スライドをアップロードしました。Engineering?"というテーマで講演を行ってきましたので、その様子をまとめてみたいと思います。Villageの様子は、公式ブログにもまとめられています。www.social-engineer.orgSlideShareの問題も改善したのでスライドもアップしておきます。(英語のミスは無視するようにお願いします。会社にて研修生としてお世話になっていますが、日本と違い、米国ではソーシャル・エンジニアリング攻撃が非常に一般的です。所属するセキュリティ・チームもよくその対応に追われています。Difference)もソーシャル・エンジニアリングの攻撃の成功可否に影響するのだろうかという疑問を持ち、自分なりの考えをまとめて講演を行いました。Defense)が成立するのであれば、それに基づいて組織デザイン・組織文化形成をしていけばソーシャル・エンジニアリングの重要な防御になるのではと考えたことがきっかけです。今回の講演では、結論を出すことを目的とはしておらず、参加者にそのことを考えてもらえるきっかけになればと思い、講演をしてきました。Tylorの定義を参考にしています。societyその上で、文化差を測るための指標として、ホフステッドの6次元文化モデルを利用して議論しました。これは、ホフステッド指数とも呼ばれるもので、全世界に展開しているIBM社員にアンケート調査を行い統合的な分析を行い、文化差異を示す6つの指標を提唱した研究です。IBMは共通した企業文化を持つため、もしアンケートに差異があるのであれば、それは国民性(国ごとの文化)によるものだろうとホフステッドは考えこの研究にいたったという経緯があります。今回は日米文化の差異に焦点を当てたため、ホフステッド指数の公開データを使い、差異を分析しました。取り上げた3種類のソーシャル・エンジニアリング手法その上で3種類のソーシャル・エンジニアリング手法を取り上げ、文化が攻撃を阻止できるのではと議論を行いました。IntelligenceOSINTとは、ソーシャル・メディアなど公開情報を利用して攻撃対象者の情報を調査する手法です。総務省が発行している「情報通信白書」の平成26年版(2014年度版)が、ソーシャルメディアに対するリスクについて、国別比較(日本・アメリカ・イギリス・フランス・韓国・シンガポール)の面白い統計情報を出しており、それに基づきソーシャルメディアへの情報公開の許容度とOSINTの応用について議論を行いました。TailgatingTailgatingとは、人の後について行ったり、Pretexting(なりすまし)を行い物理的に制限された領域に入り込む方法です。言われる方法として、FedEx担当者の服装で内部を動き回ると、誰にも怪しまれることなく様々な場所にアクセスできてしまうなどの手口が知られています。米国の仕事環境だとキュービクルと呼ばれる机で仕事をしており、ほとんど個室のような状態となります。そのため、仕事をする上ではこれほど集中できる環境はないのですが、その一方、他人が何をしているかなどがわかりづらくなります。日本の机はフラットな長机です。私は仕事に集中しづらいのであまりこの環境があまりすきではないですが、周りの様子を知りやすい環境にあります。いう意味では、物理的セキュリティを破られた場合でも隠れる場所も少なく、非常に目立つのではないかと考えられます。Phishing)とは、電話を利用したフィッシング攻撃のことです。これも日本固有の新人が電話を取る固有の文化、意思決定のプロセスの違いなどの文化差異が攻撃を防ぐのに有効なのではという議論を行いました。最後に、日本の「振り込め詐欺」についても少し触れています。私の知る限り、「振り込め詐欺」は日本固有でかなり進化しているもので、その様子についてソーシャル・エンジニアリングの観点から議論を行いました。Villageにて講演をさせていただく機会をもらいましたが、日米の文化差異やソーシャル・エンジニアリングについてさらに勉強する非常に良い機会となりました。面白いテーマがあれば、CFPを出してみたいと思います。金融庁関連の話題を追加しました。DAY1の様子をまとめます。Security』を再考するAnti-Intelligence技術について考えてみるスポンサーリンクはてなブログをはじめよう!security_consultantさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。