忘れたころに使える無駄知識です。ITの安全性はどのように担保したらよいのでしょうか?これは意外と難しい問題です。使ってるソフトや機器の安全確認が必要な時これは割と頻出の問い合わせです。内部統制のしっかりした企業では「新しいソフトウェアを勝手にPCにインストールしてはいけない」となっていると思います。勝手にインストールしたソフトウェアが原因で重要な情報が洩れては大変です。情シスと戦うことになるんですが、安全だということを主張するのは結構骨が折れます。個人のおうちでも、「勝手にパソコンに侵入されたら・・・」ということを心配する人もいるのではないでしょうか。ハッカーは重要でない部分から狙ってくる意外とハッカーは重要なところを狙ってきたりはしません。みんなが守ろうと思っているところは大抵の場合セキュリティが厚いからです。セキュリティの甘そうなところを狙ってきます。代表的なところでは下記のようなものがあります。重要な情報を扱うネットワークのWiFiルータ従業員のPCへのフィッシングメールそこを足掛かりにして重要な情報を盗もうとします。phpMyAdminがハックされるこれは実際に僕がやらかしてしまった例ですが、phpMyAdminという開発ツールからサーバが乗っ取られたことがあります。実は、有名なオープンソースソフトの中には公開領域に置かれることをあまり意識していないものがたくさんあります。便利だからという理由で、簡易的な管理画面を公開領域においてませんか?十分に枯れていない技術を使うときは、かならず丸ごとBasic認証で隠すか、非公開領域に置くようにしましょう。そのルーターは安全なのか僕が脅しすぎたのもあるんですが、「うちにあるルータは大丈夫なのか」という話になり、その確認を行いました。セキュリティ情報をチェックしたところ、過去に脆弱性があったことがわかり、ファームウェアのアップデートをお勧めすることになりました、JVNとCVEでセキュリティチェックを行おう実は、IT関連のセキュリティ情報を集めたデータベースがあり検索をすることができます。日本はJVN、アメリカではCVEが有名です。脆弱性対策情報データベースcve.mitre.orgでは、phpMyAdminをCVEで調べてみましょう。CVEで検索すると下記のようにたくさんの脆弱性を見つけることができます。長いこと使われているソフトだけあって、248件となかなかたくさんありますね。見た感じだと、最近はあまりひどいこと起きてないですが、昔はなかなかえぐい感じがしますねー。phpMyAdminは公開領域には置いてはいけない。お兄さんとの約束だ!例えば、適当に一つ選んで開いてみましょう。Traversalに関するセキュリティホールで、サーバに特定のファイルがあるかどうかを知られてしまうという脆弱性のようです。cve.mitre.orgぶっちゃけよくわかりませんね。いう人はリンクをたどってNISTが運営するNVDに行くと、危険度が評価されています。CVSSというのは、脆弱性の評価スコアです。ComplexityがLowなので誰でもできるという意味では多少危険度はあるかもしれません。CVE-2016-5098このように今使っているソフトウェアがどのくらい危険であるのかというのを比較的容易に評価できます。おうちのルータの脆弱性は?家のルータは安全でしょうか。今日たまたま評価したので、同じようにやってみましょう。家のルータの型番をゲットします。EA6400を使っていたようでした。JVNで検索してみましょう。おっとなにやら「重要な情報を取得される脆弱性」と書いてあります。穏やかではありませんね。実際中身を見てみましょう。CVSSのスコアで危険となっており、どうやら緊急度の高そうな事案です。参考情報からリンクをたどっていくと対策が載っているページが見つかり、ファームウェアをアップデートすればよいことがわかります。EA6400には自動アップデート機能があるようで、多くの場合問題はなさそうですが、念のためファームウェアのアップデートをお勧めしておきました。セキュリティが心配になったらJVNとCVEで検索。CVSSをチェックしようセキュリティ情報はJVNとCVEを閲覧すればたいていの場合情報が見つかります。セキュリティの内容は専門家でもよくわからない場合があります。その場合はCVSSのスコアを参考にしたり、参考情報/referenceのリンク先をみて要約を見るとよいでしょう。IPAのツイッターやメーリングリストでは、最新のセキュリティ情報を発信しています。企業のインフラ担当者や情報責任者はこれをチェックするようにするとよいでしょう。00:09IT機器、セキュリティーホール、安全性はJVNやCVEでチェックしようTweet関連記事2018-12-03ユカイ工学を退職して、色々と新しいことします11月末日をもってユカイ工学を退職しました。戦略とソフトスキルの時代ソフトウェアなロボットを作ろう。スマートスピーカーによる介護サービス月別アーカイブはてなブログをはじめよう!harajuneさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。