ファイル形式にまつわるセキュリティ・ホールを追い求める
このところ出回っているコードのなかに，実行ファイル以外のファイル形式に存在するセキュリティ・ホールを狙うものが複数あった。例えば，Excelファイルのバグ（関連記事：Microsoftの3月定例アップデート，すべてOffice関係の「緊急」4件）を悪用する「Trojan.Mdropper.AA」系トロイの木馬や，Accessファイルに影響し，いまだ修正パッチが公開されていないMicrosoft Jet Database Engineのセキュリティ・ホール（関連記事：「Wordファイルを開くと被害の恐れ」――MS製品に新たな脆弱性）を突くものが該当する。実行ファイルと異なる一般的なファイル形式のセキュリティ・ホールを新たに見つけることは，セキュリティ研究の分野で価値の高い活動であり，特に攻撃コードの作者を検討する際に有効だ。 Windowsの「エクスプローラ」で見つかったバグを対象とするコン
SEO対策を逆手に，ボットがターゲットを自動検出
Web 2.0という言葉とともに一層注目度が高まったWebアプリケーションへの攻撃。実は，これらの攻撃のかなりの部分がボットによることが，最近分かってきた。 先日，筆者はあるボットを確認した。このボットの動きを数日間観察してみたところ，ボットはインターネットの複数の検索サイトを使って，ぜい弱性があると考えられるサーバーを検出し，自動的に攻撃を仕掛けていた。検索サイトを偵察ツールとして使っているのである（表1）。近年多くの企業が取り組むようになった検索エンジン最適化（SEO）によるマーケティング手法を逆手にとった攻撃の手口と言える。 米フォーティファイ・ソフトウエアの報告書によると，Webアプリケーションへの攻撃のうち，ボットによるものが50％，Googleハッキングが20％を占める。Googleハッキングとは，本来公開されるべきでない機密情報や社内システムのさまざまな情報を，検索サービスを
情報漏えい事故の防止には，ユーザーの“ルール破り”やミスに注目せよ
情報漏えい問題が特にクローズアップされるようになって3年ほどが経過している。この間，個人情報保護法の施行もあり，企業のセキュリティ・マネジメント体制は大幅に強化されてきた。しかし，実際には情報の盗難・紛失事故の発生件数は減っていない減。その原因としては，「ユーザーが禁止されている行為をしてしまう」「ユーザーがミスを犯してしまう」---の2点が挙げられるだろう。今回の記事では，「なぜこうしたことが起きるのか」「どのような対策を施せばよいのか」について，セキュリティ・マネジメントの観点から考えてみたい。 禁止事項やリスクを知らない 情報漏えい事件というと，「ユーザーの悪意によるケース」を思い浮かべる方は少なくないだろう。実際，悪意による事件は発生している。しかしながら，事件事故の現実として，悪意による件数は比較的少ないことから，今回の記事では，ユーザーの悪意に起因する事件事故は検討対象から外し
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
