トリコロールな猫/セキュリティ

思いついたことをぼちぼち書いてます。

政府機関等のセキュリティ関連の新着情報をつぶやくTwitterボットを公開しました

【2017/05/25 追記】日本クラウドセキュリティアライアンス（CSAJC）に対応しました。
【2017/05/17 追記】重要生活機器連携セキュリティ協議会（CCDS）に対応しました。


以下のような、公共性の高いドキュメントを楽に集めたい。

nekotricolor.hatenablog.com

ということで、以前公開した以下の情報源のうち、RSSに対応していないサイトの更新情報をつぶやくTwitterボットを作成中です。

nekotricolor.hatenablog.com

仕様

アカウント名は@secutricolorです。毎日8:00に、前日に更新があったかどうかをチェックし、あった場合には「#セキュリティ新着情報」というタグを付けて以下のようなツイートをします。

言語はRuby。ツイートには、Twitter Gemを使っています。

対応サイト

以下のサイトに対応済/対応予定です。

サイト チェック対象 対応
警察庁 サイバー犯罪対策 What's New 2015/11/12 済
警察庁 @police What's New 2015/11/12 済
内閣サイバーセキュリティセンター（NISC） What's New 2015/11/12 済
首相官邸 IT総合戦略本部 お知らせ 停止中
日本スマートフォンセキュリティ協会 ニュース 2015/11/12 済
フィッシング対策協議会 協議会からのお知らせ一覧 2015/11/12 済
総務省 国民のための情報セキュリティサイト トピックス 2015/11/20 済
経済産業省 情報セキュリティ政策 最新情報 未
CRYPTREC トピックス一覧 未
重要生活機器連携セキュリティ協議会 ニュース 2017/05/17 済
日本シーサート協議会 What's New（の加入者紹介以外） 未
日本情報経済社会推進協会（JIPDEC） ニューストピックス 2015/11/20 済
日本クラウドセキュリティアライアンス（CSAJC） ニュース 2017/05/25 済

作ってみて

本来はセキュリティの情報源として、このエントリの「Crowsnestで旬の話題を拾う」で書いたような、TwitterのTLからセキュリティ関連のツイートを拾ってリツイートするようなボットを作るつもりだったんですが、思いの外ノイズが多くてかなりのカスタマイズが必要で公開が先延ばしになりそうだったので、先にこちらを実装して公開することにしました。

WWWCみたいな更新チェックツールを探したり、RSSフィードを作成してくれたりするサービスを試してみたりしたところ、うまく動かないとか、「差分」ではなく特定の場所の更新情報だけが欲しいとか、ツイートを自動化するためにはどっちみちコードを書かなきゃいけないとかで、作ってみることに。

ていうかなんでRSS吐いてないのって話ですよ。おかげで1個1個のWebページについて更新情報の部分からリンクURL、リンクタイトル、更新日時を取得するXpathを書くハメに。でもクローラーの勉強にはちょうどいい課題でした。

今後もこのアカウントでいろいろと実験してみるつもりです。

参考


Rubyによるクローラー開発技法 巡回・解析機能の実装と21の運用例

Rubyによるクローラー開発技法 巡回・解析機能の実装と21の運用例

2015年上半期に公開されたセキュリティ関連文書まとめ

読み物

ガイドライン、マニュアル、指針、報告書など、文書としてネットに公開されたものをちまちまと集めていたので、せっかくなのでまとめて公開してみたいと思います。

  • 公共性の高いものを載せています
  • WGや研究会の純粋な活動報告書、個別のインシデント・脆弱性は載せていません
  • リンク先は全てPDFです。

情報源は以下。nekotricolor.hatenablog.com

政府機関

METI

文書タイトル 公開日
不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況 2015/03/30

総務省

文書タイトル 公開日
Wi-Fi利用者向け 簡易マニュアル 2015/03/10
公衆無線LAN利用に関する情報セキュリティ意識調査結果 2015/03/16
地方公共団体における情報セキュリティポリシーに関するガイドライン 2015/03/27
サイバーセキュリティ政策推進に関する提言 2015/05/22

NISC

文書タイトル 公開日
重要インフラの情報セキュリティ対策に係る第３次行動計画（改訂版） 2015/05/19
外部委託等における情報セキュリティ上のサプライチェーン・リスク対応のための仕様書策定手引書 2015/05/21
スマートフォン等の業務利用における情報セキュリティ対策の実施手順策定手引書 2015/05/21
情報システムに係る政府調達におけるセキュリティ要件策定マニュアル 2015/05/22
重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第４版） 2015/05/25
重要インフラの情報セキュリティ対策に係る第３次行動計画 2015/05/25

CRYPTREC

文書タイトル 公開日
SSL/TLS暗号設定ガイドライン 2015/05/22

セキュリティ関連団体

IPA

文書タイトル 公開日
2014年度情報セキュリティ事象被害状況調査 2015/01/15
「2014年度情報セキュリティの脅威に対する意識調査」報告書 2015/02/17
「2014年度情報セキュリティの倫理に対する意識調査 」報告書 2015/02/17
情報セキュリティ10大脅威 2015 2015/03/25
安全なウェブサイトの作り方 改訂第7版 2015/03/26
「情報システム等の脆弱性情報の取扱いに関する研究会」2014年度報告書 2015/03/26
制御システム利用者のための脆弱性対応ガイド 2015/03/26
組織における内部不正防止ガイドライン 2015/03/25
IPAテクニカルウォッチ「脆弱性対策の効果的な進め方（実践編）」 2015/03/31

JNSA

文書タイトル 公開日
2013年情報セキュリティインシデントに関する調査報告書～個人情報漏えい編～ 2015/02/20
2014年度 情報セキュリティ市場調査報告書 2015/06/04

その他

文書タイトル 公開日 公開組織
SSH サーバセキュリティ設定ガイド V1.0 2015/02/20 日本シーサート協議会
Androidアプリのセキュア設計・セキュアコーディングガイド 2015/06/01 JSSEC

OllyDbgを使ってx86アセンブラを学ぶシリーズ「第六話：EBPとESP、スタック領域の使われ方」公開

アセンブラ

OllyDbgを使ってx86アセンブラを学ぶシリーズ第六話を公開しました。投げ銭方式なので最後まで無料で読めます。
今回はスタック領域のキモとなるEBPとESPについての説明です。こういう、単純だけどスマートな仕組みが大好きです。note.mu

あと2話で完結する予定です。完結したらAmazonの電子書籍として出してみようかなって思ってます。

初めての方はまずこちらをどうぞ。

「第零話：まずは動かしてみる 〜ブレイクポイントとステップ実行〜」も無料で読めます。

情報セキュリティポリシーを書くときに使えそうな情報を集めてみた

対策 読み物

情報セキュリティポリシーは、基本方針（狭義のポリシー）、対策標準（スタンダード）、実施手順書（プロシージャ）の3つからなります。基本方針は偉い人の「頑張りまーす」という宣言なのであまり口は挟めず、実施手順書はマニュアルなのでわざわざ集めなくても情報は豊富だろうということで、スタンダードを書くときに役立ちそうな情報を集めました。

つらつらと書いてますが、結局「サンプルあり」のとこに載せたJNSAのサンプルと総務省の地方公共団体向けのガイドラインだけで書ける気がする。

法律、ガイドライン等

情報セキュリティポリシーに関するガイドライン
平成12年（=西暦2000年）に策定された情報セキュリティポリシーに関するガイドラインの一部改定版。これが最新？


経産省のガイドラインリスト
経産省系はここに一通りそろってます。

ポリシーはこれに準拠したことを書けよ、と。

平成12年最終改定と古いけど一度は読むべき。

同上。通産省すよ通産省。

概念・書き方

情報セキュリティマネジメントとは｜組織幹部のための情報セキュリティ対策｜企業・組織の対策｜国民のための情報セキュリティサイト
ポリシーとはなんぞやという人向け。事故・被害の事例はかなり具体的でいいすね。


学校情報 セキュリティハンドブック
学校向けの資料でリスク分析の方法なんかは学校特有の感じがするものの、ポリシーのチェックリストや雛形などがあっていいです。


『情報セキュリティポリシー』策定のための基本的な考え方
これもタイトル通り、ポリシーとは何ぞやという人向け。基本方針、対策標準、実施手順の具体例があって良いです。書かれたのは2003年ですけど・・。


情報セキュリティポリシー入門：実践！ セキュリティポリシー運用（1） - ＠IT
これもだいぶ古いんですが、後で出てくるJNSAのサンプルを書いた方の記事なので合わせて読むといいと思います。


中小企業における組織的な情報セキュリティ対策 ガイドライン
ちょっと冗長で見出しも長いしこのフォント嫌いだしでアレですが、セキュリティ対策といったときに何をしなければならないかという切り口で書かれていて、これの中から自社がやるべきことを選んで列挙すればそれがスタンダードになる。かもしれない。

サンプルあり

情報セキュリティポリシー・サンプル(0.92a版)
解説書あり。電子メール利用基準、ネットワーク構築基準など、目的ごとに別のファイルになっていて参照しやすい。

（2016年3月30日追記：JNSAのサンプルは2016年3月29日付で1.0版が公開されています。こちらを参照ください。）
security.nekotricolor.com

地方公共団体における 情報セキュリティポリシーに関する ガイドライン(平成 27 年 3 月版)
書き方と例文。これとJNSAのサンプルだけでスタンダードは書けそう。


高等教育機関の情報セキュリティ対策のためのサンプル規程集 (2013 年版)
各項目についての解説付き。

余談

最初に載せた情報セキュリティポリシーに関するガイドラインが策定された2000年は、科技庁始め官公庁のサイトが続けて改ざんされた年なんですよね。1月に改ざん、2月に情報セキュリティ対策推進会議（NISCの前身）立ち上げ、7月にガイドライン策定という素早さ。
当時の情報セキュリティ対策推進会議の活動記録が首相官邸ホームページにあって、会合の議事要旨とか歴史を感じさせて面白いです。ここには第3回会合までしか載っていませんが、NISCのサイトには全部載ってるみたいですね。でもこっちは決定事項のみで議事要旨はないようで。

にしても、新しい情報が全然ないのは意外でした。元になっているBS7799からのISO20072は2013年に改定されているのに。
ISO20072:2013の国内規格JIS Q 27002:2014

でもISMS認証が来年度変わるようなので、それに合わせて新たなガイドラインが出てきそうですね。

セキュリティ全般の情報源についても以下でまとめていますのでよろしければご一読ください。
security.nekotricolor.com

【新記事作成しました】セキュリティに関する情報源を整理してみた

読み物 対策

【2020/02/26更新】加筆修正を加えた2020年版を新記事を作成しました。この記事はもう更新しませんので、以下の記事をご覧ください。

security.nekotricolor.com

個人的なブックマークをどこでも使えるようにここに公開しておこうと思います。

政府機関

サイトURL RSSまたは新着情報の場所
情報セキュリティ政策（METI/経済産業省） 最新情報
総務省｜報道資料一覧：2020年2月 報道資料一覧
過去のトピックス一覧｜国民のための情報セキュリティサイト 過去のトピックス一覧
高度情報通信ネットワーク社会推進戦略本部（ＩＴ総合戦略本部） 【お知らせ】
警察庁 @police topics
警察庁 サイバー犯罪対策 What’s New
情報セキュリティ広場 警視庁 注目記事？
http://www.cryptrec.go.jp/topics.html トピックス一覧
内閣サイバーセキュリティセンター What’s New

セキュリティ関連団体

サイトURL RSSまたは新着情報の場所
JPCERT コーディネーションセンター RSS
IPA 独立行政法人 情報処理推進機構 RSS
JNSA RSS
CSIRT - 日本シーサート協議会 What’s New
フィッシング対策協議会 Council of Anti-Phishing Japan | ニュース | 緊急情報 緊急情報一覧
お知らせ – セーファーインターネット協会 Safer Internet Association（SIA） お知らせ
一般社団法人 重要生活機器連携セキュリティ協議会 ニュース
https://www.cloudsecurityalliance.jp/newsite/ RSS
https://www.first.org/ RSS
APCERT What’s NEW

セキュリティベンダー

サイトURL RSSまたは新着情報の場所
「注意喚起」の記事 | セキュリティ対策のラック RSS
LAC WATCH | セキュリティ対策のラック RSS
エフセキュアブログ RSS
トレンドマイクロ セキュリティブログ | セキュリティ（ウイルスや脆弱性による攻撃）の最新動向を追うなら、Regional TrendLabs ウイルス解析担当者が執筆するトレンドマイクロ セキュリティ ブログ。 RSS
is702 - インターネットセキュリティナレッジ | トレンドマイクロ RSS
セキュリティニュース - マカフィー RSS
http://blogs.mcafee.jp/mcafeeblog/ RSS
Tokyo SOC Report Archives - IBMセキュリティー・インテリジェンス・ブログ RSSなし？

その他団体

サイトURL RSSまたは新着情報の場所
FISC 金融情報システムセンタートピックス FISCからのお知らせ
日本銀行金融研究所 情報技術研究センター お知らせ
ニューストピックス - 一般財団法人日本情報経済社会推進協会（JIPDEC） 新着ニューストピックス
ISOC-JP Wiki News

脆弱性情報（全分野）

網羅的に公開しているもの。

サイトURL RSSまたは新着情報の場所
Alerts | CISA RSS
Current Activity Landing | CISA RSS
CERT Vulnerability Notes Database RSS
Japan Vulnerability Notes RSS

脆弱性情報（ベンダ・開発者）

ベンダーのセキュリティアドバイザリやパッチの情報など。英語版が先に出て日本語版が後から公開されるベンダは、英語日本語両方のページを載せています。

Microsoft

サイトURL RSSまたは新着情報の場所
Microsoft セキュリティ情報の概要 各年月
Microsoft 日本のセキュリティチーム RSS

Apple

サイトURL RSSまたは新着情報の場所
Apple security updates - Apple Support Security updates
Apple セキュリティアップデート - Apple サポート セキュリティアップデート

Cisco

サイトURL RSSまたは新着情報の場所
Security Advisories Cisco Security Advisories
製品サポート - セキュリティ アドバイザリ - Cisco 年

Adobe

サイトURL RSSまたは新着情報の場所
Adobe Security Bulletins and Advisories Recent Bulletins and Advisories
Adobe セキュリティ速報およびセキュリティ情報 最近の速報および情報
Adobe Product Security Incident Response Team (PSIRT) Blog RSS

Oracle

サイトURL RSSまたは新着情報の場所
Critical Patch Updates, Security Alerts and Bulletins RSS
Critical Patch UpdatesとSecurity Alerts Critical Patch Updates
オラクルサポート 日本語技術情報 製品セキュリティ関連情報
Oracle Blogs | Oracle Security Blog RSS

WordPress

サイトURL RSSまたは新着情報の場所
News & Announcements – WordPress.org RSS
ブログから大規模サイトまで作れる CMS | WordPress.org 日本語 ブログ

その他

サイトURL RSSまたは新着情報の場所
http://www.mozilla-japan.org/security/announce/ 日付
Internet Systems Consortium RSS
Japan Network Information Center - JPNIC RSS
JPドメイン名のサービス案内 | JPRS RSS

脆弱性情報（言語）

サイトURL RSSまたは新着情報の場所
Ruby RSS
Python Insider RSS
https://secure.php.net/ RSS

国内のニュースサイト

3つだけですがこれでも量が多いので、タイトルだけ読んで最近話題になっているものを把握するくらいしかしてないです。

サイトURL RSSまたは新着情報の場所
セキュリティの最新人気記事 157471件 - はてなブックマーク RSS
http://itpro.nikkeibp.co.jp/security/ RSS
スラド -- アレゲなニュースと雑談サイト RSS

海外のニュースサイト

最近まとめてはいませんが、こちらもタイトルだけ眺めて最近話題になっているものを把握するくらいですかね。

サイトURL RSSまたは新着情報の場所
E Hacking News - Latest Hacker News and IT Security News RSS
Help Net Security - Information Security News RSS
Hacking | Technology | The Guardian RSS
Security News and Views for the World • The Register RSS
Technology News, Analysis, Comments and Product Reviews for IT Professionals | ZDNet RSS
WIRED RSS
Welcome to Network World.com RSS
http://www.fireeye.com/blog/threat-research/_jcr_content.feed RSS
Netcraft News | Internet Research, Cybercrime Disruption and PCI Security Services RSS
The Cloudflare Blog RSS
RESOURCES | IOActive RSS
WeLiveSecurity RSS
IT Security News & Blog | The State of Security | Tripwire RSS
HACKMAGEDDON – Information Security Timelines and Statistics RSS
Securelist | Kaspersky’s cyberthreat research and reports RSS

実際の情報収集方法

別エントリでも書いているのでこちらもどうぞ。

security.nekotricolor.com

RSSはFeedeenで読む

RSS/Atomが公開されているものはWebOS GoodiesさんのFeedeenで読んでいます。タグではなくディレクトリで管理したい世代には最適なオンラインRSSリーダーではないかと思います。シンプルなのに欲しい機能は揃っていて本当に重宝しています。

Feedeen - いつでもどこでも新鮮な情報を

政府機関のページはChromeでブックマークしておいて、1日1回「すべてのブックマークを開く」で全部開いて1個1個確認しています。RSS公開してほしい・・。

Crowsnestで旬の話題を拾う

【 2015年8月2日追記】なんとびっくりCrowsnestは2015年7月15日をもってサービスを終了してしまいました。
ということで今Crowsnestで収集していたものと同じような条件でツイートを拾ってリツイートするボットを作成中です。
完成したら@secutricolorというアカウントで運用する予定です。

ここに載せたページ以外にも、CrowsnestでTwitterのTLからセキュリティに関連しそうなリンクを拾っています。実はこれが一番早くて、必要な情報はほぼこれだけで手に入る気がする。

Crowsnestの使い方は以下。ここではつくばについてのつぶやきを拾っていますが、これをセキュリティ関連のアカウントのリストと、#セキュリティ/#securityのハッシュタグを追うようにするといい感じになります。

http://www.nekotricolor.com/entry/combination-twitter-and-crowsnest-help-you-not-to-miss-useful-information


セキュリティポリシー（の内のスタンダード）を書くときに役に立ちそうな情報もまとめてみましたので、よろしければご一読ください。こんなのもあるよ〜という情報も大歓迎です。
nekotricolor.hatenablog.com

OllyDbgを使ってx86アセンブラを学ぶシリーズ「第五話：スタックとLIFO、だから何？（怒）」公開

アセンブラ

OllyDbgを使ってx86アセンブラを学ぶシリーズ第五話を公開しました。投げ銭方式なので最後まで無料で読めます。
今回は、スタックの仕組みとLIFOについて、@nekotricolorが初めて習ったときに感じたことを率直に書いております。

note.mu

初めての方はまずこちらをどうぞ。

「第零話：まずは動かしてみる 〜ブレイクポイントとステップ実行〜」も無料で読めます。

Binary Ninjaのプロトタイプ版が公開されたのでインストールしてみた

読み物 アセンブラ

Pythonベースのソフトウェア解析ツールBinary Ninjaのプロトタイプが公開されました。

Binary Ninja

バイナリエディタや逆アセンブラなどがセットになっていて、近日公開のフルバージョンではシェルコードコンパイラ（shellcode2exe.pyみたいな、シェルコードを実行形式に変換してくれるものと思われ）なんかもついているらしい。

ということでとりあえずインストールしてみました。環境はPythonインストール済みのMac OS X Yosemiteです。
手順は以下。

  1. PySideインストール
  2. PyCryptoインストール
  3. Binary Ninja起動

PySideインストール

ここに書いてある通りでいいのですが一応。pypi.python.org

Qtインストール

PySideの前にQtをインストールする必要があります。

$ brew install qt
（略）
Run `brew linkapps` to symlink these to /Applications.
==> Summary
🍺 /usr/local/Cellar/qt/4.8.6: 2790 files, 119M

ちなみにTXつくば駅の駅ビルの名前は「Q’t（キュート）」です。バーゲンを全力でやることで私の中で有名です。
つくばショッピングモール比較 〜 イオンモールつくば vs イーアスつくば 仁義なき戦い | トリコロールな猫

pipインストール

PySideをインストールするために、Pythonのパッケージ管理ソフトpipをインストールします。

$ sudo easy_install pip
（略）
Installed /Library/Python/2.7/site-packages/pip-6.1.1-py2.7.egg
Processing dependencies for pip
Finished processing dependencies for pip

ようやくPySideインストール

$ sudo pip install -U PySide
（略）
Downloading PySide-1.2.2-cp27-none-macosx_10_6_intel.whl (17.2MB)
100% |████████████████████████████████| 17.2MB 27kB/s
Installing collected packages: PySide
Successfully installed PySide-1.2.2

PySideのセットアップ

インストール後にこれをやらなきゃいけないらしい。

$ pyside_postinstall.py -install
PySide package found in /Library/Python/2.7/site-packages/PySide...
Traceback (most recent call last):
（略）
PySide package successfully installed in /Library/Python/2.7/site-packages/PySide...

PyCryptoインストール

こちらはpip一発。

$ sudo pip install PyCrypto
（略）
Downloading pycrypto-2.6.1.tar.gz (446kB)
100% |████████████████████████████████| 446kB 959kB/s
Installing collected packages: PyCrypto
Running setup.py install for PyCrypto
Successfully installed PyCrypto-2.6.1

Binary Ninja起動

GithubのBinary NinjaのページからZIPをダウンロードし、展開してbinja.pyを実行します。github.com

$ python binja.py


無事起動しました。

f:id:nekotricolor:20150421201636p:plain

せっかくなのでexeファイルを開いてみました。
Disassemblerビュー。ちゃんと出てる。

f:id:nekotricolor:20150421201648p:plain

Hex editorビュー。

f:id:nekotricolor:20150421202328p:plain

このフォント安心するぅ。

フルバージョンには「Execute code in a simulated environment with interactive debugging features」もついてくるそうで、Mac上で動く簡易なGUIのデバッガを探している身としては大変期待しております。