ブランエクスペールについて詳しく調べました

絶対に守って鍵交換

自分の大切な我が家を絶対に保護し、そう思う心がある場合も、キーの交換は必ず必要なことですね。キーの交換をしていて、前のキーの状態ですが、どうしてもその家のセキュリティレベルは低いものだと言わしかないため、鍵交換、しっかりと防御能力を強化する。重要なことですね。
賃貸マンションに住んでいます。窓にまた小さなウィンドウがあります。その小さな窓は、ほとんど開くことができません。前の掃除をしていたとき、少し開くと、ガラスが割れてしまいました。すぐに管理会社に電話をしました。すると、ガラスの修理業者が次の日に来てくれるようになりました。次の日、修理を受けています。そして、2週間が過ぎた頃に掃除をしているときにまた開くと、またガラスが割れてしまいました。また、管理会社に電話をし、業者さんが、ガラスの修理に来てくれました。今回は壊れないように、少し厚めのガラスを入れてくれました。
　米セキュリティ企業のBarracuda NetworksでCEOを務めるディーン・ドラコ氏は、「金融業界以外の中堅・中小企業のWebシステムを狙うサイバー攻撃が増えている」と警鐘を鳴らす。米国での調査や同社のセキュリティ研究部門の分析から、この傾向が分かったという。

　米Verizon Businessなどのセキュリティ調査チームが2011年に公表した企業のデータ侵害レポートによると、サイバー攻撃を受けた企業の規模は従業員数100人以下の企業が全体の66％を占めた。業種別では非金融系が78％だった。これについてドラコ氏は、「攻撃者は発見されるリスクや攻撃の手間がかからない小売店などのWebサイトに侵入して、業務データを盗み出したり、システムを乗っ取ったりしている」と指摘する。このため同社は、中堅・中小企業にWebアプリケーションファイアウォール（WAF）の導入提案に注力しているとのことだ。

　WAFとは、Webシステムを狙う攻撃に特化した対策システム。クロスサイトスクリプティングやSQLインジェクションといったWebシステムの脆弱性を突く攻撃を遮断する。Webシステムの脆弱性対策は、コストや手間、時間がかかるために敬遠されることが多く、まずはWAFで攻撃を防ぐことを勧めているITセキュリティ専門家も多い。

　しかしWAFの運用は、チューニングや攻撃パターンへの追従などにおいて高度な知識や経験が必要になり、Webシステムの仕組みやセキュリティに詳しい人材が不可欠とされてきた。このためWAFの運用を代行したり、機能をオンラインで提供したりするサービスが徐々に増えている。

　BarracudaのWAFは、基本的にユーザー自身が運用する製品とのこと。だが攻撃パターンへの追従は、同社のセキュリティ研究部門が頻繁に提供する最新情報が自動的に適用される仕組みであるため、運用の手間がかからないとドラコ氏は強調する。このほかにも、攻撃者からWebサーバの存在を知られないようにするリバースプロキシ機能や多要素認証機能などを備える。

　また外部機関に委託してユーザー調査も実施し、ユーザーの25％が1日以内に、64％が1週間以内に導入を完了できたと答えたという。93％の企業はWAFの対策効果を実感しているとも答えていた。

　同社のWAFは、自前でセキュリティ対策をするユーザー企業にとっては満足度の高い製品であるようだ。ただ、国内では同社が利用を呼び掛ける中小企業の多くが、ASPサービスやホスティングサービスを利用し、Webシステムの運用を外部委託している。WAFを使うにはサービス事業者の対応が必要になってくる。

　ドラコによれば、サービス事業者との提携も進めており、既に米国の大手サービス事業者のRackspaceがBarracudaのWAFの機能をユーザーに提供しているという。国内でも今後サービス事業者との提携を広げていきたいとの方針だ。

　インターネットサービスのユーザー認証に使われる変形文字の「CAPTCHA」について、米スタンフォード大学の研究チームが自動化されたツールを開発し、大手サイトが使っているCAPTCHAの多くを破ることに成功したと発表した。

　CAPTCHAはインターネットのアカウントなどを登録しようとしている相手が人間かコンピュータかを見分け、不正な登録を防ぐために広く使われている。研究チームは自動化されたキャプチャ解決ツール「Decaptcha」を使い、Baidu、CNN、eBay、Google、Recaptchaなどの15サイトで現在使われているCAPTCHAに対して通用するかどうかを調べた。

　その結果、GoogleとRecaptchaを除く13サイトのCAPTCHAを破ることに成功したという。

　この結果を受けて研究チームは、CAPTCHAの設計者がこうした自動化攻撃に対抗するための対策として、CAPTCHAの長さや文字サイズのランダム化といった方策を提言。一方で、複雑な文字列は人間を混乱させるだけで、取り立てて効果はないと結論付けている。

　研究結果は米シカゴで開かれたセキュリティカンファレンスで発表された。

　産業制御システムを狙うマルウェアのStuxnetに酷似した新手のマルウェア「Duqu」が見つかった問題で、米Symantecなどは11月1日、DuquのインストーラにWindowsカーネルの未解決の脆弱性を突いたWordファイルが使われていたことが分かったとブログで伝えた。

　同社によると、Duquのインストーラファイルはハンガリーのブダペスト工科経済大学の研究チームが発見したもので、これまで知られていなかったWindowsカーネルのコード実行の脆弱性を利用。この問題を突いたWord文書（.doc）を開くと悪質なコードが実行され、Duquのバイナリがインストールされる仕組みになっていた。

　問題のWordファイルは標的とする企業に照準を絞った内容だったという。ただしこのインストーラ以外にも、別の組織に対する攻撃には別の手口が使われている可能性もあるとSymantecは解説する。

　同社の調査では、Duquはこれまでのところ欧州、インド、イランなど8カ国に拠点を置く6組織で感染が確認されているという。現時点では見知らぬ相手から届いた文書に注意するなどセキュリティのベストプラクティスに従う意外、感染を避ける確実な方法はないとしている。ただ、主要ウイルス対策ソフトウェアではDuquの検出には対応している。

　米Microsoftのセキュリティ対策チームは同日、Windowsカーネルの脆弱性が発覚したことについて、「Duquマルウェアに関係しているとみられる脆弱性の解決に当たっている」とTwitterで対応を表明した。