LINE2018.08.18S2-045の3回目としてS2-045のまとめを記事にします。S2-045の脆弱性については今までのセキュリティ対策を考えさせられるきっかけになった脆弱性かと思います。勉強会でもそういった内容をメインに話してきました。記事の内容については個人的見解であることをあらかじめご了承ください。脆弱性が公開されてからの速さまずは何と言っても脆弱性が公開されてから、攻撃が行われるまでの速さがすごかったですね。日本で結構大きなニュースにもなったGMOPGを例に確認していきましょう。以下のURLを参考に確認します。記載の日付は全て2017年になります。脆弱性(S2-045)を公表。・3/8:保険特約料支払いサイトへ攻撃開始⇒その後すぐにバックドアファイルが設置される上記の通り、脆弱性の公表から攻撃までのスピードが物凄く速いです。2日に見えますが、時間を確認すると1日半位です。GMOPGの担当者が脆弱性情報を受信(外部サービスから)する前に攻撃が成功されてしまっています。GMOPGの対応はどうだったのか?さて、次にGMOPGの対応について見てみましょう。同じURLで確認していきます。上記のとおり、GMOPGの対応については攻撃されていたこともあったかと思いますが、かなり早いタイミングで対応しています。※対応自体はほぼ3日で行っています。Standard)の最新版である3.2.1でも以下のように記載されています。すべてのシステムコンポーネントとソフトウェアに、ベンダ提供のセキュリティパッチがインストールされ、既知の脆弱性から保護されている。カ月以内にインストールする。DSSの基準的には問題ないどころか物凄いスピードで対応したということです。GMOPGは大規模な情報漏洩に発展をしてしまいました。クレジットカード番号6万件以上です。この事件を非難するのは簡単ですが、この事件をきっかけに今後同じようにならないためにどうすれば良いかをしっかり考える必要があります。今後どうすればいいのだろう?決断(サーバを停止等の判断)をする際に運用を外部ベンダー等に任せっきりだとこういった際に判断が遅れ、被害につながる可能性が高いです。運用自体は任せていても、自社のサーバで使用されているフレームワーク(今回であればstruts2)やミドルウェア等のバージョンや脆弱性情報を常に監視し、危険な場合はすぐに対応(指示)できる体制になっていないと今後は危ないかと思います。※脆弱性公開から攻撃までのスピードが物凄い速いので現場に権限がない場合は、上司に相談やそこからさらに上層部への展開等、どんどん脆弱性の対応に時間がかかる可能性があります。日本企業を批判するわけではないですが、大企業の役員の方々達が、フレームワークであるStrutsは自社で使用していても、もちろん知らないと思いますし。そもそも、OSコマンドインジェクションやよく聞くSQLインジェクションだった、言葉自体を聞いたことがない人が多いのではないでしょうか。(個人的意見が物凄い入っています。)CSIRTとかは今後、どこの会社にも必要になっていくと思いますが、本当にちゃんと機能できる会社が増えていくまでには、日本ではまだ時間がかかるんだろうなと思います。いった内容を以下の勉強会で話してきました。こんな長くはないですが、もう少し要点をまとめた形です。今後も脆弱性自体のデモであったり、それに起因するインシデントの事件の話だったりを勉強会やブログでしていく予定ですので、応援して頂けると幸いです。不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。今回の記事については、セキュリティ業界の現状についてです。私自身この業界に入って8年目となり、色々な経験をしました。2回転職しましたが、転職先でもセキュリティ関係の仕事をしています。その上で、考えていることを記事にしていきます。2018.06.15セキュリティtreeコマンドで定期的なファイルのチェックをする今回は少しだけ技術的な話題について記事にしてきます。個人的な見解ですが、自社や自分の管理するWebアプリケーションの管理する方法として中々良いものではないかと考えていますので、興味がある方は読んで行って貰えると嬉しいです。検証について、全くやっていませんでしたね。Severの脆弱性(CVE-2019-2725)の検証を行います。Severについては触れていませんでしたので、まずは環境構築を記事にしていきます。2019.05.14セキュリティARPとARPスプーフィング1今回は7月に以下の勉強会で発表してきた「ARPスプーフィング」について解説していきます。理解するためにはARPというものを知っておく必要があるので、そちらも記事にしていきます。2018.08.05セキュリティCAPTCHAの利点と最近のトピック最近コメントにスパムによる他サイトへの誘導(恐らくエクスプロイトキット)が増えてきているので、対策として「CAPTCHA」を導入します。導入前のチェックについては以前解説しましたので、今回の記事は「CAPTCHA」について解説していきます。2018.08.02セキュリティメールの誤送信を減す対策を検討する1最近に始まったことではないですが、メールの誤送信による情報漏洩事故は常日頃から発生しています。今回はそういった事故を減らす方法について記事にしていきたいと思います。記事の内容については個人的な意見となりますので、予めご了承ください。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。