ファイル名は「左から右に読む」とは限らない?!：セキュリティTips for Today（8）（1/3 ページ） 私たちの常識が世界では通用しないことがあります。攻撃者はそんな心のすきを狙って、落とし穴を仕掛けます。今回はそれを再認識させるかのような手法と、その対策Tipsを解説します（編集部） 皆さんこんにちは、飯田です。先日、セキュリティ管理者の方々と「今後のウイルス対策のあり方」について意見交換をする機会がありました。参加者からは活発な意見や質問も飛び交い、盛り上がりを見せた意見交換会となりました。私自身も多くの気付きや学びを得ることができ、貴重な時間を過ごすことができました。 その意見交換会の中で、Unicodeの制御文字を利用したファイルの拡張子偽装の話題が出ました。この手法は目新しい手法ではなく、数年前からすでに指摘されていたものです。しかし、久しぶりに本手法について議論するこ

2004年、ウイルスは新世紀へ。コンピュータウイルスの歴史をひもとく旅、後編は“攻撃者”の狙いが徐々に変化するさまを追います。 ※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、ウイルス対策ソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。 また、本記事を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 第12回「プレイバックPart.I：ウイルスのかたち、脅威のかたち」に引き続き、コンピュータウイルスの過去を振り

※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、ウイルス対策ソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。 また、本記事を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 第11回「ハニーポットによるウイルス捕獲から見えてくるもの」では、夏休みの自由研究と称して、ハニーポットを用いた昆虫採集ならぬ、コンピュータウイルス採集の方法を紹介した。今回はその続きとして、コンピュータウイルスとは何かを考えていきたい。コ

DNSキャッシュポイズニングの本質的な問題点 DNSキャッシュポイズニングの本質的な問題点は、利用可能なトランザクションIDの総数が16ビット（65536）であるDNSのプロトコル仕様が、時代の変遷により貧弱となってしまったことにあります。DNSの仕様が確定した時代、コンピュータの性能がいまよりずっと貧弱な時代では、確かにこのような仕様でも十分だったのかもしれません。 しかし、コンピュータとネットワークの性能が飛躍的に向上したことは誰の目にも明らかで、近所の家電量販店で20年前のスーパーコンピュータ以上の性能を持つパソコンや、当時では考えられなかったGigabit Ethernet機器を手軽に買えるようになり、そして100Mbpsの超高速なインターネット接続環境が普及した現在では、現状のDNSプロトコル仕様が貧弱になってしまった事実は否めません。 とはいえ、ここでDNSプロトコルの仕様を拡

カミンスキー氏が発表したDNSアタック手法と対策例：DNSキャッシュポイズニングの影響と対策（前編）（1/4 ページ） 2008年7月に公開されたDNSキャッシュポイズニングの脆弱性。DNSの仕様に深く関係するこの手法に対して、エンジニアはどのように対策を打つべきでしょうか。この脆弱性の本質的な問題と対策、そして私たちが考えなくてはならないセキュリティの心構えなど、2回に分けてお送りします（編集部） ※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク、コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、アンチウイルスソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークや

昨年、情報処理推進機構（IPA）が開催したIT業界の重鎮と現役学生による討論会で、学生の持つIT業界への「ネガティブイメージ」が明らかにされたのは記憶に新しい。5月28日、IPAが開催したイベント「IPAX2008」で、再び経営者と学生の討論会が行われた。IT産業が国際的な飛躍をめざすために学生に期待することが今年の討論のテーマ。 学生側は、慶應義塾大学、九州大学、千葉工業大学、東京情報大学、東京工科専門学校から各校2人ずつ、計10人が出席。一方、産業界代表としてCSKホールディングス 取締役 有賀貞一氏と、コムチュア 代表取締役社長 向浩一氏が討論を行った。また、IPAからは理事長の西垣浩司氏が参加した。司会はインプレスR&Dの田口潤氏が行った。 「ポジティブなビジョンを提示して」 「産業を問わず、やりがいのある仕事のイメージ」について学生に質問をしたところ、「達成感がある」「自分の成長

情報処理推進機構（IPA）はIT人材の育成を目的とした予備調査の結果を2月18日に発表した。IT業界の転職についての調査で、40歳代を境にIT関連業務から、ITとは無関係な業務に転職する人が50％を超えるなど、一部でささやかれる「プログラマ35歳定年説」を思い起こさせる結果になっている。 IPAはIT人材育成について5つのテーマで調査した。一般企業やIT企業の人材動向の調査結果は1月29日に公開した（参考記事： IT企業、新卒採用苦戦の理由は「仕事のイメージが悪い」）。今回は教育機関向け調査のほかに、オフショア開発、IT人材の派遣、個人事業主、転職などについての調査結果を発表した。教育機関向けについての記事はこちら（学生の「人気」「質」低落傾向で大丈夫？　大学情報系学部を調査）。 転職についての調査は、IT業界で勤務経験がある約500人の転職経験者を対象に2007年7月にWebアンケートを

古代、日本では本名を知られることは相手に支配されることと同義でした。それは本の中だけの話ではなく、“ユーザー名”でも同じこと これまでは、インターネットに公開されることを主な目的としたサービスを中心に取り上げた。そして、第6回「己を知り、敵を知る――Nmapで見つめ直す自分の姿」の冒頭で、ペネトレーションテストにおいての検査経路は、想定するシチュエーションによって多数存在するという話をした。 そこで、今回からは、インターネットのみに公開されることを想定したサービスだけではなく、組織の内部ネットワークで提供されていることが多いサービスや内部ネットワークの調査などに視点を移していこうと思う。 ※ご注意 本記事に掲載した行為を自身の管理下にないネットワークに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的処置を取られる可能性もあります。このような調査を行う場合は、くれぐれも許可を取

情報処理推進機構（IPA）は、人材不足が深刻化する日本のIT業界の現状を調査するため、IT人材についての実態調査を実施し、1月28日に結果を公開した。大学卒、大学院卒の新卒学生がIT企業に興味を持たなくなったともいわれているが、当のIT企業が新卒採用の課題として挙げた答えのトップは「業界の仕事のイメージがよくない」だった。 調査はIT人材についての総合的な調査の予備調査の位置付け。IT企業とユーザー企業に分けて2007年9月に調査を行った。IT企業は357社が回答。回答企業の65.8％は受託開発ソフトウェア業、12.3％が情報処理サービス業、6.7％がパッケージソフトウェア業など。 IT企業の今年度の新卒採用については40.9％のIT企業が「ほぼ目標どおり」と回答。ただ、「目標を下回った」という企業も3割以上あり、苦戦は続いているようだ。特にほぼ目標どおりの採用を確保している従業員1000

やめないで「初級シスアド」、2009年春までの延長を決定：情報処理技術者試験改革、IPAが最終報告 情報処理推進機構（IPA）は12月25日、情報処理技術者試験の制度改革についての「最終報告書」を発表した。新試験の実施は平成21年度春期からで、現行試験の実施は平成20年度秋期まで。だが、現行試験のうち「初級システムアドミニストレータ試験」のみ、平成21年度春期まで継続実施することを決めた。 IPAではかねて制度改革について議論を進め、今年9月7日に中間報告を行っている（参考記事：「初級シスアド」消える――情報処理技術者試験が大改革へ）。今回の最終報告では、中間報告直後に募集したパブリックコメントの内容も踏まえて検討を行った結果をまとめている。 情報処理技術者試験改革の最大の目的は、高度IT人材の育成を目指して経済産業省が進める「共通キャリア／スキルフレームワーク」におけるレベル判定の尺度に

セキュリティ対策の行き着くところは……最終手段？ 京都に究極のセキュリティ対策を見た：Security&Trust ウォッチ（51） セキュリティ要件もばっちり！ 設計も完ぺき！ クロスサイトスクリプティングやCSRFといった脆弱性の対策もやったはず。ファイアウォールもIDSも設置したし、万全の体制のはずだ。しかし、何か不安だ……。 そんなことってありますよね。そんなとき、最後はやっぱり神頼みです。コンピュータやセキュリティまで面倒を見てくれるという、京都・嵐山にある法輪寺電電宮へお参りしてみましょう。 エンジニアなら知っておきたいスポット、法輪寺電電宮とは 法輪寺電電宮は、本尊虚空蔵大菩薩のご誓願をもとに電気・電波の祖神として、電力・電気・電波などのあらゆる電気関係事業の発展と無事故安全を祈願して奉祀されています。 電気・電波の祖神というと、最近できたお寺なのではと思うかもしれませんが、