連載
インフラセキュリティの処方箋
本連載はネットワーク管理者，インフラエンジニアなど向けの情報として，昨今のセキュリティの問題や対策方法を記して行きます。なお，扱う範囲はネットワークなどの低めのレイヤーです。「これ」と言う事象が発生したときに，その内容について解説を試みると言うことは普通に記すとして，『あたりまえ』的な内容についても紐解いていくような試みをして行こうと思います。
- 第44回 2018年3月～修正できない脆弱性対応，繰り返される歴史，そして「あたりまえ」を実践すること
- 「連絡不能案件」扱いされるソフトウェアの脆弱性対処
- 攻撃の歴史を学ぼう～歴史は繰り返す
- 最後に～「あたりまえ」の行動が被害を最小限にとどめる
2018年3月28日
- 第43回 2018年2月～いまも発見される，DLL読み込みに関する脆弱性～どう悪用されるのか？＆対処は？
- 2月に公開された「DLL読み込みに関する脆弱性」の例
- 「DLL読み込みに関する脆弱性」のCVSS評価
- 「DLL読み込みに関する脆弱性」がトリガする前提としくみ
- 「DLL読み込みに関する脆弱性」の原因
- 「DLL読み込みに関する脆弱性」の対策
- 参考資料
2018年2月28日
- 第42回 2018年1月～MeltdownとSpectre～現代的なCPUのしくみに根差した脆弱性 / 外部ネットワークを使うためのちょっとした注意
- 脆弱性の概要と影響
- 本脆弱性の影響を考慮すべき環境
- 外部からの攻撃除け～ちょっとした注意をするだけでだいぶ違う
2018年1月31日
- 第41回 2017年12月～ROBOT：19年前から潜んでいたTLS実装の脆弱性
- ROBOT攻撃とは何なのか？～「RSA暗号による鍵交換実装」の脆弱性を突く
- ROBOT攻撃が成立すると何が起こるか？
- ROBOT攻撃を許す脆弱性はどこに入り込んでいるのか
- ROBOT攻撃に対して脆弱なサーバの識別方法～鍵交換をRSAで実施してるかを調べる
- ROBOT攻撃でできないこと～たとえばTLSサーバ証明書の秘密鍵復元
- ROBOT攻撃に対して脆弱なTLSサーバ実装の一覧と対処方法
- ROBOT攻撃の緩和策
2017年12月27日
- 第40回 2017年11月～利用が容易なOffice脆弱性が発見された2017年11月～PoCも出ました
- Microsoft Office 数式エディタのスタックオーバーフロー脆弱性～CVE-2017-11882
- eqnedt32.exeの存在確認～whereコマンドを使おう
2017年11月30日
- 第39回 2017年10月～今月も脆弱性祭り～わかっちゃいますが尽きる気配はまったくありません
- 1週間以上かかって修正版が正式リリースされたTomcat
- WPA/WPA2の盗聴や通信乗っ取りを可能とするKRACKs～でもちょっと騒ぎすぎ？
2017年10月30日
- 第38回 2017年9月～今月は脆弱性祭り～どうしてこんなに出てくるのか～
- CVE-2017-12615～Windows版Tomcat 7でリモートコード実行できる脆弱性のはずが……
2017年9月28日
- 第37回 2017年8月～見直されるパスワード規則～特殊文字も変更間隔も規定しない現在の標準
- パスワード規則のおおもとは，2003年に作成されたNIST SP800-63 Appendix A
- SP800-63-3でなくなった「パスワード規則」に関する記述
- 今守るべきパスワード規則の指針は？
2017年8月31日
- 第36回 2017年7月～ウィルス付きメールにご用心～マクロ付き文書ファイルと脆弱性を突く文書ファイル
- まだ多く届くウィルス付きメール～「気を付けて」だけで身を守れるか？
- 攻撃メールは第三者機関による情報提供も行われる～おや？と思ったら確認を
2017年7月31日
- 第35回 2017年6月～EOLなWindowsへの修正ファイル提供と，DLLプリロードの問題
- EOLになった古いWindows OS向けにも脆弱性修正ファイルが提供される……が，あくまで例外
- WindowsアプリケーションによるDLL読み込みやコマンド実行に関する問題への対処
2017年6月29日
- 第34回 2017年5月～WordPressの脆弱性，ランサムウェアWannaCry騒動とその後
- リモートコード実行可能なWordPress脆弱性～ただしPoCは不完全
- 世界を大混乱に陥れたWannaCry～MS17-010が突破口……でもどうやって？
2017年5月31日
- 第33回 2017年4月～Windows Vista EOLとIIS 6.0の脆弱性，そしてフィッシング手法のデモ
- Windows Vistaは2017年4月11日にEOLを迎えた＆これから3年周期でEOLがやってくる
- IIS 6.0の脆弱性が見つかる（当然ですが0dayです）
- 新手のフィッシング手法（デモ）～Phishing with Unicode Domains
2017年4月27日
- 第32回 2017年3月～Struts 2脆弱性（S2-045～S2-046）を俯瞰してみた
- Struts 2脆弱性～S2-045～S2-046の件
- 日を追うごとに増えていく被害～脆弱性対策を考え直すきっかけとしてほしい
2017年3月29日
- 第31回 2017年2月～Wordpress脆弱性とMicrosoftアップデート2月繰り延べの件
- REST APIの不具合により，Wordpressのコンテンツが容易に改ざんされる脆弱性
- 2017年2月のMicrosoftの定例アップデートが中止～一部の緊急アップデート以外は3月に持ち越し
2017年2月28日
- 第30回 2017年1月～マルウェア付きメールのばら撒きに注意＆「サイバーセキュリティ月間」アナウンス
- 巧妙化するマルウェア付きメールのばら撒きにご注意を
- 今年も「サイバーセキュリティ月間」がやってきます！
2017年1月31日
- 第29回 2016年12月～CVE番号が1年で9999以上払い出される＆年末年始の注意
- 今年のCVE番号払い出しは9999を超えた～たとえばCVE-2016-1000031
- 年末年始の注意～最近多く届くメール添付マルウェアは，docmのような文書ファイル（悪意あるマクロ入り）やdocなどの「古い」文書形式（ただし悪意あるマクロ入り）
2016年12月26日
- 第28回 2016年11月～Microsoft製品の脆弱性情報提供が変更に＆Apache Tomcatの脆弱性
- Microsoft，セキュリティ情報の提供を変更～今後はSecurity Updates Guideに
- 2016年11月に出たApache Tomcatの脆弱性～他ベンダにより修正された脆弱性の確認漏れ？
2016年11月30日
- 第27回 2016年10月～BINDの脆弱性（CVE-2016-2776）公開，「情報処理安全確保支援士」登録受付開始
- BINDの脆弱性（CVE-2016-2776）公開と，脆弱性公開後の状況
- 「情報処理安全確保支援士」，制度設計は悪くないものの，実装に課題？
2016年10月31日
- 第26回 2016年9月～OpKillingBayの動向とDDoSのおおまかな類型
- 今年も始まったOpKillingBay
- DoS/DDoSを引き起こす仕組み～大半は普通のアクセスに見せかけた通信を大量に送りつける形の攻撃だが，アプリケーションの脆弱性を突くものも存在する
- DoSを引き起こす脆弱性とは？～CVSS値の評価時に，Availability（可用性）に影響があるとされるものや，CPU/メモリを異常に消費させられる脆弱性
- DDoSが引き起こされる時に何が発生しているか？～さばききれないトラフィックの到達
- DDoSは本質的に防ぐのが難しいが，できることは0ではない
- DDoSを発生させること，加担することは犯罪～手軽だからと言ってやらないように
2016年9月30日
- 第25回 2016年7-8月～Microsoft製品のサポートおよびセキュリティ情報の現状＆CVE番号の採番状況
- Windows Vistaは2017年4月11日～使っている人は環境の移行をお早めに
- MS16-100は8月にリリース～100の大台に乗ったのは昨年よりも1ヵ月早い
- CVE番号の採番状況から見る今年の脆弱性の数～今年はCVE2016-10000を見ることに？
2016年8月30日
著者プロフィール
宮本久仁男（みやもとくにお）
某SIerに勤務する，どこにでもいる技術者。
OSやネットワーク技術に興味を持ち，その延長でセキュリティ技術にも興味を持って，いろんな調査や研究を手がけてます。
自分で思考を巡らしたり検証したり，というのももちろん好きで，あれこれやってます。もちろん他の人に迷惑はかけない範囲で……ですが。
博士（情報学），技術士（情報工学）。
URL：http://d.hatena.ne.jp/wakatono/
監訳書の1つ：実践Metasploit