「秘密の質問はきっちり管理！」と公言したところ……
セキュリティに大変詳しい知人から質問を受けました。この質問に「やってます！」と答えましたが、それが罠であるとは全く気付かずに……。 先日、「秘密の質問」をこの連載で取りあげました。秘密の質問はパスワードと同じ、口外もできないし、使い回しもできないとてもやっかいなものだというのは多くの方に共感いただき、ホッと胸をなで下ろしたところです。 この記事の反響を見て、あまり怒られていないことを確認した後にSNSに投稿をしたところ、セキュリティに大変詳しい知人から質問を受けました。「iTunesのアカウントの秘密の質問も1Password（注：記事で取りあげたパスワード管理ツールの名称）で管理してます？」。私はこの質問に「やってます！」と答えました。まさかそれが、罠であるとは全く気付かずに……。 「ソーシャルエンジニアリング」は用心していても気が付かない 先日の記事でも、「ソーシャルエンジニアリング」
パスワード一元管理のLastPassにハッキング、情報流出も
一方、LastPassの保管庫に保存された他のサイトのパスワードを変更する必要はないとしている。ただ、安易なパスワードを使っている場合や、マスターパスワードと同じパスワードを他のWebサイトでも使い回している場合は直ちに変更するよう呼び掛けている。 関連記事 Googleの二段階認証を3400円のUSBキーで試す Amazon.co.jpでFIDO 1.0仕様のUSBキーを購入しました。ようやく二段階認証が一般的になるのではないかと期待しています。 米連邦政府、400万人分の個人情報流出の可能性を発表 中国ハッカーの犯行との報道も 米連邦人事管理局が、同局のシステムに何者かが不正侵入し、約400万人の職員および元職員の個人情報が流出した可能性があると発表した。複数の米メディアが、当局がこれを中国ハッカーの犯行とみていると報じた。 年金情報125万件流出 年金機構に不正アクセス ウイルス入り
年金情報流出から得られる教訓は――ラックが文書公開 「標的型攻撃の対策は、従来のウイルス対策と全く逆」
年金情報流出から得られる教訓は――ラックが文書公開 「標的型攻撃の対策は、従来のウイルス対策と全く逆」（1/2 ページ） 「標的型サイバー攻撃は、従来のウイルス対策とは全く逆のアプローチをとるべき」――セキュリティベンダーのラックは6月10日、日本年金機構からの個人情報流出事件から学べる教訓についてまとめた文書（PDF）を公開した。同社は事件の技術調査には関与しておらず、同社が知り得た範囲の情報を基に「他山の石として学ぶべきことを提言する」としている システムの使いにくさをカバーする「運用の工夫」が穴に 今回の事件は、年金機構の職員のPCが標的型メール攻撃を受けてウイルスに感染し、ファイルサーバなどに保存していた125万件の年金に関する個人情報が盗み出されたとされている。 年金機構は、メールやネット閲覧など外部との通信が可能な「情報系システム」と、個人情報が保存されていた「基幹システム」は
標的型攻撃への対応がやばい――セキュリティ担当者の悩みはどこに？
Intel Securityグループの調査で、企業が1年に平均78件のセキュリティインシデントに直面していることが分かった。素早い対応が望まれるものの、現場担当者は多くの課題を指摘する。 サイバー攻撃などのセキュリティインシデントについて、企業のセキュリティ担当者が対応に苦慮している実態が浮き彫りになった。多くの担当者がセキュリティ対策の“断片化”に問題があると指摘する。 これは米Intel Securityグループが、Enterprise Strategy Groupに委託した調査で判明したもの。Enterprise Strategy Groupは企業のITおよびセキュリティの責任者700人にアンケートを行った。 それよると、2014年に経験したセキュリティインシデントの発生件数は平均78件で、社員5000人以上の大企業では150件に上る。インシデント全体に標的型サイバー攻撃が占めた割合
極めて高度なスパイ型マルウェア「Regin」出現、国家が関与か？
米Symantecは11月23日、極めて高度な機能を搭載したスパイツールの「Regin」が、政府や個人などに対するスパイ活動に使われているのを発見したと伝えた。 同社によると、Reginはバックドア機能を備えたトロイの木馬で、標的に応じて幅広くカスタマイズできる機能をもつ。「これほどのマルウェアを開発するには相当な時間やリソースを要するはずだ」と同社は分析し、「高度な機能やリソースのレベルから判断すると、国家によって使われている主要サイバースパイツールの1つであることがうかがわる」との見方を示す。 攻撃は5段階で仕掛けられ、各段階に検出を免れるための高度なステルス機能や暗号化機能が実装されている。モジュール式のアプローチはマルウェア「Flamer」が使っていた手口で、多段階攻撃の手法は国家の関与が指摘された「Duqu」や「Stuxnet」に似ているという。 Reginは少なくとも2008年
ベネッセ事例の改め。「人」に着目したセキュリティ議論は問題を解決できない - プロマネブログ
いい具合に容疑者逮捕、報道も一巡し、自分の個人情報も流出したことが確定したことですので、改めて情報をまとめてみますか。 セキュリティ運用のおさらい まず、セキュリティ運用について。 外部からの攻撃に対して、主に内部者からの攻撃に対抗するためにはセキュリティ運用を行う必要があります。 セキュアなシステム運用を行う上で、いくつかの対応がありますが、オッサンが内部メンバーに対して説明するときには「隔離」「監視」「権限」みたいな概念で説明してます。 隔離は、物理的、論理的に重要なデータを普段使用する場面から隔離してセキュリティを高めること。静脈認証システムの導入、本番との切り離し、GWサーバの導入など、ですね。 監視は、 アクセス監視などを行うことにより、攻撃を速やかに発覚させることでセキュリティを高めることです。侵入検知システムの導入、ログ監視運用の実施、監視カメラの導入など、ですね。 権限は、
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
