情報セキュリティセミナー（技術コース標準編1）

本ブログ2010年9月28日に掲載した 情報セキュリティセミナー の昨日10月1日分 技術コース標準編 を受講して来ました。

去年同コースを受講した際にはマニアックにも感じられる内容でしたので、 今回も楽しみにしていた技術コースです。 講師の方はIPAのセキュリティ研究員であると同時 にセキュリティ会社を経営、以前は関連プログラムをも組んでいたと云う 経歴を持たれる方です。

導入部、先ずは去年猛威を振るったガンブラーや、 Webサイトからの感染が増加している件など、 又、攻撃者のモチベーションについては

• 金銭に還元出来る情報を狙う
• CPUリソースを狙う

などが話されました。 ウイルスジェネレーターも商売上のアプリとして売られていて、 実際使ってみた処、実に巧妙に出来ている、などの 講師の実体験に基づいた感想が興味を惹きました。

午前の部の多くの時間を割かれたのは 2010年版10大脅威 そして其れ等への対策のレクチャーです。 セキュリティ10大脅威には以下、

1. 変化を続けるウェブサイト改竄の手口
2. アップデートしていないクライアントソフト
3. 悪質なウイルスやボットの多目的化
4. 対策をしていないサーバ製品の脆弱性
5. あわせて事後対応を！情報漏洩事故
6. 被害に気づけない標的型攻撃
7. 深刻なDDoS攻撃
8. 正規のアカウントを悪用される脅威
9. クラウドコンピューティングのセキュリティ問題
10. インターネットインフラを支えるプロトコルの脆弱性

が挙げられています。

マネジメントコース入門編に出た際にも興味を惹かれたのが、 6.のピンポイントでターゲットを狙うと言う 標的型攻撃 です。 ITに慣れた方にも嗤われること莫れ、 例えば自社業務関連省庁からの連絡とかだったら心理的にどうでしょう？ 企業インフラにITが重要な位置を占めるとなった今、 此処にも適切な対応が必要だと思わされました。 孤の対策には訓練も実施され体験型学習は効果も高いそうです。

7.の DDoS攻撃 については矢張り防御は難しいとのことですので、 此処はクラウドを利用してGoogleやAmazonに投げてしまいたい処ですね。 9.ではその問題について上げられている訳ですが、 此れからは情報セキュリティに於いて重要度も高まり、 取り上げられる頻度も増すのではないでしょうか。

脅威への対策は数有ります。 先ずは其れ等対策が一時的なもの、形骸化したものとならない様に、 情報セキュリティのマネジメントサイクルを 確立することが最も肝要であると忖度します。

以上が技術コース標準編の午前のコマ、 午後のコマについては次の記事に記そうと思います。