セキュリティ一般の履歴(No.3)

一般動向
公的な情報源
セキュリティ関連資格
用語説明

一般動向†

フロントエンド開発のためのセキュリティ入門 - Speaker Deck 2023.2

情報セキュリティ10大脅威 2023：IPA 独立行政法人情報処理推進機構 2023.1

ASCII.jp：Webセキュリティの2022年の振り返り 2022.12

Month of PowerShell: Process Threat Hunting, Part 2 | SANS Institute 2022.7

   Is the process a new or unrecognized name?
   Is the process name random-looking?
   Is the process running from a non-standard path or a temporary directory?
   Is the parent-child relationship suspicious?
   Is the parent process suspicious?
   Are the command-line options suspicious?

「このサイトは安全ではありません」が表示された際の原因・対処法｜サイバーセキュリティ.com 2022.5

「壁」で守る時代は終わった。「データそのもの」を守り抜く「秘密計算」の時代へ｜セキュリティ通信 2022.5

未経験からOSCP取得ガイド - Qiita 2022.3

サイバーセキュリティの2022年の予測～クラウド・セキュリティのトレンドのトップ5～ (Oracle Cloudウェビナーシリーズ: 2022年1月26日)/20220126-OCW-CyberSecurityTrend2022 - Speaker Deck 2022.1

CSIRTとは？その概要や役割、必要性、設置方法について詳しく解説｜サイバーセキュリティ.com 2018

GPOでWindows10『モバイルホットスポット』を無効にする方法 | IT trip 2021.10

非エンジニアがHack The Boxを始めてHackerになるまで 2021.3

もうEDRしか勝たん、という話 2020.12
- Endpoint Detection and Response の頭文字。
- 「エンドポイントの情報（インストールされているアプリケーション、ログ、起動プロセスなど）を収集し、エンドポイントでの脅威検知及び対応を支援するツール」

体系的に学ぶモダン Web セキュリティ 2019.8

“守り”に入ったセキュリティ部門は捨てられる 2013.8.9

基本に勝る防御なし：直撃取材！「たて」の裏側 2013.6.21

Gmail乗っ取りが大流行中！被害報告まとめ 2012.12.26

アカウント乗っ取りを防げ！Google２段階認証プロセスを設定する全手順 2012.12.26

ソーシャルエンジニアリングは他人事じゃない 2012.8.10

美しいグラフィックでサイバー攻撃をリアルタイムに可視化、警告を発するシステム 2012.6.20

エロサイトに「いいね」した人がエロサイトを見ていたとは限らない 2012.5.2

各種Webサービスでやっておくべきプライバシー設定まとめ 2012.5.2

「2011年版 10大脅威進化する攻撃．．．その対策で十分ですか？」を公開 2011.3
- http://www.ipa.go.jp/security/vuln/documents/10threats2011.pdf

PS3 呆気無く陥落
- 何で、そんな大事な private key が解析されてしまったのでしょうか？。
- カンファレンスにおける fail0verflow の説明によると、ECDSA（楕円曲線暗号デジタル署名) でキーの生成に使う乱数がなんと「固定値」になっているということで、private key の探索範囲が一挙に縮まり、どうやら private key の奪取に成功したようです。
- これはもう人災ですね。カンファレンスでも、「これはプログラムの不具合ではなく、PS3 の実装を使っただけですから」どか言われてるし…。

ソニーに何が起きたのか――ハッカーとの暗闘の末に史上最大規模の個人情報流出 2011.5.5

悪質なFlashリダイレクタ 2008.9.17

ボットネットの新たな温床になりかねないネットワーク・プロセッサ 2008.7.31
- NPUネットワーク・カードが普及し，さらに同カードを悪用するボットが登場したとしよう。悪質なソフトウエアが同カードに攻撃を仕掛け，パソコン本体のプロセッサやOSに影響を与えずに同カードを完全に掌握する可能性がある。ボットがNPUを管理下に置いてしまえば，このパソコンで送受信しているすべてのネットワーク・データが盗聴される上，ほかのパソコンのNPUネットワーク・カードも攻撃対象になりかねない。加えて，これらの攻撃はすべて，通常のウイルス対策ソフトから検知されずに実行できるのだ。

無責任なキャリア様に群がるIDクレクレ乞食 ―― 退化してゆく日本のWeb開発者 2008.7.28

SQLインジェクション攻撃の波が再来、通常の70～100倍に 2008.3.13
- ASPを用いて開発されたアプリケーションは、企業の要件に応じて個別に開発されることが多いが、その「バグが作り込まれやすいところを狙ってきている。このため、一概にパッチの適用で修正できるというわけではなく、対処が困難だ」と新井氏は指摘。Webサーバを運用している企業や組織は、パッケージ製品だけでなく、外注しているアプリケーションについても改めて診断を受け、修正を施すべきだと述べた。

無線LANのMACアドレス制限の無意味さがあまり理解されていない 2007.11.2
- パケットの中にMACアドレスは暗号化されずに入っている
- WPAによる暗号化が有効に働いていれば、鍵を知る者以外には接続できないのだから、MACアドレス接続制限をする必要性は全くない。それなのに、なぜか、「暗号化で秘匿」「MACアドレスで接続制限」の両方が必要だと勘違いした解説がたくさん出回っている。

IPアドレスがブラックリストに載っているか調べるスクリプト@Ruby

IPアドレスを最近傍識別するスパムフィルタ 2007.4.13
- 内容でなくてIPアドレスを識別することに意味があるのか？
- →IPアドレスは，組織の種別によって番号の偏りがあるので，まっとうな送信元と，SPAMメイルの送信元にはかなりの偏りがあるため
- 参考URL:http://vrl.sys.wakayama-u.ac.jp/~twada/NNIPF.html
- 参考２：http://blog.livedoor.jp/dankogai/archives/50809795.html

McAfeeによる2007年におけるセキュリティ問題ベスト１０ 2006.11.30

1. 偽のサインインのページを使って人気のあるオンライン・サービスの
  IDやパスワードを盗むWebサイトが増加する
2. スパムの量，とくに画像を使ったスパムが引き続き増加する
3. オンラインのビデオ共有サービスの人気により，攻撃者が悪意のあるコードを
   配布する手段としてMPEGファイルを利用するようになる
4. 携帯電話が多機能化してインスタント・メッセージング，BlueTooth，WiFi，USBなどを通じて
   接続性が高まるにつれて，携帯電話をターゲットとする攻撃が増加する
5. 商用のPUP（Potentially Unwanted Program：不審なプログラム）の増加に続き，アドウエアも増加する
6. コンピュータの盗難，バックアップの損失，情報システムへの侵入などによる
   個人情報の盗難やデータ損失が引き続き社会的な問題となる
7. ボットを使った攻撃が増加する
8. ディスク上の既存のファイルを書き換える寄生型のマルウエアまたはウイルスが復活する
9. 32ビット・プラットフォームをターゲットとするルートキットが増加する
10. 公開されるぜい弱性が増加する

『ハッカーズその侵入の手口』PDFで半分公開

↑

公的な情報源†

SPAセキュリティ超入門 | ドクセル 2022.9

第7回「産業サイバーセキュリティ研究会」を開催し、「産業界へのメッセージ」を発出しました（METI/経済産業省） 2022.4

Web開発者はもっと「安全なウェブサイトの作り方」を読むべき - Flatt Security Blog 2022.4
- 安全なウェブサイトの作り方：IPA 独立行政法人情報処理推進機構 2021

↑

セキュリティ関連資格†

情報処理安全確保支援士試験完全制覇への道 2019.8

Linuxセキュリティ標準教科書（Ver1.0.0） 2013.10.1
- 本教材を学校教育や企業研修において活用していただき、OSS/Linuxにおけるセキュリティ教育の質向上の一助としていただければ幸いです。
- また、本教材は、セキュアなシステム設計・サーバ構築のスキルを認定する「LPICレベル3 303試験（LPI-303 Security Exam）」の教育および学習にも役立ちます。

↑

用語説明†

CSP(コンテンツセキュリティポリシー)について調べてみた - SSTエンジニアブログ 2020
- CSP(Content Security Policy)は、対応しているユーザーエージェント（通常はブラウザ）の挙動をWebサイト運営者が制御できるようにする宣言的なセキュリティの仕組みです。どの機能が有効になるか、どこからコンテンツをダウンロードすべきか、などを制御することで、Webサイトの攻撃対象領域を小さくできます。1
- CSP Evaluator

ISMS
- ISMSとは、個別の問題毎の技術対策の他に、組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランを持ち、資源配分して、システムを運用することである。
- 組織が保護すべき情報資産について、機密性、完全性、可用性をバランス良く維持し改善することが情報セキュリティマネジメントシステム(ISMS)の基本コンセプトである。(ISO/IEC 13335-1:2004より引用）
- ●機密性：認可されていない個人、エンティティ（団体等）又はプロセスに対して、情報を使用不可又は非公開にする特性。
- ●完全性：資産の正確さ及び完全さを保護する特性。
- ●可用性：認可されたエンティティ（団体等）が要求したときに、アクセス及び使用が可能である特性。　
- ISMS形骸化問題と向き合う – SecureNavi追検証ブログ – CloudNative Inc. BLOGs 2023.2

サイドチャネル攻撃
- サイドチャネル攻撃（サイドチャネルこうげき、side-channel attack）とは、暗号装置の動作状況を様々な物理的手段で観察することにより、装置内部のセンシティブな情報を取得しようとする攻撃方法である。
- 白熱電球の例えがわかりやすい。電球の明滅の情報だけでなく、消した後に残る熱からどの電球が点いていたかの情報を得るのがサイドチャネル攻撃に相当する。

シフトレフト｜セキュリティ用語解説｜NRIセキュア 2022
- シフトレフトとは、開発ライフサイクルが短期間化し、迅速かつ頻繁にアプリケーションをリリースする傾向が広がっていくなか、リリースのスケジュールを妨げないように、セキュリティに関わる工程を前倒しして実施するという概念です。
- 具体的には、開発前の段階からセキュリティを考慮した設計を行ったり、開発したシステムにおけるセキュリティ診断工程を内製化・自動化したりする取り組みが行われています。システム開発のスケジュールは、左から右に進行する流れで描かれるため、工程を前倒しすることは、左側へ移行することを意味することから、このように呼ばれるようになりました。

What is Shift Left Security? | CrowdStrike 2022.1

クロスサイト・リクエスト・フォージェリ
- 「ぼくはまちちゃん」 ――知られざるCSRF攻撃
- CSRFで強制ログインさせるというアイデア 2012.5.22

セッション固定攻撃について
セッション・フィクセーション 2008.3.5
- 対策は，ログイン成功時に古いセッションIDを無効化し，セッションIDを再発行することである。

ルートキット@Wikipedia
Buffer Overflow@Wikipedia
Data Execution Prevention@Wikipedia
- いわゆるDEP。データ領域においたコードを実行できないようにすること
- 参考になるページ：ハードウェアDEPの調査
- 参考になるページ２@ひまじゃのう
  - XP SP2のソフトウェアDEPで防げるのは例外処理を利用したDEであり、リターンアドレス書き換えによるDEは防げないという話
検疫ネットワーク
- 外から持参したノートなどをLANにつなぐ前にいったんそこにつないで検査するための隔離されたネットワークのこと
- 参考：なぜ検疫ネットワークが普及しないのか
SQLインジェクション …文字列を単純に接続してSQLを作成しているような場合、入力値をうまくいじって想定外の動きをさせることでクラックする。くわしくは上記ページを参照。
ゼロデイアタック…問題が発見されてから１日とたたずに（対応パッチが出たりする前に）攻撃すること
マジックバイト問題 2005.11.2

セキュリティ一般 の履歴(No.3)

一般動向†

公的な情報源†

セキュリティ関連資格†

用語説明†

セキュリティ一般の履歴(No.3)