「Hardening 100 Value x Value」に見た、競技結果よりも大事なこと
「うーん、トラフィックは増えてないんだけどな……」 「何か変ですよね、やられてますよね」 「あ、そういえばさっきスクリプトが動いてたみたいだけど」 「えっ？」 「えっ？」 「……」 「ちょっと待って、そのアカウントでログインしたの何分前？」 窓の外に広がる沖縄の青い海と空に目もくれず、コンソールに向き合うエンジニアたちの間で、こんなやりとりが交わされる。 2016年6月4日、5日の2日間にわたり、沖縄 宜野湾市の沖縄コンベンションセンターで、「守る」技術を持ったエンジニアを発掘し、育てることを目的とした競技会「Hardening 100 Value x Value」が開催された。チームとしてさまざまなインシデントに対応しつつ、ビジネス上の価値の最大化とシステムの堅牢化を両立させるという経験を積み、そこから得た学びを持ち帰ることを狙った取り組みだ。 ビジネスとITのリアリティを追求し、「守る
IDS／IPS――サイバー攻撃の「検知」「防止」技術の基礎
攻撃を「検知」「防止」する 典型的な社内システム環境を想定しながら、各種のセキュリティ技術のポイントを“総ざらい”する本連載。第3回である今回は、攻撃を「検知」「防止」する技術について解説します。 一般に、企業のセキュリティポリシーでは、企業活動を継続するために必要な情報資産を定義しています。この情報資産に対する脅威を発見することが「検知」の役割です。さらに、検知した脅威に対してリスクの低減や回避を行うことが「防止」の果たす役割となります。 企業は「検知」技術により、脅威を“見える化”することで、脅威への対応を行いやすくなります。さらに、「防止」技術によりその対応をセキュリティ製品に任せることも可能になります。これにより、脅威への対応の迅速化が実現でき、インターネット外部からの攻撃やマルウェア感染などのリスクをさらに低減させることができます。 脅威を「検知」する方法には、主に「シグネチャ型
キャンセル待ち150人！Security-JAWS第1回で現場の苦労を見た (1/3)
5月17日、AWSのセキュリティを扱う勉強会「Security-JAWS」の第1回がセキュリティ企業ラックの会議室で開催された。40人の定員に対して、150人がキャンセル待ちという人気の高い勉強会では、期待通り現場感のあふれたセッションが披露された。 セキュリティ規程に従ってクラウドを運用 トップバッターは、リクルートテクノロジーズ ITソリューション統括部の宮崎幸恵さん。2011年入社以来、クラウド一筋の宮崎さんは、JAWS DAYSや女子会などでも登壇しているが、今回はログインIDのクリーニングやIAM（AWS Identity and Access Management）の運用について説明した。 セキュリティをテーマに講演するものの、宮崎さんはいわゆるセキュリティの業務についているわけではない。7つの事業会社、3つの中核機能会社で構成されているリクルートグループの中で、宮崎さんの所属
ImageMagickの脆弱性(CVE-2016-3714他)についてまとめてみた 2016-05-04 - piyolog
画像処理ソフトImageMagickに複数の脆弱性が存在するとして2016年5月3日頃、CVE-2016-3714他の脆弱性情報が公開されました。ここでは関連情報をまとめます。 ImageMagick 開発チームの情報 2016年5月3日 ImageMagick Security Issue 脆弱性情報 対象 ImageMagick CVE CVE-2016-3714 CVE-2016-3715 CVE-2016-3716 CVE-2016-3717 CVE-2016-3718 影響 RCE 重要度 CVE-2016-3714：Important(Redhat)/緊急(JPCERT/CC) PoC PoC公開あり。 in the wildとの情報もあり。 CVSS(v2) CVE-2016-3714：6.8(Redhat)/9.3(CERT/CC) 発見者 Nikolay Ermishki
「セキュリティ人材」って、何ですか？――本当に必要なセキュリティ教育を考える
「セキュリティ人材」って、何ですか？――本当に必要なセキュリティ教育を考える：セキュリティ教育現場便り（1）（1/2 ページ） 昨今「情報セキュリティ人材の不足」がしきりに叫ばれていますが、本当に人材は不足しているのでしょうか。そもそも、「セキュリティ人材」とは一体どのような人材を指すのでしょう？ セキュリティ教育に現場で携わってきた筆者が、今求められる人材育成について考えます。 連載目次 2020年開催の東京オリンピックを目前に控え、情報システムの維持管理や情報の保護、自動車などのモノをネットワークに接続するIoT（Internet of Things）の保護など、さまざまな観点から情報セキュリティの必要性が訴えられています。また、それに伴って情報セキュリティ人材の育成が急務だともいわれています。 しかしながら、この「情報セキュリティ人材の育成」というテーマに関しては、まだまだ議論が不十
「銀行から１万４０００件の情報流出」を当事者目線で解説したい
出会い系サイト運営者と繋がりのある方より直接話を聞くことができました。 文才がないながらも出来るだけ当事者側からの目線で解説したいと思います。 先に言いますが、本件は出会い系サイト自身が被害者でもありますので、「出会い系サイトなんて全部サクラサイトだろ?」みたいな先入観をお持ちの方は一旦捨てて頂くと理解しやすいかと思います。真っ当に運営されている出会い系サイトが被害者です。 まず流出したであろう情報とは何なのか?「残高照会ダイヤル」は、契約者が持つ口座の残高や、通帳に「印字されうる」取引明細も音声で知ることができます。例えば 「27-11-27 振込 フグタマスオ *30,000」 「27-11-30 振込 イソノカツオ *10,000」 このような入出金の取引を、音声で知ることができます。 もちろん契約者(契約団体)自身しかアクセスできないはずの情報なわけですが、この残高照会ダイヤルの操
成長し続けるセキュリティ人材と悲嘆に暮れる情報流出被害者たち
成長し続けるセキュリティ人材と悲嘆に暮れる情報流出被害者たち：セキュリティクラスター まとめのまとめ 2015年8月版（1/3 ページ） 2015年8月は世界各地でセキュリティイベントがめじろ押しでした。しかしイベント参加者たちの熱狂の裏では、「不倫サイト」ユーザーたちの悲痛の叫びが……。 連載目次 昨年に引き続き2015年の8月も、米国では「Black Hat」と「DEFCON」、日本では「セキュリティ・キャンプ」が開催されました。どのイベントもセキュリティクラスターからたくさんの人が参加したようです。また、参加できなかった人からも多くのツイートが行われました。 そしてお盆休み明けには、不倫相手を探すSNSサイトの登録者情報がハッキングによって盗み出され、大量に流出し、世界中で大騒ぎになりました。 Black Hat USA 2015とDEFCON 23が開催される 8月5日から9日にか
重要なデータを守るため、もう一度暗号化技術をおさらいしよう
重要なデータを守るため、もう一度暗号化技術をおさらいしよう：クラウド時代の暗号化技術論（1）（1/2 ページ） エンジニアならば、情報の重要性を誰よりも理解しているはずです。そこで、クラウド時代にエンジニアが知っておくべき「暗号」論を、もう一度おさらいしてみてはいかがでしょうか。デブサミにて反響が大きかった「クラウドを支えるこれからの暗号技術」を執筆した筆者による新連載です。 連載目次 暗号化技術知識をアップデートしよう インターネットの普及と発展により、ネットワーク上で秘密にすべき情報がたくさんやりとりされています。最近ではクラウドサービスの普及により、サーバーに重要な情報を置く機会も増えたことで、個人情報流出の危険性も常につきまとっています。実際、情報漏えいの事故や事件がしばしば報道されていますし、これを受けて、「情報漏えいが怖いからクラウドサービスは使わない」という人も少なくありませ
ITセキュリティの最先端、Black Hat USA 2014レポート
ITセキュリティの最先端、Black Hat USA 2014レポート：重鎮の話から緩いイベントまで（1/3 ページ） 2014年8月、ラスベガスにてBlack Hat USA 2014が開催された。セキュリティの重鎮による提言とともに、現地での様子をレポートしよう。 口先だけで終わらない技術者であれ 2014年8月2～7日、米国ラスベガスで「Black Hat USA 2014」が開催された。攻撃者の視点でセキュリティを考える同カンファレンスは、今年は91カ国、9000人以上が参加、113の講演が行われた。 「今年ほどITセキュリティへの関心が高まった年はない」。Black Hat創設者のジェフ・モス氏は冒頭のあいさつでこう述べて、「この機運を逃さないためにも、私たちは問題をただ指摘し解説するだけではダメだ。問題を解決するツールや方法を考案、開発するエンジニアになるべきだ。そして、来年こ
フォレンジックは「オワコン」なのか？
2014年2月16日、東京都内のClub atomで「AVTOKYO 2013.5」が開催された。これまでの秋口の開催とは異なる変則的な日程ながらも、会場には例年と変わらず大勢の人が集結。会場の外には出せない公開禁止セッションも含め、多彩なテーマで大いに盛り上がった。 フォレンジックはオワコンなのか？ フォレンジック（ス）とは、もともとは犯罪捜査や法廷証拠といった意味を持った言葉だ。これが「コンピューターフォレンジック」となると、不正アクセスや情報漏えい、マルウェア感染といったセキュリティインシデントが発生した際に、ディスクやメモリを調査し、実際には何が起こり、原因は何だったかを突き止める作業のことを指す。 かつての、比較的スペックの限られた環境ではこうした調査を行うこともできた。しかし今、膨大な量のメモリダンプ解析を迫られるなど、あるフォレンジック解析の第一人者が漏らすところの「幸せでは
そのときStarBEDが動いた――「Hardening One」の夜明け前
こんにちは、川口です。ずいぶんとコラムの間が空いてしまいました。前回のコラム以降、セキュリティ・キャンプとHardening Oneにほぼ全ての時間を費やしており、全く筆が進みませんでした。期待されていた方には申し訳ないです。 さて、2012年4月のHardening Zeroからはや半年（もう半年!!）、10月27日と11月2日にHardening Oneが行われ、無事に終了しました。 前回のイベントが終わった直後には、「次回のイベント（Hardening One）は、今回のやつをちょっといじって開催すればいいかな」と安易に考えていました。しかし、Hardening Zeroのゲストとして参加していただいた篠田陽一教授から、「同じものを流用なんて、ナメたことを妄想してんじゃねーよ!!」（過大表現アリ）と激励されてしまい、今回もまた大掛かりに取り組んでHardening Oneを開催しまし
IIJはインターネットを見つめています
すみません、予定より掲載が遅れてしまいました。今回は、先日に続いてIIJが定期的に発行している冊子の紹介です。 インターネットを見つめ続けているから分かること 「Internet Infrastructure Review (IIR)」は2008年10月から年4回のペースで発行されていて、昨年11月で9号になりました。IIJ.newsがもっぱら広報誌として、IIJのサービスや事例についての紹介がメインになっていますが、IIRではIIJがインターネットバックボーンを運用しながら観測した各種データや、日々の業務の中で得られたトピックを元に「インターネットの今」をとりまとめた報告を掲載しています。 バックナンバーから一つ拾ってみましょう。次のグラフはIIR Vol.9(PDF)に掲載されている、実際にIIJのお客様のネットワークに対して行われたDDoS攻撃1の発生件数です。 2010年7月から9
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
カード払いしようとしたらレジがWindows XP端末……もう、ネタで済まない時代に。“POSウイルス”日本上陸 