明らかに勉強不足と思われ(苦笑）

原因はサイバーテロと確認しました - JANJAN
えーと、ジャーナリズムを名乗る割には勉強不足と思われますね。

確かに「サイバーテロ」に対する明確な定義は未だ出でていない（と言うか「テロリズム」に対する明確な定義が無いと言った方が正しいかも）ので、一概には言えませんが、総務省総合通信基盤局が出している「情報通信ネットワーク安全・信頼性基準等の概要」の「別表第４　危機管理計画策定のための指針」によると、以下のような定義がされています。
-- 以下引用 --

２ サイバーテロの定義等
(1) サイバーテロの定義
　サイバーテロは、コンピュータウィルスやハッカーによって個人が被害を受けるものとは異なり、国家等の重要システムを機能不全に陥れるものであることから、この指針におけるサイバーテロの定義は、「ネットワークを通じて各国の国防、治安等をはじめとする各種分野の情報システムに侵入し、データを破壊、改ざんするなどの手段で国家等の重要システムを機能不全に陥れる行為」とする。

(2) 攻撃対象となる重要インフラ
　サイバーテロの攻撃対象となった場合、その産業、企業のみならず、広く国民生活に重大な影響が及ぶこととなる重要インフラとして、情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス（地方公共団体を含む）等が想定される。

（「情報通信ネットワーク安全・信頼性基準等の概要　別表第４　危機管理計画策定のための指針（総務省総合通信基盤局）」より引用）

-- 引用ココマデ --
今回不正攻撃被害に遭われた関係者には大変心苦しいのですが、該当するサイトが国家の安全に関わるとはとても思えません。ですから「不正攻撃によるWebサイト被害」＝「サイバーテロ」と言うのは、あまりにも不適切な表現でしょうし、何より不勉強である事を自ら晒しているとしか思えません。

それと……不正アクセス等の不正攻撃のターゲットは（確かにある種の主義主張で狙うケースも無くは無いですが、それ以上に）「セキュリティ対策が甘く、簡単に落とせそう（攻略できそう）な処」から狙われる傾向にあります。
（攻略に簡単→短時間で決着が着く→管理も甘く足が付きにくい……という論理で狙われるという寸法です。）
それと一旦不正攻撃が成立しサイトが攻略されてしまうと、今度は踏み台などによって、ユーザ側に被害を与える側に回ってしまう事も考えられます。

ですから「攻撃した奴が悪いんだ～」という論調よりも（勿論攻撃する奴の方が悪いのは言うまでも無いので、改めて主張する事でもないですし）、「自分達の管理に甘い部分がありました。今後はこのような事が無いように真摯に受け止め反省し、頑張っていきますので、宜しくお願い致します。」の方向の方がベターだったのではないでしょうかねぇ……。

まぁ、1つの反面教師として受け止めておくのがベターでしょうね(苦笑)。

月間MS 2006/2号

2006 年 2 月のセキュリティ情報 - Microsoft
今日は毎月恒例の「月間MS」発行日です。事前予告の通り、7本キッチリ出ていますね。とは言え、内1つは「韓国語IME」に関するモノなので、殆どの方は6種類（＋悪意あるソフトの除去ツール）でしょうね。

今月もOffice 2000絡み（今回はPower Point）のHotFixが混じっているので、手順には注意が必要です。あと、今月はHotFix適用後の再起動は必須なので、実施前には開いているファイルは閉じておきましょう。
---
(MS-Office 2000を利用していない方)
Microsoft Update/Windows Updateを実施すればOKです。

(MS-Office 2000を利用している方)
Microsoft Update/Windows Update実施（再起動）後、「Office Online」から「Officeのアップデート　アップデートの確認」（画面右上）をクリックして、Office用HotFixを適用して下さい。
---
……それと、もし「MS06-007 - TCP/IP の脆弱性により、サービス拒否が起こる (913446)」で「ダウンロードできませんでした（エラーコード：0x80242006）」となってしまう場合、詳細ページからHotFixをダウンロードして、手動で実行して下さい。
（どうやら、ちょっとトラブっているみたい……頑張って下さい。＞中の人）
---
(2006/2/15 12:33頃追記）
MS06-007 のインストールが完了しない件について - 日本のセキュリティチームの Blog
中の人達のBlogの方でも、この件の話題が出ましたね。色々大変でしょうけれど、頑張って下さいです。
---
(2006/2/15 13:45頃追記）
MS06-007が上手く適用できなかった件について、どうやら直りつつあるそうです（確認できる環境が無い……自分の管理下にあるシステム全て手動で適用してしまったので（苦笑）……ので、確認した訳ではないですが）。

（雑記）フィッシング詐欺の手口って……

そんなに高度なテクニック（心理の裏を突く）事ってやっているのかなぁ……と、思ってみたり。

これはあくまで自分の考えなので、正しいかどうかは別ですけれど、「詐欺に引っかかる」状態ってのは「思考停止状態に陥り、正常かつ冷静な判断ができなくなっている時」だと思っています。

どう「思考停止」に陥らせるかは色々なアプローチがあるんでしょうけれど、とりあえず「少ない情報量しか与えず、かつ時間等の制限を与えてやる事で、焦った状態を作り出し、正常な判断ができない状態にさせてしまう」方向と、「強制的に大量の情報を与え、それこそ脳のオーバーフロー状態を作り出し、判断力を奪う」方向が考えられるかなぁ……。
（後は「催眠」（この辺はカルトとか、先日ニュースになったハーレム男の件とも関連するんでしょうけれど）もありそうだけど、今回はちょっとパスします。）

「振り込め詐欺（オレオレ詐欺）」や「典型的なフィッシング詐欺」は前者で、後者は古典的な口八丁手八丁な詐欺（それこそ先日笑い話のネタにしたセキュリティコンダクター（藁）もこの系統かな？）かなぁ……。

そう考えると、前者の方向性って少し頑張れば（いや、この方向で頑張らなくても良いんですが（苦笑））余程真っ正直な人でなければ誰でも出来てしまうような気がします。
（後はほんの少し、本物っぽく見せかけるための技術があれば……でも、最近はフィッシング詐欺サイト構築用ツールなんてモノがUGな世界で取引されているという話もありますから、大した技術も不要なのかもしれませんが。）

後者の場合、要は脳がオーバーヒートしなければ何とか見破れますし（若しくは複数人の目と脳さえ用意できれば、1人でも見破ればそれで詐欺は成立しなくなりますし）、情報量が多いって事は、それだけボロ（矛盾点）が出やすくなりますからねぇ……多分コッチ方面で騙すなら、それなりの頭の良さ（切れ具合）と技術が必要かなぁ……と思ってみたり。

何はともあれ、そういう場面に陥ったら、まずは「落ち着け」という事なんでしょうかね？、とりあえず深呼吸3回とか(笑)。
---
えーと、セキュリティが専門でない方は、ちょっと分からない（分かり難い）ネタで済みません。m(_ _)m
前エントリーで書いたネタに対する、自分なりの整理用メモだったりします。

この辺は考えてると一種の思考ゲームになるので、楽しいは楽しいんですが、傍から見てるとアヤシイ人に見えるかも(苦笑)。

少しでも変だと感じたら、行動に移さない事も重要かと……

「正規の証明書を持っているサイトも信用するな」，フィッシング研究者が警告 - 日経ITPro
（もしかしたら会員登録が必要なページかも……一応登録は無料です。）

先日のSKUF MTG#02でも出た話題ですが、一部の証明書発行サービスでは簡単に正規の証明書を取得する事ができるので、それを悪用してフィッシング詐欺用サイトを偽装するために用いるケースもある……というお話です。

OpenmyaMLで企業のケースを少し書きましたので、ここでは個人のケースでの対処方法を……
--

まずは普段自分が利用しているネットワークサービスをキチンと把握しましょう。
よくありがちなのは「登録したけど最近は殆ど使っていない」というサービス……今後も使わないのなら解約してしまい、万が一の事態（IDを盗まれてなりすまされる……など）に至る可能性を少しでも減らしましょう。

普段利用しているサービスから送られてくる「案内（インフォメーション）メール」の取扱い方は十分注意しましょう（これは例え正規のメールであっても）。正規の案内なら、サービスのWebサイトでもニュース等案内が出ているでしょうから。
メールだけでなく、色々な方法を使って「本当か？」と確認する癖を付ける事が大切です。

「緊急です」とか言われても慌てて行動に移さないこと。フィッシングサイトの多くは寿命が数日（足が付くのを嫌がるので、転々とするケースが殆どです）ですから、少し寝かすだけでも、引っかかる可能性は減ります。
--
後は、少しでも怪しいと感じたら実際のアクションに移さない事ですね。
自分は「危険性を感じ取る『嗅覚』」と呼んでいますが、Internetを少しでも安全に利用したいのなら、この嗅覚を鍛える以外に他は無いですね。それが嫌ならにInternetは利用しないというのも1つの選択肢ですし。
（電気・水道・ガスとは異なり、別にInternetを利用できないから即命に係わるというものでもありませんからね。……あ、一部の人はIP Unreachableだと「ちぬ～」という人もいるでしょうけれど(苦笑)。）

月間MS 2006/2号の予告～

マイクロソフト セキュリティ情報の事前通知 - Microsoft
今月は2/8じゃなくて2/15なのですヨ。＞月間MSの発行日
（米国時間での第2火曜の翌日が、日本での発行日なので、第2火曜は2/14、つまりその翌日は15日と……第2水曜と覚えている人は間違いなので、これを機会に正しい発行日を覚えましょう。特に1日が水曜の月は要注意ですヨ。）

今月は……
--

OSで4本

Windows Media Playerで1本

OS・MS-Officeで1本

MS-Officeだけで1本
--
……と、最大7本と豪華ラインナップ(マテ)。
15日はネットが混みそうな感じが……とは言え、定期的にHotFixを適用する事は基本中の基本なので、空いた時間を上手く利用してMicrosoft Update/Windows Updateを実施しましょう。

今更ながら「MBSA2.0」に切り替えてみた

Microsoft Baseline Security Analyzer 2.0 - Microsoft
この「Microsoft Baseline Security Analyzer 2.0（MBSA2.0）」というのは、簡単に言ってしまうと「セキュリティ自己診断ツール(※1)」というモノで、Windows系OS(Windows 2000以上から)のセキュリティ対策状況、特にHotFixの適用状況を調べるのに便利なツールの1つです。

今までは「MBSA1.2.1」というのを使っていたんですが、サポートが今年の3月末で切れてしまう（動かす事は出来ても、正しく検査してくれない）という事で、Ver2.0にアップデートしました。

実はVer2.0は結構前から出ていたんですが、何故か職場の環境（Proxy環境）下では正常に動作しない（検査するために必要なデータがダウンロードできない）という事もあってVer1.2.1を使い続けていました。

まぁ、サポート切れになってしまってはどうしようもないという事で、改めてVer2.0に上げてみたんですが、やはり正常に動作しない。
うーんと悩んで、サポート情報も見て……色々試している内に使えるようになりました。

原因はスキャン開始時の設定がマズかった(※2)……単にそれだけだったり。orz

とは言え、一目で自分のPCでマズい部分が分かるので、「あれ、大丈夫かなぁ……」と心配な方は是非1度お試しになられてみては如何でしょう？
---
(※1)自分自身以外にも、ネットワーク(LAN)に繋がっている他のWindows系PCも調査は可能です(一部制限はありますが)。
(※2)原因は「Microsoft Update とスキャンの前提条件に対してコンピュータを構成する(U)」を有効にしてしまっていたため、WSUSサーバーを探しに行こうとしてしまう事。職場にはWSUSサーバーはないのでエラーになる……と(苦笑)。「Microsoft Update のみを使用してスキャンする(M) 」にチェックを付ければ正常に動作しました。

未だにIE5を利用している方はご注意を……

マイクロソフト セキュリティ アドバイザリ (913333) Internet Explorer の脆弱性によりリモートでコードが実行される可能性がある - Microsoft

Internet Explorer(IE)の最新版は言うまでもなくVer.6(IE6)ですが、古～いPC(Windows MeやWindows 2000など)を利用されている方の中には、未だIE5を利用している方もおられるかと思います。
……が、IE5では「怪しいWindowsメタファイル(WMF)」を開くとウイルス等に感染したりする恐れがあります。
（これは新年明けて早々に提供された「MS06-001」というHotFixとは別の原因で起きます。）

で、肝心の対策ですが「IE6に上げろ」です……いや、実も蓋もない事は承知していますが(苦笑)。

まぁ、Windows 2000は別として、Windows Meは既にMSのサポート対象外になっていますので、Windows Meを利用されている方は（いい加減古くなってきてトラブルも起きやすくなってきていますので）そろそろPCの買い替えも検討した方がベターかなぁ……と。

最近の大きなネットカフェって……

ちゃんとWindowsドメインを組んで、ローカルAdminを渡さない(＋再起動の都度設定を初期時に書き戻す処理を行う)ような設定にしているんですね。
(もしかしたらドメインコントローラ(DC)はsambaが導入されたUNIX/Linux系システムで構成されているかもしれませんが……ちゃんとWindows系サーバOSと必要なCALを揃えると結構なコストになりますし……。)

もしかして先日公開された「Microsoft Shared Computer Toolkit for Windows XP」が効果を表しているのかな？

いや、友人の入院先に程近い某ネットカフェと、秋葉原にも出店している「アイ・カフェ」で時間潰ししている時に気づいた事なんですが……。

心臓に悪いヨ……＞Mozilla FireFoxアップデート

FireFox1.5を立ち上げて暫くしたら、いきなりこの画面が……心臓に悪いですヨ。正直フィッシング詐欺か何かの画面に思いましたヨ。

でも、Mozilla JapanにもMozilla.orgにも新しいFireFoxのバージョン（1.5.0.1）が出たというニュースリリースは出ていないんだよなぁ……という事で少し様子見です。＞アップデート
--
(2006/2/2 2:20頃追記)
ニュースリリースが正式に出ましたね。
という事で、自宅の環境はアップデートしてみました。特に大きなトラブルは無いです。

安全なウェブサイトの作り方

安全なウェブサイトの作り方 - IPA
ザッと目を通してみましたが、よく情報がまとめられていて、かつ読みやすいですね。
（流石にズブの素人には難しいでしょうが、ちょっとHTMLを齧った程度のレベルの人なら、何となくですが意味は分かるでしょうし、少し本格的にWebサイトの構築・管理やWebコンテンツの作成をした事がある方ならまず理解できる……はず。）

「安全なWebサイトを作れって言われたけれど、何をしたら……」という方にオススメです。
---
(2006/2/1 23:15頃追記)
webデザインとweb制作 - Goo Blog テーマサロン
幸いにしてGoo Blog テーマサロンに当てはまりそうなテーマが上がっていたので、トラックバックしてみました。

1人でも多くのWebデザイナーの方に目に触れて頂き、頭の片隅にでもセキュリティの事の置いてデザイン・構築して頂ければ幸いです。

最近はiTuneに押され気味ですが……＞Winamp

Winampに極めて重大な脆弱性 - ITmedia
Secuniaのアドバイザリーはココ、「Extremely critical」という事で「超危険」という事らしいです。

最近はiTuneに押され気味でしょうが、既にExploitコードが出回っており、ウイルスなどが登場するのも時間の問題でしょうね。

既に開発元であるNullSoftから、この脆弱性に対応した新バージョン（Ver5.13）がリリースされているので、特に問題が無ければサクっとバージョンアップするのが宜しいでしょう。

何やら念が送られているようですが(マテ)＞SKUF MTGネタ

前回ちょっと書いたSKUF MTG#02と絡むんですが、午前の部でちょっと発表したネタに対して何やら主催者であるikepyonさんから念が送られているようですが(マテ)。

どうなんでしょうねぇ……「運用」の一環としての「セキュリティ教育」って興味あります？＞コレを読んでいる皆様
あと「教育」の場合大別して「エンドユーザ向け」と「技術者向け」の2パターンがありますが、どっちの方が良いですかね？（ちなみに今回発表したネタは前者の方。）

まぁセキュリティに限らず「教育」に関しては「あるべき論」では語れない部分の方が多いので「自分の処ではこうやっている」という発表し合いと「最低限抑えるべきツボは何処だろう？」とか「こういう教育はどうだろう？」という方向でのディスカッションってのもアリなのかなぁ……と思います。
(特にOpenmyaMLメンバーの中には教育に関しては一家言持っている人は結構多いですからね～。)

SKUF MTG#02に出席しました

会場から無線LAN経由で書いています(マテ)。

午前の部はライトニングトークと言う名の雑談だったり(ヲ。

-- 2006/1/28 13:15頃追記 --
軽く発表してきました。＞午前
えーと、一部の人にはウケていたようで(マテ)。

只今午後の受付時間中です。結構会場に人が入っていますね～。
さてさて、どんな話が聞けるかな？
-- 2006/1/29 1:10頃追記 --
只今懇親会から帰ってきました。
午後のネタはやはり面白かったですね。

そう言えばディスカッションで「情報収集はどうやります？」なんてネタありましたが、サーチエンジンで引っかける場合、隠語で引っかけながら、後は芋づる式にという方法もあったりします……って、この手口は昔のWarez探しと殆ど同じ手法だったりしますが(ヲ。

あまりにお粗末過ぎる＞松竹

松竹映画館ドットコム、フィッシング詐欺に悪用された恐れ - Internet Watch
松竹からのプレスリリースはココ(PDF)。

システムの引継ぎ時ってのはトラブルが発生し易いタイミングの1つなので、十分に注意しないといけないんですが……にしてもあまりにもお粗末過ぎる。

もう20年目＞ウイルス

PCウイルス誕生から20年――次の標的は？ - ITmedia
今年でコンピュータウイルスが誕生して20年だそうで。そっかぁ、成人式のお祝いを(マテ)。

最初に登場したウイルス「Brain」はフロッピーディスクのブートセクタに感染するタイプで、元々はソフトウェアの不正コピー対策（プロテクト）だったんだよなぁ……。