インターネット・セキュリティ技術一般

As-Is、To-Be、Can-Beとは

概要 As-IsやTo-Beという言葉を聞く機会が多くありますが、それらの言葉の理解があやふやだったので整理しました。 As-IsやTo-Beといった言葉は、現状とあるべき状態の差を課題と捉えて、理想に近づくために必要なものを分析するギャップ分析で使われます。 それぞれの言葉を以下にまとめます。 各モデルとその内容 モデル 内容 As-Is 現状の可視化→問題点を整理する To-Be 目指すべき状態の可視化→あるべき論、理想論を示す Can-Be As-IsからTo-Beに向けた途中の状態 // To-Beはあくまで理想形であり、いきなりTo-Beを目指すことは難しいです。そのため、実際にはT…

犯罪による収益の移転防止に関する法律（犯収法）とeKYC

概要 ドコモ口座の件より、eKYCという言葉が話題になっています。 この記事ではeKYCについて調べたことをまとめます。 // eKYCとは eKYCとは(electronic Know Your Customer)の略で、電子的な（非対面、オンラインでの）本人確認を行うための機能です。 本人確認を行う理由としては、金融機関等で作成される口座がマネーロンダリング等の不正送金に利用されることを防止する「犯罪による収益の移転防止に関する法律（以下、犯収法）」で定められているためです。 // 犯収法の規制内容 犯収法の6条では「顧客等の本人特定事項の確認方法」が定められています。 また、2018年1…

Metasploitの更新と入れ替え

概要 Kali LinuxにあるMetasploitについて、初期インストール状態のものと、GitHubよりインストールしなおしたものではExploitの更新に差があるらしいことがわかりました。※初期状態ではmsfupdateを実行しても裏でapt updateが行われるのに対し、GitHubからインストールしたものは、直接リポジトリから最新ファイルを取得することができるとのことです。 この記事ではGitからmetasploitをインストールする手順をまとめます。 // インストール手順 metasploitのダウンロード git clone https://github.com/rapid7…

クラウドのセキュリティ評価制度「ISMAP」

概要 ISMAPとはInformation system Security Management and Assessment Programの略で、 日本語では「政府情報システムのためのセキュリティ評価制度」と呼ばれます。 ISMAPは、クラウド・バイ・デフォルトの方針が打ち出されたことを受け、政府機関においてクラウドサービスを利用する際の、クラウドサービスの安全性評価基準の必要性うけて策定されました。 // ISMAPは、政府機関が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価・登録してあるため、政府機関がクラウドサービスを利用する際の選定基準として活用できます。 I…

ファイルのダウンロード元を記録するADS

ADSとは Windows NTの標準ファイルシステムであるNTFS（NT File System）で管理するファイルやフォルダには、代替データストリーム（Alternate Data Stream、ADS）という、ファイルやフォルダの付加情報を記録する領域があります。 // ADSには、セキュリティ管理のためにインターネットからダウンロードしたファイルに対して、ダウンロード元情報等を記載した「Zone.Identifier」という情報があります。Zone.Identifierには、以下のような内容が含まれています。 HostIpAddress：ダウンロード元のホストIPアドレス ZoneId…

nmapを使ったポートスキャン

概要 nmapとはNetwork Mapperの略で、オープンソースで開発されているポートスキャナです。nmapには多くのオプションが用意されており、対象ホストのOS情報や稼働しているサービスの情報を調査することができます。 // nmapの実行例 nmapは単純に対象のホストを指定するだけでも使えます。 実行例 root@kali:~# nmap 対象のIPアドレス等Starting Nmap 7.91 ( https://nmap.org ) at Nmap scan report for 対象のIPアドレス等Host is up (0.00047s latency). Not shown…

HTTPのメソッドをnetcatで実行する

概要 HTTPにはいくつかのメソッドがあります。この記事ではHTTPのメソッドについてまとめ、また、netcatを使って実際の実行結果を見てみます。 netcatとは netcatとは、TCPもしくはUDP接続などを利用して、コマンドラインからデータを送受信するためのツールです。 // HTTPのメソッド メソッド 概要 備考 GET リソースの取得を行う GETのリクエストでリソースを更新するということは、原則としてあまりよろしくない POST リソースの作成・更新等を行う PUT リソースの更新を行う あまり使われない DELETE リソースの削除 HEAD リソースのヘッダ情報のみ取得(…

2020年11月のIT・セキュリティトピック

2020年11月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/11/01 GMOクリックで不正アクセス、149万円流出／FX各社「トルコリラ相場への注意喚起」ほか 10 ... 2020/11/01 コロナ禍の米国で医療機関へのランサムウェア攻撃が急増、さらなる危機が押し寄せる 2020/11/02 「TCP 445番ポート」宛てのパケットが増加傾向 - JPCERT/CC観測 2020/11/02 グーグルの新VPNサービス、「Google One」の2TBプランで提供へ 2020/11/02 マイクロソフト、「Netlogon」脆弱性を悪用する攻撃についてあらため…

Webアプリの脆弱性の概要 ～「安全なウェブサイトの作り方」を読んで～

概要 「安全なウェブサイトの作り方」をよみ、Webアプリの脆弱性について調べたことをまとめました。 SQLインジェクション 概要 ウェブアプリケーションの多くはデータベースと連携しており、ユーザの入力情報からSQL文作成します。SQL文の組み立てに問題がある場合、SQLインジェクションの攻撃を受ける可能性があります。 SQLインジェクションのイメージ SQLインジェクションには、本来非公開であるデータベースの内容を表示させる以外に、SQLサーバにあるコマンドを使ったものがあります。 convertやcast等で型変換のエラーを意図的に発生させ、そのエラーの内容からデータベースを攻撃するための情…

各国の個人情報保護の取り組みと情報流通に関する動向（2020年11月調べ）

概要 クラウドの普及と利用の促進により、国内、海外問わず、様々なサービスを利用する機会が増えています。しかし、サービスを利用する場合、特に組織においては預託するデータの保護に関する取り組みについて考える必要があります。今回は個人情報に関する各国の規制や流通の取り組みについて調べてみました。 // 背景（DFFTについて） DFFT（Data Free Flow with Trust、信頼ある自由なデータ流通）とは、2019年1月23日に行われた「ダボス会議」で提言された言葉です。ダボス会議で安倍首相はデータの活用が重要であり、そのためにDFFTの体制を築くことを提言しました。 www.kant…

hashcatの使い方

hashcatの概要 hashcatはパスワードクラックのツールです。hashcatで行うパスワードクラックは稼働しているシステムに対してアカウントがロックされるまでログイン試行を行うようなものではなく、パスワードのハッシュ値から元のパスワードを割り出すものです。一般的にシステム上のパスワードに関しては平文で保持されるケースは稀で、NISTのガイドラインにおいても「パスワードは適切な一方向鍵導出関数を用いてソルト付きでハッシュ化されなければならない（SHALL）。」と記載されているため、パスワードの保存に関して平文での保存は認めていません。 // hashcatによるパスワードクラック has…