トリコロールな猫/セキュリティ

セキュリティ情報の備忘録的まとめ。

2月20日から始まる、総務省とNICTによる大規模なIoT機器調査と注意喚起「NOTICE」について調べて書いてみました

2月20日から始まる、総務省と国立研究開発法人情報通信研究機構 (以下 NICT) による大規模なIoT機器調査と注意喚起「NOTICE」について調べて書いてみました。
本件、いろんなところで記事になっていますが、このエントリは公的機関とNICTが公開している情報のみ参照して書いています。

まずはどういった検査を行うのかと、それに関わる法律についてまとめてみます。

検査の概要は総務省の報道資料「IoT機器調査及び利用者への注意喚起の取組「NOTICE※」について」にあります。画像以外ほぼまるっとコピペ。

改正情報通信研究機構法に基づき、本年2月20日(水)より情報通信研究機構(NICT)がサイバー攻撃に悪用されるおそれのある機器を調査し、電気通信事業者を通じた利用者への注意喚起を行う取組「NOTICE」を開始。

1. NICTがインターネット上のIoT機器に、容易に推測されるパスワードを入力することなどにより、サイバー攻撃に悪用されるおそれのある機器を特定。
2. 当該機器の情報を電気通信事業者に通知。
3. 電気通信事業者が当該機器の利用者を特定し、注意喚起を実施。
※利用者からの問合せ対応等を行うサポートセンターを設置。

検査の流れをざっと知るには総務省による報道資料「電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律(平成30年法律第24号)の施行に伴う省令の制定について(NICT法の一部改正に伴う識別符号の基準及び実施計画に関する規定整備関係)」が良いです。この日の総会の議事録「情報通信行政·郵政行政審議会総会(第10回)議事録」の2ページから5ページと一緒に読みましょう。

もう少し詳しい実施計画が「国立研究開発法人情報通信研究機構法(平成11年法律第162号)附則第8条第2項に規定する業務の実施に関する計画の認可申請の概要」として公開されています。

専用の公式サイトもあります。

notice.go.jp

以上の情報から、以下のような検査を行うと思われます。

1.ポートスキャン(バナー等取得、認証の有無確認)
2.1.で認証が可能なものに、ID、パスワードの組み合せ約100通りを入力。
3.認証が通った機器について、通信の送信元IPアドレス、送信先IPアドレス、タイムスタンプ等を記録
4.1.により認証なしでログイン可能な機器や、脆弱なソフトウェアを使用している機器を記録
5.3.および4.の機器についてプロバイダに連絡
6.プロバイダから該当機器のユーザに注意喚起

対象は

日本国内の約2億のグローバルIPアドレス(IPv4)*1

だそうです。2億··。

2.について、不正アクセスではないかと騒がれていましたが、そうではありません。ちょっとややこしいですが法律の該当箇所を順番に見てみます。

まず「国立研究開発法人情報通信研究機構法」附則第八条第二項第一号。

機構は、第十四条及び前項に規定する業務のほか、平成三十六年三月三十一日までの間、次に掲げる業務を行う。

  • 特定アクセス行為を行い、通信履歴等の電磁的記録を作成すること。*2

で、この業務を行う間、不正アクセス行為の禁止等に関する法律(不正アクセス禁止法)第二条第四項第一号が変更されます。

7 第二項から第四項までの規定により機構の業務が行われる場合には、次の表の上欄に掲げる規定中同表の中欄に掲げる字句は、それぞれ同表の下欄に掲げる字句とする。*3

この「次の表」がちょっと引用しにくい形になっているので、不正アクセス禁止法の該当部分の原文と変更したものを並べてみます。変更部分は太字にしました。

原文は以下。

4 この法律において「不正アクセス行為」とは、次の各号のいずれかに該当する行為をいう。
一 アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為(当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。)*4

それがこうなる。

4 この法律において「不正アクセス行為」とは、次の各号のいずれかに該当する行為をいう。
一 アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為(当該アクセス制御機能を付加したアクセス管理者がするもの、当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするもの及び国立研究開発法人情報通信研究機構法(平成十一年法律第百六十二号)附則第九条の認可を受けた同条の計画に基づき同法附則第八条第二項第一号に掲げる業務に従事する者がする同条第四項第一号に規定する特定アクセス行為を除く。

つまり、NICTは認可を受けた計画に基づいているのであれば、利用者の承諾を得ずに特定アクセス行為をしてオッケーということですね。

「特定アクセス行為」の定義は以下。

機構の端末設備又は自営電気通信設備を送信元とし、アクセス制御機能を有する特定電子計算機である電気通信設備又は当該電気通信設備に電気通信回線を介して接続された他の電気通信設備を送信先とする電気通信の送信を行う行為であって、当該アクセス制御機能を有する特定電子計算機である電気通信設備に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号(当該識別符号について電気通信事業法第五十二条第一項又は第七十条第一項第一号の規定により認可を受けた技術的条件において定めている基準を勘案して不正アクセス行為から防御するため必要な基準として総務省令で定める基準を満たさないものに限る。)を入力して当該電気通信設備を作動させ、当該アクセス制御機能により制限されている当該電気通信設備又は当該電気通信設備に電気通信回線を介して接続された他の電気通信設備の特定利用をし得る状態にさせる行為をいう。*5

ああ法律って難しい・・IDとパスワード(他人の識別符号)で認証できるかやってみます、使うIDとパスワードは「不正アクセス行為から防御するため必要な基準として総務省令で定める基準を満たさないものに限る。」と。で、その総務省令は案しか見つけられませんでしたが、基準は以下の通りです。

1. 8⽂字以上であること。
2. これまで送信型対電気通信設備サイバー攻撃のために⽤いられたもの、同⼀の⽂字のみ⼜は連続した⽂字のみを⽤いたものその他の容易に推測されるもの以外のものであること。*6

この基準を満たさないものとして、以下のような例が挙げられています。

password 、admin1234 、supervisor、smcadmin aaaaaaaa、11111111、abcdefgh、12345678*7

また、4.についてはポートスキャンで返ってきたバナー等で判断するようです。

パスワード設定以外の脆弱性を有する機器(アクセス制御機能を有しない、ソフトウェアの脆弱性を有する等)に関する情報ついても、 ①(1)のポートスキャンで判別可能な場合には、送信先IPアドレスに係る電気通信事業者に対して、当該情報の提供を行う。*8

以下、この件で個人的に感じたことや懸念事項など。

いやー、政府(とNICT)もプロバイダもよくやる気になったねー!!すごいねーー!!!

というのが最初に抱いた率直な感想です。

だってすごい数ですよ?2億って。ツールで自動的にやるとはいえトラブル必至、プロバイダだってそりゃ親玉がやれっていえばやらざるを得ないだろうし、自分とこに接続してる機器がDDoS攻撃に加担させられたらたまったもんじゃないでしょうが、脆弱な機器のユーザに注意喚起したら、専用のサポセンはありますが絶対大量の問い合わせがくるだろうし··って、想像したくもないです。しかも間違いなく槍玉に挙げられますからね。いやもうロシアW杯のポーランド戦の西野監督のように、必要だからやる、非難は甘んじて受ける、という覚悟を感じますね(西野監督は非難とか感じないアレな人にも見えますが)。ただもうそれだけやばいってことなんですよね。ていうかIoT機器はパスワードを初期設定のままでは使用できないようにしてほしいですね。あと本来の機能に対してよけいなことができすぎるんですよ。たぶんLinuxが普通に動いてるものが多いんでしょうが、もうちょっと機能を落としてほしい。これを機に、検査を非難するのではなく、検査せざるを得ないシステムの方に目を向けてほしいです。

さて、親戚からの問い合わせに対応するだろう身として、懸念事項が2つあります。

1. これを利用した詐欺がはやりそう
2. 持っている機器が検査対象か調べるすべがないので、連絡がない=安全といえない

1.については去年8月の総会でも話題になったようです。日本総研の大谷委員から。

例えば、NICTを装ったメールなどでパスワードの変更を要請してくるメールなどの、新たな被害を防止するための対策などもあわせて講じていただくことが必要だと思っておりまして、必ず、こういった新しい対策を講じると、それを悪用するような動きも出てくることなどが通例だと思いますので、そのあたりを、実施計画を取りまとめる助言などを行う際に、よく想定しておいていただければと思っております。 *9

これに対する赤阪サイバーセキュリティ統括官付参事官の回答。

今回の取り組みにつきましては、NICTからも、あるいは総務省としても、十分に周知を行った上で、きちんとユーザー側のご理解をいただきながら進めたいと思っておりますし、また、今回ご指摘のありましたような、こういった取り組みを悪用するようなものも出てきかねないところがありますので、電気通信事業者から行う注意喚起についても、きちんと紛れがないように、どういった形で実効あるものとしてできるかということを、引き続き中身を詰めながら進めさせていただきたいと思っております。 *10

まあ、周知徹底以外やりようはないですよね。これに伴う詐欺被害よりも、踏み台にされたりするリスクの方が大きいということなのでしょう。

で、2.の方は、自分の機器が調査対象かどうかを知るすべは、少なくとも今回調べた限りでは見つかりませんでした。一応、いくつかのプロバイダが参加表明しているのは見つけました。

www.iij.ad.jp
www.ntt.com
news.kddi.com

ということで、連絡ない?じゃあ大丈夫!っていえないなと。大手プロバイダが参加しているので、脆弱な機器は大幅に減ることが期待できますが、"うちの"がどうなのかは知りたいところです。もちろんログを見れば分かりますが、ほとんどの人にとってログを見るなんて敷居が高すぎて現実的じゃない。結論としては、連絡が来ようが来まいが一度機器の設定を見直してねってことですかね。NOTICEにもそういう狙いがあるのでしょうね。

結果は取りまとめて公開されるようです。

我が国のサイバーセキュリティ確保の観点にも留意しつつ、本取組の実施状況を取りまとめ、公表することを予定しています。*11

こんな大規模調査は少なくとも国内では前例がないと思います*12ので楽しみです。公開されたらまた何か書こうと思います。

*1:国立研究開発法人情報通信研究機構法(平成11年法律第162号)附則第8条第2項に規定する業務の実施に関する計画の認可申請の概要」P.2「① 特定アクセス行為等による調査」より

*2:国立研究開発法人情報通信研究機構法」附則第八条第二項第一号より

*3:国立研究開発法人情報通信研究機構法」附則第八条第七項より

*4:不正アクセス行為の禁止等に関する法律第二条第四項第一号

*5:国立研究開発法人情報通信研究機構法」附則第八条第四項第一号より

*6:電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律(平成30年法律第24号)の施行に伴う省令の制定について(NICT法の一部改正に伴う識別符号の基準及び実施計画に関する規定整備関係)」P.2「省令案の概要」より

*7:電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律(平成30年法律第24号)の施行に伴う省令の制定について(NICT法の一部改正に伴う識別符号の基準及び実施計画に関する規定整備関係)」P.2「【該当するパスワードの例】」より

*8:国立研究開発法人情報通信研究機構法(平成11年法律第162号)附則第8条第2項に規定する業務の実施に関する計画の認可申請の概要」P.3 「④ その他業務」より

*9:情報通信行政·郵政行政審議会総会(第10回)議事録P.5より

*10:情報通信行政·郵政行政審議会総会(第10回)議事録P.5より

*11:NOTICE公式サイトFAQ「問11 本取組で得られた結果は公表するのか」より

*12:海外でこういう検査をした事例ってあるんですかね?

航空会社のパスワードについて調べてみました〜2018年版

航空会社のパスワードについて調べてから4年経ったので、また調べてみました。

security.nekotricolor.com

ルールは前回と同じです。

  1. 最初に日本語のサイトを確認
  2. 日本語のサイトが存在しない場合、(国を選べる場合は)日本の英語サイト→(国を選べる場合は)アメリカの英語のサイト→その航空会社の国の英語サイトの順
  3. 実際に登録はしていないため、登録ページやFAQなどにぱっと見情報がないものは掲載していません

4年前と比べてログイン機能を提供する航空会社が増えた印象ですが、登録時に住所やパスポート番号などの個人情報を要求するところも増え、調べられなかったサイトも多かったです。

ちと設定が古いのは否めませんが、前回も参照した情報漏えいを防ぐためのモバイルデバイス等設定マニュアル:IPA 独立行政法人 情報処理推進機構から、強度が十分なパスワード(=ブルートフォース攻撃でのパスワード破りが現実的でないパスワード)の文字種と文字数を「大小英字+数字、12文字以上」として、合格している航空会社は緑字にしてみました(最長何文字か書かれていない場合は除外)。逆に、数字のみのところは赤字にしました。

数が多いのでアライアンスごとに分けてます。

スターアライアンス加盟会社

航空会社名 記号 文字数
アビアンカ航空 8〜14
エア・カナダ 6〜10
エーゲ航空 8〜30
エジプト航空 4〜10
エバー航空 6〜12
LOTポーランド航空 6〜
オーストリア航空 10〜40
コパ航空 8〜
シンガポール航空 6
スイスインターナショナルエアラインズ 5〜20
スカンジナビア航空 6〜12
全日本空輸 8〜16
中国国際航空 6
トルコ航空 6
南アフリカ航空 4
ユナイテッド航空 8〜32
ルフトハンザドイツ航空 8〜32

ワンワールド加盟会社

航空会社名 記号 文字数
アメリカン航空 6〜16
イベリア航空 6
カタール航空 8〜12
キャセイ・パシフィック航空 8〜
スリランカ航空 8
日本航空*1 6
フィンランド航空 8〜32
ブリティッシュ・エアウェイズ 6〜
マレーシア航空 6〜12
ラン航空 8〜

スカイチーム加盟会社

航空会社名 記号 文字数
エールフランス 8〜12
KLMオランダ航空 8〜12
チャイナエアライン 6〜10
中国東方航空 8
デルタ航空 8〜20

まとめ

前回、合格としていた「大小英字+数字、12文字以上」のパスワードを設定しているのは34社中9社でした。今回は、32社中16社と、明らかに増えています。さらに、記号を使えたサイトが前回は2社しかなかったのが今回は14社。4年間でセキュリティ意識が高まったと言っていいのではないでしょうか。とてもいいことだと思います。

嬉しかったのでこの4年間で文字の長さや種類が増えたサイトを列挙。

航空会社名 2014年からの変化
アビアンカ航空 英数のみ文字数不明→英数記号文字数8〜14へ
エバー航空 英数のみ文字数6〜8→英数記号文字数6〜12へ
ルフトハンザ航空 英数のみ文字数4〜16→英数記号文字数8〜32へ
アメリカン航空 英数のみ文字数6〜12→英数記号文字数6〜16へ
カタール航空 英数のみ文字数6〜12→英数記号文字数8〜12へ
キャセイ・パシフィック航空 数のみ文字数6〜8→英数記号文字数8〜へ
フィンランド航空 英数のみ文字数8〜32→英数記号文字数8〜32へ
ラン航空 英数のみ文字数6〜→英数のみ文字数8〜へ
エールフランス 数のみ文字数4→英数記号文字数8〜12へ
チャイナエアライン 英数のみ文字数6〜8→英数のみ文字数6〜10へ
デルタ航空 英数のみ文字数6〜20→英数記号文字数8〜20へ

記号に対応するついでに文字数も増やした、という感じですかね。ルフトハンザ航空、フィンランド航空、デルタ航空が英数記号使えて8文字以上必須、32文字までOKという幅広さで好き。
にしてもラン航空やチャイナエアラインはなぜそんな微妙な変更を・・・?

以下余談。
NISTが「パスワードは(英単語そのままとかでなければ)8文字以上ってことでOK、数字のみでもいいし。大事なものは2段階認証など他の方法も使って守りましょう。」的なことを言い出しています。

  • Passwords obtained from previous breach corpuses.
  • Dictionary words.
  • Repetitive or sequential characters (e.g. ‘aaaaaa’, ‘1234abcd’).
  • Context-specific words, such as the name of the service, the username, and derivatives thereof. *2

総務省の「IDとパスワード > 設定と管理のあり方」JPCERTの「適切なパスワードの設定・管理方法について」でも追従しているので、今後はそうなっていくのでしょう。でもシステム側でそれをチェックするのはなかなかめんどくさそうですね。辞書と突き合わせるのはともかく、過去に漏えいしたことがあるパスワードとかどうやってチェックしろというのか。

とはいえ個人的には文字種や長さの選択肢が増えることはいいことだと思っています。現実問題、すぐに2段階認証を取り入れるのは難しいサイトの方が多いでしょうから、当分パスワードのみで管理する状況は続くでしょうし。ただ長くて記号を含むものを「必須」とすると、使い回しや類推しやすいものにする人が増え結果的に脆弱になるというのはありそうですね。

さらに余談ですが前回記号が使えた2社のうちの1社だったエア・ベルリンは2017年に破綻しルフトハンザ航空に吸収されたとか。諸行無常・・。

また4年後、カタールW杯の年に調べてみたいと思っています。そのときには人類はパスワード管理から解放されているのでしょうか。

*1:日本航空ははチケットの購入などにはWebパスワード(英数記号文字数8〜16)という別のパスワードが必要です。そっちを含めると表が変わってきますが、他社ではそこまで調べていないので、あくまでログインに必要なパスワードということで。

*2:NIST Special Publication 800-63B Digital Identity Guidelines「5.1.1.2 Memorized Secret Verifiers」より

情報セキュリティ白書2018の第1章を読んでみた

IPAが毎年販売している「情報セキュリティ白書」、アンケートに答えるとPDF版が無料で読めるということで、主婦の嗜みとして読んでみました。

www.ipa.go.jp

きれいにまとめようとすると時間がかかって旬を逃すため、まずは「第1章 情報セキュリティインシデント・脆弱性の現状と対策」について、気になった事件や用語をメモ付きで抜き出してみました。

Wanna Cryptor

WannaCryじゃなくてCryptorになってる。2017年に世界を席巻したランサムウェアですが、実は身代金による被害は(振込人を特定する機能を持たず)比較的少なかったらしい。
ただ、ワームのような自己増殖機能を持っていたために感染はかなり拡大して、病院や鉄道などのインフラサービスにも波及し大きな話題になった、と*1

この自己増殖機能は「EternalBlue」というワームの機能で、CVE-2017-0144のSMBv1の脆弱性を悪用している*2。ちなみにASLR回避機能付き

EternalBlueについては以下のPDFが面白そう。

ETERNALBLUE: A PROMINENT THREAT ACTOR OF 2017–2018 - VIRUS BULLETIN

ビジネスメール詐欺

企業に「振込先が変わったんでよろしく」という送金依頼メールを出して金銭をせしめるという技術的にはなんの面白みもない詐欺。ただ被害額はかなり大きくて、ドイツでは数百万ユーロ*3、国内でもJALが4億円近く騙し取られている*4
振込先が変わったならそれ相応の確認をしないんだろうか?と思いますが、JALの件では本来の取引先に変更を確認するメールを送り、本来の取引先から本当だという返信があったらしい(ただしそのメールが本物だったかは不明)*5

DDoS攻撃の傾向

booter

DDoS攻撃を請け負うサービスの名前。表向きは負荷テストを実施する代行業者を装っている*6

Mirai

2016年に流行ったIoT機器を対象とした感染した機器をDDoS攻撃の踏み台にするウイルス。やってることは単純な辞書攻撃でログイン→C&Cサーバからボットをダウンロード(自身がC&Cサーバにもなる)というオーソドックスなものですが、ソースコードがGithubなどに公開されているので亜種がいろいろ出ている。

www.atmarkit.co.jp

マルチベクトル型攻撃

DoS攻撃にはDNSのリフレクター攻撃とかSYN FLOODとかいろいろあるわけですが、複数のレイヤに対して同時にDoS攻撃を仕掛けるのが流行り*7。資料にあった例では、DNS/NTPのリフレクター攻撃・SYN FLOOD・Webアプリケーションに対する巨大なファイルのPOST(POST FLOODっていうのかな?)の3つ。しかもその結果から、ターゲットの弱点を判断するらしい。そこを自動的にやるかどうか知りたくて参照先(The Top 10 DDoS Attack Trends - Impreva)をザッと読んだけど見つけられず。

偽警告・偽サイト

マウスポインタを非表示に

「ウイルスに感染しています」というポップアップを表示してセキュリティソフトに見せかけたウイルスを購入・インストールさせる手口は大昔から存在していますが、最近は本来のマウスポインタを非表示にしてブラウザ上にマウスポインタのアニメーションを表示し、勝手に動いているように見せかけたり、手口が巧妙になっている*8。CSSのcursor:noneを使っているのかな?

developer.mozilla.org

ワンクリック請求の無料相談

ワンクリック請求自体は目新しいものではありませんが、請求画面を消す方法を検索すると、「無料相談」「返金可能」をうたいつつ解決はしないけど費用を請求する探偵業者が出てくるらしい*9。SEO頑張ってるんですね。

ばらまき型メール・標的型攻撃

特に目新しいことはなかったのだけど、常日頃思っているのは、組織は従業員に「あやしーめーるはひらかないよーにしましょー」というだけで対策した気になんなよ?ってこと。メール添付型ウイルスの訓練とか流行ってるみたいですけど、ばらまき型のような汎用なものならともかく、攻撃者が本気になって偽装したメールがあやしいものかどうかを一利用者が判断するのはもはや不可能です。いや、よっぽど訓練すれば分かるようになるかもしれないけど、そんなコストをかけられるのか?完璧な訓練を施したとして、添付ファイルやURLを含む全てのメールについて、メールの送信元が偽装されているかどうか、ヘッダを見て正規の送信元のドメインと見比べる?送信元(に見える組織)に本当にこのメールを送ったのか問い合わせる?一人でも、一度でも開いてしまえば感染してしまうものについて、感染を完璧に防ぐことの方にコストをかけるより、感染することを前提とした対策の方が現実的なんですよ。
もちろんある程度の訓練は必要だとは思いますけど、組織は「あやしーめーるはひらかないよーにしましょー」というだけで対策した気になって、あとはあやしーめーるをひらいた従業員の責任ですってなってるじゃないですか。それじゃあ感染したことがわかっても隠蔽しますって。いっそ感染を報告した人は表彰するくらいしてほしい。そういう意味で、情報セキュリティ事故対応アワードみたいなものが世間に周知され評価されるといいですね。

news.mynavi.jp

あとは、利用者のスキルに頼らないシステム的な対策を積極的に取り入れてほしい。実行ファイルを一度サンドボックスで実行してみてから受信させるやつとか、PDFをテキストファイルに変換しちゃうやつとか、ありますよね、メールの無害化ってやつ。本気で感染を完全に防ぎたいなら、それくらいやれよっていいたい。知識や経験にばらつきのある従業員に全てを押し付けるなと。

この話は個人的に本当に腹が立っているので長々書いてしまいましたが、白書の方でも、個人に責任を押し付けない、(よほど悪質でなければ)感染しても責めない体制の重要性を説いてほしいなと思いました*10

感想

技術的に面白いものはあんまりなくて、手口が巧妙になっているだけという印象。技術的に頑張るより人を騙す方が簡単に稼げるってことですかね。同じくIPAが公開している情報セキュリティ10大脅威2018を見ても、不当請求や人材不足といった「人」寄りの脅威が多い印象。あ、でもEternalBlueは楽しそう。ASLR回避のいい教材っぽいので文中のPDFは読んでおきたいところ。

2章・3章についても気が向いたら書こうと思います。

*1:P.8「(1)ランサムウェア被害の深刻化」

*2:P.33「(2)Windowsの脆弱性を悪用した攻撃」

*3:P.11「(4)フィッシングとビジネスメール詐欺の傾向

*4:P23.「(1)ビジネスメール詐欺による金銭被害」

*5:P.24「図1-2-5 JALの貨物地上業務委託料被害事例の経緯」

*6:P.16「1.2.2 サービス妨害を狙った攻撃による被害」

*7:P31. 「(b)マルチベクトル型攻撃」

*8:P.46「(a)新たな偽警告の手口」

*9:P.26「(c)ワンクリック請求による被害」

*10:P.40「(b)組織体制による対策」

2017年に公開されたセキュリティ関連文書まとめ

ルールは以下。

  • 公共性の高いものを載せています
  • WGや研究会の純粋な活動報告書、個別のインシデント・脆弱性は載せていません

情報源はこの辺。

security.nekotricolor.com

セキュリティ関連団体

IPA

文書タイトル 公開日
ランサムウェアの脅威と対策 2017/01/23
組織における内部不正防止ガイドライン(日本語版) 第4版 2017/01/31
情報セキュリティ10大脅威 2017 2017/01/31
企業における営業秘密管理に関する実態調査 報告書 2017/03/17
自動車の情報セキュリティへの取組みガイド 第2版 2017/03/17
2016年度 中小企業における情報セキュリティ対策に関する実態調査 調査報告書 2017/03/30
情報セキュリティに関するサプライチェーンリスクマネジメント調査 報告書 2017/03/30
情報システム等の脆弱性情報の取扱いに関する研究会- 2016 年度 報告書 - 2017/03/30
企業のCISOやCSIRTに関する実態調査2017 報告書 2017/04/13
情報セキュリティ早期警戒パートナーシップガイドライン- 2017年版 2017/05/30
脆弱性体験学習ツール AppGoat 2017/06/06
2016年度 中小企業における情報セキュリティ対策に関する実態調査 事例集 2017/07/07
制御システムのセキュリティリスク分析ガイド ~セキュリティ対策におけるリスク分析実施のススメ~ 2017/10/02
情報セキュリティ対策ベンチマーク バージョン4.6 2017/10/27
2017年度情報セキュリティの倫理に対する意識調査 報告書 2017/12/14
2017年度情報セキュリティの脅威に対する意識調査 報告書 2017/12/14
制御システムのセキュリティリスク分析ガイド 早分かり 活用の手引き 2017/12/19

2016年に公開されたセキュリティ関連文書まとめ

完成しました。ルールは以下。

  • 公共性の高いものを載せています
  • WGや研究会の純粋な活動報告書、個別のインシデント・脆弱性は載せていません

ちゃんと読んだものについては、以下のようなメモも公開しています。

security.nekotricolor.com

政府機関

セキュリティ関連団体

IPA

文書タイトル 公開日
内部不正による情報セキュリティインシデント実態調査報告書 2016/03/03
営業秘密管理・保護システムに関するセキュリティ要件調査報告書 2016/03/04
2015年度 中小企業における情報セキュリティ対策に関する実態調査報告書 2016/03/08
つながる世界の開発指針 2016/03/16
公衆無線 LAN 利用に係る脅威と対策 2016/03/31
情報セキュリティ10大脅威 2016 2016/03/31
企業のCISOやCSIRTに関する実態調査2016 2016/05/10
IoT開発におけるセキュリティ設計の手引き 2016/05/12
増加するインターネット接続機器の不適切な情報公開とその対策 2016/05/31
企業における情報システムのログ管理に関する実態調査 2016/06/09
特定業界を執拗に狙う標的型サイバー攻撃の分析レポート 2016/06/29
ウェブサイトにおける脆弱性検査手法(ウェブアプリケーション検査編) 2016/09/28
CMSを用いたウェブサイトにおける情報セキュリティ対策のポイント 2016/09/28
情報セキュリティ対策ベンチマーク バージョン4.5 2016/10/27
セキュア・プログラミング講座 (2016年10月) 2016/10/31
SSL/TLSアプライアンス製品の暗号設定方法等の調査報告書 2016/11/08
中小企業の情報セキュリティ対策ガイドライン第2版 2016/12/12
「2016年度情報セキュリティの倫理に対する意識調査」報告書 2016/12/20
「2016年度情報セキュリティの脅威に対する意識調査」報告書 2016/12/20
サイバーセキュリティ経営ガイドライン解説書 2016/12/21

フィッシング対策協議会

フィッシングレポート 2016 2016/05/27
フィッシング対策ガイドライン 2016年版 2016/05/27

「ポケモンGO」「ランサムウェア」など特定のキーワードを含むセキュリティ関連記事を月ごとにまとめる試み

RSSリーダー「Feedeen」で取得しているセキュリティ関連の記事で何かできないか、ということで、月ごとの人気記事を探る試みをしました。

security.nekotricolor.com

で、せっかく過去のRSSエントリが手に入ったので、もう一つ、特定のキーワードがタイトルに含まれる記事を月ごとにまとめて蓄積していくのも面白そうだなと思いやってみました。

キーワードはとりあえず以下の2つ。

  1. ランサムウェア
  2. ポケモンGO

ブクマ数も表示することにして、以下のような表を作ります。

2016-07-12 ポケモンGOは、Googleアカウントのフルアクセスを要求する | TechCrunch Japan
2016-07-13 ポケモンGOを始める前に、Ingress経験者からの貴重なアドバイス集 : 市況かぶ全力2階建
2016-07-18 ポケモンGO、間もなく「中国版」配信の可能性 | Forbes JAPAN(フォーブス ジャパン)

で、これをまとめたページを作ります。
ランサムウェアは数が多いので半期で分けました。

security.nekotricolor.com
security.nekotricolor.com
ポケモンGOは1年1エントリで大丈夫そう。

security.nekotricolor.com

他にもはやりものとか気になるものが出てきたらやってみようと思います。

【毎月更新】2016年下半期の「ランサムウェア」についてのセキュリティ関連記事

RSSで購読している記事の中で、タイトルに「ランサムウェア」を含んでいるものをまとめました。数が多いので半期で分けてます。
作り方はこちら。

security.nekotricolor.com

2016年7月

日付 タイトル
07-01 暗号化型ランサムウェアの侵入方法およびその対策について
07-03 IoTの普及と共に急増が予想されるランサムウェア攻撃
07-05 暗号化型ランサムウェアの侵入方法とは | トレンドマイクロ is702
07-06 ランサムウェア動向の2016年上半期おさらい、「Locky」再来も
07-07 モバイルデバイスを狙うランサムウェア:対策のヒント
07-13 また新型ランサムウェア、攻撃者でもファイル復旧は無理 - ITmedia エンタープライズ
07-15 クラウドサービスを悪用する暗号化型ランサムウェア「CERBER」の亜種を確認
07-16 データを復元できないのに身代金を要求する新種のランサムウェア
07-19 Ded Cryptor:オープンソース由来の欲深いランサムウェア
07-20 レポート: 増加するランサムウェアの脅威に、企業も対策を | Symantec Connect
07-21 身代金を払っても払わなくても酷い目に遭わせるランサムウェア「Ranscam」
07-25 Satana:地獄のランサムウェア
07-25 備忘録: ランサムウェア対策としてのバックアップに関するいくつかの誤解
07-27 JavaScriptとPHPを活用したNemucodランサムウェアが登場
07-28 サイバー犯罪志望者向けに売り出されるランサムウェア
07-28 ランサムウェア「Mischa」の組織、ライバルの暗号解除鍵をネットで暴露
07-28 暗号化型ランサムウェア「STAMPADO」の価格設定から考える「Ransomware as a service」のビジネス

2016年8月

日付 タイトル
08-01 ランサムウェア被害者の6割以上が身代金を支払い、1億円以上の損害も
08-02 企業におけるランサムウェア実態調査 2016 | トレンドマイクロ
08-02 エキスパートに聞く:ジョーント・ファン・デア・ウィールがランサムウェアを語る
08-02 企業のランサムウェア対策は「不十分」、トレンドマイクロの調査で浮き彫りに
08-03 企業の4割がランサムウェアに感染、収益減や業務停止の被害も
08-04 ランサムウェアに感染したらどうする? 本音で語るランサムウェア被害の復元と対策 - 企業のITセキュリティ講座|株式会社大塚商会 お客様マイページ
08-04 ランサムウェア感染時の対処についての考察
08-09 半径300メートルのIT:“名もない中小企業”がランサムウェアの餌食になる理由 (1/2) - ITmedia エンタープライズ
08-09 ASCII.jp:ランサムウェアが怖ければPCにデータがなければいいじゃない
08-10 コントロールパネルで制御する 猫好き モバイルランサムウェア
08-12 新暗号化型ランサムウェア「R980」を確認、使い捨てメールアドレスで自身への追跡を回避
08-12 これからも続く脅威:ランサムウェアが日本でブレークした理由と感染対策をふりかえる (1/4) - ITmedia エンタープライズ
08-14 ランサムウェアへの対策を講じる
08-16 暗号化型ランサムウェア「Locky」の改良版、ブラジルのアンダーグラウンドで確認
08-16 ポケモンGOのWindows版アプリに偽装してファイルを暗号化し人質に取るランサムウェアが確認される - GIGAZINE
08-17 新しい暗号化型ランサムウェア「R980」が登場
08-18 No More Ransomポータル:ランサムウェアに対抗するための新しいイニシアチブ
08-18 サイトー企画、ランサムウェア対策ソフト「秀丸ランサムガード」を無償公開 - 窓の杜
08-18 ランサムウェア「Locky」の感染メール、日本の病院も狙って大量流通 - ITmedia エンタープライズ
08-22 ASCII.jp:世界的な脅威、ランサムウェアへの対策
08-23 Cerberランサムウェアの構成ファイルが更新される
08-24 国内で過去最大のランサムウェア被害、2016年上半期の脅威動向を分析
08-24 ランサムウェアの国内被害、過去最悪の状況に
08-26 ランサムウェア「WildFire」の火消しに成功
08-29 NoMoreRansomのツールで『Wildfire』ランサムウェアを駆除~無料でファイル復号が可能に
08-30 Linuxサーバを狙う新手のランサムウェア、Webフォルダを人質に身代金要求
08-31 トレンドマイクロ、ウイルスバスター最新版を発表 ランサムウェア対策を強化