自分の所属している組織でもフィッシングメール訓練があったのですが、結構な数の人がメールを開いたとの結果報告をみました。メール開く開かないはそんなに重要ではなくて、開いてしまったときにちゃんと決められたとおりに報告できるか、周りと連携できているかも集計したほうがいいのではないかと思いました。中にはちゃんと報告があったようだったので、まったく無駄ではなかったのだなあと思いました。とはいえ、今回とりあげた「米民主党へのサイバー攻撃、実は「テスト」」みたいなケースもあるので気をつけて運用してほしいし、自分が実施する立場になったら気をつけたいです。

2018-08-18

気になった記事2018/08 その3

概要

なんとなく自分が気になった記事を週単位でまとめてみようという試み。公開された日というよりは自分が気になった日でまとめています。

期間: 8/12 - 8/18
全体に対してのコメント: 今週は各種アップデートがある週でした。お盆休みんも人も多いと思いますので週明けはアップデートを忘れずに実施したいところです。

概要
8/12
- IBMがセキュリティソフトを回避して特定の標的だけを攻撃するマルウェア「DeepLocker」を開発 - GIGAZINE
- 【セキュリティニュース】偽「佐川急便」の不在通知SMS、今度は認証コード詐取するスミッシング（1ページ目 / 全1ページ）：Security NEXT
8/13
- 国会議員公式サイトなどの改ざん（画像設置）についてまとめてみた - piyolog
8/14
8/15
8/16
8/17
8/18
- Appleサーバをハッキングした16歳少年の動機は？ - ITmedia NEWS
最後に

8/12

IBMがセキュリティソフトを回避して特定の標的だけを攻撃するマルウェア「DeepLocker」を開発 - GIGAZINE

https://gigazine.net/news/20180810-deeplocker/

【セキュリティニュース】偽「佐川急便」の不在通知SMS、今度は認証コード詐取するスミッシング（1ページ目 / 全1ページ）：Security NEXT

http://www.security-next.com/096748

8/13

国会議員公式サイトなどの改ざん（画像設置）についてまとめてみた - piyolog

http://d.hatena.ne.jp/Kango/20180812/1534098021

8/14

docomo Online Shopへの不正ログインとiPhoneの不正購入についてまとめてみた - piyolog

http://d.hatena.ne.jp/Kango/20180813/1534182978

北朝鮮 ハッカーもリソースを節約--コード再利用の実態が明らかに - ZDNet Japan

https://japan.zdnet.com/article/35123936/

2018年上半期に話題になったSpectreとその変異、Linux カーネルでの対応まとめ：OSS 脆弱性ウォッチ（8） - ＠IT

http://www.atmarkit.co.jp/ait/articles/1808/09/news021.html

"偽造"のマウスクリックでシステムを危険に？「macOS」の脆弱性--DEF CON - ZDNet Japan

https://japan.zdnet.com/article/35123986/

世界最大のハッカー大会で韓国チームが3年ぶりに優勝＝韓国ネ...｜レコードチャイナ

https://www.recordchina.co.jp/b634013-s0-c20-d0127.html

8/15

アップデート関連

2018 年 8 月のセキュリティ更新プログラム (月例) - 日本のセキュリティチーム

https://blogs.technet.microsoft.com/jpsecurity/2018/08/15/201808-security-updates/

【セキュリティニュース】セキュリティアップデート「OpenSSL 1.1.0i」「同1.0.2p」がリリース（1ページ目 / 全1ページ）：Security NEXT

http://www.security-next.com/096839

「Adobe Flash Player 30」の月例セキュリティアップデートが公開～互換性問題も修正 - 窓の杜

https://forest.watch.impress.co.jp/docs/news/1138108.html

【セキュリティニュース】セキュリティアップデート「OpenSSL 1.1.0i」「同1.0.2p」がリリース（1ページ目 / 全1ページ）：Security NEXT

http://www.security-next.com/096839

<<< JPCERT/CC WEEKLY REPORT 2018-08-15 >>>

https://www.jpcert.or.jp/wr/2018/wr183101.html

セキュリティ製品がJPCERT/CCサイトをフィッシング判定--改ざんはなし - ZDNet Japan

https://japan.zdnet.com/article/35124088/

Instagramにハッキング被害。数百人規模のアカウント乗っ取り、2要素認証も突破との報告も - Engadget 日本版

https://japanese.engadget.com/2018/08/14/instagram-2/

【セキュリティニュース】【訂正あり】「Oracle Database」にあらたな脆弱性、一部バージョンは7月のパッチで修正済み（1ページ目 / 全1ページ）：Security NEXT

http://www.security-next.com/096764

Androidの外部ストレージ経由で侵入する「man-in-the-disk」攻撃。不用意に保管したアプリデータを改ざん - Engadget 日本版

https://japanese.engadget.com/2018/08/15/android-sd-man-in-the-disk/

【セキュリティニュース】Intelチップに脆弱性「Foreshadow」 - クラウド VM間で情報漏洩のおそれも（1ページ目 / 全4ページ）：Security NEXT

http://www.security-next.com/096826

8/16

Black Hat USA 2018 トレーニング参加記

https://www.mbsd.jp/blog/20180813.html

「世界最悪のログイン処理コード」を解説してみた

https://qiita.com/YSRKEN/items/0095cf75be3f607b0f98

【セキュリティニュース】VMware、脆弱性「Foreshadow」向けにパッチを用意 - 緩和策も（1ページ目 / 全1ページ）：Security NEXT

http://www.security-next.com/096848

8/17

セキュリティキー、オバマ氏の選挙戦でハッカー対策に効果を発揮--YubicoのCEOが指摘 - CNET Japan

https://japan.cnet.com/article/35124189/

最多のDDoS攻撃は「SYNフラッド」、CDNetworksが2018年第1四半期の動向を発表：中国で激増 - ＠IT

http://www.atmarkit.co.jp/ait/articles/1808/17/news043.html

【セキュリティニュース】MS、「Foreshadow」対策でアドバイザリ - アップデートや追加対応策の実施を（1ページ目 / 全3ページ）：Security NEXT

http://www.security-next.com/096927

「Node.js」の2018年8月セキュリティ更新が公開～「OpenSSL」もアップグレード - 窓の杜

https://forest.watch.impress.co.jp/docs/news/1138274.html

【セキュリティニュース】教諭が生徒情報含むUSBメモリをリュックごと紛失 - 千葉市（1ページ目 / 全1ページ）：Security NEXT

http://www.security-next.com/096720

8/18

Appleサーバをハッキングした16歳少年の動機は？ - ITmedia NEWS

http://www.itmedia.co.jp/news/articles/1808/17/news050.html

最後に

個人的には新しいPCを買っていろいろ準備しているところです。

2018-08-16

ノートパソコンを新しく買った

これは何？

久しぶりにパソコンを買ったので、自分用にいろいろメモしておくものです。

なんで買ったの？

買った理由は以下の通り。

久しぶりに外部の勉強会に出てみて、実験するための環境が欲しくなった。
夏場は作業机のある部屋のエアコンをケチっている
エアコンのある部屋に持ち運べるノートパソコンが欲しい

何を買ったの？

DELLのDell Inspiron 13 5000 2-in-1シリーズです。

メモリ 4 8GB
SSD 256GB
画面は13インチくらいでいいや

で検索してちょうどよいのがDELLでした。

DELLのサイトでカスタマイズで買ったので上記とは少し仕様がちがいますが、似たようなものです。8月5日に発注して届いたのが8月16日でした。カスタマイズしていると時間がかかるというのは検索して読んでましたが確かに時間がかかりました。日本に到着するまでが長かったです。外に持っていくのはやや重いものの、家の中では全く問題ないです。この重さでタブレットとして使うのはつらいと思います。

インストールしたものメモ

Firefox
VirtualBox
Ctrl2cap
WinSCP
7zip
LibreOffice
Clibor
Win32DiskImager
Wireshark
~~Atom~~Visual Studio Code (Atomは遅すぎた)

今日届いてアップデートとかして最小限のものをインストール。ほかにもいくつか追加すると思いますが、とりあえず。

まとめ

せっかく買ったので使い倒したいと思います。

更新履歴

2018.08.16 公開
2018.08.18 インストールしたもの追加
2018.08.18 インストールしたもの追加
2018.10.08 インストールしたもの追加
2018.10.27 インストールしたもの追加
2019.03.21 インストールしたもの修正・メモリ容量修正

概要

9/16

NTTデータ、加盟店におけるカード番号の非保持化対応を支援するソリューション - クラウド Watch

9/17

9/18

Linuxカーネル開発に「行動規範」--トーバルズ氏の態度許してきたコミュニティの今後を占う試金石に - ZDNet Japan

長期視点から不足するセキュリティ人材を育成--シスコの学生向け教育 - ZDNet Japan

インフルエンザを診断するAI、ディープラーニングで実現へ 医療機器ベンチャー「アイリス」の挑戦 (1/2) - ITmedia エンタープライズ

iOS関連

Apple、「iOS 12」を一般公開 ～パフォーマンスの大幅向上で古い端末でも快適に動作 - 窓の杜

iOS 12のセキュリティー設定、トップ5――バージョンアップを機に今すぐ確認しておこう | TechCrunch Japan

日本企業も対策待ったなし？ 米国のセキュリティ基準「NIST SP800-171」が与える大きなインパクト - クラウド Watch

徳丸本 安全なWEBアプリケーションの作り方 第2版の公式勉強会のメモ

Ep.3: blackhat・DEF CONスペシャル - セキュア旅団

メールに特化した詐称ドメインについて - tike blog

国立大の3割がサイバー攻撃で実被害、独自調査で判明 | 日経 xTECH（クロステック）

noteの全てが悪いわけではないが、悪質な情報商材には気をつけよう - 俺の遺言を聴いてほしい

【セキュリティ ニュース】PHPに脆弱性、セキュリティ更新がリリース - 不正プログラムをインストールされる可能性も（1ページ目 / 全2ページ）：Security NEXT

GoogleがAndroid端末の設定を遠隔から勝手に変更したことを認める - GIGAZINE

9/19

脆弱性診断を通じて見えてくるWebセキュリティ - Speaker Deck

セキュリティの人材不足--監視現場の責任者はどう見ているのか - ZDNet Japan

ぴあ、アララ、トレンドマイクロ――情報漏えい事件の後に“支持される企業”と“たたかれる企業”の違い (1/3) - ITmedia エンタープライズ

さまざまなツールとAI／自動化がDevSecOpsの手助けに――「開発者はセキュリティにもオーナーシップを」：セキュリティ・アディッショナルタイム（26） - ＠IT

「Hardening Program」でセキュリティ意識の醸成にチャレンジ――freee：＠ITセキュリティセミナー2018.6-7 - ＠IT

仮想通貨を要求する日本語の脅迫メールについて

マーケティング企業のデータベースサーバから1100万件の個人情報が流出 - ZDNet Japan

日本ハッカー協会

悪の道からハッカーを守る：日経ビジネスDigital

ASCII.jp：日本ハッカー協会設立、正しい認識の普及と活躍の場づくり支援

ハッカーの正体を突き止めるには、窃盗犯の捜査手法が応用できる：研究結果｜WIRED.jp

9/20

高額な課金が自動継続するアプリの問題 指紋認証で契約を完了 - ライブドアニュース

被害総額盛りすぎ、委員の利益相反疑い… 目を覆うばかりの知財本部TFの迷走(山本一郎) - 個人 - Yahoo!ニュース

[セキュリティ基本対策 5 か条] 第 2 条 アクション センターで PC のセキュリティやメンテナンス状況に問題がないかを確認する – 日本のセキュリティチーム

Windows 10や8.1のタッチスクリーン対応端末は「WaitList.dat」にパスワードやメール内容が保存されているかも - GIGAZINE

Lenovo幹部が「中国ではバックドアを仕込んでるけど他の国ではやってない」ことを示唆 - GIGAZINE

「史上類を見ないレベル」のDDoS攻撃を引き起こしたマルウェア「Mirai」を作成し逮捕されたハッカーがFBIに協力していたと判明 - GIGAZINE

フューチャー、OSSの「Vuls」と商用版「FutureVuls」をバージョンアップ：「Vuls祭り#4」で披露 - ＠IT

10年モノのインフラを3年がかりでカイゼンした

Zaifで発生した不正送金事案についてまとめてみた - piyolog

9/21

第17回 スクープ！スクープ！16億！スペシャル « podcast - #セキュリティのアレ

e+のリスト型攻撃の被害の特徴: 独房の中

Zaif利用規約に見るコインチェック事件の教訓、そして事件前日の改訂に残る謎 - サインのリ・デザイン

リスト型攻撃は本当か、ケイ・オプティコムの情報漏洩 | 日経 xTECH（クロステック）

9/22

Windows Server 2008のEOSに伴うAzure移行の基礎知識（前） | マイナビニュース

最後に

概要

9/9

AppleがMac App Storeから削除したアプリ以外にも、複数のセキュリティ系アプリがユーザーデータを収集し外部のサーバーへ送信していることが確認される。 | AAPL Ch.

ImageMagickを使うWebアプリのセキュリティ - 2. DoS | MBSD Blog

2017年のJoomla LDAPインジェクション脆弱性について - WAF Tech Blog ｜ クラウド型 WAFサービス Scutum 【スキュータム】

モバイルアプリのセキュリティ検証標準であるOWASP MASVSの日本語訳を公開 | セキュリティ対策のラック

コードを静的解析して脆弱性を検出する「SCALe」、米CERTがオープンソースで公開 － Publickey

9/10

知らなかった、時に困るWebサービスのセキュリティ対策 / Where Do We Start With Information Security? - Speaker Deck

URLがなにかおかしい……「Google Chrome 69」に加えられたある小さな変更が話題に - やじうまの杜 - 窓の杜

"ハッカーの祭典"DEFCON 26 〜DEFCON CTF参加者インタビュー〜 | ココン株式会社

DBやセキュリティ製品で乗り換えの兆し、価格への不満が高まる | 日経 xTECH（クロステック）

「サイバー保険」って何？加入する組織で働く従業員が知っておくべきこと｜@DIME アットダイム

動く標的を追いかけて――「Spamhaus」約20年の歩み：セキュリティ・アディッショナルタイム（25） - ＠IT

サイバー諜報活動集団「Urpage」について調査、「Bahamut」、「Confucius」、および「Patchwork」との共通点を確認 | トレンドマイクロ セキュリティブログ

ポイント不正利用関連

dポイントが加盟店で不正利用される被害 その2: 独房の中

ローソンID会員様へのアカウントメールアドレス・パスワード変更のお願い｜ローソン

Coinhive利用サイトを探してみた - SSTエンジニアブログ

なぜパスワードに数字・記号を強制すべきでないのか | Bizコンパス -ITによるビジネス課題解決事例満載！

9/11

日経ビジネスが報じたパスワード16億件流出についてまとめてみた - piyolog

トレンドマイクロのアプリの話題

トレンドマイクロ、アプリによるブラウザー履歴の収集を認める | 日経 xTECH（クロステック）

Answers to Your Questions on Our Apps in the Mac App Store -

IoTマルウェア「Mirai」がApache Strutsの脆弱性を標的に 脆弱性放置に警鐘 - ITmedia NEWS

当選詐欺リダイレクト広告の配信経路とメカニズム - Togetter

ポイント不正利用関連続き

ローソンが不正アクセス対策に乗り出した！ : よしなしごと

「ｄポイントカード」の不正利用について | 負けない投資術 ■ ポイント投資 サヤ取り

ドコモのセキュリティ意識の低さが浮き彫りに | 負けない投資術 ■ ポイント投資 サヤ取り

Linux カーネル開発に「行動規範」--トーバルズ氏の態度許してきたコミュニティの今後を占う試金石に - ZDNet Japan

インフルエンザを診断するAI、ディープラーニングで実現へ医療機器ベンチャー「アイリス」の挑戦 (1/2) - ITmedia エンタープライズ

Apple、「iOS 12」を一般公開～パフォーマンスの大幅向上で古い端末でも快適に動作 - 窓の杜

日本企業も対策待ったなし？米国のセキュリティ基準「NIST SP800-171」が与える大きなインパクト - クラウド Watch

徳丸本安全なWEBアプリケーションの作り方第2版の公式勉強会のメモ

【セキュリティニュース】PHPに脆弱性、セキュリティ更新がリリース - 不正プログラムをインストールされる可能性も（1ページ目 / 全2ページ）：Security NEXT

高額な課金が自動継続するアプリの問題指紋認証で契約を完了 - ライブドアニュース

[セキュリティ基本対策 5 か条] 第 2 条アクションセンターで PC のセキュリティやメンテナンス状況に問題がないかを確認する – 日本のセキュリティチーム

第17回スクープ！スクープ！16億！スペシャル « podcast - #セキュリティのアレ

Zaif 利用規約に見るコインチェック事件の教訓、そして事件前日の改訂に残る謎 - サインのリ・デザイン

2017年のJoomla LDAPインジェクション脆弱性について - WAF Tech Blog ｜クラウド型 WAFサービス Scutum 【スキュータム】

コードを静的解析して脆弱性を検出する「SCALe」、米CERTがオープンソースで公開－ Publickey

サイバー諜報活動集団「Urpage」について調査、「Bahamut」、「Confucius」、および「Patchwork」との共通点を確認 | トレンドマイクロセキュリティブログ

dポイントが加盟店で不正利用される被害その2: 独房の中

IoTマルウェア「Mirai」がApache Strutsの脆弱性を標的に脆弱性放置に警鐘 - ITmedia NEWS

「ｄポイントカード」の不正利用について | 負けない投資術 ■ ポイント投資サヤ取り

ドコモのセキュリティ意識の低さが浮き彫りに | 負けない投資術 ■ ポイント投資サヤ取り

「Google Chrome 69」にセキュリティ更新～物議を醸していたサブドメインの省略は無効に - 窓の杜

ネット閲覧履歴を外部送信トレンドマイクロ製ソフト - 共同通信

「サマータイム」はセキュリティホールなのか？ (1/3)：セキュリティクラスタまとめのまとめ 2018年8月版 - ＠IT

ドコモ、ポイント不正利用の原因特定被害は3.5万件：日本経済新聞

[セキュリティ基本対策 5 か条] 第 1 条最新の状態で利用する – 日本のセキュリティチーム

文系エンジニアですが、ハッカーになれますか？ (1/3)：教えて！キラキラお兄さん - ＠IT

【セキュリティニュース】Windowsタスクスケジューラのゼロデイ脆弱性、回避策が公開 - 独自パッチも（1ページ目 / 全1ページ）：Security NEXT

不正ログインどう防ぐ最低限知っておきたいパスワード設定 (1/3) - ITmedia NEWS

Google、Androidの月例セキュリティ情報公開メディアフレームワークに深刻な脆弱性 - ITmedia NEWS

個人情報流出事件が原因か？米国で顕著な「Facebook離れ」、具体的な割合も明らかに【やじうまWatch】 - INTERNET Watch

「社会的責任」からじゃない。趣味でつくって、おすそ分け。──まつもとゆきひろ｜WIRED.jp