5/13 接触確認アプリ勉強会 公開版
https://www.youtube.com/watch?v=Mj1AH1SPW7c
面白いことやっている人達がいますね。行政頼みではなく、自分たちでできることをやる試みは素晴らしいです。
とはいえ、使う人を増やすためには広報なりで政府に動いてもらわないといけないというジレンマ…。 難しいところですね。使う人が増えないとアプリの存在価値もないわけで。
マイナンバーの普及率にせよ、日本のIT後進国っぷりを少しでも前に進められれば良いのですが、尻すぼみにならないと良いのだけれど…。
これは良い取り組み。「Have I Been Pwned」で漏洩が確認されたパスワードを拒否する。
元データだと7GB以上あるので、複数回漏洩したものに絞って容量を削減しているのか。
ピクシブ、脆弱なパスワードを登録不可に “漏えいリスト”と照合
https://www.itmedia.co.jp/news/articles/2001/28/news093.html
2020年、ユーザエージェント（UA）が簡略化されていく。ひとまずChromeだけ。他のブラウザがどうなるかは様子見状態。
既存のUAはそのまま。新しいバージョンからは、ブラウザが何か、PCかモバイルか、ぐらいしか分からなくなるとのこと。
まあ、現状のUA複雑だから分かりやすくなるのはむしろ歓迎かも。ブラウザのバージョン分かったところで何とも言えないし、おまえは結局EdgeなのかSafariなのかとか謎のクセあるし…。
▼Google to phase out user-agent strings in Chrome
https://www.zdnet.com/article/google-to-phase-out-user-agent-strings-in-chrome/
▼UserAgentからOS/ブラウザなどの調べかたのまとめ
https://qiita.com/nightyknite/items/b2590a69f2e0135756dc
やってみたけど自分のヘロヘロぶりは相変わらずでした…。もっと頑張らねば。
脆弱性診断、ペネトレーションテスト、バグバウンティの位置づけがよく整理されている良記事です。
▼ペネトレーションテストが脆弱性診断の上位互換サービスであるという誤解 ～ セキュリティ標準化企業 SHIFT SECURITY 執行役員 松尾雄一郎に聞く
https://scan.netsecurity.ne.jp/article/2019/11/27/43286.html
サイバー空間はまだまだ成長期であり不安定。セキュリティのあり方もスタンダードがどこなのか迷走しています。でもいずれは誰もがちょうど良いと思える在り方に収束していくはずです。それがどのへんなのか、当たりを付けつつ推進していくのが我々のお仕事なのかなと思っています。
家で言うと、セキュリティを強化するぜぃ！と言って窓という窓に鉄格子をはめるのが妥当なのでしょうか。なんか暗いし雰囲気悪い。どこの牢屋ですかｗ。それに、洗濯物どうするんだ。ご近所さんの見る目も心配ですね。
普通、窓なら「クレセント鍵」と呼ばれるあれですよね。空き巣が窓を割って鍵を開けるケースもあるアレ。
内側にしても、ドアというドアに玄関と同じレベルの鍵を設置するのでしょうか。色々マズい状況が思い浮かんできますね。
トイレなら「サムターン」の鍵だけど、外からでも10円玉とかで回せば開けられたり。
どうしてそれが普通なんでしょうか。家を借りる時に内見してても、そうなっていれば違和感を感じないでしょう。
その地域の治安が悪いという話を聞くと、やっぱりもう少しセキュリティを意識したオートロックの玄関のところだとか、1Fなら窓側は雨戸が閉められるとか、欲しくなるんじゃないでしょうか。
一方で、リスク受容という考え方もあります。一切セキュリティ対策をしない、もしくはもう少しセキュリティに投資してもいいけど、事故が起こった際に想定される損害を考えると、費用対効果が期待できないからやめておく、というもの。事なかれ主義の日本の大企業ではその選択は難しくやや過剰投資の傾向にあり、攻撃された経験のない中小企業は消極的に（数値的な根拠なく）その選択肢を選んでいるような気がします。
私はリスク受容は大いに結構だと考えています。一昔前ならサイバー攻撃を受けることも珍しかったですが、もはや日常茶飯事。サイバー攻撃による情報流出によって責任者が首を切られていてはいくつ首があっても足りないご時世になってきています。売上とセキュリティ投資のバランスを見ながら、あえて対策をしないという英断もあって良いと思います。
セキュリティ投資は保険のようなもので、200万円の売上のあるECサイトがあったとして、300万円のセキュリティ投資をすることはありえないのです。売上をあなたの年収に読み替えたらよく分かるのではないでしょうか。
じゃあ、100万円いける？ いやいや、それでは明日のメシが食えない。じゃあ、20万円？ ちょっとやりすぎな気はするけど、いけなくはない。1万円？ うーん、それならもっと投資した方が、もしもの時を考えるといいかも。もしくは投資せずに貯金に回しておいて、何かあったときは貯金から拠出する。…とかね。
対策したところで対策していなかったところを攻撃されたら何の意味もない、というのも保険と近しいところです。外部からのサイバー攻撃の対策をしっかりしていたものの、内部不正で大変なことになったとか。今どきどうせ入院させてもらえないから保険の入院部分はなしでいいやとしてたら、しっかり入院することになってしまったとか。
セキュリティでメシを食っていくのであれば、セキュリティ原理主義者にはならないよう、気をつけたいところですね。こうやってWordPress運用している人を指差して「ばーか！」って言っている程度の人はプロではないと思います。何が問題で、どのようにすれば安全に使えるのか、自分事として理解して提案できなくてはダメです。
私は過去、Drupalのせいでサーバをぶっ潰された経験があるので、それに比べればWordPressの安定感や使いやすさには満足しています。ぜひぜひ、自分で運用しながら本質的な問題を理解していけるハッカーが日本に増えていくことを期待しています。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
［特報］NTTがセキュリティ人材を3万人育成、2020年までの目標値の3倍達成
「セキュリティを完全に体に染み込ませる」、NECの受注拡大作戦
「セキュリティの分からないSE」はもういらない？富士通の1万人計画
WannaCryに襲われた日立、セキュリティ人材1万人の確保急ぐ
まとめると
・NTT：３万人確保済み
・NEC：１万人確保済み
・富士通：2000人確保済みで、１年後に１万人を目指す
・日立：600人確保済みで、３年後に１万人を目指す
まあ、なんというか、日立はやられるべくしてやられたんだろうな…。もちろん各社の基準は違うだろうけど、動きが遅すぎるでしょう。
https://japan.cnet.com/article/35103489/
すげえ。こういう人こそが本来「ハッカー」と呼ばれるべき人なんですよね。
https://japan.cnet.com/article/35103472/
意外と、こういうのなかったんだね。神経使うだろうけど、良いサービスだと思います。
https://japan.cnet.com/article/35103485/
これはすごい！ 一方で、どこで指紋を取られているか分かったもんじゃない時代が来てしまったとも言える。指紋認証は認印としては使えるけど、銀行印や実印としてはちょっと…、ぐらいの位置づけになっていきそうだな。
https://japan.cnet.com/article/35103471/
IoTハニーポットを高対話型で作るとこうなるかｗ。ハニーポットというかハニールームとかハニーハウスになっちゃうんですね。
https://japan.cnet.com/article/35103096/
Apple製品は音楽・描画・映像に強いから、AR・VRに繋がっていくのもそれほど不思議な事ではないか。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.nikkei.com/article/DGXLASGM28H12_Y7A620C1MM0000/?dg=1
クラッカーがクラッカー会社を攻撃してるｗ。言ってる場合か、ってね。
↓こっちの方が詳しいか
新たなランサムウエア攻撃が世界で拡大中、「WannaCry」より危険との声も
http://itpro.nikkeibp.co.jp/atcl/news/17/062801782/?ST=security&itp_list_theme
WannaCryではないが突いている脆弱性は同じとのこと。公開サーバをそうそう再起動できないのは分かるけど、感染した際のダウンタイムは再起動の比ではないですよ。さっさとWindowsアップデートしてください。
http://www.nikkei.com/article/DGXMZO18111630W7A620C1000000/?n_cid=DSTPCS003
例えが分かりやすい。ラックの社長さんともなるとさすがですね。
そうか、キルスイッチって感染したときの対処が傷を広げる仕組みだったのか。なんか逆向きの仕組みだなあと思っていたけど、そういう狙いだったんですね。
http://www.security-next.com/083190
悲惨だな。こういうパターンもあるので、多少世代が前になっても自力でリカバリーできるようにバックアップ運用を工夫しないと、全てのデータを失うことになってしまいます。頭が痛いですね…。
http://www.security-next.com/083163
決済代行会社がこういうのを指摘してくれるもんなんだね。攻撃者のAPIと通信するスクリプトでも仕込まれたのかな。
http://itpro.nikkeibp.co.jp/atcl/news/17/062801786/?ST=security&itp_list_theme
感染が広がる前に、ネットワークが詰まったと。良かったのやら悪かったのやら。数台の端末しか接続しない店舗のネットワークなんて大して強くないだろうから、こういうことも想定しておかないといけないんですね。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/news/17/062601759/?ST=security&itp_list_theme
広告屋さんが広告に関する機能を削るなんて、時代が変わったもんですね。
もっとも、私はPCではThunderbirdでGmailを見ているし、スマホではGmailアプリだし、Gmail画面に広告なんて表示されてたっけ？という感覚です。リスクが上がるばかりで、費用対効果出ねえやってのが本音のような気がしますね。
http://itpro.nikkeibp.co.jp/atcl/column/16/012900025/062300042/?ST=security&itp_list_theme
メール経由での感染ではなかったとのこと、大変興味深いですね。先日の記事で取り上げた通り、WannaCryは未完成の状態だったようですが、もっと完成度の高い仕上がりになっていたら被害はもっと大きくなっていたんでしょうね。
http://itpro.nikkeibp.co.jp/atcl/column/14/346926/062201027/?ST=security&itp_list_theme
「合格したのに登録してくれないと、支援士制度の意味がなくなる」の前に、支援士になる意味が見えてないんですが、それは…。
http://itpro.nikkeibp.co.jp/atcl/column/14/549762/062200152/?ST=security&itp_list_theme
値切ってるｗｗｗ。クラッカーも応じてくれるもんなんだね。13億ウォン≒1.3億円として、損害賠償を考えるとそれほど悪くない判断なのかな。ただ、ランサムウェアの話題としてはかなり強気の価格設定ですね。攻撃側も防御側もグルのような…。
あと、2分で感染するってよく分からないんだけど、どんな仕組みなんだろう。普通に考えれば暗号化したファイルを作って、完成してから元ファイルを削除するはずで、それなりに時間がかかると思うんだが…。
バックアップサーバがやられたのは痛いですね。他人事とは思えないな。今後はバックアップのソリューションも多様化していきそうです。
https://japan.cnet.com/article/35103282/
そもそもなんで医療記録が見える状態になってるんだ…。元サイトの閲覧権限を見直すことが何より大事。
https://japan.cnet.com/article/35103296/
人工衛星経由で通信する技術なんじゃないの？ 電話が通じていない地域も多いでしょうし。端末の充電は太陽光発電でなんとかするしか。その辺のコストを現実的にできるかどうか次第ですかね。
http://internet.watch.impress.co.jp/docs/news/1067253.html
んー、外部リンクばっか…。中身がない。にゅーすページに載っけるか悩むけど、一旦載せとこうか。
http://axia.co.jp/2017-06-26
言われてみれば確かに確かにと思いながら読んでました。
うまく巻き込めていない顧客は上司にドヤされながら進んでいってたな…。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://internet.watch.impress.co.jp/docs/column/ietf2017/1066863.html
http://enterprisezine.jp/dbonline/detail/9441
http://axia.co.jp/2017-06-23
無限に近い体力ｗ。羨ましいですね、私なんかはモヤシなんで。知能労働なのに脳筋アピールしてどうすんだろうね。
前の会社にいた頃、上司が第４位のような人に当たっていましたね。男性だったそうですが、自意識過剰すぎ。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.nikkei.com/article/DGXLASDZ22H3H_S7A620C1000000/?dg=1&nf=1
一般人が、ですか。考えられないなあ。まあ、本とかゲームソフトとか実質的に数に限りがないものであればそれほどトラブルもないかもしれないけど、数に限りのある商品ではトラブルが起きそうな気配がするな。…もっとも、アマゾンだったら「んなこと知るか」って強行しちゃいそうだけどね。
http://www.nikkei.com/article/DGXMZO17370580W7A600C1000000/?dg=1
台湾・中国・香港を分けてるグラフなのはなんでだっけ。中国＋香港だと横這い～減少傾向になりそうですよね。なんか意図を感じるんだが。
↓サプライヤーリストはこれか。ここの情報をもとに日経がグラフ作ってるんだね。ふーん…。
https://images.apple.com/jp/supplier-responsibility/pdf/Apple-Supplier-List.pdf
http://www.security-next.com/083037
FFを攻撃する理由ってなんだろうか。スクエニへの私怨、競合他社の企て、FFのストーリーが気に入らない、有名ユーザへの嫌がらせ、攻撃できれば誰でも良かった。
手法を変えつつってなると、組織的に攻撃されてそうなんだよね。ここにはさすがに北朝鮮は関わってなさそうです。ロケーションとしてもアメリカのクラッカー集団かな。
https://japan.zdnet.com/article/35103039/
この対処はOSのアップデートかな。うちのサーバもやっておかなきゃな。
http://www.security-next.com/083007
RMTってそういうんじゃなかったような…。いくらで売れたのか知らないけど、割に合わないだろうに。
http://itpro.nikkeibp.co.jp/atcl/column/17/050800181/061900005/?ST=security&itp_list_theme
最近はスパムと無縁の生活なので、こういう文面懐かしいな。いつの時代も、うまい話には裏があるってことです。
たとえ貰えたとしても、税務署にマークされてけっこう大変なことになると思うんだけどね…。
http://internet.watch.impress.co.jp/docs/special/1066659.html
お祭りなのです？
http://axia.co.jp/2017-06-22
ここまで露骨ではないにしても、請負で客先常駐していた頃はおっしゃる通り、効率化と残業代の矛盾には苛まれていました。
当時の上司からは「160時間が損益分岐点だから、なるべくそれ以上は働いてほしい」とは言われていましたね。あくまで、なるべくね。
数字を意識するほど、会社に有利で自分に不利な状況になっていくし、やりたい仕事はできないし、尊敬する先輩は病んで辞めていくし、尊敬できない先輩が昇進するし。まあ、1社目はそんな感じでした。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.security-next.com/082599
アジアをターゲットにするとなると攻撃元は中国かねえ。北朝鮮がゼニ稼ぎしてる可能性も高いか。
http://axia.co.jp/2017-06-20
面倒くさい×３がひしひしとｗ。ほんとサラリーマンは気楽な稼業ですよ。私はフリーランスにはなりたくないなあ。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/column/17/030900077/061400007/?ST=security&itp_list_theme
ユーザにセキュリティを意識させているうちは、まだまだ。語られている通りフールプルーフが甘いんですよね。
家を借りた時に、玄関やトイレなど必要なドアには鍵が付いているが、リビングのドアには鍵はない。また、同じ鍵でも、玄関とトイレでは目的が違うので鍵の強靭さのレベルが異なっている。窓には鍵はないが、内側からのみ閉めることができる。
それが当たり前であり、過不足を感じない。治安が悪い地域だから…など、必要が生じて初めて強化する。
IoT機器も同じように、誰しもフツーこうだよねと思われるラインがだんだん見えてくるはず。どこに落ち着くかは時間が教えてくれるでしょう。
http://itpro.nikkeibp.co.jp/atcl/news/17/061501670/?ST=security&itp_list_theme
箱入り娘に育てるか、モラルを持った逞しい子に育てるか…、AIの話ですけどね。そのうちAIを利用する前提のマルウェアなんかも出てくるんでしょうか。なかなかタチ悪そうです。このドラ息子が！ってねｗ。
https://japan.cnet.com/article/35102833/
AIも報酬与えると喜ぶのかｗ。
https://enterprisezine.jp/article/detail/9415
そんなに順調に伸びるのかなあ…。途中から自社でやろうって流れになって、尻すぼみになる気がするけど。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
https://japan.cnet.com/article/35102778/
売上はAppleがズバ抜けているはずなのに、こうなるんだ。なんか不思議。
↓時価総額はこんな感じ
http://www.180.co.jp/world_etf_adr/adr/ranking.htm
https://japan.cnet.com/article/35102769/
ドローンのイメージがあまり良くない方向に行っている気がする中、こういうニュースは良いですね。
https://japan.cnet.com/article/35102671/
予想外と言うか、日本人では予測できないものがちらほら。国ごとに特徴が異なりそうですね。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
https://japan.cnet.com/article/35102704/
Firebugとかあって開発向きなのでFirefoxを使ってるけど、そんなことになってたのか。でも、グラフと文章一致してなくないか？ Chromeにユーザ奪われてるのはIE(Edge)じゃん。
しかし、普段使いはどうしてもChromeになってしまいますね。複数ユーザ切り替えられたり、Androidとの連携度が高かったり、もう他では満足できない身体にされてしまってますね。
Vivaldiさんは圏外みたいだけど、元気にしてるかな…。私はもう使わないだろうけど。
https://japan.cnet.com/article/35102686/
ハード＋ソフトで攻めるアップルが、ソフトに注力する判断は興味深いですね。Uberがあんなことになっているタイミングだから、言った気がしないでもないが。
https://japan.cnet.com/article/35102601/
海外（米国かな？）では売れてるんですね。日本では、まだ安全を語る以前の状態ですが…。持ってる人どのぐらいいるんだろう。
GoogleやAmazonは自動でデータを削除しないようですが、相変わらずストレージどうなってんだ。
Appleは思い切った仕組みにしましたね。会社としてはユーザの趣味・嗜好を読み取って、別のビジネスに活かそうとスケベ心が出てきそうなもんですが、そこは広告屋さんやブローカー屋さんとの違いか。
http://internet.watch.impress.co.jp/docs/news/1065158.html
あれ、永遠の不遇者Vistaちゃんまでパッチ出るの？ 相当やばいんだねぇ。皆さん、さっさとWindowsアップデートやってくださいね。
http://internet.watch.impress.co.jp/docs/news/1065007.html
保護ビューってこういう時に仕事するのか。オオカミ少年過ぎて知らんがな状態だけど…。
仕組みは一種のインジェクション攻撃っぽいですね。ハイパーリンク設定にPowerShellのコードを書くようなイメージか。
http://cweb.canon.jp/newsrelease/2017-06/pr-home-insurance.html
キャノンが保険をやるのか。5年間で77万円かかり、1年あたり100万円まで補償、でいいのかな？ 防御も提供することで保険の支払い機会を少なくさせるという意味では、なかなか頭の良いソリューションなのかも。サイバー保険が登場してから暫く経つけど、どのぐらい需要があるんだろうね。
↓これか
[FT]サイバー保険の見直し迫られる データ不足で
http://www.nikkei.com/article/DGXMZO13259170T20C17A2000000/
世界レベルでは増加傾向だが、課題ありとのこと。日本で流行るのはもうちょっと先になりそうですね。
http://axia.co.jp/2017-06-14
私なんかはマネージャにさせられそうになっては逃げてきている技術志向の人間なので、他人事に思えないですね。冒頭の大学生の気持ちは大事にしたいです。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/column/14/346926/060701007/?ST=security&itp_list_theme
ちょいちょい目にするなあとは思っていましたが、列挙するとこんなにあるんですね。仕組みも具体的に紹介してあって良い記事です。
https://japan.cnet.com/article/35102589/
中国の難関大学と東大ってどっちがレベル高いのか分からないけど、なんだかリアルな点数出しますね。仮にも計算機とか電脳って呼ばれてるんだから、数学はもうちょっと頑張ってほしいところですｗ。
https://japan.cnet.com/article/35102463/
えっ？ こんなのあるの！ 買っちゃおうかな。ノートパソコンで終わらず、27インチモニタ対応あたりまで頑張ってほしいですね。
http://internet.watch.impress.co.jp/docs/event/1064605.html
mstdn.jpやPawooは登録してみましたが、えらい中途半端だなあという印象。記事の通り、小規模に運営するなら分かるけど（LINEやSkypeでいいじゃんという思いは拭えませんが…）。Pawooの背景はなるほど、といった感じですが、だとすると日本人が利用するメリットはなさそうですね。本家でいいじゃん、となってしまいます。
マストドン立ててみようかとは思うけど、誰も来ないだろうし…、魅力的なテーマがないと如何ともしがたいな。悩む。
https://scan.netsecurity.ne.jp/article/2017/06/07/39821.html
今後流行りそうな機器の皆さんです。
http://itpro.nikkeibp.co.jp/atcl/idg/17/060700043/060700001/
米国でもサイバー方面は人手不足。たしかに軍人であれば堅いですね。じゃあ、日本では自衛隊経験者優遇とかやれば良いのか。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/column/17/052900219/060200006/?ST=security&itp_list_theme
そうですよね、ユーザなんてトリセツすら読まないんだから。セキュリティをフールプルーフ（ミスってもひどいことにならない）で用意しておくのは今後当たり前になりそうですね。
https://japan.cnet.com/article/35102487/
１件あたりが何を指しているのか分からないんですが…。ロシアからのサイバー攻撃なんて常にあるだろうに。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.sankei.com/column/news/170608/clm1706080001-n1.html
一般の紙面でも取り上げられてますね。少佐のようなウィザード級ハッカーが登場しないかとワクワクしますね。
http://itpro.nikkeibp.co.jp/atcl/column/17/041900153/052500001/?ST=security&itp_list_theme
ホントね、SELinux使ってないとかダメですよね。…はい、すいません。このサーバも無効化してます。そろそろ使いこなせるようにならないとな。単純に有効化したら、どこが動かなくなるかぐらいは洗い出しておこうかね。
まあしかし、ググってみても相変わらず無効化する話題ばっかりですね。
http://itpro.nikkeibp.co.jp/atcl/column/17/050800181/060500003/?ST=security&itp_list_theme
ウイルス同士の攻防か、なかなかアツいですね。まあ、とばっちりは所有者にいくんですけどね…。
http://blog.trendmicro.co.jp/archives/15144
既存のウイルススキャンの弱点は、メモリ上のデータまではチェックしていないこと。ディスクに比べれば小さいんだし、やればいいだけじゃんと思ってしまいますが…。どこにネックがあるのか。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/watcher/14/334361/060400850/?ST=security&itp_list_theme
ワクワクが止まりませんなあｗ。あっという間に陳腐化してしまう可能性もあるけど、STARDUSTには頑張ってもらいたい。
http://itpro.nikkeibp.co.jp/atcl/column/17/052900219/052900003/?ST=security&itp_list_theme
ユビキタス、M2M、IoTと呼び名を変えながら、それほど目立った進捗がない理由が垣間見えます。
何でもかんでもネットに繋ぐことが大事なのではなく、それぞれネットに繋ぐことでこんな効果を期待でき、リスクもこの程度なら許容できると言えるところまで評価しないと、セキュリティ以前の問題で頓挫してしまうんですね。
方式やプロトコルが違うことがネックなのであれば、CORBAやAPIのような仕組みが今後登場して、全体的に実装が進んで、やっとセキュリティも考えられるようになって、と。うーん…、準備だけで10年かかりそうだな。
http://internet.watch.impress.co.jp/docs/news/1063937.html
なんで注文をキャンセルするのに住所やクレジットカード情報を入力するんだよ…。
ID・パスワードの方は本当に危険ですね。１つのIDでなんでもできると、いざ流出した時になんでもバレちゃう。
偽サイトはhttpsが半分より多いぐらいか。httpsだから信用できる時代はすで過去のものなんですねえ。トップレベルドメインにしても、安物ばかりでなくcomとかinfoも入ってるね。Let’s Encryptを使うにしても、それなりには投資してるんだな。
https://scan.netsecurity.ne.jp/article/2017/06/06/39813.html
日立がやられたのは噂に聞いてたけど、メールがやられてたのか。関係された方は大変お疲れ様です。
しかし、XPはパッチ出たのに、Vistaは出ない相変わらずの不遇さ…。ごちそうさまです。
http://blog.trendmicro.co.jp/archives/15133
まあ、仕組みはそれほど難しくないから、できてもおかしくないか。見た感じからしてスクリプトキディじゃなく、自作っぽいですね。私なんかはむしろ、こういう若い人には好印象を覚えてしまうけど…。
バッチファイルを作成しただけでウイルスとして撒いたわけではなさそうですね。学校で遊び半分で実行したらエライことになった（汗）、みたいな感じでしょうか。反抗期・思春期な頃合い、大目に見てあげてよ。
あと、大阪の子に対して神奈川県警が動いたのはなんでじゃ？
↓こういうことみたい
全国警察、サイバー捜査の腕競う＝警察庁初開催、優勝は神奈川
http://www.jiji.com/jc/article?k=2017020801115&g=soc
最近は京都じゃないんですね。２位：茨城県警、３位：宮城県警というのも意外だな。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.nikkei.com/article/DGXLASDZ05H5H_V00C17A6000000/?dg=1
マストドンが日経で紹介されていますね。お宅の会社ではやらないんですか？的なアピールですかね。
http://itpro.nikkeibp.co.jp/atcl/column/17/052900219/052900001/?ST=security&itp_list_theme
通信コストの多様化はぜひ進んでほしいですね。しかし、結論イマイチだな。徹底的に守れと言いつつ、統合管理するなって…。打つ手なしって言ってるようなもんじゃん。
http://itpro.nikkeibp.co.jp/atcl/news/17/060201574/?ST=security&itp_list_theme
ありがたい一方で、HDDってどうしても情報流出が気になるから、どれだけの人が利用するのか読めないな…。
私は自分で復旧を試みるか、諦められるようにバックアップをしっかり取っておくかを選択します。
https://japan.cnet.com/article/35102244/
と見せかけて爆弾を投下するテロは起こらないんだろうか。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.security-next.com/082338
まさに先日紹介したワイルドカード読み込みの脆弱性ですね。SEにはおなじみのTeratermでやらかしてるぐらいだから、常に疑ってかからないといけませんね。
http://www.security-next.com/082335
雑な設定でsudo使ってるから正直ピンとこなかったけど、sudoでできることを制限した状態なのに乗っ取られちゃうよ、っていう脆弱性なんですね。sudoの設定も見直さないといけないな。
http://itpro.nikkeibp.co.jp/atcl/news/17/060101567/?ST=security&itp_list_theme
半月タダで使えますって言われてもな…。既存のウイルススキャンソフトと併用したら、相当リソース持って行かれそうだけど、どんなもんなんでしょうね。まだまだ、この手のものは海の物とも山の物とも、です。
https://japan.cnet.com/article/35102151/
発想は興味深いんですけどね…。ちょいと脇が甘かったみたいです。
https://japan.cnet.com/article/35102157/
Googleスプレッドシートは複雑なグラフを作れないのがなぁ～。Open Officeでできることは実現してほしい。
https://japan.cnet.com/article/35102155/
離脱に反対する意味が分からん。そもそも米国は京都議定書に調印してなかったし、その後のパリ協定なんて強制力のない、あって無きものだったわけで。就任当初から囁かれている、IT業界とトランプ大統領の確執なんじゃないの？
http://internet.watch.impress.co.jp/docs/news/1063212.html
10年前に流行ってたハニーネットの後継ですかね。良い情報が取れそうです。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
https://japan.cnet.com/article/35101892/
数百万円単位の被害では失敗扱い。身代金のビットコインも回収できず、と。たしかにサイバー兵器と言うにはお粗末なものだったかもしれませんが、感染力は相当なものでした。先日のニュースで取り上げたキルスイッチが見つかったから終息しているものの、楽観視するのもオススメできません。まだまだ亜種が出続けるでしょうから、さっさとWindowsアップデートしといてくださいね。
http://internet.watch.impress.co.jp/docs/column/security/1062756.html
「攻撃元」としているのは、実際には踏み台にされていることが多いため、真の「攻撃者」の所在地を示しているわけではない、と。
そうか、ウチのハニーポットもそういう目で見ないといけないんだよね。アメリカ・中国・オランダ・ロシアあたりが常連だけど、踏み台にされてるマシンが多い国、と捉えた方がいいのね。
http://blog.trendmicro.co.jp/archives/15107
大変興味深いですね。ダークWebにどうやったらWebサイトを設置できるのか全くイメージが湧いていない状態ですが、ハニーポット設置するところまで頑張ってみようかな。しかし、さすがトレンドさんですね。改竄を許しているところからして高対話型のハニーポットのようですね。やってみたいな～。
http://axia.co.jp/2017-06-01
外国人大量採用、結構なことだと思います。そもそもインターネットはグローバルなものなんだから、エンジニアがグローバルであっても何ら不思議ではない。日本にまで来れるレベルのアジアの人達は、なんとなくやってる日本のエンジニアよりもレベルや意識は高いでしょう。少なくともマルチリンガルな時点でね。
システム屋もITセキュリティ屋も人手不足ですし、先日取り上げたニュースではバブル期を上回る売り手市場とのことでした。日本人の雇用を奪うことにはならないでしょう。悔しかったら資格の１つでも取得することです。
観点を変えて述べると、中国や北朝鮮のスパイをみすみす受け入れてしまう可能性について。これは受け入れ企業ごとに判断することであって、募集の条件に外国人エンジニアをOKとするかNGとするか、各々がコストや秘匿性と相談しながら考えるべきことです。極論を言ってしまえば、日本人のエンジニアだってハニートラップに引っかかれば同じことなわけですし…。
市場原理に従えば、受け入れる企業が多くないのであれば自然と外国人を採用しなくなります。そのへんまで含めた日本人の総意は、果たしてどうなっていくのでしょうね。
すいません、今このサイトにアクセスするとhttpsのエラーが出ている状態になっています。まあ、回復しない限りこの画面を表示する所まで来ないとは思いますが、一応ね。
おととい、ようやくDionaeaFRでエラー吐き続けていたページをリカバリできたんですが、その影響かyumがこんなエラーを吐くようになってしまいました。
# yum
There was a problem importing one of the Python modules
required to run yum. The error leading to this problem was:
No module named yum
Please install a package which provides this module, or
verify that the module is installed correctly.
It’s possible that the above module doesn’t match the
current version of Python, which is:
2.6.9 (unknown, May 31 2017, 20:06:51)
[GCC 4.8.5 20150623 (Red Hat 4.8.5-11)]
If you cannot solve this problem yourself, please go to
the yum faq at:
http://yum.baseurl.org/wiki/Faq
Google先生にお伺いを立ててみたんですが、全然回復できない…（激汗）。まあ、それだけなら良かったんですが、よりにもよって証明書がぴったし失効してしまうという二重苦。どうやらLet’s Encryptのコマンドを打つと、yumを実行しているようで、yumが壊れていると正常に動いてくれないんみたいなんですよ。
そもそも毎月自動更新するようにcron仕掛けてもいたのに、動作確認せずに放置していた結果がこれだよ…。
ちょっと時間がかかりそうですが、最悪OS再インストール含め対応していきます。いい勉強になりますね！（泣）
—————————–
[6/1追記]
ひとまずyumは壊れたままですが、仮想環境にコピー環境を作ってそっちに向くようにルータの設定変えて、Let’s Encryptの更新コマンドを打って証明書を作って、その証明書を元のサーバにコピーしてルータの設定を戻して、とやったらひとまずhttpsのエラーは解消しました。
面倒くさすぎだけど、ひとまず解消して良かったです。タイムリミット90日。サーバ立て直しかなあ…。原因分かってないのは辛いけど。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://internet.watch.impress.co.jp/docs/column/teens/1062516.html
ここまで突っ込んだ記事は珍しいですね。プログラミングを通して、別分野の学習への関心を持つというのは素晴らしいことです。
学生時代に「なんでこんなの勉強しなきゃいけないんだよ。三角関数なんて日常生活で使わねえだろ。」とか思っていた一人として、こうした機会が得られるのは羨ましささえ感じてしまいます。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.nikkei.com/article/DGXLASFS30H26_Q7A530C1MM0000/?dg=1
2008年度に新卒入社した私が就活していた頃は超売り手市場と呼ばれたものですが、今はそれより売り手なんですね。医療・介護には触れられていますが、エンジニアはどうなのやら。身近にはあまり若い人が増える気配がないんですよね。
↓こんな良い資料あったのか。経済指標ダッシュボード。
https://vdata.nikkei.com/economicdashboard/macro/
http://itpro.nikkeibp.co.jp/atcl/news/17/052901525/?ST=security&itp_list_theme
個人情報が多いけど、多いなら細分化してほしいな。例えば、住所が漏れるのと、楽天の購入履歴が漏れるのでは全く意味あいが違ってくるでしょうし。
金融の情報はそうそう変えるもんじゃないけど、住所なんかは引っ越すことで無効な情報になったりするので、なかなかリスクの評価が難しいですね。
なんであれ、もはやどこで情報が漏れるか分かったものではないので、定期的にクレジットカードの使用履歴をチェックしたり、銀行預金の記帳をマメにやったりと、リスクの高いところには対策するよう習慣付けていきましょうね。
http://itpro.nikkeibp.co.jp/atcl/news/17/052501496/?ST=security&itp_list_theme
さすがにまだ時代を先取りしている段階だけど、いずれは車検の一項目になっていくんでしょうね。
http://itpro.nikkeibp.co.jp/atcl/news/17/052501492/?ST=security&itp_list_theme
急増と言っても少ない印象ですね。日本ではだいたい１日に１つの情報提供要請が出ている状態。
https://japan.cnet.com/article/35101929/
日本ではあまり馴染みがないイーロン・マスク氏。今行っている英会話スクールのCEOが大好きで、２年前の正月にレッスンを受けた際、熱く語っていたのを印象的に覚えています。
http://www.security-next.com/082190
検証は怖くてできませんが、こういうものも出始めているんですね。JigsawやTeslaCryptなど有名どころもカバーできていて心強いです。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/news/17/052601516/?ST=security&itp_list_theme
ダウンロードフォルダは定期的にお掃除しましょう。私はブラウザのデフォルト設定でデスクトップにダウンロードするようにしています。変なファイルがあったらすぐに目につくので、これはこれで対策としてはアリかもしれませんね。
http://internet.watch.impress.co.jp/docs/column/shimizu/1061381.html
16IP使えれば十分ですね。やってみようかな。しかし、機能比較表が…バカっぽくて素敵ですｗ。
http://axia.co.jp/2017-05-29
よくまとまっていて良い記事です。若い人って意外とエンジニア志向なんですね。もう嫌われている仕事だと思っていたので、正直驚きました。我々の子供時代に比べれば、プログラミングをしようと思えば簡単にチャレンジできる環境になっているのは事実か…。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.security-next.com/082096
うーん、永遠の課題ですな…。仕組みは分かりやすいですね。libフォルダ配下のファイルをワイルドカード指定で取得するような実装でしょ。組織で作っていれば１ファイル１ファイル指定するようなコーディングルールにしたりするだろうけど、個人とか小規模で作っているものだと怪しいですね。
http://itpro.nikkeibp.co.jp/atcl/news/17/052501503/?ST=security&itp_list_theme
文面だけ読むと脆弱性というより、ただのバグじゃないの？と思ってしまうのですが…。本家見てみると、Burp使ってパラメータいじるぐらいはしてるのか。これで80万円弱。
http://itpro.nikkeibp.co.jp/atcl/column/17/050800181/052300002/?ST=security&itp_list_theme
名前解決できないときだけ活動する、って面白い仕組みだな。ウラのかき合い。
サンドボックスでは活動しないマルウェアってこういう仕組みなんですね。思ってたより普通だった。
http://itpro.nikkeibp.co.jp/atcl/news/17/052301479/?ST=security&itp_list_theme
ハニーポットのCowrieちゃん見てると、入力を再生できたりするんだけど、操作がめちゃくちゃ速いログがあるんよね。あれボットなんだろうね。というか、ほぼそういうパターンなんだけど。
http://axia.co.jp/2017-05-06
過去こういう会社に所属していたような…。相手にしている会社が大きい会社だったし、さっさと帰れな文化の現場だったので悲惨ではなかったけど、やっぱグレーじゃなくてブラックよね。指示系統については書かれている通りでしたし。
ただ、労務の観点でばかり書かれているけど、経験を積む意味では必ずしも悪いことばかりではないと思いますよ。本人のやりたいことができるのであれば、こういう働き方を必ずしも否定しません。
ちなみに現在の私は、派遣契約でクリーンにお仕事してます。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://www.security-next.com/082012
すさまじい感染力ですね…。北朝鮮の戦争は、すでにサイバー空間で激戦となっています。
ミサイルの話もロクに報道されていないようですが、サイバー戦争の話はそれ以上に伝わらない…。
しかし、パスワードってランサムウェアを解除するためのパスワードのこと言ってるのかな。思ったより簡単でびっくりしてるんだけど。
http://www.security-next.com/082020
大企業は大丈夫だが、中小企業が危ない印象ですね。弱者を狙うとは、卑劣な輩だな。
https://www.ipa.go.jp/security/anshin/mgdayori20170515.html
感染する様子が動画で紹介されていますよ。とにかくWindowsアップデートですね。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/column/14/090100053/051000246/?ST=security&itp_list_theme
これは良い情報。まだ登録してないけど、来年の秋までには私も登録する予定です。
私のように３年以上前に合格した人は、初年度が集合研修なんですね…。会社が補助出してくれないと10万円直撃ですか、ツラい。
https://japan.cnet.com/article/35101039/
なんかすごそう。タイムラインは使いそうだな。gifアニメのコピペもいいな。
http://internet.watch.impress.co.jp/docs/special/1057683.html
日本人はいつも4年程度で同じサービスに対して「飽き」がはじまる、か。とても興味深い。
http://internet.watch.impress.co.jp/docs/special/1057976.html
実際にやってみないとTwitterとの違いがわからないな～。ウチのサーバに立ててみようか。
https://japan.cnet.com/article/35101045/
FBI長官罷免ともリンクしてるのかな。日本に比べて、米国へのサイバー攻撃はレベルが違うだろうから、どんなことをしていくのかは注視していきたいところです。
http://www.nikkei.com/article/DGXLZO16282390S7A510C1CC0000/
ただ乗り用の法制度作るといいと思うよ。
本日のセキュリティ寄りだけど、そうじゃないのも混じってるニュースだよ。
http://itpro.nikkeibp.co.jp/atcl/watcher/14/334361/042700830/?ST=security&itp_list_theme
タイトルの通りギャグな記事でしたｗ。
なんでコーヒーメーカーをインターネットに接続するんだよ…。
第三者に皿を洗われてしまうとか、ダメなんですか？って感じですし。
http://itpro.nikkeibp.co.jp/atcl/column/17/021400032/042400011/?ST=security&itp_list_theme
脆弱性のあるマシンが一箇所でもあったら、他のマシンがどれだけ注意していても攻撃されてしまいます。
可用性の対策にランサムウェアの話を持ち出すのは、とても説得力がありますね。