マイナビニュース | 企業IT | セキュリティ | ヘッドライン(2007)(1ページ目)

ヘッドライン

2007年12月18日(火)

日立、東京理科大、NTT-Com、データの選択的開示暗号化/保存技術などを開発

日立製作所、東京理科大学、およびNTTコミュニケーションズは17日、情報通信研究機構からの委託を受け、多様、かつ大量のデータの安全な流通/保存技術を共同開発したと発表した。

[22:51 12/18]

2007年12月17日(月)

サン、COBITによる内部統制環境整備支援「COBITコンサルティングサービス」

サン・マイクロシステムズは17日、IT内部統制のフレームワークCOBIT(Control Objectives for Information and related Technology)を利用して企業の内部統制環境の整備を支援する「COBITコンサルティングサービス」の販売を開始した。価格は1サイト1回のアセスメントで300万円から。

[19:36 12/17]

2007年12月12日(水)

経営に生かすITガバナンス 第1回 間近に迫ったIT統制 - 今からどのように間に合わせるか

内部統制の基本的要素としての"ITへの対応"(IT統制)は、いわゆるJ-SOX法によって一躍注目を浴びることになった。しかし、J-SOX対応のIT統制では、財務報告に偏った内部統制になりがちで、企業の付加価値向上には直接つながりにくいのが実情だ。この連載では、中央大学大学院理工学研究科客員教授である筆者が、IT統制を企業価値の向上、つまり"攻めのIT統制"にするための、さまざまな方法を検討していく。

[19:06 12/12]

ITセキュリティのアライ出し 第25回 iPhoneの解析が進行中 - "Black Hat Japan 2007"見聞録

この10月に開催されたセキュリティカンファレンス「Black Hat Japan 2007」、国際色豊かなこのイベントで、繰り返し登場した話題が"iPhoneのハッキング"であった。今回は現在わかっているiPhoneの脆弱性について、すこし触れてみたい。

[17:17 12/12]

2007年最後のMS月例セキュリティパッチ - DirectXの脆弱性など「緊急」3件

マイクロソフトは、毎月提供している月例のセキュリティパッチの12月分を公開した。7件のパッチが提供されており、問題の緊急度を示す最大深刻度は、最も高い「緊急」が3件、2番目に高い「重要」が4件となっている。緊急の事態が起きない限りは今年最後のパッチ提供となる。

[16:35 12/12]

2007年12月06日(木)

増大するサイバー諜報活動の脅威 - McAfee調査

マカフィーは6日、米McAfeeによるサイバーセキュリティに関する年次報告書「McAfee Virtual Criminology Report Vol.3」の日本語版を発表した。同報告書によれば、現在120カ国がWebによる諜報活動を行っており、国際的なサイバー諜報活動の増加が2008年最大のセキュリティ脅威となりうるという。

[18:59 12/6]

2007年12月04日(火)

MicrosoftがWindows Vista SP1で海賊版対策強化 - 機能制限モードは停止へ

米Microsoftは4日(現地時間)、間もなくリリースが予定されるWindows Vista SP1ならびにWindows Server 2008において、OSライセンスの不正利用を行うクラッキングの対策強化を発表した。同社によれば、現在市場で主流のクラッキング手法の2つを完全に封じ、クラック版Windowsを使い続けるユーザーには何度も警告を促す。ここが非アクティベーション時に機能制限がかかる従来バージョンとの大きな違いだ。

[20:40 12/4]

Yahoo!メールが「なりすまし」対策強化 - セーフティーアドレス無料開放も

ヤフーは3日、同社の運営するメールサービス「Yahoo!メール」において、送信元アドレスを偽装した「なりすましメール」を受信拒否できる「なりすましメール拒否設定」機能を追加した。また、Yahoo!メールユーザーに「セーフティーアドレス」を無償提供し、迷惑メール対策を強化した。

[01:21 12/4]

2007年12月03日(月)

企業内情報をネットワーク層で保護するWebsenseのテクノロジーとは

Websenseの「Websense Content Protection Suite v6.1」(CPS)は、企業内の重要情報保護に重点を置いたセキュリティ・ソリューションだ。情報漏洩経路に適切な対応が求められる現状とCPSの効果について、担当者に話を伺った。

[09:00 12/3]

「攻撃のターゲットはWeb」 - 2007年のセキュリティトレンド

シマンテックは、2007年におけるインターネットセキュリティに関するトレンドトップ10を発表した。その中でも特にシマンテックでは、相次ぐ情報漏えい、プロ用の攻撃キット、ボット、Webプラグインの脆弱性といった問題を重視。SymantecのSecurity Response Operations部門のディレクターKevin Hogan氏は、「攻撃のターゲットはWebになっている」と指摘する。

[08:00 12/3]

2007年12月01日(土)

FreeBSD 2件のセキュリティ報告、gtarファイル上書きと乱数脆弱性

2件のFreeBSDセキュリティ報告が発表された。FreeBSD 5系で採用しているgtar(1)が、特定のパスを含んでいるファイルを展開する際にファイル上書きの問題があることが発覚したほか、random(4)やurandom(4)を経由した乱数値が推測させる可能性があることがわかった。緊急性の高い問題ではないが早めの対応を実施されたい。

[01:44 12/1]

2007年11月29日(木)

DSSH最新版登場、Leopardをサポートプラットフォームに追加

DIGMIAは27日(スロバキア時間)、Digmia Enterprise SSHの最新版となるDigmia Enterprise SSH 1.0zを公開した。DSSHはJavaで開発されたOpenSSHクライアント実装。SSH over SSHトンネリング機能、Groovyスクリプト機能のサポート、パスワードの保存、インタラクティブログインの自動化機能などの特徴がある。1.0zではLeopardサポートが追加された。

[19:35 11/29]

2007年11月28日(水)

「ソフトウェア資産管理基準Ver.2.0」が公表、内部統制のための指針を刷新

ITベンダーや監査法人など16の企業・団体で構成するソフトウェア資産管理コンソーシアム(SAMCon)は27日、ソフトウェア資産を管理するための実務的な基準となる「ソフトウェア資産管理基準Ver.2.0」を公表した。2002年にVer.1.0を発表して以来、5年ぶりの改訂となる。国際標準規格であるISO/IEC 19770-1に準拠した形で、管理基準に2つの新しい枠組みを設け、内部統制のための管理・運用の指針を大幅に刷新している。

[14:00 11/28]

セキュリティリスクはOSからアプリ、サーバからクライアントへ - 米SANS報告

米SANS Instituteは11月27日(現地時間)、2007年の最新セキュリティ動向と対策をまとめた「SANS Top-20 2007 Security Risks」を発表した。全体の傾向としてOSそのものの脆弱性を利用したウイルス/ワーム等の攻撃が減っている一方で、その上で動作するアプリケーション、例えばアンチウイルスソフトやWebブラウザ、メディアプレイヤーなどの脆弱性を利用した攻撃が増えているという。

[13:49 11/28]

2007年11月26日(月)

内部統制を基盤に企業価値向上を - 産学共同で「After J-SOX研究会」設立

内部統制構築の第一線で活躍する個人メンバー約70名による非営利組織「After J-SOX研究会」が26日発足、伊藤忠テクノソリューションズ本社で第1回研究会を開いた。企業の連結経営などに詳しい立命館大学大学院テクノロジー・マネジメント研究科の田尾啓一教授が座長となり、J-SOX対応で構築した内部統制の基盤を、連結経営やERM(エンタープライズ・リスク・マネジメント)に進化させるための研究や普及活動を行う。

[17:43 11/26]

2007年11月17日(土)

バーチャルマシンのハイジャックの可能性 - Black Hat Japan 2007

「Black Hat Japan 2007 Briefings & Training」(開催期間:10月23日~26日)において行われた、Nguyen Anh Quynh氏の講演「バーチャルマシンのハイジャックの可能性」を紹介する。同氏はデモを交えながら攻撃者がホストバーチャルマシン(ホストOS)の操作権限を得た場合に「ゲストOSを直接操作することなく、あらゆる攻撃が行える可能性があること」をVMのハイジャックの可能性として説明した。

[16:55 11/17]

感染能力を増したハイブリッドWebワーム - Black Hat Japan 2007

「Black Hat Japan 2007 Briefings & Training」(開催期間:10月23日~26日)においてHewlett PackardのBilly Hoffman氏は、サーバとクライアントの両方を悪用して感染を拡大する"ハイブリッドWebワーム"についての講演を行った。同氏によると、サーバとクライアントPCの両方を利用することで、旧来のWebワーム以上の感染能力を持つのだという。

[16:54 11/17]

脆弱性を発見するFuzzingの欠点を補う「Sulley」 - Black Hat Japan 2007

「Black Hat Japan 2007 Briefings & Training」(開催期間:10月23日~26日)において「ファジングは最悪だ!(あなたの思うようにファジングするには)」というタイトルで講演を行ったのはPedram Amini氏ならびにAaron Portnoy氏。両氏はTippingPointに勤務しており、攻撃の防御対策を考えることが主な業務内容。本講演では、脆弱性を発見する手法である「Fuzzing」を実現するためのツールについて使用者の視点で説明された。

[16:51 11/17]

2007年11月14日(水)

Windowsに深刻な脆弱性、PDFウイルスに関連するパッチが公開

マイクロソフトは、月例のセキュリティ情報の11月分を公開し、2つのセキュリティパッチの提供を開始した。Windows OSとサーバ製品にそれぞれ1つ、計2つの脆弱性が存在し、特にすでに悪用コードが出回っているWindowsの脆弱性に関しては早急にパッチを適用することが推奨されている。

[16:27 11/14]

2007年11月10日(土)

進化を止めないマルウェア - 増殖→変異を繰り返すボットの現状

「ボットのコードは別のボットに流用されており、また、ルートキットにも使用されている」- SABRE SecurityのHalver Frake氏は、「マルウェアの自動分類システムを開発した後に、最も驚いたことは何か?」という質問にこう答えた。

[00:14 11/10]

2007年11月08日(木)

データコピー/印刷/ネットワーク利用を防ぐ指紋認証セキュアUSBが登場

サイエンスパークは、ソニーの指紋認証セキュアUSBメモリ「PUPPY」に、同社の情報漏えい防止技術を搭載した新製品「NonCopy PUPPY」を開発したことを発表した。価格は1万9,800円(USBメモリ同梱)。11月より販売を開始する。

[20:22 11/8]

2007年11月05日(月)

OpenBSD 4.2登場 - PFで性能向上、ステートフルで2倍以上の高速化

The OpenBSD project, Theo de Raadt氏は1日(協定世界時)、OpenBSDの最新リリース版となる「OpenBSD 4.2」を発表した。CD-ROMベースのリリースでは22回目、FTP配布ベースでは23回目のリリースとなる。デフォルトインストールで10年間以上、たった2つのリモーホールが存在しただけだったと安全性の高さがアピールされている。

[21:42 11/5]

2007年10月29日(月)

暗号通信の利用状況を毎月報告 - The Netcraft Secure Server Survey

Netcraftは26日(英国時間)、インターネットにおける暗号化通信の利用状況を調査した報告書「The Netcraft Secure Server Survey」の説明を公開した。「The Netcraft Secure Server Survey」は毎月のSSLなどの暗号化通信の利用状況や解析結果をまとめたもの。暗号化通信に関する状況や市場シェアの調査報告が掲載されている。

[20:58 10/29]

2007年10月25日(木)

OpenSEA Alliance、OSSのサプリカント「Xsupplicant」のテスト参加者を募集

The OpenSEA Allianceは23日(米国時間)、オープンソースのIEE802.1Xクライアント「Xsupplicant」のテストへの参加受付を開始した。今回実施されるテストは、Xsupplicantの実用性を検証することが目的。対応プラットフォームはLinuxとMac OS X、Windowsの3種。

[19:44 10/25]

2007年10月24日(水)

ウェブセンス、情報漏洩対策「Content Protection Suite v6.1」を国内投入

ウェブセンス・ジャパンは23日、情報漏洩対策ソリューションの新製品「Websense Content Protection Suite v6.1」の国内販売を開始した。日本語のコンテンツに対応したほか、日本固有の法令(個人情報保護法)に対応するガイドラインを加味したテンプレートを搭載するなど、日本市場での需要に対応した。

[20:23 10/24]

サイバー攻撃は金銭目的へ、企業の課題は部門間連携 - MSセキュリティ調査

米Microsoftは23日(現地時間)、最新のセキュリティ動向についてまとめた調査報告「Microsoft Study on Data Protection and Role Collaboration Within Organizations」を発表した。これは、現在英国ロンドンで開催されている「RSA Conference 2007 Europe」に合わせて、3600以上の企業や組織のセキュリティ担当エグゼクティブを対象としたアンケートをまとめたもの。その中では、個人情報獲得を狙ったフィッシングサイトやダウンローダと呼ばれる技術の拡大のほか、個人情報の取り扱いを巡って企業組織内部での見解の相違に苦労している様子が浮かび上がってくる。

[19:53 10/24]

2007年10月19日(金)

まずは外資企業が標的か - 13年越しで成立した中国・独禁法

第十期全人代常務委員会第29回会議で、中国初の独占禁止法「反独占法(草案) 」が可決された。その最初の標的になりそうなのが、中国でシェアを伸ばしてきた多国籍企業ではないかと指摘されている。独占状態への規制が"待ったなし"となった、中国版独占禁止法事情に迫る。

[18:01 10/19]

2007年10月18日(木)

「LimeWire」にも情報漏洩の危険 - ネットエージェントが対策サービスを提供

ネットエージェントは、同社が提供するP2P情報漏洩対策サービスが、P2Pアプリケーション「LimeWire」「Cabos」に対応したと発表した。両ツールは「Winny」や「Share」と同様にファイル交換に利用されており、今後暴露ウイルスによる情報漏洩の原因になる可能性がある。

[23:49 10/18]

2007年10月16日(火)

かわいい子猫に油断した! - 不審なグリーティングカードでワームに感染

トレンドマイクロは16日、グリーティングカード「eCards」を装ったワームを確認したと発表した。メールのリンクをクリックすると、子猫の写真を掲載したWebサイトが表示され、ワームに分類されるトロイの木馬型プログラム「WORM_NUWAR.ARC」(別名ヌウォー)に感染するというもの。同社は、不審なグリーティングカードのリンクをクリックしないよう警告している。

[23:13 10/16]

Winny流出ファイルも永遠の命とは限らない - ネットエージェント調査結果

ネットワークセキュリティ調査会社のネットエージェントは16日、「Winny」ネットワーク上の流出ファイルに関する調査結果を発表した。Winnyを巡っては、暴露ウイルスに感染したPCから個人情報などが流出する事件が相次いでいるが、中にはWinnyネットワーク上から完全に消滅した流出ファイルもあることが確認できたという。

[20:07 10/16]

2007年10月09日(火)

McAfee、SafeBootを3億5,000万ドルで買収へ - 情報漏えい対策事業を強化

米McAfeeは8日(現地時間)、米SafeBootの買収を正式に発表した。買収金額は3億5,000万USドルで、米当局による承認を経た後、2007年第4四半期(10~12月期)中に買収手続きを完了する。

[21:57 10/9]

2007年10月04日(木)

投稿時に入力する歪んだ文字列の画像を生成 - 「kaptcha 2.0」がリリース

kaptchaの最新版となる「kaptcha 2.0」が2日(米国時間)にリリースされた。kaptchaはJavaで開発されたキャプチャアプリケーションである。類似アプリケーションにはsimplecaptchaやjCaptchaがある。simplecaptchaは簡単に扱えるがすでにメンテナンスがされておらず、jCaptchaも優れたプロダクトだがもっと簡単に扱えるキャプチャアプリケーションが必要だということがkaptchaの開発動機とされている。

[22:52 10/4]

2007年10月03日(水)

海賊版を通報すれば100万ドル! 効果絶大でキャンペーン延長に

米国コンピュータソフトウェア著作権保護団体のBusiness Software Alliance(BSA)は1日(現地時間)、組織的な違法コピーソフト利用などの海賊行為摘発を促進するキャンペーン「BSA Rewards Program」の実施期間を、今年末まで延長すると発表した。

[19:24 10/3]

システム管理ツール「Webmin」にセキュリティホール - IPAが注意喚起

独立行政法人情報処理推進機構(IPA)セキュリティセンターは3日、Webブラウザ上で実行できる環境設定ツール「Webmin」のセキュリティホールへの注意喚起を行った。深刻度は「III(危険)」に設定されている。

[18:59 10/3]

フリーな侵入検知システム「Snort 2.8.0」がリリース - IPv6をサポート

Snortプロジェクトは2日(米国時間)、フリーな侵入検知システムの最新版「Snort 2.8.0」をリリースした。UNIX系OSでコンパイル可能なソースコードのほか、WindowsとLinux(Fedora Core 7/Red Hat Enterprise Linux 5)に対応したバイナリパッケージも配布される。

[10:09 10/3]

2007年10月02日(火)

ベリングポイント、J-SOX対応の"経営者のための評価支援サービス"提供開始

ベリングポイントは2日、金融商品取引法に基づく内部統制報告制度(J-SOX法)に対応するための新サービスとして、「経営者のための評価支援サービス」を開始することを発表した。

[22:39 10/2]

2007年10月01日(月)

GmailのCSRF脆弱性修正 - デベロッパもユーザもCSRFに対して認識を

Netcraftは9月30日(米国時間)、GoogleがGmailに存在していたクロスサイトリクエスト偽装(CSRF: Cross-site Request Forgery)に関する脆弱性問題を修正したことを発表した。これまでのGmailにはログインした状態のユーザに対して、メールフィルタを追加してメールを特定のアカウントへ転送することが可能な脆弱性があるとされていた。

[22:39 10/1]

VMwareはPCよりも安全か - 米IBM Internet Security Systems

米IBM Internet Security Systemsは同社の運営するBlog「Frequency X Blog」において、VMwareに関する脆弱性の調査に関する投稿を行っている。調査の結果によれば「仮想化イコール安全」ということはありえず、新しい脅威の側面とその対策を考慮しながら、製品導入をすることが肝要であるという。

[22:24 10/1]

2007年09月27日(木)

福田新首相を騙った不審なメールが確認される - トレンドマイクロ

トレンドマイクロの「Trend Micro Security Blog」によると、福田新首相を騙った不審なメールが確認されたという。同ブログによると、福田新首相を騙ったメールには「mofa.zip」という圧縮ファイルが添付されており、これを解凍すると「mofa.exe」というファイルが作成される。「mofa.exe」はアイコンがWordファイルに偽装されているという。

[19:25 9/27]

2007年09月26日(水)

ITセキュリティのアライ出し 第24回 Vistaのカーネルモードドライバへのコード署名要件にかかる問題のまとめ(2)

Atsivのバイナリには2つのリソースセクションが含まれている。これらは実際にVeriSignによって署名済みのカーネルドライバである。したがって、Vista x64で許容されるカーネルモードドライバとなる。しかし、これらドライバは独自のPortable Executable(PE)ローダを実装することで、さらに未署名のドライバをロードする。したがって、Atsivを使用することで最終的に未署名のドライバをカーネルモードで動作させることが可能となる。

[18:27 9/26]

2007年09月21日(金)

Aptanaが再びライセンスを変更 - GPLとのデュアルライセンスへ

Aptanaは20日(米国時間)、Ajaxアプリケーション向けの統合開発環境「Aptana IDE」のライセンスをThe Aptana Public LicenseとGPLのデュアルライセンスのもとでの配布に切り替えることを発表した。

[20:01 9/21]

2007年09月20日(木)

ネットワールドとクオリティ、SaaS型PCセキュリティの維持管理サービス発表

ネットワールドは20日、クオリティと協業でセキュリティ維持管理サービス「ISM Client Care」(以下、ISM)の販売を9月中旬より開始すると発表した。クライアントPCのセキュリティ管理者がいない企業でも、設定されたセキュリティポリシーを自動的に継続して保てるようにするだけでなく、管理用サーバの構築や運用作業を不要にできるメリットがある。

[22:59 9/20]

2007年09月13日(木)

日立、情報漏えい防止ソリューション「電子割符」のクライアント版誕生

日立製作所の情報・通信グループ(以下、日立)は12日、セキュリティソリューション「Secureplaza」の情報漏えい防止ソリューション「電子割符」のラインアップに「電子割符クライアント」を加えたことを発表した。従来の「電子割符」シリーズ同様、情報を任意に分割(割符化)して保存する秘密分散法を採用しており、ファイルを常時割符化して保存し、単体では意味のない情報にすることでセキュリティを高めているのが特徴。14日より販売開始、出荷は11月1日。

[17:05 9/13]

2007年09月12日(水)

ITセキュリティのアライ出し 第23回 Vistaのカーネルモードドライバへのコード署名要件にかかる問題のまとめ(1)

Linchpin Labs & OSRが公開した「Atsiv("Vista"を逆にしたものと思われる)」に関するBlog投稿を米Symantecが現地時間の7月27日に行っている。64ビット版のWindows Vistaの標準セキュリティ機構を迂回するこのツールに端を発した一連のカーネルドライバの問題の状況についてここにまとめるものとする。

[22:42 9/12]

2007年09月07日(金)

Aptana IDE、ライセンスをAptana Public Licenseに変更 - 品質維持手助け

Aptanaは5日(米国時間)、いくつかの統合開発環境向けにAptana IDEのライセンスをThe Aptana Public Licenseへと変更したことを発表した。Aptana IDEはEclipse IDEをベースに開発されたAjaxアプリケーション向けの統合開発環境で、JavaScript/HTML/CSSにフォーカスした機能を提供しているほか、最近ではiPhoneやAdobe AIR、Ruby on Railsをサポートしている。

[17:02 9/7]

2007年09月06日(木)

大塚商会、メールのやりとりを登録/管理する内部統制対策ソリューション

大塚商会は5日、企業におけるメールのやりとりを文書管理システムに登録/管理する内部統制対策ソリューション「SmartEntry for Visual Finder」を発表した。電子メールの本文はテキスト文書として保存、添付ファイルも同時に登録できる。携帯メールからの登録も可能だ。提供開始は18日。

[08:00 9/6]

2007年09月05日(水)

OpenSSH 4.7がリリース - UMAC-64がサポート

The OpenBSD Projectは4日、オープンなSSHプロトコル実装の最新版「OpenSSH 4.7」をリリースした。OpenBSD以外のOSを対象とした配布物の最新版(OpenSSH 4.7p1)も、あわせてリリースされている。

[13:52 9/5]

2007年08月30日(木)

DITがLinux向けブルートフォース防御ルールセットを無償提供

ディアイティは28日、ネットワーク経由での不正アクセスを自動遮断する「ブルートフォース防御ルールセット」を発表した。対象プラットフォームはLinux、ルールセットと簡易マニュアルを含む一式は、同社Webサイトで8月31日から無償公開される。

[14:54 8/30]

2007年08月28日(火)

米Microsoft、"ハッカー"ブログ開設

米Microsoftは8月25日 (現地時間)、ハッカーを題材としたブログ「hackers @ microsoft」をblogs.msdn.comに新設した。セキュリティ分野を中心に、同社が雇用した"ホワイトハット"ハッカーが関わるプロジェクトの情報を提供する。

[05:51 8/28]

2007年08月27日(月)

Bugzillaに脆弱性、2.2系/3系のユーザーはアップデートを

Secuniaは24日(デンマーク時間)、オープンソースのBTS(Bug-Tracking System)であるBugzillaに複数の脆弱性が発見されたと公表した。

[18:16 8/27]

2007年08月22日(水)

MKI、内部統制の「評価支援」サービスの提供開始

三井情報(以下、MKI)は22日、内部統制コンサルティングのサービス充実を目指し、「評価支援」サービスの提供開始を発表した。内部統制対応企業の関心が、「構築」から「評価」に移行しつつある現状を踏まえ、内部統制の独立評価を推進する上で必要なノウハウを提供していく。

[21:30 8/22]

2007年08月18日(土)

OSSのアンチウイルスソフト「ClamAV」をSourcefireが買収

Sourcefireは17日(米国時間)、オープンソースのアンチウイルスソフト「ClamAV」を買収したことを発表した。ClamAVの商標やClamAV.orgのドメインはSourcefireが取得し、プロジェクトメンバーは同社に雇用されたうえで開発を継続する。

[12:32 8/18]

2007年08月14日(火)

Black Hat USA 2007 - 初の"サイバー戦争"!? 狙われたIT先進国エストニア

今年の4月末にエストニアが大規模サイバー攻撃を受け、同国のインターネット・インフラストラクチャの一部が麻痺した。サイバー攻撃自体はめずらしくないが、エストニアへの攻撃は従来のクラッカー個人やグループによるものに比べて桁違いに大がかりで組織的だった。同国との関係が悪化しているロシア政府の関与を指摘する声もあり、そのため初のサイバー戦争とも見られている。

[09:00 8/14]

2007年08月13日(月)

Black Hat USA 2007 - セキュリティの心理学、攻撃者が利用する心の動き

リスクの確率を正確に捉えれば、セキュリティの効果は計算できる。「セキュリティは数学的であり、現実的なものだ」とBT CounterpaneのCTOであるBruce Schneier氏は述べる。ところが、人々はしっかりと安全が確保された状態でも不安を感じたり、逆にセキュアではない状況でも安心することがある。リスクに対する心理的な反応……ヒトの感情が現実的なセキュリティにエラーをもたらすという。

[18:36 8/13]

Black Hat USA 2007 - つくられたデジタル画像の秘密を暴く

百聞は一見にしかずで、ニュースやブログなどの読者は写真がより真実を伝えると信じている。だがHacker Factor SolutionsのNeal Krawetz氏は、簡単に修正や複製を行えるデジタル画像には多くの秘密が隠されていると言う。新聞などに掲載される候補者の写真のわずかなレタッチが、選挙戦の行方にも影響を与えるそうだ。

[18:15 8/13]

Black Hat USA 2007 - WebセキュリティのSPI、Ajaxのリスクとスーパーワームを警告

Black Hat Briefingsの常連である米アトランタのセキュリティ企業SPI Dynamicsは、Ajax導入のリスクとHybrid Webワームについて講演した。Ajaxはブームの加熱からセキュリティ対策が疎かになっていると警告。Hybrid Webワームについては、05年に話題になったSamyを上回るダメージをもたらすスーパーワームの可能性を指摘した。

[18:12 8/13]

2007年08月09日(木)

NEC、PCへの事前インストールが不要な情報漏えい対策技術を発表

NECは8日、サーバ上の機密情報にアクセスする際に情報漏えい対策ソフトウェアの自動ダウンロードを行ない、漏えいにつながるユーザ操作を特定して制限することで、運用コストの低減と利便性の維持を実現する技術を開発したと発表した。

[18:41 8/9]

2007年08月08日(水)

MicrosoftとCNITSECがGSP締結、中国政府機関のソースコード閲覧が可能に

中国信息安全産品測評認証中心(CNITSEC)と米Microsoftはこのほど、新たに「政府安全計画源代碼協議」を締結した。今回の締結により、CNITSECとその関係機関は、現在中国で使われているMicrosoft製品のソースコードや関連技術を閲覧することが可能となる。

[15:30 8/8]

2007年08月07日(火)

日本ベリサイン、携帯電話用のEV SSL証明書を発売

日本ベリサインは7日、携帯電話からのインターネット接続に対応したEV SSL証明書「ベリサイン グローバル・サーバID EV for Mobile」の販売/提供を開始した。携帯電話からインターネットに接続するユーザが多い日本独特の環境でも、PCからのインターネット接続と同等のセキュリティ環境を提供できることが特徴。

[21:01 8/7]

アンテナハウス、PDFへの電子署名付与・検証が可能なライブラリを販売開始

アンテナハウスは7日、PDFにサーバサイドで電子署名を付与するソフトウェア「アンテナハウス PDF電子署名モジュール V1.0」の販売を開始した。電子署名の付与のほか、電子署名後の文書の変更・改ざんの有無を検出できる。また、MDP(Modify Detection and Prevention)署名という機能を用いることで、署名後のPDFの変更制限も可能となるという。

[20:49 8/7]

脆弱性が多いベンダ TOP10をまとめた米ISS、レポートの内幕を明かす

IBM傘下の米ISSが今年1月、セキュリティ・レポートを公開した。先頃、同社のセキュリティ戦略担当ディレクターが改めてレポートについて言及したことで、再び注目を集めている。話題に上ったのは「脆弱性の多いソフトウェア・ベンダー トップ10」というリスト。このリストには同社の新オーナーであるIBMが5位にランクインしているため、このリストをレポートに含めるかどうかについて社内でも議論になったと同氏は明かしている。

[16:40 8/7]

2007年08月06日(月)

Mpackから探るWeb経由の攻撃

6月下旬から7月上旬にかけて、MpackというWebサイト攻撃コード詰め合わせパックとでも言うべきツールが話題となった。Mpackそのものが危険であるように紹介されていることもあるが、実際はそうではない。Mpackは2006年から存在が確認されており、またMpackで悪用されている脆弱性は既知のものである。ただし、Mpackは最近主流となっている、Webサイト経由の攻撃の特徴をよく表していると言える。Mpackの事例を見ることで、Webサイト経由の攻撃がどのようなものであるか見ていくこととする。

[14:55 8/6]

Black Hat USA 2007 - 万全ではないOS Xのセキュリティ対策、iPhoneにも影響

Black Hat USA開催直前に米ISEがAppleのiPhoneに脆弱性があることを明らかにした。Briefingsで発見の経緯を説明したISEシニアセキュリティアナリストのCharlie Miller氏は、Mac OS Xに存在するセキュリティ上の問題が原因であり、根本的な対策を施さなければ今後も同様の問題が起こりうると警告した。

[13:31 8/6]

Black Hat USA 2007 - ホットスポットでWeb 2.0は危険 - サイドジャッキングをデモ

「Web 2.0には根本的なほころびがある」とErrata SecurityのRobert Graham氏。Wi-Fiホットスポットのような環境でサービスにログインすると、攻撃者からサイドジャックされる可能性があるという。その危険性を実証するためのデモでは、実際に会場内のGmailのセッションを乗っ取ってみせた。

[13:19 8/6]

一太郎の0-day脆弱性を悪用するマルウェアが再び発生 - 米Symantec

米Symantecは同社が運営するblog「Symantec Security Response Weblog」において、ジャストシステムの日本語ワープロソフト「一太郎」の0-day脆弱性を悪用するマルウェアが、再び発生したと公表した。

[12:58 8/6]

2007年08月03日(金)

Black Hat USA 2007 - 外部からイントラネット内を攻撃 - JavaScriptなしで再現

昨年のBlack Hat Briefingsでは、WhiteHat SecurityのJeremiah Grossman氏の講演「外部からイントラネット内のWebサイトをハッキング」の評価が高かった。XSS攻撃の手法を用いて、イントラネット内にアクセスできる可能性を指摘した。今年は、その第2弾として、JavaScriptを使わずに同様の攻撃を実現する可能性を示した。

[20:16 8/3]

2007年08月02日(木)

FreeBSDセキュリティアラート3件報告 - 管理者は迅速な対応を

The FreeBSD Project, the FreeBSD Security Officer and the Security Officer Teamは1日(協定世界時)、3件のFreeBSD Security Advisoryを報告した。うち1件は1月11日(協定世界時)に公開されたSAの修正版。サーバを運用している場合など、該当している場合には迅速に対応を実施されたい。

[17:13 8/2]

2007年07月31日(火)

デジタルアーツ、企業向けWebフィルタリングソフトを機能強化

デジタルアーツは31日、企業向けWebフィルタリングソフト「i-FILTER」および付属の無償レポーティングツール「i-FILTER Reporter」、有償ログ検索ツール「i-FILTER Log Search」のバージョンアップを発表、8月20日に出荷を開始する。

[20:59 7/31]

米Trend Micro、SaaSプラットフォーム「SecureCloud」の提供を開始

セキュリティ大手のトレンドマイクロは30日(米国時間)、セキュリティアプリケーションをオンデマンドで配信するプラットフォーム「SecureCloud」を発表、スパム対策ソフトなどのアプリケーションの提供を開始した。

[19:41 7/31]

スパムのトレンドはPDFからExcel文書へ - 米McAfee

米McAfeeの研究機関Avert LabsのBlogエントリによると、スパムのトレンドはPDFからMicrosoft Excel文書へと移行しつつあるという。

[14:53 7/31]

エグゼソリューションズ、Windowsファイルサーバ用の監視ツールを発売

エグゼソリューションズは、Windowsファイルサーバ用の情報漏洩対策、および監査ツールソフトウェア「FC1 Audit」を8月1日より販売、9月1日より出荷を開始する。価格はライセンス価格が500,000円(税別/監視対象サーバ1台あたり)。レンタル価格が年間250,000円(税別/監視対象サーバ1台あたり)となる。なお、ライセンス販売の場合、保守料金は別途ライセンスの20%となり、レンタル販売の場合は保守料金が価格に含まれ、初年度の最低契約期間は2年間からとなる。

[14:24 7/31]

2007年07月30日(月)

McAfee、ルートキット駆除ツール"McAfee Rootkit Detective 1.0"を無償公開

米McAfeeは、増大するルートキットを駆除するツール「McAfee Rootkit Detective 1.0」の無料公開を開始した。同社のサイトからダウンロードできる。

[22:24 7/30]

2007年07月27日(金)

増大するスパムに対抗せよ - マカフィーが提案するスパム対策アプライアンス

セキュリティソリューションにはいくつかの実装手法があるが、代表的なのは汎用サーバ上のソフトウェアとして実装するやり方と、アプライアンス化された専用ハードウェアを用意するやり方の2通りだろう。本稿では、先日セキュリティアプライアンスのローエンド向け新製品を発売したマカフィーのマーケティング本部 プロダクトマーケティング部プロダクトマーケティングスペシャリストの吉沢健哉氏に市場の現状について聞いた。

[16:51 7/27]

2007年07月23日(月)

日本ベリサイン、登記事項証明書取得代行の無償サービスを開始

日本ベリサインは23日、同社のSSLサーバ証明書/EV-SSL証明書をはじめとする製品の新規取得/更新手続きの際に必要となる登記事項証明書を、顧客に代わって無償で取得するサービスを発表した。本日から2007年12月28日までの適用期間中に申請を受け付けた分について実施する

[23:51 7/23]

日本HP、視覚化したIPマルチキャスト用ネットワーク管理ツールを発表

日本ヒューレット・パッカードは23日、ネットワーク管理ソフトウエア「Network Node Manager」(以下、NNM)対応のIPマルチキャスト用プラグイン「HP Network Node Manager Smart Plug-in for IP Multicast 3.1」を発表した。独自の自動ディスカバリ機能でIPマルチキャスト対応製品を検出し、経路を描画。障害発生個所などを色の変化で通知する。出荷開始は7月28日。

[22:34 7/23]

J-SOX施行間近! 事例に見る内部統制構築A to Z

本稿では2006年6月に成立した金融商品取引法による内部統制報告制度である、通称「日本版SOX法(以下、J-SOX)」について、その概要と企業の対応策について述べます。はじめに日本のお手本となった米国のSOX法施行後の現状について分析し、それを受けて日本企業がJ-SOXにどのように対応していくべきなのかを解説します。

[09:00 7/23]

2007年07月20日(金)

企業情報ポータルで実現する内部統制 - ドリーム・アーツの取り組み

J-SOX法の施行も控え、また情報漏洩などのコンプライアンスに関わるトラブルが相次いでいることからも、内部統制をどう実現していくかが企業の関心事となっている。そのためのコンサルティングサービスやソリューションもいろいろ提案されているが、J-SOX法で規定される「財務報告の信頼性」がカバーする範囲は、内部統制の大きな目的の一部分に過ぎない。ドリーム・アーツでは、同社の企業情報ポータル/グループウェアである「INSUITE Enterprise(インスイート エンタープライズ)」を用いて内部統制の強化を支援しているという。同社の代表取締役社長の山本孝昭氏に聞いた。

[15:47 7/20]

2007年07月19日(木)

企業向け統合セキュリティソフト「Symantec Endpoint Protection」登場

シマンテックは19日、企業システム内のクライアントPCを対象としたセキュリティソフトウェアの新製品「Symantec Endpoint Protection 11.0」(開発コード名Hamlet)および、Symantec Network Access Controlの新バージョンである「Symantec Network Access Control 11.0」を発表した。いずれも、発売は10月の予定。

[23:34 7/19]

2007年07月18日(水)

クリアスウィフト、Webセキュリティアプライアンスの新製品を発表

クリアスウィフトは18日、次世代のWebセキュリティアプライアンス「MINEsweeper Web Appliance」を発表した。同製品は、企業に必要なWebセキュリティをオールインワンで提供するアプライアンス。同社が独自に要塞化したLinux Osを搭載した、デル製ハードウェアに、セキュリティ対策機能が一括装備されている。同製品では、企業におけるセキュリティポリシーを基本テンプレートとして提供。どの企業にも適用可能な汎用性の高いポリシーが設定され、カスタマイズも容易だ。

[22:59 7/18]

2007年07月17日(火)

WFPの新たな無効化法を使用するマルウェアを発見 - 米McAfee

米McAfeeの研究機関Avert LabsのBlogエントリによると、Windows File Protection (WFP)の新たな無効化法を使用するマルウェア「W32/Crimea.dr」をこのほど発見したという。

[15:24 7/17]

2007年07月10日(火)

Cisco、EMC、MSが政府組織向け情報保護/共有アーキテクチャ「SISA」で提携

米Cisco、米EMC、米Microsoftの3社は7月10日(現地時間)、政府機関の機密情報保護と共有を目的にしたアーキテクチャ「SISA(Secure Information Sharing Architecture)」ならびに、SISA提供に向けた提携を発表した。SISAは、「情報保護」と「異組織間での情報共有」という2つの背反した要求の同時実現を目指すマルチベンダー統合アーキテクチャとなる。

[20:20 7/10]

アイマトリックス、リアルタイム アンチスパム技術搭載の新製品を発売

アイマトリックスは10日、オンデマンド方式のリアルタイム アンチスパム技術を搭載したアプライアンスサーバ「マトリックススキャン APEX」の販売を25日に開始すると発表した。同時に日本初のスパム検出センター「APEXセンター」を国内に開設、安定したスパム防御の実現を目指す。

[19:50 7/10]

セキュリティスキャナ「Nessus」をWebアプリとして使用 - nessquik 2.5

6日(米国時間)、nessquikの最新版となる「nessquik 2.5」が公開された。nessquikはPHPで開発されたWebベースのNessusクライアント。Nessusのスタンドアローンクライアントの代替として活用できるように開発されたWebアプリケーションで、開発にはprototype.jsフレームワークが活用されている。

[11:00 7/10]

米Google、Eメール/ IMセキュリティサービスのPostiniを買収

米Googleは7月9日 (現地時間)、米Postiniの買収で合意したことを発表した。買収金額は6億2,500万ドルで、2007年第3四半期中に完了する見通しだ。Postiniは、オンデマンドのEメール/ IMセキュリティサービスやコンプライアンス・ソリューションを、35,000以上のビジネス、1,000万人以上のユーザーに提供している。

[05:31 7/10]

2007年07月06日(金)

キングソフト、実験室設置し技術開発力を強化

中国セキュリティソフト大手の金山軟件(キングソフト)がこのほど、実験室を設立した。金山が本格的な研究開発拠点を設立したのはこれが初めてだという。金山の「技術立社」戦略は、これにより新たな一歩を歩みだすことになった。

[21:12 7/6]

2007年07月04日(水)

パターンファイルからの脱却 - トレンドマイクロ、企業向け新製品群を発表

トレンドマイクロは3日、企業向けの新アプライアンス製品群を発表した。マルウェアの導入口としてのメールは依然脅威ではあるが、Web経由の攻撃が増加傾向にあることから、これに対抗する製品を市場に投入する。あわせて、「Webからの脅威」に対抗するための新戦略「Total Web Threat Protection」を推し進め、パターンファイルベースの保護からの脱却を図り、企業に多層的な保護を提供していきたい考えだ。

[21:33 7/4]

2007年07月02日(月)

エンテラシス、セキュリティ情報を管理/分析する新システムなどを発表

エンテラシス・ネットワークス(以下、エンテラシス)は2日、イベント情報を効率的に管理/分析するセキュリティ統合管理システム「Dragon Security Command Console」(以下、DSCC)と、エージェントレスでネットワークアクセス制御を可能にした「Enterasys NAC」を発表した。

[19:54 7/2]

2007年06月29日(金)

「企業におけるスパムメールの現状」とは - シマンテック調査

シマンテックは、同社が第三者の調査機関を通じて実施した「企業におけるスパムメールの現状に関する調査」の結果を公表した。回答企業全体では平均して1日10万4,000通の電子メールを受信している。昨年の調査(2006年4月実施)との比較では、約35%のトラフィック増加となる。このうち、スパムメールが占める割合は約28%で、前回調査比8ポイント増。平均すると、1社あたり毎日2万9,000通のスパムメールを受信している計算になる。

[16:49 6/29]

米IBM、コンプライアンス対策のための自動管理ツールを発表

米IBMは6月28日(現地時間)、セキュリティ管理ツールの「Tivoli Compliance Insight Manager」を発表した。データや情報の流れ、ユーザーの挙動などを監視しながら、ポリシーに則った運用が行われているかを把握し、ポリシーに違反した行動がある場合には、コンプライアンス遵守のソリューションを提供する。SOX法などの複数のコンプライアンス法案に従った運用を統合的に管理し、自動化による管理の省力化を実現した。

[10:19 6/29]

2007年06月25日(月)

シマンテック、ディスクバックアップの「Veritas NetBackup PureDisk」発表

シマンテックは25日、バックアップ/リカバリ・ソフトウェアの新製品となる「Veritas NetBackup PureDisk」を発表した。ディスク・トゥ・ディスクでバックアップすることに主眼を置いた製品で、データの重複を排除する機能を実装し、ストレージ容量を大幅に削減できる点が特徴となる。

[20:04 6/25]

日本ユニシス、内部統制向け統合ログ管理ソリューションを提供開始

日本ユニシスは25日、企業内のサーバやセキュリティ機器、業務システムが出力するログの収集や分析、管理などを行う「統合ログ管理ソリューション」の提供を開始したと発表した。情報セキュリティや内部統制の有効評価、監査への対応などを行うためのログ管理システムのコンサルティングから構築、運用支援、保守までの一貫したサービスを提供する。同社では、今後3年間で10億円の売り上げを見込んでいる。

[16:00 6/25]

2007年06月20日(水)

42%のサイトがセキュリティ対策不十分 - NRIセキュアテクノロジーズが発表

19日、NRIセキュアテクノロジーズは、2006年度に受託した146のWebサイトへのセキュリティ診断サービスの結果を分析、公開した。個人情報を含む重要情報に不正にアクセスできるサイトは全体の42%を占め、診断を実施した時点では多くのサイトがセキュリティ上の問題を抱えていたことが分かった。

[14:45 6/20]

2007年06月18日(月)

McAfeeのCSO、ユーザーの立場から最新のセキュリティ動向を語る

McAfeeのChief Security OfficerのMartin Carmichael博士が来日し、エンタープライズセキュリティに関する最新動向を紹介した。博士はCSOという役職上、同社の製品やソリューションのプロモーションではなく、あくまでも同社内で同社の製品や技術を利用しつつ、同社のセキュリティの維持に責任を負う立場であり、その視点から企業におけるセキュリティ・リスク管理のあり方について語った。

[13:06 6/18]

2007年06月13日(水)

マイクロソフト、緊急4件のセキュリティパッチを公開

マイクロソフトは13日、日本時間の毎月第2水曜日に公開している月例のセキュリティパッチの提供を開始した。6月は最大深刻度「緊急」の修正パッチが4件、「重要」1件、「警告」1件が公開された。

[22:48 6/13]

進化するファイル感染型ウイルス - トレンドマイクロ

トレンドマイクロの「Trend Micro Security Blog」によると、今年に入って駆除の難しいファイル感染型ウイルスの亜種が発生している。最近のファイル感染型ウイルスの手口は、目新しさこそないものの、駆除にかかる時間を稼ぐことはできる。これらのウイルスには「シーケンシャル攻撃」と呼ばれる「新しいウイルスを次々感染させる」機能が実装されており、完全な駆除をさらに難しくしているのだという。

[18:34 6/13]

米Symantec、Vision 2007で「Storage United」構想を発表

企業向けソリューションを対象にした米Symantecの年次パートナー会議「Symantec Vision 2007」が6月12日(現地時間)、米ネバダ州ラスベガス市内のホテルで始まった。今年のキャッチフレーズは「Confidence in a connected world.」。基調講演では、企業が直面する情報システム管理の複雑性やコスト負担を軽減するソリューションとして「Storage United」が紹介された。

[03:17 6/13]

2007年06月12日(火)

ITによる業務プロセス可視化こそ内部統制の鍵

シトリックス・システムズ・ジャパンは12日、企業環境の変化に対するITの戦略的活用をテーマにした「ビジネス改革セミナー」を開催した。同社マーケティング本部本部長の柳宇徹氏による基調講演の後、日経BP編集委員で国際大学教授の中島洋氏が「迫られる企業革新」と題して講演、「ITによる業務プロセス可視化こそ内部統制の鍵」と訴えた。その後3会場で行われた個別セッションでも、SOX法への対応事例などが紹介された。

[21:57 6/12]

マカフィー、10Gイーサネット対応のIPS製品を発表

マカフィーは12日、最大10Gbpsのパフォーマンスを備えたネットワーク不正侵入防止システム(IPS)アプライアンス「McAfee IntruShield 10Gイーサネットプラットフォーム」を発表した。

[20:54 6/12]

2007年06月11日(月)

キヤノンソフト、専用ツールなしで内部統制構築可能な新サービスの提供開始

キヤノンソフトウェア(以下キヤノンソフト)は11日、金融商品取引法の対象となる中堅上場企業を対象とした内部統制構築のためのガイダンスサービスを開始すると発表した。内部統制に関するコンサルタントを行っているアグリーメントと共同で、内部統制構築のプロジェクトの進め方や構築の各段階で発生する問題点について、各企業の内部統制プロジェクト担当者らを対象に、具体的な解決策を3日間の講習という形で提供する。

[18:08 6/11]

開示したくない情報はセルごと"墨塗り" - 日立、電子署名技術の新成果発表

日立製作所は8日、「表計算ソフト向け墨塗り署名ツール」の試作品を開発したことを発表した。同試作品は、Excelなどの表計算ソフトで作成された文書に対して電子署名を付与したのち、個人情報や企業情報など秘匿すべき情報を日立の「墨塗り技術」を使って削除できるようにしたもの。"墨塗り"後も情報を改ざんしたとは見なされず、最初に付与した電子署名をそのまま用いてデータの真性性を証明できる。秘匿すべき情報は秘匿しながら、同時に文書の真正性を証明できるツールとして、今後の製品化が注目されそうだ。

[09:00 6/11]

2007年06月07日(木)

文書化の次の段階へ - アシスト、内部統制評価に特化した製品を発表

アシストは7日、内部統制報告書作成までの流れを管理するアプリケーションパッケージ「Tosei Vision」の販売を開始した。同製品は韓国のUNITECH INFOCOMが開発する「eXPM-Crystal」を日本版SOX法に適応させたもの。2008年4月会計年度の日本版SOX法施行に向けて、これまで企業が注力してきた「文書化」の次のステップを支援するソリューションとして、内部統制報告書作成までのワークフローを提供する。

[23:51 6/7]

2007年06月06日(水)

シマンテック、企業内個人に注目したセキュリティ管理の現状を報告

シマンテックは5日、「企業内個人における情報セキュリティ管理、その現状と問題点」に関する調査の結果を紹介し、この調査を踏まえて同社が提案するベスト・プラクティスについて説明した。

[22:13 6/6]

2007年06月05日(火)

大塚商会、中堅企業向け内部統制支援パッケージを提供開始

大塚商会は5日、内部統制の仕組み作りをサポートする中堅企業向けのサービスパック「内部統制Easy Introduce Pack」を発表した。内部統制の目的に合わせた「IT基盤統制」「文書管理」「業務統制」の3種類のパッケージが用意され、6日から順次提供が開始される。

[16:56 6/5]

2007年06月04日(月)

「パターンファイルによる保護」を超えて - 企業向けウイルスバスター新版

トレンドマイクロは4日、企業向けの統合セキュリティ製品「ウイルスバスター コーポレートエディション8.0」を発表した。新機能をプラグイン形式で追加できる「プラグイン対応フレームワーク」を新たに搭載し、メジャーバージョンアップを待つことなく、新技術の利用が可能となる。また、「ダメージクリーンナップサービス」を一新し、Webレピュテーション機能を加えた「Webセキュリティサービス」の提供も開始する。

[14:41 6/4]

2007年05月28日(月)

仏Alcatel-Lucent、セキュリティリスク管理サービスを発表

大手通信機器メーカーの仏Alcatel-Lucentは24日(現地時間)、セキュリティサービス「Alcatel-Lucent Service Risk Management(SRM)」を発表した。脆弱性を早期に発見することでネットワークサービスのリスクを軽減するもので、通信キャリアや企業はセキュリティ管理のコストと時間を削減できるという。

[19:49 5/28]

2007年05月25日(金)

米IBM、"技術的知識不要"のSystem i向けポリシー定義/管理ツール

米IBMは24日(現地時間)、セキュリティポリシーを記述するツール製品「IBM Secure Perspective」を発表した。同製品の特徴は企業ユーザーが技術に精通していなくてもポリシーの記述が行える点で、責任者レベルの人物が企業データの保護に関して直接関与できる。当初はIBMのSystem iシリーズ向けに提供され、今年2007年末には他のIBMプラットフォーム向けにも提供が計画されている。

[18:42 5/25]

2007年05月24日(木)

マイクロソフトとJPCERT/CCがセキュリティ情報共有などで関係を強化

マイクロソフトとJPCERT コーディネーションセンター(JPCERT/CC)は24日、セキュリティインシデントに対応するための包括的な技術協力協定を締結したと発表した。JPCERT/CCではこれまでの協力体制を強化し、インシデント対応をより向上させていきたい考えだ。

[19:41 5/24]

2007年05月22日(火)

日立情報、電子メールのアーカイブ/検索サービスを開始 - 内部統制構築支援

日立情報システムズ(以下、日立情報)は22日、電子メールのアーカイブと高速検索、フィルタリングを行うパッケージ製品「WISE Audit(ワイズ オーディット)」を活用した電子メールアーカイブ/検索サービスの開始を発表した。

[21:51 5/22]

2007年05月21日(月)

自治体のセキュリティを無料診断、他の自治体との比較も - MS、ラックら

地方自治体のセキュリティ対策状況をチェックする無料サービスを、自治体ドットコム、ラック、マイクロソフトが共同で5月21日から開始する。総務省のガイドラインに基づくセキュリティ診断サービスで、WebベースのASPサービスとして提供される。

[18:55 5/21]

ライフボート、デバイス / プロセスごとの制御、ログ収集を行える管理ツール

ライフボードは、ハンガリーのセキュリティソフト開発ベンダEagleEyeOSが開発するアクセス制御ツールの日本語版「AccessBlocker EX Version 3.0 with EagleEyeOS」(1ライセンス価格21,000円)およびエントリーモデル「AccessBlocker Version 3.0 with EagleEyeOS」(1ライセンス価格15,540円)を6月22日より販売する。

[15:10 5/21]

2007年05月18日(金)

発売後90日で脆弱性は1件 - Windows Vista

「Windows Vistaは発売後90日間で、1件の脆弱性しか発見されていない」――米MicrosoftでWindowsのセキュリティ全般を統括するBen Fathi氏はこう語り、セキュリティを強化したVistaの堅牢性を改めて強調した。

[22:15 5/18]

2007年05月14日(月)

「このWindowsは別の利用者に使用されています」と表示するマルウェア

米Symantecは、同社が運営するblog「Symantec Security Response Weblog」において、感染後の動作として「このWindowsは別のユーザに使用されています」というウインドウを表示し、ユーザーの個人情報を盗み取るマルウェア「Trojan.Kardphisher」について報告した。

[17:37 5/14]

ボット感染PCの42%は企業内に存在 - 米Symantec

米Symantecは、同社が運営するblog「Symantec Security Response Weblog」において、2006年下半期に観測されたボット感染PCのうち、少なくともその42%が企業内に存在すると報告した。

[17:24 5/14]

パーソナルファイアウォールを迂回するマルウェア - 米Symantec

米Symantec は同社が運営するblog「Symantec Security Response Weblog」において、感染後の動作としてパーソナルファイアウォールを迂回するマルウェアが発見されたと報告した。具体的には、Windows Updateのコンポーネントを利用してファイアウォールの迂回が行われるという。

[16:41 5/14]

2007年05月09日(水)

MS、「緊急」7件のセキュリティプログラム公開 - 0-day脆弱性2件に対応

マイクロソフトは9日、日本時間の毎月第2水曜日に公開している月例のセキュリティパッチの提供を開始した。5月は、WordとDNSサーバに発覚していた0-day脆弱性2件を含む、最大深刻度「緊急」の修正パッチが7件公開された。

[23:40 5/9]

ITセキュリティのアライ出し 第22回 Windowsにおけるバッファオーバーフロー(6)

今週も引き続きWindowsにおけるバッファオーバーフローの話である。一点注意事項がある。今回からC言語の知識が必要となる。スタックが一時データ置き場であることは何度も繰り返し述べてきたことであるが、ここでスタックが実際にCやC++でコーディングされたプログラムでどのように使用されるのかについて説明する。

[11:53 5/9]

2007年05月07日(月)

ActiveXのバグ探し - 「Month of ActiveX Bug」がスタート

情報セキュリティのメーリングリスト「Full-Disclosure」などによると、このほど「Month of ActiveX Bug」(MoAxB)が開始されたという。こうしたプロジェクトこれまで様々な対象に関して実施されており、たとえばInternet Explore(IE)やLinux Kernel、最近であればPHPが対象となったこともある。加えて、それらを実施した人物も様々で、今回は「shinnai」というハンドルネームを名乗る人物によって実施されている模様だ。

[17:53 5/7]

2007年05月02日(水)

RSA Conference Japan 2007 - Cisco CTO「ネットワークのセキュリティはコインの表裏の関係」

「より強固なネットワーク・セキュリティを実現するにはどうすればいいのか?」――セキュリティベンダーにとっての永遠の命題ともいえる課題に向け、各社が技術開発にしのぎを削っている。ネットワーク業界最大手のCisco Systemsは、自らが推し進める「自己防衛型ネットワーク」の中で、その次なる道筋を示そうとしている。

[21:55 5/2]

2007年04月28日(土)

XSS攻撃対策用のライブラリ - DeXSS 1.0登場

米XeroxのLeigh L. Klotz, Jr.氏は26日(米国時間)、DeXSSの最新版となるDeXSS 1.0.0を公開した。DeXSSはJavaで実装されたSAX2パーサ。XSS攻撃対策を実施するためのライブラリとして開発されている。成果物はAcademic Free License ("AFL") v. 3.0のもと、オープンソースソフトウェアとして公開されている。

[02:21 4/28]

FreeBSD SA 1件 -IPv6に機能上の危険性、デフォルトの動作を変更

The FreeBSD ProjectのThe FreeBSD Security Officer and The Security Officer Teamは26日(協定世界時)、1件のFreeBSD Security Advisoryを報告した。それによると、IPv6を使っている場合にDoS攻撃が引き起こされる可能性がある。IPv6を使っている場合は修正を実施されたい。

[02:10 4/28]

2007年04月27日(金)

RSA Conference Japan 2007 - 「データベースの権限管理がIT内部統制の肝要」

RSA Conference Japan 2007の2日目、日本オラクルの北野晴人氏が「内部統制に関わるデータベースの権限管理」と題して講演した。データベースの権限管理とアクセスコントロールは、未だ整備されているとはいえない状況のなか、日本版SOX法の施行などにともない、内部統制を構築していくには、「職務分掌」に重点を置いた、いっそう厳密な権限管理が求められている。管理者の権限をいかにして制限するか、組織として、どのように危険を防ぐかなどの点を技術的な側面とともに解説した。

[14:34 4/27]

2007年04月26日(木)

エンドポイント・セキュリティはプロテクションとコンプライアンスの両面で

日本では「検疫ネットワーク」として知られていた"Network Access Control"(ネットワーク・アクセス・コントロール)という手法があらためて見直されている。かつては導入障壁も高く、国内ではあまり普及しなかった経緯がある。RSA Conference 2007で講演するトニー・ブロックマン氏は、Symantecで同技術を担当しているという。同氏に、シマンテックのエンドポイント・セキュリティへの取り組みについて聞いた。

[13:27 4/26]

2007年04月25日(水)

個人認証で1億の口座を防御するRSAセキュリティ、国内でも製品強化へ

米RSA Securityが提供する金融機関向けなどのセキュリティ製品が好調だ。RSAはコンシューマーソリューションとして金融機関向けなどにフィッシングやファーミング対策、個人認証、リスク管理といったセキュリティ製品を提供している。これらの製品は、ワールドワイドで3,500の金融機関が利用、オンラインバンキングでは1億口座を保護するなど、「大成功」(RSAセキュリティ・山野修社長)を収めている。

[00:56 4/25]

2007年04月23日(月)

IIJ、SSL証明書の取得代行サービスを本日から開始

インターネットイニシアティブ(IIJ)は23日、SSL証明書の取得に必要となる一連の作業を代行する「IIJサーバ証明書管理サービス」の提供を開始したと発表した。SSL証明書発行機関としては、日本ベリサインとサイバートラストの2つから選べる。申請代行手数料は5万円(税別)。別途に証明書料金が必要。

[15:51 4/23]

2007年04月17日(火)

ISS、新旧2つの技術を組み合わせたハイブリッド型デスクトップセキュリティ

インターネット セキュリティ システムズは4月17日、同社デスクトップ・セキュリティ製品の最新版「Proventia Desktop Endpoint Security 9.0」」を発表した。新製品の特徴は米BitDefenderとの提携で、同社のアンチウイルス/アンチスパイウェアエンジンをProventia Desktop内にオプションとして追加できるようになった点で、Proventiaの特徴でもあるプログラムや通信の挙動から危険性を判断する機能だけでなく、従来型のシグネチャ検出によるアンチウイルス機能を組み合わせ、さらに信頼性を向上させている。

[18:36 4/17]

2007年04月16日(月)

Windows DNS サーバに0-day脆弱性が発見される

マイクロソフトは、同社製品に含まれるDNSサーバに0-day脆弱性が発見されたことを明らかにした。

[11:30 4/16]

2007年04月12日(木)

「EV-SSLは犯罪者以外の全ての人にメリットをもたらす」 - 日本ベリサイン

日本ベリサインは12日、EV-SSL証明書に関するプレス向け説明会を開催した。EV-SSL(Extended Validation SSL)は、従来のSSLサーバ証明書の信頼性をさらに高め、確実なサイト認証を可能にするとされる。説明を行なった米VeriSignのDirector of Product MarketingのTim Callan氏は、EV-SSLを「セキュアなeコマース・プラットフォームにおける初めての根本的な変革」と位置づけた。

[23:02 4/12]

2007年04月06日(金)

MS、「セキュリティ情報の事前通知」の提供内容変更を延期

マイクロソフトは6日、先頃発表した「マイクロソフト セキュリティ情報の事前通知」の提供内容変更について、実施予定日の延期を発表した。「日本のセキュリティチームのBlog」では、同社の小野寺匠氏が「今月からは、事前通知に脆弱性の影響などの情報を追加する事を予定しておりました。しかし、各国のお客様から色々とフィードバックをいただき、今月の実施ではなくもう少し時間が必要だという判断により、延期する事となりました」と、実施延期について語っている。

[14:42 4/6]

2007年04月04日(水)

マイクロソフト、「セキュリティ情報の事前告知」の情報を拡充へ

マイクロソフトは、毎月第2水曜日に提供している月例のセキュリティ修正プログラムに関して、その3営業日前(普段は前週の金曜日)に「マイクロソフト セキュリティ情報の事前通知」として、修正プログラムの事前情報を提供している。この事前通知について、今後提供する情報を拡充し、セキュリティ管理者らの負担軽減を図っていく。

[00:00 4/4]

2007年04月03日(火)

露Kaspersky、モバイル端末に対応した法人向けセキュリティスイートを発表

ロシアのセキュリティ企業Kaspersky Labは2日(現地時間)、法人向けセキュリティスイート「Kaspersky Open Space Security(KOSS)」を発表、提供を開始した。企業で利用が増えているモバイル端末にも対応した包括的セキュリティ製品という。

[19:39 4/3]

Microsoft、VistaをディスクレスPCとして活用できる新ライセンス"VECD"

米Microsoftは2日(米国時間)、Windows Vista Enterprise向けの新ライセンス「Windows Vista Enterprise Centralized Desktops (VECD)」を発表した。新ライセンスを適用することにより、ディスクレスPCとそれを一元管理するサーバという、従来は想定されていなかったWindowsのデプロイが可能になる。

[19:22 4/3]

2007年03月30日(金)

ソースコードのオンラインセキュリティ監査--The Java Open Review Project

Fortify Softwareは、オープンソースのJavaプロジェクトのセキュリティなどを調査するプロジェクト「The Java Open Review Project」を提供している。Fortifyは、ソースコードのセキュリティを監査するソフトウェアを提供している。

[00:00 3/30]

2007年03月28日(水)

OASIS Standardに2つの新セキュリティ標準が追加 - WS-Securityを機能強化

OASISは27日(米国時間)、OASISメンバーによって「WS-SecureConversation version 1.3」および「WS-Trust version 1.3」がOASIS Standardとして承認されたことを発表した。OASIS StandardはThe OASIS Web Services Secure Exchange (WS-SX) Technical Committeeを通じて策定されたもので、両標準は信頼性あるSOAPメッセージ交換を実現するWS-Securityへのポリシーとエクステンションを定義するもの。関連団体は同標準を広く批准する段階にきたといえる。

[17:41 3/28]

2007年03月26日(月)

シスコ、トレンドマイクロと協業してセキュリティアプライアンスを発売

トレンドマイクロとシスコシステムズは26日、シスコの適応型セキュリティアプライアンス「Cisco ASA5500」シリーズに、中小企業向けにトレンドマイクロオリジナルパッケージ「Cisco ASA5510 Anti-X Edition」を追加し、4月23日よりトレンドマイクロの販売チャネルを通じて販売することを発表した。

[20:23 3/26]

2007年03月11日(日)

シマンテックとNetApp、電子メール管理ソリューション共同展開を強化

電子メールは、いまや企業活動には不可欠の存在だが、今後、国内でも日本版SOX法が適用されることになると、IT統制の観点からは企業の情報資産としてのデータの重要性が高まるとともに、訴訟問題が起こった場合の証拠として利用されることが一つの焦点として浮上してくる。シマンテックの堀江氏は、「国内ではライブドア事件の際に電子メールデータが押収されたが、Fortune500に入っている企業の75%は、電子メールを訴訟時の何らかの証拠にしている」と指摘する。

[04:18 3/11]

2007年03月08日(木)

OpenSSH 4.6 - ユーザ単位の着信許可が可能に

The OpenBSD Projectは7日(米国時間)、オープンなSSHプロトコル実装の最新版「OpenSSH 4.6」をリリースした。OpenBSD以外のOSを対象としたPortable OpenSSHの最新版(OpenSSH 4.6p1)も、あわせてリリースされている。

[17:48 3/8]

2007年03月05日(月)

ネットワークワームを見える化する試み--日立インシデントレスポンスチーム

日立インシデントレスポンスチームが「ワームが送信するパケットの動きをみてみよう」を公開している。これによると、現況では新しいワームによる大規模な事案は発生していないが、過去に大流行したワームに感染したPCの感染活動は今もなお続いているのが現状であるという。今回HIRTは、こうしたワームによる感染活動、俗にスキャンと呼ばれる新たな感染先探索活動を、可視化する試みを公開したのだという。

[13:45 3/5]

2007年02月21日(水)

ITセキュリティのアライ出し 第21回 ウイルス分析合宿中につき…「世界のホシザワにしごかれるの巻」

仕事上の必要性と、あるきっかけがはじまりで、現在筆者は「ウイルス分析合宿」に参加している最中である。都内某所の一室で、インターネットに接続できない環境で情報セキュリティ関係者がせっせとマルウェアの分析に勤しんでいるのだ。合宿のコーチは世界のホシザワことセキュアブレイン・星澤裕二氏だ。

[22:54 2/21]

2007年02月14日(水)

ITセキュリティのアライ出し 第20回 Windowsにおけるバッファオーバーフロー(5)

スタックの役割は「一時データ置き場」である。一方で、このデータの種類によって、スタックを「データスタック」と「コールスタック」に分類することができる。スタックベースのバッファオーバーフローを理解するうえで、重要なポイントのひとつになるのはリターンアドレスについての概念になる。よって、本稿では後者について説明していきたい。

[21:17 2/14]

2007年02月06日(火)

米シスコ、「デイゼロ攻撃」に耐える自己防衛型ネットワーク製品を強化

米Ciscoは2月5日(現地時間)、同社が推進する「Self-Defending Network(SDN:自己防衛型ネットワーク)」構想を構成するコアコンポーネントの一部のバージョンアップと機能追加を発表した。さまざまな新しいネットワークの利用形態をサポートするほか、コンポーネント間の連携を高めることで「デイゼロ(Day Zero)攻撃」のような未知の脅威に対する対策が強化されている。

[11:00 2/6]

2007年01月31日(水)

米Symantec、「Enterprise Vault 7.0」「Backup Reporter 6.0」提供開始

米Symantecは1月29日(現地時間)、企業でのメッセージデータのアーカイブ/管理ソリューションを提供する「Symantec Enterprise Vault 7.0」を発表した。Automated Classification機能を搭載したほか、EMCら業界各社が提供しているContent Management System(CMS)との連携機能が強化された。また同社は翌30日にバックアップ/リカバリ処理のレポーティングツールの新版「Veritas Backup Reporter 6.0」も発表している。

[12:14 1/31]

2007年01月05日(金)

Webサービスのニューフェース"PassPack" - 複数パスワードの管理ならおまかせを!

「…パスワードなんだっけ?」と、PCの前で固まってしまった経験は誰もがもっていることだろう。ここではそんな悩みを解決する(かもしれない?)Webサービス「PassPack」を紹介しよう。この手のサービスは使いやすさと安全性の両方が求められるが、「PassPack」はベータ版とはいえ、なかなかの出来のようである。

[23:35 1/5]

Cisco、セキュリティ企業のIronPortを買収

Cisco Systemsは4日(米国時間)、企業向けセキュリティアプライアンスのメーカーであるIronPort Systemsを買収することで合意に達したと発表した。

[15:56 1/5]

バックナンバー

人気記事

一覧

イチオシ記事

新着記事