ウイルス／ワーム／スパム対策

［国内］ トレンドマイクロ、潜在的な脅威を可視化する「Threat Management Solution」を発表

ネットワーク上の疑わしい挙動を検知・分析し、未知の不正プログラムに対応

　トレンドマイクロは8月20日、企業ネットワーク内の疑わしい挙動を検知・分析することで潜在的な脅威を可視化するとともに、パターン・ファイル対応前の潜在的な不正プログラムの検知とシステムの復旧、感染原因の分析を提供するセキュリティ対策ソリューション「Trend Micro Threat Management Solution」を発表した。（2008年08月20日）

［米国］ 反グルジア派のスパマー、ボットネット構築をねらって新種のスパム攻撃を実行

「ほとんどのウイルス対策ソフトは攻撃コードを検知不可」と専門家

　ロシアと紛争中のグルジアを目の敵とするハッカーらが新たなスパム攻撃を仕掛けている。この攻撃を通じ、新しいボットネットの構築をねらっているようだ。（2008年08月18日）

［米国］【DEFCON】 マサチューセッツ連邦地裁、地下鉄のセキュリティ脆弱性に関するプレゼンに仮差し止め命令

EFFは「言論の自由を奪う決定だ」と反発

8月8日～10日に米国ネバダ州ラスベガスで開催されたセキュリティ・コンファレンス「DEFCON 16」において、米国マサチューセッツ連邦地方裁判所は8月8日、8月10日に行われる予定だったマサチューセッツ湾交通局（MBTA）の電子切符システムの脆弱性に関するプレゼンテーションに対し、実施差し止めを命じる仮処分を決定した。結果、プレゼンテーションは行われなかったものの、電子フロンティア財団（EFF）はこの処分を不服とし、控訴する意向を明らかにした。（2008年08月12日）

【解説】 CAPTCHA認証は“終わった”技術なのか――有効性を疑問視する専門家たち

スパム・メールだけではない、CAPTCHAクラッキングの弊害

「CAPTCHA（Completely Automated Public Turing Test to Tell Computers and Humans Apart）」は、Webサイト管理者が自サイトに訪れたユーザーを（人間かどうか）見極める簡単かつ有用な手段であったはずだ。しかし最近では、「スパム業者が悪事を働くためのツール」と成り果てている。本稿では、CAPTCHAを取り巻く現在の状況を整理するとともに、その将来性についてあらためて考えてみたい。（2008年08月11日）

［米国］【Black Hat USA 2008】 「Google Gadgetsを悪用すれば、マルウェアを強制インストールできる」――専門家が警鐘

パスワードの盗難や検索履歴が読み取られるおそれも

　今、「Google Gadgets」の愛用者は、冷水を浴びせられた気分だろう。米国ネバダ州ラスベガスで開催されたセキュリティ・コンファレンス「Black Hat USA 2008」（8月2日～7日開催）において、2人の研究者がGoogle Gadgetsの（ショッキングな）問題を報告したからだ。（2008年08月08日）

［米国］【Black Hat USA 2008】 ルートキットのセッションが盛況、“新タイプ”のデモも相次ぐ

NICチップセット・ベースやCisco IOS向けのルートキットが登場

　8月2日～7日に米国ネバダ州ラスベガスで開催されたセキュリティ・コンファレンス「Black Hat USA 2008」では、昨年と同様、ルートキット（rootkit）に関するセッションが盛況であった。ここでは、そのうちのいくつかを紹介しよう。（2008年08月08日）

［世界］ マイクロソフト、「緊急」7件を含む12件の月例パッチを来週リリース

「リモート攻撃を許す可能性のある深刻な欠陥」と警告

　米国Microsoftは8月7日、来週リリース予定の月例セキュリティ更新プログラムについて、事前情報を発表した。今回のパッチは合計12件で、そのうち深刻度が最も高い「緊急」に分類された7件は、Windows、「Office」、「Internet Explorer（IE）」、Vistaにバンドルされている「Media Player」の脆弱性を修正するものだ。また残り5件は、2番目に深刻度の高い「重要」レベルに分類されている。（2008年08月08日）

【解説】 SQLインジェクション攻撃の「最新傾向と対策」

世界規模で多発する脅威に対して、ITマネジャーがとりうる防御策とは？

最近、データベースと連動したWebサイトを改竄し、不正に情報を搾取する、いわゆる「SQLインジェクション攻撃」が世界規模で多発している。SQLインジェクション攻撃自体は昔から存在するものだが、その対策方法をきちんと把握している企業は案外少ないのではないだろうか。そこで本稿では、SQLインジェクション攻撃の現状を報告するとともに、企業が講じるべき対策のポイントを紹介することにしたい。（2008年08月08日）

［米国］【Black Hat USA 2008】 DNS脆弱性問題、発見者が欠陥の詳細をついに公表――攻撃法も多数紹介

「SSLはわれわれが思っているような万能薬ではない」と強調

　米国のセキュリティ・サービス企業IOActiveの研究者であるダン・カミンスキー（Dan Kaminsky）氏は、DNS（Domain Name System）プロトコルの欠陥を発見したことで一躍脚光を浴びて以来、早朝6時にフィンランドの証明書発行当局から電話がかかってきたり、セキュリティ業界の仲間から厳しいバッシングを浴びたり、また今週米国ラスベガスで開催されているセキュリティ・コンファレンス「Black Hat USA 2008」（8月2日～7日開催）で講演する予定だった内容を漏らされたりと、散々な目にあってきた。だが、“インターネットにおける過去最大級のセキュリティ・ホール”として大きく取り上げられたDNS攻撃への対応策をひととおり済ませた8月6日、同氏は「もう一度やり直してもかまわない」と強い責任感をにじませた。（2008年08月07日）

［米国］ 米国司法省、過去最大規模のカードデータ窃盗グループを起訴

容疑者11名の国籍は米国、エストニア、ウクライナ、中国……

　数千万件に上るクレジットカードやデビットカードの番号を盗み出したとして、11人が起訴された。彼らはすぐれた“技術力”を駆使して犯行に及んでおり、その“人材”も世界中から集結していた。（2008年08月07日）

［米国］ マイクロソフト、脆弱性情報を事前開示する新プログラム「MAPP」を開始へ

パートナー・ベンダーへの情報開示は10月から

　米国Microsoftは8月5日、毎月繰り返されるハッカーたちとの“いたちごっこ”に対処するため、セキュリティ・ベンダーに対し、事前に脆弱性情報を開示する新プログラム「Microsoft Active Protections Program（MAPP）」を10月から開始すると発表した。（2008年08月06日）

［世界］ アップルのDNS脆弱性修正パッチは不完全――セキュリティ専門家が警鐘

「クライアント・ライブラリ適用パッチがリリースされていない」

　7月上旬にDNS（Domain Name System）で重大な脆弱性が発見された問題で、セキュリティ専門家は、「先週リリースされた米国AppleのDNS脆弱性修正パッチでは、脆弱性は修正されない」と指摘し、ユーザーに注意を呼びかけている。（2008年08月06日）

［米国］ フィッシング未対策のSafariは使うべきではない――消費者団体がMacユーザーに警告

「被害が後を絶たないなか、対策を講じていないブラウザは危険」

　「MacユーザーはAppleの『Safari』ではなく、フィッシング対策を講じている『Firefox』や『Opera』のほうを使うべき」――非営利の消費者団体Consumers Unionが発行する月刊誌「Consumer Reports」は8月4日、インターネット・セキュリティの年次調査リポートにおいて、このような見解を明らかにした。（2008年08月05日）

［米国］【北京オリンピック】 米国の五輪チケット販売サイトで詐欺事件が発生

数百人分のクレジットカード番号、パスポート情報が流出の疑い

　米国で偽のオリンピック・チケット販売サイトを舞台にした詐欺事件が発生し、多くの被害者が出た。セキュリティ専門家は、今後も同様の事件が起こる可能性があると警告している。（2008年08月05日）

［中国］【北京オリンピック】 「IOCは中国のネット・アクセス規制を断じて容認しない」――ロゲ会長が断言

IOCへの批判に強く反論。ただしIOC報道委員長の発言との食い違いも

　国際オリンピック委員会（IOC）のジャック・ロゲ（Jacques Rogge）会長は8月2日、北京オリンピック運営当局との間で、オリンピック期間中にインターネット・アクセス規制を行うことを容認するような取り引きはしていないと述べ、IOCのこの問題への対応に対する批判に強く反論した。（2008年08月04日）

［世界］ ベンダー各社がDNS脆弱性への対策を本格化――問題の深刻さを理解

「根本的な解決はまだ数週間先」とセキュリティ専門家

　DNS（Domain Name System）で重大な脆弱性が発見されてから1カ月近くが経過し、ファイアウォール・ソフトウェア・ベンダーの間ではようやく抜本的な対策に向けた動きが出始めている。（2008年08月04日）

【解説】 時代の要請に応える、セキュリティ・マネジメント「構築の実際」

自社のIT／情報資産を取り巻く脅威を知り、バランスのとれた対策を実施する

企業・組織において情報セキュリティ・マネジメント体制／基盤を確立することは、ビジネスとITの両面の課題をクリアしつつ事業を継続・成長させていくうえでの大前提である。本稿では、今日求められる経営課題を踏まえながら、情報セキュリティに関するインシデントの動向や標準規格の概況、全社的な対策の実施時に留意すべきポイントなどを紹介・解説することで、時代の要請に応えうる情報セキュリティ・マネジメントを構築するためのガイドラインを示してみたい。（2008年07月31日）

［米国］ 米国政府機関所有のノートPCで、暗号化されていたのはわずか3割

会計検査院が2007年9月時点のセキュリティ調査結果を報告

　米国会計検査院（GAO）は7月27日、政府機関のノートPCやモバイル・デバイスに保存されている機密情報のうち、1年前の時点で暗号化されてデバイスは30％にすぎなかったとのセキュリティ調査リポートを発表した。この機密情報には米国民の個人情報も含まれる。近年、政府機関でデータのセキュリティ違反が相次いで発覚したにもかかわらずの実態に批判の声が寄せられている。（2008年07月30日）

［国内］ NEC、Webフィルタリング機能を搭載したインターネット・アプライアンス・サーバ「Express5800/InterSec」の新機種を発表