TrueCryptで暗号化された仮想ディスクを作成する － ＠IT
TrueCryptで暗号化された仮想ディスクを作成し、それをUSBメモリなどに保存することで情報漏えいの危険性を大幅に低減できる。 顧客情報を保存したノートPCやUSBメモリを紛失してしまった、大事なデータを保存したオンラインストレージの設定を誤って公開状態にしていたなど、たびたびニュースなどでも情報漏えいの事件として報道される。顧客情報などの重要なデータを外部に持ち出さないことは、情報セキュリティを確保するうえでの常識となっているが、実際にはさまざまな理由から重要なデータを持ち運ばなければならないことがある。 このような場合、データを「素のまま」保存せず、暗号化しておけば、万が一、USBメモリなどを紛失しても情報漏えいの危険性は大幅に低減できる。しかし、ファイルをコピーするたびに暗号化するのは少々面倒だ。 そこで、暗号化仮想ドライブを作成し、そこにコピーするだけで暗号化が行えるフリーソフ
Flash Playerの最新版を社内に漏れなく確実に展開する方法
Flash Playerの最新版を社内に漏れなく確実に展開する方法 再配布版MSIファイルを活用しグループ ポリシーによりインストール ある企業のシステム管理者から「Flash Playerの起動時ごとに，毎回更新を自動確認する方法を教えてもらったが，もう一歩踏み込んで，Flash Playerを社内で漏れなく確実に更新させる方法はないか？システム管理者側に手間が掛かってもよいので，対処方法をアドバイスしてほしい」と相談を受けました。 前回のコラム「長すぎるFlash Playerの自動更新間隔，“隠し設定”でカスタマイズを」では，「Adobe Flash Player」の自動更新チェックのデフォルトである“30日間ごと”の間隔を，「グローバル通知設定」パネルや，プライバシおよびセキュリティに関する各種設定値を記述する「mms.cfg」ファイルを配置して変更する方法を説明しました。 ただ，
F-Secureのサイトが改ざん被害、SQLインジェクション攻撃の標的に
ルーマニアの組織がセキュリティ企業のWebサイトを連続攻撃している。Kasperskyに続いてF-Secureが被害に遭った。 フィンランドのセキュリティ企業F-Secureは2月12日のブログで、同社のサーバがSQLインジェクション攻撃を受けたことを明らかにした。 F-Secureによれば、ここ数日でルーマニアの組織がセキュリティ企業のWebサイトを狙って攻撃を仕掛けるケースが相次いでいる。ロシアのKaspersky Labも先に、米国向けのサポートサイトが攻撃された事実を公表していた。 F-Secureの場合、マルウェアの統計を収集するために使っていたサーバに入力値チェックが不十分なページがあり、そこを突かれて攻撃されたという。 ただし攻撃側はデータベースの情報を読むことはできても、それを書き換えたり操作することはできなかったと説明。しかもこのデータベースには統計ページで公開している情
人員削減に伴うユーザーアカウントの解除
景気低迷期には多くの企業が、商品やサービスの需要減少に対応するために組織のリストラを迫られる。このようなリストラは大規模なレイオフを伴うことが多く、そうしたレイオフは一般に、経営上層部が前もって決めた日に実施される。本稿では、人員削減の際に慌ただしく仕事をこなすことを要求される情報セキュリティ・IT管理担当者に役立つように、多数のシステムアカウントの解除を管理するための基本的なポイントを説明する。 ユーザーアカウント解除の厄介さ 情報セキュリティ・IT管理担当者の多くは、近いうちに人員削減が行われることになっても、ほとんど、あるいはまったく知らされない。このため、ユーザーアカウントガバナンスの責任者は、2つの厄介な課題に対応しなければならない。1つは、各種のシステム全体にわたって、人員削減対象者に割り当てられたアカウントをすべて特定すること。もう1つは、それらのアカウントを短時間のうちに無
「カーネルのセキュリティ問題が多すぎる」---第9回 The Linux Foundation Japan Symposium
Linuxの普及促進や標準化などを行う非営利団体「The Linux Foundation Japan」は2008年11月19日，技術者向けイベント「The Linux Foundation Japan Symposium」を開催した。9回めとなる今回のシンポジウムでは，「ファイル・システム」を中心テーマに，Linuxカーネルの最新動向や，資源管理，次世代ファイル・システムなどについての講演があった。 最初の講演は，技術ニュース・サイト「LWN.net」を主宰するJonathan Corbet氏（写真1）によるLinuxカーネルの開発動向紹介である。 まず同氏は，2008年1月24日リリースの「カーネル2.6.24」から10月9日リリースの「カーネル2.6.27」までにどのような新機能や改良が加えられたかを紹介した。カーネル2.6.24で実施されたx86とx86_64とのコード統合を「ずっ
神戸デジタル・ラボの「セルフチェックかんたん5」は試すな危険 - ockeghem's blog
株式会社神戸デジタル・ラボが公表している「セルフチェックかんたん5」がWebアプリケーションセキュリティの一部専門家の間で話題になっている。 mi1kmanさん経由。 神戸デジタル・ラボさんの Webセキュリティ診断の販促ページ。 色々と言いたいことはありますが、一番は、「Webサイトセキュリティチェックリスト」の7ページ目：【中略】の部分ですかね。 手元の IE7/Firefox3 で試してみた限りでは、「http://int21h.jp/../」にアクセスした場合、ブラウザから出るリクエストの時点で「GET / HTTP/1.1」になっていました。（ブラウザが勝手に訂正してくれるので、GET /../ HTTP/1.1 のようなリクエストが送信されることは無さそう。） はたして“何らかのエラーメッセージ”が表示されることはあるのでしょうか…。(^-^; http://yamagata.
ネットに自宅の写真…世界に波紋 グーグル「ストリートビュー」 (1/4ページ) - MSN産経ニュース
「プライバシー侵害」町田市議会が意見書 インターネットで道路沿いの風景写真を閲覧できる新サービス「ストリートビュー」をめぐり、世界的に論議が起きている。外出の計画に利用できるなど便利さの一方で、自宅が勝手に世界中に公開される「プライバシーなき社会」が加速するためだ。日本でも東京都町田市議会が国や都に規制を求めて意見書を提出、問題を提起した。（徳光一輝） ストリートビューは、米ネット検索最大手のグーグル社のサービス。ネット上の地図で特定の地域を閲覧すると、地上２．５メートルの高さから撮影した３６０度のパノラマ写真を無料で見られる。昨年５月に米国で開始、今年８月に日本と豪州へ拡大、今月中旬からフランスでも始まった。日本国内ではグーグル社の車が屋根にカメラを乗せて走り回り、現在、東京、埼玉、千葉、横浜、鎌倉など１２地域をカバーしている。 町田市議会は今月９日、「地域安全に関する意見書」を賛成多数
書籍「はじめてのPHPプログラミング基本編5.3対応」にSQLインジェクション脆弱性 - 徳丸浩の日記(2008-10-29)
id:hasegawayosuke氏にそそのかされるような格好で、「はじめてのPHPプログラミング基本編5.3対応」という書籍を購入した。 本書は、ウノウ株式会社の下岡秀幸氏、中村悟氏の共著なので、現役バリバリのPHP開発者が執筆しているということ、下記のようにセキュリティのことも少しは記述されているらしいという期待から購入したものだ。 目次から抜粋引用 07-07 Webアプリケーションのセキュリティ [セキュリティ] 08-04 データベースのセキュリティ [SQLインジェクション] 09-13 セキュリティ対策 [セキュリティ] 本書をざっと眺めた印象は、「ゆるいなぁ」というものであるが、その「ゆるさ」のゆえんはおいおい報告するとして、その経過で致命的な脆弱性を発見したので報告する。 問題の報告 それは、本書P280に登場する「SQLインジェクション対策用の関数(dbescape)」
上司の5人に1人が求職者をウェブ生活で選別：世論調査 (1/) :TEDIA
人事担当者の5人に1人がソーシャルネットワーキングサイト（SNS）を使って求職者を調査し、さらにその3人に1人がそこでの発見を元に候補者を却下している。そうなると紹介状はもはや過去のものとなりつつあるのかもしれない。オンライン求人サイトCareerBuilder.comの調査によると、人事担当者の22％が就職希望者をSNSのプロフィルでふるいにかけていることが分かった。これは2006年の数字と比べると上昇を見ている。 ニューヨーク（ロイター）：さらに9％の担当者は、FacebookやMySpaceなどのSNSを使って就職希望者を選別することを現在はしていないものの近いうちに開始するつもりだ、と述べた。 また、就職希望者をインターネット上で選別している担当者のうち、34％が、選抜候補者リストから特定の候補者を省く理由となったコンテンツを見つけたことが調査によって明らかになった。
IPA／パスワードの解析に掛かる時間_2008年
第08-23-133号 2008年10月 2日 独立行政法人 情報処理推進機構 セキュリティセンター(IPA/ISEC) 独立行政法人 情報処理推進機構（略称 IPA、理事長：西垣 浩司）は、2008年9月および第3四半期のコンピュータウイルス・不正アクセスの届出状況をまとめました。 (届出状況の詳細PDF資料はこちら) 9月に IPA に寄せられた相談・届出の中に、「登録しているオークションサイトに、身に覚えのない商品が自分の ID で出品されている」といった、アカウント*1を不正に利用されたという被害が複数ありました。 相談の中には、パスワードに数字だけの組み合わせや、簡単な英単語を設定していたために、容易にパスワードが見破られて、アカウントを不正に利用されたと推測されるケースがありました。 オークションサイト等のサービスでは、アカウントを不正に利用されると金銭的な被害が発生する危険が
VMware、ESXiとESX 3.5の深刻な脆弱性を修正
VMwareは9月18日、ESXiとESX 3.5の深刻な脆弱性に対処するアップデートパッケージを公開した。 VMwareやUS-CERTによると、脆弱性は、Webサービス管理プロトコル（WS-Management）を実装するシステム管理プラットフォーム「openwsman」のバッファオーバーフロー問題に起因する。openwsmanはデフォルトでインストールと実行がされ、脆弱性を悪用するとリモートの認証を受けない攻撃者が任意のコードを実行できるようになる。 VMwareはopenwsmanのアップデート版を組み込んだESXi 3.5のパッチ「ESXe350-200808501-O-SG」とESX 3.5パッチの「ESX350-200808413-SG」を公開し、脆弱性に対処した。ユーザーに対し、パッチ／リリースノートを調べ、ダウンロードファイルのmd5sumを確認するよう呼びかけている。
共通脆弱性タイプ一覧CWE概説 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
共通脆弱性タイプ一覧CWE概説 CWE（Common Weakness Enumeration） ～脆弱性の種類を識別するための共通の脆弱性タイプの一覧～ >> ENGLISH 共通脆弱性タイプ一覧CWE（Common Weakness Enumeration）(*1)は、ソフトウェアにおけるセキュリティ上の弱点（脆弱性）の種類を識別するための共通の基準を目指しています。 1999年頃から米国政府の支援を受けた非営利団体のMITRE(*2)が中心となり仕様策定が行われ、2006年3月に最初の原案が公開されました。その後、40を超えるベンダーや研究機関が協力して仕様改善や内容拡充が行われ、2008年9月9日にCWEバージョン1.0が公開されました。 CWEでは、SQLインジェクション、クロスサイト・スクリプティング、バッファオーバーフローなど、多種多様にわたるソフトウェアの脆弱性を識別するた
「PC持ち出し禁止令は怖くない」――外出先での業務メール閲覧に新機軸
外出時のすき間時間で電子メールを確認したいビジネスパーソンは多い。だが企業は情報漏えいを懸念してPCの持ち出しを禁じる。こうした背景の中、フィードパスは携帯電話からセキュアに電子メールを閲覧できるSaaSサービスを新展開、秘められたモバイルSaaSの需要を掘り起こす。 SaaS（サービスとしてのソフトウェア）型Webメール「feedpath Zebra」を展開するフィードパスの後藤康成取締役CTOはこう言い切る。仕事で携帯電話を使うビジネスパーソンが多く、「携帯電話をビジネスツールと見立てており、機能へのニーズも高い」（同氏）からだ。 紛失による情報漏えいのリスクをなくすために、多くの企業ではノートPCなどの持ち出しを禁止している。一方で、「外出時のわずかな時間で電子メールをチェックし、早急に対応したい」というユーザーの要望は日増しに強くなっている。ビジネスパーソンの就労時間に占める移動時
F-Secure、個人向けセキュリティソフト新版発売 － ＠IT
2008/09/09 日本エフ・セキュアは9月9日、個人向けセキュリティソフト「F-Secure Internet Security 2009」、「F-Secure Anti-Virus 2009」を発表した。同日ダウンロード版の販売を開始し、9月20日からは全国の量販店でパッケージ版の店頭販売を開始する。 F-Secure Internet Security 2009は、ウイルス対策、スパイウェア対策、ファイアウォール、侵入防止、ペアレンタル・コントロール、スパムメール対策、フィッシング対策を提供する統合ソフト。一方、F-Secure Anti-Virus 2009はウイルス対策とスパイウェア対策に特化したソフト。 エフ・セキュアは1998年創業。フィンランド・ヘルシンキに本社を置くセキュリティ技術の老舗企業として、これまで法人向け製品を中心に事業を展開してきた。モバイル端末向けも合わせ
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 会員の方はこちら ログイン 有料会員（月額プラン）は初月無料！ お申し込み 日経クロステック TOPページ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ワイズ、Webサイト経由のウイルス感染も防ぐ中小向けUTM新製品
Secunia、脆弱性発見ツール「Secunia PSI 1.0」正式版を公開
中小から大規模企業まで網羅する低価格WAFで導入費用を２分の１に
「いまや重大な脅威のほとんどはWebで発生」ラック脅威レポート
IDEA * IDEA
