Insight : セキュリティ記事一覧

目的が「偽サイトへの誘導」から「マルウェアのインストール」に

ユーザーを偽サイトに誘導するフィッシング詐欺が問題視されてから、さまざまな対策が取られてきた。それらが奏功したのは事実だが、フィッシング詐欺犯の側も新たな手口を生み出してきている。本稿では、そうした最近のフィッシング詐欺事情について解説する。（2008年12月22日）

「単一エージェントでセキュリティ管理を簡素化する」

　米国に端を発した金融不安は、IT業界にも暗い影を落とし始めている。各社が先行きに不安を募らせる中、チェック・ポイント・ソフトウェア・テクノロジーズはこの事態をどのように捉えているのか。同社の創業者で会長兼CEO（最高経営責任者）を務めるギル・シュエッド（Gil Shwed）氏に聞いた。（2008年12月05日）

「正当な防衛活動」か「行き過ぎた自警活動」か

　ここ最近、ボットネット運営者にWeb接続サービスを提供していたとされる米国の2つのISP（Internet Service Provider）に対し、上位プロバイダーによるサービスの強制遮断が相次いで行われた。しかし、これらの措置は警察当局あるいは裁判所の命令に基づいて実施されたものではない。こうしたやり方に対しては、悪質なISPやマルウェア配信者からWebを守る正当な行為だと評価する意見が主流を占める一方で、「まるでオンライン自警団のようだ」と批判する意見も聞かれる。（2008年11月26日）

感染攻撃を行う脅威全体の1％未満

　ルートキットは、コンピュータの奥深くに感染してひそかに攻撃活動を行う恐るべき存在だ。セキュリティ対策ツールでも、検出や分析が困難だという。ところが、最近のサイバー犯罪者たちはルートキットを使わないという。本稿では、ルートキットの脅威と最近の攻撃者たちの傾向について解説しよう。（2008年11月17日）

脆弱性発覚から4カ月。未アップデートなど危機意識の低さが明らかに

　DNSサーバにセキュリティ上の深刻な脆弱性が見つかったのは今年7月のこと。以降、IT業界はDNSサーバのセキュリティ対策を必死で進めているが、それでも4台に1台の割合で脆弱なDNSサーバが存在することが、米国The Measurement Factoryの調査で明らかになった。（2008年11月12日）

セキュリティ研究者が「15分以内に解析可能な手法を発見」

　現在、多くの無線ネットワークで利用されているセキュリティ規格「WPA（Wi-Fi Protected Access）」で用いられている暗号鍵の一部を短時間で解析する手法を発見したとするセキュリティ研究者が現れた。TKIP（Temporal Key Integrity Protocol）で生成される暗号鍵（セッション・キー）を12〜15分という比較的短い時間で解析することができるという。（2008年11月07日）

「クラウド・サービスを含むあらゆる形態を駆使し統合的なソリューションを提供」

　電子メールのセキュリティ対策ソリューションを提供する日本プルーフポイント（Proofpoint）は2008年10月7日、日本市場向けに最新バージョンとなる「Proofpoint 5.5」を投入することを発表した。米国ProofpointのCEOを務めるゲイリー・スティール氏に、Proofpoint 5.5の特徴と日本市場での展開について話を聞いた。（2008年10月15日）

500件以上の事例調査から浮かび上がる業界別“脅威動向”

ライバル企業がセキュリティ侵害を受けたとのうわさを耳にしたなら、次は自社の番かもしれないと思ったほうがよい。実際、自分の勤める企業がセキュリティ侵害の標的となっている可能性は、決して低くないのだ。本稿では、米国Verizon Businessが実施した500件以上のセキュリティ侵害事例調査から見えてきた業界別の脅威動向を解説する。（2008年10月08日）

「基本的な対策さえ講じていない」と専門家らが指摘

現在、多くの企業がサイバー攻撃対策として、さまざまなセキュリティ対策を講じている一方で、個人のコンピュータ・ユーザーの大半は、依然としてサイバー攻撃に対する基本的な対策さえ講じていないという。本稿では、ベンダーの調査や専門家らの指摘を基に、個人ユーザーのセキュリティ対策の現状と今後取るべき具体策を明らかにしたい。（2008年10月06日）

テクノロジーに頼る前にみずからの記憶力を最大化する

銀行口座の暗証番号から仕事関連の電子メール、ネットワーク、オンライン・ショップ、SNSのログインIDまで、あらゆる場面でアルファベットと数字を組み合わせた「パスワード」を使用しなければならない私たちの頭は、すでにパンク寸前だ。しかし、脳を活性化させれば、まだまだパスワードを記憶することは可能だ。本稿では、記憶力を簡単に高める方法や、パスワードを絶対に忘れない効果的な記憶術を伝授しよう。（2008年09月10日）

独立性を特徴とする分散型に中央集権型の効率性をミックス

情報セキュリティ・ガバナンスは、規模の大小にかかわらず、あらゆる企業・組織に共通する重要な課題である。ガバナンスの方法は大きく中央集権型と分散型に分けられ、どちらにも一長一短があるが、「エンロン事件」以降、両方のよいところをミックスしたハイブリッド・モデルを採用する企業が増えている。（2008年09月05日）

巧妙化が極まるクラッキング、増え続ける攻撃の手口

最近、正規のWebサイトを改竄してマルウェア感染サイトに誘導する攻撃が多発している。セキュリティの脅威の目的が営利化した結果、換金が容易なインターネット・ユーザーのアカウント情報が狙われるようになったからである。このような脅威に対して、企業・組織はどのような対策を講じればよいのだろうか。本稿では、ネットワーク・セキュリティ環境を取り巻く現状とリスクを明らかにしたうえで、最新の脅威に立ち向かうための具体的方策を提起したい。（2008年08月22日）

低価格化やサービスの多様化で、普及へ向けて“3度目の正直”となるか

企業の情報システムを担う次世代クライアント技術として「シン・クライアント」が注目を集めて久しい。これまで何度かブームを巻き起こしてきたが、そのたびに導入コストの高さなどがネックとなり、大規模な普及には至らなかった。だが、ここにきて端末価格の低価格化や仮想化技術の応用により、これまでの課題が克服されつつある。さらにシン・クライアントのホスティング・サービスが登場するなど、サービス形態も多様化してきた。そこで本稿では、今回のブームの背景とともに、進化するシン・クライアントの最新事情を解説する。（2008年08月14日）

スパム・メールだけではない、CAPTCHAクラッキングの弊害

「CAPTCHA（Completely Automated Public Turing Test to Tell Computers and Humans Apart）」は、Webサイト管理者が自サイトに訪れたユーザーを（人間かどうか）見極める簡単かつ有用な手段であったはずだ。しかし最近では、「スパム業者が悪事を働くためのツール」と成り果てている。本稿では、CAPTCHAを取り巻く現在の状況を整理するとともに、その将来性についてあらためて考えてみたい。（2008年08月11日）

世界規模で多発する脅威に対して、ITマネジャーがとりうる防御策とは？

最近、データベースと連動したWebサイトを改竄し、不正に情報を搾取する、いわゆる「SQLインジェクション攻撃」が世界規模で多発している。SQLインジェクション攻撃自体は昔から存在するものだが、その対策方法をきちんと把握している企業は案外少ないのではないだろうか。そこで本稿では、SQLインジェクション攻撃の現状を報告するとともに、企業が講じるべき対策のポイントを紹介することにしたい。（2008年08月08日）

他愛ない行為が、刑事事件にまで発展するおそれも

席を外している同僚のコンピュータのそばを通りかかり、電子メールをのぞいてみようと思ったことはないだろうか。あるいは、ほんのいたずら心で同僚のメール・パスワードを探り出し、仕事用のメール・アカウントに勝手にアクセスしようと思ったことは？――単なる悪ふざけや害のない盗み見のつもりでも、そのせいで思わぬ窮地に陥るかもしれないことを、少なくとも企業ユーザーは知っておくべきである。場合によっては、勤務先解雇だけでなく、連邦犯罪に問われるおそれもあるのだ。（2008年08月04日）

自社のIT／情報資産を取り巻く脅威を知り、バランスのとれた対策を実施する

企業・組織において情報セキュリティ・マネジメント体制／基盤を確立することは、ビジネスとITの両面の課題をクリアしつつ事業を継続・成長させていくうえでの大前提である。本稿では、今日求められる経営課題を踏まえながら、情報セキュリティに関するインシデントの動向や標準規格の概況、全社的な対策の実施時に留意すべきポイントなどを紹介・解説することで、時代の要請に応えうる情報セキュリティ・マネジメントを構築するためのガイドラインを示してみたい。（2008年07月31日）

当面は応急パッチでしのぐ以外に対処法はなし

7月9日、インターネットの根幹を支えるDNS（Domain Name System）プロトコルに脆弱性があることが明らかになった。これを発見したセキュリティ研究者は17日に記者会見を開き、DNSソフトウェア・ベンダーから提供されているパッチは応急処置にすぎず、抜本的な対策が必要だと訴えている。（2008年07月18日）

紛失／盗難にあったノートPCを持ち主の下へ――商用版にどこまで対抗できるか

ノートPCをなくしてしまうのは、今や人生の一部をなくすのと同じだ。思い出の写真や好きな音楽、個人的な日記など、かけがえのないデジタル・データに永遠に別れを告げることになる。ましてや仕事用のノートPCともなれば、機密情報を漏らした張本人として処罰されかねない。そうしたなか、米国Washington大学とCalifornia大学San Diego校の共同研究チームは7月14日、持ち主の情報プライバシーを守りながら無料でノートPCを追跡してくれるオープンソース・ソフトウェア「Adeona」を発表した。（2008年07月15日）

「サイバー犯罪者にとってP2Pネットワーク上の情報は“ネタ”の宝庫」と専門家は警鐘

ピア・ツー・ピア（P2P）ファイル共有ソフトウェアの危険性は、数年前から指摘されている。実際、同ソフトウェアによる企業の情報流出事件は、過去何回も発生している。しかし、多くの企業は同ソフトウェアの脅威に対して鈍感だ。本稿では最近発生したP2Pソフトによる情報流出事件を基に、今後企業が行うべき対策を、専門家の指摘を中心に紹介する。（2008年07月11日）