通常,ソフトウェアに脆弱性がある場合,当該ソフトウェアの開発者に連絡が行き,開発者による脆弱性修正がなされるのが通例と考える方が多いかと思います。実際,情報セキュリティ早期警戒パートナーシップの枠組では,IPAが受付機関となり,JPCERT/CCが調整機関となって,開発者との連絡を取り,脆弱性情報を提供した上で,脆弱性修正および修正版の公開を推進します。脆弱性があるソフトウェア開発者との連絡がつかない場合には,このような営みを行うことが非常に困難になります。https://jvn.jp/reply/ソフトウェア開発者との連絡を取れない場合,脆弱性はどのように公開されるのかソフトウェア開発者との連絡を取れないような場合,一定の条件を満たすことの確認を経て,当該ソフトウェアの脆弱性は公開されます。以下は,そのような状況に置かれたソフトウェアの脆弱性の1つです。おけるディレクトリトラバーサルの脆弱性https://jvn.jp/jp/JVN87226910/一定の条件とは,以下の4つになります。して当該脆弱性は公開されます。JVNでも,図のような形で「連絡不能」というラベルを付けられた形で脆弱性が公開されます。基本的には,そのようなソフトウェアの利用を「中止する」というのが理想です。オープンソースなソフトウェアであり,自身で当該脆弱性を修正できるという場合には,修正の上利用すればいいという向きもありますが,バイナリのみ配布されており,そのような対処を取るのが困難なソフトウェアもあるため,基本は「利用を中止する」方向で考えるのが妥当といえます。攻撃の歴史を学ぼう~歴史は繰り返す筆者は20年近く,攻撃に使われる手法を見てきています。これは別に,筆者が攻撃を仕掛けようという意図を持っているわけではなく,実際に発生した攻撃に対処する必要がある,もしくは攻撃手法の調査を行い,予防に役立てる必要があるためです。昨今は,個別の組織を狙う攻撃が発生しているということも,多くみられるようになっていますが,そうでない(不特定多数向けの)攻撃は,手法に流行り廃りが見られます。2018年3月時点の状況~メールが攻撃に使われることが圧倒的に多い現時点でもドライブバイダウンロードが根絶されたとは言えませんが,正規サイトが改ざんされて仕掛けられるタイプのドライブバイダウンロードよりは,不審なURLにそのような仕掛けがなされていることのほうが圧倒的に多いといえます。そのようなURLへの誘導は,多くの場合はメールによってなされます。その他,BEC(ビジネスメール詐欺)も,その名の通り,メールによってなされます。日本でも,日本航空(JAL)がBECの被害に遭っています。777リース料や貨物委託料送金http://www.aviationwire.jp/archives/136855メールが攻撃に使われる理由ですが,攻撃のためのコストを低く抑えられるという点が大きいと,筆者は考えています。Kitという形で「使いやすくパッケージングされた」攻撃用ツールが配布されたこともあり,一時期猛威を振るった攻撃です。Kitは確認されていません。2016年を振り返る:相次ぐ主流エクスプロイトキットの活動停止,減少傾向は続くかhttp://blog.trendmicro.co.jp/archives/14468しかしこの兆候もあくまで「今はこう」というだけに過ぎないので,またいずれ流行ることを見越して対応を行えるようにしておくのがよいといえます。「歴史は繰り返す」と書きましたが,従前と類似の攻撃手法が間をおいて使われるだけではなく,ときに「まったく新しい」攻撃手法が公開されることがあります。MeltdownやSpectreは,CPUの投機実行をはじめとする機構に着目した脆弱性の攻略をするための手法でした。この攻撃は,サイドチャネル攻撃と呼ばれる攻撃手法の一つとされているのですが,このような脆弱性を利用可能な場合,攻撃側の攻撃バリエーションを拡大する可能性があります。実際,このような形の脆弱性が存在することを重要視してか,Microsoftは新たな報奨金プログラムを開始しています。投機的実行に関する報奨金プログラムの開始https://blogs.technet.microsoft.com/jpsecurity/2018/03/23/speculative-execution-bounty-launch/最後に~「あたりまえ」の行動が被害を最小限にとどめる本稿をもって,本連載はお休みとなりますが,最後に述べておきたいのは「あたりまえ」の行動が,攻撃によってもたらされる被害を最小化する,ということです。外から見える脆弱性を最小化する「外から見える脆弱性」とは,たとえばポートスキャンなどで見える「脆弱かもしれないサービスの提供ポート」を経由してトリガできる脆弱性のことを指します。一例として,WannaCryなどは,MS17-010の脆弱性を突いて,感染拡大を試みますし,この際にはTCP445番ポートを叩きにきます。このような(脆弱かもしれない)ポートを,ファイアウォールを用いて閉じておくなどするだけでも,だいぶ攻撃によってもたらされる被害を未然に防ぐ効果があります。Windowsクライアントを直接インターネットに接続しないのも,効果があるといえます。入った不正プログラムを早期検知できるようにするこれは,ウイルススキャナをはじめとする,セキュリティソフトウェアをきちんと使おうということを言っています。入れただけで更新してないのは論外ですが,きちんと更新しておけば,ありきたりの攻撃は検知・駆除してくれます。そもそも付け入るスキを与えないこれは,脆弱性修正が公開されたら速やかに適用する,ということを言っています。本連載の初回でも,脆弱性修正に関する話を述べていますが,システム的に付け入るスキを与えないためには脆弱性修正は非常に有効です。最後に筆者は,システムインフラストラクチャを支えるセキュリティを実現するための鍵の1つは,どこまで「できてあたりまえ」を徹底できるかにかかっていると考えてます。本連載は,そのときそのときの「あたりまえ」を,私なりに解釈して読者の皆さんにお伝えしようとしてきました。その時その時は結構悩みながら書き上げてきたものは,振り返るといずれも「あたりまえ」をきちんと体現できていると感じています。繰り返しになりますが,現在の「あたりまえ」は以下の3つに集約されると考えています。使うもの,公開するものを最小化するセキュリティソフトウェアを導入・有効化する脆弱性修正を行うこれらを実践するためには,日々の情報収集と中心となって対応する人の技量維持が欠かせません。「⁠あたりまえ」の実践を継続するのは非常に大変だとは思います。AIなどの新技術を取り入れて,開発や運用が高度化しても,高度化した開発や運用を支えるのは,最終的には人であり,適切な情報をもって,技量維持を行っている人がそれらの営みを支えることで,開発や運用をより高いレベルで実現可能となります。本連載で述べてきたことが,そのような営みのちょっとした助けになることが,筆者にとっての喜びです。心構え著者プロフィール宮本久仁男(みやもとくにお)某SIerに勤務する,どこにでもいる技術者。OSやネットワーク技術に興味を持ち,その延長でセキュリティ技術にも興味を持って,いろんな調査や研究を手がけてます。自分で思考を巡らしたり検証したり,というのももちろん好きで,あれこれやってます。他の人に迷惑はかけない範囲で......ですが。博士(情報学),技術士(情報工学)。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。