セキュリティ専門家も「何かがおかしいけれど、攻撃とは言い切れない」と判断に迷う現象が急増　EGセキュアソリューションズ：2024年第3四半期で最も多かった攻撃は？ EGセキュアソリューションズは「SiteGuard セキュリティレポート（2024.3Q）」を発表した。2024年第3四半期における「攻撃種別」「月別」「接続元（国別）」の3つの観点での攻撃傾向および特に注目すべき2つの攻撃手法について詳しく解説している。

「パスキー」って何？ Webサイトにログインする際に「パスキー」の設定を推奨されることはないだろうか？　よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いと思う。そこで、「パスキー」とはどういったものなのか、仕組みや設定方法などについて解説する。 Googleアカウントにログインする際、「ログインをシンプルに」という画面が表示され、「パスキー」の利用を推奨されたことはないだろうか（一度、パスワードを忘れて、再設定後にGoogleアカウントにログインする際などに表示されることが多い）。 このパスキーとはどういったものなのだろうか？　よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いのではないだろうか。 本稿では、このパスキーの仕組みや設定方法、運用上の注意点などについて

もしそのコンテナターミナルが業務停止に陥るとどうなるか――。そのリスクを如実に示したのが、2023年7月4日に名古屋港コンテナターミナルで発生したランサムウェア感染被害だった。 2024年3月に開催されたセキュリティイベント「Security Days Spring 2024」に、国土交通省で最高情報セキュリティアドバイザーを務める北尾辰也氏が登壇。「名古屋港コンテナターミナルを襲ったサイバー攻撃とその背景」と題し、公表された報告書などを基に攻撃から復旧までのいきさつと、そこから得られた教訓を紹介した。 ITを用いた効率化が進んできたコンテナターミナル コンテナターミナルというと、港に林立する大型クレーン（ガントリークレーン）を思い浮かべる人も多いだろう。名古屋港コンテナターミナルもその一つだ。 同コンテナターミナルは5つのターミナルで構成されている。1日当たり約7500本のコンテナが出入

クラウドに関するインシデントの多くは、設定ミスによって公開してはならない情報が、インターネットから見えてしまう事故に起因している。これはパブリッククラウド特有の問題だが、西尾氏は「よく『特殊な方法やツールで調べているんでしょう？』と誤解される。まずはここから紹介したい」と述べ、「Google Dorks」という手法を紹介する。 Google Dorksは特別なツールではなく、多くの人が利用する検索エンジンとしての「Google」に、検索演算子を追加して検索結果を絞り込む手法だ。例えば特定のドメインを指定する「site:」に加え、拡張子を指定する「ext:」を組み合わせることで、日本政府を表す「*.go.jp」で公開されている、「PDFファイル」を検索することが可能だ。これを活用することで、日本の企業が公開サーバ上で公開している、データベースをダンプしたものとおぼしき「sqlファイル」の一覧

ガートナーの米国本社発のオフィシャルサイト「Insights」などのグローバルコンテンツから、＠IT編集部が独自の視点で“読むべき記事”をピックアップして翻訳。グローバルのITトレンドを先取りし「今、何が起きているのか、起きようとしているのか」を展望する。 業務負担が大きいサイバーセキュリティリーダーは、燃え尽き症候群を何度も経験している Gartner Peer Community（※）は2023年6～7月に、サイバーセキュリティを主に担当する178人の情報セキュリティリーダーとITリーダーを対象に調査を行った。これらのリーダーの62％が燃え尽き症候群を少なくとも一度は経験し、44％が複数回経験したと答えている。

登大遊氏が憂う、日本のクラウド、セキュリティ、人材不足、“けしからん”文系的支配：ITmedia Security Week 2023 冬 2023年11月29日、アイティメディアが主催するセミナー「ITmedia Security Week 2023 冬」の「実践・クラウドセキュリティ」ゾーンで、情報処理推進機構（IPA）サイバー技術研究室 登大遊氏が「コンピュータ技術とサイバーセキュリティにおける日本の課題、人材育成法および将来展望」と題して講演した。日本における「ハッカー」と呼ぶべき登氏が初めてアイティメディアのセミナーに登壇し、独特の語り口から日本におけるエンジニアリングの“脆弱性”に斬り込んだ。本稿では、講演内容を要約する。

徳丸氏が探る“認証”の今――サイバー攻撃の認証突破テクニック、フィッシング、そして対抗策とは：ITmedia Security Week 2023 冬 2023年11月28日、アイティメディアが主催するセミナー「ITmedia Security Week 2023 冬」の「多要素認証から始めるID管理・統制」ゾーンで、イー・ガーディアングループCISO（最高情報セキュリティ責任者）兼 EGセキュアソリューションズ 取締役 CTO（最高技術責任者）の徳丸浩氏が「認証の常識が変わる――認証強化の落とし穴と今必要な施策」と題して講演した。「認証」をキーワードとし、これまでパスワードに頼り切りだった古典的な手法による認証システムが攻撃される中、新たな技術でどこまで人と情報を守れるのか。認証の現状と今必要な対策を語るセッションだ。本稿では、講演内容を要約する。

大学在学時に、ソフトウェアVPN（Virtual Private Network）の「SoftEther VPN」（以下、SoftEther）を開発したことで広く知られる登 大遊氏。SoftEther開発後も中国の検閲用ファイアウォール「グレートウォール」へのハッキングなどで話題を集め、現在は東日本電信電話（NTT東日本）のビジネス開発本部 特殊局員、情報処理推進機構（IPA）の産業サイバーセキュリティセンター サイバー技術研究者、筑波大学の客員教授などを務めている。 登氏が、ゲットイットが開催したWebセミナーで、日本のITエンジニアに必要な「トライ&エラー（トライアルアンドエラー）の思考法」について話した。ゲットイットは、リユースIT製品の販売やレンタル、メーカーサポートが終了した製品の保守をサポートするIT機器保守（第三者保守）など幅広い役割で、NTTグループをはじめとする多数の企業

私のこと、勝手に診断しないでください：こうしす！　こちら京姫鉄道 広報部システム課 ＠IT支線（43） 情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第43列車は「無料セキュリティ診断」です。※このマンガはフィクションです。

PowerShellを開くとこのメッセージが…… PowerShellを開くと、「最新のPowerShellをインストールしてください」と表示される。新しいPowerShellのインストールは必要なのだろうか、インストールする場合はどうすればいいのだろうか。このメッセージの対処方法を紹介しよう。 Windowsターミナルなどで「PowerShell」を開くと、「新機能と改善のために最新のPowerShellをインストールしてください！」と表示され、最新版をインストールしなければならないのか、どうすれば最新にできるのか、迷っていないだろうか。 本Tech TIPSでは、この「最新のPowerShellをインストールしてください」の対処方法を紹介しよう。 「最新のPowerShell」とは？ 前述の通り「PowerShell」を開くと、「新機能と改善のために最新のPowerShellをインスト

「Webサイトの脆弱（ぜいじゃく）性が悪用され、情報漏えいが発生した」――こうした報道や過去のセキュリティインシデントを教訓に、Webアプリケーションのセキュリティを意識し、設計段階からセキュリティを考慮し、脆弱性を修正した上でリリースしようとする企業の動きは以前に比べて広がりつつある。 だがそれでも“残念な”セキュリティインシデントは根絶できていないのが実情だ。 EGセキュアソリューションズのCTO（最高技術責任者）としてセキュリティ対策の支援に当たり、さらに「徳丸本」こと『安全なWebアプリケーションの作り方』やYouTubeを通じてセキュリティの啓発活動に携わる徳丸 浩氏が、＠IT主催の「Cloud Native Week 2023夏」基調講演に登壇。架空のWebサービス「オニギリペイ」を例に、セキュリティを意識して作られつつあるWebアプリケーションのどこに落とし穴があるのか、解説

情報処理技術者試験合格で証明できるもの：こうしす！　こちら京姫鉄道 広報部システム課 ＠IT支線（39） 情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第39列車は「情報処理技術者試験」です。※このマンガはフィクションです。

Windowsのログオン時に実行されるはずのタスクが実行されない謎、答えは至極単純だった：山市良のうぃんどうず日記（261） おそらく、多くのWindowsデバイスにインストールされている「Adobe Acrobat Reader」、その自動更新機能がどうなっているのか確認してみたところ、メインで使用しているデスクトップPCだけ、自動更新のためのタスク実行履歴に疑問を持ちました。その理由はとても単純なことであり、正常に機能していたのですが、どういうオチなのか少し付き合ってください。

有償アップグレードで修了証の取得も可能 セキュアソフトウェア開発のトレーニングは、Open Source Security Foundation（OpenSSF）とLinux Foundation Training ＆ Certificationが開発したもので、「情報セキュリティを向上させるための実践的な手順に焦点を当てた」としている。攻撃に対抗できるような強化されたソフトウェアを開発するためのセキュリティや、脆弱（ぜいじゃく）性が悪用された場合に被害を軽減し、対応を迅速化する実践的な方法などを学習できる。 関連記事 MySQLを学べるアプリ開発者向け動画、PlanetScaleが無料公開 PlanetScaleは、アプリケーション開発者向けにMySQLを解説する動画を同社Webサイトで公開した。スキーマ、インデックス、クエリ、例題の4つの章に分けてMySQLを解説している。 無料で試用

DNS水責め攻撃、食らっちゃいました：こうしす！　こちら京姫鉄道 広報部システム課 ＠IT支線（37） 情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第37列車は「DNS水責め攻撃」です。※このマンガはフィクションです。

ワタシには無理でした――つらいひとことを残して去っていった女性エンジニア。IT“業界”解説シリーズ、第8弾は準委任の仮面をかぶった請負かつ派遣な契約で部下を退職に追い込んでしまった男の悔恨の告白です。 複雑怪奇なIT“業界”を解説する本連載、第1弾はIT業界にまん延する多重下請け構造と偽装請負について、第2弾は多重下請け構造が起こる仕組みについて、第3弾はシステム開発プロジェクトには複数の契約形態が混在することを、第4弾はユーザーはなぜプロジェクトに協力したらがらないのか、第5弾は「案件ガチャ」が起こるメカニズム、第6弾はベンダーの営業が安請け合いする理由、第7弾ではエンジニアの年収が上がらない理由を説明しました。 今回は、IT訴訟解説でもおなじみの細川氏が、請負契約と準委任契約の違いを解説する。若かりし日の反省も込めて――。 ジュンイニンって何ですか？ 準委任契約なのに成果物に責任を持ち

曖昧な契約に苦しまないために ではこんなとき、現場のエンジニアはどのように振る舞うべきなのでしょうか。どうしたら自分のキャリアと健康を守れるのでしょうか。 前提として必要なことは、例えエンジニアであっても請負、準委任、派遣についての責任と権利を知っておくことです。概要は、連載第3回「システム開発プロジェクトに存在する複数種類の契約形態」が参考になります。 請負であればエンジニアの役割は専ら「納期通りに品質の良い成果物を納める」ことであって、成果物につながらない作業を強いられることはありません。また、自分ができない作業を他のメンバーに頼んでもいいし、常駐していても、出勤や退出時間を顧客にとやかく言われることはありません。「明日までに、この資料を作ってくれない？」「ちゃんと朝来てくれないと困るよ」などと言えるのは自社のリーダーだけであって、お客さまの担当者がこれらをベンダーの担当者に指図するこ

7月29日から、開発者はdocs.microsoft.com/samples（「Browse code samples」というタイトルが冠されている）で、自分のワークフローに関連する最新のコードサンプルを検索できるようになった。Microsoftによると、このサイトで提供されるコードサンプルは、全てGitHubでホストされているという。コードサンプルを実行してバグが見つかったら、サンプルのGitHubリポジトリでイシュー（課題管理）に投稿すれば、コードを管理するチームが目を通すとしている。 docs.microsoft.com/samplesは、以下のようなさまざまな機能を提供する。 関連記事 Windows 10のソースコードは何で書かれている？ 実名制Q＆Aサイト「Quora」で、「Windows 10の開発にどのようなプログラミング言語が使われたのか」という質問に対し、Microso

「『一回転』でググれ」と言ったら、逮捕されますか？：こうしす！　こちら京姫鉄道 広報部システム課 ＠IT支線（13） 情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第13列車は「不正指令電磁的記録供用罪」です。※このマンガはフィクションです。実際の法解釈や法運用とは異なります

井二かけるの追い解説 今回の漫画のテーマは、ITエンジニアの間でしばしば批判される「後続メールでのパスワード別送」です。 ここでいう「後続メールでのパスワード別送」とは、メールで添付ファイルを送付する際、添付ファイルをパスワード付きzipとし、後続メールでパスワードを送付するという方式です。 現在、情報セキュリティ対策の一環として、「後続メールでのパスワード別送」を採用する企業が数多く存在します。漫画のようにパスワード別送をシステムで自動化している企業も少なくありません。 では「後続メールでのパスワード別送」は何が問題なのでしょうか。代表的な2つの点を挙げます。 1.後続メールでパスワードを別送しても、セキュリティはほぼ向上しない 電子メールはその仕組み上、基本的に相手に届くまでに複数のサーバを経由します。メール送信にTLS/SSLを用いても、暗号化が保証されるのは自分が使用しているメール