お客様のビジネスシステムを支える様々なソフトウェアをワンストップでご提供

ニュースリリース news

メールマガジン

三和コムテック Webセキュリティメルマガ  2015.6月号

◆ ━...‥‥...━...‥‥...━...‥‥...━...‥...━━...‥...━...━‥... ◆    三和コムテック Webセキュリティメルマガ  2015.6月号 ◆ ━...‥‥...━...‥‥...━...‥‥...━...‥...━━...‥...━...━‥... ◆ いつも三和コムテックをご愛顧いただき厚く御礼申し上げます。 本メールは、弊社社員と名刺交換をさせていただいた方、弊社の商品に関する 情報送付を希望されたお客様の電子メールアドレス宛にご案内しております。 ┏...<< 2015.6月号の目次 >>.........................................................┓  □ なぜ内部診断が必要なのか?  □ 【 特別寄稿 】みんなに必要な「安全なWebアプリケーションのセキュリティ」  □ SCTブログ更新しました!  □ 標的型攻撃について  □ 標的型攻撃の早期発見とその対応 ~テクニカル編~  □ 年金機構からの情報漏洩 ~教訓と今できることは?~ ┗...................................................................................┛ ┏━┓ ┃1┃ なぜ内部診断が必要なのか? ┗━╋...───────────────────────────────────────────    リアクティブ(反応的)なセキュリティ対策の限界 日本年金機構の個人情報の流出が大きな話題となりました。今回の事件は公的な機関の信用を 損なったのみならず、流出した情報を利用した詐欺などのさらなる犯罪被害も予想されるため、 損害の規模は計り知れません。 原因は、年金機構の職員がウイルスの添付されたメールを開いてしまったことでネットワーク内部に ウイルスが感染し、情報を流出させるための裏口を作り得たことにあります。 こういった裏口は"バックドア"と呼ばれ、ハッキングの手法として昔からよく使われているものです。 続きはこちら⇒ http://www.sct.co.jp/business/detail/000814.shtml?src=ws1506 ┏━┓ ┃2┃ 【 特別寄稿 】みんなに必要な「安全なWebアプリケーションのセキュリティ」 ┗━╋...──────────────────────────────────────────────    Penta Security System社 のHyeYoung Hwang氏より再度特別寄稿をいただきました。    今回はWebアプリケーションのセキュリティについてです。 「韓国ではネットサイトの取引価格情報を1万3千ウォンから44億ウォンに改竄し、多額の利益を不正取得した 容疑者らが逮捕される事件がありました。Webサイトの脆弱性を狙ったこの事件は、一見巧妙な手口の ハッキング攻撃のように見えますが、実際には価格に関わるパラメータ(Parameter:媒介変数)を修正して 利益を奪取する「パラメータ・タンパリング(Parameter Tampering)」攻撃関連の犯罪です。 このパラメータ・タンパリング攻撃は、Webセキュリティ、その中でもアプリケーションのセキュリティに関わる 基礎的な攻撃にも関わらず、未だに脆弱性を突くこのようなWeb攻撃による被害をこうむっていることは 大変残念なことです。」 続きはこちら⇒ http://www.sct.co.jp/business/detail/000815.shtml?src=ws1506 ┏━┓ ┃3┃ SCTブログ更新しました! ┗━╋...────────────────────────────────────────────── 海外ネタや気になるセキュリティ関連の最新ニュースをブログ記事でご紹介しております。    標的型攻撃メールの見分け方 個人情報流出の多くの原因となるウイルス付の電子メールの開封。 これに関連して、スロバキアの会社がリンクをクリックする前に確認すべき5つのポイントを作成しています。 http://news.mynavi.jp/news/2015/05/25/419/ 続きはこちら⇒ http://www.sct.co.jp/blog/websecurity/#812?src=ws1506    また、セキュリティブログはFacebook連動しております。    よろしければ、Facebookに「いいね!」をお願いします。 Facebookページはこちら⇒ https://www.facebook.com/sanwacomtec ┏━┓ ┃4┃ 標的型攻撃について ┗━╋...──────────────────────────────────────────────    標的型攻撃に対するソリューションについて あるセキュリティアナリストによるとこの標的型攻撃は一度標的にされると 100%防御することは不可能と断言しています。 では、その対策とは... 続きはこちら⇒ http://www.sct.co.jp/business/detail/000813.shtml?src=ws1506 ┏━┓ ┃5┃ 標的型攻撃の早期発見とその対応 ~テクニカル編~ ┗━╋...──────────────────────────────────────────────    標的型攻撃の早期発見とその対応 先日発生した日本年金機構による個人情報流出インシデントの影響を受けて、 IPA(情報処理推進機構)はウイルス感染によるセキュリティインシデントを防ぐためのウイルスの早期発見と対策について 注意喚起を行っています。 ファイアウォールやプロキシサーバーなどの外部と内部ネットワークのアクセス集積機器や、ユーザー情報などを記録する Active Directoryサーバーの通信状態やログを確認することで、端末がウイルスに感染したかを発見できる可能性を示しています。 具体的な内容をご紹介します。 ファイルウォールやプロキシサーバーについては下記を確認 ・通常のアクセスとは異なり、頻繁な通信が発生していないか ・プロキシを介さない直接外部への通信やそのほか意図しない外部への通信が発生していないか ・正常な通信においても、その通信内容に不審なものはないか Active Directoryサーバーについては下記を確認 ・不審なログインの試みが見られないか ・意図しないタスクがスケジュール設定されていないか いずれの端末に関しても、運用管理の一つとして恒常的な監視を行っていくことが必要です。 下記IPA注意喚起サイトに「継続的な脆弱性対策の実施」とあるように、社内ネットワークの脆弱性の管理が必要となってきます。 社内でも定期的な脆弱性診断を実施することで常に最新の状況を確認することも有効な手段となります。 http://www.ipa.go.jp/security/ciadr/vul/20150610-checklog.html ┏━┓ ┃6┃ 年金機構からの情報漏洩 ~教訓と今できることは?~ ┗━╋...──────────────────────────────────────────────    過去最大級の衝撃を与えている日本年金機構からの情報漏洩問題 昨日の6月15日に問題の発覚後初めてとなる年金の支給日を迎え、問題の発生の有無に注目が集まりました。 その結果次第では、後に控えるマイナンバー制度導入へも影響が出かねないと見られているためです。 これまでに伝えられているこの事件の実態を受けて教訓とし、実行に移すべき点はやはり自社のセキュリティ対策の3要素である 「人」「ルール(プロセス)」「技術」をそれぞれ見直して点検することではないでしょうか。 自社で実施している教育が本当に機能しているのか? 策定しているルール(ポリシー)とそれをベースにした運用が正しく実施され、そのチェックが甘くなっていないか? ヒューマンエラーや悪意による違反を事前に想定し、事後にも速やかに検知できる技術を用いているか? これらについて早急に確認することです。 そこで三和コムテックでは、メインとしているセキュリティ診断サービスに加え、各社と協力して人やルール対策に関しても 有用な情報をご提供できるようセミナーをどんどん実施していきます。   +-----------------------------------------    担当者必見! マイナンバーお助け無料セミナー ~過剰なシステム、セキュリティ対策に踊らされないために~    準備はもうはじめていますか? 何を準備しなくてはならないか、情報収集に翻弄されている方が多いのではないでしょうか? 準備や検討をされている方を対象に無料セミナーを開催しております。 お気軽にご参加ください。 【参加費】 無料 セミナー申込みページはこちら⇒ http://www.funai-it.com/1898