice.co.jp it.impress…

ある日の朝、いつものようにOutlookでメールを送信すると、システム管理者の差出人から「配信不能」というメールが返ってきました。メールの内容を見てみると「このメールは、受信者全員または一部に届きませんでした。」というこ [&hellip;]

WooCommerce プラグインを利用することで、WordPressで簡単にショッピングカートシステムを構築することが出来ます。ある日「お客さんからマイアカウントにログインが出来ない」というお問い合わせがきました。 今まで、特に問題なくマイアカウントにログインは出来ていたと思うのですが、なぜできなくなってしまったのでしょうか。試しにパスワードを再発行して、ログインをし直してもログインが出来ません

先日ネットを見ていたら、急にChrome（クローム）アンケート画面に。アンケート参加者には「iPhone 11 Pro」が当たるチャンスがあるとのこと。 そして、アンケートに答えたその先には… //

今回はフィッシング詐欺のメールが多かったので、まとめて紹介させていただきます。 三井住友信託銀行やJCB、Amazonや楽天カードを騙るフィッシング詐欺のメールが何通か届いていました。どのメールも「アカウントを制限します」「重要なお知らせ」「緊急のお知らせ」といった、ユーザーを不安にさせて偽物のサイトへ誘導しようとするようなものばかりです。 全てというわけではありませんが、ほとんどが詐欺メールにな

デジタルカメラやデジタルビデオカメラ、スマートフォンやタブレット端末などで使用しているデータ記憶装置のＳＤメモリーカードをなくしてしまった時に探す際のコツや、ファイルの回収についての解説ページです。

DVD-RWやCD-RW、BD-REといったディスクメディアのデータ記憶媒体をどこかでなくした時に、紛失した場所を探して見つけるコツや、保存したファイルの救出をする手法についての解説ページです。

Webサイトのセキュリティに関する話の中で「ステータスバー」というキーワードが出てきた際に、その言葉が示す対象がずれていたことがあったので少し調べてみました。その会話では以下のものを「ステータスバー」として呼んでいました。 ステータスバーとは // 上記のステータスバーについては、IPA「セキュア・プログラミング講座」の「Webアプリケーション編」の中でも偽サイトへの対策として、Webサイトの利用者向けにWebサイトの安全性を判断するための情報提供の一手法として紹介されています。 www.ipa.go.jp 補足：セキュリティステータスバーについて Internet Explorerでアドレス…

2020年4月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/04/01 Marriott系列ホテル、520万人の顧客情報が流出の可能性 2020/04/02 ZoomのMac版、インストール時にマルウェア的な挙動 セキュリティ専門家が指摘 2020/04/02 日本国内のサイバー犯罪被害者数は年間2460万人、2019年調査（ノートンライフロック） 2020/04/02 ソニーミュージックの公式サイトが改ざん - 原因は調査中 //

セキュリティで関連してくる法律についてまとめてみました。 // 不正アクセス禁止法 「不正アクセス禁止法」は、正式名称「不正アクセス行為の禁止等に関する法律」であり、2000年に施行されたインターネット上での不正なアクセスに関する法律のことです。 不正アクセスの定義は以下のようになっており、主になりすましと脆弱性をついた攻撃が含まれます。 ４ この法律において「不正アクセス行為」とは、次の各号のいずれかに該当する行為をいう。一 アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制…

SASEとは SASE（Secure Access Service Edge）はガートナー社が提唱しているセキュリティアーキテクチャで、昨今登場しているネットワークセキュリティソリューション（CASBやSWG等複数）をまとめて一つのソリューションとして提供するものを指しています。 SASEのイメージ // クラウドサービスの利用が進んでいる中で登場した考え方で、複数利用しているサービスに対してSASEから一元的にセキュリティポリシーをができます。 クラウド利用に関してはゼロトラストの考え方もありますが、SASEはゼロトラストの機能も含んだものとなります。 www.iestudy.work SA…

概要 Google Cloud Platfom上でWowhoneypotを構築し、取得したログをStackdriverで閲覧できるようにします。 // 構築 VMインスタンス作成 「Compute Engine」－「VMインスタンス」より、インスタンスを作成します。 今回はf1-micro、Ubuntu18.04で作成しました。 インスタンスの作成 SSH鍵生成 VMインスタンスに接続するためのSSHのカギを生成します。 今回はTeratermを使用しました。Teratermの場合、「設定」－「SSH鍵生成」より作成します。SSH鍵生成画面でコメントに入力したものがユーザ名となります。 「生成…

Pマークとは プライバシーマーク制度は、日本産業規格「JIS Q 15001個人情報保護マネジメントシステム－要求事項」に適合して、個人情報の保護措置（PMS）を整備している事業者を認定する制度です。 privacymark.jp // 個人情報保護マネジメントシステム（PMS）とは 個人情報保護マネジメントシステム（Personal information protection Management Systems）は、JIS Q 15001では、個人情報を保護する体制があり、適切な手順で情報を取り扱い、継続的に改善する仕組みと定義しています。 PMSには以下のようなものが含まれます。 個人…

私物端末の業務利用におけるセキュリティ要件の考え方 https://www.kantei.go.jp/jp/singi/it2/cio/hosakan/wg_report/byod.pdf // 概要 この資料では、BYOD(Bring Your Own Device=私物端末を業務に利用すること)におけるセキュリティの考え方を解説しています。この資料におけるBYODでは、端末にはスマートフォンやタブレットに加えてデスクトップPCも含んでおり、また、業務システムへのアクセス経路は特定していません。 BYODのイメージ BYODの検討にあたって この資料では、BYODの検討にあたって、以下のポイ…

概要 NIST SP800-40は、脆弱性とパッチの管理についてのガイドラインです。日本語版について、IPAでは「NIST SP 800-40 Version 2.0（パッチおよび脆弱性管理プログラムの策定）」を公開しており、ゾーホージャパン株式会社では「Revision 3（エンタープライズ向けパッチ管理技術ガイド）」を公開しています。 パッチおよび脆弱性管理プログラムの策定(Ver.2) http://ipa.go.jp/files/000025330.pdf エンタープライズ向けパッチ管理技術ガイド(Ver.3) https://www.manageengine.jp/solutions…

ゼロトラストについてNISTのガイドライン（ドラフト）が公開されていました。 Draft NIST Special Publication 800-207(Zero Trust Architecture) https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207-draft.pdf 従来のセキュリティモデルである境界防御（Perimeter Defense）に替わる新たなセキュリティモデルとして最近よく聞く言葉なので、自分の勉強のためにガイドラインを読んでみました。 // ガイドラインの構成 ガイドラインは以下の…

自分の勉強のために、CISが公開している資料を読んでみました。 www.cisecurity.org // CISとは CIS(Center for Internet Security)は、セキュリティ推進のためのアメリカの非営利団体で、セキュリティの基準等を公開しています。 www.jiten.com CISベンチマークとは CISでは、AWSのセキュリティ設定のガイドとして、ベンチマークを公開しています。このベンチマークでは、チェック項目を確認することで、定量的な評価が可能となります。 各項目には以下の分類があります。Level1でかつSocredなものは設定が推奨と考えることができます。…

2020年3月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/03/01 不正アクセスし人事評価を閲覧 磐田市主任を減給 ／静岡 2020/03/02 カードショップBIG-WEB、平文パスワード含む会員情報流出（ホビーズファクトリー） 2020/03/02 ロリポップ！レンタルサーバーへの攻撃はSQLインジェクションが最多（JP-Secure） 2020/03/03 メールパスワード１件窃取、迷惑メール１５０万件送信（岡山大学） 2020/03/03 問い合わせフォームの内容が別ユーザにも表示、３年気づけず（南海電鉄） 2020/03/03 クレジットカード加盟店向け…

コンピュータセキュリティインシデント対応ガイド(NIST SP800 61)を読んでみました。ガイドラインの概要をまとめます。 コンピュータセキュリティインシデント対応ガイド(NIST SP800 61)https://www.ipa.go.jp/files/000025341.pdf // 概要 このガイドラインは、組織がセキュリティインシデント対応機能を確立し、インシデントへの対応をを効率的に進められることを目的としたものです。セキュリティインシデント対応として、大きく以下の項目について解説されています。 コンピュータセキュリティインシデント対応能力の組織化 事件処理(初期の準備フェーズか…