アクセス制御／認証

いじめを避けて自宅で勉強した日々。逮捕後は複数の企業から“ラブコール”

　ボットネットを駆使した大胆なサイバー犯罪で、昨年末に世界中のセキュリティ関係者を驚愕させたニュージーランド在住の19歳の少年が、今度は地元の有名人として“持ち上げられた”ことでちょっとした話題になっている。（2008年12月03日）

新手のボット・コードを数日以内に検出できる確率はわずか40％程度

　多くのウイルス対策ソフトウェアが、ボットネットを拡大させるのに使われるバイナリ・コードを的確に検出できていない――そんなショッキングな実態が、米国のセキュリティ・ベンダーFireEyeが11月28日に発表した調査結果から明らかになった。（2008年12月01日）

悪名高きボットネットの新たなホスティング先にメス

　ボットネットSrizbiによる被害を食い止めるため、その運営サイトをホスティングする“ISP探し”が世界的に繰り広げられている。そんななか、エストニアのあるISPが、同社がホスティングしていたSrizbiの制御サーバをすべて遮断したことが関係筋から明らかになった。（2008年11月28日）

Windows 2000/XP/Server 2003は深刻度「緊急」、MS08-067パッチの適用を推奨

　Microsoftのセキュリティ研究者が11月25日、同社が10月に緊急パッチをリリースしたWindowsのバグを悪用する攻撃が急増していると警告し、すでにSymantecが発表していた同様の内容を追認した。「MS08-067」パッチを適用していないユーザーはすぐにこれを適用するよう、同社はあらためて呼びかけている。（2008年11月27日）

「正当な防衛活動」か「行き過ぎた自警活動」か

　ここ最近、ボットネット運営者にWeb接続サービスを提供していたとされる米国の2つのISP（Internet Service Provider）に対し、上位プロバイダーによるサービスの強制遮断が相次いで行われた。しかし、これらの措置は警察当局あるいは裁判所の命令に基づいて実施されたものではない。こうしたやり方に対しては、悪質なISPやマルウェア配信者からWebを守る正当な行為だと評価する意見が主流を占める一方で、「まるでオンライン自警団のようだ」と批判する意見も聞かれる。（2008年11月26日）

出品の6割はクレジットカード情報

　米国Symantecは11月24日、盗難クレジットカードや海賊版ソフト、金融口座に関する情報を売買する非合法オンライン市場が活況を呈しているとの報告をまとめた調査リポートを発表した。同市場に盗品を出品するのは1年間でおよそ7万人、出品総額も3億ドル近くに上っている。（2008年11月25日）

民間任せではない実効性のある改善プログラムの実施を！

　サイバー・セキュリティの強化を推進する米国Internet Security Alliance（ISA）は11月18日、次期大統領バラク・オバマ（Barack Obama）氏に対し、政府が民間企業の情報セキュリティ対策を奨励するという新たなアプローチの導入を求める提言を発表した。（2008年11月20日）

マイクロソフトは新たな無料ソフトでコンシューマ・セキュリティ市場に再挑戦

　米国Microsoftは11月18日、ウイルス対策ソフト「Windows Live OneCare」の店頭販売を2009年6月30日を持って終了することを発表した。（2008年11月19日）

「DNSSECの普及を遅らせているIETFに責任あり」との見解を示す

　DNSが抱えるセキュリティ上の問題がIT業界で叫ばれるにもかかわらず、その解決策の1つと目されているDNSSEC（Domain Name System Security Extension）の普及は遅々として進んでいない。そうした現状への危機感を声高に訴えるのが、DNSSECの考案者でありDNSの“生みの親”として広く知られるポール・モッカペトリス（Paul Mockapetris）氏だ。（2008年11月12日）

実在ユーザーのIDを乗っ取り、友人に金の無心

　SNS（ソーシャル・ネットワーキング・サービス）の「Facebook」で、国際的詐欺の「Nigerian 419」が発覚した。もっともらしい嘘でお金を要求する手口は古典的だが、Facebook内に実在するメンバーのIDを乗っ取って犯行に及んでいることから、今後、SNSがこうした詐欺事件の温床となる危険性を指摘する声が挙がっている（2008年11月11日）

返金の手続き方法を公表するのは常軌を逸している──英セキュリティベンダー

　セキュリティ・アナリストらが、先頃経営破綻したアイスランドの銀行に口座を持つ英国の預金者に向けて、フィッシング詐欺に注意すべきとの警鐘を鳴らしている。（2008年11月06日）

ポリシーを守っていたら仕事にならないという現状も

米国EMCのセキュリティ事業部門であるRSAセキュリティは先ごろ、社員（雇用者）のセキュリティ意識に関する調査結果を発表した。それによると、多くの社員が任務を遂行するために、自社のセキュリティ・ポリシーをしばしば無視している現状が明らかになった。（2008年10月30日）

グーグルは修正プログラムを開発中

　米国のセキュリティ・ベンダー、Independent Security Evaluators（ISE）は10月27日、米国Googleの携帯電話／モバイルOSプラットフォーム「Android」にセキュリティ上の脆弱性が存在することを明らかにした。この脆弱性はまだ修正されておらず、Android携帯電話のユーザーは情報を盗まれる可能性があると警告している。（2008年10月28日）

「サイト・マスキング」など新手の攻撃手法も

　ITセキュリティのコンファレンス「RSA Conference Europe 2008」においてセキュリティ専門家は、ハッカーらがGoogleなどの検索エンジンを利用し、重要なデータが保存されているWebアプリケーションに侵入するケースが急増していると警告した。（2008年10月28日）

RFIDタグの不正コピーにより「他人に成り済まして出入国することも可能」

　ワシントン大学の研究者らは、米国で今年から導入された2種類の出入国用カードについて、RFIDタグのデータを不正に読みだしたり不正にコピーしたりする攻撃を受けることで悪用されるおそれがあると警告している。（2008年10月27日）

マッシュアップの高度化でWebコンテンツの安全性を向上

　米国Microsoftは、10月27日（米国時間）からロサンゼルスで開催する開発者向け自社コンファレンス「PDC 2008」において、Webコンテンツを隔離して保護する新たなセキュリティ・プロジェクト「Web Sandbox」を発表する。（2008年10月27日）

データがどんな状態にあっても保護できるソリューションが必要

米国SafeNetは、2008年4月に暗号化技術を手がける米Ingrianを買収したほか、ここ数年で幾つかの技術の買収／売却を行い、企業のデータを直接的・統合的に保護する「Enterprise Data Protection」とデジタル著作権管理の「Software Right Management」の分野に注力することを表明している。企業のセキュリティの現状と同社の戦略について、社長兼COO（最高執行責任者）であるクリス・フェッド（Chris Fedde）氏に話を聞いた。（2008年10月24日）

巧妙化するあらゆる攻撃からネットワークを守る

　電子メールやWebブラウザを経由した攻撃や、Webアプリケーションの脆弱性を突く攻撃は、日々巧妙化しており、一見普通のアクセスに見えてしまう。そのため、一般のファイアウォールやIDS／IPSでは検知・防衛することはできない。本ホワイトペーパーでは、アプリケーション通信をより細部までチェックして万全のセキュリティ基盤を提供するUTM（Unified Threat Management：統合脅威管理）の実力を明らかにするとともに、導入を効果的に進めるための実践的な手法を紹介する。（2008年10月23日）

セキュリティ・ソフトの実態をセキュニアが指摘

　デンマークのセキュリティ・コンサルティング会社Secuniaは10月13日、現在市販されているセキュリティ・スイート製品のほとんどが、PCにインストール済みの各種ソフトウェアの脆弱性を突くエクスプロイトを十分に検知できないという調査結果を明らかにした。（2008年10月14日）

高いコスト・パフォーマンスと操作性――最新製品に備わる特徴と機能

　迅速にネットワーク系トラブルを解析し対応できる体制・仕組みの構築は、ネットワーク管理者の責務である。そうしたなかで今、注目されているのが、無線を同時にリアルタイムにパケット・キャプチャする「リアルタイムLANアナライザ」という製品分野だ。その代表的な製品にディアイティの「OmniPeek Family」（開発元：米国WildPackets）がある。同製品は、スタンドアロンのLANアナライザとしてだけでなく、分散した企業ネットワーク全体の一元的な常時監視を実現する。（2008年10月14日）