NRI Secure SANS NewsBites 日本版

Vol.8 No.31 2013年8月6日発行

**********************************************************************
          NRI Secure Security Information
         (SANS NewsBites、@RISKサマリー版)
                     Vol.8 No.31 2013年8月6日発行
**********************************************************************


■はじめに(Alan Paller:SANS Director of Research)
国土安全保障省(DHS)に何が起こっているのか。本日DHSはスザンヌ・スポー ルディングを国家安全プログラム(National Protection and Programs)の次 官に起用すると発表した。この部署は、物理セキュリティとサイバーセキュリ ティを管轄する。今まで担当していたRand Beersについては心配ない。彼はDHS よりももっと重大な役割で必要とされているのだ。つまりはそういうことだ。 DHSにはサイバーセキュリティを国家レベルで対応できる人材がいないと、議 会や政権内の高官が認識したのだ。

┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓
 申┃込┃受┃付┃中┃
 ━┛━┛━┛━┛━┛
          世界最高レベルのセキュリティトレーニングを東京で!
                  = SANS Tokyo 2013 =

       http://sans-japan.jp/training/event.html?xmid=300&xlinkid=01

     <9月開催コース>9/3-4・9/19-20・9/25-26 [6日間]
       【SEC401】SANS Security Essentials Bootcamp Style
     <10月開催コース>10/21-26 [6日間]
       【SEC504】Hacker Techniques, Exploits and Incident Handling
       【SEC575】Mobile Device Security and Ethical Hacking

┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛


■■SANS NewsBites Vol.15 No.060-061
(原版: 2013年7月30日、8月2日)

────────────────

◆マイクロソフト Citadelボットネット撲滅へ(2013.7.26)

マイクロソフトは、Citadelとして知られているマルウェアに使用されていた 90%以上のボットネットをテイクダウンした。今回の摘発は、マイクロソフト とFBI、金融セクター、その他の技術系セクターによる協力によって実現した。 さらに、Citadelへの感染が確認された40%近くのコンピュータからマルウェア が駆除された。どのようにマルウェアが駆除されたかは明らかになっていない。 6月21日、マイクロソフト・デジタルクレームユニットのRichard Domingues Boscovichアシスタントジェネラルカウンシルが投稿したブログ記事には、マ イクロソフトはCitadelのC&Cサーバに代わるシンクホールを設置し、130万個 のIPアドレスを収集した。マイクロソフトは、Shadowserver Foundationなど と協力し、このボットネットの脅威を特定してリスクを軽減させた。しかし、 実際に取得されたドメインの中には研究者がCitadelボットネットを追跡する ために仕掛けたものもあったり、「シンクホールに接続したCitadelに感染し たマシンに設定ファイルを送信することは、所有者に無断でコンピュータの設 定を変更している」といった研究者からの非難の声も上がった。これに対して Boscovich氏は、Citadelは感染マシンに対してセキュリティサイトへのアクセ スを制限していることから、マイクロソフトがCitadelの米国内のC&Cシステム に通信する際には、サイトへの制限を解除できるように裁判所命令を取得して いると述べている。

http://www.computerworld.com/s/article/9241117/FBI_Microsoft_takedown_program_blunts_most_Citadel_botnets?taxonomyId=17
http://blogs.technet.com/b/microsoft_on_the_issues/archive/2013/07/25/public-private-partnerships-essential-to-fighting-cybercriminals.aspx?Redirected=true

────────────────

◆裁判所命令 自動車セリュリティシステムのハッキング情報公開の禁止(2013.7.29)

英高等法院は、情報工学者3名に対して、自動車の「イグニッションキー」を 特定できる暗号アルゴリズムの弱点を説明した研究報告書の公開を禁じるよう に命じた。禁止命令はフォルクスワーゲン社が要請していた。同社は、ポル シェ、アウディ、ベントレー、ランボルギーニも傘下におさめている。研究報 告書で取り上げられているMegamos暗号システムは、多くの高級車種に使用さ れている。フォルクスワーゲンは研究者らに対して、車両盗難に利用される可 能性があることから、情報の一部を削除して公開することを求めていたが、研 究者は、すでにオンラインに情報を公開していた。また脆弱性が発見された チップメーカーには、問題に対応できるように報告書を公開する9ヶ月前に連絡 していた。

http://arstechnica.com/tech-policy/2013/07/high-court-bans-publication-of-car-hacking-paper/
http://www.bbc.co.uk/news/technology-23487928
http://www.theregister.co.uk/2013/07/28/birmingham_uni_car_cracker_muzzled_by_lords/
http://www.v3.co.uk/v3-uk/news/2285415/volkswagen-wins-high-court-block-on-luxury-car-hack-codes

【編集者メモ】(Murray)
今回、学術的研究の自由を正当化する社会的価値が十分にあるとは思えない。
【編集者メモ】(Adrien de Beaupre)
公開された情報に対しては、裁判所命令があってもすでにインターネット内に 広がっているだろう。製造元は、問題を隠すより真摯に対応すべきであった。 脅威があり、脆弱性が存在している場合に、裁判所でリスクは軽減できない。

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃OUCH! 8月号「2段階認証」
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
8月号は、2段階認証について、本人確認やパスワードについての解説も交えて、
一般のユーザ向けに、分かりやすく解説しています。
社員の意識向上ツールとしてお使いください。
http://www.securingthehuman.org/ouch
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━


◆レノボ社製PC 政府機密ネットワークへのアクセスを禁止(2013.7.29)

豪州Financial Reviewの報道によると、米国、英国、豪州、ニュージーランド、 カナダの各国政府は、レノボ製のPCによる機密ネットワークへのアクセスを7 年前から禁止しているという。さらに、各国は「5つの目」と呼ばれる電子傍 受アライアンスと提携している。禁止された理由は、中国政府がバックドアを 仕掛けて監視している可能性があるため。レノボは、IBMのPC事業部を2005年 に買収している。2006年には、米国務省が1万6千台のレノボPCを購入したが、 セキュリティ問題を懸念して機密ネットワーク以外でのみの利用に限定されて いる。

http://www.informationweek.com/security/government/intelligence-agencies-banned-lenovo-pcs/240159087
http://www.theregister.co.uk/2013/07/29/lenovo_accused_backdoors_intel_ban/
http://qz.com/109356/move-over-huawei-theres-a-new-bogeyman-in-town-and-its-called-lenovo/

────────────────

◆米上院議員、NSAデータ収集プログラム変更を検討(2013.7.31)

先日行われたNSAによるデータ収集に制限を加える議会投票は否決された。上 院は、NSAの通信情報収集に特化した法案を提案する予定だ。上院議員は、NSA の活動の透明性を高めることが必要だと述べている。アル・フランケン議員 (民主党・ミネソタ州)が準備している法案は、NSAやインテリジェンスコミュ ニティが何名の情報を収集したか公開する、また、政府局から情報を要請され た件数を各社が公開できるというもの。リチャード・ブルメンサル議員(民主 党・コネチカット州)は、外国情報活動裁判所での改正を視野に入れており、 弁護士を介在させる案をもっている。ダイアン・ファインスタイン(民主党・ カルフォルニア州)は、データ保管期間を5年から2~3年にするべきであると 考えている。

http://www.computerworld.com/s/article/9241265/Senators_push_for_changes_in_NSA_data_collection?taxonomyId=17
http://arstechnica.com/tech-policy/2013/07/senators-take-intelligence-officials-to-the-mat-over-secret-courts-phone-metadata/

────────────────

◆NSA局長 データ収集プログラムを擁護 反対者に提案を求める(2013.7.31)

ラスベガスで行われたBlack Hatの基調講演で、アレキサンダーNSA局長は、同 局が実施しているデータ収集と監視について擁護した。局長は「NSA PRISMの 悪用はない」とした上で、収集の目的はテロ対策であることを強調した。同氏 は、データ収集プログラムが誤解されており、「全てを収集しているというの は真実ではない」と強調するとともに、収集されている通話情報へのアクセス は非常に制限されていると述べた。局長は「我々の方法に賛成できないのであ れば、改善するための協力をすべきだ」と聴衆者に語りかけた。

http://www.wired.com/threatlevel/2013/07/alexander-blackhat-keynote/
http://arstechnica.com/security/2013/07/nsa-director-addresses-black-hat-says-there-have-been-zero-abuses-of-data/
http://www.cnn.com/2013/07/31/tech/web/nsa-alexander-black-hat/index.html
http://www.scmagazine.com/black-hat-alexander-defends-surveillance-programs-in-keynote/article/305418/
http://www.nextgov.com/cybersecurity/2013/07/nsa-chief-asks-techies-help-not-sideline-criticism/67832/?oref=ng-channelriver
http://money.cnn.com/2013/07/31/technology/security/nsa-prism/index.html
局長の基調講演の動画 http://www.youtube.com/watch?v=xvVIZ4OyGnQ
────────────────


┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓
   ■■■Asia Pacific ICS Security Summit & Training■■■
               2013年12月2日~7日
     会場:シンガポール( Grand Copthorne Waterfront Hotel)
     制御システム、スマートグリッドのセキュリティの最新動向をキャッチアップ

     詳細・お申込みはこちら
     http://www.sans.org/event/asia-pacific-ics-security-summit-training/

     ディスカウントコードを入力すると1,200ドルの割引が受けられます!
     Discount Code:NRI
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■┃(ISC)2公式セミナー(有料/早期割引有)      <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◎10月7日(月)~9日(水)/2014年2月17日(月)~19日(水)
 SSCP 7ドメインレビューセミナー
http://www.nri-secure.co.jp/service/isc2/sscp.html?xmid=300&xlinkid=03

◎10月28日(月)~11月1日(金)
 CSSLP 8ドメインレビューセミナー
http://www.nri-secure.co.jp/service/isc2/csslp.html?xmid=300&xlinkid=04

◎11月11日(月)~/2014年1月20日(月)~/3月10日(月)~:各5日間
 CISSP 10ドメインレビューセミナー
http://www.nri-secure.co.jp/service/isc2/cissp.html?xmid=300&xlinkid=02


━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■┃申込受付中のハンズオン研修(有料)        <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◎9月2日(月)・12月16日(月)
 Webアプリケーションセキュリティ:1-DAY ハンズオン
http://www.nri-secure.co.jp/service/learning/original3.html?xmid=300&xlinkid=05

◎9月3日(火)~4日(水)/12月17日(火)~18日(水)
 セキュアJavaプログラミング:2-DAY ワークショップ
http://www.nri-secure.co.jp/service/learning/original5.html?xmid=300&xlinkid=06


━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■┃申込受付中の無料セミナー             <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○8月29日(木)・9月25日(水)・10月22日(火)・11月15日(金)・12月19日(木)
 ファイル共有・転送サービスの正しい選び方
 ~業務効率化・ユーザ利便性とセキュリティを両立させるには~
http://www.nri-secure.co.jp/seminar/2013/file01.html?xmid=300&xlinkid=08

○8月30日(金)<福岡>
 NRIセキュアテクノロジーズ-ISIT連携セミナー
 サイバーセキュリティの脅威と対策ビジネスの展望
http://www.nri-secure.co.jp/seminar/2013/0830.html?xmid=300&xlinkid=09

○9月20日(金)<東京 銀座>
 ISMS規格改訂セミナー ~改訂の中核メンバーが語る!~
http://www.nri-secure.co.jp/seminar/2013/0920.html?xmid=300&xlinkid=10

○9月26日(木)・10月23日(水)・11月21日(木)・12月18日(水)
 事例から学ぶ特権ID・監査ログ管理実践セミナー
 ~今、求められるアクセス管理を短期間・低コストで実現する方法とは~
http://www.nri-secure.co.jp/seminar/2013/ac03.html?xmid=300&xlinkid=07
────────────────

Security NewsLetter(NRI Secure Information)は、情報セキュリティの専門 機関であるSANS Instituteが配信するコンテンツ(SANS NewsBites)をベース に、NRIセキュアテクノロジーズが編集してお届けしています。
世界中でこの1週間に起こったセキュリティのあらゆるトピックと専門家のコ メントが掲載されています。原版は、およそ20万人のセキュリティのコミュニ ティに配信され、資料価値のあるニュースソースとして活用されています。
組織のセキュリティ管理に関する参考情報としてお役立てください。掲載され ている情報は、e-mailを介して自由に他の方に再送していただいて結構です。 ただし、サイトへの掲載は禁じます。日本語版の無料購読を希望される方は、 弊社ホームページの以下のページよりお申込みください。
http://www.nri-secure.co.jp/security/news_letter/index.html

本ニュースレターは、メールマガジン配信を申し込まれた方、弊社からの情報 を希望された方、SANS関連のイベントに参加された方、その他イベント等にお いて弊社講演枠に登録された方に配信しています。
今後、配信をご希望されない方は会社名と御氏名を本文に明記のうえ、件名に 【配信不要】、配信先変更をご希望の方は【配信先変更希望】とご記入頂き、 新旧のご連絡先も記載のうえ、info@sans-japan.jp までご返信をお願い致し ます。なお、情報の反映までにお時間を頂戴する場合がございます。