ウェブサイトに侵入された大学のリリースに見る侵入対策への誤解

ここ数日大学等のウェブサイトに対する侵入事件の報道やプレスリリースが続いています。 スケジュール管理ウェブサイトの改ざんについて – 早稲田 サイバー攻撃：徳島大電子会議システムサーバー乗っ取り - 毎日新聞 これらを読んで気になったことがあります。大学側が一定のセキュリティ対策を施していたが、それでも侵入されてしまったような論調だからです。まずは早稲田大学の事例ですが… ３．不正侵入の原因について スケジュール管理サーバにはアンチウィルスソフトウェアをインストールし、最新のパターンファイルを装備していました。しかし、当該サーバのOSのセキュリティパッチは最新のものではなく、また当該サーバに対しファイアウォールによる監視が行えていなかったため、不正侵入を防御できませんでした。現在は、OSのセキュリティパッチを最新のものに更新し、ファイアウォールの監視対象として防御しています。 スケジュール

[JULY]

これだけ世間で、アンチウィルス対策ソフトに頼っちゃだめ、と言っているのに。ただ、周りを見渡すと、とにかくパッチを当てることに憶病な人たちがものすごく多い。

[houyhnhm]

大学のLAN内は、一般公開されたインターネットよりも酷い状況なのはもっと周知されていいと思ってる。私物パソコンも繋ぎたい放題、ルールはあってもチェックが機能しない。怪しげな串もいっぱい立ってる。

[Lat]

大学関係者の中には取られて困る情報はないと考えアンチウイルスソフトのインストールに抵抗したり、対策を後回しにする人がいるからこのような日記は誤解を解くため助かる。公開して直ぐに止められないならWAFは必須

[jtw]

最新パッチをあてることの恐怖は分かる。適切な検証予算を積むのが先。

[ot2sy39]

パッチが嫌なのではなく再起動が嫌なんだと思う。ウイルスパターンの更新が再起動を要するなら、更新しなくなる人がいっぱいいるだろう。

[Haaaa_N]

良記事。だが、徳丸さんは前からずっとこれを言ってるのに周知されてないのがつらい

[rryu]

まあ、実際は何もしていなかったけどそうは言えないのでひねり出された内容なので意味は無いのは仕方がない。「少なくとも年に１度は」もたまたま年1のペースになっただけで定期変更の運用はしていないと思う。

[terazzo]

SSHを公開鍵認証オンリーにして異動が有ったらauthorized_keysから抜いてしまうのが楽そう。

[itochan]

これ重要に思う。　「・管理者のIDとパスワードを共用せず、個別のIDとパスワードを設定する」　　パスワードの定期変更の有効性の議論も、この前提を確認してからして欲しい。

[pismo]

パスワードに関しては某案件でも月一の定期変更のみってあったなぁ。関係者が退職しても変更せずにそのままとかｗ

[m_yanagisawa]

“ウイルス対策ソフトの導入とパスワードの定期的変更は、もっとも有名なセキュリティ対策ではありますが、ウェブサイトの侵入対策という面では効果は限定的であり、すみやかなパッチ適用と認証の強化が重要です”

[asuka0801]

セキュリティ甘くても許されるのは犀川先生の時代だけですよ

[monopoo]

セキュリティに関することはちゃんと専門家に相談しないといけないなと。

[blueboy]

「国によるセキュリティーの監視や監査」という政府方針　http://www.yomiuri.co.jp/national/20150624-OYT1T50006.html　単に「監視や監査」だけで、積極的な指導はしないから、効果は薄そうだ。大学より政府組織が心配だ。

[naga_sawa]

まずはいらんところを弄られないようにするのが大事

[psfactory]

ウェブサイトに侵入された大学のリリースに見る侵入対策への誤解 | 徳丸浩の日記

[n314]

“当該サーバに対しファイアウォールによる監視が行えていなかった”この文章もも気になるなあ。FWが監視してたら侵入されても安心ってこと？侵入検知システムのことなんかね。

[raimon49]

対策の優先順位について。

[mkusunok]

地に足のついた提案

[HF_frt1623]

こういう専門家によるセキュリティ対策が今後一層必要な気がする。 /シートベルトとかエアバックみたいなもので、運用でカバーだけでなく、仕組みでカバー

[hanazukin]

大学の場合、授業に直接関係のあるサーバのメンテナンスはなかなかに困難なんだろうなぁと。企業でも、冗長化してメンテナンスを行う必要性があるのは理解しているけど予算がねというのをよく聞く。

[causeless]

"@ockeghem “ウェブサイトに侵入された大学のリリースに見る侵入対策への誤解 | 徳丸浩の日…" via https://twitter.com/ockeghem/status/613494719469871104

[solidstatesociety]

ウイスルになってます