プライバシーマーク・ISMSナビ

プライバシーザムライが、プライバシーマーク／個人情報保護、ISMS／情報セキュリティの最新情報をお届けします。

カテゴリ： 情報セキュリティ

image


クラウドコンピューティングEXPO会場のデータセキュリティコンソーシアムブースに出展しているアンカーネットワークサービスは、中小企業に嬉しい10アカウントからの契約が可能なログ取得クラウドサービス「Eeco BANK」を展示しています。

これは、専用モジュールをインストールしたWindowsパソコンから、全ての利用ログをクラウド上に吸い上げて、後から容易に検索できるものです。

ログ取得と言えば、エムオーテックス社のLAN Scopeシリーズが、なかばデファクトスタンダードとなっていますが、費用面から中小企業にはなかなか手が届かないところがありました。

この「Eeco BANK」は、初期費用ゼロで、10アカウント月額6000円から契約可能とのことで、中小企業のニーズにあったものになっています。

image

画面を見せていただいたところ、利用ログ情報だけを膨大にため込んで、あとから自由に検索できるものになっています。検索スピードはかなり早く、快適でした。

パソコンの利用ログを安価にとにかく残したいという方に、オススメいたします。


このエントリーをはてなブックマークに追加

Expo2014ESET_4

キャノンITソリューションズの情報によりますと、5月14日〜16日まで東京ビッグサイトで開催される「第11回情報セキュリティEXPO」のESETブースにおいて、ESETのウイルス対策ソフトの一年間利用権を無償で配布するそうです。

対象OSは、Windows、OSX（Mac）、Androidで、先着7000名だそうです。ESETブースの場所は下記の通りです。

Expo2014ESET_2

（私のコメント）
これはお得ですので、ウイルス対策ソフトをお探しの方は、この利用権を会場で受け取ることをオススメします。




このエントリーをはてなブックマークに追加

2014-04-30_1808
米国マイクロソフト社が、4月28日付でInternet Explorer の脆弱性情報を発表しました。今回の脆弱性は旧バージョンのIE6から最新のIE11まで及ぶもので、影響範囲が大きいことから、全世界的に話題になっています。

今回の脆弱性に関しては、一部では実際の被害も出ているようですが、まだ修正ソフトが出ておらず、それまでは抜本的な対策が取ることが困難なことから、IEの利用を控える動きが出ています。

下記のIPAの情報が分かりやすいので、ご紹介します。

IPAの情報
http://www.ipa.go.jp/security/ciadr/vul/20140428-ms.html

マイクロソフト社の情報
https://technet.microsoft.com/library/security/2963983

（私のコメント）
今回の脆弱性は対策が困難なことから反響が広がっています。
修正ソフトが早く出てくるのが待たれます。


（2014年5月7日追記）
5月2日付でマイクロソフトから修正ソフト出ています。
WindowsアップデートをONにしている場合には自動的に更新されるようです。
今回は特別にWindowsXP用も出したとのことです。
https://technet.microsoft.com/ja-jp/library/security/MS14-021





このエントリーをはてなブックマークに追加

2014-03-24_0936
独立行政法人情報処理推進機構（IPA）は、3月17日付で、近年の情報システムを取り巻く脅威をまとめた文書「2014年版10大脅威〜複雑化する情報セキュリティあなたが直面しているのは？〜」を発表しました。

それによりますと、現在最も気にするべき脅威は下記の通りとのことです。

第1位：標的型メールを用いた組織へのスパイ・諜報活動
第2位：不正ログイン・不正利用
第3位：ウェブサイトの改ざん
第4位：ウェブサービスからのユーザー情報の漏えい
第5位：オンラインバンキングからの不正送金
第6位：悪意あるスマートフォンアプリ
第7位：SNSへの軽率な情報公開
第8位：紛失や設定不備による情報漏えい
第9位：ウイルスを使った詐欺・恐喝
第10位：サービス妨害

http://www.ipa.go.jp/security/vuln/10threats2014.html
http://www.ipa.go.jp/files/000037151.pdf

（私のコメント）
この文書は、上記の10個の大きな脅威に関して、とてもわかりやすく概説しており、入門編の教科書のようになっていますので、皆様にオススメいたします。




このエントリーをはてなブックマークに追加

2014-02-10_1618
（画面はマイクロソフト社Webサイトより）

米国マイクロソフト社は、同社のセキュリティに関する公式Blogにおいて、4月8日のWindowsXPの公式サポート終了後も、Microsoft Security EssentialsのWindowsXP用定義ファイルの配布を継続すると発表しているようです。期間は2015年7月14日までです。

http://blogs.technet.com/b/mmpc/archive/2014/01/15/microsoft-antimalware-support-for-windows-xp.aspx

http://windows.microsoft.com/ja-jp/windows/security-essentials-download

（私のコメント）
4月8日のWindows XPの公式サポート終了は、コンピュータが登場して以来の史上最大規模のものになると思います。その日以降、脆弱性が発見されてもマイクロソフト社としては一切のサポートをしないのです。これは沈んでいく船のようなものですから、通常は利用は継続しないのが大原則です。ただし、いろいろな事情で利用を継続するケースもあるでしょう。それに対して、多くのウイルス対策ソフトベンダーが継続サポートを表明する中で、マイクロソフト社が出しているMicrosoft Security Essentialsも継続サポートを表明しました。決して利用継続は推奨しませんが、できれば危機的状況を起こしたくないという観点から、このサポートの延長はありがたいことだと思います。ただし、日本のマイクロソフト社からは公式な発表はないで、少し心配なところではあります。

（2014年2月25日追記）
日本のマイクロソフト社からも公式発表ありました。
http://blogs.technet.com/b/jpsecurity/archive/2014/01/16/3620688.aspx




このエントリーをはてなブックマークに追加

2014-01-27_0956
（画面はNHKニュースより）

政府は、1月23日に情報セキュリティ政策会議を開催し、そこにおいて今後毎年2月の第一稼動日を「サイバーセキュリティの日」と決めて、様々な啓発活動などを開催することを決定しました。

以前より、毎年2月は「情報セキュリティ月間」となっており、官民が力を合わせて情報セキュリティに関する集中的な取り組みを行っていますが、今回、その流れをさらに強化するべく、「サイバーセキュリティの日」を決めたもののようです。

同日には「情報セキュリティ月間・キックオフ・シンポジウム」も開催される予定です。

http://www.nisc.go.jp/conference/seisaku/pdf/CybersecurityDay.pdf

http://www.pmarknews.info/archives/51926842.html

（私のコメント）
私たちの地球文明が、どんどん情報化、サイバー化するにつれて、サイバー空間におけるセキュリティ管理、もっと言うと治安維持の重要性が高まっています。すでに米国、中国などはサイバー軍を創設しているようですし、先日からのNSA問題でもその重要性の認識が高まったと思います。これに対して、政府としても何とかしようという姿勢が出てきていることは良いことだと思います。実効的に、効果の上がる方向で取り組みを進めていって欲しいと思います。
このエントリーをはてなブックマークに追加

2014-01-16_0936
（出典：トレンドマイクロ社調査）

トレンドマイクロ株式会社（東京都渋谷区）が1月14日に発表した「Windows XPのセキュリティに関する企業ユーザ調査」の結果によりますと、企業のIT管理者の約25％が、マイクロソフト社の延長サポートが終了する4月以降も、WindowsXPの利用を継続する意向であることが分かりました。

調査によりますと、現在もWindowsXPを利用していると回答したIT管理者が54％であり、そのうち4月の延長サポート以降も一定期間利用を継続すると答えた比率が48％でした。すなわち、全体の約25％の企業において4月以降もWindowsXPが継続して利用されることになります。

WindowsXPを継続利用する主な理由としては「時間の関係で移行しきれない」「動作しない業務アプリがある」「コストがかかる」「支障がない」などとなっています。

また、利用を継続する場合に取られるセキュリティ対策としては「ウイルス対策ソフト」「USBメモリなど外部媒体の利用禁止」などが一般的となっており、「脆弱性対策製品の導入」「インターネットに接続しない」などの対策は少数派に留まっています。

詳しくは下記のURLをご参照ください。
http://www.trendmicro.co.jp/jp/about-us/press-releases/articles/20140109021807.html

（私のコメント）
WindowsXPの利用継続は、本当に頭が痛い問題ですね。4月以降、どんな問題が起こるか分かりません。とにかく予算があるかぎり、さっさと新しいOSに移行することをオススメします。






このエントリーをはてなブックマークに追加

2014-01-14_1415

毎年2月は「情報セキュリティ月間」として指定されており、政府と民間が協力しあって情報セキュリティに関するイベントなどを開催し、広く国民に対して情報を提供し、啓蒙しています。

キックオフ・シンポジウムの日程が決まったようですので、お知らせいたします。

情報セキュリティ月間・キックオフ・シンポジウム
〜身近に潜む危険と対策を通じて“知る・守る・続ける”〜
日時：2014年2月3日（月）13時〜16時半
場所：一橋講堂
（東京都千代田区一ツ橋 2-1-2　学術総合センター2階）
参加費：無料（先着500名）
主催：内閣官房情報セキュリティセンター

詳しくは下記のURLをご参照ください。（PDFファイルが開きます）
http://www.nisc.go.jp/security-site/files/symposium_140203.pdf



このエントリーをはてなブックマークに追加

2013-12-25_1345

三菱東京UFJ銀行は、自社で運営するオンラインバンキングサービス「三菱東京UFJダイレクト」の利用者向けに、自社サービス専用のウイルス対策ソフト「Rapport」を無料配布すると、12月12日付で発表しました。

「Rapport」は、米国Trusteer社（IBMグループ）が開発したオンラインバンキング専用のウイルス対策ソフトで、同社と提携した金融機関のオンラインバンキングを利用している場合のみ作動するとのことで、既存のウイルス対策ソフトとは同居できるとのことです。

本ソフトは、すでにBank of America、ケミカルバンク、HSBCなど海外の巨大金融機関での採用されているようです。今回は、同銀行が費用を負担し、このソフトの「信頼されたウェブサイト」の中に同社のURLが登録されたことにより、利用者に対する無料での配布が始まったようです。WindowsとOS X（Mac）の両方に対応します。

http://direct.bk.mufg.jp/secure/rapport.html

（私のコメント）
このソフト、ビジネスモデルとして頭がいいなと思います。一番狙われやすい、実際に被害が起こっているオンラインバンキングのセキュリティ対策に焦点を絞り、かつコストは金融機関に出させるということです。すでに海外の著名な金融機関が数多く参加していますので、日本のメガバンクも追随することは確実ではないかと思われます。
このエントリーをはてなブックマークに追加

2013-12-18_1727

総務省は、12月18日付で、頻発するパスワードリスト攻撃に対して、サーバー管理者としてどのような対策が取れるかの方法を取りまとめた文書「リスト型アカウントハッキングによる不正ログインへの対応方策について（サイト管理者などインターネットサービス提供事業者向け対策集）」を公表しました。

この文書は、総務省の「情報セキュリティアドバイザリーボード」のワーキンググループでの議論を踏まえて作成したもので、かなり実用的な対策が網羅されており、参考になります。

＜攻撃を予防する対策＞

ＩＤ・パスワードの使い回しに関する注意喚起の実施
パスワードの有効期間設定
パスワードの履歴の保存
二要素認証の導入
ＩＤ・パスワードの適切な保存
休眠アカウントの廃止
推測が容易なパスワードの利用拒否

＜攻撃による被害の拡大を防ぐ対策＞

アカウントロックアウト
特定のＩＰアドレスからの通信の遮断
普段とは異なるＩＰアドレスからの通信の遮断
ログイン履歴の表示

http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000063.html

（私のコメント）
セキュリティ界の著名人が集まって知恵を出し合っただけあり、この資料はよく出来ています。しかし、これだけの対策を個別のサーバーで行うのも実際には難しそうです。今後は個別のサーバーでID・パスワードを管理して認証するのではなく、GoogleやFacebookなどの外部認証システムを利用することがもっと広まっていくのではないかと思います。





このエントリーをはてなブックマークに追加

2013-12-02_1126


三菱東京UFJ銀行を騙ったフィッシングメールが大量に発生しているようです。上記の画面イメージは私の個人メールアドレスに届いたものです。

・Google Appsの迷惑メールフィルターにより、迷惑メールに入っていました。
・送信元は台湾のYahoo!メールのようです。
・文中のURLは偽装されており、全く無関係なサイトの画像にリンクが貼られています。（怖いので、開いていません）
・メール全体がbase64でエンコードされており、単純なテキストでは読めなくなっています。

（私のコメント）
皆様のところにも届いている可能性があると思います。くれぐれもURLを開いたりしないようにご注意ください。


このエントリーをはてなブックマークに追加

2013-11-20_1457

米Adobe社は、10月以降、自社のカスタマーデータベースに不正アクセスがあり、顧客のクレジットカード情報を含むアカウント情報が大量に流出したと発表しています。

同社の公式発表によると、流出したのは290万件であり、該当する顧客（日本人も含む）には電子メールで案内しているとのことです。しかし、実際には最大で1億5千万人分のアカウントが流出しているという情報があり、それらしい生ファイルがネット上に流出しているそうです。

●取り急ぎ、気をつけていただきたいことは下記の5つです。

(1) Adobe社にメールアドレスとパスワードを登録したことがある人は、自分のその情報が流出している可能性が高いと思ってください。

(2) Adobe社からのメールが来ていないか、チェックしてみてください。メールが届いている場合は、指示にしたがってパスワード変更などを行ってください。

(3) Adobe社にクレジットカード情報を登録した人は、不正利用がないかどうか継続的にチェックしてください。

(4) Adobe社に登録したのと同じパスワードを、他のサービスにも使いまわしていると思われる人は、早急にその他のサービスのパスワードを変更してください。

(5) あとは自分に被害がないことを祈ってください。

●流出した1億5千万件のアカウント情報を解析した結果が公開されています

やはり「123456」「password」「qwerty」など、よくあるパスワードに設定している人がたくさん見つかったとのことです。今回の調査ではトップ100まで解析されているので、さらに詳しく見ることができます。

それによると、「asdfgh」とか「qwertyuiop」「1q2w3e4r」「753951」といったものも多数発見されています。少し実際に入力してみるとわかると思いますが、これらはキーボード配列を活用して編み出されたものです。

このような結果を見てみると、キーボード配列から文字列を編み出すという手法は、みんながやっているために容易に類推できますので、パスワードに使用するべきではないことが分かります。このようなパスワードを使用している人は、すぐに異なったパスワードに変更することをオススメします。

●1億5千万件の情報を使用したパスワードリスト攻撃が始まっているようです

同じパスワードを複数のサイトで使いまわしている場合、一つのサイトからパスワードが流出したら他のサイトでも使われてしまう。この当然の原理を応用したのが「パスワードリスト攻撃」ですが、今回は1億5千万件も流出してしまいましたので、これを使えばかなりいろいろなことができそうですよね。

既に今回の情報を使用したパスワードリスト攻撃が著名なサービスには行われているようで、Facebookでは、今回流出したパスワードを自社サービスでも使いまわしている利用者のアカウントを一時停止してパスワード変更をさせるようにしたそうです。

とにかく、上記(4)の「Adobe社に登録したのと同じパスワードを、他のサービスにも使いまわしていると思われる人は、早急にその他のサービスのパスワードを変更してください」を実施していただきたいと思います。

Adobe社からのアナウンス
http://helpx.adobe.com/jp/x-productkb/policy-pricing/customer-alert.html

アカウント情報の解析結果
http://stricture-group.com/files/adobe-top100.txt

Facebookのアカウント停止に関する記事
http://www.sophos.com/ja-jp/press-office/press-releases/2013/11/ns-facebook-locks-accounts-using-same-passwordsemails-on-adobe.aspx

（私のコメント）
Facebookが先回りしてアカウント停止したというニュースに関しては、さすがFacebookだなと思いました。全てのサービスでこういうことができれば、パスワードリスト攻撃に対する一定の対策になると思いますが、それも難しいことかなと思いました。



このエントリーをはてなブックマークに追加

↑このページのトップヘ