ENDが活動再開と書いていたので、ああ聞きたいなあと思ってCDを探したけど見つからない。ZEROのジャケットがあったけど中身がない。レコードでもなんか持ってたと思うけど、探す手間の上にかけるのがめんどくさい。Amazon見てみたら、売ってんじゃん、と思ってぽちっとして数日待った。流れよわが涙、ってのは、このアルバムじゃなかったっけな。昔、シリコンバレーで車を運転してて、ラジオでJunkがかかってびっくりしたのを思い出した。カリフォルニアの空に、百鬼夜行の~とか、似合わないことおびただしい。活動再開は、湊もはいっているそうで、それなら、見てみたいなあ。Gonzalezに関して。けにあmemo手口や犯人について複数の報道が出ている。ETHeartlandなどの情報盗難がSQLインジェクションによるものだったと言うことを受けて、流通業界ではとうとうWebアプリケーションのセキュリティ脆弱性に重大な関心を寄せ始めた。TJX事件のときにワイアレスの問題が注意を集めたのに似ている。retailersから1億3千万件のクレジットおよびデビットカード情報を盗んだとされる。DSW等の小売業への同様な侵入に関して訴えられている。Heartland等のシステムへの侵入に使われたのはSQLインジェクションで、その後パケット監視ツールやその他のマルウェアを設置し、ネットワークを流れるカード情報を盗んだ。「SQLインジェクションがWebに対しては最も多い攻撃テクニックだ。攻撃試行数が多いだけでなく、成功数も最も多い。Petitti氏だが、この会社はHeartlandのセキュリティ検査を請け負っていると言うから面白い。企業が侵入経路を埋めるようになってきたのに伴ってSQLインジェクションが増加してきた。これがゴンザレスの攻撃計画にも影響を与え、当初はTJXに仕掛けたように脆弱なワイアレスAPを狙っていたものが、2007年8月頃からSQLインジェクション専門に切り替えていた。対策:コード・レビューでアプリケーションの脆弱性を見つける、Webアプリケーション・ファイアウォールを導入する、データベースを固めてWebアプリケーションからのアクセス内容を限定する。Forbes.comForbesでもSQLインジェクションが取り上げられるのはすごい時代だと言えるけど。OSI7層モデルのことを、ネットワークのソフトウェアスタックを保護するための良く知られた参照ガイド、と説明していて面白い。TIMEゴンザレス、28歳の写真ゴンザレスの経歴がまとめられている。Heartland等への侵入は2006年から2008年にかけて行われ、1億3千万件のカード情報を盗んだ。TJX関連では2008年5月と8月に訴えられた。4千万件のカード情報盗難。2003年にニュー・ジャージーで逮捕されており、盗難カード情報の交換WebサイトShadowcrew.com、会員4千人、で管理者として働いていた。逮捕後、シークレットサービスのエージェントとして働き、オペレーション・ファイアウォールと言う作戦で、Shadowcrewの会員を誘い出して2004年10月の28人逮捕につながった。この際、ニックネームCumbaJohnyを使用。ニックネームをSegvecと変えてマイアミに引越し、個人情報盗難リングを始めた。Tryin’と言う名前。ロシア人プログラマー2名と共謀し、企業ネットワークに侵入してマルウェアをインストールし、データを盗んだ。Systemsは顧客企業25万件のカード情報を処理していたが、起訴状に書かれた1億3千万件の大部分に相当する。同社はこの事件関連で既に1260万ドルの法的費用と罰金を支払い済み。ZDNet.comゴンザレスは17歳のときに高校の図書館からインド政府のサイトに侵入して改竄していた。FBIが捕まえたが、6ヶ月間はコンピューターを触るな、と言われただけだった。11年前だか1998年、インターネットが急拡大した頃。Emergeゴンザレス達は、注入するマルウェアを使う前に、ウィルス検知ソフト20種にかけて検知されないことを確かめていた。RedSealのコメント。「PCIは実際には、基本的なセキュリティ推奨項目のまずまず適正なセットだ。問題は、企業がPCI監査の通過をPCIに準拠したと勘違いすることだ。監査は本質的に網羅的ではない。実装において起こりうるエラーを全て見つけることはできない。重要なことは、監査はある時点で実施されるが、ITインフラは常時変化している。PCIの恩恵を受けたければ、準拠を包括的かつ継続的に維持する必要がある。Serverを狙った攻撃について警告し、対策を説明。ストアド・プロシージャーの扱いや、HSMなど。Securityのロバート・グラハム氏SQLインジェクションはしばしば、重要でないとして軽視されがち。管理層や開発者がSQLインジェクションなど理論的な攻撃に過ぎないと言い返されてしまう。その重大性について広く誤解と不信がある。これはSQLインジェクションの脆弱性がサイトごとに異なり、新たに発見される脆弱性に対して作られる典型的な攻撃コードとは違うからだろう。防衛側はパッチやファイアウォールの更新は行うが、SQLインジェクションのバグはほとんどチェックしていない。Securosisのリッチ・モーグル大規模な事故は回避可能だった。対策としては、データ漏洩防止ツールを導入して内部のカード情報を攻撃者より先に見つける、データベースとアプリケーションサーバーの守りを固める、外向きのフィルタリングに注力する。けにあmemo)の被害。14万人に500円の謝罪費用だけで7千万円。ONLINE(読売新聞)芸能プロダクション「アミューズ」(東京)のタレント関連グッズなどを扱う通販サイトで顧客情報が流出した問題で、同社は25日、顧客14万8680人に対し、謝罪として500円相当のクオカードを渡すと発表した。9月初旬から順次、発送する。畠中達郎社長の月額報酬を10%(2か月)カットする処分も明らかにした。同社は最終的にクレジットカード情報3万4988件、メールアドレス11万6911件の流出を確認したという。問い合わせは専用ダイヤル(0120・356・664)で午前10時~午後7時に受け付ける。(スーパー)のデータも盗んでいたとして起訴された。SQLインジェクションで、データを取りまくっていたと。Viewにできたコミュニティ。FrontPage仕事とは関係なく集まって、プロジェクトに参加し、コーディングの技を磨くらしい。DSS関連の国内団体まとめ。(各企業の並び順は、ABC順です。Consortium:略称JCDSC)」が4月21日、正式に発足した。DSSと日本クレジット協会で作る細則をいかに融合していくかが、発足したJCDSCの役割である第1回総会に参加した企業は以下の31社。NTTデータ・セキュリティ★(順不同。今度はWebサイトからの情報漏洩。不正アクセスはアスマートの運営を委託しているテイパーズのWebサーバに対して行われた。サイバーリスク研究所に調査を依頼し、不正アクセスの攻撃ルートの遮断やセキュリティ対策の確認、被害状況の確認を進めた。8月3~9日にかけて、クレジットカード情報とメールアドレスの流出が相次いで確認された。確認された流出規模はメールアドレスが11万6911件で、このうちクレジットカード情報が含まれるものが3万4097件。クレジットカード情報の内容はカード番号と有効期限のみだという。流出した可能性がある情報は最大でのべ14万8680人分となっており、2005年4月4日~2009年7月20日に同サイトで商品を購入した顧客が対象になる。同社は顧客専用の問い合わせ窓口を設置するとともに、情報流出の可能性がある顧客へ個別に連絡している。今回の事件に関連したクレジットカードの不正利用などによる金銭的被害は発生していないといい、流出が確認されたクレジットカード番号についてはクレジットカード会社と共有して、対応するとしている。11:27同社の通販サイトで平成17年4月4日から今年7月20日に商品を購入した14万8680人。流出を確認したのは11万6911件のメールアドレス情報。このうち、3万4097件はクレジットカード番号やカードの有効期限を含んでいた。10日午前までの調査では、流出を確認したクレジットカードの不正利用による金銭的被害は確認されていないという。こちらでは、不正利用があったとなっている。10:06カードの不正利用も起こっているもようで、不正利用は1千件単位に上る可能性もある。紙面では、SQLインジェクション、と書いてあったようだけど。具体的な情報は出さないようにしているのかな。PythonのライブラリCERT-FIから発表された脆弱性。XMLをパースするコードに脆弱性があり、DoSあるいはコード実行の危険がある。librariesXML要素で、予期しないバイト値とネスとされたカッコを含むデータをパースする際に、メモリ境界外へのアクセスや、無限ループが発生する。code.多分何百万種類ものアプリケーションが該当する。XMLがどこで使われているかの説明が興味深い。them,”XMLの実装は普遍的だ。使われていると想像もしないようなシステムやサービスに使われている。