脅威情報構造化記述形式STIX概説 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
STIX(Structured Threat Information eXpression) ～サイバー攻撃活動を記述するための仕様～ サイバー攻撃活動を鳥瞰するには、攻撃者(サイバー攻撃に関与している人／組織)、攻撃者の行動や手口、狙っているシステムの脆弱性など、攻撃者側の側面から状況をまとめたり、サイバー攻撃を検知するための兆候、サイバー攻撃によって引き起こされる問題、サイバー攻撃に対処するために取るべき措置などを防護側の側面から状況をまとめたりする必要があります。STIX(Structured Threat Information eXpression)(*1)は、これら関連する情報を標準化された方法で記述し、サイバー空間における脅威やサイバー攻撃の分析、サイバー攻撃を特徴付ける事象の特定、サイバー攻撃活動の管理、サイバー攻撃に関する情報を共有するために開発されました。 サイバー攻撃
ショートカットに気をつけろ！進化する標的型攻撃の脅威
特定の企業や組織を狙ったサイバー攻撃である「標的型攻撃」が後を絶たない。しかも、巧妙化の一途をたどっている。その一例が、ショートカットファイル（LNKファイル）にスクリプトウイルスを仕込む手段。テキストファイルに偽装されたショートカットファイルをダブルクリックすると、インターネットからウイルスが次々とダウンロードされ、パソコンのみならず、企業の社内ネットワークが乗っ取られる。恐ろしいまでに巧妙な、その手口を紹介しよう。 現在、企業や組織にとって大きな脅威となっているのが標的型攻撃だ。多くの場合、攻撃者はウイルス（マルウエア）を添付したメールを従業員宛てに送付する。従業員がウイルスファイルを開くと、パソコンがウイルスに感染し、攻撃者に乗っ取られる。攻撃者はその感染パソコンを踏み台にして、社内ネットワークに侵入。その企業が保有する機密情報や知的財産、顧客情報などを狙う。 不特定多数をターゲット
情報セキュリティ分野の人材不足が鮮明に、「スキル不十分」も14万人
国内企業で情報セキュリティの仕事に就く人材は約23万人。2万人強の不足があり、十分なスキルを満たしているとみられる人材は約9万人だった。 情報処理推進機構（IPA）は4月27日、「情報セキュリティ人材の育成に関する基礎調査」の報告書を公開した。企業を中心に人材数やスキルが不足していることが明らかになった。 それによると、従業員数100人以上の企業で情報セキュリティ業務に従事する技術者は約23万人に上る。内訳は100人から300人未満が約8万5000人、300人から1000人未満が約6万3000人、1000人以上が約8万1000人。それぞれの規模で6200人から8500人ほどの人材が不足しているとされ、合計で2万2000人に人材が必要とされている実態が分かった。 また業務に従事する23万について、必要なスキルと満たしていると考えられる人材は9万人強だった。約14万人に対しては何らかの教育やト
fuzzing.html#003
このウェブページでは、「脆弱性検出の普及活動」(*1)で公開した「ファジング活用の手引き」等の「ファジング」(*2)に関する手引書などを紹介しています。これらの手引書などをご活用いただき、ソフトウェア製品の開発ライフサイクルへのファジング導入につながり、ソフトウェア製品の脆弱性が減少することを期待します。 ファジングコンテンツ一覧
「『高度標的型攻撃』対策に向けたシステム設計ガイド」の公開：IPA 独立行政法人 情報処理推進機構
近年、標的型攻撃はやり取り型や水飲み場型の出現、使われるマルウェアの高機能化などますます多様化しており、被害が後を絶ちません。原因の1つには、ウイルス対策ソフト等の入口対策を突破して侵入を果たした攻撃が情報システム内部で密かに活動しているのを検知できず、情報流出等の実害が発覚するまで攻撃に気付かないことが多いことが挙げられます。 IPAでは2010年12月に「脅威と対策研究会」を設置し、標的型攻撃から組織の情報システムを守るためのシステム設計ガイドを公開してきており、本書はその最新改訂版となります。本版では、システム内部に深く侵入してくる高度な標的型攻撃を対象に、システム内部での攻撃プロセスの分析と内部対策をまとめています。 また、前版に対するヒアリング結果や意見を基に、よりシステム設計・運用現場が利用しやすいよう、改訂ポイントの1つとして、対策を以下のように整理しました。 ＜統制目標の明
Web Application Firewall 読本 | アーカイブ | IPA 独立行政法人 情報処理推進機構
2019年3月28日に、「Web Application Firewall 読本」の補足資料として、「Web Application Firewallの導入に向けた検討項目」を公開しました。 こちらは、WAFの導入を検討されている方、既に導入済みで運用を見直したい方向けに、WAFにはどのような製品・サービス種類が存在し、どのような特徴があり、 運用の際にどのような体制が必要かを解説しております。 概要 「Web Application Firewall 読本」 「Web Application Firewall 読本」は、ウェブサイト運営者がWAFの導入を検討する際に、WAFの理解を手助けするための資料です。本資料では、KISA(*1)やOWASP(*2)、WASC(*3)などの機関におけるWAFに関する取り組み、WAFの概要、機能の詳細、導入におけるポイント等をまとめました。 第1章では
中小企業に「お金を掛けずにできる具体的な対策」提示、IPA － ＠IT
2009/03/18 情報処理推進機構（IPA）は3月18日、情報セキュリティに詳しい人材が不足している中小企業向けに、最低限実施すべきセキュリティ対策を具体的にまとめた「中小企業の情報セキュリティ対策ガイドライン」を公表した。 このガイドラインは、「情報セキュリティ対策が必要なことは分かっていても、何をすべきかが分からないという疑問に対して解決策を提示するもの」（IPAセキュリティセンタ 普及グループ グループリーダーの石井茂氏）。人的リソースが少なく、また不況も相まって対策に必要な予算を十分に持たない中小企業向けに、「お金を掛けずに実行できる具体的な対策」を示す。 ISMSなどの標準に沿うならば、情報セキュリティ対策に取り組むにはまず社内の資産を洗い出し、リスクと考えられる脅威を分析して……というプロセスを取ることになる。しかしこうした手順は、中小企業にとっては敷居が高かったとIPAで
Security RSSポータル
ディスクリプションFutronic released FS25, a USB Fingerprint Mifare Card Reader and Writer. Together with its previously launched FS82 USB Fingerprint ISO7816 Smart Card Reader and Writer, Futronic is now supporting bo ITシステムの情報漏えい対策では、パスワードによるセキュリティ保護が不可欠。だがパスワードの運用方法を間違うと、大きなセキュリティホールにもなりかねない。USBキーなどと併用する方法もあるが、他人のなりすましまで防ぐことはできない。そこで利用したいのが生体認証だ。中でも最も機能性に優れた指紋認証を紹介する。
情報処理推進機構：セキュリティセンター：セキュリティ関連NIST文書
IPA/ISEC（独立行政法人情報処理推進機構 セキュリティセンター）は、 政府や企業の経営者、セキュリティ担当者などが、自組織の情報セキュリティ対策を向上させることに役立つ資料として、世界的に評価の高い海外の情報セキュリティ関連文書等の翻訳・調査研究をNRIセキュアテクノロジーズ（株）と共同で行い、その成果を一般に公開しています。 米国国立標準技術研究所（NIST: National Institute of Standards and Technology）の発行するSP800シリーズ（SP: Special Publications）とFIPS（Federal Information Processing Standards）の中から、日本において参照するニーズが高いと想定される文書の翻訳・監修を行い、公開するとともに、NISTの文書体系や内容について、日本の実情に即した解説を行うよ
脆弱性対策：情報セキュリティ白書2008 第2部 10大脅威 ますます進む「見えない化」：IPA 独立行政法人 情報処理推進機構
独立行政法人情報処理推進機構（略称：IPA、理事長：西垣 浩司）は、5月23日（金）に発刊を公表した情報セキュリティ白書2008から、第2部「10大脅威 ますます進む『見えない化』」を抜粋し、2008年5月27日（火）よりIPAのウェブサイトで公開しました。 情報セキュリティ白書2008 第2部 「10大脅威 ますます進む『見えない化』」は、IPAに届けられたコンピュータウイルス・不正アクセス・脆弱性に関する情報や一般に公開された情報を基にまとめたものです。「情報セキュリティ早期警戒パートナーシップ(*1)」に参画する関係者のほか、情報セキュリティ分野における研究者、実務担当者など104名から構成される「情報セキュリティ検討会」で、2007年に「印象が強かったもの」、「社会的影響が大きいもの」などの観点から投票を行い、10大脅威を選択、分析し、今後の対策をまとめました。 近年、利用者が攻撃
「ウェブサイト運営者のための脆弱性対応ガイド」などを公開：IPA 独立行政法人 情報処理推進機構
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原武平太）は、ソフトウェア製品やウェブサイトのセキュリティ対策などを推進するため、「ウェブサイト運営者のための脆弱性対応ガイド」を含む報告書をとりまとめ、2008年2月28日（木）より、IPAのウェブサイトで公開しました。 本ガイドは、「情報システム等の脆弱性情報の取扱いに関する研究会」（座長：土居範久 中央大学教授）において、昨年7月から行われた検討の成果です。 IPAでは、IPAから脆弱性に関して通知を行ったウェブサイト運営者や、情報システムの構築事業者、セキュリティに関する有識者など16組織に対して、昨年9月から本年1月までにヒアリングを行い、ウェブサイトの脆弱性対策を促進する上での課題を抽出しました。 このヒアリングにおいて、一部のウェブサイト運営者は情報システムの脆弱性対策について、ウイルス・不正アクセス対策などの他の情報セ
「本当に怖いのは、ウイルスの“二次攻撃”」――専門家が解説
「最近増えている『ダウンローダー型』のウイルス（マルウエア）は、感染すると別のウイルスコードをダウンロードして展開・実行する。何が起こるのかは、ダウンロードされる“第二のウイルス”によって異なるため、脅威（危険性）を分析することが難しい」。 情報処理推進機構（IPA）の情報セキュリティ技術ラボラトリー研究員を務める鵜飼裕司氏は2008年2月20日、IPAとJPCERTコーディネーションセンター（JPCERT/CC）が開催した「重要インフラ情報セキュリティフォーラム2008」において、同氏が実施したウイルス解析の結果などについて講演した（図1）。 従来、ウイルスは単体で動作するものがほとんどだった。感染機能を持つウイルスに、例えば「情報を盗む」といった悪質な機能も実装されていた。この場合には、感染したウイルスを解析すれば、その危険性や被害の程度を調べること（脅威分析すること）ができた。 とこ
IPA、「TCP/IPに係る既知の脆弱性検証ツール」を公開
IPA/ISEC（独立行政法人 情報処理推進機構セキュリティセンター）は2月6日、「TCP/IPに係る既知の脆弱性検証ツール」を公開した。インターネットに接続する電子機器の情報セキュリティ対策を推進することを目的に、TCP/IPを実装する製品の開発者向けに無償で貸し出しを行う。 コンピュータをはじめとしたインターネットに接続する電子機器には、TCP/IPソフトウェアが組み込まれており、近年では情報家電や携帯端末などの組込み機器にも採用されている。しかし、TCP/IPを実装したソフトウェアには、これまで多くの脆弱性が確認されている。 発見された脆弱性はその都度公表され、機器ごとに対策が施されている。しかし、こうした脆弱性を体系的に検証するツールが整備されてこなかったことから、新たに開発されるソフトウェアで、すでに公表されている脆弱性の対策が実装されず、脆弱性が「再発」するケースが見受けられる
TCP/IPに係る既知の脆弱性に関する調査報告書：IPA 独立行政法人 情報処理推進機構
コンピュータをはじめとしたインターネットに接続する電子機器には、TCP/IPソフトウェアが組み込まれています。 近年では、情報家電や携帯端末などの電子機器にも使われるようになり、TCP/IPソフトウェアは広く利用されています。 TCP/IPを実装したソフトウェアは、これまで多くの脆弱性が発見、公表され、機器ごとに対策が実装されてきました。しかし、こうした脆弱性の詳細な情報をとりまとめた資料がなかったことから、新たに開発されるソフトウェアで既に公表されている脆弱性の対策が実装されておらず、脆弱性が「再発」するケースが見受けられます。 このような課題に対応するため、IPAでは、TCP/IPに関する既知の脆弱性を取り上げ、TCP/IP実装時の情報セキュリティ対策の向上を目指して調査を実施しました。 本報告書は、一般に公表されているTCP/IPに関する既知の脆弱性情報を収集分析し、詳細な解説書とし
「生体認証導入・運用のためのガイドライン」「生体認証利用のしおり」を公開 - 独立行政法人 情報処理推進機構 セキュリティセンター
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）は、生体認証の情報セキュリティ対策を推進するため、生体認証を導入しようとしている担当者及び意思決定者、または既に生体認証を導入済みの担当者を対象とした「生体認証導入・運用のためのガイドライン」として2007年7月18日（水）より、生体認証の利用者を対象とした「生体認証利用のしおり」を2007年12月19日（水）よりIPAのウェブサイトで公開しました。 本ガイドラインは、「バイオメトリクス・セキュリティ評価に関する研究会」（座長：小松 尚久 早稲田大学教授）において、昨年12月から行われた検討の成果です。 「生体認証導入・運用のためのガイドライン」及び「生体認証利用のしおり」は、近年急速に普及している生体の特徴（指紋、静脈、虹彩等）を利用した生体認証システムのセキュリティに関わる状況について、正しい理解を深め、適切な利用の
セキュリティ要件研究会活動：IPA - 家庭内インフラ管理者の独り言（はなずきんの日記っぽいの）
まだ今時点ではダウンロードができないようですが... セキュリティ要件検討支援ツール取扱いマニュアル(pdf)の二ページ目より。 ・目的 調達する情報システムに必要となるセキュリティ要件（技術及び運用）の検討・抽出作業を効果的に支援します 実用的であること。特にセキュリティに関する詳細なリスク分析等を行わずに、推奨するシステムセキュリティ要件を抽出します ・前提とするもの 以下の各種の基準をセキュリティ要件のベースライン（最低限のセキュリティ管理策）とすることができます。 政府機関の統一基準（NISD-K303-052）の基本遵守事項 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン(案)」 SP800-53のセキュリティ管理策（高レベル、中レベル、低レベル） 各自治体において遵守しているセキュリティポリシー SP800-53は情報処理推進機構：セキュリティセンター
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA「最新の情報セキュリティ対策に関する文書」 - 情報セキュリティプロフェッショナルをめざそう！(Sec. Pro. Hacks)
情報処理推進機構：情報セキュリティ：セキュリティ評価・認証：評価基準