2026.11.12（木）
- 注目検索ワード
クオリカ株式会社は、東日本大震災を端緒にBCP対策の一環としてBYODに着手、一度も初期計画を見直すことなく、現在同社の社員約700名が自己所有の端末から必要なシステムやリソースをいつでもどこからでも利用できるBYOD環境を実現した。
「待て！ 相手はオレのことを知っているのか？ いや、そもそも何者なんだ？」
最近のマルウェアは活性化すると身を隠すので、検知も駆除もできません。私たちはまず、見えないものを見えるようにして、それから駆除を行います。Doctor Webは駆除能力の高さに競争力があります。
仕事でコンピュータ、タブレットPC、スマートフォンのいずれかを使っている米国消費者の圧倒的多数は、オンライン・プライバシが脅威にさらされていると感じています。しかし、多くの人がプライバシとセキュリティを危険にさらす行為や振る舞いを続けているのです。
「そりゃ、こういうことがあるからだよ。オレだってちょっとは修羅場を踏んできてるんだ。関係者が一番ヤバイってわかってる。」
まだばれていないと思っているんだろう。残念なことにオレは、豊かな想像力の持ち主じゃない。こいつがなにをしたかわかる決定的な情報を得て全貌を理解しただけだ。
2011年に塩野義製薬の米国部門で、レイオフされた元社員が、退職後に特権アカウントでログインして、15のVMWareのホスト上にある、88の仮想サーバを削除して、物流や社内業務に数日間の大混乱を引き起こす事件が発生しています。
ITはかつて、ユーザに対して「我々のルールに従って下さい」と言うことができました。今や、ITの方が集団の一員としてユーザのルールに従わなくてはならないのです。
「犯行は一度だけじゃなく、何回も繰り返し行われていた。派手にばれたのが、今回だっただけだ。今回だって複数の人間が犯行に及んでいた可能性もある」
これら4分野は、コーポレート・ガバナンス、セキュリティ、法令コンプライアンスの各要件を満足するために必要とされる基本的な制御や保護を提供するうえで鍵となるものです。
従来のセキュリティ対策は、何か被害が発生してはじめて問題が明らかになり、情報収集と分析を行い、対応を行うというプロセスを踏んでいました。標的型サイバー攻撃は事情が異なります。
ここまででわかった、あるいはわかったつもりになっているのは、この事件へのアプローチ方法だけなのだ。トリックを見抜いた、なんてとても言えない。本番はこれからだ。
言い換えれば、本番環境や対象アプリケーションの仮想化が既に始まっているなら、監査の失敗または多額のペナルティ、場合によってはその両方を負わされる可能性に晒されているのです。
最近、若い人がアップデートの検証ばかりやらされていて、疲弊しています。アップデートは基本機能も変わるし、追加機能もあるので、一年中ずっと検証することになってしまう。
「やらなくていいんじゃないですか」革命的なひとことを発した。
警察、検察、推理小説という存在を根底から覆す提案だ。
OSI参照モデルの最上層であるアプリケーション層の一段上に、それを操作するユーザを第8番目のレイヤとして設定し、ユーザ層を含む8階層モデルでセキュリティ対策を考える「レイヤ8セキュリティ」が注目を集めている。
この手のドメインに関連して、他にも重要な脆弱性が研究者によって見つけられています。彼らは多くの偽サイトを作り、そのドメイン宛にメールが来るのを待ちました。
それを言うことは大事ですよね。問題意識の高いお客様からは「よく言ってくれた」と言われます。
目から鱗が落ちるとは、このことだ。
鱗が落ちて新しい世界が開けたが、前の世界よりもさらにいろいろな可能性が大きすぎる。
ご存じない方のために解説すると、NSTICは、デジタル・アイデンティティ、プライバシ、セキュリティに関する問題について官民の様々な人材が協力および話し合いをする場として、オバマ政権のもと2011年4月に発足しました。
お客様も許容の上で海外からリモートでメンテナンスする場合もあるのですが、そうするといきなり再起動されちゃう。メーカーの調査のフェーズなので、私の立場は「見てるだけ」で手を出せない。
「なに言ってんの？」
「明日も会社なので、突然肉欲に目覚めたのなら他を当たってください」
「なんか怒ってるの？」
「別に。ただ急だなあ、と思っただけです。自分の会いたい時に簡単に会える安い女ではないことをきちんとお話しておくべきだと感じました」
旧来型のセキュリティ教育は、オンプレミスのクライアントサーバ型のネットワークの中で、PCを端末として利用することが前提とされていた。しかし近年、スマートデバイスが業務に導入され、そこからクラウドサービスやSNSを積極的に利用する事例が増えている。
標的型サイバー攻撃を行う攻撃者はITのプロということを認識した対策が必要で、そこに100％はありません。入口対策のレベルアップはもちろん、内部と出口をうまく組み合わせて脅威の緩和につとめて欲しいと思います。特に内部は脅威が一番わかりやすく出てきます。
孤立アカウントと同様の問題を抱えたもう一つの種類のアカウントも存在します。それらのアカウントは、通常、認証およびガバナンスプロセスから見逃されています。
警察に数多く届く遺失物の中でも、年々増加の一途をたどるのは携帯電話類である。都内で警察に届けられた携帯電話類の遺失届数は平成23年度では21万件以上にものぼる。その携帯電話類の中でもここ数年で特に激増したのが「スマートフォン」だという。
そして、数日後待っていたものが届いた。オレがいつも最初に頼むものだ。
標的型サイバー攻撃の実態と、対策製品の種類と用途、具体的製品名称、それぞれの有効性について、最新のサイバー脅威に詳しい株式会社ラックの上級サイバー分析官、岩井博樹氏に聞いた。
アクセシビリティ・プログラムが目指すのは、法的要件の範囲に留まることなく、すべてのユーザにとって効率的で使いやすいソリューション の作成を推進することです。
これといった収穫はなかったが、いくつか気になることがわかってきた。会社に残っている社員は、個人情報漏洩をそれほど深刻に受け止めていない。まあ、深刻な影響を受けた人間は退職したからいないわけなので、当然と言えば当然だ。
社内にマルウェアが潜入すると、まず最初に行うことは社内ネットワークの情報取得です。ここで重要なのは、こうした攻撃基盤構築時の物色の多くが、あくまで社内ネットワーク内で行われることにより、従来の入口・出口対策では検知できないことです。
オンプレミス環境では最下層の物理的な部分まで制御することができましたが、クラウドを利用すると見えない部分、触れない部分が出てきます。そうした制限により、オンプレミス環境と同じセキュリティ対策を適用できないケースがある点に注意が必要です。
標的型サイバー攻撃の実態と、対策製品の種類と用途、具体的製品名称、それぞれの有効性について、最新のサイバー脅威に詳しい株式会社ラックの上級サイバー分析官、岩井博樹氏に聞いた。
実際、不正行為を検知するうえでソフトウェアやシステムが活用されていたのは、全体の6%にすぎませんでした。このことから、内部不正の検知は非常に難しい、または、疑わしい行為や不正な行為を上手く検知できていないということが分かります。
標的型サイバー攻撃の第1ステップは、メールを用い、人間という脆弱性を突いてくるケースが大半だ。今回の富士通研究所の技術は、その対策として重要なテストケースとなるだろう。
昨今のサイバー攻撃が、従来の攻撃と全く異質だとは考えておらず、延長線上にあるものだとは思います。しかし、パターンファイルやシグネチャでの対策が通用しない攻撃が増えるなどいくつかの大きなポイントがあると捉えています。
大島は露骨にいやそうな顔をしてみせた。その気持ちはよくわかる。
クレジットカードやデビットカードを使ったオンライン決済のシーンで、パスワードを入力することでカードの正当な保有者であることを証明する技術がある。3-Dセキュアと呼ばれる通信プロトコルだ。
私達に影響を与えた主なデータポイントは、アシュアランス要件がプロテクション・プロファイルに入っていること、そしてすべての評価活動が達成可能、検証可能、客観的、反復可能ということでした。
これらの原因をみると、「スーパーエンジニア」の存在が浮かんできます。この担当者は社内のマニュアルを無視し、独自のやり方でメンテナンスを実施しており、上司もそれを黙認していたといいます。
社内の雰囲気は、最初リラックスしていていいオフィスだな、と思ったが、微妙な緊張感がある。びりびりしているというほどではないが、なんというか静電気がたまっているような感じだ。
その象徴的な事例がネット選挙運動の禁止である。先進国に類を見ないほどの厳しい制限をしているが、利用自体「無い事」にしてしまっているので、法的責任・処罰などを定めることができず、かえって不正や妨害工作が事実上「野放し」になってしまっている。
2012年6月、データセンターとホスティングサービスで大規模障害が発生しました。ひとつは富士通の「館林システムセンター」、もうひとつはファーストサーバの複数のサービスです。
氏が挙げた「三つの脆弱性」は、政治におけるインターネットの利用が今後も一層拡大し深化することが不可避である以上、避けて通れない重要な問題提起である。
![[緊急寄稿] Internet Explorer 0-day脆弱性に関する調査レポート 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/3252.jpg)
FFRIでは本件に関して調査を行い、独自にIn the wildの検体を入手し、その検体と攻撃に利用された脆弱性について以下に報告いたします。
IPAでは2012年は『企業は情報が狙われ、個人は金銭が狙われる』傾向がより強まると警戒を促していた。その指摘通り、6－7月あたりから個人の金銭を狙ったネットバンキングにおける被害が急増・復活しているとの報道もある。
CA Security Reminder は、コンシューマライゼーションが進行する企業情報システムの情報セキュリティとアイデンティティ管理について考えます。
これといって特別なオフィスではなかった。平机とその上に置いたノートPCがずらっと並んでいる。光景だけ見ると、最先端のIT企業とは思えない。システム部くらいは、低いパーティションで個人ごとに区切ってやってもいいんじゃないかと思った。
Man-in-the-Browser (MITB) とはマルウェアがブラウザを乗っ取り、ユーザーは本物のWebサイトにアクセスしているように見えるのにも関わらず背後で悪意ある活動が行われてしまう攻撃です。
オープンガバメントが、単なる多くの人の共感を呼ぶ物語ではなく、社会を動かす、検証可能な概念となるためには、次の3つの脆弱性を解決する必要がある。
2012年になり、クラウドコンピューティング、つまり具体的にはクラウドサービスとしてのアイデンティティ/アクセス管理（IAM）の実現性や熟成度について健全な批判を受けています。
そこまで話して、オレは大事なことを忘れていたのに気がついた。「オレはまだ現場に行ってない。関係者の話も聞いていない。うっかりしてた。変な状況に気を取られて基本を忘れてたぜ」
企業がサイバー攻撃に遭ったときに、セキュリティ専門機関が行う初期対応に要した費用を補償する本特約について、AIU保険会社の大塚光晴氏に、補償内容、保険会社が定めるサイバー攻撃の定義、加入者数推移、保険金支払い状況などについて聞いた。
昔、インターネットがない頃に、ネットが当たり前のインフラになった時代のことを思い描いたものだった。さまざまな夢のひとつに、ネットで実現される本当の民主主義があった。
管理者アカウント制御の市場は、特権ID管理と呼ばれることも特権ユーザ管理と呼ばれることもあります。どちらを使用するかによって、我々が対処しようとしている問題のとらえ方が特徴づけられる可能性があります。
「ひとりずつの情報をどっかに売っていたのかもしれません。ネットで電話番号や職場、住所を調べる怪しいサービスがあるじゃないですか。ああいうのの隠れた協力者になっていて、頼まれると社員データを検索して、ヒットしたらその人の情報を売るんですよ」
このような重大な脆弱性の存在により、改めてハイパーバイザのセキュリティに重点的に取り組むことが必要となっています。
SCSKは、企業システムのクラウド化やBYOD導入の進展を見越した認証開発をスクラッチで開始した。
あるはずない、と思わず言いそうになったが、可能性を否定はできないことにすぐ気がついた。オレは、しばらく絶句した。
サーバ仮想化で市場をリードするのがVMware社ならば、誰しもが認めるデスクトップ仮想化（VDI）のデファクトスタンダードはCitrix社である。
意外かもしれないが、成功した攻撃の多くはひとりないしは少数の手によってなされており、世間のイメージにある多数の力によって力を発揮するのとは違っていたことがわかる。
米国のクレジットカード決済代行事業者Global Paymentsでの大規模なセキュリティ侵害では、「セキュリティ」と「コンプライアンス」の違いを浮き彫りにするだけでなく、管理者アカウントの扱いに関する基本的なことを思い出させてくれます。
大島自身は物理的に離れた子会社にいたためアリバイが成立している。社内サーバーが再稼働する前に帰宅するという念の入ったアリバイだ。完璧すぎて、逆に怪しさ満載なのだが、このアリバイは崩せないような気がする。
