年の瀬ですなぁ...

年末のドタバタを過ぎて、ただいまほっとしている状況です。

まあ、同業の方々は、いまだに忙しくされている方も大勢いらっしゃるのでしょうけども。

今年は、嬉しいことも悲しいことも多くあって、例年より動きの激しい年でした。
８年ぶりに引っ越したのもイベントとしては大きなものでしたけど。

なんやかんやで、１年があっという間に過ぎ去り、もう来年を迎えようとしています。

本当に慌ただしく過ぎ去っていった2017年度でしたが、来年は平穏な１年になるといいなぁと思います。

引っ越し＆インターネット復活！時間かかりすぎ！＼(^o^)／

以前は横浜某所に住んでましたが、ちょこっと町田市某所に引っ越しました。

で、インターネットも引っ越しの日に工事予約をしていたのですが...。
配管が端子近くまで来ていないとか、いろいろ新居の欠陥もあって思い通りの場所（リビング）には配線できず、不動産屋にクレーム入れたり工事業者と調整したりとしてたら、昨日になってしまいました。
結局、いろいろやったけど、倉庫部屋と化している部屋にしか光が引けないという悲しい結果に。無念。（;´д`）

NEC製のポンコツ無線LAN「WHP-1900HP」で、リビングに飛ばすように。せっかくのG回線が台無しです。orz

色々文句も言いたいところですが、もう一か月も接続できない状態だったので諦めました。

そんなわけで、一応ネットも復活し、パッチ適用他も完了してようやく復活しました。

今後ともよろしくお願いいたします。m(_ _)m

AIを用いたセキュリティ対策とか

世間では去年あたりから碁や将棋で人間を完膚なきまでに倒したこともあって、ディープラーニングが注目されています。

多層のニューラルネットワークですね。

もちろん、セキュリティ製品もAIを使ったものが出始めてて、例えば国内では去年位から話題になっているCylanceというAIを用いたマルウェア対策製品があります。

ちょっと個人では買えない位高いのが難点（1ライセンスはそうでもないけど、最低購入ライセンス数が100くらいある）だったのですが、ついに最近VirusTotalでCylanceが利用されるようになりました。
本人たち曰く、検知率99%！らしいです。

cylanceの検知種別には、unsafe、abnormal、PUPなどがあり、他のシグネチャベースのウイルス対策と違って、何という名前のウイルスかまでは分からないのですが、知ってれば有効活用できるかなと。
cloud strikeも機械学習の対策で、結構参考になります。

個人的に、VirusTotalでは、まずcylanceとcloud strikeを見て、後の旧タイプのウイルス対策も参考に判断してます。

まあ、誤検知過検知のある代物なので、最終的には動的分析などやらないと分からないものですけど、参考までに。

眠い（;´д`）Zzz

下の子が生まれて、今日でちょうど50日。

基本、よく寝てくれる子なのですが、たまにそうでないときもあります。

母乳＆ミルクは飲んだばかり、おむつOKで、抱っこしてても泣くという...。
まあ、もっと大変な子はいくらでもいるわけですし、これも修行ですね...。（つд`）

mod_security(WAF)

 久々にWAFをチューニングしてみました。

Apacheの攻撃の防御＆ログ解析にはもってこいの、いいツールです。（´∀`）

保護モードの解除には細心の注意を！

メールやインターネットからOfficeファイルを入手した場合、保護モードというものが表示されます。

ググってみると、保護モードをおせっかいだと無効化する手順まで記載されていますが、とんでもない！

保護モードにより、マクロなどが動かないほか、フィールドコード等の動きも制限され、そのほか攻撃が成立しない場合も多いのです。
もちろん100%攻撃を防げるわけではないのですが、攻撃が失敗する事例も報告されています。

ランサムウェアなどの感染源となるダウンローダやドロッパーの類は単純なOfficeのマクロを用いたものも少なくなく、そういった攻撃から身を守る上でもマクロの警告だけでなく、保護モードは重要です。

なんとなく、ホイホイと機械的に解除してしまいそうになりますが、知っている相手・有名なサイトだとしても、偽装や改ざんが珍しくない昨今、敢えて編集しなければならないもの以外、保護モードの解除は控えておいたほうが賢明といえます。

そういう意味で、公の機関が、インターネットに公開する提出資料のテンプレの一部に、未だにOffice文書を使っていることについては心配してしまいます。
改ざんを防止できる署名付きPDFなどにしてほしいですね。

StartSSLで証明書を取得

Qiitaの記事を見て、StartSSLで本サーバの証明書を取得してみました。

ついに自前のオレオレ証明書から卒業です。（´∀`）

ま～もっとも、FirefoxとかからはNG食らっちゃうようですが（予定？）。

それでも、SSLテストでT判定食らわなくて済むようになりました。

分かりやすい記事を書いてくださった著者様に大感謝です。m(_ _)m

2017/4/14追記：

と思ったら、早速StartSSLがrevokeされてしまったようです。(´･ω･`)
投稿すらままならないので、元に戻しました。(´･ω･`)

セキュリティ人材不足？

この業界にいると、タイトルのような記事やセミナー案内が飛び交うのをよく目にしてしまいます。

https://japan.zdnet.com/article/35099210/

でもね、経営者の皆さん、本当にセキュリティに金かけようと思ってます？

この株価と一部の大企業様だけ景気が良くて実経済はガタガタのご時世、一部を除いてみんな本業をカツカツでやられていて、正直利益に直結しないセキュリティ人材を抱えようなんて思ってないですよね？

そもそも、インフラ整備などの専門外の仕事は、普通の企業様ではアウトソースするわけですし、セキュリティだって、そうすりゃえ～やんかと。

この記事の元ネタは、セキュリティ教育ビジネスを大層やっておられる企業様なので、ちょっと穿った目で見ちゃう自分がいます。

そもそもセキュリティ人材って何よ？ということもあいまいです。
「社内の情報セキュリティの管理や社内システムのセキュリティ対策」とか言ってるけど、前者は情報の管理者（＝社長とそこから権限分掌した人）のお仕事だし、後者はコンサルとベンダいれるでしょ、と。

もっとも、コンサル入れても、「アンタのとこは、結局どうしたいのよ？」と聞かれて黙ってしまうことも多いのではと思います。

世の中のベストプラクティスがあなたの会社に合うとは限らないというか、もっとセキュリティって泥臭い世界であって、自分の会社がどうあるべきかを考えて、それをどう投資と妥協（許容）しながら実現するかだと思うのです。
＃妥協というとびっくりされるかもですが、現実「経営＞＞＞＞＞セキュリティ」なのですから、当然妥協することもあります。

少なくとも、どうあるべきかを考えることのできる経営者こそ必要なのかと思います。
細かい技術や実現方法はコンサルが導いてくれますが、どうあるべきかを考えるのは社長にしかできないことですので。

そういう人を補佐する能力のある人を抱えるのは悪いことじゃないですが、難しいでしょうな～と思います。社長補佐なんて、そうそう雇えないですよね？

じゃあ、ベンダ側は？というと、こっちはこっちで不足気味です。

でも、セキュリティ技術者は、今の技術、例えばファイアウォールだとか不正侵入検知だとか資産管理（ユーザ監視システムって言ったほうが実態に合うかも）とか、そういうものを扱えるだけの人じゃダメなんです。
じゃあ、どんな人が必要か？ということを明確に答えてくれているのが、Yahoo! Japanの楠さん。

http://di-council.sakura.ne.jp/2016/kusunoki.pdf

これ読めばわかりますが、結局冒頭のニュース記事が求めている（？）ような、「細かい即物的なセキュリティ技術を知っている人が必要なんだっけ？」と再考させられます。

もっとも、楠さんが仰るような、こんなスーパーマンはそうそう居るもんじゃないですので、世の中的に不足気味なのもしょうがないよね？と思います。

近況

最近は寒さも和らぎ、日中は過ごしやすい日々が続いていますね。

個人的には、2017年度に入り公私ともにいろいろあって、慌ただしい日々を過ごしています。

皆様はいかがお過ごしでしょうか？＞特にマスタオさん、元気？

セキュリティの世界では、先日再び発見されたApache Struts2の脆弱性が尾を引いており、被害は未だ続いているようです。
パッチ公開前の脆弱性を防ぐ手立てはほぼないので、対処が難しいところではありますが。（今回の脆弱性は3/9にパッチリリース済み）
あるいはWAFで想定入力以外すべてフィルタするような設計にすればとも思いますが、現実的ではないでしょうし...。
そもそも運用系サーバのパッチ適用は、動作確認も含め1日2日でできない難しさがあります。

防御も大事ですが、被害を想定し傷を浅くする方策（DBに記録する情報は暗号化する、被害に早く気付く監視、インシデントレスポンスの迅速化etc.etc...）が必要なのでしょうね。

エイプリルフール

早いもので、もう4月1日ですね。

今年もやってきました、エイプリルフール。

去年は、スバルのネタに笑わせていただきましたが、今年はどうでしょうか。
日産は、さっそく変な椅子のCM出してましたけど。。。

セキュリティの世界では、相変わらず殺伐としてそうな感じですが...。（;´д`）

年度末ですな～

3月の年度末になって、何だか世の中慌ただしくなってきました。

3月決算の会社が多い社会人にとって、ある意味最も忙しい時期かもしれませんね。

最近、CentOS7.3上でqemu-kvmとoVirtを用いた仮想基盤構築にハマっています。悪い意味で。
仕事用の設備造りで、こやつらを使った仮想基盤を用意していたのですが、一癖二癖あって厄介です。

仮想基盤本体のqemu-kvmはともかく、vCenter ServerみたいなoVirtは新しいバージョンだとIPアドレスでアクセスできないとか（DNS必須？）めんどくさいことこの上なしでした。

なーんか動いた！と思ったら、SPICEのvirviewerがセットアップできてなかった！とかいろいろです。

素直にVMware HypervisorとVSphere clientで組んでおけばよかったかなぁ？（;´д`）

まあ、要は慣れ！ってことで、もうちょっと頑張ってみましょう。

CTFで撃沈

昨年も参加した会社のCTF大会ですが、今年も参加しました。

結果、９０位。＿|￣|○iii

前回29位だったので、劇的ランクダウン。（つд`）

ま～、業務が重なって忙しすぎて、やる時間がほとんどとれなかったのが敗因ですね。（;´д`）
言い訳か...。

あまり技術によらないところですと、こんな問題ができます。
※実際出た問題は開示不可とのことで、ネットで拾ってきた同種の問題です。

Szylrow lfw Xbzk hc z lozahlhqjzb qrlaqqo cyqol kwjwozbbm ybzmwa tm sfhbaowj, pfwow lpq lwzuc wzsf fzgw z xbzk (qo qlfwo uzoiwo) zja lfw qtvwslhgw hc lq szylrow lfw qlfwo lwzu'c xbzk, bqszlwa zl lfw lwzu'c "tzcw," zja tohjk hl czxwbm tzsi lq lfwho qpj tzcw. Wjwum ybzmwoc szj tw "lzkkwa" tm ybzmwoc hj lfwho fquw lwoohlqom; lfwcw ybzmwoc zow lfwj, awywjahjk qj lfw zkowwa orbwc, qrl qx lfw kzuw, uwutwoc qx lfw qyyqchlw lwzu, qo "hj vzhb". (Qjw gzohzlhqj qx lfw kzuw hjsbrawc z "vzhb" zowz hj zaahlhqj lq lfw xbzk qj wzsf lwzu'c lwoohlqom.)
Sqjkozlrbzlhqj!
Lfw zjcpwo hc CrtclhlrlhqjShyfwoHcWzcm

これの答えを出してみてくださいませ。
※ググったら簡単に出てくるので、なるべくググらずに。

忙しすぎる件

なんだか最近、忙しすぎてBlogを放置していたら、1か月以上放置プレイになっちゃいました。

最近、MTもバージョンアップしてて、うっかり見過ごすところでした。
まあ、セキュリティホールというよりはマイナーバージョンアップって感じのようですけどね。

明日も会社、頑張ります。（;´д`）

新年あけましておめでとうございます！

新年あけましておめでとうございます。
今年も宜しくお願い致します。

2017年、いい年になるといいですね。（´∀`）