セキュリティ
概要 ドコモ口座の件より、eKYCという言葉が話題になっています。 この記事ではeKYCについて調べたことをまとめます。 // eKYCとは eKYCとは(electronic Know Your Customer)の略で、電子的な（非対面、オンラインでの）本人確認を行うための機能です。 本人…
概要 脆弱性の深刻度を表すCVSSの読み方について整理しました。 // CVSSとは CVSS(Common Vulnerability Scoring System)は、脆弱性の深刻度を評価するための指標で、FIRST(Forum of Incident Response and Security Teams)により、適用推進や仕様改善が行わ…
概要 最近みたニュースで「オリジン」に触れたものがありました。「オリジン」という言葉について、理解しきれていなかったので整理してみました。 // オリジンとは IPAのサイトでは、以下のような解説がされていました。 3.2. 源泉（origin） English原則と…
概要 個人的に勉強中のCompTIA PenTest+に関連して、Kali Linuxの検証環境（Kali Linuxと攻撃対象のmetasploitable2）をHyper-V上に構築しました。構築した環境のイメージは以下の通りです。 構築した環境イメージ ※2020/11/06追記 上記に追加して、Hyper-V…
Windowsの自動実行機能（Autorun）について Windowsには自動実行の機能があります。Windowsの自動実行とは、CD-ROM、DVD、USBメモリ、外付けハードディスク、あるいはネットワークドライブなどをパソコンに挿入／接続したり、そのアイコンをダブルクリックし…
2020年8月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/08/01 7月に発生したTwitterの大規模なアカウント侵害事件、米国で3人が起訴される 2020/08/03 地域銀行の8割がクラウド利用 勘定系などレガシーシステムが壁 2020/08/03 「Emotetウ…
MITERとは MITREは、米国の連邦政府が資金を提供する非営利組織であり、国の安全性に関する事項に取り組んでいます。サイバーセキュリティの分野では、NISTの連邦研究開発センター（Federally funded research and development center：FFRDC）の運営を行い…
SDPの概要 Software Defined Perimeterは、ネットワークを経由した様々な脅威からインフラや情報を守るための機能です。 最近ではクラウドサービス（社外のサービス）等の活用が増え、従来のファイアウォール等を使った境界型セキュリティでは守り切れないも…
概要 コロナの影響もあり最近はリモートワークがに関する話題が多くなっています。それに伴い、Web会議のツールの利用も増えています。Web会議ツールは業務以外にもリモート飲みなどにも使われています。そういった中で、独立行政法人情報処理推進機構は7月1…
2020年7月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/07/01 公取委が目を付けた決済インフラ「CAFIS」の正体 2020/07/01 「NISTプライバシーフレームワーク」の翻訳を無料で提供 2020/07/01 5月のDDoS攻撃、件数は減少するも攻撃規模は…
概要 フィッシング対策協議会では、フィッシング詐欺の被害を防ぐためにWebサービス事業者に向けた対策をまとめたガイドラインを公開しています。 www.antiphishing.jp 2020年度版では、最近の脅威動向を踏まえ対策要件を見直し、また、優先度の設定が見直さ…
背景 色々なIT技術を使ったサービスが次々に登場し、個人情報を含む、様々な情報が活用されています。個人情報保護法ではそういった社会情勢を踏まえ、平成27年（2015年）より「いわゆる3年ごとの見直し」（附則第12条3項）を設けました。 個人情報保護法は…
2020年6月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/06/01 外出自粛によるECサイト利用増でフィッシングも増（BBSS） 2020/06/01 個人情報流出の５４歳市職員、人事に不満か…懲戒免職 2020/06/01 Wi-Fi利用者や提供者向けセキュガイド…
Guidelines for Securing Wireless Local Area Networks(WLANs) NIST Special Publication 800-153 発行年月日：2012年2月 https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-153.pdf // 概要 このガイドラインは、NISTが企業の無線LA…
背景など 最近ではクラウドの利用が進んでおり、様々な企業がクラウド上にシステムを構築し、データを格納しています。 ascii.jp クラウドは常に新しい機能が開発されており、クラウドに対する理解が浅いままシステムを構築するとセキュリティの観点からは脆…
政府情報システムにおけるクラウドサービスの利用に係る基本方針 発行年月日：2018年6月7日 https://cio.go.jp/sites/default/files/uploads/documents/cloud_%20policy.pdf // 概要 内閣官房IT総合戦略室は、標準ガイドライン付属文書に「政府情報システム…
先日、Sonicwallの製品評価に関する記事を読みました。 blog.sonicwall.com 上記の記事に出てきた「NetSecOpen」について調べてみました。 // NetSecOpenとは NetSecOPENは、ネットワークセキュリティベンダー等が参加している、会員制の非営利団体で、ネッ…
働き方改革のためのテレワーク導入モデル 発行年月日：2019年6月発行者：総務省 https://www.soumu.go.jp/main_content/000616262.pdf // 概要と目的 「働き方改革のためのテレワーク導入モデル」は、テレワーク導入のためのノウハウやプラクティスをまとめ…
2020年5月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/05/01 盗まれたZoomのログイン情報を売買する闇市場が活況 2020/05/01 重要インフラ分野の企業に侵害リスク調査を無償提供、マクニカネットワークス 2020/05/01 三井住友銀 7万件の…
概要 Hyper-v上にKali Linuxをインストールしました。今回記事にしたのは、Hyper-vの通常の仮想マシン作成手順でインストールした際に、Kali Linuxのインストールの途中「パッケージの選択とインストール」でエラーが発生しました。そこから試行錯誤しながら…
概要 Google Cloud Platfom上でWowhoneypotを構築し、取得したログをStackdriverで閲覧できるようにします。また、ログをCloudStorageにエクスポートします。 // 構築 VMインスタンス作成 「Compute Engine」－「VMインスタンス」より、インスタンスを作成し…
SASEとは SASE（Secure Access Service Edge）はガートナー社が提唱しているセキュリティアーキテクチャで、昨今登場しているネットワークセキュリティソリューション（CASBやSWG等複数）をまとめて一つのソリューションとして提供するものを指しています。 …
セキュリティで関連してくる法律についてまとめてみました。 // 不正アクセス禁止法 「不正アクセス禁止法」は、正式名称「不正アクセス行為の禁止等に関する法律」であり、2000年に施行されたインターネット上での不正なアクセスに関する法律のことです。 …
2020年4月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/04/01 Marriott系列ホテル、520万人の顧客情報が流出の可能性 2020/04/02 ZoomのMac版、インストール時にマルウェア的な挙動 セキュリティ専門家が指摘 2020/04/02 日本国内のサイバ…
コンピュータセキュリティインシデント対応ガイド(NIST SP800 61)を読んでみました。ガイドラインの概要をまとめます。 コンピュータセキュリティインシデント対応ガイド(NIST SP800 61)https://www.ipa.go.jp/files/000025341.pdf // 概要 このガイドライン…
2020年3月に気になったニュースをまとめます。 // 記事の投稿日 概要 2020/03/01 不正アクセスし人事評価を閲覧 磐田市主任を減給 ／静岡 2020/03/02 カードショップBIG-WEB、平文パスワード含む会員情報流出（ホビーズファクトリー） 2020/03/02 ロリポップ…
自分の勉強のために、CISが公開している資料を読んでみました。 www.cisecurity.org // CISとは CIS(Center for Internet Security)は、セキュリティ推進のためのアメリカの非営利団体で、セキュリティの基準等を公開しています。 www.jiten.com CISベンチマ…
ゼロトラストについてNISTのガイドライン（ドラフト）が公開されていました。 Draft NIST Special Publication 800-207(Zero Trust Architecture) https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207-draft.pdf 従来のセキュリティモデ…
概要 NIST SP800-40は、脆弱性とパッチの管理についてのガイドラインです。日本語版について、IPAでは「NIST SP 800-40 Version 2.0（パッチおよび脆弱性管理プログラムの策定）」を公開しており、ゾーホージャパン株式会社では「Revision 3（エンタープライ…
私物端末の業務利用におけるセキュリティ要件の考え方 https://www.kantei.go.jp/jp/singi/it2/cio/hosakan/wg_report/byod.pdf // 概要 この資料では、BYOD(Bring Your Own Device=私物端末を業務に利用すること)におけるセキュリティの考え方を解説してい…
