2026.01.23（金）
- 注目検索ワード
佐賀県の教育情報システムに17歳の少年が不正アクセスし、教師や生徒の個人情報が洩れるという事件が2016年6月26日に報道された。しかし、さすがに犯罪者を褒め称えてしまっては、同じようにヒーロー扱いされたいと模倣犯が出てきたりしかねない。
マーティン氏は「最も攻撃的な脅威と闘い、これを抑止できる、合法的かつ慎重な管理が行われた攻撃型サイバー機能の開発」の必要性を訴えた。積極的サイバー防衛とは、アメリカの言葉を借りるならば、攻撃を妨害するために攻撃者に対してハッキングし返すことを意味する。
世界的に大きなシェアを誇る CMS である Drupal において、作成したソースコードが Drupal で定められた標準と整合性が取れているかを確認するためのモジュールである Coder に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
「ガートナーセキュリティ＆リスク・マネジメントサミット 2016」でリクルートテクノロジース 鴨志田明輝氏が行ったセミナーで、リクルートグループでCSIRTを構築した経緯や手順、運営方法などが紹介された。
後藤信二 氏（仮名）は精密機器製造・販売企業のセキュリティ責任者だ。先日CEOから経営会議直後に突然呼び出され、矢継ぎ早に質問を投げかけられた。後藤氏は勢いに押されて即答できず、少し時間をもらうよう乞うて、セキュリティ部門のメンバーを集めた。
医療セキュリティ分野では昨年と同様にインドのPhilips社から、Swaroop Yermalkar氏の講演があった。さすがに医療分野でセンシティブな内容のため、撮影、スライドともに非公開だ。しかしその内容から日本の医療も同様の課題を抱えていることが分かった。
Microsoft の Web ブラウザである Internet Explorer に用いられているスクリプトエンジンに、オブジェクト処理の不備に起因する、メモリ破壊と遠隔からの任意のコード実行の脆弱性が報告されています。
もうひとつ書いておかなければならないことがある。書評からは離れるが、本書にはひとつ致命的な問題がある。
MySQL を Web コンソールから管理するためのツールである phpMyAdmin に、遠隔から任意のコードが実行となる脆弱性が報告されています。
「中村悠一氏は港区に本社を構える精密機器製造・販売企業のCEOだ。従業員は8,000名、国内だけでなく海外にも多数の販売・生産拠点を持ち、東証に上場して以来黒字経営を続けている。先日のグループ経営会議で頭を悩ませる報告を受けた」
世界的に大きなシェアを誇る CMS である Drupal で REST API を用いるために広く利用されているモジュールである RESTWS モジュールに、値検証不備に起因する、遠隔から任意のコードが実行されてしまう脆弱性が報告されています。
「個人的な恨みはないが、上級管理職の者たちは、部下を虐待し続けたらどういう目にあうか知る必要がある。私はチームのためにやったのだ。同僚の皆まで悪く見られてしまうことになったら申し訳ない」
カンファレンスというイメージを持っているかもしれないが、実はそれだけではない。会場の半分以上はイベント会場になっているのだ。さまざまなワークショップや CTF、物販やカラオケなんかもある。ワークショップはその場で飛び入りで参加できるものがほとんどだ。
![[インタビュー] 鵜飼裕司 今年の Black Hat USA 2016 注目 Briefings 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/20657.jpg)
「それよりも、地に足の着いた投稿の方がよっぽど信頼できて面白いと思います。『Network Defense』と『Malware』のカテゴリは、いずれも、ただ「解析してみました」、ただ「作ってみました」ぐらいのレベルでは基本的に通りません。」
新日本有限責任監査法人 杉山一郎氏は、ガートナー セキュリティ＆リスク・マネジメントサミット2016において、サイバー犯罪に対する企業の考え方、発想を転換すべきと訴える。
Web アプリケーションフレームワークである Ruby on Rails において、動的なコンテンツ呼び出しに利用される Render メソッドの値検証不備に起因する遠隔コード実行の脆弱性が報告されています
2011年あたりから標的型攻撃による大企業の被害が問題化した。2012年に社内ネットワークを調査したところ、未知のマルウェアが検出されるなど「やはり」という結果になった。そして2013年7月にはついにWebサイトが改ざんされるというインシデントが発生。
ファイルのダウンロードなどを行うために利用されるコマンドである Wget において、ファイル名検証不備により意図していないファイルをダウンロードさせられてしまう脆弱性が報告されています。
ヨーロッパの官僚は、サイバーセキュリティ分野の中小企業への融資を緩和したいと考えている。おそらく、政府と民間企業の密接な協力が一般となっているイスラエルでの、サイバーセキュリティ新企業の成功を模倣することを眼中に入れているのであろう。
欧州委員会はサイバー セキュリティに2020年までに1.8億ユーロ（2億ドル）を投資することを目的に官民パートナーシップを開始した。EU自体はサイバー セキュリティの革新を目指して4.5億ユーロ（5.02億ドル）の投資を約束し、残りは民間から投資されるという。
Apache ソフトウェア財団による Web アプリケーション開発フレームワークで
ある Struts のバージョン 2 系に、REST プラグインに含まれる実装不備を利
用して任意のコードが実行可能となる脆弱性が報告されています。
