当社初のセキュリティインシデント発生 | ロードバランスすだちくん
シンジです。もっとそれっぽい報告書みたいな感じにしてもよかったんです。事故報告書ってPDFにしてそれっぽくすると、読む気が湧き上がる種族っているじゃないですか。俺なんですけど。書くの面倒だったのでブログで勘弁。 何が起きたか 従業員が、お客さんに送るメールで、添付ファイルを間違えて送りました。端的に書けばそれだけです。 どういうことすか A社さんに送付したかった見積書のPDFファイルがありました A社さんにメールを書いてファイルを添付して送信しました A社さんから「これちがくね？」って返事が来ました 担当者は謝罪してメールを消すように連絡を入れました 担当者はシンジに「間違えたファイル送っちゃいました！」ってSlackでメンションして連絡しました まぁこんな具合です。 問題点 ひとつめ ウチの会社のWebサイトを見てもらうとインフラ構成が書いてあるのでそれでざっくり分かるのですが、そもそも
2018年版セキュリティ担当者が情報収集する際に見ておくべき資料・サイト80選
組織のセキュリティ対策 2018.7.25 あなたはセキュリティ業務に関連する情報（webサイトや資料）を整理できていますか？ 情報の移り変わりはとても早く、ご存知の通り情報セキュリティの世界も新しい情報を常にインプットしていかなければなりません。ただでさえ忙しい中、新しい情報をキャッチアップし続けるための手間も最小限に抑えたい、そんな想いを持つ方も多いのではないでしょうか。 そこで、今回は「情報セキュリティ担当者がどのサイト・資料に目を通しておけばいいか」を、下記のような視点から80個厳選してまとめました。 ・セキュリティ対策、インシデント情報、脆弱性情報に関する情報を素早くキャッチしたい ・企画資料のために使えそうな統計データや情報が欲しい ・新人研修のための資料を探している RSS、Social Media、キュレーションサイト等情報の入手方法はいろいろありますが、このような形でまと
サイバー警察に家宅捜索を受けた際の体験談
はじめに これは、私が2018年4月に埼玉県警のサイバー警察に自宅の家宅捜索を受けた時の体験談です。 事実を出来るだけ詳細に記載致します。また、大変稚拙で恐れ入りますが私自身の正直な気持ちも一緒に書き留めています。 また、事件内容の詳細につきましては、警察に口止めされている上、私も捜査を妨害する意図などは全くなく捜査上の秘密が守られることは個人的にも大切だと理解し同意もしているので掲載しないこととします。 この記事の掲載目的は、主権者（納税者）である私以外の国民の皆様に、行政組織の1つである警察から私と同じような体験をして頂きたくないという点と、サイバー警察組織の現状を垣間見た一市民、一ITエンジニアとして私が感じたこと、体験致しましたことを皆様に共有させて頂ければと思い執筆させて頂きました。 登場人物の紹介 ここでは、少し話が長くなりますので先に登場人物をまとめさせて頂きます。 私：自営
システムソフトウェアに対する攻撃の歴史と傾向 - 高度標的型攻撃や国家に支援された攻撃の仕組み - - るくすの日記 ~ Out_Of_Range ~
A History of system-level offensive security researches: How is your system compromised by nation state hacking, APT attack はじめに 企業や個人に対するサイバー攻撃の頻度は年々増加の一途を辿っているが、これらはskiddyによる悪戯程度の物から、企業を標的とした高度な標的型攻撃、あるいは政府による諜報活動に至るまで多岐にわたっている。 特に大規模な組織や政府による綿密に練られたサイバー攻撃は、確実に目的を果たすために高度な手段が講じられる事が多い。 本記事では高度標的型攻撃や政府による諜報活動で用いられる手法の一つとして、"システムソフトウェアに対する攻撃"について紹介する。 これはオペレーティングシステム (OS) や仮想マシン、ファームウェアといった基盤システムを
高木浩光＠自宅の日記 - 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」
■ 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」 序章 昨日の読売新聞朝刊解説面に以下の記事が出た。 ［解説スペシャル］ウイルスか合法技術か 他人のPC「借用」 仮想通貨計算 サイトに設置 摘発相次ぐ, 読売新聞2018年6月9日朝刊 「まさか違法とは……」。こううなだれる首都圏のウェブデザイナー（30）は今年3月、横浜地検にウイルス保管罪で略式起訴され、罰金10万円の略式命令を受けた。自分の運営する音楽サイトに昨秋、「コインハイブ」と呼ばれるコインマイナー用のプログラムを設置したところ、これがウイルスと判断されたのだ。 （略）昨年末から神奈川や宮城、栃木、茨城県警など全国の警察が捜査を開始。これまでに確認できただけで5人のサイト運営者がウイルスの供用や保管などの容疑で捜索を受け、既に略式命令を受けたケースもある。（略） 略式命令を受けたウェブデザイナー
3つの事件で振り返る「何をやったらウイルス罪で捕まるか2017」 - Tetsu=TaLowの雑記（はてブロ版）
この記事はkmc-id tetsu (id:tetsutalow)によるKMCアドベントカレンダー2017の24日目の記事です。遅刻です。 adventar.org 23日はwass88くんの予定だったのですが現時点ではまだ上がってないですね。「年内･･･」だそうですので、年内にはupできるように頑張って下さい。かくいう私もすっかり忘れてて慌てて書いてるので遅刻です。そもそもブログエントリそのものがほぼ1年ぶりじゃないですか困ったなぁ。 はじめに メリークリスマス、Tetsu=TaLowです(kmc-idはtetsu)。KMC 31回生です。今年もKMC最年長ヒラ部員を続けてます。昨年書いた素数秒記事が思いのほか楽しかったので、今年も勢いでエントリしてしまいました。来年にはついにKMC 32回生、片手で数えられなくなってしまう*1のね･･･ さてこれを書き始めた日はクリスマスイブだったので
仮想通貨マイニング（Coinhive）で家宅捜索を受けた話 - Webを楽しもう「ドークツ」
表題の通り、お恥ずかしい限りではありますが、人生ではじめて警察（神奈川県警！）のお世話になる運びとなりました。 罪状としては「不正指令電磁的記録 取得・保管罪」、通称ウイルス罪とのことで、まさに青天の霹靂の思いです。 以下ではこの度起こったことを可能な範囲でありのまま共有できればと思います。 この記事の目的まず、この記事を公開した目的は「他のクリエイターの人に同じ経験をして欲しくない」という一点に尽きます。 手前味噌ではありますが、私はこれまで多くの尊敬するクリエイターの方々と同じように「良いクリエイターであろう」と腐心し、できうるかぎりの努力をしてきたつもりです。 今回の件に関しても決して私利私欲のためではなく、あくまでユーザーのためにできることを、と模索した結果でした。 それがこのような形で取り沙汰されることとなり、残念という他ありません。 忸怩たる思いではありますが、この件から何かし
「Have I Been Pwned」のメールアカウント漏洩通知サービス「Notify me」と「Domain search」登録メモ | (n)inja csirt
「Have I Been Pwned」のメールアカウント漏洩通知サービス「Notify me」と「Domain search」登録メモ memo 今年度に入ったあたりからメールとパスワードのセットが流出しているであるとか、売買されているというニュースやリリースなどが目立つと感じています。 そういった内容を受けてかプライベート、仕事の繋がりのある方からお問い合わせをいただくこともあります。問い合わせの内容としては「あなたのところの組織のメールアドレスとパスワードがダークウェブで売買されているのを発見した。それについての情報提供が必要であればうちのサービスを契約しませんか？」という売り込みを受けたのだが、何か情報持ってない？といったような類いのものです。こうした状況はあまりよろしくない気がするので、そんな状況を少しでも緩和することができそうな「Have I Been Pwned」というサイトの
今日からGDPR施行だけど実は何もしてなかったぜというWEB担当者のために書いた - フジイユウジ::ドットネット
こんにちはこんにちは。5月25日ですね。 今日からGDPR施行じゃないですか。 ヤバくない? 何もしてなくない? やっべえな、というWEBサイト担当者/アプリ開発者のためにブログをしたためます。 内容的には「GDPR、何をしたらいいかも何もわからん」という人向けです。これでバッチリ適法、というレベルになるわけではないことは理解して読んでね。 できる限り適切に書いているけれど、この通りにしたら酷い目に遭ったぞなどのクレームは受け付けません(免責)。 あと、プライバシー保護ガチ勢の人はユルい内容に怒らないで欲しい。間違いへのツッコミかあれば歓迎ですが優しくお願います。 長いからこれだけ読んでおくと大丈夫 ① 欧州圏からアクセスできるとかユーザー1人いるとGDPR対象事業者になる、わけじゃない ② プライバシーポリシー更新してるだけで対応済みとしている企業も多い セキュリティコンサル的な会社が専
暗号化メールを平文で読まれる恐れ、「PGP」「S/MIME」に脆弱性
電子メールの暗号化に広く使われている規格に、暗号化されたメッセージを攻撃者が平文で入手できてしまう脆弱性が報告された。特にApple Mail、iOS Mail、Mozilla Thunderbirdなどのメールクライアントが危険だという。 電子メールの暗号化に広く使われている「PGP」「S/MIME」の両規格に、暗号化されたメッセージを攻撃者が平文で入手できてしまう脆弱性が報告された。米電子フロンティア財団は当面の対策として、電子メールクライアントのPGPを無効にし、別の手段に切り替えるよう勧告している。 脆弱性はドイツのミュンスター応用科学大学などの研究チームが発見し、「EFAIL」と命名。2018年5月13日から14日にかけて技術論文などを公開した。 電子フロンティア財団の発表やEFAIL解説サイトによると、EFAIL攻撃ではHTMLメールなどのコンテンツを悪用する手口で平文が抽出さ
EU一般データ保護規則(GDPR)への対応に向けたやるべき事まとめ – 週休７日で働きたい
EUの個人情報保護に関する新しい法律(General Data Protection Regulation)が2018年5月25日から施行される。EUの居住者に対してサービスを提供していて個人情報を取り扱っている業者は、たとえ個人であろうとも遵守義務が課せられる。 最近多くのサービスがプライバシーポリシーの改定を行っているのはそのためである。個人で作っている自分のサービスにもEUのユーザが沢山いるので、そろそろ対応しなければならない(遅い)。 今回はEUの法律によるものだが、内容は至極真っ当な、客観的に見れば当たり前のルールだ。将来的には事実上のデファクトとなり、アメリカや日本もこの法律に倣うのは時間の問題だろう。だから「日本人向けのサービスだから大丈夫」とほったらかしにしている業者は後々痛い目に遭うだろう。 Twitter社がパスワードをログに記録していた件は記憶に新しいが、今これが公に
SSL/TLS暗号設定ガイドライン 第2.0版の公開 | CRYPTREC
トピックス SSL/TLS暗号設定ガイドライン 第2.0版の公開 平成30年5月8日 国立研究開発法人 情報通信研究機構 独立行政法人 情報処理推進機構 国立研究開発法人情報通信研究機構 (略称NICT) と独立行政法人情報処理推進機構 (略称IPA) が共同で運営する「暗号技術活用委員会」の2017年度の活動成果として、SSL/TLS暗号設定ガイドライン 第2.0版を改訂しましたので、公開いたします。 「SSL/TLS暗号設定ガイドライン」第2.0版 本報告書に対するお問い合わせは、下記までお願いいたします。 問い合わせ等の受付はe-mailのみといたします。 CRYPTREC事務局 E-mail :
「SSL/TLS暗号設定ガイドライン 第2.0版」を読んで - ぼちぼち日記
1. はじめに 昨日「SSL/TLS暗号設定ガイドライン 第2.0版」が公開されました。 前回から約3年経って今回はCRYPTREC暗号技術活用委員会で検討作業が行われたようです。 普段、TLS/HTTPSの記事を書いたり発表したりしている立場上、これを見逃すわけにはいけません。 本文冒頭では、 「本ガイドラインは、2018 年 3 月時点における、SSL/TLS 通信での安全性と可用性（相互接続性）のバランスを踏まえた SSL/TLS サーバの設定方法を示すものである。」 ということなので、できたてほっかほっかの最新ガイドラインを読ませていただきました。 読み進めてみるとChangelogが細かく書いてなく、以前のバージョンとどこがどう変わったのかよくわかりません。TLS1.3とかは絶対に新しく入った内容なんですが、細かいところはどうだろう… それでも全部(SSL-VPNを除く)をざっと
第26回 エンドポイントセキュリティは「7つの階層」に分けて考えよう
第26回 エンドポイントセキュリティは「7つの階層」に分けて考えよう：変わるWindows、変わる情シス（1/3 ページ） 働き方改革などのトレンドによって、エンドポイントセキュリティの重要性が高まっています。今回はエンドポイントセキュリティを「7つの階層」に分け、Windows 10が備えるセキュリティ機能をまとめてみようと思います。 労働における場所と時間の制約を取り払う――。昨今は、働き方改革などのトレンドによって、情報が漏えいするリスクは増え続けています。特に社外でデバイスを使うとなると対策は手薄になりがち。そんな背景もあり、さまざまな企業でエンドポイントセキュリティの重要性が高まっているように感じています。 私自身は、クライアントにエンドポイントセキュリティを説明するときは、下の図のような「7つの階層」を意識して話すことが多いです。今、世の中にある製品群は、おおよそ以下の7つに分
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
PC最適化ツール「CCleaner」を踏み台にした標的型攻撃のマルウェア混入ルートが判明
By download.net.pl 2017年8月から9月にかけて、PC最適化ツール「CCleaner」にマルウェアが混入された状態で配布され、IntelやMicrosoft、ソニー、富士通など世界の大企業に標的型攻撃が実行されるという出来事が発生しました。この件について、CClearnerの開発元を買収していたセキュリティ関連企業Avastが調査結果を2018年4月17日に公開し、ハッカーはリモートログインサービス「TeamViewer」を使って事件の5カ月前にサーバーに侵入してバックドアを作っていたことなどを明らかにしています。 Recent findings from CCleaner APT investigation reveal that attackers entered the Piriform network via TeamViewer | Avast https:/
サイバー攻撃とのはてなき戦い--“暗号アルゴリズムの危殆化”における問題点と技術者に求められるモノ
情報処理における全国のエキスパートが一堂に会したリクルート主催の「春の情報処理祭」。株式会社インターネットイニシアティブの須賀祐治氏は、暗号技術を取り巻く現在の状況ついて語りました。（春の情報処理祭りin京都より） 深刻な情報セキュリティ技術者不足 須賀祐治氏：はい、じゃあ、須賀です。さっさと始めます。（スライドが）220枚ぐらいあります。絶対無理です！ 登場曲についてなんですけど、社内のみんなに「どんなのがいいかね？」って。石野卓球のCDだったり、電気グルーヴのCDだったり、クラッシック系だとリスト辺りがいいかなと思ったんですけど、結局最終的にこれ（『石野卓球 MIX-UP Vol.1』）にしました。 なぜかというと、修士1年、2年ぐらいのときによくこれを聴きながら論文を書いてたっていう記憶がありました。それで、これ、なかなか見つからなくて、うちの3階の納屋みたいなところにあって、やっと
米国セキュリティ対策基準「NIST SP 800-171」対応のポイント
EMCジャパンRSA事業本部は4月12日、米国サイバーセキュリティ対策基準「NIST SP 800-171」に関する説明会を開催した。SP 800-171は米国防総省が取引企業に準拠を求めるものだが、今後、日本企業も同等の水準を求められる可能性があるという。IPAもNISTが発行しているSP800シリーズとFIPSの中から、日本において参照するニーズが高いと想定される文書の翻訳・監修を行い、公開している。 RSA APJ Chief Cyber Security Advisor レナード・クレインマン氏は初めに、世界各国が国レベルでサイバー攻撃に対抗するために戦略を策定しており、サイバー戦略において、「Resilience」という考え方が組み込まれてきていることを示した。 Rresilienceとは日本語に訳すと「回復力」となり、セキュリティ分野においては、攻撃を受けてシステムがダウンして
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA「情報セキュリティ白書2018」PDF版の無料公開開始！ 仮想通貨やIoTなどをテーマに解説 
SSL Server Test (Powered by Qualys SSL Labs)