2024年年末の気になるインターネット記事をピックアップ

あけましておめでとうございます。2025年もセキュリティについて、引き続きインプット&アウトプットを続けてまいります。今年もよろしくお願いします。 インシデントコマンダーとは?〜現代のIT運用には必須!その役割と理由〜 インシデントレスポンス対応に便利なサービスPagerDutyを提供している企業PagerDutyのブログからです。インシデント対応の勉強会というものがあるのですね。 コマンダーとはコマンドー、つまり指揮官(第三次大戦を起こすのが役割ではありませんw)です。 意思決定 作業担当への指示 作業要員や関連部署の招集・体制構築 ステークホルダーとのコミュニケーション 状況の交通整理 インシデントの発生と収束の宣言 ポストモーテムの作成指示 リーダーとしてインシデント対応の全体を統括することが役割ですが、特に重要なのは「意思決定」とのことです。 コマンダーとしての意思決定は確定的であり、CEOやCIOの判断よりも優先されるべきものなのです 運用経験の長い熟練のエンジニアほど、自分で手を動かしたくなるものです。しかし、インシデントコマンダーが行うべきは解決に導くための意思決定であり、作業ではないのです 何故インシデントコマンダーが必要か...

【ブックレビュー】自由とセキュリティ

今年最後の記事は、普段と少し経路の違うブックレビューとなります。 タイトルは「自由とセキュリティ」。タイトルを見たファーストインプレッションは「自由とセキュリティって対立するものなの?」でした。僕がいつも担当しているセキュリティは所属している企業のセキュリティ。確かにその現場では、個人の自由と組織のセキュリティは相反するかもしれません。セキュリティは個人の勝手なオペレーションを許さず、好き勝手に入れたソフトウェアを許さず、知らぬ間に使っているクラウドサービスを許さない、自由(無秩序)と反する行為です。 しかし企業活動と、この本が記す社会での一般的な活動は異なります。例えば、業務のメール内容を閲覧することはプライバシーに違反しているとは言えない、という考えがあります。しかし国家にそれをやられたら拙いと感じるのは明らか。 この本ではセキュリティを 「生命や生活の安全をもたらす」 モノと定義づけられています。セキュリティとは秩序であり、一つにまとまる意思である、と。一方でセキュリティのために個人は自由や権利を制限されても良いのか、秩序という名の牢獄となり、人々のセキュリティを低下させていないのか。先日崩壊したシリアの政権は不当逮捕や民衆への迫害で秩序を維持していましたが、それが人々にとって安心な社会だったとは思えません。 僕ら大衆は社会のセキュリティのために自由を制約するべき、と自分たちで考えることもあります。分かりやすい例はコロナ禍での行動制限です。あの行動制限は法律にのっとったものではなく、”お願い”でした。行動制限が法律で設定できた場合それこそ自由の危機ですが、あの当時は僕ら普通の国民が自分の行動を制限し、飲みに行かず、遊びに行かずの生活を送っていました。それこそが社会のセキュリティを維持し、自分達にメリットがあると考えたからです。 この本では「権力者がセキュリティを維持することを名目に、個人の自由意思を制限することについて」過去・現代の哲学者がどう考えてきたのかを6人の言説を基に考察しています。 先ほど書いたようにこの本で言う「セキュリティ」は「社会的秩序」と置き換えるこのができる用語なので、私たちコンピュータセキュリティ担当者がこの本を読むと、イメージしにくい話かもしれません、しかし歴史が好きな自分は興味深く読みました。 筆者に近しい考えを持つイギリスの哲学者であるジョン・スチュアート・ミルの「ソクラテスやキリストは社会では”異端”として殺されたが、それが多数決だから正しい行いだったと言えるのか」という話はなるほどです。ミルは多様性や少数意見は「社会の発展のためにも許容されなければならない。多数派は受容しなければならない」と強く主張します。セキュリティという画一性を非常に恐れていたことが分かります。 一方で「リヴァイアサン」を記したホッブスは異なる考えです。権力が王権から議会を行ったり来たりする時代に生きたホッブスは、権力を前にした個人の自由に対する無力さを持っていたと思われます、「脅されて選んだ自由もまた自由」「水は上から下にしか流れない」など、その考えは権力寄りです。リヴァイアサンの画をよく見ると、巨大な支配者の身体は複数の個人で構成されています。自分の権利を譲渡していることを意味します。ホッブスは社会のセキュリティを重視しており、個人の自由を捨て、社会秩序を維持することを是とします。 ルソーは「社会契約論」の中で、ミルともホッブスとも異なり”自由も保持する、セキュリティも守る”と主張します。自由という概念が「他者に依存しない」という考えは古代ギリシャの時代からある伝統的な考え方で、貧民が富豪から直接お金を受け取ると、そこには上下関係、従属関係ができますが、間に組織(国家と言い換えてもよい)が挟まれば他者には(表面的には)依存しなくなる、そういう形態をルソーは提唱したように読んでいて思いました。ルソーは人民が自由を主権として持っていると主張する一方で、社会のセキュリティに関しては厳格な面を持ち、必ずしも「ホッブス=権力側の都合、ルソー=民の意志を重視」という単純化はできません。 20世紀に活躍した哲学者バーリンの思索は、我々と時代が近いからこそ、現代に私たちが感じている社会の構造的問題を前にして、自由を主張することが簡単でないことが共感できます。今はインターネットにより世界中の社会状況が分かる時代です。それまでの歴史から現状までまったく違う世界各国において矛盾のない統一的な見解を出すことの難しさ。バーリンも「自分の議論は究極的・最終的・唯一の回答のようなものがあるという考え方への批判が根っこにある」と主張していました。一元的な解への信仰こそ殺戮を産むと。これは間違いないですね。「自分が絶対的に正しい」という考え程恐ろしいものはないですからね。 カール・シュミットは戦後日本の思想家や現代中国政府にも影響を与えているとされています。ナチスドイツに協力した、あるいは協力せざるをえなかった彼は過去何回か著作物を改定し、過去の主張を無かったことにするなどの行いもしている複雑な人です。彼もまたホッブス同様、自身が生きた当時の状況、ワイマール共和国が自由な国であった故の政治的停滞に対して、セキュリティの強化と第三の道による打開策があるべきだと考えました。それがナチスと親和性があったとことで戦後は批判されます。しかし現代でもどうしても議論による解決がぜんぜん進まない場合、えいやっとちゃぶだい返ししたり、ことを単純化することで強引な解決方法を計ろうという意見は出てきます。この本は過去の哲学家の文献を紹介しますが、けして歴史的事実ではなく、今私たちの周りで起きている議論とも通じる話です。 シュミットはホッブスを強く支持していましたが、ホッブス同様、自分の生存を脅かされる状況であり、下手なことを書けば命が危ないという背景があるところで政権に好まれるような論陣を張りました。彼への批判はもっともなのですが、安全な場所にいる我々が好き放題批判するのはずいぶんな話です。...

【ブックレビュー】OSINT実践ガイド

毎年恒例、「ITエンジニア本大賞」。このニュースを聞くと、もう1年も終わりかと遠い目になります(–;) https://www.shoeisha.co.jp/campaign/award/ 今年はやはり生成AI、LLMの本が多いですね。僕も実家に新しいPCを買った時に、Google Geminiを親に教えました。僕の親は今はもうリタイアしていますが日本のコンピュータの普及の歴史と一緒にエンジニアの道を歩んだ人、コンピュータについては同じ年齢の人と比べて詳しいと思います。LLMを使い始めて「恐ろしい時代になった」と言っていました。調べもののスピーディーさが段違いだと。僕もそう思います。 今回は唯一エントリーされているセキュリティに関連する書籍「OSINT実践ガイド」についてのレビューになります。 「OSINT」というと聞いたことがない用語でしたが、「オシント」と読み、Open Source Intelligence の略です。 一般に公開されている情報源からアクセス可能なデータを収集、分析し、意思決定に役立てるための諜報活動の一種です。 この情報源は攻撃側も同じ情報を持っており、攻撃に利用しようとします。まさに「敵を知る」こともできるでしょう。敵を知れば敵がどのように攻撃してくるかを予測することができ、防御一辺倒だった状況から「この攻撃が我々に対して行われるかもしれない」と、自分達で能動的にセキュリティを強化する「攻めのセキュリティ」を行うことができます。 インテリジェンスとは元々軍事用語です。余談ですが、セキュリティの世界では最高のセキュリティが求められる軍事から転用された用語が少なくありません。様々な「データ」を意味のある「情報」としたうえで、その情報を分析し、自分達の意志判断の手助けとなるモノを「インテリジェンス」と言います。情報をインテリジェンスにすることは簡単ではなく、専用のベンダー(インテリジェンスベンダー)もいます。 様々なインテリジェンス手法がありますが、OSINTはその中のひとつで、オープンなソースから情報を収集する活動です。 かつて第二次世界大戦などでは雑誌や新聞がOSINTの対象でした。現代のデジタルOSINTはGitHub上のソースコードやSNS、Webサイト、脆弱性データベースやPoC(Proof of...

ネットにはびこる詐欺とウソ

インターネットは私たちの生活に欠かすことのできないインフラですが、詐欺・ウソ・偽物が溢れかえっています。だまされると個人的な損害はもちろん、サイバー攻撃の被害者となることで個人漏洩にもつながる可能性があります。 日経XTECHの特集にネットにはびこる詐欺・ウソ・偽物という特集があり、画像込みで分かりやすく紹介されていました。残念ながら有料記事なので、詳細をここで紹介することはできませんが・・・。特に身近にあるセキュリティリスクについて多数解説されていて、知らないことも多くたいへん勉強になりました。 SNS偽広告詐欺 SNSに偽広告が上がるのは珍しいことではありませんが、今はやり方が凝っていることを知り恐ろしいと思いました。 有名人の名前と画像を無断で使った広告からLINEに誘導、親身に接して最初は利益を上げるように見せかけます。そのうち有名人(になりすましたアカウント)が主催するグループトークに参加させられます。他のメンバーが利益を上げているような投稿をしますが、これもサクラがやっているのでしょう。さも本当に実績があるかのように画像や動画をトークルームで利用します。 「SNS偽広告」メタ社を全国5地裁に提訴、請求総額4億円超 外部の取引サイトすら偽サイトとして本物そっくりに作り込んでいるという。これはプロの詐欺師が用意周到、金をかけていること間違いありません。今話題の闇バイトもかかわっているのでは? 実際僕の友人も投資詐欺に引っかかったことがあり、百万円単位で騙されたとのことです。本物を知っている人ほど違和感ない手口、「自分は投資には慣れている」と思う人ほど危ないです。騙される方が悪い、とは言いません。オレオレ詐欺もそうですが、騙す側が相当巧妙になっており、自分が被害者になっても不思議ではありません。SNS側ができることにも限界があるので、なんとかできないものか・・・。悪いのは騙す人間ですからね。 そういえば昔、twitterでもお金を配るアカウントがありましたよね。たとえ有名人が善意でやっているとしても関わるのは危険です。仮にお金が口座に実際に振り込まれたとしても、そのお金は闇の人間が洗浄しようとしている汚いお金の可能性があります。振り込め詐欺の入金先として自分の口座が使われると、意図せずに「受け子」になり犯罪者になるケースもあります。「投資」や「お金を配る」などの話しには近づかない・クリックしない。 知らない間に「振り込め詐欺の受け子」になって逮捕されてしまった…SNSに潜むワナ、どうやって防ぐ? QRコード詐欺 これは最近現れた詐欺です。「クイッシング」(QR+フィッシング)と用語も作られるほど普及しています。 街中で「新製品のPRしています、QRコードからアクセスしてください!」などとコマーシャル活動を行っているのを見かけたりします。これにも危険が潜んでいます。そのQRコード、真っ当なサイトのURLだとはぱっと見分かりませんよね。本記事では 「メールやSNSなどで届くQRコードは100%悪意のあるものと疑ったほうがいい」 と断言しています。...

CISSPに合格しました!

もともとこのブログを書き始めたきっかけは、2022年にCISSPの試験を受けたものの不合格だった時の自分の感想を書き留めておきたかったからです。 CISSP受験の感想 上記の記事内で、当時自分はこう書きました。 ネット上の合格記には記載されていないこの点をまだ受験したことのない人に知ってほしいです。 CISSPの試験では上記の試験対策本やUdemyで身につけられる知識問題はほとんど出ません。 企業でセキュリティを担当するものとして、もっと実戦的なことが問われます。「問われる」質問の大半は最善な対応はどれかというもの。答えが1つに明快に求められる知識問題ではなく、背景や事情が異なるシチュエーションから、セキュリティの標準に準じたうえで最適な選択肢を選ぶ必要があります。4択から2択くらいには絞れるのですが、ここからは「どっちでも問題ないのでは・・・?」となります。 CISSPはセキュリティの十分な知識と経験があることを保証するための資格、そのため合格後も企業で最低5年間のセキュリティ業務に従事した実績がないと正式に名乗れません、なのである意味ではこの試験内容は理にかなっていると言えます。試験対策では合格できない、実戦経験を積むべしというのが私の伝えたいこととなります。 <略> 今回試験に不合格となったことは財布的にも時間的にもとても悲しいのですが、CISSPに合格するにはセキュリティの業務を一つずつ着実に実践でこなしていくのが王道だと認識できたことが収穫です。そのため、このブログを立ち上げてセキュリティに対する学びや情報をアウトプットしようと思い立ちました。 毎日のように我々のセキュリティを脅かす事例がアナウンスされ、またセキュリティを守るためのサービスもリリースされます。サイバーセキュリティがこれほど重視された時代はありませんし、今後軽視されることもないでしょう。ブログのタイトル通り、セキュリティの道に終わりはありません。セキュリティエンジニアと胸をはって名乗れるよう、今後もセキュリティの道を歩み続けたいです。 上記の約束のとおり、2023年以降もブログ記事を公開して、セキュリティのアウトプットを継続しました。 仕事でもセキュリティ担当として、社内のセキュリティの強化に加え、新規サービス開発プロジェクトでは、これでもかというセキュリティの要望に逃げずに(それは言い過ぎかもですがw)立ち向かいました。 「ギガンデスとキラーマシーンと戦っているみたいだ」 と何度も仕事中に言ったセキュリティ要求の高さでしたが、その分経験値は溜まりました。 プロジェクトがひと段落した2024年春、改めてCISSPの試験勉強を始めました。...

【ブックレビュー】先読み!サイバーセキュリティ 生成AI時代の新たなビジネスリスク

本の表紙に『濃い内容がサクッと読める』と書いてある通り、今インターネットで流行っている、左右に顔アイコンが載っていて、会話形式で話が軽妙に進む本です。 これもタイトルに偽りなしですが、生成AIを利用した脅威が高まっていることが話の中心になります。生成AIにより攻撃者が様々な武器を持つようにエピソードは、先日のITmedia Securityでも紹介されていた逆アセンブルやプロンプトインジェクションのことを指すのですが、これを分かりやすく説明しています。セキュリティの従業員に説明するには、こういう本のほうがとっつきやすいでしょうね。 そしてサイバーセキュリティの今を関心を引く事件やサイトを使って紹介してくれるのも特徴で、自分も知らない話もありました。 CFO(最高財務責任者)になりすまして2500万米ドルを送金させたディープフェイク技術 画像は信用ならない、映像なら信用できる、なんて数年前言われていたのに、今やここまでできてしまうとは。社内の複数のスタッフがオンライン会議に顔つきで参加していたけど、全員ディープフェイクだったらしい。恐ろしいというか、信じがたい。ここまで進化しているとは。 Which Face is Real https://www.whichfaceisreal.com/ こちらは、どちらが本物の顔で、どちらがフェイクかを二者択一で選択するサイト。自分は割と正解率高い印象ですが、それはしっかり凝視しているからかも。焦っている時にパッと見ただけでは間違えてしまうかも。 クラウドストライク、セキュリティとITを一元化し、生成AIの能力を強化 生成AIが過去の脅威を学習し、(これをどのように実現しているのかは分かりませんが)社内の端末のうち脆弱性がある端末を見つけ出して報告してくれるそうです。 サイバーセキュリティと生成AIの関係性を考えた場合、その役割はAIが人間の「目」の代わりとなり、これまで時間をかけて人間がチェックしていた項目を速やかに対応できるようになったということなのか。生成AIは攻撃側にとって有用なだけではなく、防御側にとっても頼れる相棒です。...

【ブックレビュー】経営層のためのサイバーセキュリティ実践入門

この本の冒頭にあるように、日本のDXはコロナ禍により大きく変わりました。私は社会人となってはじめてリモートワークを経験し、その後もリモートで働き続けています。苦痛だった通勤ラッシュから解放された一方で、「どこでも働くことができる」ことによるこれまでと異なるセキュリティを考えなくてはいけません。オフィスと違い個人の家には高性能なファイアウォールはありません。入退室管理、管理カメラもありません。VPNを使って社内インフラに接続することは大きなリスクがあります。 この内的状況変化に加え、外的な変化としては、これまでも散々当ブログで書いていますように、攻撃者がランサムウェアをサービス化して提供することで、サイバー攻撃のすそ野が広がっているという状況があります。KADOKAWA、イセトーのような大企業のみならず、中小企業すら攻撃対象となります。この本にあるように「まだ自社への順番が来ていないだけ」という危機感を持ったほうがよいでしょう。 最近私の会社でも、上司や取引先企業から「会社のセキュリティは大丈夫か」と言われる頻度は増えてきました。セキュリティ対策は待ったなし、契約を締結し売り上げを得るために不可欠な経営課題となっています。現場からボトムアップでセキュリティ対策をおこなうのではなく、事業戦略にセキュリティを組み込みトップダウンで各事業部に対して、できるセキュリティ対策の実施を指示する必要に迫られています。サイバーセキュリティ対策は「コスト」ではなく「投資」、それも必要不可欠な投資。サイバーセキュリティを実践することは経営者の責務、という時代のトレンドになっていることは間違いありません。 このことは政府も認識しており、経済産業省が昨年サイバーセキュリティ経営ガイドラインというガイドラインを制定しました。私もこれを読んで取締役向けに資料を提案作成したのですが、優先度が高い別業務が入ってしまい、ほこりをかぶっている状態です。 当時は上記サイトを見ながら我流でやったのでよく分かっていなかった(今もよく分かっていませんw)のですが、この本はサイバーセキュリティ経営ガイドラインに掲載されている図や表を使いながら、組織にどう反映させていくのかを分かりやすく説明してくださっています。この本は経営層向けに書かれていますが、経営層と認識を合わせ、手を動かすのは現場のセキュリティ担当です。互いに手元に置いておきたい本です。 この本が念を押しているのが、セキュリティは目標達成の「サポート」であるという点。当然ながらビジネスにとって利益を上げることが目的で、セキュリティ対策自体が目的ではありません。つまりセキュリティを考えることが目的化してはならない、考えるべきは「ビジネスの目的を達成するためのセキュリティ」セキュリティの目標はビジネスや組織の目標に紐づくべき。ビジネスに勝つためのセキュリティを提案する(コスト・ビジネスのスピード)セキュリティを適切にコントロールするべき、セキュリティは無くてはならないものの一方、サポートする役割です。ただしそのためにはどこまで対策するかは「どこにリスク受容を置くか」を決めなければいけません。リスクは0にはできませんから。それをふんわり決めるのではなく定量的に決めるためにはSLEやALEを利用できます。しかしそれを算出する時間はそのまま工数だよなぁ・・・。アウトソーシングしたくなりますが、会社として外部委託に任せられる作業と任せられない作業があり(それについてもこの本で説明されています)、注意しましょう。 そしてこの本も”インシデントハンドリング”に丸々1章割いていいます。もはや今のトレンドはセキュリティ事故は起こるもの。いかにインパクトを抑えるのかのようです。うんざりな話です。 情報としてはCISSPでも出てくる用語が多々ありますが、知っていると実践できるとでは大きな違いがあります。紹介されているランサムウェア事例はこれまで読んできたどの本よりも細かく事象が説明されているので、攻撃を受けてしまった理由の各ポイントが自社で大丈夫なのか、確かめるために役立ちます。 セキュリティコントロールに終わりはなく、これだけのセキュリティ対策を行ってもインシデントは起きてしまうことに、自分が所属する業務カテゴリーの途方のなさを感じます。船降りてぇ(N回目) 余談ですが、この本はNECのCISOが執筆したこともあり、NECの実例が紹介されています。NEC自身セキュリティ関連のビジネスを展開しているため、宣伝も入っていますが、組織体制や活動報告を読むと「ここまでやっているんだ、大企業はすごいな」となります。真似できないわけですが、大手の取り組みを知ることできました。自分が所属するような、中小企業に仕事を委託してくる大企業はこれに近しい組織体制だったりするのでしょうね。

CloudFlare Zero Trust無料化で何ができるのか調べてみた

10.23 現在CloudFlare OneはCloudFlare Zero Trustに改称しているということですので、タイトルをCloudFlare OneからCloudFlare Zero Trustに修正しました。とはいえ、最近の公式の文章の中でもCloudFlare Oneが使われているのをよく見かけます。 CloudFlareは今最も勢いのあるインターネット企業の1つです。僕もCloudFlare Pagesを利用させてもらっています。zipもしくはGitHubのリポジトリから簡単に静的サイトをデプロイできる便利なサービスです。そのCloudFlareが9/24に自社のセキュリティツールを無料化するとアナウンスしました。 Cloudflareが「ゼロトラストセキュリティ」のツールを無料化 何が狙いなのか(ITmedia) ※会員限定記事ですが、無料で読める枠にほぼすべての情報が入っています Cloudflareでより安全なインターネットを:無料の脅威インテリジェンス、分析、新しい脅威検出(CloudFlareブログ) 非常に長い文章が書かれていますが、終盤に登場します。...