IoT時代の最新SELinux入門
Linuxを襲う不正アクセスを水際で止めるセキュリティ機構「SELinux（エスイーリナックス）」。Linuxのアクセス制御とは別の防御壁として動作し、組み込みからクラウドまで幅広く浸透しています。あらゆるデバイスがインターネットにつながるIoT時代に避けては通れない技術の一つです。SELinuxを使いこなすための知識を基礎から解説します。 「インストール後にすぐ無効」はなくせるか、SELinuxのこれから 「IoT時代の最新SELinux入門」連載も今回が最後になります。連載の最後に、SELinuxの現在の開発の状況と、今後どのような方向に開発が進んでいくのかを過去の例から考えてみましょう。 2017.08.24 新たな脆弱性、SELinuxで守れるかテスト 前回はSELinuxの機能を利用したドメインを作成し、制御する方法を紹介しました。この際、ポリシーを追加し、許可の要/不要を吟味し
第4回 ルートキット実装の2大手口（その1）
セキュリティ・コンサルタント 村上 純一 今回と次回は，カーネル・モード・ルートキットについて，その実装を詳しく見ていきたい。最初に，アプリケーションやOSの正常な処理の流れ（実行パス）に自身の処理を挿入して，情報を改ざん・隠ぺいする方法について考えてみる。 まず，システム上のプロセスの一覧を取得する方法を考えよう。Windowsでは，EnumProcess APIを利用することで実現できる。プロセス・リストはOSが管理しているため，EnumProcess APIはカーネル・モードでの処理を通じて最終的にOSのプロセス・リストを取得する。EnumProcess APIによるプロセス・リスト取得処理の実行パスを図1に示す。 プロセス・リストを取得したいプログラム（図1ではfoo）はpsapi.dllに実装されているEnumProcess APIを呼び出す。次にEnumProcess APIは
Struts2脆弱性事故のGMO-PGを直撃、事故報告書の疑問に答える
2017年前半、脆弱性を突いた二つの大きなサイバー攻撃が立て続けに日本を襲った。一つは5月12日に世界的に発生したランサムウエア「WannaCry（ワナクライ）」、もう一つは3月10日から日本の企業や団体での被害報告が公表ベースで12件となったJavaのWebアプリケーションフレームワーク「Apache Struts2」だ。 3月10日、東京都と住宅金融支援機構（以下、機構）、日本貿易振興機構（JETRO）がStruts2脆弱性を悪用したサイバー攻撃の被害を最初に公表した。このうち、東京都と機構からクレジットカード払いサイトの運営を委託されていたのが、決済代行事業者大手のGMOペイメントゲートウェイ（以下、GMO-PG）である。
判明、ANAシステム障害の真相
大型のシステム障害の詳細が見えてきた。全日本空輸（ANA）が2016年3月22日に起こした国内線旅客システム「able-D（エーブルディ、以下では便宜上開発コード名のANACore：アナコアと称す）」のシステム障害では全国49の空港で搭乗手続きができなくなり、ANAと提携航空会社5社の合計で719便、7万2100人以上に影響を及ぼした。インターネットや予約センターでの予約などもできなかった。 ANAは障害発生から8日後の3月30日に経緯や原因を公表、さらに4月11日に弊誌のメール取材に応じ、一段詳しい真相が判明した。 4台のSuperdomeをRACでクラスタリング 今回のシステム障害の中身は3月20日のニュースで報じた通り、4台のデータベース（DB）サーバーが停止したというもの（関連記事：ANAシステム障害の原因判明、シスコ製スイッチの「世界初のバグ」でDBサーバーがダウン）。今回、弊誌
ANAシステム障害の原因判明、シスコ製スイッチの「世界初のバグ」でDBサーバーがダウン
同期処理が失敗した原因は、4台をつなぐスイッチの不具合。具体的には、スイッチが故障状態であるにもかからず、故障を知らせる「故障シグナル」を発信しなかった。国内線システムは故障シグナルを検知するとスイッチを予備機に切り替えるが、今回はその機能そのものを作動できなかった。 スイッチは完全に停止したわけではなく、「不安定ながらも動作していたようだ」（同）。そのため、DBサーバー間の同期は順次失敗し、停止していったと見られる。 ANA広報によると、スイッチは米シスコシステムズ製「Catalyst 4948E」という。「2010年6月の発売開始以降、世界で4万3000台、うち日本で8700台を販売しているが、今回の不具合は初めての事象と聞いている」（ANA広報）。なぜ「故障シグナル」が発信できなかったかは分かっていない。 1台での縮退運転を決断 4台の完全停止から37分後、ANAは1台のDBサーバー
第3回 標準型のCANって何だろう
車の運転席に座ると，実にさまざまな情報が視界に入ってきます。車の速度がわかるスピードメータ，エンジンの回転数がわかるタコメータ，燃料があとどのくらいあるかを示すフェールゲージ，水温計，警告表示灯など，その多くがインストルメントパネル（インパネ）に集中しています（図1）。 これらの情報を集約して制御しているインパネ制御はどのように行われているのでしょうか。連載第1回の「車内LANって何だろう」でも触れましたが，車の中にはECU(electronic control unit)と呼ぶ電子制御装置があちこちに搭載されています。エンジン制御用やヘッドライト制御用，ドア制御用などの各ECUと，インパネ制御用のECUが連動することにより，それらの情報が一目でわかるようにインパネに表示されます。 エンジン制御ECUより得た情報を基にスピードメータやタコメータを動作させ，エンジンの冷却水の温度に異常があれ
「Android技術者認定試験制度」とは何か
「Android」は、米Google社を中心とした規格団体OHA（Open Handset Alliance）が開発した携帯情報端末向けプラットフォームです。OSのベースとなるLinuxカーネル、ランタイム（Dalvik仮想マシン）、ライブラリ、アプリケーション・フレームワークなどがパッケージとしてまとめられ、オープンソース・ソフトウエアとして公開されています。そのため、Androidを移植してさまざまな機器に搭載可能であり、携帯情報端末に限らず、家電など多様な分野での活用が期待されています。 2008年10月、Android 1.0を搭載した台湾HTC社のスマートフォン「T-Mobile G1」がリリースされました。日本では2009年7月にNTTドコモからAndroid 1.5（のちにAndroid 1.6へのアップデートに対応）搭載の「HT-03A」が登場。下の表のように、Androi
Androidの仕組みを知る(1)
遂に日本でもAndroid携帯が発売された。注目を集めているAndroidとは，一体何なのか，パソコンに移植するためにはどのような作業が必要なのか，アプリケーションを開発するにはどうするのか解説する。 Androidは，米Google社が開発し，携帯電話関連の業界団体であるOHA（Open Handset Alliance）が2007年11月に発表した，ソフトウエア・スタック（複数層で構成するソフトウエア群）である。 Androidを構成するソフトには，携帯端末向けに改良されたLinuxカーネルとミドルウエア，アプリケーションの実行環境，開発環境であるアプリケーション・フレームワーク，アプリケーション，がある。 Androidは携帯端末用として開発されているものの，適用範囲は携帯端末にとどまらない。Androidが現在対応しているCPUは英ARM社のARM系と米Intel社のx86系の2種
部下は「残念な上司」を口癖で見抜く | 日経 xTECH（クロステック）
「残念な人の口癖って何だろうって考えることがあるんですよね」 書籍『残念な人の思考法』（日本経済新聞出版社）がベストセラーになった、アジルパートナーズの山崎将志氏の何気ない一言に、筆者はドキッとさせられた。2011年初夏のことである。ちょうど、日経情報ストラテジーの総力特集（2012年1月号）取材で、苦悩するミドル（中間管理職）の実情を明らかにしたいと考え始めていた矢先のことだったからである。 山崎氏が定義する残念な人は「能力もやる気もあるのに成果を上げられないでいるビジネスパーソン」を指す。「もったいない人」と言い換えることもできる。 さらに職場を見渡すと、残念な人は「残念な上司」と「残念な部下」に大別できるという。 「これ、やっといて」が口癖な人は要注意 このうち、筆者は残念な上司の存在が非常に気になりだした。総力特集で明らかにしたかった、今時のミドルに欠かせない素養や能力を持たない人
「EXEファイルをPDFに見せかける」、拡張子偽装のウイルスが猛威
情報処理推進機構（IPA）は2011年11月4日、拡張子を偽装するウイルス（悪質なプログラム）が多数報告されているとして注意を呼びかけた。ファイル名に細工を施すことで、実行形式ファイル（拡張子は.exe）のウイルスを、PDFファイル（.pdf）に見せかける。 今回、IPAが注意を呼びかけたのは「RLTrap」と呼ばれるウイルス。2011年9月中には、同ウイルスの検出報告が、およそ5万件寄せられたという。 RLTrapの特徴は、ファイル名にユニコード（Unicode）の制御文字「RLO（Right-to-Left Override）」を挿入することでユーザーをだまそうとすること。 RLOとは、文字の流れを右から左に変更する制御文字。ファイル名の中にこの制御文字（文字コードは［U+202e］）を挿入すると、本当の拡張子が「.exe」であっても、画面上は「.pdf」に見せかけることができる。 例
三菱重工事件からみる「新しいタイプの攻撃」に対する情報セキュリティ対策
9月19日、新聞各社が三菱重工がサイバー攻撃を受けたと報道された。具体的には、潜水艦、誘導弾などの防衛部門、そして原子力プラント関連の開発拠点である。開発拠点11カ所でサーバーやPCが合わせて83台がウイルス感染したのだ。これを受けて、三菱重工自体もプレスリリースを出している（図1）。 これは、日本における情報管理の転換期とも言える事件だろう。いわゆる「新しいタイプの攻撃」と呼ばれるものによる被害が国内でも発生したことになる。 IPAによると、「新しいタイプの攻撃」は海外ではAPT（Advanced Persistent Threats）と呼ばれ、複数の脆弱性、感染攻撃手段とソーシャルエンジニアリングを組み合わせて特定の個人や組織を狙う攻撃のことである。2010年7月に制御システムを狙ったサイバーテロウイルス「Stuxnet」で有名となった新しい攻撃のため、まだ知らない人も多いかもしれない
JavaScriptで作ったPCエミュレータ登場、WebブラウザでLinuxが起動するデモを公開
JavaScriptでx86のPCをエミュレートし、その上でLinuxを動作させるデモ「Javascript PC Emulator」（通称jslinux）が2011年5月16日に公開された。この不思議なソフトはどう実現されているのか、早速調べた。 Javascript PC Emulatorは、Linuxのコンソールを真似るのではなく、実物のLinuxカーネルとユーザーランド（アプリケーション）が、JavaScriptで作った仮想PCで動くという驚きのソフトウエアである。 作者は、仮想化ソフト「QEMU」の原作者であるFabrice Bellard氏だ。Bellard氏は、さまざまな動画や音声を変換できるツール「FFmpeg」や、コンパイル時間が短くてサイズの小さいCコンパイラ「TCC」など、CPUに近い部分の技術を生かしたソフトを作っている凄腕ハッカーだ。 実際にWebサイト（http
データベースの内部動作を知る
SQLのプログラミングは奥が深い。特にパフォーマンスの観点から、そう言えるだろう。 みなさんご承知の通り、同じ結果を出すプログラムでも、SQLの書き方次第で処理時間に何倍もの差が生じ得る。効率の悪いSQLを書いてしまう原因は、多くの場合、リレーショナルデータベースの内部動作やアプリケーションに関する理解不足である。両者をよく知った上で最適なSQLを書けるようになることは、システムエンジニアとしての重要なスキルの一つである。 特集『基礎から理解するデータベースのしくみ』では、リレーショナルデータベースの内部動作について、基本的な部分を分かりやすく解説している。SQLプログラミングに役立つことはもちろん、SQLチューニングやデータベース設計のための基礎知識としても不可欠だ。 イントロダクション ブラックボックスのままでいいの？ Part 1：SQL文はどのように実行されるのか SQL実行までの
［1] オープンソースのクラスタソフトLinux-HA
「障害が発生しても止まらないシステムを実現したい」「災害に備えたリアルタイムの遠隔バックアップやシステムの二重化を行いたい」「大容量データをバックアップしたい」---震災以来、これらはシステムにとっての大きな課題となっている。 これらを実現するHA（高可用性）システムは、無償で利用できるオープンソースソフトウエア（OSS）で実現できる。そのためのOSS群が「Linux-HAクラスタスタック」である。 Linux-HAクラスタスタックは、仮想化環境やクラウド環境で使うこともできる。今回を含めて5回にわたって、Linux-HAクラスタスタックおよびこれを構成するソフトウエアの概要を紹介する。 HAクラスタの仕組み サーバーハードウエアの故障やメンテナンス、ソフトウエアの動作障害については、2台のサーバーを用意して、Linux-HAクラスタスタックのHeartbeatとPacemakerなどのク
iPhoneが地震計に！東日本大震災の余震をキャッチ
今回の建設IT注目情報 ～iPhone用アプリ「地震計－iSeismometer」～ 東日本大震災の余震が続いた影響で、地震が起こってもいないのに揺れを感じる「地震酔い」の症状を訴える人が急増しているそうです。 揺れを感じたとき、本当に揺れているかどうかを確かめられると、少しは気持ちが落ち着くかもしれませんね。そんな人にお勧めなのが、iPhoneやiPad用の無料アプリ「地震計－iSeismometer」です。 ナ、ナ、ナ、ナ、ナント、 iPhoneやiPadの 内蔵加速度センサー を使って、水平2方向、垂直1方向の加速度波形を観測できるのです。 iTunestoreにある「地震計－iSeismometer」のページ（左）。ダウンロードして起動させたところ。手の振動による加速度波形が画面上に見える（右）（資料：アップル、写真：家入龍太） 早速、iPhoneにダウンロードしてみると英語版のア
HTML5時代が目前！ 本気で学ぶJavaScript
登場当時、動きのあるWebページを作る技術として注目されたJavaScriptは、その後“不遇”の時代を経て、Ajaxで再び脚光を浴びました。jQueryなどのライブラリの普及で、開発生産性やブラウザ互換性の問題がほぼ解決した現在、HTML5時代を目前にして、JavaScriptの重要度はさらに高まっています。この特集では、今、知っておきたいJavaScriptを一気に解説します。 目次
今、知っておきたいJavaScript
Webブラウザとテキストエディタさえあれば、プログラミングして実行できるシンプルで手軽な言語――。それがJavaScriptが初めて登場してからしばらくの間、多くの人が抱いた印象でした。しかし、Ajaxの登場に伴う第2のブーム以降、ハードルが高くなったように感じられます。 その大きな理由の一つが、DOM（Document Object Model）に基づくJavaScriptプログラミングでしょう。DOMは、HTMLやXMLを構成する各要素に対して、プログラムからアクセスして内部の情報を取得・変更したり、機能を利用したりするためのAPI（Application Programming Interface）です。DOMを使うことによって、WebページをリロードせずにWebページを部分的に書き換えたり、HTMLドキュメントの構造を動的に変えたりといったことが可能になります。 DOMは便利な仕組
「Android」を狙う不正プログラムが登場
スマートフォンは、パソコンに匹敵する機能を備え、豊富なアプリケーションを利用できることから、世界中の消費者の注目を集めている。中でもAndroid OS搭載のスマートフォンは、日本でも続々と発売され、市場の盛り上がりが見られる。その一方で、サイバー犯罪者の注目も集まり、攻撃の対象になりつつある。 正規アプリになりすましAndroidを狙う不正プログラム トレンドマイクロは、2010年8月上旬、Androidを標的とする初のトロイの木馬型不正プログラム「ANDROIDOS_DROIDSMS.A」（※1）を確認した。この不正プログラムは、"Windows Media Player"のアイコンを利用して、自身を偽装する。ユーザーは、このプログラムが動画再生ソフトと思い、不正であると気付かずにスマートフォンにインストールしてしまう。不正プログラムはインストールの際、ユーザーにデバイス上でのアクセス
誰でも即席“Androidプログラマ”に、Googleが開発ツール「App Inventor」を一般公開
言語を知らなくても簡単にAndroidアプリが作れる――。誰でもプログラマになれる“驚愕”の開発ツールが登場した。米Google社が提供する「App Inventor」だ。早速、開発のしやすさを体験してみた。 米Google社は2010年12月16日、Androidアプリを開発するためのツール「App Inventor」のベータ版を一般公開した。同年7月から登録者のみに提供していたものだ。ツールおよびWebサービス、Javaアプリの3つの組み合わせで実現している。 App Inventorの特徴は、プログラムをコーディングしなくても、Androidスマートフォンで動作するアプリが即席に作れること。パズルを組み合わせる感覚でプログラムを作成できる（図1）。Javaを知らない人でも、Androidスマートフォンを持っていれば、そのまま個人用のアプリが即製可能だ。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Androidプラットフォーム技術者認定試験ベーシック予想問題集