NRI Secure SANS NewsBites 日本版

Vol.2 No.24 2007年6月19日発行

**********************************************************************
NRI Secure Security Information
(SANS NewsBites、@RISKサマリー版)
Vol.2 No.24 2007年6月19日発行
**********************************************************************

このニュースレターは、情報セキュリティの専門機関であるSANS Instituteが
配信するコンテンツ(SANS NewsBites、@RISK)をベースに、NRIセキュアテクノ
ロジーズが編集してお届けしています。世界中でこの1週間に起こったセキュ
リティのあらゆるトピックと専門家のコメントが掲載されています。原版は、
およそ20万人のセキュリティのコミュニティに配信され、資料価値のあるニュ
ースソースとして活用されています。組織のセキュリティ管理に関する参考情
報としてお役立てください。

┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓
       SANS Future Vision 2007 Tokyo 国内初開催!
    ~情報セキュリティの最新動向をキャッチアップする2日間~
    2007年7月17日(火)-18日(水) 会場:シェラトン都ホテル東京

    ◆SANSトレーニング(2日間コース) 特別開催!!◆
Cutting-Edge Hacking Tools:A Hands-On Session for Incident Handlers
[最新]インシデントハンドラーのためのハッキング技術の理解と防御対策演習
       → http://www.event-information.jp/sans-fv/training.html

 >>>地球上で最も危険なネットワークに接続し、ハッキング演習を体験!!
  >>>通常の受講料1,745ドル(約20万円)のところ、
              >>>特別価格69,300円(税込み)にてご提供!!
  >>>限定70席、申込み先着順に受付け
     ※満席が予想されます。お早めにお申込みください。

     参加受付け開始(事前登録制) 詳細はこちら↓↓↓
       http://www.event-information.jp/sans-fv/
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

■■SANS NewsBites Vol.9 No.45-46(原版:2007年6月9日、12日)

■はじめに(Alan Paller:SANS Director of Research)

FISMAの最後の支援者さえも、とうとう「致命的な欠陥のある法」であること
を認めた。この法案の作成者であるTom Davis氏は昨日の米国政府改革小委員
会公聴会で、「政府はセキュリティに関して、ただチェックボックスにチェ
ックを入れていくだけという考え方を避けるべきだ」と述べた。FISMAは、
チェックボックス形式の報告に重点を置いていたため、政府局はFISMA報告書
をただ作成し、安全であるふりをする日数だけを無駄に費やしていったのであ
る。米国行政予算管理局のKaren Evans氏は、「政府局が、法の遵守を単なる
事務処理のように見なすだけであれば、その安全性はいつまでたっても確保さ
れない」と証言した。「法文の字面にだけ従えば、政府局が次から次へと機械
的に報告書を作成するだけの状況になってしまう。安全性を確立するプログラ
ムとは言えない」とも述べた。明らかに、ほとんどの政府局は「単に報告書を
作成するだけ」のカテゴリーに収まる。収益10億ドルを超えるサービスプロバ
イダの代表であり、無意味なFISMA報告書を作成しているITAAでさえも、この
コメントに合意している。ITAAのPhil Bond氏は議会に対し、FISMA 2.0が必要
だと述べた。
一方、Karen Evans氏はセキュリティを向上させる目的で、連邦政府の購買力
を利用した革新的な提案を議会で説明した。購買力を利用する方法は、FISMA
で無視されていた重大な手順である。Evans氏は、暗号化ソフトウェアを政府
全体で購入することを発表し、これには州政府も参加できるようにするとい
う。さらに、政府全体にVistaやWindows XPを導入し、セキュアな設定を義務
づけることが重要であると述べた。

---
ワシントンDCにて8月15・16日開催のApplication Security Summit申込み受付
開始。たくさんのユーザー(大手銀行、航空宇宙企業など)が、主なツールや
生活環境におけるセキュリティ構築に関する経験・教訓を提供。アプリケーシ
ョンセキュリティ新開発に関する専門家のブリーフィングも。
http://www.sans.org/appsummit07/
────────────────

◆代用教員 ポップアップで再審理(2007.6.7)

コネチカット州の代用教員Julie Ameroに対する有罪判決は、一時保留となっ
た。Hillary B. Strackbein判事は、被告人の再審請求を認め、陪審は、未成
年への障害未遂でAmeroを有罪とした2007年1月5日付の判決を差し戻した。検
察側は、Ameroは意図的にポルノ画像のあるWebサイトを訪問し、教室内の中学
生にアダルト画像を閲覧させるに至ったと主張。しかしAmeroは、教室内のコ
ンピュータにはすでにポルノ画像のポップアップが氾濫していたとの姿勢を崩
さない。その画像を閉じても、さらに別の画像が現れたという。彼女の裁判の
ことを知った研究者が、問題のコンピュータにフォレンジック検査を行ったと
ころ、検察側が主張した状態とは相反していたことがわかった。そこで、コネ
チカット州はコンピュータを改めてテストするよう命令し、そのテスト結果は
前述の研究者が行ったものと一致したのである。侵害的なポップアップが現れ
た問題のPCには、ファイヤウォールもセキュリティソフトウェアもなかった。
ユーザーがヘアスタイルのWebサイトを訪問したときにマルウェアに感染した
という証拠もある。先の判決を保留するにあたって判事は、「Ameroが意図的
にポルノ画像のあるサイトを訪問していた」という警察官の証言も棄却。陪審
員らは、この証言をもとに判決を下したようである。再審日程は現在では未定。
http://news.bbc.co.uk/2/hi/technology/6729905.stm
http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=9023860&source=rss_topic17
http://www.vnunet.com/vnunet/news/2191543/supior-court-judge-ordered
http://www.theregister.co.uk/2007/06/06/amero_conviction_set_aside/print.html
http://blog.washingtonpost.com/securityfix/2007/06/substitute_teacher_granted_new.html

【編集者メモ】(Schultz)
Ameroに対する以前の判決は公平ではないように思われる。警察官の証言も真
実味に欠ける。再審を許諾したStrackbein判事は賞賛に値する。残念ながら、
コンピュータ犯罪関連法の数が増加しているため、このようなケースが今後出
てくることは避けられない。法制度は無罪の人のコンピュータ犯罪容疑を迅速
に晴らすことができるように、どこかで変えられていくべきだ。さらに、教育
機関が適度なセキュリティ対策を適用すれば、Ameroが巻き込まれたような醜
悪な事態発生の可能性も低くなるだろう。
────────────────

◆米国下院議会 新しいスパイウェア法案を可決(2007.6.7)

米国下院議会はスパイ法(Spy Act)を可決した。この法では、他人のコンピ
ュータに、ユーザーの許可なしにソフトウェアがインストールされるように仕
向けた者に懲罰を下すことができる。また、コンピュータにインストールされ
ているセキュリティ対策を阻もうとするソフトウェアを配信・販売する行為や、
個人情報を許可なしに送信する行為、それを連邦犯罪に利用することも違法と
なる。この法案に対する批評の中には、同法によってクッキーの使用も禁止さ
れるかのように解釈されることを危惧するものがある。この批評に加勢してい
る企業らも、スパイウェアやそれに関連する活動をより狭い範囲で定義付けし
ているI-SPY防止法(I-SPY Prevention Act)など、競合策をサポートする形
をとった方が制限的にならなくて済むと述べている。上院議会では、まだどち
らの法案も審議にかけられていない。
http://www.theregister.co.uk/2007/06/07/anti-spyware_legislation_passed/print.html
Spy Act:
http://thomas.loc.gov/cgi-bin/bdquery/z?d110:HR964:
I-SPY Prevention Act:
http://thomas.loc.gov/cgi-bin/bdquery/z?d110:h.r.01525:
────────────────

◆データベースのセキュリティ改善必要(2007.6.4-5)

Ponemon Instituteは、世界の企業のIT部門、計649部門の調査を行った。この
調査によると、40%の組織は、変則的な活動の有無を確認するためのデータベ
ース監視がない、もしくはそのような監視活動の有無を把握していないという。
半数以上の組織が500以上のデータベースを保持していた。57%の回答者が、
セキュリティにおける一番の懸念事項はインサイダーによる脅威だと答えてい
る。顧客や従業員の個人情報は、保護されるべきデータの3位、4位にとどまっ
た。
http://www.siliconrepublic.com/news/news.nv?storyid=single8482
http://www.cgidir.com/news/press/070604PonemonInstituteSurvey.html
────────────────

◆米国行政予算管理局 デスクトップ設定基準を支援すべく購入契約ルールを
  導入(2007.6.5)

2007年3月22日付米国行政予算管理局(OMB)発行メモによると、全政府局に2008
年2月1日までにWindows XP/Vistaデスクトップの設定基準に移行するよう義務
付けるという。同メモには、政府局が使用すべき購入手順ルールが示されてい
る。このルールでは、購入するハードウェアやソフトウェアが設定基準を必ず
サポートできることが条件となっている。推奨事項には、「情報技術の提供者
は、アプリケーションが連邦デスクトップ・コア設定(Federal Desktop Core
Configuration)のシステムで、しかるべき正しい動作をすることを保証する」
ことが明示されている。さらに、「基準の実装、運用、管理、ソフトウェアの
更新やパッチ適用によって基準設定が変更されない」ことや、「通常のエンド
ユーザー用に設計されたアプリケーションは、昇格されたシステム管理権限な
しで、基準となるユーザーコンテクストで動作しなくてはならない」とされて
いる。
http://www.fcw.com/article102895-06-05-07-Web
http://www.whitehouse.gov/omb/memoranda/fy2007/m07-18.pdf

【編集者メモ1】(Pescatore)
OMBが、全てのデスクトップをXPやVistaにすることよりも、XPやVistaのデス
クトップがセキュアな設定基準になっていることを義務付けていることに注意。
最新のOMBメモで重要なのは、設計するアプリケーションがその設定で動作す
るようソフトウェアベンダーが確認することの必要性に触れている点だ。OMB
は、その確認について、検証や保証という形で言及すべきだろう。それなくし
て、政府局がベンダーに依頼するだけでは、アプリケーションの正常な動作を
確実にすることはできまい。
【編集者メモ2】(Kreitner)
アプリケーションの法令遵守をテストするためには4つのステップが必要:
(1)システムの設定が基準に準拠していることを確認
(2)アプリケーションをインストールして、設定パラメータがどれも変更され
  ていないことをチェック
(3)アプリケーションベンダーから「アプリケーションの操作や更新によって、
  設定に変更が生じないこと」や、万が一変更があった場合の懲罰を明記し
  た契約を組み込む
(4)定期的にシステムをチェックして、基準設定がしかるべき形に維持されて
  いることを確認
【編集者メモ3】(Paller)
このルールは連邦政府だけのためにあるわけではなかろう。1,000台以上のコ
ンピュータを保持する企業(もしくそれより若干小規模の企業)は全て、セキュ
アなデスクトップの設定基準を使用すべきである。当該企業群が連邦政府の基
準を採用すれば、パッチテストが十分に行われていると確信できる。新購入ルー
ルは、世界のいたる所でソフトウェアを購入する中規模もしくは大企業が採用
すべきだ。
【編集者メモ4】(Skoudis)
拍手を送りたい。しかし、マルウェア流布者に、ある見逃せない能力をもたら
す可能性がある。政府マシンのフィンガープリント取得能力だ。セキュアな設
定がどんなに徹底されていたとしても、マルウェアが一度でも乗っかってしま
えば、その内容をチェックできる。「でも悪い輩はマシンのネットワークアド
レスですでに特定できているのでは?」と思われるかもしれない。しかし、こ
のデスクトップ設定基準の支援によって、送られてくる政府のシステム内容を
検知し、ブロードバンド接続(ネットワークの防御レベルが最低であることが
多い)でその設定を使用することが、労せずとも可能になるのだ。つまり、設
定基準自体はよいことだが、このようなフィンガープリント取得能力をもたら
す危険性もはらんでいるということである。
────────────────

◆小売企業 PCIデータセキュリティ要件に不満(2007.6.11)

このほどERIexchange(注:小売・流通システムに関するカンファレンス)に
出席した小売企業の代表らは、支払いカード産業データセキュリティ基準
(PCI基準)で彼らが負うことになるセキュリティ負荷に苛立ちの声をあげた。
不満の声の中には、法遵守関連費用の負担や、クレジットカード払いの複雑化
による顧客離れの懸念に対する声もあった。また、PCI基準を作成したクレジッ
トカード会社は基準導入時に小売企業と綿密に連携しておくべきだったと感じ
ている者もいたようだ。クレジットカードを使用できる店舗で6月30日までに
同法が遵守できない店舗は、最高で50万ドルの罰金が科されるほか、クレジッ
トカード決済ができなくなる可能性もある。
http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=295448&source=rss_topic17
http://www.itbusiness.ca/it/client/en/home/News.asp?id=43873

【編集者メモ1】(Schultz)
小売企業には同情できる点もあるが、できない点もある。特に遵守レベル1 に
関するPCI-DSSの条項の中には、過度に目くじらをたてすぎているきらいがあ
る項目もある。ただ、セキュリティ関連の基準や規則にかかる費用について組
織が不満をもらすのは当然だ。はじめからよりよいセキュリティ慣行があれば、
このような基準や規則を設ける必要性もなかっただろう。
【編集者メモ2】(Pescatore)
基準に参加するように働きかける目的で、支払いカード産業がPCI基準委員会
を形成したはずだが、その委員会からの動きはまだほとんどない。
【編集者メモ3】(Skoudis)
PCI基準は、果たすことが難しいような高尚な目標ではない。私が関わってい
る調査の中にはPCIよりも重要な情報を処理する組織があるが、彼らは「PCI基
準は満たしている」と口を揃えて言う。しかし覚えておいてほしいのは、PCI
はクレジットカードを受け入れている企業に対するほんの最低限の基準に過ぎ
ない、ということだ。より重要なデータを処理している組織であれば、そのセ
キュリティ慣行はPCI基準よりも厳しいものでなければならない。
【編集者メモ4】(Grefer)
不平をもらしている店舗は、PCI基準を満たさなかったためにインシデントが
発生したにもかかわらず、明らかに辛酸をなめるような状態にはまだ至ってい
ないようだ。
【編集者メモ5】(Kreitner)
これは、情報セキュリティを厳しくすれば必ず発生することが明らかなタイプ
の抵抗である。だから乗り越えなければならない。痛みなくして情報セキュリ
ティの向上なし。
────────────────

◆インド ITプライバシー監視組織設立予定(2007.6.7-8)

インドのIT産業グループNASSCOMは、同国のITアウトソーシング産業のセキュ
リティとプライバシーを監視する組織を設立する予定だ。新組織、インド・デ
ータセキュリティ委員会(DSCI)は、NASSCOMとは別の独立した組織であり、諸
外国が抱いているセキュリティ上の懸念の緩和を促進する。インドには、IT業
務を同国に委託する側の企業の国にあるようなIT法の類に値するデータ保護法
が存在しない。DSCIは、プライバシーおよびセキュリティのポリシー用に共通
のベースライン基準を作成し、認定を発行、倫理規定やベストプラクティスを
施行し、インドのIT企業やBPO企業による侵害に懲罰を与えていくという。
http://services.silicon.com/bpo/0,3800004865,39167417,00.htm?r=1
http://www.vnunet.com/computing/news/2191739/india-gets-privacy-watchdog

【編集者メモ】(Pescatore)
DSCIがどのように監視業務を行うのかが明らかにされれば、まことに喜ばしい
ニュースだ。しかし、むしろ米国も含めてどこの国に、データ保護法に値する
ような適切なIT法があるのだろう?

■■■■■ @RISK:The Consensus Security Vulnerability Alert ■■■■■
        (原版:2007年6月11日配信 Vol.6 No.24)

@RISKは、前週1週間に発見された重大な脆弱性およびエクスプロイトをリスト
アップした脆弱性のサマリー情報です。SANS Instituteと3ComのTipping Point
チーム主導の下に作成され、12社のセキュリティ管理者で構成される「セキュ
リティマネージャ委員会」の具体的アクションも掲載されています。組織のシ
ステムを保護するために有益で的確なガイダンスを提供します。

<今週報告された脆弱性情報のサマリー>
======================================================================
カテゴリー              件数(#は本稿掲載番号)
======================================================================
Windows                 2
サードパーティのWindowsアプリ      17(#1,#2)
Linux                  5
Solaris                 3
Unix                   2
クロスプラットフォーム         21(#3)
Webアプリ…XSS             12
Webアプリ…SQLインジェクション      8
Webアプリケーション           20
ネットワークデバイス           2
======================================================================

■はじめに(Alan Paller:SANS Director of Research)

今週の重大な脆弱性トップ3によって、アタッカーがアプリケーション内にあ
る欠陥に再度狙いを定めるようになってきたことがわかるだろう。すなわち、
注意喚起の役割も果たしていることになる。Active-Xコントロールや、
Symantecのバックアップ製品、CAのアンチウィルス製品は、標的がアプリケー
ションに流行的に移行した2005年夏以来、幾度も攻撃の的になってきた。

P.S.
我々は、政府や民間のアプリケーションバイヤーが購入したり構築したりする
アプリケーションが購入時にできるだけ安全であるように、新しい調達ルール
パックを作成しており、もう少しで完了するところである。このルールパック
はApplication Security Summit参加者全員に配布される。バイヤーやベンダ
ー、開発者としてアプリケーションの安全性に興味のある方は、8月にワシン
トンDCで開催されるこのSummitに是非ご参加を。プログラムの詳細はこちら:
https://www.sans.org/appsummit07/
────────────────

1.危険度【高】:複数のActiveXコントロールに複数の脆弱性

<影響のある製品>
Macrovision FLEXnet "boisweb.dll" ActiveXコントロール
Provideo Camimage "ISSCamControl.DLL" ActiveXコントロール
E-Book Systems FlipViewer ActiveXコントロール
Authentium Command Antivirus ActiveXコントロール
Logitech VideoCallの複数のActiveXコントロール

<詳細>
上記のActiveXコントロールには、リモートのコード実行およびコマンド実行
に至る脆弱性が報告されている。細工されたWebページによってこれらのコン
トロールがインスタンス化されると、脆弱性が悪用され、現在のユーザー権限
で任意のコードが実行されてしまう。任意のActiveXコントロールを狙う再利
用可能なエクスプロイトコードが広範囲に出回っており、問題のコントロール
をアタックできるように手軽に改変できるので注意が必要だ。また、これらの
脆弱性のいくつかについては、技術的詳細が公表されている。

<現状>
これらの脆弱性の現状をベンダーに問い合わせて確認するべきだ。今のところ、
Macrovisionの脆弱性のみが、ベンダーによって修正されたことが確認できて
いる。Microsoftの"kill bit"機能を介して問題のコントロールを無効にすれ
ば、これらの脆弱性の影響を軽減できる。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
TippingPoint DVLabsのセキュリティアドバイザリ
http://dvlabs.tippingpoint.com/advisory/TPTI-07-09
Macrovisionのセキュリティアドバイザリ
http://support.installshield.com/kb/view.asp?articleid=Q113020
概念実証コード
http://downloads.securityfocus.com/vulnerabilities/exploits/24279.html
http://downloads.securityfocus.com/vulnerabilities/exploits/yim-upload-exp.txt
http://downloads.securityfocus.com/vulnerabilities/exploits/yim-viewer-exp.txt
Microsoft知識ベースの記事 ("kill bit"機能を解説)
http://support.microsoft.com/kb/240797
Provideoのホームページ
http://www.provideo.com.tw/
FlipViewerのホームページ
http://www.flipviewer.com/fv/
Authentiumのホームページ
http://www.authentium.com/
Logitechのホームページ
http://www.logitech.com/
Yahoo! Messengerのホームページ
http://messenger.yahoo.com/webmessengerpromo.php
SecurityFocus BIDs
http://www.securityfocus.com/bid/24328
http://www.securityfocus.com/bid/24279
http://www.securityfocus.com/bid/24255
http://www.securityfocus.com/bid/24254
http://www.securityfocus.com/bid/24354
http://www.securityfocus.com/bid/24355
────────────────

2.危険度【高】:Computer Associates Anti-Virus EngineのCAB処理にバッフ
  ァオーバーフローの脆弱性

<影響のある製品>
Computer Associates Anti-Virus Engineを使用しているソフトウェア。報告
されている製品は以下の通り:
Computer Associates Anti-Virus
eTrust EZ Antivirus
Computer Associates Internet Security Suite 2007 eTrust Internet
Security Suite eTrust EZ Armor Computer Associates Threat Manager
Computer Associates Protection Suites Computer Associates Secure Content
Manager Computer Associates Anti-Virus Gateway Unicenter Network
Systems Management BrightStor ARCserve Backup Computer Associates Common
Services

<詳細>
Computer AssociatesのアンチウィルスエンジンのCAB ("cabinet")アーカイブ
ファイル処理には、欠陥が2つある。保存されているファイル名が過剰に長か
ったり、CABファイルのヘッダーが不正形式だったりすると、バッファオーバ
ーフローの脆弱性が引き起こされる。バッファオーバーフローのいずれかの悪
用が実現すれば、スキャン・プロセス権限で任意のコードを実行できるように
なってしまう。アンチウィルスエンジンは、メールサーバに対して実行される
場合が多く、そうでない場合は自動的にシステムをスキャンするよう設定され
ているため、問題のソフトウェアを使用しているサーバにメールを送信するか、
脆弱なユーザーにCABファイルを送信するだけで、この脆弱性が引き起こされ
てしまう。この脆弱性の技術的詳細がいくつか公表されている。

<現状>
Computer associatesは、この問題を認めており、更新をリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
Zero Dayイニシアチブのアドバイザリ
http://www.zerodayinitiative.com/advisories/ZDI-07-034.html
http://www.zerodayinitiative.com/advisories/ZDI-07-035.html
Computer Associatesのセキュリティ通知
http://supportconnectw.ca.com/public/antivirus/infodocs/caantivirus-securitynotice.asp
Cabinet Archive FormatについてのWikipediaの説明
http://en.wikipedia.org/wiki/Cabinet_(file_format)
Computer Associatesのホームページ
http://www.ca.com
SecurityFocus BID
http://www.securityfocus.com/bid/24330
────────────────

3.危険度【高】:Symantec Veritas Storage FoundationのScheduler Service
  に認証回避の脆弱性

<影響のある製品>
Windows用Symantec Veritas Storage Foundationのバージョン5.0

<詳細>
ストレージ管理、高可用化ソフトとして広範囲で使用されているSymantec
Veritas Storage Foundationには、スケジューラがある。この機能は、クライ
アントがサーバシステムに実行スケジュールを入力するときに用いられるが、
リクエスト検証に欠陥がある。細工されたリクエストを送信すると、スケジュ
ーラへの認証が回避され、任意のコマンドがスケジュールとして入力されてし
まう。入力されたコマンドは、スケジューラ・プロセス権限(SYSTEM権限の場
合もある)で実行されてしまう。この脆弱性の技術的詳細のいくつかが、公表
されている。

<現状>
Symantecはこの問題を認めており、更新をリリースしている。可能であれば、
ネットワーク境界でTCP4888番ポートをブロックするとよい。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
TippingPoint DVLabsのセキュリティアドバイザリ
http://dvlabs.tippingpoint.com/advisory/TPTI-07-08
Symantecのセキュリティアドバイザリ
http://seer.entsupport.symantec.com/docs/288627.htm
Symantecのホームページ
http://www.symantec.com/index.jsp
SecurityFocus BID
http://www.securityfocus.com/bid/24194

=======
ここに掲載されている情報は、e-mailを介して自由に他の方に再送していただ
いて結構です。ただし、サイトへの掲載は禁じます。日本語版の無料購読を希
望する方は下記までご連絡ください。

このメールは、SANS関連のイベントに参加された方、RSA Conference等の弊社
講演枠に登録された方、弊社からの情報を希望された方を中心に配信していま
す。
配信を希望されない方は、恐れ入りますが件名に「配信停止」とお書きいただ
き、info@nri-secure.co.jpまたはinfo@sans-japan.jpまで返信してください。