投稿者: はなまるチェック

本ブログ2010年9月28日に掲載した 情報セキュリティセミナー の昨日10月1日分 技術コース標準編 を受講して来ました。 午前の部については本日の午前中の記事 技術コース標準編1 に記しましたのでご参照下さい。

午後は期待通り極々技術的な内容となります。 先ずは ウェブアプリケーションへの攻撃手法 として

1. SQLインジェクション
2. クロスサイトスクリプティング

SQLインジェクションと言うのはホームページの穴を突いて データベースを不正に操作する方法を言いますが、 IT業界に携わると最早古典的の感も有る程、繰り返し耳にするものです。 クロスサイトスクリプティングとは正規のホームページに 攻撃者のホームページへと情報を漏洩させる仕組みを仕込むものです。 今回はセッションID（何頁ものホームページを行き来する読者が同一であることを確保します）を 他サイトに送信するjavascriptの概略が紹介されました。 此方もWebに携われば耳慣れた手法です。 どちらも良く知られた攻撃手法であり乍再々度俎上に上げられるのは、 両者が変わらず攻撃手法の多数を占め、尚且つ攻撃者からは有効であるからに他なりません。 講師経営企業で用意された ウェブアプリケーションセキュリティ要件 も紹介されましたので必要な方はリンク先をご参照下さい。

次なる項目は インシデントレスポンス です。 インシデントレスポンスとは、 実際に情報セキュリティに関する事件がが起きたらどうするか、と言うものです。 情報セキュリティ上の事件は何時でも起こり得るものです。 其の中でいざ事件が起きたらどう対処するか？ 事例を挙げて紹介されました。 特に去年より猛威を振るい、今も尚度々ことを引き起こす ガンブラーについて取り上げられましたので、 実情に基づいた分かり易い内容となっていました。 因みに此の ガンブラー とは攻撃タイプのカテゴリー名で ウイルス名ではないと言う認識に落ち着いていますので、 勘違いされていた向きはご修正のほどを。

ホームページ運営に詳しい方では、 ご自分でホームページを更新される方も居られるでしょう。 サーバーにホームページをアップする際にはどんなソフトをご利用でしょうか。 此の時の通信の約束事、 プロトコル は FTP を使われている方が未だ多いかも知れません。 ソフトウェアの名前に FTP と付いていれば其の可能性は高いです。 ソフトウェアの利用するプロトコルを SSH に変更すれば此れだけで可成、 安全度が向上するとの話がありましたのでご参考下さい。

またレクチャーでは役立つ 情報セキュリティ上のチェックツールも紹介されましたので 以下に代表的なもの二つを記しておきます。

• My JVN バージョンチェッカ
• ウェブサイトの脆弱性検出ツール iLogScanner

今日のセミナーで最も印象に残ったのは、 情報セキュリティの専門家である講師の方の認識としても、 ウイルス感染パソコンは現状ほぼ初期化しかなくなりつつあると言うことです。 又良く言われることですが、ウイルスに感染すると加害者になることも屡です。 いみじくも講師がセミナー中使用の自信のノートPCを指差し、 これだって感染していないとは言えない、 との発言もありました。 さても皆さんもくれぐれもウイルス対策は怠り無く。 この様な極々専門家の何気なく漏らす生の声がセミナー参加の優位点であり、 是非来年も参加したく思いながら、 今回の情報セキュリティーセミナーを終えたのでした。

本ブログ2010年9月28日に掲載した 情報セキュリティセミナー の昨日10月1日分 技術コース標準編 を受講して来ました。

去年同コースを受講した際にはマニアックにも感じられる内容でしたので、 今回も楽しみにしていた技術コースです。 講師の方はIPAのセキュリティ研究員であると同時 にセキュリティ会社を経営、以前は関連プログラムをも組んでいたと云う 経歴を持たれる方です。

導入部、先ずは去年猛威を振るったガンブラーや、 Webサイトからの感染が増加している件など、 又、攻撃者のモチベーションについては

• 金銭に還元出来る情報を狙う
• CPUリソースを狙う

午前の部の多くの時間を割かれたのは 2010年版10大脅威 そして其れ等への対策のレクチャーです。 セキュリティ10大脅威には以下、

1. 変化を続けるウェブサイト改竄の手口
2. アップデートしていないクライアントソフト
3. 悪質なウイルスやボットの多目的化
4. 対策をしていないサーバ製品の脆弱性
5. あわせて事後対応を！情報漏洩事故
6. 被害に気づけない標的型攻撃
7. 深刻なDDoS攻撃
8. 正規のアカウントを悪用される脅威
9. クラウドコンピューティングのセキュリティ問題
10. インターネットインフラを支えるプロトコルの脆弱性

マネジメントコース入門編に出た際にも興味を惹かれたのが、 6.のピンポイントでターゲットを狙うと言う 標的型攻撃 です。 ITに慣れた方にも嗤われること莫れ、 例えば自社業務関連省庁からの連絡とかだったら心理的にどうでしょう？ 企業インフラにITが重要な位置を占めるとなった今、 此処にも適切な対応が必要だと思わされました。 孤の対策には訓練も実施され体験型学習は効果も高いそうです。

7.の DDoS攻撃 については矢張り防御は難しいとのことですので、 此処はクラウドを利用してGoogleやAmazonに投げてしまいたい処ですね。 9.ではその問題について上げられている訳ですが、 此れからは情報セキュリティに於いて重要度も高まり、 取り上げられる頻度も増すのではないでしょうか。

脅威への対策は数有ります。 先ずは其れ等対策が一時的なもの、形骸化したものとならない様に、 情報セキュリティのマネジメントサイクルを 確立することが最も肝要であると忖度します。

以上が技術コース標準編の午前のコマ、 午後のコマについては次の記事に記そうと思います。

本ブログ2010年9月28日に掲載した 情報セキュリティセミナー の昨日9月30日分 マネジメントコース入門編 を受講して来ました。 午前の部については本日の午前中の記事 マネジメントコース入門編1 にありますのでご参照下さい。

午後は事例紹介から始まりました。

1. コンピュータウイルスに関わる事故事例
2. 情報持ち出しに関わる事故事例
3. 委託先で起こりうる事故事例

情報セキュリティについては 常に最新の情報に接している必要があります。 本セミナーに於いては其の点についても様々なサイトを紹介してくれます。 IPA（情報処理推進機構）は此のセミナー主催の組織のひとつですが、 其処に用意されるサイト 中小企業の情報セキュリティ対策ガイドライン では今年より特に本セミナーに特徴付けられる 中小企業 に於いてどの様に情報セキュリティの取り組めば好いかの指針を与えてくれます。 数あるガイドラインは関連団体には必見のドキュメントだと思います。 また同様に必見となるのが関連法規についてで、 個人情報保護法を始めとした数々の法令についての知識が得られます。

セミナー最後となりましたのが、 去年迄はセミナーには盛り込まれなかったIPAの 情報セキュリティ対策ベンチマーク です。 セミナーマネジメントコース入門編の最初と最後に 自己診断 に関する内容であると言うことが、 情報セキュリティと言うものの有り様を示しているとも言えるのではないでしょうか。

情報セキュリティについては利益をうまないコストセンターで つい蔑ろになりがちですが、 此の様な機会に自己、自社体制を見直し、 最新の情報に触れられるのは実に良い機会で、 無料で提供していただける主催者、関連者の皆さんのご尽力に感謝の念に堪えません。

本ブログ2010年9月28日に掲載した 情報セキュリティセミナー の昨日9月30日分 マネジメントコース入門編 を受講して来ました。

今年のポイントは中小企業がフィーチャーされた点だと思います。 此れは中小企業での情報セキュリティの必要性が増している為で、 扱う個人情報量が膨大になっていることに起因する様です。 又BCP（事業継続計画）に於いても重要な位置を占めることにもあります。 情報セキュリティ対策は企業としての ゴーイングコンサーンに必須との認識が一般化しているのですね。

午前は先ずは 5分で出来る自社診断シート を実際に講師の説明付きで実施しました。 此れは入門レベルとして最初に取り組むべき情報セキュリティ対策の自社診断シートで、 安価に実施出来、更には人の対策、体制、ルール作りへの意識を高めるものです。 此処の結果が情報セキュリティ関連有資格者であることが 恥ずかしくなる様なものであったことは秘密です。

セミナーでは情報セキュリティに関して最新の情報を得られる JVN（Japan Vulnerability Notes） という脆弱性対策情報ポータルサイトが有用であると紹介されました。 また現状情報セキュリティに於いては重要なパスワードの作り方に於いて マイクロソフトのサイト 強力なパスワード : その作り方と使い方 が役立つ旨も紹介がありました。 個人的にはこれに 発音のし易さ を加えたい処ですね。

極く直近の情報としては メールの添付ファイルのアイコンでウイルス感染 する事案が発生したそうです。 矢張りメールについては尚、様々問題が多い様ですが、 Gmailを利用しているから関係ないなぁと度々思ったことも確かですね。 （Gmailについては クラウド、先ずはGmailから：2010年9月29日 参照下さい。） またメールではC.C.についての言及が有りましたが、 つい最近もメアドを連ねて送信された身としては身につまされる内容でした。 これで一斉配信してる人物はIT無知と断じて間違い有りません。 本当に気を付けるべきだと思います。

以上がマネジメントコース入門編の午前のコマ、 午後のコマについては次の記事に記そうと思います。

HamaZoランクチェック！ サービスに於いて常にブラウザタイトルバーに表示されるタイトルは同じ パーソナル検索 でしたが、此れは好ましい仕様ではありません。 巷間良く謂われる処では SEO に関して不利益を被ると言うものですね。 SEO なんぞと云うものはどうでも好いのですが、 確かに検索エンジンのタイトル表示であったり、 ブラウザの一番上を見た時の判別性であったり、 閲覧者に利便性を図るにはタイトルバーには、 もっと然るべき表示が好ましいと考え、 バージョンアップすることにしました。

本ブログ2010年9月21日の記事 パーソナル検索の基本的な使い方 をご覧の上、様々なブログについて使ってみて下さい。 ブラウザタイトルバー及び、 ページ内最上部に表示されるタイトルが 入力したブログ名が見られるのではないでしょうか。 このバージョンアップにより 利用者が今何を見ているのか分かり易くなっていてくれることを願います。

クラウド、クラウドって言われても 雲を掴む様な話しで何をどうしたら良いか分からない、 とは尤もな言い分だと思います。
そんな方にお薦め！ 先ずは Gmail から始めましょう。 Gmail とは Google の提供するWebメールサービスです。 まだ Hot mail 全盛期の頃、凡その其の手のサービスが数MBの提供容量の中、 クラウド中に1アカウントギガ単位で提供されると言う話には本当に驚かされました。 アナウンスされた日が日でしたので、 四月馬鹿だと評判になったものです。 これで覚えて居られる方も多いのではないでしょうか。 当時、クラウドを感じさせる初めてのサービスでしたし、 何より今もクラウドを実感できる最好適なサービスと言って過言ではありません。

本ブログの姉妹ブログ ホームページ作成浜松Tips にもクラウドのほんの一面ですが Gmailに於けるワンソースマルチユース なる2008年9月27日の記事にて紹介してみました。 この以前よりこの時を通し、今日本日迄使い続けて ますます其の凄みを思い知るばかりです。 そしてそれは容量ばかりでなく、そしてそれは無料で提供されているのです。

Gmailでクラウドの世界を知ってしまった貴方は、 最早二度と元の世界 （これをクラウドに対してプロプライエタリな世界と言ったりもしますね） には戻れないことでしょう。