止まらない！Webサイトを経由した攻撃

yukimatsu — Fri, 13 May 2011 04:24:29 +0000

IPAから公開されている「2011年版 10大脅威『進化する攻撃・・・その対策で十分ですか？』」の
10大脅威の中で第2位となったのは「止まらない！ウェブサイトを経由した攻撃」です。

資料の中ではガンブラーとSQLインジェクションが取り上げられていますが、
共に超有名な脅威なのですが、それでも対策が不十分なケースが多かったのが改めて分かります。

ガンブラーは、2009年頃から出てきたウィルスで、企業のWebサイトに不正な
コードを挿入してWebサイトを改ざんしていくウィルスです。
ガンブラーに関して当初は日本の大手企業も被害にあった事例が報告されていましたが
カスペルスキーを始めとするウィルス対策ソフトベンダーが対応をしていき
次第に被害にあったというニュースは減ってきたのですが
今回のレポートでも被害がなくなっている訳でないことが分かりますね。

色々なガンブラーの亜種も出てきているようです。

対策としては、まずは基本中の基本であるウィルス対策ソフトの更新をしっかりすること！

SQLインジェクションもそうなのですが、Webサイトを改ざんされた場合は
自社が被害者になるだけでなく、そのサイトが踏み台にされることにより
同時に加害者にもなってしまう可能性があります。

自社のサイトを見に来てくれたお客様や見込み客に迷惑を掛けることもありますので
企業としてWebサイトの管理は、しっかりとしていく責任があります。

ちなみに、LRMはカスペルスキーの正規販売代理店です。
カスペルスキーの導入を検討されている場合は是非ご一報下さい。

[参考サイト]JPCERT：「Web サイト改ざん及びいわゆる Gumblar ウイルス感染拡大に関する注意喚起」

「人」が起こしてしまう情報漏えい

yukimatsu — Tue, 05 Apr 2011 09:05:06 +0000

IPAから2011年3月24日に「2011年版 10大脅威『進化する攻撃・・・その対策で十分ですか？』」が公開されました。
PDFで資料がダウンロード可能ですのでセキュリティ担当の方は目を通しておいた方が良いでしょう。

今回から何回に分けて10大脅威の中で気になった点をブログで取り上げていきたいと思います。
まず、最初は堂々の（？）第1位となった「人」が起こしてしまう情報漏洩です。

ちなみに「人」が起こしてしまう情報漏洩は2006年度からずっと10大脅威にランクインしている定番の脅威です。

2006年度からの順位の変遷は以下のようになっています。
7位(2006)→3位(2007)→5位(2008)→5位(2009)→1位(2010)

セキュリティ対策というとイメージ的には、何でもかんでもシステムで対応すると思われている方も多いですが、実際はそんなことはありません。
もちろん中にはお金がたっぷりあってシステムでガッチリしている会社もありますが、多くの中堅・中小企業ではシステム以外の部分での対応もしています。

俗に言う「運用でカバーしています」という状況です。
この場合はどうしても漏洩が起こる可能性が高くなります。

資料では故意による情報漏えいとして①データの持ち出しと②暴露・組織外部への情報流布、過失による情報漏えいとして①誤送信と②紛失・盗難が上げられています。

故意による情報漏えいの②に関しては、TwitterやFacebookを始めとして個人でも手軽に情報を外部に発信できる環境になったのも影響していると思います。
悪気がなくて、いつものようにつぶやいたら、つぶやいた内容に業務内容が含まれていて後で取り返しがつかなくなった事例もあります。

過失による情報漏えいの①に関しては、メール、FAXともに誤送信がなかなかなくなりませんね。
こちらに関してはメールの暗号化等で間違えて送っても内容が分からないようにする等のソリューションが出ていますので自社にあった対応をしていくのが良いと思います。

敢えてメールの利用を制限して、チャットや掲示板で情報のやり取りをするのも1つの手段だと思います。

情報漏えいの場合は、起こってしまった場合に企業イメージの低下や損害賠償等が発生するなど企業経営に直接影響を与える可能性があるので従業員が増えるほど、しっかりと対策をとっていかないとダメでしょう。

[参考サイト] IPA：「2011年版 10大脅威進化する攻撃．．．その対策で十分ですか？」を公開

大阪のベンチャー企業 LRM代表幸松のブログ » 10大脅威

止まらない！Webサイトを経由した攻撃

「人」が起こしてしまう情報漏えい