wakatonoの戯れメモスマートフォン用の表示で見るwakatonoの戯れメモはてなダイアリーから引っ越してきました。脆弱性情報等に関する情報のエスカレーションプロセスの策定」の後にも考えるべきことが2つあった。それは、「深刻な脆弱性を保有するシステムに対する『システム停止を含む緊急対応』の事前策定と関係者間の合意」と「策定したプロセスが機能す...追記:マネジメント側で出来る最大の対処2017-05-04結び:現場の営みをうまく拾ってエスカレーションを行えるしくみの構築と運用が必要Security脆弱性は、「早期発見&即対処」を行えればベストだが、これはシステムの規模や影響を考えるとかなりの無理筋とも感じる。評価」「迅速な対処」をいかにスムーズに行うか?がカギになる。早期発...結び:現場の営みをうまく拾ってエスカレーションを行えるしくみの構築と運用が必要2017-05-04再発防止は「再発防止策が機能したら、発生したインシデントは発生しなかったか」がカギSecurityこれは私見だが、再発防止策を考えるときには、考えた策を適用することで「発生したインシデントが発生しなかったか」の検証が必須と考える。「今やってること」「今やってないこと」「やるべきこと」「今やるべきこと」「今後やるべきこと」の層別...再発防止は「再発防止策が機能したら、発生したインシデントは発生しなかったか」がカギ2017-05-04再発防止には「入手した脆弱性情報の適切な評価」をプロセスに含めることも対策に含めるべきではないかSecurity脆弱性情報は、早期に入手すればするほど「危険性の評価」が難しくなる傾向にある。これは、公開情報などを契機に「早期に」入手できた情報には「PoCなどが伴わない」ことが多いからだ。脆弱性情報等に関する情報のエスカレーションプロセスの策定」だけでいいのか?という...再発防止策が偏ってるなぁ...と感じるのはオレだけか?2017-05-04「全社的リスク管理の課題」は本当に真の課題か?Security現場に寄り添うべき立場の者として、この課題(の記述)は少し腹立たしい。報告書中、以下のような記述がある。本件事故の原因とも言える「大規模の脆弱性発覚」のリスクは、本来、看過できない重大なリスクであったと考えられるものであるが、経営管理の...「全社的リスク管理の課題」は本当に真の課題か?2017-05-04よくわからない点:脱Struts宣言を出したものの、リスク含みの既存システムへの対応が不十分なあたりSecurity新規開発でStrutsを使わない宣言を出したのは評価出来るけど、既存システムへの対応がない(ように見える)のが不可解。2使用システムの再構築には至らなかった」とあるが、これは正直「システム運用の現場」を理解していない(理...よくわからない点:脱Struts宣言を出したものの、リスク含みの既存システムへの対応が不十分なあたり2017-05-04ヤバさを認識するまでが遅いのがBadSecurityヤバさを知覚してから対応に入るまでの速度が高速なのはいいのだけど、脆弱性が公開された時刻からGMO-PG側で脆弱性情報を確認し、ヤバさを知覚するまでの時刻に開きがありすぎというのがヤバい。18:00にヤバさを認識し、同日21:56にWAFによるブロックを開始したのはGood。2:15にインシデントが発覚し、公表が同日18:22に行われている。関係各所の調整も含めて16時間で公表というのは、個人的な所感では超高速だと感じる。インシデント発覚から公表までの期間の短さはGood2017-05-04再発防止委員会の構成Security専門家アドバイザーが少し偏り気味でないかい?と思ってたり。構成2016-10-21オレが期待している「過去のセキュリティ・キャンプの応募用紙を見ることの効能」Security過去の応募用紙を見ることで、当然ですが「何を問うてきたか」を見ることはできます。それに対して自分が答えられないということは、少なくともその応募用紙と格闘して参加した人と比べると、前提知識ややる気、熱意(興味といってもいいかもしれない...オレが期待している「過去のセキュリティ・キャンプの応募用紙を見ることの効能」2016-10-21セキュリティ・キャンプの応募用紙が問うことSecurityセキュリティ・キャンプの応募用紙は、「やる気や熱意、興味の見える化」をするためのものであり、全部正答すれば参加できるというものではありません。セキュリティ・キャンプの応募用紙が問うこと2016-10-21セキュリティ・キャンプの応募で一番困ったことの1つSecurity個人的には、「やる気はあります」とだけ書かれていて、こちらからの設問にほとんど答えていない応募が一番困りました。これは、「やる気」を見るための応募用紙に単に「やる気はある」と書かれても、どこでそれを測ればいいのかわかりようがないためです。現場で使えるセキュリティ事故対応を読んでみた(3)〜まとめSecurityネガティブなことも書いたが、どちらかというと「買ったはいいけど期待外れ」というのを防ぎたいと思ったので、オレなりに著者陣の主張を読み解いたまでのことである。現場で使えるセキュリティ事故対応を読んでみた(3)〜たぶんスコープ外だけど、期待しちゃいけない点Security本書に、チームビルディングやチームマネジメント、ケイパビリティ、チーム成熟度などの話を期待してはいけない。現場で使えるセキュリティ事故対応を読んでみた(2)〜まずは良い点Security事故を類型化し、具体的にどうするか?が、かなりわかりやすく書いてあるのは非常に良い。本書は「セキュリティ事故現場での対応」にフォーカスを当てたものであり、著者陣の安定感もあって、非常に安心して読める内容である。現場で使えるセキュリティ事故対応を読んでみた(1)Securityインシデント対応関連の和書は珍しく、著者に知った方々がちらほらいらしたので、ゲットの上読んでみた。良い書籍だけど、やっぱり難点も出てくる。現場で使えるセキュリティ事故対応を読んでみた(1)2016-07-14結論:CSIRTを作るならば窓口(PoC)の設置を&窓口を設置するならば、窓口からエスカレーションできるしくみもあわせて実現を!Security窓口(PoC)が何をやるのか?というのを、自分なりの整理も兼ねて書いてみた。兼任/専任というスタイルもさることながら、「窓口」という機能に着目して考えると、こういう見方もあるとご理解いただければ幸いである。結論:CSIRTを作るならば窓口(PoC)の設置を&窓口を設置するならば、窓口からエスカレーションできるしくみもあわせて実現を!2016-07-14窓口+エスカレーション先がある場合Security窓口を設定する意義の1つは、コミュニケーションや情報交換/コーディネーションを円滑にするところにある。中と外のコーディネーションもそうだし、中のコーディネーションもそう。中→外の情報伝達も、外→中の情報伝達も、最終的にはPoCチームもしくはPoC...窓口+エスカレーション先がある場合2016-07-14窓口「だけ」ある場合Security窓口「だけ」あるという場合は、窓口がない場合よりもひどいことになりうる。報告者から報告を受け取った後、窓口から先どこに持って行っていいのかわからず、苦労することになる。窓口を設置した企業なり団体なりの所帯が小さければ、まだなんとかなるか...窓口「だけ」ある場合2016-07-14窓口すらない場合Security窓口すらない場合は、そもそも何か起こったかを外から送ってもらう統一的な枠組みを用意していないといえる(図では「Webサーバおかしい」ということを言おうとしている報告者が「どこに送るのさ?」と不安になってる様を描いている)。昨今の状況でこれは...窓口すらない場合2016-07-14外部との情報交換を行うインタフェース=CSIRTならば...Security「情報交換を行うインタフェースがあればCSIRTを設置したといえる」のか?と言われると、これはYesともNoともいえる。とある人wは、「最低限外向けの窓口(PoC)を設置してくれればCSIRT作ったといえるのでは」と述べているが、これは窓口対応を正しく理解...外部との情報交換を行うインタフェース=CSIRTならば...2016-07-14CSIRTとは、外部との情報交換のための信頼の枠組みSecurityCSIRTに関して一番本質的なところをついてるものの1つが、こちらの山賀さんの講演で触れられているところと考える。作ったから云々でもなく、外部から情報を得るのみでもなく、適切な情報も出していくという営みは必要だ。CSIRTとは、外部との情報交換のための信頼の枠組み2016-07-14前提:CSIRTのコンスティチュエンシーとかサービス範囲とかはすでに決まっているSecurityCSIRT設置するにあたって、「コンスティチュエンシー」や「サービス範囲」をはじめとすることは、すでに決まっているものとして以下の話を書いてたりします。Edgeでも(当然だが)起きない。これは、問題が起きないブラウザは、Windowsの証明書ストアを使うようにしているためと考えられる*1。(理由はよくわからないけど)Firefoxは自前で証明...なんでこんな問題が?〜証明書の管理が分かれてるし〜2016-04-18解決法?〜証明書をエクスポートして(手順1)、証明書をインポートする(手順2)Securityエクスポートしてインポートする、ただそれだけで解決するんだけど、インポート先に少しだけ注意しなきゃいけない。証明書管理ツールを使っ...解決法?〜証明書をエクスポートして(手順1)、証明書をインポートする(手順2)2016-04-18なんでこうなるのか?〜MITMやってる結果で解決方法もあるんだけど、どうも中途半端SecurityKMS2016は最初からそうなんだけど、最近のカスペルスキー社のセキュリティソフトウェアは、SSL接続の中を確認するために、MITMをかけている。2016(以下KMS2016)のWindows版を入れた後、FirefoxでGoogleにつなごうとすると以下のような画面が。要は「変な証明書使ってるからつながせないよ」という意味。Windows版をインストールした直後2016-04-02対策の考え方はいいんだけど、例がまずいSecurityトレンドマイクロさんのblogでは、対策も書かれている。考え方は悪くないけど、例がまずい。強調と着色部分は筆者による。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。