IT資産やシステム・セキュリティの統合管理ソリューションを展開するLANDesk Software(LANDESK)は4月1日、統合IT資産・セキュリティ管理ツールのLANDESK Management&Securityの新バージョンである「LANDESK Management&Security 2016」(Management&Security 2016)の提供を開始した。Management&Security 2016は、IT資産管理製品の「LANDESK Management Suite 2016」セキュリティ管理製品「LANDESK Security Suite 2016」モバイルセキュリティ管理製品「Mobile Security Suite」の3製品で構成されるコンポーネント。今回、業務において利用されるデバイスの多様化を受け、LANDESK Management Suiteに無償で利用できるiOSやAndroidのモバイルデバイス管理(MDM)機能を追加した。また、プラットフォームが拡張され、Mac管理機能の強化、Linuxへのパッチ適用、Chromebook管理などが可能となった。さらに、セキュリティ/ITオペレーションのプロフェッショナルが現在のセキュリティ状況を監視し改善するために必要な情報を提供し、脆弱性に対する各対策の優先順位を明確にして、対処することができる。加えて、最小のグループではじめるパイロットプロジェクトから全社的に配布する大規模なプロジェクトなど、さまざまな段階のソフトウェア展開プロジェクトを自動化したほか、アプリケーションのラッピングやセキュアな業務メール環境、セキュアブラウザなどを提供。柔軟に利用可能なテンプレート、ハードウェア機種など条件付きのアクションが可能になり、複雑なプロビジョニング・配布作業が単純化されているという。そのほか、サブネット代表の選定を自動化し、それぞれのサブネット内でのデバイス検知のための管理コストを削減し、アプリケーションコントロール、ホワイトリスト登録、ブラックリスト登録のワークフローを改善するための、信頼できるファイルとアプリケーションの広大なコンテンツデータベースを提供するとしている。
2016年04月04日ライカカメラジャパンは、英国のラグジュアリーブランド「グローブ・トロッター(GLOBE-TROTTER)」とコラボレーションした「GLOBE-TROTTER for LEICA」シリーズとして、カメラバッグ、ライカのカメラ用となるリストストラップとキャリングストラップを、国内限定で5月に発売する。今回のコラボレーションは、職人が手作業で上げるものづくりの姿勢や、使うことで刻まれていく傷なども愛着ある味わいを醸し出すといった、ブランドコンセプトが持つ共通の価値観から実現した。グローブ・トロッターの「ジェット・コレクション」をベースにしたカメラバッグは、ライカマニアというグローブ・トロッターの英国職人が開発。上質感とともに、カメラバッグとしての使用感も高く仕上げている。特にライカTをイメージしてデザインされ、バッグの内部にカメラを固定できるカメラケースをセットにした。このカメラケースは、バッグからカメラを出して持ち歩くときや写真を撮るときも、カメラ本体に取り付けたままで使える。税込価格は、カメラバッグが222,480円、リストストラップが17,280円、キャリングストラップが21,600円だ。カメラバッグは50個限定で、ライカストア、およびグローブ・トロッター銀座にて販売。グローブ・トロッター銀座は2016年3月31日にオープンし、今回のコラボレーション製品を発売に先駆けて展示するほか、2階フロアの会員制ラウンジにてライカ製品の試用も提供する。なお、今回のコラボレーション製品に合わせて、ライカTボディとレンズを組み合わせた特別セットも用意。内容と税込価格は、「ライカT トラベルキットGLOBE-TROTTER for LEICA (標準ズームレンズ)」が603,612円、「ライカT トラベルキットGLOBE-TROTTER for LEICA (23mm単焦点レンズ)」が632,772円。
2016年03月30日NECは3月15日、アルゼンチンのブエノスアイレス市営地下鉄の運営に関わるセキュリティシステムを構築したと発表した。ブエノスアイレス市営地下鉄は、1日当たり200万人以上の乗客が利用するアルゼンチンの主要な鉄道。そのため、運営には強固なセキュリティ対策や安全性の確保・向上が求められているという。今回NECは、ブエノスアイレス市営地下鉄の計26棟の車庫において、監視カメラシステムや職員向けの入退場システムを構築した。3拠点の専用監視センターで職員が随時映像の確認を行うことで、不正侵入や犯罪の防止など、車庫の安全な運営に役立てる。さらに、約90駅の改札口において、監視カメラシステムや、専用ストレージの活用により約30日分のビデオ映像の保管が可能なシステムを構築。2拠点の専用監視センターで職員が随時映像の確認を行うことで、改札口における無賃乗車のような不正行為や迷惑行為の防止に活用する。
2016年03月16日インテル セキュリティは11日、日本市場における事業戦略説明会を記者向けに開催した。2011年にインテルがマカフィーを買収してのち、マカフィーはインテルのセキュリティ事業部としてブランド統一が進められきた。登壇したマカフィー代表取締役社長のジャン・クロード・ブロイド氏は、同事業部の目標を、コンシューマ向けには「人々、家族のデジタルライフを保護する」、法人向けには「ユーザーのNo.1セキュリティパートナーとなる」と紹介。ビジネス市場では、対象端末の複雑化、検知と復旧にかかる時間的な制約、人材不足といった必要なリソースの制約が課題とし、これらを「脅威対策のライフサイクル」で対処することが重要だと、日本での事業戦略の概要を説明した。○サイバー脅威を「共有」「自動化」で対処「脅威対策のライフサイクル」とは、同社が2015年11月に提唱した、サイバー脅威をシステムで捉えた企業向け事業戦略。サイバー脅威に対し、防御、検知、復旧、適用の4つを、適切な方法で継続的に運用していく。マカフィー常務執行役員 法人営業本部 本部長の田井祥雅氏は、大手企業における情報搾取や不正侵入被害といった国内外のセキュリティ事件を例に挙げ、「なぜセキュリティ事件は引き続き発生するのか。サイバー犯罪は組織的、巧妙になっており、企業の自主対策では対応できなくなっている」と事件が起こってしまう背景を解説。この状況のなかで、2015年12月28日に経済産業省がサイバー攻撃から企業を守る観点で策定した「サイバーセキュリティ経営ガイドライン」が出されるに至ったと、企業独自で脅威に対応する難しさを説明した。「サイバーセキュリティ経営ガイドライン」では、経営者が認識する必要がある3原則、経営者がセキュリティ対策を実施する上でセキュリティ責任者に指示すべき10項目が記されている。これをまとめると、大きく2つのメッセージがあるという。ひとつは、「経営リスクとしてサイバー攻撃を捉え、対策を継続していく」こと。もうひとつは、「サイバー被害は起きてしまうもので、起きた後にどう対応するか」ということだ。これは、防御だけでなく、検知、復旧を合わせた「脅威対策のライフサイクル」に通じる脅威対策でもあるとする。従来は防御重視だったセキュリティ対策だが、防御できなかった場合は脅威を認識できず、被害が広がる恐れがある。「ハッカーは既存の防御策をどう破れば侵入できるかわかっている」(田井氏)。時間が経つほど被害が拡大するため、どの部分にどのような脅威があるか、素早く正確に検知する必要がある。しかし、脅威を検知するだけでは、継続的な対策は不十分だという。複数のベンダー製品を使っている場合は横断的な情報確認ができない(製品間の壁)ほか、脅威情報が部署間でうまく共有されず、例えば法務部で見つかった脅威と同じような症状の端末が広報部で見つかり、端末の動作を停止させるといった効果的な運用ができない(組織間の壁)、パッチ対策や回復処理などを適切に行えない(運用の壁)といった要因があり、被害が深刻化してしまう。同社が提案する継続対策のキーポイントは、脅威情報を組織・製品間で共有すること、検知した脅威情報をもとに自動的に対処することの2点。同社は150以上のパートナーと協業し、脅威情報の共有やセキュリティ機能を連携させる取り組み(パートナーエコシステム)を推進していく。○個人向けセキュリティはクラウドを軸に対策マカフィー取締役 専務執行役員 コンシューマ事業統括の田中辰夫氏は、コンシューマ事業のビジョンを説明。同社はコンシューマ向けセキュリティ製品として、「マカフィー リブセーフ」などマカフィーブランドのセキュリティソフトウェアを発表している。2014年までは、「マカフィー リブセーフ」でデバイスのセキュリティ対策を行ってきたが、2016年以降は個人情報の保護やプライバシー保護、ホームセキュリティやウェアラブル機器まで、セキュリティ対策の範囲を広げる。オンラインバンキングやSNS、アプリストアなどに加え、上記のホームセキュリティやウェアラブル機器に対しても、クラウドを軸にしたセキュリティサービスを展開していく想定だ。
2016年03月11日ソフトバンクは10日、Androidスマートフォン「Nexus 6P」(ファーウェイ製)向けにセキュリティの向上を目的とした最新ソフトウェアの提供を開始した。新しいソフトウェアには、メニュー画面から「設定」→「端末情報」→「システムアップデート」→「ダウンロード」→「再起動してインストール」の順にタップし、案内にしたがって操作することで更新可能。更新時間は20分程度。更新後のビルド番号は「MHC19I」。メニュー画面から「設定」→「端末情報」とタップすることで確認できる。
2016年03月11日標的型攻撃や内部犯による情報漏えい、漏えいしたアカウント/パスワードによるリスト攻撃など、近年のセキュリティ事情はますます混迷を極めています。マイナビニュースでは、"セキュリティ三銃士"のソフトバンク・テクノロジーの辻 伸弘氏によるコラム「セキュリティのトビラ」を連載しています。ただ、辻氏によるとセキュリティ界隈においては一流の"プロフェッショナル"なセキュリティ人材がまだまだ埋もれているとのこと。そこで、辻氏に"サイドライト(側光)を当てるべき人物"と対談していただき、セキュリティ業界の現状やその人物の素顔を垣間見ていただこうというのが、この連載の狙いです。第3回は、SCSKでセキュリティエンジニアとして働く亀田 勇歩氏です。社内で働くセキュリティエンジニアがどんな仕事をしているのか、「同じ会社で働いていてもわからない」という方が多いのではないでしょうか。亀田氏に、「企業内セキュリティエンジニアはどのような仕事をしているのか」「セキュリティエンジニアにとって大事なことは何か」をたずねます。○辻 伸弘(Tsuji Nobuhiro) - ソフトバンク・テクノロジーセキュリティエンジニアとして、主にペネトレーション検査などに従事している。民間企業、官公庁問わず多くの検査実績を持つ。また、アノニマスの一面から見えるようなハクティビズムやセキュリティ事故などによる情勢の調査分析なども行っている。趣味として、自宅でのハニーポット運用、IDSによる監視などを行う。Twitter: @ntsuji○仕事内容は多岐にわたる辻 伸弘氏(以下、辻氏) 亀田さんの仕事って、ずばり何なんですか?亀田 勇歩氏(以下、亀田氏) そう言われると、正直、答えに困るんです(笑)。辻氏 亀田さんには色々なイメージがあります。"SOCの人"というイメージがある一方で、Webのセキュリティ担当というイメージもある(笑)。亀田氏 実は、仕事内容が多岐に渡るんです。だから、そういうイメージになるのかもしれません。肩書きとしては、「セキュリティオペレーション担当」になりますが、この"セキュリティオペレーション"という仕事の中身が幅広いんです。そのため、コミュニティ活動などの社外に出た時は「脆弱性診断の仕事をしています」と説明させていただくケースが多いですね。辻氏 ZAP(編集部注:Zed Attack Proxyという脆弱性診断ツール)を使いこなして仕事をしているようなイメージでしょうか?亀田氏 社内でセキュリティ インシデントが起こった際に、「解決に導く役目」という感じですね。所属しているのがシステムインテグレーションの会社ですから、グループ会社を含めて、開発段階を含めてさまざまなインシデントが存在します。それに対処する仕事です。辻氏 亀田さんが動き出す"トリガー"になるインシデントには、どのようなものがあるのでしょうか?亀田氏 SOCでインシデントのログ情報から、というものが多いです。本当のインシデントなのか、そうでないのかを分析するところから始まります。辻氏 アラートが上がった時点で分析を行い、「本当のインシデントなのか」を分析し、本当のインシデントだった際には対処を行う。そういった一連のオペレーションが業務ということでしょうか?亀田氏 そうです。可能な限り、インシデントが起こってしまった本人の仕事に影響を及ぼすことなく、作業して問題を終息させる仕事と言うのが適当かもしれません。辻氏 あぁ、インシデントハンドラー?亀田氏 そうです。ただ、「本当にインシデントなのか」を分析して終了、というわけでなく、インシデントだった場合には解決まで一連の支援を行うことになるので、インシデントハンドラーだけの業務では終わらないんです。辻氏 最初の事故のキッカケからクロージングまでの作業は、分業して行っている会社が多いため、インシデントの判別から解決まですべて担当するというのは、確かに仕事の幅が広いですね。亀田氏 最初のアラートから、人が介入しなければならないラインまでの作業になりますから、説明しづらく……。辻氏 仕事の範囲が広いと、誤解されたり、説明しても理解してもらえないことも多いですよね。僕はセミナーで自分の仕事についてさまざまな話をした後で、「それで辻さんの仕事って何なんですか?」って聞かれることがあります(笑)。亀田氏 誤解されやすい仕事と思った方がいいのかもしれませんね(笑)。辻氏 セキュリティエンジニアにも色々な人がいますが、話をしてみると"趣味の延長"のような感覚で仕事をしている人が結構多いですよね。亀田氏 仕事の内容が幅広いため、個人でやっていることとリンクして対応することもあります。それが、悪いイメージで伝わってしまうこともあります。例えば、CTF(編集部注:デフコンなどで行われているセキュリティの模擬大会)への参加など、趣味でやっていることが公私混同のように受け止められることがあります……。辻氏 「本来は趣味でやっていることが仕事に応用できる」という前向きな話でも、理解されにくいことが多いですよね。僕なんかは、仕事としてやっていることがエヴァンジェリストっぽい内容になることもありますし……。亀田氏 私はテスターっぽい仕事をしているなと思うこともあれば、最終的な対策要員になっていることもあります。辻氏 セキュリティ対策の仕事は、きちんとした縦割りが難しいので、どうしても幅広い仕事になりがちですよね。亀田氏 技術的なスーパーアドバイザーのように、さまざまな立ち位置でアドバイスできる能力を持っていることが望まれているんでしょうね。○しんどい時にも、やりたいことは忘れない辻氏 亀田さんは何歳になるんですか?亀田氏 2015年に30歳になりました。辻氏 プログラマー35歳限界説や、エンジニア35歳限界説など、現場で働く限界の年齢についてさまざまな定説がありますけど、年齢はあまり重要ではありませんよね。セキュリティの現場でいえば、「診断」は"やること"が幅広い。「その年齢になるからしんどい」ということはなくて、むしろ、色々な引き出しを持つことで、以前よりもできることが増えているんじゃないかと思っています。亀田氏 私自身の経験で言えば、活動が広がったことで自由に勉強する時間がなくなり、「インプット時間が足りなくなった」と感じることはありますね。辻氏 セキュリティに携わると、日々、予期しないタイミングでインシデントが舞い込んできます。そんな大変な状況でも、モチベーションを維持するためにやっていることはありますか?亀田氏 やはり、自分自身がやりたいことを、常に頭の片隅に置いておくことですね。忙しい時ほど、やりたいことは忘れないようにしています。辻氏 しんどい、忙しいに流されてしまうと駄目ですよね。亀田氏 「必ずこの時間までにこれをやる」と決めたことはメモしています。落書き帳みたいなものに手書きでメモして、夜に見返すことが多いですね。疲れて寝てしまうよりも、そのメモを見直しておいた方が、仕事にもプラスかなと思います。辻氏 疲れているからこそ"やりたいこと"を見て、思い出して元気になることもありますからね。また、仕事と趣味、その双方でパソコンを使って、この二つが相互にバランスをとっているからこそ、うまくいくのもあるかもしれません。メモに話を戻すと、書いておいた"やりたいこと"は、実現していますか?(笑)亀田氏 全部実現することは難しいですが、一応……。○仕事を始めた経緯は?辻氏 僕自身は、元々セキュリティのテスターの仕事をやりたいと思って仕事を始めたんですが、スタートはセキュリティではなかったんです。亀田さんは最初からセキュリティの仕事をしていたんですか?亀田氏 いえ、初めはセキュリティの仕事ではありませんでした。学生時代はECサイト構築をしていましたし、卒業後の最初の仕事は、セキュリティではないエンジニアでした。辻氏 幅広いセキュリティをやっていく中で、最初の仕事がセキュリティ関連ではなかったことが、セキュリティの仕事の役に立っている、ということはありませんか?亀田氏 あります。エンジニアなど、実際に手を動かして作業している人が、「セキュリティトラブルです」と言われてどう思うか、という想像をしっかりできることですね。エンジニア目線で物事を考えることは、この仕事で重要だと考えています。辻氏 セキュリティの仕事がしたいのであれば、色々な業務を体験することがプラスになりますよね。実際にインシデントが起こってハンドリングする中で、エンジニアとのやり取りで気をつけていることはありますか?亀田氏 現場の調査依頼者から「調べてくれたことで、どう動いたらいいのかがわかった。知らないことを調べて、答えを出して導いてくれたのが嬉しい」と言っていただいたことがあります。こういう時は、仕事の苦労だけでなく、「やっていてよかった!」と心の底から感じますね。そういう反応をもらえる時は、機械的に指示を出すのではなく、しっかりとコミュニケーションを取り、目的を明確に示していることが大きく影響しているように感じます。「一緒に解決していきましょう」という姿勢でコミュニケーションを取れば、「セキュリティ対策の人、何しに来たんだ?」と思われることは少なくなると思います。辻氏 寄り添って一緒に悩み、現場メンバーの一員として問題解決に取り組むことで、反応が違ってきますよね。亀田氏 上からではなく、一緒に悩んで問題解決するということは、意識してやっています。辻氏 僕は、セキュリティの仕事を始めて1、2年目の頃に、冷や汗をかくような失敗経験がありました。丁寧に1時間、1時間半かけて説明したあと、相手方に言われた言葉が「で、危ないの?危なくないの?」だったんです。当時は「技術的な背景を正確に、細かく説明すれば良い」と思い込んでいたんです。その経験から、「最初に相手の知りたい結論を話す」「その後、質問があればそれに答えていく」という対応に変えました。亀田氏 ええ、まさに今の辻さんの話がインシデントが起こったあとの対応ですよね。何かが起こったことで、かかわった人は「早く直して欲しい」と思っている。「できることなら、今すぐに解決してくれ!」と相手は思っているんだけれど、解決する側は全容を調べた段階にいたって初めて解決になるので、同じ「解決」であっても、お互いに考える「解決」が、まったく違うものだったりしますよね。辻氏 そうなんですよ。結構、ズレがありますよね。亀田氏 ただ、提案自体がズレてしまったこともあります。パソコンがマルウェアに感染してしまったケースで、問題を100%解決するためには、パソコンを取り替えることが一番でした。でも、現場からすれば、その100%では業務に支障をきたすため「今、求めているのは100%問題解決してもらうことじゃないんだ」と"ズレ"が起きてしまったんです。辻氏 こっちとしては、問題が100%解決する方策を提案しがちですが、100%ではない、仕事を続けられる提案を望むケースがありますね。ただ、こちらとしては「100%安全ではないけれど、こういう使い方をしないのであれば大丈夫です」という提案を行うには、かなりの勇気がいる。100%解決すべきなのか、表面的な問題が抑えられる提案をすべきなのか、判断が難しいですね。亀田氏 こちらとしては、可能な限り納得してもらえるギリギリの提案になります。例えば、コスト優先のケースや、脅威の影響を一時的に抑えるケースなど、多面的に状況を考えねばなりません。辻氏 一緒に悩んでみないと、答えが出てこないということですね。亀田氏 一般論の解答では役に立たないということですね。辻氏 改めて考えてみると、セキュリティの仕事は一筋縄ではいかないことを再認識しました。○悩んだ時にはやってみろ!と言いたい辻氏 普段はどのように勉強していますか?亀田氏 誰かに教えてもらうことがあれば、自分でどんどん調べていくことでようやく理解できることもあります。辻氏 Wikipediaで調べて、体系的に理解した上で学べることがある一方で、実践で学んでいくこともありますよね。体系だてて学んだことではない、普通とは違う学び方ではあるけれど、実践したからこそ学べることは多いように感じます。亀田氏 必ず意識するようにしているのは、脱線したとしても自分がやるべき課題に必ず戻って実践することです。自分がやるべき課題だけは、明確にしています。辻氏 30歳というのは仕事をしていく上で一つの節目だと思います。部下を持つ年齢になり、仕事としても色々な経験を積んで周りが見えてくる年齢でもある。セキュリティとは違う仕事に手を出して、将来はどうすべきか、悩む年齢でもあると思うんですが。亀田氏 個人的に気になっていることは、デフコンのCTFですね。数年前から携わるようになって、テクニカルな知識を学べる場としてとても参考にはなっているものの、それだけやっていても「今の仕事に役立つか?」と考えて悩んでいるフシがあります。現状認識でいえば、もっとコミュニケーション能力を磨くことが必要かなとも思います。最前線の知識を追いかけながら、自分がその知識を役立てるだけでなく、若いエンジニアに伝えたり、といった人材育成にも興味がありますね。辻氏 学んだ技術を自分だけでなく、人にふるまう、人の口にあったものにしていく、ということも確かに必要ですね。亀田氏 これまで「技術を伸ばす」ことは個人の課題でしたが、それだけに収まらなくなってきました。CTFでも、数年前は最前線に近いところにいましたが、今は学生がリーダー役で、それを援護する立場に変わってきたなと感じています。辻氏 最後になりましたが、今、学生でセキュリティエンジニアになりたいと考えている人や、エンジニアとして仕事を始めて1年目、2年目という人に向けて、何かメッセージをいただけますか?亀田氏 「やりたいことはどんどんやって」でしょうか(笑)。やるべきかどうか悩むことがあったら、まずやってみる。成功しようが、失敗しようが、それが次の機会に生きてくると思います。辻氏 「突っ走ることができるぞ!」と思っているうちは、突っ走ってみることが必要ですね。亀田氏 そうです。突っ走ることができる期間はそう長くないですから。辻氏 良い言葉を頂きました。走ることができる時には走る。それが大事です!!
2016年03月11日英Sophosはこのほど、同社ブログでモバイルセキュリティ対策の指南を行った。今の世の中では、あらゆるビジネスでモバイルが主流になったと言っても過言ではない。企業や組織の規模に関係なく、誰であっても、スマートフォンやノートPC、タブレットなどの端末からデータにアクセスしていることだろう。個人が所有する私用端末を使って業務をこなす、いわゆるBYODでは、誤った利用方法を続ける社員がいた場合、会社に対して大きなリスクを与えていることになる。一方でサイバー犯罪者はこのようなトレンドを"活かして"、ネットワークに侵入してデータを盗むためにモバイルデバイスを狙ったマルウェアを制作している。そう、モバイルのリスクは急上昇しているのだ。セキュリティチームにとっては厳しい現実であり、大きな課題となる。増加するリスクを管理すると同時に、ユーザー教育によるセキュリティ対策を支援しつつ、ユーザーのプライバシーを尊重するバランス感覚が求められる。では、具体的に企業がモバイルセキュリティ対策を施す上で、何を行えば良いのだろうか。ソフォスは以下の3つに集約できる指摘している。ユーザーと端末の保護企業ネットワークへの保護企業データの保護これらは重要な対策といえるが、その前段として最も重要なことは「リソースの範囲内で目標を達成するために簡単に使えるソリューションを利用すること」だと同社はまとめている。
2016年03月10日情報セキュリティにはさまざまな専門用語がありますが、その多くのワードは「詳しくわからない」「他人に説明できるほどではない」という方が多いのではないでしょうか。マイナビニュースでは、カスペルスキー エヴァンジェリスト前田氏に寄稿いただき、"ググってもわからない"というセキュリティ用語を一から解説します。第5回は「アドウェア」です。著者プロフィール○前田 典彦(まえだ のりひこ)カスペルスキー 情報セキュリティラボ チーフセキュリティエヴァンゲリストマルウェアを中心としたインターネット上の様々な脅威解析調査の結果をもとにし、講演や執筆活動を中心とした情報セキュリティ普及啓発活動に従事○マルウェアとアドウェア前回は、「マルウェア」を俯瞰的に、歴史的経緯も交えて解説しました。今回は、マルウェアの一種であり、特に扱いが難しい部類とされる「アドウェア」に焦点を絞って考察します。アドウェアは英語で表記すると「Adware」です。「Ad」はadvertisingあるいはadvertisementに由来しており、広告・宣伝を意味します。アドウェアが入ってしまったパソコン上ではその名前の通り、大抵の場合は何らかの広告が表示されるようになります。広告を表示することそのものは、それほど悪意があることとみなされないのが一般的です。ただこのことが、アドウェアの扱いを難しくする一因となっているという見方もできます。そもそもアドウェアではなくとも、Webサイト上で広告が表示されることは非常に多いですし、昨今では、多くの人がスマートフォンを使用するようになり、アプリ内でも広告表示されるものが多く見られます。特に無料アプリの場合、アプリ使用者からの支払いではなく、広告によって収益が支えられているということも重要です。人によっては、広告をそれほど迷惑と思わない人もいるでしょう。ある種、「慣れ」といえるのかもしれません。また、広告主と広告代理店、広告表示の場を提供する人、広告表示機能をソフトウェアとして開発する人、広告をデザインする人などが関わり合い、一大経済エコシステムを形成しています。このような背景もあり、"広告を見せるだけ"であれば、「快く思わない人が中にもいるだろう」という理由だけでは、アドウェアを悪意あるもの(=マルウェア)として一律に取り扱うことが難しい状況にあります。ただ、世の中に出回っているアドウェアについて注意深く観察してみると、このような曖昧な捉え方で済むことばかりではありません。これまで述べたように、単に広告を表示するだけであれば問題になることはそれほど多くありませんが、アドウェアの中には宣伝を目的として、パソコン内に保存されているブラウザのキャッシュ情報などを勝手にネット経由で収集したり、ブラウザのホームページ設定を勝手に変更したり、検索結果を広告サイトに誘導したりするものが存在します。また、ソフトウェアをインストールする際に、同時に別のソフトウェアもインストールさせる手法をご存じの方も多いと思いますが、これを利用したアドウェアのインストールも存在します。ソフトウェアのインストール時に、細かい文字の使用許諾を読み飛ばす人は多いですし、画面に表示されるダイアログや注意書きも、よく読まずに「次へ」「OK」ボタンを押し、進む人が多い実情を巧妙に突いてくる手法といえます。もともとは、広告主にとって効果的な広告・宣伝を目的として考え出された手法かもしれませんが、このように度が過ぎているものがあるのです。さらに、アドウェアの中にはユーザーの入力情報を記録・窃取する「キーロガー機能」を搭載するものや、パソコン内に保存された情報を窃取するスパイウェアのような機能を備えるものが存在します。こういったものはグレーな性格を残したアドウェアというよりも、マルウェアの範疇にあるといえるでしょう。また、トロイの木馬などのマルウェアを通じて勝手にインストールされるものがあります。諸悪の根源こそトロイの木馬ですが、それを通じてインストールされるプログラム自体は「完全に悪質なものではない」ことが散見されるため、"いやらしさ"と"難しさ"があると言えます。仮に、"悪性ではないもの"をマルウェアであると判定してしまうと、それは誤検知(疑陽性)であるということになりますので、結局のところ、それぞれのプログラムを逐一判定する必要があります。ただ、アドウェアの中にはアンインストールが難しいものもあります。広告主(とその周辺ビジネスに関わる人々)にとっては、「アンインストールされては元も子もない」という意識があるでしょうから、この類のものは定期的に出現しますが、やはり「度を超えている」ことは否めません。このように、ユーザーが制御できる範囲を逸脱したアドウェアも存在することから、ウイルス対策ソフトの中には、こうしたアドウェアを検知し、削除する機能があります。ただ、アドウェアの中にも「単に広告を表示するだけのもの」から「マルウェアまがいの動きをするもの」まで、幅広く存在します。各ウイルス対策ソフトがどのアドウェアを検知するかは、各社のポリシーに依存して製品ごとに差異が出ます。また、アドウェア検知機能が搭載されていても、初期設定で機能がオフになっているケースがあるため、「ユーザー自身でオンにしていただきたい」というのが私の考えです。もちろん、アドウェア検知の機能名が、「アドウェアの検知」や「アドウェアからの保護」といったわかりやすいものであるとは限らないため、お使いの製品の設定を注意深く確認してください。
2016年03月10日3月8日、チェック・ポイント・ソフトウェア・テクノロジーズは同社のSMB向けディストリビューターを対象とした「中小企業向け 最新ITセキュリティセミナー」を開催した。セミナーでは、船井総合研究所 サイバーセキュリティチーム チームリーダー チーフ経営コンサルタントの那須 慎二氏が「日本の中小企業をサイバーセキュリティ被害から守るために、IT企業が取り組むべきこと」と題した特別講演を行った。○中小企業に対して平易な言葉で脅威を説明し、理解してもらえることを期待那須氏が執筆した中小企業向けのセキュリティ解説書は初版4000部が即日完売、現在4刷目に入っているという。同書が売れている理由について、「中小企業の担当者が必要な情報を網羅しており、かつ具体的な対策方法が含まれていてわかりやすいからでは」と分析していた。同氏がディストリビューターに対して望む中小企業へのセキュリティ啓蒙の要点は「セキュリティの実態を伝え、誤った考え方を正す」ことだという。「IPAなどの公的機関は中小企業のセキュリティ対策の実態をつかみ切れておらず、セキュリティに関する資料や啓蒙活動も行き届いていない。この状況を打破しなければならない」(那須氏)その上で、那須氏は注意すべき脅威として、以下の3つを挙げた。ネットバンキングの不正送金マルウェア情報を暗号化して使い物にならなくした上で金品を要求するランサムウェア場合によっては加害者と見なされてしまうボット不正送金は警察庁の取りまとめで、2014年に29億円、2015年には30億円の被害額が明らかになっており、メガバンクだけでなく、地方銀行や信用金庫といった地方の中小企業が利用している金融機関にも被害が波及している状況にある。その上で万が一被害を受けた場合、原則的に「法人に対する不正送金の補てんはない」と、那須氏は盲点になりがちなポイントを指摘する。ある金融機関では、500万円の不正送金被害にあったことで500万円の資金調達を行い、負債を増やしてしまったこともあるという。続くデータベースを暗号化するランサムウェアに関しては「身代金を払ったとしてもデータが元に戻る保証はなく、事前のバックアップがなければ事実上アウト」にもかかわらず、コトが起こってから"問題化"したケースが多いため「バックアップに関する周知・啓蒙」を行うよう呼びかけた。ボットについては「PCが2台しかない代理店に警察が踏み込んできた」という事例を紹介。明らかにボットが悪さをしていたものの、代理店が攻撃を行ったと判断され、事情聴取などで半年ほど仕事にならなくなったと説明していた。一方で、中小企業が行える対策は人的リソースおよび費用の面で限られているため、OSやJava/Flash Playerといった使用頻度の高いアプリケーションの定期的なアップデートや、統合セキュリティ対策ソフトのアップデート、重要なファイルのバックアップとUTMの導入を推奨している。そして、那須氏はディストリビューターは単にセキュリティ対策商品を売れば良いのではなく、「なぜその対策が必要なのか」をユーザー企業に平易な言葉で説明することでニーズを顕在化させる必要があると語った。その上で、(なかなか表に出てこない地元企業の)具体的な被害例で緊急性を理解させ、専門家としての対応策を提案することが重要だとした。
2016年03月09日米Synopsysは3月2日、車載向け/セーフティ/セキュリティ分野の故障シミュレーション技術を有する米WinterLogicの買収を発表した。買収内容の詳細は明らかにされていない。故障シミュレーションは機能安全規格ISO26262ならびにASIL分類の準拠性検証に用いられる技術。Synopsysは機能検証、ハードウェア/ソフトウェア検証、ソフトウェア・クオリティとサイバー・セキュリティ、車載向けIPなどの分野でのソリューションを拡充しており、WinterLogicの技術を加える事でさらなる強化を図る。Synopsysは同買収について「WinterLogicは、非常に高度な故障シミュレーション/管理ソリューションを提供するリーディング・カンパニーであり、当社が拡充を図っている車載向け機能安全/セキュリティ検証ソリューションに他に類を見ないテクノロジと優れた専門技術をもたらしてくれます」とのコメントを発表している。
2016年03月04日ネクストセットは3月2日、Office 365にシングルサインオンが可能で、ダウンロード禁止や利用者ログ収集、ログアウト時のキャッシュクリア等のセキュリティを強化したセキュアブラウザ「ネクストセット・セキュリティブラウザ for Office 365」を発表した。現在ベータ版を公開中で、近日中に正式リリースするという。同社は、Office 365導入支援の中で、Office 365で利用可能なシングルサインオン機能、組織カレンダー、組織アドレス帳、組織ワークフロー等を提供中だが、今回は、Office 365とシームレスに動くセキュアブラウザを、無償で提供する。これにより、ダウンロード禁止やキャッシュ自動クリア、MACアドレス等での利用端末制御、ユーザーのブラウザ操作ログ、管理者によるブックマーク管理、利用コンテンツ制限など、数々のセキュリティ強化が可能になるという。「ネクストセット・セキュリティブラウザ for Office 365」の主な機能は下記の通り。・Office 365 とのシングルサインオン・セキュリティポリシーを個人単位/組織単位で設定可能・Office 365 を、セキュリティブラウザでのみ利用制限可能・iOS/Android での稼働・自動ログインの許可/禁止・IP アドレスでの利用制限(社内/社外制限)・利用端末 ID 制限:MAC アドレス/UUID 等で判断Android/iOS・URLフィルター機能:利用/閲覧可能な URL を指定可能例:業務以外のサイトを閲覧禁止例:社内システムを、指定のブラウザでのみ利用可能とする・添付ファイルのダウンロード禁止(閲覧は可能)・文字のコピー & ペーストの禁止・クリップボードの自動破棄・ブラウザ終了時にキャッシュ & Cookie クリア・印刷禁止(クラウドプリントの禁止)・アドレスバー表示の、ON/OFF 機能・共有ブックマーク(管理者がユーザーのブックマークを管理可能)・個人ブックマーク(ユーザー自身がブックマークを利用でき、管理者で利用禁止に可能)・自動ログアウト機能(管理者の指定時間で未使用時自動ログアウト)・アクセスログ取得(ユーザーがどのURLを利用したかのログ取得)・4桁ロックコードでのログイン機能:4桁の数字でのログイン・新着通知(メール、カレンダーなどの新着情報をスマートフォンに通知)・サテライトオフィス・シングルサインオン機能との連携による、パスワード強化、IP 制限、端末ごとの制限、キャリア制限、ブラウザ制限、組織単位、ユーザー単位に設定、他システムとのシングルサインオン、ログイン後の指定 URL へのジャンプ
2016年03月02日ウォッチガード・テクノロジー・ジャパンは3月1日、同社の統合セキュリティアプライアンスの最上位モデル「Firebox M4600」と「Firebox M5600」を発表した。両モデルは、同社製品の中で最高のパフォーマンスを発揮する上、柔軟なポートモジュールおよび冗長電源を備えており、高速なネットワークと柔軟なネットワーク設計が重要な複数拠点を擁する分散型エンタープライズに最適化されたモデルとなっている。スループットは、ファイアウォールで最大60Gbps、VPNで最大10Gbpsを達成でき、セキュリティサービスを有効にした場合でも11Gbpsのスループット(UTMスループット)を可能にしている。保護機能としては、ゲートウェイアンチウイルス、URL/Webフィルタリング、IPS(不正侵入検知・防御)、アプリケーション制御、および迷惑メール対策を提供可能。両モデルには、拡張モジュール用のスロットが2つ、ならびに4x10GbE光ファイバー、8x1GbEカッパ―、または8x1GbE光ファイバー用のオプションが用意されている。これにより、ネットワークモジュールでポート構成をカスタマイズすることが可能であるとともに、ネットワークの拡張時にも柔軟にアプライアンスを適応させることができる。
2016年03月02日ウェブルートは25日、PCゲーマー向けセキュリティソフト「ウェブルート アンチウィルス for ゲーマー」のパッケージ版を販売すると発表した。26日に発売し、希望小売価格は1年1台版が税込1,980円、3年1台版が税込4,980円。「ウェブルート アンチウィルス for ゲーマー」は、最新の定義ファイルをクラウド上に置くことで、常に最新の定義ファイルを利用できるほか、最小システム要件が128MB以上のRAMや10MBのストレージ容量など、高いスペックを必要としないセキュリティソフト。また、CPUやメモリの負荷を抑え、ゲーム中にもパフォーマンスにを落とすことなく動作するという。ウイルスやスパイウェアの脅威を防ぐほか、Webフィルタリング機能、銀行サイトなどで個人情報を保護するIDシールド機能、フィッシングサイト検出機能などを備える。これまではダウンロード版に加え、店頭でカード形態の製品を販売したり、ゲーミングPCへバンドルしていたが、この度改めてパッケージ版を販売。家電量販店やECサイトにて取り扱うという。対応OSはWindows XP(2019年4月までサポート) / Vista / 7 / 8 / 8.1 / 10(Edgeには対応しない)。
2016年02月25日NTTドコモは、カメラを搭載していない法人向けのフィーチャーフォン「SH-03H」(シャープ製)を2月下旬に発売する。オンラインショップでの販売はなく、販売チャネルは全国のドコモ法人営業部門および全国のドコモショップ法人営業部門となる。「SH-03H」は、カメラを搭載していないことが最大の特徴となる法人向けフィーチャーフォン。ドコモは、カメラの持ち込みが禁止されているオフィスや工場などでも、情報漏えいのリスクを気にすることなく利用できるとしている。主な仕様は以下の通り。OS: Android 4.4外部ストレージ: microSDHC(最大32GB)サイズ: W51×H112×D16.4mm(予定)重量: 約123g(予定)メインディスプレイ: 約3.4インチ/TFT液晶サブディスプレイ: 約0.9インチ/有機ELLTE: 非対応3G:受信時最大14.4Mbps防水: IPX5/7防塵: IP5XBluetooth: 4.0GPS: 対応赤外線: 対応おサイフケータイ: 非対応カラーバリエーション: Black
2016年02月23日IPA(情報処理推進機構)は2月22日、2011年11月に公開した重要なセキュリティ情報をリアルタイムに配信する、サイバーセキュリティ注意喚起サービスの新版を「icat for JSON(アイキャット・フォー・ジェイソン)」として公開した。これまで提供してきた「icat」を利用するには、Adobe Flash Playerを必要だったが、今回、より安全な環境で利用可能とするため、Adobe Flash Playerの利用を前提としない「icat for JSON」が開発された。従来のicatも継続して提供される。同サービスをWebサイト上で活用することにより、IPAが公開した最新の重要なセキュリティ情報の一覧を自動的に取得・表示することができるようになる。例えば、組織のポータルサイトや会員向けWebサイト上に同サービスを設置すれば、利用者に向けてセキュリティ対策をリアルタイムに周知することが実現される。
2016年02月23日サンコーは2月19日、スマートフォンにリアルタイムで映像を表示できる「ペン型赤外線無線カメラ」を発売した。価格は14,800円(税込)。ペン型赤外線無線カメラは、1,920×1,080ドット / 30fpsの動画や、4,032×3,024ドットの静止画が撮影できるペン型コンパクトカメラ。解像度1,280×800ドット以下では60fpsでの動画撮影も可能。ファイル形式は動画がMOV、静止画がJPGで、記録メディアはmicroSDカード(最大32GBまで)に対応する。明暗差が激しい画像を自動処理するWDR機能を搭載している。専用アプリ「FinalCam」を使うことで、スマートフォンとのWi-Fi接続が可能。専用アプリでは、カメラがとらえた映像のリアルタイム表示、モードの切り替え、動画と静止画のサイズ設定、WDR(ワイドダイナミックレンジ)機能のオンオフなどを設定する。撮影データはスマートフォン本体にダウンロードすることもできる。アプリの対応OSはiOS 6.1以降、Android 4.0以降。レンズの上部には赤外線LEDライト×3基を装備し、夜間でも撮影を行える。赤外線LEDの照射能力は約2mで、動作検知モードも搭載。動きを感知すると自動的に録画を開始するため、防犯カメラとしても活用できる。録画停止時間は3分 / 5分 / 10分 / なしの4種類から選択可能。本体にはHDMI端子を装備し、録画した映像をテレビなどに出力可能。音声のみ録音する「ボイスレコーダー機能」も搭載する。バッテリー駆動時間は約70分。サイズはW25×D14×H114mm、重量は50g。
2016年02月19日さくらインターネットと企業コミュニケーションツールの企画・制作を手がけるa2mediaは提携し、「さくらのクラウド」上でセキュリティ機能を強化したマネージドサーバサービス「a2media マネージドクラウドサーバー」の提供を2月18日から開始した。新サービスは、さくらのクラウド上でa2mediaがWebアプリケーションファイアウォール(WAF)などのセキュリティ機能やOSなどのセキュリティアップデートを代行するサービスを付加したマネージドサーバサービス。特徴としてマネージドサーバとしてコストが抑えられ、クラウド基盤を利用した耐障害性を有し、運用コンテンツの状況に応じた柔軟性も備え、データ転送量による従量課金はないという。近年、企業のコミュニケーションの一環としてホームページ上での情報提供が当たり前である一方、脆弱性を利用した不正アクセスにより、ホームページが改ざんされ、悪用される事例が増えている。そのような状況を踏まえ、両社は提携し、クラウドサーバのセキュリティ機能を強化したマネージド(運用・管理)サービス付きの新サービスを提供することで、ユーザーのサーバ運営をサポートしていく考えだ。価格は、いずれも税別でサーバ初期費用が2万円、月額2万円(スタンダード)。今後、3年間で導入企業300社を目指す。
2016年02月19日情報処理推進機構(IPA)は2月15日、「情報セキュリティ10大脅威 2016:IPA 独立行政法人 情報処理推進機構」において、2015年に発生したセキュリティインシデントおよび見識者による検討の結果を経て、「情報セキュリティ10大脅威 2016」を発表した。総合ランキングのほか、組織および個人で見た場合の10大脅威がまとめられている。発表された10大脅威は次のとおり。【総合】第1位 インターネットバンキングやクレジットカード情報の不正利用第2位 標的型攻撃による情報流出第3位 ランサムウェアを使った詐欺・恐喝第4位 Webサービスからの個人情報の窃取第5位 Webサービスへの不正ログイン第6位 Webサイトの改竄第7位 審査をすり抜け公式マーケットに紛れ込んだスマートフォンアプリ第8位 内部不正による情報漏洩第9位 巧妙・悪質化するワンクリック請求第10位 対策情報の公開に伴い公知となる脆弱性の悪用増加【組織】第1位 標的型攻撃による情報流出第2位 内部不正による情報漏洩第3位 Webサービスからの個人情報の窃取第4位 サービス妨害攻撃によるサービス停止第5位 Webサイトの改竄第6位 対策情報の公開に伴い公知となる脆弱性の悪用増加第7位 ランサムウェアを使った詐欺・恐喝第8位 インターネットバンキングやクレジットカード情報の不正利用第9位 Webサービスへの不正ログイン第10位 過失による情報漏洩【個人】第1位 インターネットバンキングやクレジットカード情報の不正利用第2位 ランサムウェアを使った詐欺・恐喝第3位 審査をすり抜け公式マーケットに紛れ込んだスマートフォンアプリ第4位 巧妙・悪質化するワンクリック請求第5位 Webサービスへの不正ログイン第6位 匿名によるネット上の誹謗・中傷第7位 Webサービスからの個人情報の窃取第8位 情報モラル不足によるサイバー犯罪の低年齢化第9位 職業倫理欠如による不適切な情報公開第10位 インターネットの広告機能を悪用した攻撃総合と個人で第1位となった「インターネットバンキングやクレジットカード情報の不正利用」は昨年も第1位であり、2014年下半期に一旦減少したが、2015年上半期にはターゲットが信用金庫や信用組合など地域の金融機関に拡大し、被害はさらに増大したという。ウイルスやフィッシング詐欺により、インターネット・バンキングの認証情報やクレジットカード情報が窃取され、本人になりすまして不正利用されてしまう。
2016年02月16日IPA(独立行政法人情報処理推進機構)は15日、2015年に発生したセキュリティ脅威のなかで、社会的に影響が大きい10事件を「情報セキュリティ10大脅威 2016」として選出した。情報セキュリティ分野の研究者、企業の実務担当者など69組織108名による選考会の審議、投票を経て、19の候補から決定されたもの。従来、総合順位のみを発表していたが、今回から総合順位に加え、脅威の影響が異なることから、影響を受ける対象を[個人]と[組織]に分けた10大脅威も選出した。「情報セキュリティ10大脅威 2016」の総合順位は下記の通り。1位は「インターネットバンキングやクレジットカード情報の不正利用」で、2014年下半期に一旦減少したものの、2015年上半期には、信用金庫や信用組合等地域の金融機関に拡大し、被害が増大した。2位は、攻撃が巧妙化してきている「標的型攻撃による情報流出」。2015年6月に発生した日本年金機構の情報漏えいが代表的な事件となった。「情報セキュリティ10大脅威 2016」の個人・組織別順位は下記の通り。[個人]の1位は、総合1位と同じ「インターネットバンキングやクレジットカード情報の不正利用」。被害が信用金庫や信用組合など、地域の金融機関に拡大していることを受けて1位となった。[個人]2位は、「ランサムウェアを使った詐欺・恐喝」がランクイン。2015年の11位から急上昇したもので、国内での感染被害件数が急増したことが理由。
2016年02月15日「セキュリティ」と一口に言っても、セキュリティベンダーだけではなく、さまざまなベンダーが、DoS攻撃からマルウェアによる攻撃まで、さまざまなサイバー攻撃への対策を行っています。この連載では、ネットワークベンダーから見たセキュリティの現状を、解説していきます。○セキュリティを語る上で外せない"プロキシ"ネットワーク上において、「プロキシ」は興味深い"デバイス"の1つです。プロキシはキャッシングや負荷分散、アプリケーション セキュリティ、そして、アプリケーションのためのアクセラレーション サービスまでの基盤となっています。開発と運用とネットワークを橋渡しする存在でもあるため、大半のデータセンター アーキテクチャでは、これら3つのグループすべてで、頻繁に使用されています。しかし、プロキシのすべてが同じアーキテクチャ的方針に基づいて構築されているわけでなく、すべてのプロキシが同じではありません。プロキシの多くはハーフプロキシですが、ハーフプロキシか、一方のフルプロキシであるかによって、「何が行えるか」は異なります。フルプロキシでは、従来の古いプロキシでは行えなかった、非常に重要な「3つの機能」を果たすことが可能になります。これら3つの機能について検討する前に、まずは「ハーフプロキシとフルプロキシの違いについて」説明したいと思います。○ハーフプロキシハーフプロキシとは、プロキシが"リバース"と"フォワード"のいずれかにおいて、接続をどのように処理するかを表す概念です。基本的には「プロキシがクライアント側においてのみ接続を仲介する」ことを意味します。したがって、クライアントとアプリケーション間のコミュニケーションのうち、ハーフプロキシはその半分(ハーフ)だけを処理します。ハーフプロキシについて最も重要なことは、「クライアントとサーバの双方で共有するネットワーク スタックは1つのみ」であることです。○フルプロキシこれに対してフルプロキシは、クライアント側とアプリケーション側で異なる2つのネットワーク スタックを維持し、両方の側についてフルにプロキシ処理を行います。フルプロキシという名称は、この役割から取られたものです。フルプロキシは、ハーフプロキシと同様に動作設定できますが、本来の価値は「クライアントとサーバの両方に、それぞれ個別に接続できる」ところにあります。このデュアルスタックによる手法こそ、ネットワーク スタックが1つだけであるハーフプロキシでは不可能な機能を、フルプロキシが実現できる理由です。○3つの重要な機能フルプロキシは、対象とするプロトコルをすべて理解できます。また、フルプロキシ自身がプロトコルと接続のエンドポイントであり、接続を行うクライアントでもあります。これはまた、フルプロキシがバッファリングや再送信、TCPオプションなどのネットワーク スタックごとに、自らのTCP接続ふるまいを持つことができることも意味します。フルプロキシを使用した場合には、それぞれの接続が、自らのTCP接続ふるまいを持った独自のものとなります。フルプロキシに対して接続するクライアントは、フルプロキシがサーバーに対して行う接続とは異なる通信を行うことを意味します。フルプロキシはリクエストとレスポンスの両方をチェックし、ソリューションが許可する場合には、その両方を操作できます。○その1:クライアント側とサーバ側を最適化フルプロキシはネットワーク スタックと特性を個別に維持できるため、それぞれの側についてそれぞれのニーズに合わせた最適化を行えます。クライアント側における、特にモバイル機器を対象とする場合の低速、高レイテンシのネットワーク接続を最適化するためのTCP設定は、サーバ側に使用される、高速、低レイテンシのデータセンターへのネットワーク接続を最適化するための設定とは大きく異なると思われます。フルプロキシはその両方を同時に最適化でき、あらゆる状況において可能な限り最高のパフォーマンスを実現します。ネットワーク スタックを1つしか持たないハーフプロキシでは、平均的な接続を対象として最適化せざるを得ないため、ほとんどの場合どちらか一方のパフォーマンスが最適とは言えない状態になります。○その2:プロトコル ゲートウェイとして機能プロトコル ゲートウェイは、特にアプリケーション プロトコルのバージョンを変える場合、たとえばHTTP/1からHTTP/2またはSPDYに移行する場合などにおいて、アーキテクトにとって重要なツールとなります。フルプロキシは2種類の互いに異なる接続をそれぞれ維持するため、クライアント側ではHTTP/2を、サーバ(アプリケーション)側ではHTTP/1を受け入れることができます。これは、フルプロキシがクライアント側の接続を終端し(プロキシがサーバとなる)、サーバに対しては別の接続を開始する(プロキシがクライアントとなる)ためです。クライアント側にどのプロトコルを使用するかによって、サーバ側のプロトコル選択が制約されることはありません。現実的にフルプロキシは、どのような意味のある(あるいは意味のない)プロトコル変更にも対応可能です。プログラム可能なフルプロキシを使えば、それが仮に一般的ではない(したがって広くサポートされてはいない)ものであってもゲートウェイ構築を行うことができ、その際にプロキシという概念について同じものを一から作る必要もありません。○その3:SSL/TLSを終端これは技術的に見ればプロトコル ゲートウェイの特殊なケースですが、HTTP/Sが支配的であること(およびSSL EverywhereとEncrypt All The Thingsの重要性)を考慮すれば、単独のケースとして扱うべきだと思います。基本的にはSSL/TLSの終端は、最新および今後のアーキテクチャにおいてきわめて重要な機能の1つとなっています。なぜならHTTPプロトコル内の情報に基づいてHTTPベースのトラフィック(たとえばREST APIコール)を検証し、その行き先を決定しなければいけませんが、プロキシなしでは暗号化のためその情報の取得が阻まれてしまうからです。SSL/TLSを終端する機能は、プロキシが、クライアントが接続する(かつ最終的には信頼する)安全なエンドポイントとなることを意味します。また終端とは、プロキシが暗号化された要求を解読し、応答を暗号化する役割を果たすことです。つまりメッセージの内部を「見て」、そのデータをルート決定や負荷分散の判断に使用することを意味します。フルプロキシでなければ、新しい、また新たに登場するアプリケーション アーキテクチャに向けてプロキシが提供する機能とそのメリットの活用は限られたものとなってしまいます。プロキシについては、それがフルプロキシか否かを確認するようにしてください。著者プロフィール○伊藤 悠紀夫(いとう ゆきお)F5ネットワークスジャパンセールスエンジニアリング本部プリセールスコンサルタントUNIXサーバ、ストレージ、シン・クライアントといったインフラエンジニアを経て、F5ネットワークスジャパンへ2012年に入社。現在はセキュリティ・クラウドをキーワードにイベント講演やハンズオンラボを行い、F5ソリューションの啓蒙活動に奮闘中。最近はOpenStackやIoTといったキーワードを中心に連携ソリューションを模索している。
2016年02月12日Googleは2月10日(米国時間)、サイバーセキュリティ月間を受け、「Google Japan Blog: まんがで学ぼう「セキュリティ入門」」において、初めてスマートフォンを持った主人公がセキュリティについて学ぶというストーリーの漫画を公開した。セキュリティに感心の薄いユーザー向けにセキュリティに興味と持ってもらう資料として役に立つ。インターネットは生活に欠かすことのできないインフラになったとともに、セキュリティ上のリスクをもたらす影響もきわめて大きくなってきている。しかし、情報セキュリティは理解しにくいところがあり、専門家や情報処理に詳しいユーザーでないと把握しにくいところがある。スマートフォンからインターネットを使うようになったユーザーは、背後の仕組みを知ることなく使っていることも少なくないため注意が必要。スマートフォンやタブレットデバイスの計算能力や利便性の向上によって、インターネットを利用するデバイスとしてPCを使うことなく、こうしたモバイルデバイスのみを使うユーザーが増えているが。有効なセキュリティ対策を実施するには個人の理解が必須と言える。企業活動においては、セキュリティに対する意識の低さが問題を引き起こすケースが増えており、セキュリティ教育は欠かすことのできない事項となりつつある。
2016年02月12日カスペルスキーは2月9日、セキュリティ・インシデントの被害に遭った大手企業のブランドイメージの悪化について、同社のブログ「Kaspersky Daily」で解説した。同社は、どれほど強固なセキュリティ対策を導入しても、セキュリティ事故による被害をゼロにすることは不可能であり、サイバー犯罪者は、常に新たな手段で攻撃で企業の機密データを盗み出し、内部の従業者の不注意で情報が漏えいすることもありうると指摘する。そのため、セキュリティ事故に遭うことは、企業のブランドイメージを傷つける恐れがあると指摘している。被害を受けた原因がサイバーインシデントだとしても、世間はセキュリティ対策が不十分だったためと解釈し、結果的に被害に遭った企業のブランドイメージを低下させることになっている。一例としてソニーの事例を挙げている。ソニーのグループ企業は、2011年と2014年の2度にわたり、外部に漏れてはいけない重要なデータをハッカーに盗まれた。原因は、基本的なセキュリティ対策を怠っていたためで、3年の間に2度の被害に遭ったことで、信用を大きく落としたとされている。盗まれるデータの種類もブランドイメージに大きく影響し、特に個人情報が漏洩した場合、ユーザーや顧客からの信用を大きく失うことになる。Kaspersky Labの調査(英語資料)では、情報セキュリティ・インシデントによる情報漏洩を被った企業の50%が、ブランドイメージの低下に苦しんでいることが判明しており、これが利益の減少などにつながり、最終的に倒産してしまった企業もあるという。なお、1件のインシデントによって発生したブランドイメージ低下の平均損害額は、中堅・中小企業で約8000ドル、大企業で20万ドルとなっている。また、セキュリティ・インシデントの被害によって信用が失墜した企業の4社に1社(24%)は、社外のPRコンサルタントに支援を求めている。2015年のセキュリティ・インシデントにおける1件当たりの平均被害額は、中堅・中小企業で3万8000ドル(英語記事)、大企業だと55万1000ドルであった。これらの金額には、被害後のブランドイメージの回復に使った費用も含まれており、大企業で約40%、中堅・中小企業で約20%であった。
2016年02月10日日本オラクルは2月10日、「Oracle Database」を導入している企業を対象に、サイバー・セキュリティ対策をデータ保護を支援する「Oracle Databaseセキュリティ・リスク・アセスメント」の提供を同日より開始すると発表した。同アセスメントではデータベースを中心に、ストレージやネットワーク、業務アプリケーションといった周辺のシステムも対象とし、リスク要因の特定と推奨される戦略策定にフォーカスし、実務的なレビューを提供するという。具体的には、・既存システムのデータベース設定に関する情報収集と分析・オラクルのデータ・セキュリティ対策の標準的なベスト・プラクティスと比較して逸脱している項目を特定・業務アプリケーションやデータベースの運用管理者への聞き取り調査を通じて、すでに対策しているシステムの運用・設定、利用技術において、潜在的なデータ漏えいのリスクにさらされている領域を特定・上記の分析を通じて、業務プロセスや既存のシステム設定変更、新しい技術の導入といった、セキュリティの改善計画の立案支援を行う。
2016年02月10日「インターネット安心デー2016」(2月9日)に合わせて、米Googleが同社の「セキュリティ診断」を完了したユーザーに2GBのGoogle Driveストレージを無料提供するプログラムを開始した。期間は2月9日から2月11日まで。セキュリティ診断は、Googleサービスのマイアカウントページを開くと「ログインとセキュリティ」内にある。診断項目は、アカウントに不審なアクティビティがあった場合やアカウントにアクセスできなくなった場合の連絡先の登録、最近のアクティビティの確認、Googleアカウントに接続しているアプリ/Webサイト/端末の確認の3つ。2段階認証を設定している場合は、2段階認証のアプリケーションパスワード、2段階認証の設定の確認も追加される。
2016年02月10日パロアルトネットワークスはこのほど、2016年のセキュリティ予測を公開した。これによると、企業の役員や取締役会は、"サイバーセキュリティ"が企業にとって重大な課題であると認識を深めつつあり、組織の資産を守るためのリスクマネジメントとして、セキュリティ対策に取り組む流れが広がるという。米国におけるジョージア工科大学と同社の2015年の調査でも、2012年からほぼ倍増となる63%の企業で、サイバーセキュリティの積極的な対応を進めていることがわかったとのことだ。2016年は引き続き、ほとんどの業種でセキュリティに対する取り組みが進むとしており、特に「工業」「エネルギー」「公益企業」分野が、金融サービスやIT/通信分野と同レベルまでセキュリティが引き上げられると予想している。その一方で、ニューヨーク証券取引所とVeracodeが昨年実施した調査では、「自社がサイバー攻撃に対して適切な保護を行っている自信がある」と回答した企業は3分の1にとどまった。こうした中で、役員や取締役会が、より「実用的なサイバーセキュリティ」に関するアドバイスを求めると指摘している。また、これ以外にも、CEO直属のCISO(最高情報セキュリティ責任者)が増加するとしている。
2016年02月09日「第6回カメラを用いた3次元計測(1)」の続きです。今回はSubaruのEyeSightで採用されているステレオカメラ(パッシブステレオ法)にフォーカスを当て、OpenCVに実装されている一般的な手法について説明します。ステレオカメラによる3次元計測は、下記の要素技術に大別できます。カメラキャリブレーションレクティフィケーション対応点探索(ステレオマッチング)○カメラキャリブレーションとレクティフィケーションステレオカメラでは、図1に示すとおり視点の異なる2台(または3台以上)を用いて、三角測量の原理で距離を求めます。たとえば、実空間中の3次元点P1をCameraLとCameraRで撮影すると、CameraLで撮像された点の座標pLと、CameraRで撮像された点の座標pRにズレが生じます。この見え方の差(視差)から距離を計測する手法です。視差を求めるためには、CameraLの画像中の点に対応する点をCameraRの画像中から見つけ出す必要があります(対応点探索、ステレオマッチング)。そして、視差から3次元座標を計算するためには、CameraLとCameraRの内部パラメータ、歪係数、さらにカメラAとカメラB間の外部パラメータが必要となります。これらのパラメータを求める処理がステレオカメラに必要なカメラキャリブレーションです。これらのパラメータが求まっていれば、エピポーラ幾何と呼ばれる幾何学的な拘束条件により、対応点探索を効率的に行うことができます。CameraLとCameraRを結ぶ直線と画像平面との交点はエピポール(eL , eR)と呼ばれています。また、3次元点P1とCameraLの位置、CameraRの位置は同一平面上に存在し、その平面と画像平面が交わる直線pR-eRがエピポーラ線です。点P1, P2,……,P5 は、CameraLの画像では同一の点pLに投影されます。一方、点pLに対応するCameraRの画像上の点pRはエピポーラ線上に必ず存在することになります(図1)。つまり、対応点探索はエピポーラ線上のみを処理すれば良いわけです。エピポーラ幾何の拘束条件を用いることで、対応点探索はエピポーラ線上のみで良いのですが、エピポーラ線は多くの場合、画像上で斜めになってしまい、メモリアクセスやエピポーラ線の計算の効率が良くありません。そこで、カメラを平行に設置した平行ステレオ視が一般的に用いられます。カメラキャリブレーションにより求めた内部パラメータ、外部パラメータ、歪係数を用いることで画像を平行化できます(図2)。平行化処理は、レクティフィケーションと呼ばれています。レクティフィケーション後の画像では、エピポーラ線が画像の横軸と平行になるため、高速に対応点探索を行えるわけです。○対応点探索対応点探索には、小領域毎に視差を求めるテンプレートマッチングによる方法、画像全体で最適な解を求めるグローバルマッチングによる方法、注目画素の周辺のみで最適な解を求めるセミグローバルマッチングによる方法があります。リアルタイム性を重視するのであれば、テンプレートマッチングによる方法が良いでしょう。リアルタイム性を重視しないのであればセミグローバルマッチングやグローバルマッチングを用いることもできます。○コーディングOpenCVでは、“opencv/sources/samples/cpp/”にサンプルコード“stereo_calib.cpp”と“stereo_match.cpp”が用意されていますので参考にしてみてください。ステレオカメラのカメラキャリブレーションでは、2台のカメラでキャリブレーションパターンを同時に撮影し、その画像セットをcv::stereoCalibrate(魚眼レンズの場合はcv::fisheye::stereoCalibrate、全方位カメラの場合はcv::omnidir::stereoCalibrate)の入力として、2台のカメラの内部パラメータ、歪係数、カメラ間の外部パラメータを求めることができます。そして、画像を平行化するレクティフィケーション処理は、cv::StereoRectify(魚眼レンズの場合はcv::fisheye::StereoRectify、全方位カメラの場合はcv::omnidir::StereoRectify)で平行化するためのパラメータを求め、cv::initUndistortRectifyMap(魚眼レンズの場合はcv::fisheye::initUndistortRectifyMap、全方位カメラの場合はcv::omnidir::initUndistortRectifyMap)を用いて画素毎の変換テーブルを作成し、cv::remapで画像を補正します。図3は、ステレオカメラの処理フローと処理結果です。Disparity Map(視差マップ)は、近くを白、遠くを黒として可視化したものです(テンプレートマッチングによる手法で求めた結果)。レクティフィケーションにより、2台のカメラにより撮像した画像を平行化できていることがおわかりいただけるかと思います。著者プロフィール樋口未来(ひぐち・みらい)日立製作所 日立研究所に入社後、自動車向けステレオカメラ、監視カメラの研究開発に従事。2011年から1年間、米国カーネギーメロン大学にて客員研究員としてカメラキャリブレーション技術の研究に携わる。現在は、日立製作所を退職し、東京大学大学院博士課程に在学中。一人称視点映像(First-person vision, Egocentric vision)の解析に関する研究を行っている。具体的には、頭部に装着したカメラで撮影した一人称視点映像を用いて、人と人のインタラクション時の非言語コミュニケーション(うなずき等)を観測し、機械学習の枠組みでカメラ装着者がどのような人物かを推定する技術の研究に取り組んでいる。また、大学院での研究の傍ら、フリーランスとしてコンピュータビジョン技術の研究開発に従事している。専門:コンピュータビジョン、機械学習
2016年02月09日バラクーダネットワークスジャパンは2月4日、Office 365環境におけるセキュリティなどを強化する「Barracuda Essentials for Office 365」を発表した。Barracuda Essentials for Office 365は、Barracuda Email Security Service、Barracuda Cloud Archiving Service、Barracuda Cloud Backupの3製品で構成されており、セキュリティとデータ保護機能を強化する。メールに起因する脅威のマルチレイヤセキュリティや暗号化、情報漏えい対策を行うほか、オンプレミス・クラウド・ハイブリッド環境のすべてで、アーカイブ機能を提供する。また、Office 365で偶発的に削除してしまったメールやファイルなどを簡単にリカバリできるリアルタイムバックアップ機能も用意した。日本における提供時期は未定だという。
2016年02月09日毎年2月に行われている「サイバーセキュリティ月間」。官民協働で行われているこの取り組みだが、Googleが公開したブログが話題を呼んでいる。ブログは、米Googleが2015年7月に公開した「セキュリティのエキスパートとそうでない人のセキュリティ対策比較」という論文に基づいたもので、セキュリティ専門家231名と、一般のネットユーザー294名に調査を行った結果をまとめている。これによると、一般ユーザーとセキュリティ専門家がそれぞれ考える"優先するセキュリティ対策"に差が生まれている。そもそも、PCなどで攻撃を受ける場合に大きな問題となるケースの1つが「ゼロデイ攻撃」などのソフトウェアの脆弱性を突く攻撃だ。ソフトウェアの脆弱性は、開発者が意図していなかったソフトの"穴"だが、ここを狙って攻撃者は攻撃してくる。こうした穴は、一般的に「アンチウイルスソフトを使えばOK」と思われがちだが、セキュリティ専門家が1番重要視している「ソフトウェアアップデート」が勘所となる。ゼロデイ攻撃は、攻撃が行われてから開発者が気付き、修正するケースだが、それ以外にも開発者が自ら気付き、修正を施すケースも多い。毎月の定例アップデートがあるAdobe Flash PlayerやWindows OSなどは、ゼロデイ攻撃を受けてからのアップデートもあるが、脆弱性を自ら公表して対策するからこそ、毎月のようにアップデートが行われるわけだ。ゼロデイ攻撃については、被害が拡大している場合、緊急対応しなければならないため、定例外での配信が行われるケースもあるが、だからこそ「ソフトウェアアップデートが一番重要」と捉えているセキュリティ専門家が多い理由にも繋がる。このアップデートが提供されないことで危険につながる最たる例はWindows XPだろう。2014年4月にサポートが終了した同OSだが、「まだ使える」と考えて利用を継続しているユーザーが一定規模存在する。しかし、サポートが終了してしまったOSは、脆弱性が修正されずにそのまま放置されている状態にある。一部の法人に向けては、特別対応としてMicrosoftがサポートを継続しているものの、あくまで例外的措置であり、基本的に一般ユーザーが継続して利用することは危険な状態といえる。これは、アンチウイルスソフトを提供しているカスペルスキー 代表取締役社長の川合林太郎氏でさえ「カスペルスキーなどのセキュリティベンダーは家を犯罪者から守ることはできるけど、シロアリ対策や雨漏り、台風といった根本的な家の脆弱性には対処できない」と例え話を交えて説明していることからもわかることだ。もちろん、企業ユースにおいては、使用している業務アプリケーションが動作しない可能性があるため、IT担当者が動作確認を終えるまでアップデートを実行させないケースもある。こうした負担が増えれば、今後は「アップデートできない要因」となるアプリケーションが、セキュリティをより担保しているスマートデバイス向けアプリケーションやSaaSに取って代わられる可能性もある。企業のIT担当者は、セキュリティの観点から導入するアプリケーションを検討してみるのも1つの策といえるだろう。○パスワードはセキュリティ管理のキモ話をGoogleの論文に戻すと、セキュリティ専門家が選んだ上位のセキュリティ対策は以下の通りだ。ソフトウェアアップデートの適用サービスごとにユニークなパスワードを設定二段階認証を活用する強固なパスワードの設定パスワード管理ツールの利用4位の強固なパスワード設定は、一般ユーザーでもランクインしているものの、一般ユーザーの「頻繁にパスワードを変える」はセキュリティ専門家は推奨しておらず、パスワード管理ツールやサービスごとのユニークなパスワード設定が推奨されている。特集として行っていた「STOP! パスワード使い回し」でも指摘していた通り、パスワードを使い回すことは、万が一パスワードが漏えいした場合に、ほかのサービスでもログインされる危険性がある「パスワードリスト攻撃」によって個人情報が漏えいするリスクが高まってしまう。それぞれのサービスにユニークなパスワードを設定するからこそ、パスワード管理ツールが必要になるし、JPCERT/CCやIPAなども利用を推奨している。強固なパスワードについても、パスワード管理ツールの一部ではジェネレーター機能が付いているため、それを利用すると良いだろう。○二段階認証も重要な要素最後に、二段階認証について。二段階認証は、二要素認証や多要素認証とも呼ばれ、複数経路によって正当な人物がログインしようとしているかを判断する認証のことだ。Googleが自社サービスへログインする際に提供している「Google認証システム」のように、デバイスに紐付けてアプリが生成するワンタイムパスワードなどを、本人のログイン時に認証要素として利用できる。最近は、Appleの指紋認証センサーなど、生体認証にも注目が集まっており、二要素目としてさらにサービスの利活用が進むよう、FIDOのような仕組みも登場している。銀行でもトークン発行の専用デバイスを提供するケースや、三菱東京UFJ銀行のようにアプリケーションによるワンタイムパスワードの提供を行うケースもある。これらを組み合わせて利用することで、より安全にネットの利活用を進め、そして楽しめるようにしてもらうのが「サイバーセキュリティ月間」の取り組みの狙いだ。今一度、自身のセキュリティ対策を振り返り、見直してほしい。
2016年02月09日情報セキュリティにはさまざまな専門用語がありますが、その多くのワードは「詳しくわからない」「他人に説明できるほどではない」という方が多いのではないでしょうか。マイナビニュースでは、カスペルスキー エヴァンジェリスト前田氏に寄稿いただき、"ググってもわからない"というセキュリティ用語を一から解説します。第4回は「マルウェア」です。著者プロフィール○前田 典彦(まえだ のりひこ)カスペルスキー 情報セキュリティラボ チーフセキュリティエヴァンゲリストマルウェアを中心としたインターネット上の様々な脅威解析調査の結果をもとにし、講演や執筆活動を中心とした情報セキュリティ普及啓発活動に従事○「マルウェア」という用語にまつわるあれこれ今回は、基本中の基本といえる「マルウェア」という用語について解説します。実は第3回まで、極力「マルウェア」という用語を使わず、代わりに「コンピューターウイルス」という言い方をしてきました。では、「マルウェア」と「コンピューターウイルス」は同義なのかというと、"完全に同じ意味とは言い切れない"ところが、ややこしくさせる一因だとも思っています。私がインターネットセキュリティに深く関わり始めたのは、今から約10年前(2000年代半ば)です。私の記憶では、すでに「マルウェア」という言葉が存在していました。では、さらに10年遡った1990年代は? と考えると、爆発的なネットの普及を下支えしたWindows 95の時代は、マルウェアよりもコンピューターウイルス(あるいは単にウイルス)という言い方が、より一般的だったように思います。「マルウェア」という用語はそもそも、英語の「malicious(悪意ある)」「software(ソフトウェア)」を略した言葉であり、造語です。一方のウイルスは、人間などの生命体に感染する「virus」になぞらえて、コンピューターに"感染"するソフトウェアを指しています。つまり、造語ではなく比喩表現としての用法であるわけです。双方の意味合いとしては、マルウェアの方が広く、ウイルスはマルウェアの一種別として捉えられることが一般的です。しかし、歴史を振り返ってみると、コンピューターに悪影響を与えるソフトウェアとしては、ほかのコンピューターへ次々に"感染"し、拡散していく機能を持つものが古くから知られています。このたぐいのソフトウェアが、「コンピューターウイルス」と呼ばれるようになりました。その後、コンピューターに悪影響を与えるソフトウェアとして、コンピューターウイルス以外にも様々な種類のものが出現するようになり、それらを総称する意味を込め、マルウェアという用語が誕生しました。つまり、マルウェアよりもコンピューターウイルスという言葉の方が先に誕生し、一般化したと言えます。また、"マルウェア"という用語が生まれる前からセキュリティ対策ソフトが存在していたため、現在でも「ウイルス対策ソフト」や「アンチウイルス」という呼び方が一般的です。これは、歴史的経緯によるものといえます。繰り返しになりますが、改めて言葉を精査してみると、コンピューターウイルスは狭義のウイルスです。マルウェアの種別の中でも、他者に感染する機能を備えたもの、あるいは感染の結果として出来上がったものが、"コンピューターウイルス"であり、正確な用語となります。ここまでの話を振り返れば、"マルウェア"には、非常に多くの種類が存在しているということになります。マルウェアの種別として使われる用語を、列挙してみましょう。コンピューターウイルス(Computer Virus)ファイルウイルス(File Virus)マクロウイルス(Macro Virus)ブートセクタウイルス(Bootsector Virus)ワーム(Worm)ネットワークワーム(Network Worm)メールワーム(Email Worm)トロイの木馬(Trojan)バンキング型トロイの木馬(Banking Trojan)ダウンローダー(Trojan Downloader)ドロッパー(Trojan Dropper)ボット(Bot)バックドア(Backdoor)ラット(RAT: Remote Access Trojan/Tool)スパイウェア(Spyware)ルートキット(Rootkit)クライムウェア(Crimeware)ランサムウェア(Ransomware)ワンクリックウェア(1-clickware)ポルノウェア(Pornware)ダイヤラー(Dialer)アドウェア(Adware)リスクウェア(Riskware)グレーウェア(Grayware)今回は時代の経過とともに、あまり使われなくなった用語(ダイヤラー)や、ほぼ同義として使われるもの(例:バックドアとラット)も含めて列挙しています。もちろん、これが全てではありません。更に厄介なことに、これまでに例を見ない攻撃手法・活動や技術を備えたものが出現すると、「○ウェア」とさまざまなベンダーが名付けるため、新しい用語がどんどんと生み出されています。しかし、たとえ新しい用語が出てこようと、コンピューターに悪影響を及ぼすもの、悪徳なソフトウェアは、すべて「マルウェア」と呼んで差し支えありません。こうしたマルウェアからコンピューターを保護するための最も基本的な対策は、ご存じだと思いますが「セキュリティ対策ソフトを導入すること」にほかなりません。では、上記のような新たな手法を擁する「○ウェア」が出現したとき、ユーザーの関心事は、「自身が使っている対策ソフトは新型○ウェアを検知できるのか」という点になるでしょう。これは、製品によって状況が異なる可能性があります。現状のライセンスの範囲内で対応・検知する製品もあれば、新バージョンで対応するケース、もしくは新モジュールの追加によって対応するケースなど、さまざまです。製品によっては、ベンダーを問わず、追加で費用が発生することもあるでしょう。そのため、どういう製品で対策を行うかという課題は、対応までの速度やマルウェア検知率だけでなく、そうした対応状況、コストも含めて多角的に検討する必要があることを、考えてみてください。次回は、今回紹介したマルウェアの中でも、「悪意あるもの」としての判定が難しい「アドウェア」について解説します。
2016年02月04日Googleは1日、政府が推進する「サイバーセキュリティ月間」に合わせ、セキュリティのエキスパートと、一般ユーザーのセキュリティ対策を比較した同社の論文を紹介した。同論文は2015年7月に発表されたもの。セキュリティ専門家231人と一般のインターネットユーザー294人に対し、実際に行っているオンライン上でのセキュリティ対策を3種類挙げてもらい、両グループの違いや理由をまとめている。この調査結果によると、エキスパートと一般ユーザーで大きな差が出た項目は、「ソフトウェアアップデート」と「アンチウイルスソフトの使用」の2つだった。エキスパートの35%が「ソフトウェアアップデート」を最も重要なセキュリティ対策として挙げた一方で、同項目を最も重要とした一般ユーザーは、わずか2%だったという。2グループの認識の差に関して、エキスパートでは「パッチに次ぐパッチを行っています」というコメントがみられたが、一般ユーザーからは、「ソフトウェアアップデートが常に安全とは限らない」や「悪意のあるコンテンツが含まれている可能性がある」というコメントがみられたという。「アンチウイルスソフト」の使用に関しては、42%の一般ユーザーが3種類の対策のひとつに挙げているのに対し、同項目を挙げたエキスパートは7%だった。エキスパートは、アンチウイルスソフト自体の有効性は理解しているものの、「ソフトも完璧ではなく、逆にユーザーに対し間違った安全認識を与える可能性」を指摘している。このほか、「パスワード管理」に関する対策はエキスパートと一般ユーザーの両方が挙げたが、管理方法が両者で異なっていたという。エキスパートでは、1つ以上のアカウントでパスワード管理ツール(パスワードマネージャー)を使う割合が73%と、一般ユーザーの27%と比べ3倍高かった。同社は、この差について「パスワードマネージャーに対する理解不足や信頼の低さなどがあると考えられる」と考察する。「サイバーセキュリティ月間」は、オンライン上のセキュリティに関する意識や知識の浸透を図る取り組み。政府が毎年2月に行っており、2016年は2月1日から3月18日までの期間を「サイバーセキュリティ月間」として、普及啓発活動を推進する。
2016年02月02日