［詳報］JTBを襲った標的型攻撃
ジェイティービー（JTB）が2016年6月14日に公表した、最大で約793万人分の個人情報が流出した可能性がある事案の発端は巧妙に取引先を装った標的型メールだった（関連記事：「流出事実ないがお客様にお詫びする」、793万人の情報流出可能性でJTBの高橋社長が謝罪）。 約4300人分の有効期限中のパスポート番号を含む個人情報が漏洩した可能性のある事案は国内で類がない。同日の記者会見と会見後の取材で分かった経緯を追っていく。 発端は3カ月前の2016年3月15日。旅行商品をインターネット販売する子会社であるi.JTB（アイドットジェイティービー）がWebサイトで公開する、問い合わせを受け付ける代表メールアドレスに、何者かが標的型メールを送り付けた。 i.JTBはJTBのWebサイトのほか、「るるぶトラベル」や訪日外国人向け「JAPANiCAN」といった自社運営のWebサイトで旅行商品を販売して
サイバー新国家資格「情報処理安全確保支援士」の全容、講習義務化で能力維持
2017年度から、サイバーセキュリティ人材の育成・確保を狙った新たな国家資格「情報処理安全確保支援士」制度が始動することが固まった。現行のセキュリティ試験である「情報セキュリティスペシャリスト（SC）試験」をベースとしつつ、「登録制」と「講習受講義務」を導入することで、セキュリティ人材の量と質の確保を狙う。 4月15日に国会で関連法が可決・成立し、同月27日に経済産業省産業構造審議会の「試験ワーキンググループ」が制度設計についての「中間取りまとめ」を発表した（図1、関連記事：情報セキュリティスペシャリスト合格者は「情報処理安全確保支援士」試験免除へ）。 今後は経産省と、制度の実施主体となる情報処理推進機構（IPA）による細部の詰めに焦点が移る。経産省は「中間取りまとめに基づいて準備を進める」としており、実質的に制度の大枠は固まった。資格取得を目指す人や、該当者を雇用する企業は、制度をよく理
高度なサイバー攻撃も「備えあれば憂いなし」、JPCERT/CCが対策ガイド公開
JPCERTコーディネーションセンター（JPCERT/CC）は2016年3月31日、「高度サイバー攻撃（APT）への備えと対応ガイド 企業や企業に薦める一連のプロセスについて」と題する文書を公開した。いわゆる標的型攻撃、あるいはその可能性がある攻撃を受けた企業や組織が、その特質を理解した上で慌てず対応できるよう支援することを目的としている。 2015年、国内の複数の組織や企業が標的型攻撃にさらされたことは記憶に新しい。JPCERT/CCはナショナルCSIRT（Computer Security Incident Response Team）として標的型攻撃に使われたマルウェアやその通信先であるC＆C（コマンド＆コントロール）サーバの解析結果に基づき、不審な通信の発信元となっている企業に連絡をとるといった対策の支援を行ってきた。その通知件数は、2015年4月から12月までの9カ月間で144組
VeraCrypt - Home
すべての Microsoft 製品 Global Microsoft 365 Teams Copilot Windows Surface Xbox セール 法人向け サポート ソフトウェア Windows アプリ AI OneDrive Outlook Skype OneNote Microsoft Teams PC とデバイス Xbox を購入する アクセサリ VR & 複合現実 エンタメ Xbox Game Pass Ultimate Xbox Live Gold Xbox とゲーム PC ゲーム Windows ゲーム 映画とテレビ番組 法人向け Microsoft Cloud Microsoft Security Azure Dynamics 365 一般法人向け Microsoft 365 Microsoft Industry Microsoft Power Platform W
脆弱性を抱えるソフトウェア開発キット「Moplus」、実はバックドア機能の実装が判明 | トレンドマイクロ セキュリティブログ
中国の検索エンジン「百度（Baidu）」のソフトウェア開発キット（Software Develoment Kit、SDK）「Moplus」に「Wormhole」と呼ばれる脆弱性が確認され、この脆弱性が利用された場合の影響の深刻さゆえに波紋を呼んでいます。この脆弱性は、中国の脆弱性報告プラットホーム「WooYun.og」により確認されました。 しかしながら、トレンドマイクロがこの脆弱性について調査を進めたところ、Moplus SDK 自体にバックドア機能が備わっており、必ずしもそれが脆弱性に由来または関連しているわけではないことが明らかになりました。現時点で、この問題は Moplus SDK のアクセス許可制御とアクセスの制限方法にあると見られています。そのため、脆弱性が関係していると考えられているのですが、実際には、この SDK のバックドア機能により、ユーザ権限なしに以下を実行する恐れが
エフセキュアブログ : 公衆無線Wi-Fiでのハッキング実験 日本語テロップ入り動画を公開
公衆無線Wi-Fiでのハッキング実験 日本語テロップ入り動画を公開 2015年08月04日08:00 ツイート fsecure_blog 東京発 エフセキュアは、侵入テストを専門とするMandalorian Security ServicesとCyber Security Research Instituteの協力のもと、公衆無線Wi-FiのユーザーがSNSのパスワードなど重要なデータを簡単にハッキングされることを示す実証実験を、ロンドンにて行いました。テストは英国の3人の政治家、メアリー・ハニボール欧州議会議員、デイヴィッド・デイヴィス下院議員、ストラスバーガー上院議員の許可を得た上で実施されました。 メアリー・ハニボール欧州議会議員は、フェイスブックのユーザ名とパスワードが抜き取られました。デイヴィッド・デイヴィス下院議員の場合は、ペイパルとGmailで同じユーザ名とパスワードを使用し
Flash Playerは賞味期限切れか？ 相次ぐ脆弱性を突くサイバー攻撃が国内で発生
写真1●「Adobe Flash Player」の修正プログラムが公開されるまでの間、一部のWebブラウザーではFlashコンテンツが自動的に非表示になった 米アドビシステムズが提供するWebブラウザー用のコンテンツ再生プラグイン「Adobe Flash Player」で、セキュリティ脆弱性が相次いで見つかっている（写真1）。 特に2015年7月上旬に見つかった3つの脆弱性では、問題が広く知られてから、アドビが修正プログラムを提供するまでに最大4日間のタイムラグがあった。この間にサイバー攻撃に悪用される「ゼロデイ攻撃」があったことを、アドビ自身が確認している。 3つの脆弱性は、いずれもFlash Player内部のスクリプト言語処理の欠陥を突くものだ。PC版（Windows、OS X、Linux）のすべてのFlash Playerに影響が及ぶ。細工されたWebサイトを閲覧した場合に、PCが
未知の脅威に対抗するための「6原則」――ガートナー サミットから学ぶ、これからの情報セキュリティ対策
未知の脅威に対抗するための「6原則」――ガートナー サミットから学ぶ、これからの情報セキュリティ対策：予防できない危機に対処するには 2015年7月13日、「ガートナー セキュリティ＆リスク・マネジメントサミット 2015」が開催された。本稿ではガートナーの提案するセキュリティ対策の「6つの基本原則」を紹介し、これからの情報セキュリティ対策の在り方を考えてみる。 サイバー犯罪による被害規模が増大し、多くの企業にとって、情報セキュリティ対策の重要度がますます高まっている。米シンクタンクの戦略国際問題研究所（CSIS）によれば、2014年時点で、全世界でのサイバー犯罪による年間被害総額は数十兆円に達したともいう。しかし、セキュリティ対策のための多くの規制や規格が確立され、日々更新されているにもかかわらず、セキュリティ被害は後を絶たない。高度化・巧妙化する脅威に対して、企業はどのような対策を講じ
サイバー攻撃調査をすぐにして――IPAが緊急提言
国民年金機構や東京商工会議所などで標的型サイバー攻撃とみられる大規模な情報漏えい事案が相次ぐ事態を受け、情報処理推進機構（IPA）は、企業や組織にマルウェア活動の調査などサイバー攻撃への対応を急ぐよう呼び掛けた。攻撃の早期検知と被害低減への取り組みをシステム運用管理の定常業務に組み込んでほしいとしている。 IPAが推奨する調査での確認ポイントは次の通り。 ウイルス（マルウェア）活動の痕跡 ファイアウォールやプロキシサーバの確認 外部サーバへの不正な通信のログを確認する。マルウェアによる外部のC&Cサーバ（感染PCに命令を送るサーバ）への通信が、数秒や数分間隔で繰り返し行われている。人間によるWebサイトの閲覧などでは起こりえない特徴的な通信が特定の端末から発生していないか確認する。 業務上想定していない通信の確認 プロキシを経由しない直接外部に向かう通信のログを確認する。マルウェアがプロキ
http のリクエストが勝手に https にリダイレクトされるときは Strict-Transport-Security を疑おう - べにやまぶろぐ
mysite.jp というサイトを運用していて、新たに help.mysite.jp みたいな別サイトをサブドメイン切ってかつ別の Web サーバーで用意したとします。 このサイトはヘルプページがメインなので高額な SSL 証明書をとらず http で良しとしていた…つもりが http://help.mysite.jp へのリクエストが何故か勝手に https://help.mysite.jp にリダイレクトされてしまい挙げ句の果てに証明書のエラーが出てアクセスできない、なんてことがありました。 最初は help.mysite.jp に問題があると思って色々調べていたんですが、実は問題のあったのは mysite.jp の方。mysite.jp はログイン前提のサイトだったのでこんなヘッダを設定していました。 Header set Strict-Transport-Security "max
How to clear HSTS Settings in Major Browsers | that's so … classically.me
So...I moved my hosting to a new company. No big, right? Except, I had an SSL certificate that implemented HSTS (HTTP Strict Transport Security) on my old server. When I tried to visit the moved content on the new server, all of a sudden, I was getting error messages on every page load and only Opera would actually allow me to connect. Once I figured out what was going on (that took a while...I co
HSTS Preload List Submission
I am the site owner of example.com or have their permission to preload HSTS. (If this is not the case, example.com may be sending the HSTS preload directive by accident. Please contact hstspreload@chromium.org to let us know.) I understand that preloading example.com through this form will prevent all subdomains and nested subdomains from being accessed without a valid HTTPS certificate: *.example
「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」の策定について
「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」の改定について 令和元年9月24日 内閣サイバーセキュリティセンター（ＮＩＳＣ） 平成23年3月に公表した「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル（SBDマニュアル）」について、平成30年7月に改定された「政府機関等の情報セキュリティ対策のための統一基準」に伴い改定いたしましたので、お知らせいたします。 政府機関の情報システムにおいて適切に情報セキュリティ対策を講じるためには、情報システムのライフサイクル（企画・設計・開発・運用・廃棄） において、上流の企画段階から情報セキュリティ対策を考慮し、調達仕様にセキュリティ要件を適切に組み込むことが求められます。しかしながら、セキュリティ要件については調達仕様が曖昧になりやすく、その結果セキュリティ対策に過不足が発生することがあります。 こうした問題意識
自堕落な技術者の日記 : CRYPTREC/IPA「SSL/TLS暗号設定ガイドライン」の公開と非公式設定ファイル生成ツールの公開 - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 2015年5月12日に、IPAのサイトでCRYPTRECのWGで作成した 「SSL/TLS暗号設定ガイドライン」が公開されました。 このSS/TLS設定ガイドラインが作成された背景や概要は菊池先生の CRYPTRECシンポジウム2015での 講演資料にわかりやすく書いてありますので、これをご覧頂くのが 一番よいかと思います。 このガイドラインはサーバー管理者向けに、 なるべく暗号のことは細かく触れずに、 (とはいえ細かい暗号の話も多いですが、、、) 昨年度、特に多かったSSL/TLS関連の様々な脆弱性に対して、 どのように設定すればいいのかを解説しています。 紹介されているコラムなど読み物としてもなかなかおもしろいので、 是非ご覧いただければ
TLS暗号設定ガイドライン 安全なウェブサイトのために（暗号設定対策編） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を
「サイバー脅威に適切に対応すれば評判は落ちない」、RSAが提言
写真●米EMCのRSA事業本部でRSAグローバル・パブリック・センターのCTO（最高技術責任者）を務めるマシュー・マコーマック氏 「悪人がネットワークに侵入することは大前提。セキュリティはもはやリスク管理に変わった。攻撃を受けたら、企業の評判を守るために素早く対応することが大切だ。情報共有が唯一の対策となる」――。EMCジャパンのセキュリティ部門であるRSA事業本部は2015年3月19日、都内で説明会を開き、昨今のサイバー脅威に対して日本企業がとるべき対策について解説した。 説明会では、米EMCのRSA事業本部でRSAグローバル・パブリック・センターのCTO（最高技術責任者）を務めるマシュー・マコーマック氏（写真）が登壇し、サイバー攻撃に対する米国政府の考え方を示した。米国では既に、サイバー攻撃はブロックできないという前提の下、攻撃を受けた際にどう対処すべきかという視点に立っているという。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
的確な翻訳語の有無はセキュリティ対策の議論を左右する | ScanNetSecurity
TechCrunch | Startup and Technology News
TenForward
Use of Bit 0x20 in DNS Labels to Improve Transaction Identity