2026.01.25（日）
- 注目検索ワード
Googleは12月7日、同社が保有する複数のドメイン向けにフランスの認証局ANSSI傘下の証明機関から不正なデジタル証明書が発行されおり、誰でもなりすまし可能だったことを発表したんだにゃー。問題の証明書はすでに失効させる措置を取ったということなんだにゃー。
昨今のサイバー空間の変化には目を見張るものがある。それは従来の延長線上にある変化ではなく、政治、社会、経済の根本を揺るがす変化といえる。
毎年恒例のように開催されていたセキュリティイベント「AVTokyo」が今年は開催されなかったけど、「AVTokyo2013.5」として来年の2月16日に開催されることが発表されたんだにゃー。
![[インタビュー]Mobile Pwn2Own 2013挑戦のためのTEAM of MBSDの作戦 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/8101.jpg)
「日本ではセキュリティ診断というとWebアプリケーションが主だと思われがちですが、リスクを考えるとフレームワーク等の低いレイヤの診断も重要なのです。低いレイヤのセキュリティ診断を実施しているケースは残念ながらとても少ないというのが現状です。」
Windowsのカーネルにローカルでの権限昇格が可能となる脆弱性が見つかったんだって。この脆弱性はWindows XPとWindows Server 2003に影響があるみたいなんだにゃー。
![[インタビュー]商社が立ち上げたセキュリティラボ、マクニカ セキュリティ研究センターの設立目的 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/8002.jpg)
「標的型攻撃のような脅威に直面して、これまでのように、製品別ではなく、サイバーセキュリティを軸として、お客様と包括的な対話ができる部署が必要だという痛切な認識があり研究センターを設立しました」
上野「今後入ってくる人は何を学べば良いんですかね。」
斉藤「たしか、FFRIの鵜飼さんも学生時代に研究室のサーバーに侵入されて、そこから興味を持ったという話を伺った記憶があります。たぶん興味を持ったきっかけから入っていけば良いのかなあって」
日本で広く使用されているECサイト構築パッケージWebアプリの「EC-CUBE」に合わせて6件の脆弱性が見つかって公表されているよ。脆弱性の内訳はXSS、CSRF、情報漏えいなんだにゃー。
「Officeさんの事件に関してはこちらも思い出深いです。実はACCSの0dayに関してはハッカージャパンにも記事としてはもらっていました。記事にやり方が書いてあったので、ぼく、動作確認してみたんですよ。」
企業内でオンラインストレージなどの利用人口が増え始めてからようやく管理側のルール整備が開始されるという流れでは、各々が利用するツールのセキュリティレベルなどが企業内で精査されていない状態が生まれ、リスクが高いといえます。
11月13～14日にはセキュリティカンファレンス「PacSec」が開催されたよ。併催されていたモバイル脆弱性発見コンテスト「Mobile Pwn2Own」では日本のMBSDチームが見事にハッキングに成功して賞金4万ドルを獲得したんだにゃー。
Microsoft Officeで利用されるMicrosoft Graphics ComponentのTIFF画像処理にゼロデイ脆弱性があることが発表されているんだにゃー。
今回、ScanNetSecurityからお声掛けをいただき、私のブログを転載していただくことになりました。10月末に行われた、オンラインCTF「NotSoSecure CTF」の参戦記です。
php公式サイトのドメインphp.netがマルウェア感染の疑いでGoogle Safe Browsingにアクセスを遮断されていたことが話題になっていたけど、調査の結果、誤検知ではなく本当にマルウェアに感染していたんだにゃー。
今回は、株式会社ラック 川口 洋 氏に、セキュリティオペレーションセンター等でのセキュリティ人材育成について話を聞いた。
「現実の運用で問題なのは、防御性能もさることながら、過剰検知というか誤検知ですね、正常系をブロックしてしまう、これがとても問題です」
10月23日にはセブン＆アイグループのネットショッピングサイト、セブンネットショッピングに不正ログイン攻撃が行われ、最大15万165件のカード番号が流出したことが発表されているんだにゃー。
「実はレンタルサーバーにWAFって結構入ってまして、さくらも入ってますし。だからうまく活用していただければ、あとSQLインジェクションくらいは止めてくれると思うんで、それだけでもだいぶ違いますよね」
企業が考えなければならないのは、クラウドで稼働させるアプリケーションのセキュリティだけでなく、そこへアクセスするデバイスやネットワークを含め、すべてを包括的に保護するアプローチであることに注意が必要です。
![[PRコミック] Web システムの本性～導入前に知っておくべき同時アクセス性能 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/7412.jpg)
＜ストーリー＞ 中堅食品会社 イード食品の情報システム部に所属する三谷学は、新しい経費精算システム開発の命を受ける。海外のソフトハウスに開発を全面委託することで、大幅な予算削減に成功したのだが…
クラウドがビジネスにもたらす価値とクラウドセキュリティの勘所について、アマゾン データ サービス ジャパン株式会社 代表取締役社長 長崎 忠雄氏と、トレンドマイクロ株式会社 取締役副社長 大三川 彰彦がディスカッションを行いました。
