Hatena::ブログ(Diary)

家庭内インフラ管理者の独り言(はなずきんの日記っぽいの)

<< 2005/11 >>
1 2 3 4 5
6 7 8 9 10 11 12
13 14 15 16 17 18 19
20 21 22 23 24 25 26
27 28 29 30

[インフラとは]
野村総合研究所によると、情報システムを動かすために必要となる部品のうち、業務アプリケーションを除くもの一式を言うそうです。
インフラは様々な部品を組み合わせて実現されていますので、構築する場合にはそれぞれの部品の専門知識が必要になります。サーバやPCの専門家、ネットワーク機器やネットワーク回線の専門家、付帯設備や配線システムの専門家という人がこれに相当します。
[所感]
...そんな、えらいものじゃありません。


Twitter ID:@hanazukin
まっちゃ139    openmyaML
Podcast    勉強会・セミナー情報 - Admintech.jp
はなずきんのアンテナ
日記の一覧
はなずきんてこんな人
IT勉強会カレンダーへ情報提供
Microsoft技術情報
きゃっとまーくめーるで作ったよ
RSS 


count: 忍者ツールズ
since:2004/05/23
この日記のはてなブックマーク数

◆最近の見出し

ITな女子会で『「Microbit」で簡単プログラミング体験』をやってきた。
マシュマロの説明がわかりやすい
詐欺サイトを見つけた場合の通報先などに、フィッシング対策協議会とサイバー犯罪対策課への通報を追記しました。
「urlquery」で「VirusTotal」の検知理由を調べよう!
Facebookの日本語イースターエッグ「大丈夫」「おめでとう」と英語でいろいろイースターエッグ
Facebookで「大丈夫」と投稿すると「いいね」のアニメーションががが
詐欺サイトを見つけた場合の通報先など
「電脳犯罪対策探究会」に京都府警ネット安心アドバイザーとして参加した
子供と作るアイロンビーズ
低学年児から育てる情報リテラシー/「子供/保護者/学校」×「情報リテラシー」 Advent Calendar 2017 #safewebkids
「スマホ世代の子どものための主体的・対話的で深い学びにむかう 情報モラルの授業」レビュー
止まらない迷惑メール・フィッシングメールとどう戦う?/「子供/保護者/学校」×「情報リテラシー」 Advent Calendar 2017 #safewebkids
OWASP Kansai DAY 2017 in Osaka 〜初心者でもわかるサイバーセキュリティ〜に登壇します
白浜シンポジウム オープンセッション 怖がらせすぎないセキュリティ啓蒙についてに参加してきた話
メルカリさんに聞こう!子供とフリマアプリを考える会 2017年3月4日 大阪府で【無料】開催するよ
WEBマンガ「みんな知っている」の最終話を読んで〜わたしは人気者。リアルでも、ネットでも...で始まる物語。
篠原嘉一氏の講演を聞いてきた(情報モラルを考えている人に読んでほしい
小学校登下校時の横断歩道の見守りに見る意見の違いについて
18歳未満の子供の銀行口座が僕を苦しめる
Cloud and Datacenter ManagementでMicrosoft MVPを授賞しました。
 | 

2005-11-02 IPAセミナ in 京都

[]IPA情報セキュリティなせみなに参加中 10:00 IPA情報セキュリティなせみなに参加中を含むブックマーク IPA情報セキュリティなせみなに参加中のブックマークコメント

更新は少なめで。

[]IPA 情報セキュリティセミナー マネージメントコース 14:45 IPA 情報セキュリティセミナー マネージメントコースを含むブックマーク IPA 情報セキュリティセミナー マネージメントコースのブックマークコメント

リンクはPDFを含みます。ざっと、気になったポイントとか、資料入手先とか。口頭のみの部分は検索後リンクをしてみたり。

(1)背景及び基礎知識
  ウィルスの脅威
   ・かつては愉快犯→今は、経済目的が増加している
    内閣官房に情報セキュリティセンターが設立され対策が強化されている
   ・重要インフラを以下に守っていくかを計画している
    今年末までに、発表がされる可能性
   ・情報セキュリティガバナンスの重要性
    ガバナンスの確立「情報セキュリティベンチマーク」
  さまざまな対策
   ・ツールを使った脆弱性検知
   ・外部システム監査の利用
   ・仕事の持ち帰りなどが発生しないように、個人の仕事量を調整する
   ・個人のパソコンで仕事をしないですむように、必要な設備は与える
   ・会社風土の改善
  情報セキュリティのCIA
   ・C 機密性
   ・I 完全性
   ・A 可用性
(2)情報セキュリティマネジメント
  情報セキュリティ:何から 何を 守るのか?
   ・内からの脅威から資産を守るために情報セキュリティマネジメントが必要
  情報セキュリテルマネジメントのPDCA(Plan Do Check Action)サイクルをまわすには
   ・見直し改善(Action)は経営層が行うべき
    →経営陣のかかわりが必須、かかわりをなくして情報セキュリティマネジメントはありえない
  情報セキュリティマネジメントの管理策をJIS X 5080(ISO 17799)を参考にする。
  ISO/IEC 17799:2005 2005年6月に更新されている
  NIST文書の翻訳の紹介
   SP800-53→2005年11月翻訳完了 IPA、Web掲載予定
  情報セキュリティの投資効果が見えない、企業価値に直結しない、必要性が認識されていない
   ・情報セキュリティ対策ベンチマーク:ベストプラクティスから自社の不足内容を把握するためのツール
   ・情報セキュリティ報告書モデル:投資家への説明するためのツール
   ・事業継続計画策定ガイドライン:資料として読むべき
(3)情報セキュリティポリシー
  情報セキュリティポリシー:なぜ? 何を? どのように?
   →組織の経営者が社内外に宣言して、徹底を図るべき
  情報セキュリティ実施基準
   ・守らないといけない理由や、脅威によって発生する事例を示す
  情報セキュリティ実施手順(マニュアルのようなもの)
  ポリシーは普遍的、実施手順は頻繁に変更される。
(4)リスクマネジメント
  リスクマネジメント:許容されるコストで行うこと
  リスクマネジメントの分析手法の種類
   ・ベースラインアプローチ:既存の標準や基準を元にチェック
   ・非形式的アプローチ
   ・組合せアプローチ
  ISMSユーザーズガイドに詳細有り
   ・世間一般的なリスク因子のテーブル参考資料
  IPA セキュリティ対策セルフチェックシートウィルス対策チェックシート
  ECOM 情報セキュリティ対策評価モデル
   ・セキュリティ対策評価モデル第1分冊:モデルのコンセプトと対策要求の解説.pdf
   ・セキュリティ対策評価モデル第2分冊:モデルの使用法と対策強度レベル判定基準.pdf
(5)事業継続計画
  経済産業省の事業策定計画ガイドラインを参考にするとよい
  対応体制:責任、権限をきちんと決めておく
   ・当局対応
   ・マスコミ対応
   ・取引先・顧客対応
   ・社内対応
  ビジネス影響度分析:本当に大切なものは何なのか?
  完全法規
   ・災害対策基本法等に見合った計画を練る必要がある
(6)法令・規格
  個人情報保護法
   ・罰則で示される金額だけが企業が請け負うものではなく、訴訟時の保障費用なども必要
  不正競争防止法→2003年に情報窃盗がカバーされた
          2005年に退職者へ罰則対象を広げた
          2005年度内に改定予定
  経済産業省の営業機密管理指針を公開
   ・秘密管理性→きちんとしたセキュリティで情報が管理されているかどうかが大切
   ・有用性
   ・非公知性
  不正アクセス禁止法
   ・不正アクセス行為を助長する行為
    →他人のパスワードを許可なく他人に教えるのも駄目
   ・必要な対策を行っていないと、法律によって保護されない
  e-文書法
   ・紙だけではなく電子文書の保存も許可した法律
   ・対象範囲・対象外を把握しておく必要がある
   ・情報セキュリティに対する対策が必須
  ISO/IEC 17799:2005→2007年に 27002に名称改定予定
   ・JIS化される名称が27002に
   ・情報セキュリティ関連は27000シリーズとしてわかりやすくなる
  ソフトウェア等脆弱性関連情報取扱基準(経済産業省)
   ・脆弱性の届出、脆弱性関連情報に関する製品開発者への連絡など
   ・情報セキュリティ早期警戒パートナーシップ
(7)教育
  情報セキュリティの周知徹底には必要
  ・情報セキュリティスキルマップ(用途:採用、人事育成、能力評価、人員調達のための指針)
  ・ITスキル標準
  ・情報処理試験

(8)監査
  経済産業省の情報セキュリティ監査企業台帳が参考になる
   準拠する基準:JIS X 5080:2002を元に策定
  監査時期:1年に1回の割合で定期的に、監査実施はPDCAの「C」
  情報セキュリティ監査実施のフレームワークについては経済産業省のサイトを確認するとよい
  ISMS適合性評価制度による認証 ガイドブックが以下のサイトから入手可能

[]IPA 情報セキュリティセミナー 情報セキュリティ対策技術コース 14:45 IPA 情報セキュリティセミナー 情報セキュリティ対策技術コースを含むブックマーク IPA 情報セキュリティセミナー 情報セキュリティ対策技術コースのブックマークコメント

とりあえず、めもってた内容そのまま。

(1)情報漏えいの傾向と原因分析
  ■モバイルpcのセキュリティ対策が進んでいない→アクセスコントロールがされていない
                         モバイルがどういう扱いが必要なのか、業務フローを見直す
   防犯対策:オフィスの出入りの管理、制服を着るだけで入れませんか?
   盗まれたものを読まれない対策:暗号化してるから安全?複合化の鍵は一緒に盗まれてませんか?
                  ファイルをゴミ箱から空にしただけでデータが消えたと思っていませんか?
                  →盗まれたけど大丈夫!とは、なかなか対策を説明しにくい
  ■ルールと手順にリスク分析、リスクヘッジが含まれているのか?
   例)機器を持ち出すときには上長の承認を得て、管理者が持ち出し簿に記録した後に持ち出す
    ・上長がいない場合は?
    ・管理者がいない場合は?
    ・持ち出し簿を紛失した場合は?
  ■予防的対策:漏洩されない、不正アクセスされないための対策
         外部媒体へのアクセスは許可なのか?→バックアップ以外にCD、DVD必要?ネットワークがあるなら不要
         ファイルがどこに存在しているのか?(DRM)
  ■事後対策:操作記録、通信記録、暗号化して読みにくくしておく
        暗号化
        ・ファイルシステムの暗号化
        ・ファイルの暗号化
        ・各種媒体の防御、暗号化
        →鍵がどこにあるのか? 一緒にあったら意味が無い
        →EFS(Microsoft製品)の場合、ファイルシステム内に鍵がある 暗号化を気休めにしていませんか?
        ※ 鍵は別の場所に置く 別のCD、別のUSBキー等

  ■監視ソフトウェアはある意味スパイウェア的→見られていると思う、心理的抑止効果(無茶な使用をしない:怪しいサイトを見る等)
                        見れることのできるサイトを限定しておくなどの使用法
   監視ソフトウェアが吐き出す通信記録/操作記録の扱いをどのように活用していくのかを考える必要がある。
  ■バランス:会社の色合いや予算が出てくる
        努力目標を立てすぎで、守ることを期待しすぎている
        ソフトウェアに依存しすぎている ソフトを入れたから大丈夫!...ホントに?
  ■ポイント
   ・業務フローの書き出し
   ・上長の承認をもらう→フロー化してしまう

(2)不正アクセス:手口の解説と対策
  不正アクセスは認証されていないアクセスを行うこと

  本当にわかりにくいパスワードになっていますか? パスワードクラッキングツールを使用すると8文字英数字だと数日
  【TIPS】初頭文字を記号にしてしまう→ばれにくい
  脆弱性の解消:サーバーにパッチを当てましょう
  デフォルト設定からの変更:不要な通信ポートは閉じているか?不要なプロセスは殺しているか?

  ■クロスサイトスクリプティング
   怪しいサイトに行かない(そこで、スクリプトを仕込まれる)
   原因:Webアプリ側で記号の処理をできていない ’ ” ;等
   企業の信用失墜につながる! 不正な取引に利用される、管理下の個人情報の漏洩
   対策例:リバースサーバー風にウェブアプリケーションファイアウォールなどの導入
  ■SQLインジェクション
   まっとうなWEBアプリケーションは’を処理するので大丈夫...だけど
   SQLインジェクションのアクセスの特徴:一時(短時間)に同様のエラーが吐き出されている場合、狙われている可能性、まさに今!
   対策例:XSSと同じ
  ■DNS情報の設定不備を突いた手口
   似たような名前ドメインを保有しておく、保有者を把握しておく
   サーバ内部の設定をきちんとしておく
   DNSSec=認証付でやり取りをする仕組み 少しは信頼性があがる なかなか導入が進まないが...
  ■そのほかの手口
   オレオレ証明書 フィッシング詐欺につながる
   hiddenタグを使用してデータのやり取りをしていないか?<金額等の書き換えなど
  ■ウェブアプリケーションのセキュリティ対策
   書籍を鵜呑みにしない

(3)情報セキュリティ技術マップ
  対策の基本は多重防御:一重だった場合の破られた場合の対策が必要
  ■不正アクセス対策
   ・ルータやファイアーウォール
   ・IDS/IPS 進入検知
   ・リモートアクセス対策(家で仕事しないというのも対策)
   ・セキュアOS
  ■ルータやファイアウォール
   パケットフィルタリングにより、不要な通信を外部に漏らさない
   アクセスログの保存は大切 ネットワークフォレンシックスの観点から
  ■プロキシサーバの役割
   ウィルスウォールの構築 Web経由感染のウィルスの対策
   社内の不要な情報を開示しない
  ■IDS/IPS
   運用が問題 24時間体制にどのように社内で対応していくのか?
   警告の行き先、何かあったときの後処理など
   運用開始時は誤報が多い→警告レベルのチューニングが必要
  ■リモートアクセス(無線LAN)の暗号化
   無線LANの電波の到達距離は社内だけではない!
   暗号通信を行うことによるセキュア化
   IPSec/SSLによるやり取りで、相手の身元を確かめる
    →パスワードだけのセキュア化では不足
  ■サーバの要塞化
   バッファオーバフローを抑止するためのライブラリ
   OS自身にバッファオーバフローを抑止する機能がある
   セキュアOSの利点 利用者制限がすごい
    ・管理者アカウントを色々な分野ごとに細分化されている
    ・奪われたアカウントによってできる内容が限られている
   ポリシのテンプレートが少ないので、一からの構築になる
  ■定期的な監査
   どのファイルをどこまで変えましたか?など、完全保護対策でわかるので、引継ぎのときにも役立つ場合がある
   脆弱性監査の実施 1台数十万 自前ツールなど

  情報漏えい対策
  ■メール運用のルール
   ウィルス対策
    ウィルス対策ソフトを入れる
    メールを閲覧するユーザのアカウントをAdministrator権限を与えない
    →インストールできないようにしてしまうとよい
  ■情報へのアクセス制限
   ログ分析って大変
   最小権限の適用
  ■スパイウェア/ウィルス/ぼっと対策
   産業スパイ系の人たちが、会社内の情報を抜くために利用するのが増えている
   ウィルス作成の有償サポートなども存在する→特定の企業を狙っている
  ■Webサーバの補強
   改ざん監視ソリューションを導入しておく
  ■暗号化
   キーの紛失、エラー対策 がポイント
   ISMS認証でも暗号化を入れると要件が増える
   紛失したときのリカバリはどうするの?ISMSの資料に書かれているので目を通すとよい

  資源利用者管理
  ■クライアント側の不要なプロセスの殺す基準
   一般的な感覚で(ファイル共有しないなら共有サービスを稼動させない、印刷しないならプリンタサービスを起動しない等)
  ■検疫ネットワーク
   会社のポリシー(入ってるソフトや設定などの守らせる仕組)をチェックするための検疫
   運用上のポイントは?
   会社として、ユーザの端末はどういう形であるべきか?という基準が大前提
  ■脆弱性監査ツールの利用
  ■ポート何が開いているのか?   SkypeやMessenger等
  ■シンクライアントの利用
   データはどうやって運用するのか?
   サーバが必要?アクセス管理は?等を考えていく必要がある
  ■パッチ適用を自動化するツール
   管理サイドでの周知徹底を促すのは難しい場合、ツールの導入で徹底を促す
  ■脆弱性検査ツール・サービス
   Webアプリケーションの脆弱性を診断するツールやサービス→高い! 一画面あたり数十万
  ■改ざん監視ツール・サービス
   Webアプリケーションが運用されている場合の改ざん検知は難しい→動的な場合(ユーザごとに画面が異なる等)は特に...
  ■利用者認証
   強いパスワード...覚えられない
   メモしたらいい。財布など別の場所に保管すれば良いでしょう
   グミ指大丈夫?PCに指紋ついてますよね<指紋認証
   USBトークンを無くしたらどうするのか? → 鍵分離
   PKI                  → 鍵分離
  ■利用者ごとのアクセス制限
   記録をとること。 正常時のアクセスと、不正時のアクセスの比較
   Windowsの基本的なセキュリティ監査を有効にするだけで、あとあと利用できる→デフォルトではほぼ利用されていない
  ■外部サイトへのアクセス制限
   基幹ネットワークと外部とのやり取りを行うネットワークは分けるほうが好ましい
  ■ネットワークのトラフィック監視
  ■入退室管理
   制限するだけではなく、記録をとる → 内部犯行的な情報漏えいは休日、夜間
                      記録が抑止につながる
  ■ログ管理
   留意点:必要なログを収集するように設定する
       ログサーバーでログの改ざん防止、分析活用等(CD-ROMに定期的に書き出す等)
       時刻同期は基本中の基本 ログ把握ができない
   解析の考え方:解析はインシデント発生時の前後
          ログ解析の複数参照が基本→時刻同期が必須(例:ファイアウォール、サーバー等)
   証拠能力は?改ざんされていないという立証をいかにするか
   ・通信のログをとりましょう(パケットレベルで)
   ・拒否した通信より、通過した通信を!
   ・共有アカウントは駄目 個別で

(4)インシデント対応
  インシデントの検知は大事
  ■インシデント対応の基準
   手順書が必要:非常事態ほど大事
          オペレーションを記述するのではなく、典型的な事例ごとに作成する
          体制・責任者・連絡先は必須
          判断材料など、連絡フローの中から必要なものを列挙しておく
          サービス継続をするための必要な内容は何か?
          代替手段の準備
          技術的手段の準備
   平常時を把握しておく サービス提供内容など
   予行演習など
   検知ツール
  ■情報セキュリティ侵害検出の方法
   IDS(シグネチャ認識)では未知の手段は検出できない
   アノマリ検出→平常時との違いで異常な状態を認識する(例:通信量のグラフを作成し、閾値を超えると管理者にメール等)
  ■不正アクセスを受けたときに...
   インシデント状態の保存
   本当にインシデントなのかどうか? なんか、異常→ただのシステムエラーでは?
   内部報告、外部報告のフローが大切
   再発防止には原因特定が必須→原因がわからない場合は、クリーンなシステムを再構築など
   報告書:裁判沙汰への対応 ただし、時系列が必要
  ■不正アクセスの原因追及
   検査手順の確立!
   事前にどんな記録をとっているのかにかかわってくる
   記録がないと解析できない
  ■専門家に頼む場合
   証拠保全(保全する内容 システムの中身、メモリの中身、ディスクの中身)
   あらかじめ、証拠保全が可能な状態のネットワーク構成をしておく
   ネットワークから切断するくらいなら、電源を落とす
   システムの中身、メモリの中身、ディスクの中身を他のサーバに転送するなど
  ■自分で調べるための準備
   OS内の管理ツールを使用するしかないので、汚染されていない管理ツール(CDに焼く)を利用
  作業記録が大切!

他にも纏めをされているページ。うちのよりわかりやすい可能性が 藁

 | 


08/15 15:11 校正のバイトをしててよく直す箇所10選|bxjp|note
見ておく
08/03 08:32 【どうした?】佐川急便のホームページ、詐欺サイトの危険性があるとしてブロックされる | ロケットニュース24
“2018年7月11日”に佐川さんのページこんな状態だったのか。最近のアレの情報を調べてて、見落としてたことに気づいた。
08/02 07:13 “俺の嫁召喚装置”「Gatebox」15万円の量産モデル発売 甘〜い新機能で新婚気分(動画あり) (1/2) - ITmedia NEWS
いいな。// "LINEが提供するAIアシスタント「Clova」との連携も計画している。"
08/01 16:06 大阪府/府政への意見の公表/府民の声  公表(詳細)
府政へのご意見対応も大変だなぁと思いつつ、こういうのの相談先が分かりにくいのも問題なんだろうな//“詐欺なのかどうか調べて回答がほしい。”
08/01 09:18 Judge blocks release of plans for 3D-printed guns amid Dem outrage - ABC News
差し止めになったようだ。このまま差し止めでお願いしたい。
08/01 09:15 “銃を3Dプリンターで” 公開許可取り消し求め 米で提訴 | NHKニュース
公開後のことを考えると、差し止めでお願いしたい。
07/26 14:08 ASCII.jp:詐欺師になりたかった少年が持つホワイトハッカーの「資質」|ホワイトハッカーのおしごと
もうね、何度もwww//“騙されたことに気づいた瞬間の顔が見るのが楽しいんです”
07/21 11:48 Mac が参加するADのドメイン名で .local を使わないでください。
個別に知識としては知ってても、こうやってまとまってるのはうれしい。
07/13 03:04 教育系ネットワークにおけるマルウェア感染について | 甲南学園 情報システム室
他人ごとではない//“当該マルウェアは現行のセキュリティ対策ソフトでは検知・駆除できない 未知のものであり、現在対応策を検討”
07/12 16:46 「Surface Go」と9.7型「iPad」の価格やスペックを徹底比較 それぞれ長所と短所は? (1/2) - ITmedia PC USER
悩ましい。欲しいんだけど、価格がなー。

NINJA TOOLS あわせて読みたい Trendmicro Online Scan