システムハック」カテゴリーアーカイブ

システム構築やプログラミングに関わる内容です。
セキュリティに関する情報も紹介します。

サーバ引っ越し完了!

先日まで愛用していたCentOSに別れを告げて、新しいOSに引っ越しをしました。viエディタでコピペができないんだけど、なんだこれ?とか慣れないところはあるものの、標準のアップデートでPHPやSSLのパッケージが最新になってくれるのは何を置いても安心感が違いますね。

このタイミングでWordpressのプラグインを見直して古いものや使っていないものはアンインストールしたり、ログインページを隠すプラグインを導入したりと、セキュリティ強化も色々試してます。やっぱり、どういう風に使えばセキュアに使えるのかは、実際に使いながら頭を悩ませていかないとお客様にも説得力を持って説明できないと思いますからね。別の製品に変えれば問題が解決するかといえば、今度は別の問題が出たりしてね。おまえが変えろって言うから変えてみたらこのザマだよ!なんて言われた日にゃあ賠償モンですよ。くわばらくわばら。転職するときによく言われることと同じなのかもしれませんね。それって今の会社じゃあできないことなの?っていうやつ。

機能面でも改修を進めていこうと計画しておりますが、まずはこちらの右メニューのガイドライン欄が形骸化していたので見直しをかけております。ここは、にゅーすページとの棲み分けをどうするのかも検討課題ですね。

そうそう、実は先週あたり1週間近くビオラサイトが死んでおりまして…。原因はhttps化で使うLet’s Encryptなんですけど、どうも証明書の取得がうまく行かなくて「君は証明書要求し過ぎなので1週間待ての刑!」って怒られてしまっていたんですよ。その説明ページ見ると何十回とか結構な数要求しないとそれに該当しないはずなのに、なんでか引っかかってしまってね、まあ1週間待ったらちゃんと解消したのでまだ良かったんですが、別の原因だったらどうしようと戦々恐々としていたりもしました。あぁ、そうだ。もう一つ証明書関連で課題があるんでした。証明書の作成は問題ないんですが、証明書の更新を月に一回実行しているものの、どうも証明書の有効期限の開始日が変わってなくて、これ大丈夫なのかな?と不安になっているところです。ひとまずは期限が1ヶ月以内になったら更新が動くとかそういうやつなのか?とか推し量りながら様子見しようと思ってます。

まだまだやることはあって、広告を色々貼っているものの随分前に設置したものばかりだからリンクが切れているものもあったり、全体的に最新化しないといけませんね。特に自宅サーバのページなんかは、すでにクラウド化してるしCentOS卒業したから内容を見直さないとですね…。

なんか、そう言えるところまで運用を続けられて感慨深いものがあります。エンジニアってサーバ建てるのはみんなやるんですけど、コンテンツを作れない人が多かったりするので、それではイカン!と思って私はこうしてヘタクソなりにやっている所存であります。まあ、そんなでも続けていれば何かしら得られるものはあるもので、継続は力なりという言葉をひしひしと感じているところですね。

そういえば所長から要望もらっていたのでした。お昼の配信で不審メールの話をするときに、悪性URLを開いて色々入力しちゃったときの対処について取り上げてますが「もうちょっとスムーズに説明できるようにしたいので、うちのサイトに全部まとめたページ作りたいね」とのことで、仰る通りだなと思いました。時間の関係で言いたいことを言えてない日もあるとのことなので、後はウチのページ読んどいて!という流れにするものアリですからね。こうしてウチのサイトを育てていくことに繋がるとは、何がどう転ぶか分からないものです。

そんな感じでLdLuS6年目は年末を迎えようとしております。相変わらず大したコンテンツもご提供できておりませんが、できる範囲で皆様に情報を共有させていただければと思いますので、今後ともどうぞよろしくお願い致します。

祝! LdLuS5周年!!

おかげさまで、ウチのサイトがLdLuSのブランドを掲げてから5年間が経過しました。いろいろな取り組みが生まれては育ち、廃れ、色々なことがありました。

5周年 生誕祭として、様々なツールを使いながら複数方向からldlus.orgを見てみる紹介動画を作成してみましたのでご確認ください。

▼LdLuS5周年 生誕祭【#KIHA所長/#木波ハッキング研究所】

今後もチャレンジ精神やベンチャーマインドを大切にしながら、知的好奇心の赴くままにいろいろやっていきたいと思います。

Link the Deep Logics to our Usual Sceneries.

LdLuS


上の動画で途中、お前は何を言っているんだ状態のところがありましたので補足の動画を作成しました。こちらも併せてご覧ください。

▼LdLuS5周年 生誕祭の補足

お天気おじいさん

このおじいちゃん急に大きい声出すじゃん! 耳ないなった。

所長いわく、日曜日に収録していて「さいばん」で噛みまくったので、さ行が多い地域の天気予報を選んだとのことです。ほぅ…、え、ホントに?

★天気予報 ★
尖閣諸島  :https://www.mapion.co.jp/weather/spot/L0630053/
長崎県対馬市:https://www.mapion.co.jp/weather/admi/42/42209.html
竹島    :https://www.mapion.co.jp/weather/spot/L0630652/
占守島   :https://www.google.com/search?q=%E5%8D%A0%E5%AE%88%E5%B3%B6+%E5%A4%A9%E6%B0%97&oq=%E5%8D%A0%E5%AE%88%E5%B3%B6%E3%80%80%E5%A4%A9%E6%B0%97&aqs=chrome..69i57.6014j1j7&sourceid=chrome&ie=UTF-8

▼<音量注意!>昼休憩の声出し活動 08/02

当研究所所長がVTuberを始めたようです

何を思ったかKIHA所長がVTuberを始めました。
どんなコンテンツなのかと興味津々だったのですが、なぜか日本国憲法を朗読しています。ちょいちょい間違えたり同じ条文を読んでしまうのはご愛嬌w。

▼日本国憲法 前文 を朗読してみたんじゃが

Please contact us!/お問い合わせはこちらまで!

We now have a following new email address.
Please feel free to contact us.

shinobu.chouhou@ldlus.org

LdLuSのメールアドレスが正式に運用開始の運びとなりました。今後はこちらにご連絡いただくと華麗にスルーさせていただきますので、どうぞよろしくお願い致します。

【LdLuS研究会の白板メモ】

目の前IPv6移行期としては、こんな感じがあるべき姿なんだろう。しかし、量子コンピュータへの移行期にはこれとは随分変わってそうだなぁ。そこまで見据えてマイルストーンを考えねばいかんのだが…。

うーちゃん、水無月ちゃん、頭の足りん曾孫世代を見守っててくだされ…。

横田空域にしても、沖縄の基地問題にしても、どこかで米国の横っ面をひっぱたかないといけないのは間違いない。しかし、それは短期的な目線でやることではない。パズルを組み合わせていくように、切った貼ったを繰り返した上で進めていくべきことだと思う。

サイバー方面にしても、米国の助けなしに日本が無事ですむはずがない。ましてや米国を敵に回すようなことがあればどんな恐ろしいことになるか…。日本を囲む国すべてが日本を攻撃するような状況になってしまったとすればそれはもはや、亡国の歩む道。

中長期的な視野を踏まえて1つ1つ選択肢を吟味しながら進めていかなければなりません。

LINEチックに使える日本国産のSNS「エアレペルソナ」を使ってみませんか?

LINEは韓国経由で中国に。Facebookやメッセンジャーは中国にも米国にも。Google(Youtube含め)やTwitterは米国に。情報が溜まっていくのは外国ばかり。このままでは情報戦争に戦う前から負けている。

ということで、今回は国産のSNSをみんなで使いませんか?という紹介です。その名もエアレペルソナ。

エアレロゴ
https://airlex.co.jp/

LINEとだいたい同じ感じのアプリですが、シンプルな設計なのでLINEみたいにどこにメニューがあるのか迷子にならないし、複数の端末で同時に起動できるので好印象です。

ちなみにペルソナという名前がついているだけあって、複数の顔を使い分けることができるようです。なので、友達用、職場用、趣味用など分けて使えるみたい。

ということで、こういう暴挙もできるってことですね! ↓に私の外向けの顔を貼っときますね。エアレをインストールしてから友だち追加してみてください。

こんなん怖くてQRコードスキャンできんわって反応が、セキュリティやっている人なら来そうですけどwww。テストでやってみるのに使ってみてもらっても良いので、ご興味あればぜひぜひ試してみてください。

接触確認アプリの紹介(新型コロナウイルス/武漢肺炎関連)

5/13 接触確認アプリ勉強会 公開版
https://www.youtube.com/watch?v=Mj1AH1SPW7c

面白いことやっている人達がいますね。行政頼みではなく、自分たちでできることをやる試みは素晴らしいです。
とはいえ、使う人を増やすためには広報なりで政府に動いてもらわないといけないというジレンマ…。 難しいところですね。使う人が増えないとアプリの存在価値もないわけで。
マイナンバーの普及率にせよ、日本のIT後進国っぷりを少しでも前に進められれば良いのですが、尻すぼみにならないと良いのだけれど…。

実績ベースで脆弱なパスワードを拒否する方法

これは良い取り組み。「Have I Been Pwned」で漏洩が確認されたパスワードを拒否する。
元データだと7GB以上あるので、複数回漏洩したものに絞って容量を削減しているのか。

ピクシブ、脆弱なパスワードを登録不可に “漏えいリスト”と照合
https://www.itmedia.co.jp/news/articles/2001/28/news093.html

ユーザエージェントの潮目が変わる時期

2020年、ユーザエージェント(UA)が簡略化されていく。ひとまずChromeだけ。他のブラウザがどうなるかは様子見状態。
既存のUAはそのまま。新しいバージョンからは、ブラウザが何か、PCかモバイルか、ぐらいしか分からなくなるとのこと。
まあ、現状のUA複雑だから分かりやすくなるのはむしろ歓迎かも。ブラウザのバージョン分かったところで何とも言えないし、おまえは結局EdgeなのかSafariなのかとか謎のクセあるし…。

▼Google to phase out user-agent strings in Chrome
https://www.zdnet.com/article/google-to-phase-out-user-agent-strings-in-chrome/

▼UserAgentからOS/ブラウザなどの調べかたのまとめ
https://qiita.com/nightyknite/items/b2590a69f2e0135756dc

ペンテストなのに診断チックなことをしている話は聞いたことあるけど…

脆弱性診断、ペネトレーションテスト、バグバウンティの位置づけがよく整理されている良記事です。

▼ペネトレーションテストが脆弱性診断の上位互換サービスであるという誤解 ~ セキュリティ標準化企業 SHIFT SECURITY 執行役員 松尾雄一郎に聞く
https://scan.netsecurity.ne.jp/article/2019/11/27/43286.html

ITセキュリティのほど良いところ

サイバー空間はまだまだ成長期であり不安定。セキュリティのあり方もスタンダードがどこなのか迷走しています。でもいずれは誰もがちょうど良いと思える在り方に収束していくはずです。それがどのへんなのか、当たりを付けつつ推進していくのが我々のお仕事なのかなと思っています。

家で言うと、セキュリティを強化するぜぃ!と言って窓という窓に鉄格子をはめるのが妥当なのでしょうか。なんか暗いし雰囲気悪い。どこの牢屋ですかw。それに、洗濯物どうするんだ。ご近所さんの見る目も心配ですね。

普通、窓なら「クレセント鍵」と呼ばれるあれですよね。空き巣が窓を割って鍵を開けるケースもあるアレ。

内側にしても、ドアというドアに玄関と同じレベルの鍵を設置するのでしょうか。色々マズい状況が思い浮かんできますね。

トイレなら「サムターン」の鍵だけど、外からでも10円玉とかで回せば開けられたり。

どうしてそれが普通なんでしょうか。家を借りる時に内見してても、そうなっていれば違和感を感じないでしょう。

その地域の治安が悪いという話を聞くと、やっぱりもう少しセキュリティを意識したオートロックの玄関のところだとか、1Fなら窓側は雨戸が閉められるとか、欲しくなるんじゃないでしょうか。

一方で、リスク受容という考え方もあります。一切セキュリティ対策をしない、もしくはもう少しセキュリティに投資してもいいけど、事故が起こった際に想定される損害を考えると、費用対効果が期待できないからやめておく、というもの。事なかれ主義の日本の大企業ではその選択は難しくやや過剰投資の傾向にあり、攻撃された経験のない中小企業は消極的に(数値的な根拠なく)その選択肢を選んでいるような気がします。

私はリスク受容は大いに結構だと考えています。一昔前ならサイバー攻撃を受けることも珍しかったですが、もはや日常茶飯事。サイバー攻撃による情報流出によって責任者が首を切られていてはいくつ首があっても足りないご時世になってきています。売上とセキュリティ投資のバランスを見ながら、あえて対策をしないという英断もあって良いと思います。

セキュリティ投資は保険のようなもので、200万円の売上のあるECサイトがあったとして、300万円のセキュリティ投資をすることはありえないのです。売上をあなたの年収に読み替えたらよく分かるのではないでしょうか。

じゃあ、100万円いける? いやいや、それでは明日のメシが食えない。じゃあ、20万円? ちょっとやりすぎな気はするけど、いけなくはない。1万円? うーん、それならもっと投資した方が、もしもの時を考えるといいかも。もしくは投資せずに貯金に回しておいて、何かあったときは貯金から拠出する。…とかね。

対策したところで対策していなかったところを攻撃されたら何の意味もない、というのも保険と近しいところです。外部からのサイバー攻撃の対策をしっかりしていたものの、内部不正で大変なことになったとか。今どきどうせ入院させてもらえないから保険の入院部分はなしでいいやとしてたら、しっかり入院することになってしまったとか。


セキュリティでメシを食っていくのであれば、セキュリティ原理主義者にはならないよう、気をつけたいところですね。こうやってWordPress運用している人を指差して「ばーか!」って言っている程度の人はプロではないと思います。何が問題で、どのようにすれば安全に使えるのか、自分事として理解して提案できなくてはダメです。

私は過去、Drupalのせいでサーバをぶっ潰された経験があるので、それに比べればWordPressの安定感や使いやすさには満足しています。ぜひぜひ、自分で運用しながら本質的な問題を理解していけるハッカーが日本に増えていくことを期待しています。

とあるSEの犯行 (1)

サラリーマンの生涯年収がいくらかご存知だろうか。

そう、2億円と言われている。

堅実に働いていれば、結婚して子供が生まれて育て上げて、という一般的な生活を実現できるのがその金額である。この金額、ぜひ覚えておいてほしい。

さて、サイバー犯罪の実態を見てみよう。数億円、いやそれ以上の利益を出したが捕まったというニュースを聞くことがある。先程の話を踏まえつつ、そのことをどう捉えるだろうか。

数億円?! 真面目に働く意味ないじゃん!と思ってしまう馬鹿者だろうか。
あー、それは割に合わないですね、と思ってしまう机上主義者だろうか。
うん、やっぱり堅実にまっとうなシステム屋であるべきだな、と思える数字を操れる職人だろうか。

今回は、山本さん(仮名)の事例を見ていきましょう…。

/*** Start of 00.log ***/

「うーん…」

ディスプレイから目を離し、椅子に深くもたれかかって、腕を組みつつ斜め上の壁をじっと見ている。さーて困った、どうしようかという時に、一人で考え込むと無意識的にしている行動である。目線の先には、かつて起こしたトラブルの再発防止策をまとめたメモが貼ってったあったり、週間のバッチ処理が時間ごとに整理されたスケジュール表なんかがひしめき合っている。それらを見るでもなく、思考にふけっている。

こういう時に限ってトラブル…という程でもない面倒な事象が起こる。来週末までに案件Aを片付けないといけないわけだが、この事象が荒ぶれば進捗が大荒れになる可能性がある。案件Aに注力できれば十分こなせるのだが、茶々が入ると怪しくなる。しかし、この事象はなかなかやってくれる。現状でクリティカルではないが、放置した結果クリティカルになる可能性がある。それも、ちょうど来週ぐらいに。さて、どうしたもんか。

視線をディスプレイに戻すと、そろそろ21時を回ろうかというところだ。深夜残業になるから、よっぽどのことがない限りはタイムリミット1時間。たまたま自分が気付いただけで他の人が気付くような情報でもない。ということで、そっ閉じする。

「さーて、と。」と手をつけるのは案件Aであった。

/*** End of 00.log ***/

(!続きは鋭意執筆中!)

攻撃者の目線で、体験できるものを、そして思い留まるものを

ちょっと企んでることがあってね。

短編小説をいくつか書こうと思ってるんですよ、サイバー関連で。

残念ながら日本は、米中韓に比べて圧倒的にIT後進国です。
現在の国際情勢を考えたら恐ろしいどころじゃないですよ。

IT後進国ってことは、サイバー攻撃防御の後進国であり、やばいんですよ。

金盾(グレートファイアウォール)を実装し、運営し続けている中国の技術力、どうですか。監視社会、独裁の模範ですよ。

日本にはそんな大それた技術はないし、そんな運用しようもんなら、誰が俺らの税金をそんな使い方していいて言った?!って怒られちゃうわけです。

そんな日本人諸君に、背筋が寒くなるような経験をしていただくために、企んでるんです。
というわけで、乞うご期待!!

【セキュリティ】オヤジのきまぐれニュース – 2017/06/29

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


SIer大グループ各社のセキュリティ人材状況

[特報]NTTがセキュリティ人材を3万人育成、2020年までの目標値の3倍達成
「セキュリティを完全に体に染み込ませる」、NECの受注拡大作戦
「セキュリティの分からないSE」はもういらない?富士通の1万人計画
WannaCryに襲われた日立、セキュリティ人材1万人の確保急ぐ

まとめると
・NTT:3万人確保済み
・NEC:1万人確保済み
・富士通:2000人確保済みで、1年後に1万人を目指す
・日立:600人確保済みで、3年後に1万人を目指す

まあ、なんというか、日立はやられるべくしてやられたんだろうな…。もちろん各社の基準は違うだろうけど、動きが遅すぎるでしょう。


「Petya」系ランサムウェア、ファイル1つで感染防止?–米研究者

https://japan.cnet.com/article/35103489/
すげえ。こういう人こそが本来「ハッカー」と呼ばれるべき人なんですよね。


葬儀準備の手間を軽減する遺族向けウェブサービス「tsunagoo」

https://japan.cnet.com/article/35103472/
意外と、こういうのなかったんだね。神経使うだろうけど、良いサービスだと思います。


クアルコム、金属やガラスの下に指紋スキャナを搭載する技術–2018年市場へ

https://japan.cnet.com/article/35103485/
これはすごい! 一方で、どこで指紋を取られているか分かったもんじゃない時代が来てしまったとも言える。指紋認証は認印としては使えるけど、銀行印や実印としてはちょっと…、ぐらいの位置づけになっていきそうだな。


家庭用IoT機器を狙うサイバー脅威、その実態を探る–BBソフトサービスと横国大が共同研究

https://japan.cnet.com/article/35103471/
IoTハニーポットを高対話型で作るとこうなるかw。ハニーポットというかハニールームとかハニーハウスになっちゃうんですね。


AR市場で優位なのは遅れてきたアップルか–競合にない強みとは

https://japan.cnet.com/article/35103096/
Apple製品は音楽・描画・映像に強いから、AR・VRに繋がっていくのもそれほど不思議な事ではないか。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/28

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


大規模サイバー攻撃、米国に波及 メルクなど被害

http://www.nikkei.com/article/DGXLASGM28H12_Y7A620C1MM0000/?dg=1
クラッカーがクラッカー会社を攻撃してるw。言ってる場合か、ってね。
↓こっちの方が詳しいか
新たなランサムウエア攻撃が世界で拡大中、「WannaCry」より危険との声も
http://itpro.nikkeibp.co.jp/atcl/news/17/062801782/?ST=security&itp_list_theme
WannaCryではないが突いている脆弱性は同じとのこと。公開サーバをそうそう再起動できないのは分かるけど、感染した際のダウンタイムは再起動の比ではないですよ。さっさとWindowsアップデートしてください。


世界襲った身代金ウイルスが覆すサイバー防衛の定石

http://www.nikkei.com/article/DGXMZO18111630W7A620C1000000/?n_cid=DSTPCS003
例えが分かりやすい。ラックの社長さんともなるとさすがですね。
そうか、キルスイッチって感染したときの対処が傷を広げる仕組みだったのか。なんか逆向きの仕組みだなあと思っていたけど、そういう狙いだったんですね。


「Petya」拡散、「WannaCrypt」と同じ脆弱性を悪用 – 犯人と連絡取れず、身代金支払いは無駄に

http://www.security-next.com/083190
悲惨だな。こういうパターンもあるので、多少世代が前になっても自力でリカバリーできるようにバックアップ運用を工夫しないと、全てのデータを失うことになってしまいます。頭が痛いですね…。


不正アクセスでクレカ情報流出の可能性 – 防犯カメラ通販サイト

http://www.security-next.com/083163
決済代行会社がこういうのを指摘してくれるもんなんだね。攻撃者のAPIと通信するスクリプトでも仕込まれたのかな。


[特報]「WannaCry亜種に感染」、マクドナルド障害のマルウエア判明

http://itpro.nikkeibp.co.jp/atcl/news/17/062801786/?ST=security&itp_list_theme
感染が広がる前に、ネットワークが詰まったと。良かったのやら悪かったのやら。数台の端末しか接続しない店舗のネットワークなんて大して強くないだろうから、こういうことも想定しておかないといけないんですね。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/26

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


Google、無償版Gmailのメールスキャンを年内に停止へ

http://itpro.nikkeibp.co.jp/atcl/news/17/062601759/?ST=security&itp_list_theme
広告屋さんが広告に関する機能を削るなんて、時代が変わったもんですね。
もっとも、私はPCではThunderbirdでGmailを見ているし、スマホではGmailアプリだし、Gmail画面に広告なんて表示されてたっけ?という感覚です。リスクが上がるばかりで、費用対効果出ねえやってのが本音のような気がしますね。


どんなパソコンが感染したのか、WannaCryを再検証

http://itpro.nikkeibp.co.jp/atcl/column/16/012900025/062300042/?ST=security&itp_list_theme
メール経由での感染ではなかったとのこと、大変興味深いですね。先日の記事で取り上げた通り、WannaCryは未完成の状態だったようですが、もっと完成度の高い仕上がりになっていたら被害はもっと大きくなっていたんでしょうね。


初のセキュリティ国家資格試験、「講習義務付け」で敬遠されたか?

http://itpro.nikkeibp.co.jp/atcl/column/14/346926/062201027/?ST=security&itp_list_theme
「合格したのに登録してくれないと、支援士制度の意味がなくなる」の前に、支援士になる意味が見えてないんですが、それは…。


ランサムウエア身代金に1億3000万円払った韓国IT企業、データは戻ったか

http://itpro.nikkeibp.co.jp/atcl/column/14/549762/062200152/?ST=security&itp_list_theme
値切ってるwww。クラッカーも応じてくれるもんなんだね。13億ウォン≒1.3億円として、損害賠償を考えるとそれほど悪くない判断なのかな。ただ、ランサムウェアの話題としてはかなり強気の価格設定ですね。攻撃側も防御側もグルのような…。
あと、2分で感染するってよく分からないんだけど、どんな仕組みなんだろう。普通に考えれば暗号化したファイルを作って、完成してから元ファイルを削除するはずで、それなりに時間がかかると思うんだが…。
バックアップサーバがやられたのは痛いですね。他人事とは思えないな。今後はバックアップのソリューションも多様化していきそうです。


グーグル検索、個人の医療記録も削除対象に

https://japan.cnet.com/article/35103282/
そもそもなんで医療記録が見える状態になってるんだ…。元サイトの閲覧権限を見直すことが何より大事。


モジラ、ウェブを脱集権化するアイデア募集–賞金200万ドル

https://japan.cnet.com/article/35103296/
人工衛星経由で通信する技術なんじゃないの? 電話が通じていない地域も多いでしょうし。端末の充電は太陽光発電でなんとかするしか。その辺のコストを現実的にできるかどうか次第ですかね。


警察庁が「サイバーポリスエージェンシー」開設、サイバー犯罪・サイバー攻撃情報を発信

http://internet.watch.impress.co.jp/docs/news/1067253.html
んー、外部リンクばっか…。中身がない。にゅーすページに載っけるか悩むけど、一旦載せとこうか。


システム開発が失敗する理由

http://axia.co.jp/2017-06-26
言われてみれば確かに確かにと思いながら読んでました。
うまく巻き込めていない顧客は上司にドヤされながら進んでいってたな…。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/23

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


IPv4をどのように終わらせるか――IPv6普及拡大の前に片づけなければならない課題

http://internet.watch.impress.co.jp/docs/column/ietf2017/1066863.html


Google Cloudはセキュリティの高さにこだわりあり

http://enterprisezine.jp/dbonline/detail/9441


これはひどい!実際にいたとんでもない求人応募者達

http://axia.co.jp/2017-06-23
無限に近い体力w。羨ましいですね、私なんかはモヤシなんで。知能労働なのに脳筋アピールしてどうすんだろうね。
前の会社にいた頃、上司が第4位のような人に当たっていましたね。男性だったそうですが、自意識過剰すぎ。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/22

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


アマゾンの荷物、一般人が運ぶ時代

http://www.nikkei.com/article/DGXLASDZ22H3H_S7A620C1000000/?dg=1&nf=1
一般人が、ですか。考えられないなあ。まあ、本とかゲームソフトとか実質的に数に限りがないものであればそれほどトラブルもないかもしれないけど、数に限りのある商品ではトラブルが起きそうな気配がするな。…もっとも、アマゾンだったら「んなこと知るか」って強行しちゃいそうだけどね。


実は幻想、iPhoneの「日本製部品頼み」

http://www.nikkei.com/article/DGXMZO17370580W7A600C1000000/?dg=1
台湾・中国・香港を分けてるグラフなのはなんでだっけ。中国+香港だと横這い~減少傾向になりそうですよね。なんか意図を感じるんだが。
↓サプライヤーリストはこれか。ここの情報をもとに日経がグラフ作ってるんだね。ふーん…。
https://images.apple.com/jp/supplier-responsibility/pdf/Apple-Supplier-List.pdf


「FF14」にDDoS攻撃 – 断続的なネットワーク障害が発生

http://www.security-next.com/083037
FFを攻撃する理由ってなんだろうか。スクエニへの私怨、競合他社の企て、FFのストーリーが気に入らない、有名ユーザへの嫌がらせ、攻撃できれば誰でも良かった。
手法を変えつつってなると、組織的に攻撃されてそうなんだよね。ここにはさすがに北朝鮮は関わってなさそうです。ロケーションとしてもアメリカのクラッカー集団かな。


Linuxなどに「Stack Clash」脆弱性、権限昇格の恐れ

https://japan.zdnet.com/article/35103039/
この対処はOSのアップデートかな。うちのサーバもやっておかなきゃな。


「剣と魔法のログレス」で開発企業の従業員が逮捕 – RMTに利用者アカウント

http://www.security-next.com/083007
RMTってそういうんじゃなかったような…。いくらで売れたのか知らないけど、割に合わないだろうに。


繰り返される悲劇、「1億円あげます」メールの罠

http://itpro.nikkeibp.co.jp/atcl/column/17/050800181/061900005/?ST=security&itp_list_theme
最近はスパムと無縁の生活なので、こういう文面懐かしいな。いつの時代も、うまい話には裏があるってことです。
たとえ貰えたとしても、税務署にマークされてけっこう大変なことになると思うんだけどね…。


ネット史上初めての「KSKロールオーバー」が始まる、名前解決できなくなる前にDNSサーバーなど設定確認を! 今年9月は特に注意

http://internet.watch.impress.co.jp/docs/special/1066659.html
お祭りなのです?


エンジニアは数字を意識するべきか(客先常駐編)

http://axia.co.jp/2017-06-22
ここまで露骨ではないにしても、請負で客先常駐していた頃はおっしゃる通り、効率化と残業代の矛盾には苛まれていました。
当時の上司からは「160時間が損益分岐点だから、なるべくそれ以上は働いてほしい」とは言われていましたね。あくまで、なるべくね。
数字を意識するほど、会社に有利で自分に不利な状況になっていくし、やりたい仕事はできないし、尊敬する先輩は病んで辞めていくし、尊敬できない先輩が昇進するし。まあ、1社目はそんな感じでした。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/20

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


ランサムウェア「Jaff」が拡散、国内で多数検知

http://www.security-next.com/082599
アジアをターゲットにするとなると攻撃元は中国かねえ。北朝鮮がゼニ稼ぎしてる可能性も高いか。


フリーランスを考えたエンジニアが絶対に知っておくべきこと

http://axia.co.jp/2017-06-20
面倒くさい×3がひしひしとw。ほんとサラリーマンは気楽な稼業ですよ。私はフリーランスにはなりたくないなあ。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/16

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


セキュリティのないIoTは世界の害悪である

http://itpro.nikkeibp.co.jp/atcl/column/17/030900077/061400007/?ST=security&itp_list_theme
ユーザにセキュリティを意識させているうちは、まだまだ。語られている通りフールプルーフが甘いんですよね。
家を借りた時に、玄関やトイレなど必要なドアには鍵が付いているが、リビングのドアには鍵はない。また、同じ鍵でも、玄関とトイレでは目的が違うので鍵の強靭さのレベルが異なっている。窓には鍵はないが、内側からのみ閉めることができる。
それが当たり前であり、過不足を感じない。治安が悪い地域だから…など、必要が生じて初めて強化する。
IoT機器も同じように、誰しもフツーこうだよねと思われるラインがだんだん見えてくるはず。どこに落ち着くかは時間が教えてくれるでしょう。


「明日あなたが狙われる」と予測できてこそAI、シマンテックのAI戦略

http://itpro.nikkeibp.co.jp/atcl/news/17/061501670/?ST=security&itp_list_theme
箱入り娘に育てるか、モラルを持った逞しい子に育てるか…、AIの話ですけどね。そのうちAIを利用する前提のマルウェアなんかも出てくるんでしょうか。なかなかタチ悪そうです。このドラ息子が!ってねw。


マイクロソフトのAIが「ミズパックマン」でフルスコアを達成

https://japan.cnet.com/article/35102833/
AIも報酬与えると喜ぶのかw。


サイバー・セキュリティサービス市場、2021年度には市場規模3,800億円へ――ITRがレポート発刊

https://enterprisezine.jp/article/detail/9415
そんなに順調に伸びるのかなあ…。途中から自社でやろうって流れになって、尻すぼみになる気がするけど。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/15

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


グーグル、世界ブランド価値ランキングで首位–2年連続アップル超え

https://japan.cnet.com/article/35102778/
売上はAppleがズバ抜けているはずなのに、こうなるんだ。なんか不思議。
↓時価総額はこんな感じ
http://www.180.co.jp/world_etf_adr/adr/ranking.htm


ドローン、救急車より16分早く到着–スウェーデン研究チームが実証

https://japan.cnet.com/article/35102769/
ドローンのイメージがあまり良くない方向に行っている気がする中、こういうニュースは良いですね。


セキュリティ専門家が指摘する「使ってはいけない」パスワード

https://japan.cnet.com/article/35102671/
予想外と言うか、日本人では予測できないものがちらほら。国ごとに特徴が異なりそうですね。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/14

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


「Firefox 54」がリリース–「Electrolysis」技術で速度と安定性を強化

https://japan.cnet.com/article/35102704/
Firebugとかあって開発向きなのでFirefoxを使ってるけど、そんなことになってたのか。でも、グラフと文章一致してなくないか? Chromeにユーザ奪われてるのはIE(Edge)じゃん。
しかし、普段使いはどうしてもChromeになってしまいますね。複数ユーザ切り替えられたり、Androidとの連携度が高かったり、もう他では満足できない身体にされてしまってますね。
Vivaldiさんは圏外みたいだけど、元気にしてるかな…。私はもう使わないだろうけど。


アップルの「極秘」自動運転プロジェクト、クックCEOがついに発言

https://japan.cnet.com/article/35102686/
ハード+ソフトで攻めるアップルが、ソフトに注力する判断は興味深いですね。Uberがあんなことになっているタイミングだから、言った気がしないでもないが。


スマートスピーカは安全か–「HomePod」「Echo」「Google Home」を比較

https://japan.cnet.com/article/35102601/
海外(米国かな?)では売れてるんですね。日本では、まだ安全を語る以前の状態ですが…。持ってる人どのぐらいいるんだろう。
GoogleやAmazonは自動でデータを削除しないようですが、相変わらずストレージどうなってんだ。
Appleは思い切った仕組みにしましたね。会社としてはユーザの趣味・嗜好を読み取って、別のビジネスに活かそうとスケベ心が出てきそうなもんですが、そこは広告屋さんやブローカー屋さんとの違いか。


Microsoft、6月の月例パッチをWindows Vista/XPなどサポート終了済みの環境へも提供

http://internet.watch.impress.co.jp/docs/news/1065158.html
あれ、永遠の不遇者Vistaちゃんまでパッチ出るの? 相当やばいんだねぇ。皆さん、さっさとWindowsアップデートやってくださいね。


PowerPointファイル上のURLにマウスオーバーするとマルウェアに感染、新たな攻撃の予行演習か

http://internet.watch.impress.co.jp/docs/news/1065007.html
保護ビューってこういう時に仕事するのか。オオカミ少年過ぎて知らんがな状態だけど…。
仕組みは一種のインジェクション攻撃っぽいですね。ハイパーリンク設定にPowerShellのコードを書くようなイメージか。


「サイバー保険」付きネットワークセキュリティサービスを提供開始

http://cweb.canon.jp/newsrelease/2017-06/pr-home-insurance.html
キャノンが保険をやるのか。5年間で77万円かかり、1年あたり100万円まで補償、でいいのかな? 防御も提供することで保険の支払い機会を少なくさせるという意味では、なかなか頭の良いソリューションなのかも。サイバー保険が登場してから暫く経つけど、どのぐらい需要があるんだろうね。
↓これか
[FT]サイバー保険の見直し迫られる データ不足で
http://www.nikkei.com/article/DGXMZO13259170T20C17A2000000/
世界レベルでは増加傾向だが、課題ありとのこと。日本で流行るのはもうちょっと先になりそうですね。


エンジニアと呼ばれる人達の仕事の実態

http://axia.co.jp/2017-06-14
私なんかはマネージャにさせられそうになっては逃げてきている技術志向の人間なので、他人事に思えないですね。冒頭の大学生の気持ちは大事にしたいです。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/12

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


ダウンロードフォルダーが危ない、「DLL読み込みの脆弱性」でウイルス感染

http://itpro.nikkeibp.co.jp/atcl/column/14/346926/060701007/?ST=security&itp_list_theme
ちょいちょい目にするなあとは思っていましたが、列挙するとこんなにあるんですね。仕組みも具体的に紹介してあって良い記事です。


中国のAI、難関の大学入試に挑む–150点中105点を獲得

https://japan.cnet.com/article/35102589/
中国の難関大学と東大ってどっちがレベル高いのか分からないけど、なんだかリアルな点数出しますね。仮にも計算機とか電脳って呼ばれてるんだから、数学はもうちょっと頑張ってほしいところですw。


ノートPCの画面をタッチパネル化する「AirBar」–手袋でも操作可能

https://japan.cnet.com/article/35102463/
えっ? こんなのあるの! 買っちゃおうかな。ノートパソコンで終わらず、27インチモニタ対応あたりまで頑張ってほしいですね。


イラストのエロ基準を判断するのがTwitterでいいのか? “場”の細分化による超巨大SNSからのパラダイムシフト

http://internet.watch.impress.co.jp/docs/event/1064605.html
mstdn.jpやPawooは登録してみましたが、えらい中途半端だなあという印象。記事の通り、小規模に運営するなら分かるけど(LINEやSkypeでいいじゃんという思いは拭えませんが…)。Pawooの背景はなるほど、といった感じですが、だとすると日本人が利用するメリットはなさそうですね。本家でいいじゃん、となってしまいます。
マストドン立ててみようかとは思うけど、誰も来ないだろうし…、魅力的なテーマがないと如何ともしがたいな。悩む。


[速報] Interop Tokyo 2017 Best of Show Award 2017 セキュリティカテゴリ受賞プロダクト一覧と受賞理由

https://scan.netsecurity.ne.jp/article/2017/06/07/39821.html
今後流行りそうな機器の皆さんです。


退役軍人をセキュリティ人材に、米企業が採用を拡大(上)

http://itpro.nikkeibp.co.jp/atcl/idg/17/060700043/060700001/
米国でもサイバー方面は人手不足。たしかに軍人であれば堅いですね。じゃあ、日本では自衛隊経験者優遇とかやれば良いのか。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/09

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


ユーザーはセキュリティを気にしない! それでも安全なIoTデバイスを

http://itpro.nikkeibp.co.jp/atcl/column/17/052900219/060200006/?ST=security&itp_list_theme
そうですよね、ユーザなんてトリセツすら読まないんだから。セキュリティをフールプルーフ(ミスってもひどいことにならない)で用意しておくのは今後当たり前になりそうですね。


米大統領選、露によるサイバー攻撃は「最低でも数百件」–コミー前FBI長官

https://japan.cnet.com/article/35102487/
1件あたりが何を指しているのか分からないんですが…。ロシアからのサイバー攻撃なんて常にあるだろうに。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/08

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


10代サイバー犯 ホワイトハッカー育てよ

http://www.sankei.com/column/news/170608/clm1706080001-n1.html
一般の紙面でも取り上げられてますね。少佐のようなウィザード級ハッカーが登場しないかとワクワクしますね。


邪魔者扱いはもう卒業、SELinuxで守るIoTセキュリティ

http://itpro.nikkeibp.co.jp/atcl/column/17/041900153/052500001/?ST=security&itp_list_theme
ホントね、SELinux使ってないとかダメですよね。…はい、すいません。このサーバも無効化してます。そろそろ使いこなせるようにならないとな。単純に有効化したら、どこが動かなくなるかぐらいは洗い出しておこうかね。
まあしかし、ググってみても相変わらず無効化する話題ばっかりですね。


“正義のウイルス”出現!?脆弱なIoT機器を使用不能に

http://itpro.nikkeibp.co.jp/atcl/column/17/050800181/060500003/?ST=security&itp_list_theme
ウイルス同士の攻防か、なかなかアツいですね。まあ、とばっちりは所有者にいくんですけどね…。


国内ネットバンキングを狙う「URSNIF」が新たに「Bootkit」を利用

http://blog.trendmicro.co.jp/archives/15144
既存のウイルススキャンの弱点は、メモリ上のデータまではチェックしていないこと。ディスクに比べれば小さいんだし、やればいいだけじゃんと思ってしまいますが…。どこにネックがあるのか。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/07

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


恐れすぎるのは愚かだ、サイバー攻撃はアニメの「防壁迷路」で対処

http://itpro.nikkeibp.co.jp/atcl/watcher/14/334361/060400850/?ST=security&itp_list_theme
ワクワクが止まりませんなあw。あっという間に陳腐化してしまう可能性もあるけど、STARDUSTには頑張ってもらいたい。


ITセキュリティが使えないIoTの世界、技術の違いを理解する

http://itpro.nikkeibp.co.jp/atcl/column/17/052900219/052900003/?ST=security&itp_list_theme
ユビキタス、M2M、IoTと呼び名を変えながら、それほど目立った進捗がない理由が垣間見えます。
何でもかんでもネットに繋ぐことが大事なのではなく、それぞれネットに繋ぐことでこんな効果を期待でき、リスクもこの程度なら許容できると言えるところまで評価しないと、セキュリティ以前の問題で頓挫してしまうんですね。
方式やプロトコルが違うことがネックなのであれば、CORBAやAPIのような仕組みが今後登場して、全体的に実装が進んで、やっとセキュリティも考えられるようになって、と。うーん…、準備だけで10年かかりそうだな。


「注文のキャンセル」を促すAppleのフィッシングメール出回る

http://internet.watch.impress.co.jp/docs/news/1063937.html
なんで注文をキャンセルするのに住所やクレジットカード情報を入力するんだよ…。
ID・パスワードの方は本当に危険ですね。1つのIDでなんでもできると、いざ流出した時になんでもバレちゃう。
偽サイトはhttpsが半分より多いぐらいか。httpsだから信用できる時代はすで過去のものなんですねえ。トップレベルドメインにしても、安物ばかりでなくcomとかinfoも入ってるね。Let’s Encryptを使うにしても、それなりには投資してるんだな。


[セキュリティ ホットトピック] ランサムウェア「WannaCry」被害概況

https://scan.netsecurity.ne.jp/article/2017/06/06/39813.html
日立がやられたのは噂に聞いてたけど、メールがやられてたのか。関係された方は大変お疲れ様です。
しかし、XPはパッチ出たのに、Vistaは出ない相変わらずの不遇さ…。ごちそうさまです。


未成年者がランサムウェアを作る時代、日本初の逮捕事例を読み解く

http://blog.trendmicro.co.jp/archives/15133
まあ、仕組みはそれほど難しくないから、できてもおかしくないか。見た感じからしてスクリプトキディじゃなく、自作っぽいですね。私なんかはむしろ、こういう若い人には好印象を覚えてしまうけど…。
バッチファイルを作成しただけでウイルスとして撒いたわけではなさそうですね。学校で遊び半分で実行したらエライことになった(汗)、みたいな感じでしょうか。反抗期・思春期な頃合い、大目に見てあげてよ。

あと、大阪の子に対して神奈川県警が動いたのはなんでじゃ?
↓こういうことみたい
全国警察、サイバー捜査の腕競う=警察庁初開催、優勝は神奈川
http://www.jiji.com/jc/article?k=2017020801115&g=soc
最近は京都じゃないんですね。2位:茨城県警、3位:宮城県警というのも意外だな。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/05

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


話題のSNS マストドンは「400万年生きたゾウ」

http://www.nikkei.com/article/DGXLASDZ05H5H_V00C17A6000000/?dg=1
マストドンが日経で紹介されていますね。お宅の会社ではやらないんですか?的なアピールですかね。


本格普及間近のIoT、今できるセキュリティ対策は?

http://itpro.nikkeibp.co.jp/atcl/column/17/052900219/052900001/?ST=security&itp_list_theme
通信コストの多様化はぜひ進んでほしいですね。しかし、結論イマイチだな。徹底的に守れと言いつつ、統合管理するなって…。打つ手なしって言ってるようなもんじゃん。


「保証期間内で軽度のデータ復旧なら無償対応」、バッファローが価格破壊の深層語る

http://itpro.nikkeibp.co.jp/atcl/news/17/060201574/?ST=security&itp_list_theme
ありがたい一方で、HDDってどうしても情報流出が気になるから、どれだけの人が利用するのか読めないな…。
私は自分で復旧を試みるか、諦められるようにバックアップをしっかり取っておくかを選択します。


ドローンによる配達で使うパラシュート入り宛名ラベル–アマゾンが特許を取得

https://japan.cnet.com/article/35102244/
と見せかけて爆弾を投下するテロは起こらないんだろうか。

【セキュリティ】オヤジのきまぐれニュース – 2017/06/02

本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。


「Tera Term」のインストーラに脆弱性 – 修正版がリリース

http://www.security-next.com/082338
まさに先日紹介したワイルドカード読み込みの脆弱性ですね。SEにはおなじみのTeratermでやらかしてるぐらいだから、常に疑ってかからないといけませんね。


「sudo」に深刻な脆弱性 – ルート権限を取得されるおそれ

http://www.security-next.com/082335
雑な設定でsudo使ってるから正直ピンとこなかったけど、sudoでできることを制限した状態なのに乗っ取られちゃうよ、っていう脆弱性なんですね。sudoの設定も見直さないといけないな。


ジュピターテクノロジー、ランサムウエア攻撃を無害化するソフト「Ranstop」を発売

http://itpro.nikkeibp.co.jp/atcl/news/17/060101567/?ST=security&itp_list_theme
半月タダで使えますって言われてもな…。既存のウイルススキャンソフトと併用したら、相当リソース持って行かれそうだけど、どんなもんなんでしょうね。まだまだ、この手のものは海の物とも山の物とも、です。


Shadow Brokersから「エクスプロイトを買い取る」キャンペーンが中止に

https://japan.cnet.com/article/35102151/
発想は興味深いんですけどね…。ちょいと脇が甘かったみたいです。


「Googleスプレッドシート」、AIでグラフ作成が簡単に–自然言語を理解

https://japan.cnet.com/article/35102157/
Googleスプレッドシートは複雑なグラフを作れないのがなぁ~。Open Officeでできることは実現してほしい。


イーロン・マスク氏、トランプ大統領の諮問委員やめる–パリ協定離脱に反発

https://japan.cnet.com/article/35102155/
離脱に反対する意味が分からん。そもそも米国は京都議定書に調印してなかったし、その後のパリ協定なんて強制力のない、あって無きものだったわけで。就任当初から囁かれている、IT業界とトランプ大統領の確執なんじゃないの?


NICT、サイバー攻撃を模擬環境に誘引して長期観測を可能にする「STARDUST」を開発

http://internet.watch.impress.co.jp/docs/news/1063212.html
10年前に流行ってたハニーネットの後継ですかね。良い情報が取れそうです。