【注意喚起】 Internet Explorer のサポートポリシーが変更、バージョンアップが急務に：IPA 独立行政法人 情報処理推進機構
2016 年 1 月 12 日（米国時間）を過ぎると Microsoft 社が提供するウェブブラウザ「Internet Explorer」（以後、IE）のサポート対象が“各 Windows OS で利用可能な最新版のみ”にポリシーが変更されます(*1)。サポート対象外となる IE は、セキュリティ更新プログラムが提供されなくなるため、新たな脆弱性が発見されても解消することができません。脆弱性が見つかり攻撃者がそれを悪用すると、ウイルス感染により「ブラウザを正常に利用できなくなる」ほか「情報が漏えいする」などの被害に遭うおそれがあり（図1）、早急なバージョンアップが求められます(*2)。 図1：IE のバージョンごとの影響（イメージ） 1. IE の脆弱性 IPA が運営する脆弱性対策情報データベース JVN iPedia(*3)に登録されている IE 7 から IE 10 までの脆弱性対策
セキュリティ関連 RFC：IPA 独立行政法人 情報処理推進機構
IPA/ISEC（独立行政法人 情報処理推進機構 セキュリティセンター）は、インターネットセキュリティに関する重要な RFC（Request for Comments）を日本語に翻訳して提供しています。 RFC は、IETF (Internet Engineering Task Force) におけるインターネットコミュニティの標準等の検討が公表される一連の文書であり、1969年に発行され始めました。それらの内容としては、インターネット標準の仕様のみならず、現時点における最善の実践（BCP）、FYI（For Your Information）を含む情報提供、実験的なもの、および、歴史的なものがあり、広範にわたります。原文は、英語で記述されています。 この目的は、 「ベンダーによるインターネットセキュリティ機能の実装を促進すること」および「ユーザのインターネットセキュリティについての認識を向
更新：bash の脆弱性対策について(CVE-2014-6271 等)：IPA 独立行政法人 情報処理推進機構
GNU Project が提供する bash は、Linux など UNIX 系の OS に含まれるコマンドを実行するためのシェル（OS の一部としてプログラムの起動や制御などを行うプログラム）です。 bash に任意の OS コマンドを実行される脆弱性 (CVE-2014-6271) が発見され、2014 年 9 月 24 日に修正パッチが公開されました。 ただし、CVE-2014-6271への修正が不十分であるという情報があります。その修正が不十分であることによる脆弱性 (CVE-2014-7169) に対応したアップデートまたはパッチも各ベンダから順次公開されています。 bash を使用して OS コマンドを実行するアプリケーションを介して、遠隔から任意の OS コマンドを実行される可能性があります。 図：脆弱性を悪用した攻撃のイメージ 警察庁によると本脆弱性を標的としたアクセスが観
更新：Apache Struts2 の脆弱性対策について(CVE-2014-0094)(CVE-2014-0112)(CVE-2014-0113)：IPA 独立行政法人 情報処理推進機構
HOME情報セキュリティ更新：Apache Struts2 の脆弱性対策について(CVE-2014-0094)(CVE-2014-0112)(CVE-2014-0113) Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを作成するためのソフトウェアフレームワークです。 Apache Struts 2 には、ClassLoader を操作される脆弱性(CVE-2014-0094 および CVE-2014-0112、CVE-2014-0113)が存在します。 本脆弱性が悪用された場合は、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にされてしまいます。さらに、攻撃者が操作したファイルに Java コードが含まれている場合、任意のコードが実行され
大企業・中堅企業の情報システムのセキュリティ対策～脅威と対策～
近年では、多くの企業が常時接続とブロードバンド化により、電子メールやインターネットを業務に利用しており、回線コストの低下や技術の進歩により複数の拠点間をWAN経由でネットワーク接続することや、社外からのリモートアクセス、また社内における無線LANの利用も珍しいことではなくなった。企業を取り巻くネットワーク環境の変化は目まぐるしく、存在する脅威も日々刻々と変化し生み出されている。 特に、数百～数千の社員を擁する大企業および中堅企業においては、増大する情報漏えい事故や不正アクセスによる被害などからネットワークを守るためのセキュリティ対策が不可欠である。また、個人情報保護法が施行されるなど、情報セキュリティに対する社会的要求もますます増大している。 このようなことから、大企業および中堅企業におけるネットワークのセキュリティ対策を実現するにあたり、システム管理者さらには全社の情報セキュリティ対策を
IPA／パスワードの解析に掛かる時間_2008年
第08-23-133号 2008年10月 2日 独立行政法人 情報処理推進機構 セキュリティセンター(IPA/ISEC) 独立行政法人 情報処理推進機構（略称 IPA、理事長：西垣 浩司）は、2008年9月および第3四半期のコンピュータウイルス・不正アクセスの届出状況をまとめました。 (届出状況の詳細PDF資料はこちら) 9月に IPA に寄せられた相談・届出の中に、「登録しているオークションサイトに、身に覚えのない商品が自分の ID で出品されている」といった、アカウント*1を不正に利用されたという被害が複数ありました。 相談の中には、パスワードに数字だけの組み合わせや、簡単な英単語を設定していたために、容易にパスワードが見破られて、アカウントを不正に利用されたと推測されるケースがありました。 オークションサイト等のサービスでは、アカウントを不正に利用されると金銭的な被害が発生する危険が
映像コンテンツ一覧 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
映像で知る情報セキュリティ 情報セキュリティ上の様々な脅威と対策をドラマなどを通じて学べる映像シリーズです。 社内研修などでご活用下さい。 IPA Channel動画の二次利用について YouTubeの「IPA Channel」に公開している本シリーズの動画は、そのままブラウザ上で再生して社内研修用コンテンツなどにお使いいただけます。ご利用にあたっての事前申請は不要です。 YouTube動画のダウンロード、コンテンツの二次利用等につきましては、YouTubeの利用規約を遵守していただきますようお願いします。 主な情報セキュリティ対策動画は動画ファイルでの提供も行っております。 動画ファイルのお申込み
第1回 モバイルからの情報漏えいリスク、最後の砦は暗号化
ネットワークの高速化やクラウドコンピューティングの進展と、小型・軽量化したノートパソコン、スマートフォン、タブレット端末などモバイルデバイスの普及によって、移動中や取引先など場所を選ばずに仕事ができるようになり、業務効率の向上が期待されている。一方で、端末や外部記憶媒体を手軽に持ち歩けること自体が紛失や盗難のリスク、ひいては情報漏えいのリスクを生む関係にある。 実際の情報漏えい事件としては、被害規模が大きい「不正アクセス」や「内部犯行」、「不正持ち出し」による事件が大きく報道される。しかし、NPO日本ネットワークセキュリティ協会（JNSA）の「JNSA 2011年情報セキュリティインシデントに関する調査報告書」によれば、発生件数別では「紛失・置忘れ」「盗難」が約2割を占めており、現実の場面では日常業務遂行のなかに潜む意図せざる情報漏えいを防ぐことのほうがむしろ重要であるとさえ言える（図1）
情報処理推進機構：情報セキュリティ：脆弱性対策情報データベースJVN iPediaの登録状況[2013年第1四半期（1月～3月）]
IPAでは、システム管理者が脆弱性対策に活用できるように、JVN iPediaに登録されている脆弱性対策情報の拡充を図っています。現在、2007年以降にNVDに登録された脆弱性対策情報の全件が日本語に翻訳されて、JVN iPediaに登録されています。システム管理者は、幅広いソフトウェア製品に関する脆弱性対策情報を日本語で取得し、脆弱性対策に役立てることが可能です。 1.2 脆弱性の種類別件数 図1-2のグラフは、JVN iPediaへ2013年第1四半期に登録した脆弱性対策情報を、CWEのタイプ別に分類した件数を示したものです。 件数が多い脆弱性は、CWE-119（バッファエラー）が158件、CWE-264（認可・権限・アクセス制御の問題）が128件、CWE-79（クロスサイト・スクリプティング）が114件、CWE-20（不適切な入力確認）が98件、CWE-399（リソース管理の問題）が
【前編】標的型攻撃メールの傾向
標的型攻撃メールは、特定の企業や組織、個人に対して、だましのテクニックを使い添付ファイルを開かせたり、Webアクセスを誘ったりすることでマルウエアに感染させる攻撃の一つである。メールの文面は、普段からやり取りしている見慣れたもので、更に詳しい内容を知るために、添付ファイルの開封を促すように書かれている。事実に即した内容を引用するなど文面が巧妙なため、メール本文の内容に意識が向き、差出人や添付ファイルの種類などを十分に注意せず、疑うことなく添付ファイルやWebのリンクを開いてしまうと考えられる。 情報処理推進機構（IPA）では2008年9月から標的型攻撃メールの相談窓口として「不審メール110番」（2010年10月から「情報セキュリティ安心相談窓口」に統合）を設置し、2011年10月には標的型サイバー攻撃を受けた際に、専門的知見を有する相談員が対応する「標的型サイバー攻撃の特別相談窓口」を設
標的型攻撃メールを分析する
ある限られた組織に対してサイバー攻撃を仕掛ける標的型攻撃。この攻撃を実行する手口として主に使われるのが標的型攻撃メールだ。組織内のメンバーや取引先、知人などを装ってウイルスやウイルスが仕込まれたWebサイトのURLなどを送り付けてくる。 本連載では、情報処理推進機構（IPA）が情報提供を受けた標的型攻撃メールの事例から、セキュリティーセンター 研究員の青木 眞夫氏に最近の傾向について解説してもらう。標的型攻撃に使われるウイルスはウイルス対策ソフトで検知できない可能性がある。標的型攻撃メールの特徴を知ることで、怪しいメールを気づけるようになるはずだ。 【後編】標的メールの最新手口 前回は、2012年10月30日に公開したIPA テクニカルウォッチの内容を基に、標的型攻撃メールの傾向を示した。今回は、最近情報処理推進機構（IPA）に情報提供のあった標的型攻撃メールに見られる、さらに巧妙になった
【後編】標的メールの最新手口
前回は、2012年10月30日に公開したIPA テクニカルウォッチ（ダウンロード先）の内容を基に、標的型攻撃メールの傾向を示した。今回は、最近情報処理推進機構（IPA）に情報提供のあった標的型攻撃メールに見られる、さらに巧妙になった手口を解説する。同様の手口に遭遇した場合の対策につながれば幸いだ。 【新手口1】添付ファイルを送る前にメール受信者と関係を持つ Webサイトに問合せ用の連絡先としてメール・アドレスを公開し、フリー・フォーマットで質問を受付けたり、添付ファイル付きのメールを受信できたりするように設定している企業は珍しくないだろう。また、外部からの問い合わせメールは、社内においてメーリング・リストとなっていて、受付業務に係わる複数のスタッフに同じメールが届くように設定してあるケースもよく見かける。2012年後半に情報提供があった複数のケースにおいて、こうした設定を狙った次のような特
導入事例からIT製品・サービスを探す｜キーマンズネット
基幹系システム ERP 会計システム 電子帳票システム ワークフロー 勤怠管理システム もっと見る 情報共有システム・コミュニケーションツール グループウェア Web会議 テレビ会議/ビデオ会議 ファイル共有 文書管理 もっと見る 情報システム SFA CRM コールセンター/CTI BPM PLM もっと見る メール 電子メール メールセキュリティ メールアーカイブ その他メール関連 もっと見る エンドポイントセキュリティ アンチウイルス 暗号化 認証 ID管理 メールセキュリティ もっと見る ネットワークセキュリティ ファイアウォール WAF IPS UTM セキュリティ診断 もっと見る 運用管理 統合運用管理 IT資産管理 サーバー管理 ネットワーク管理 統合ログ管理 もっと見る バックアップ バックアップツール バックアップサービス テープバックアップ その他バックアップ関連 もっ
プレス発表 「情報システム基盤の復旧に関する対策の調査」報告書等の公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）技術本部 ソフトウェア・エンジニアリング・センター（以下、SEC）は、東日本大震災による情報システムの被災状況や、その後の対策の実施状況について、「情報システム基盤の復旧に関する対策の調査」の報告書としてまとめ、公開しました。また、調査結果を整理し、高回復力(*1)システム基盤(*2)の具体的な導入事例や導入の際のポイントなどを解説した「高回復力システム基盤導入ガイド（以下、「導入ガイド」）」の「事例編」を併せて公表します。 URL：http://www.ipa.go.jp/sec/reports/20120725.html IPA/SECでは、2011年3月の東日本大震災を受け、ITサービス継続計画（以下、IT-BCP）において、情報システムの高回復力を確保することの重要性を再認識し、企業におけるIT-BCP策定の取り組み状況や個
オープンな標準に取り組む自治体が半数超、全都道府県がOSS採用、IPA調査
図1●自治体のオープンな標準に基づく調達の状況（IPA「第5 回地方自治体における情報システム基盤の現状と方向性の調査報告書」より） 独立行政法人 情報処理推進機構（IPA）は2012年9月7日、「第5 回地方自治体における情報システム基盤の現状と方向性の調査報告書」を公開した。同調査によれば、オープンな標準の採用に取り組む自治体が半数以上に達した。それらの地方自治体では、調達の公平化という効果が得られたと認識しているという。オープンソースソフトウエア（OSS）の導入は都道府県では100％に達した。 調査は、IPAが継続して実施しているもので、今回が5回目となる。826自治体にアンケートを配布し、395自治体から回答を得た。調査に当たったIPA 国際標準推進センター非常勤研究員/マーケット分析WG 主査/災害対応プロジェクトチーム 岡田良太郎氏は、同日開催されたオープンソースと政府・自治体
コンピュータウイルス・不正アクセスの届出状況[6月分および上半期]について：IPA 独立行政法人 情報処理推進機構
第12-15-251号 掲載日：2012年 7月 4日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター IPA (独立行政法人情報処理推進機構、理事長：藤江 一正)は、2012年6月および2012年上半期のコンピュータウイルス・不正アクセスの届出状況をまとめました。 (届出状況の詳細PDF資料はこちら) 最近、“海外のウェブサービスのパスワードが大量に流通している”との報道がありました。一方、国内の企業においても、インターネット利用者の多くが複数サイトで同じIDとパスワードを使いまわしている状況に目を付けて、不正に取得したIDとパスワードのリストを悪用して不正アクセスを試みる、「パスワードリスト攻撃」が確認されています※1。 今年3月に不正アクセス禁止法が改正され、5月に改正法が施行されたことにより、パスワードを不正に取得・保管・提供する行為や、騙してパスワードを窃取しようと
情報処理技術者試験の出題範囲を大幅に見直し、IPAが発表
独立行政法人の情報処理推進機構（IPA）は2012年5月22日、同機構が実施する情報処理技術者試験の出題範囲やシラバスの変更を発表した。出題範囲には、「クラウドコンピューティング」や「仮想化」、「標的型攻撃」といった項目が新たに加わり、リモートアクセスで使う「コールバック」や開発支援ツールの「CASE」などが削られた。例えば、IT関連の知識を広く問う午前の部の出題範囲では、従来の約680項目のうち約30項目が削られ、新たに約150項目が加わって約800項目になった。 大幅に見直されたのは、セキュリティ関連の用語。例えばこれまで「ウイルス」とされてきた用語は「マルウエア」に変わり、マルウエアの一つとして「コンピュータウイルス」や「ボット」「スパイウエア」といった用語が使われるようになっている。 なお、今回加わったクラウドコンピューティングや仮想化という項目は、過去の試験においても既に出題され
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
第9回情報セキュリティEXPO［春］への出展のご案内：IPA 独立行政法人 情報処理推進機構
プレス発表 複数のジャストシステム製品におけるセキュリティ上の弱点（脆弱性）の注意喚起：IPA 独立行政法人 情報処理推進機構
プレス発表 情報システムの安定稼動のための障害管理に取り組む事業者の事例を調査：IPA 独立行政法人 情報処理推進機構