何も起きていないからこそ積極的なセキュリティ対策を

今週、トレンドマイクロの発表で、韓国のWebホスティング企業「NAYANA」がランサムウエアに身代金を支払って解決したというニュースが流れました。

ランサムウエアとはデータを勝手に暗号化して解除に要求するコンピュータウイルスですが、今回の特徴は感染したコンピュータ153台がLinuxマシンだったことです。一般的にLinuxマシンは標的にされにくいのですが、一度にこれだけの数の感染というのは驚きです。

これらのLinuxマシンはApacheとPHPというLinuxのウェブアプリのインフラとしてよく使われているソフトウエアが利用されていましたが、そのバージョンが古く2006年ににリリースされたもので、その脆弱性が利用されたというのです。確認したところ、利用されていたApacheは「バージョン1.3.36」でこの1.3系は2010年にサポートが終了しています。またPHPは「バージョン5.1.4」で2006年にはサポートが当時すでに終了しています。

10年近くバージョンの古いバージョンを使い続けて、いままで問題が起きなかったのが不思議なくらいですが、このようにセキュリティ対策がなされずに放置されているコンピュータというのは、いつ爆発するかわからない爆弾を抱えているようなものです。

インターネットがまだ普及していない時代では。コンピュータの保守は「安定して動作しているものは触るな」と考える人がいましたが、今では、そんな考えは全く通用しません。積極的にコンピュータの状態を監視し、事前に対策を取ることが求められる時代となっています。

今一度、自社のシステムやサービスを見直し、優先度が下がってセキュリティ対策をせずに放置しているコンピュータがないかご確認いただければと思います。

Linux上のファイル暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

ランサムウェア「WannaCry」が教えるセキュリティ対策の基本

5月になってランサムウェア「WannaCry」が世界中で猛威を振るい日本のニュースでも多く取り上げられるようになりました。最近ではファイルを勝手に暗号化するランサムウエア自体は珍しいものではなくなってきましたが、3月に既に明らかになっていた脆弱性を利用するだけで、これだけの感染数を記録するのですから、世の中のセキュリティ意識というものは、まだまだ低いと言わざるを得ません。

最新のセキュリティパッチを常に適用にすることが、一番、重要なことではあるのですが、もし、万が一感染をした場合に、感染を拡大させないための対策を普段から考えておくことも重要になります。

今回のランサムウェア「WannaCry」も一度感染すると社内のネットワークを検索し、脆弱性のある他のコンピュータに感染しようとします。また社内LANやVPNといったプライベートなネットワーク環境は、信頼されたネットワークとみなされますので、厳しいチェックなしに他のリソースへのアクセスが可能になることが多いです。特に社内のファイル共有は大事なデータが保存されているにも関わらず、利便性を優先して、各PCから自動接続されるようになっていることもあり、攻撃者の対象になります。

これらはクラウド利用でも同様のことが起こります。クラウド環境でもプライベートネットワークの構築は簡単にできますので利用されている方も多いと思いますが、これらも一度、侵入されてしまうと他のコンピュータへの攻撃が容易になります。このようなことからも、プライベートネットワークにあるからOSの更新は後回しにするという考え方は危険です。基本的に毎日更新をチェックして適用するのが理想ですが、どうしてもセキュリティ更新が不定期になるコンピュータは簡単にアクセスできないように要塞化するか孤立化させなければなりません。

しかし、要するに基本は単にOS更新するだけなのですから、それが簡単に出来ないシステム構成は設計に問題ありと考えるべきでしょう。

Linux上の暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

暗号化するデータをどのように決めるのか?

データの暗号化をする場合には、どのデータを暗号化するのかを決めなくてはなりません。しかし、これはどのように決めればよいのでしょうか?

いわゆる企業内では秘密情報と呼ばれるものがそれに当たるのですが、いったい誰が、いつ決めているのか、そして、その判定基準はと言われると、すぐに答えられる人は少ないのではないかと思います。

ちなみに個人情報保護法の施行や、プライバシーマークなどの普及により、個人情報は秘密情報であるという認識は一般的に共通のものとなりつつありますが、それ以外の情報については、あまり気にかけない方も多いようです。

経済産業省は、平成28年2月に「秘密情報の保護ハンドブック ~企業価値向上に向けて~」という114ページもある冊子を発行しています。これはISMS(ISO27001)をベースにした記述になっていますが、非常にわかりやすくまとめてあるので一読されることをおすすめします。

この中で秘密情報を簡単に定義するのであれば、例として漏洩した場合に次のようなことが起こるものです。
・法令または契約違反となる
・取引先や他社に損失を与える恐れがある
・社会的な信用の毀損の恐れがある
・自社の競争力が低下する恐れがある

会社によって何が秘密情報になるのかは、上記のような基準を元に十分に話し合って決めていく必要があります。それを決めていないと何でも機密情報にしてしまったり、逆に知らずに機密情報を漏洩してしまったりするかもしれません。

このような基準が先に決まっていれば、簡単にシステム上でも何を暗号化するかを判断することが可能になります。

Linux上の暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

クラウドセキュリティに対する意識の変化と不安

安価なクラウドサービスが増えたこともあって、企業におけるクラウドシステムの利用の実態は大きく変わりつつあります。以前までは当然のように不安視していたセキュリティも、実際に利用してみて問題なく利用できることが分かれば、その後、多くのシステムをクラウド上に構築するようになり、新サービスのほとんどはクラウド上で構築されるようになってきました。

不思議なもので、多くの人や企業がクラウドを利用し始めると、急に安心感が出るのか、「クラウド」=「安全」という単純な考えを持つ人も現れ始めました。弊社が独自に行ったアンケートでは企業がクラウドを利用する理由として「セキュリティ面で安心できる」と答えた人が39%ともっとも多く、「システムの管理を任せられる」が35%と続きました。つまり、もはやクラウドのイメージは「不安」から「安心」に変わりつつあるのです。

これはクラウドサービスを提供している会社にとっては喜ばしいことだと思いますが、この単純なイメージの変化はセキュリティ意識の薄れととらえることもできます。どんなサービスでもある程度普及すると、よく中身を知らないまま利用する人が一定数現れてきてトラブルを引き起こします。

たしかに、クラウドサービスのセキュリティ機能は大きく向上していますが、それをどのように利用するのかは、利用者の判断になります。セキュリティ意識の低い人が何も分からず利用すると、正しい設定ができずに逆にリスクが大きくなります。

「クラウド」だから「安心」ではなく、どのようなセキュリティ対策をとっているのかしっかりと把握し利用していただければと思います。

Linux上の暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

「Vault 7」で明らかになった暗号化前の盗聴

今年の3月の初めにウィキリークスは「Vault 7」というCIAの機密文書を公開しました。
ここではCIAがどのようにして監視対象者のコンピュータを盗み見るのかという具体的な方法が記されており、多くの人がその内容に驚かされました。それはコンピュータのネットワークインターフェースのファームウエアを書き換えてEFIに感染して情報を送ったり、通信アプリで暗号化がされる前に盗聴されたりします。

ここで特徴的なのは以下の2点です。

「ファームウエアを書き換えてEFIに感染する」
EFIとはコンピュータの起動時にファームウエアやOSを管理するもので、昔で言うSystem BIOSから発展してきたものです。このファームウエアやEFIというのはコンピュータのOSとは関係なくハードウエアと密接に関係した部分で通称OSの起動前に実行されます。これではOS側でいくらセキュリティ対策をとっていたとしても効果がありません。一度EFIに感染すればハードディスクを交換しても感染が続くことになるというのが恐ろしいところです。

「暗号化する前に盗聴する」
これはアプリケーションの構造に詳しくないとできませんが、今回は「ワッツアップ」などのメッセージアプリの暗号化が対象となったようです。暗号化される前にデータを盗むというのは、OSがウイルス等に感染してしまえば、簡単に実現可能ですので、OSのセキュリティ対策を万全にしておく必要があります。

CIAの場合、監視対象者をFBIなどに別件で逮捕させて、抑留されているあいだに、本人の持ち物に監視ウイルスを忍ばせるというのが、具体的な手口として紹介されています。

日本でもつい先日警察が勝手に操作対象の人物とそのまわりの人たちの所有している車にGPS発信器をつけて監視した事件で、令状なしなしの捜査が違法と裁判所が判断しました。しかし、テロ等準備罪(共謀罪)が今年中にも国会で成立しそうですし、知らない間に自分が当局の監視対象になっているという事態が起こる可能性は高まっていくでしょう。

これからは以前にも増して自分のデータは自分で守るという意識をもって、セキュリティ対策をする必要があると思います。

Linux上の暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

Gmailの暗号化を可能にするE2Emailとは

前回のMLでメールの暗号化が全く普及しない理由に暗合鍵管理の複雑さがあるといいましたが、それを解消しよう試みるプロジェクトのテスト版が公開されました。それは「E2EMail」というプロジェクトです。このプロジェクトはgoogleも参加しているプロジェクトで、chromeの拡張機能として、PGP/MIMEでメールを暗号化する機能を提供するものです。

PGP/MIMEというのはPGPという公開鍵暗号の仕組みをメールで利用するものですが、公開鍵暗号でのメール送信について簡単に説明しますと、
「送る相手の公開鍵を入手する」
「相手の公開鍵で暗号化して送る」
と表すことができます。

メールを受け取る場合も同様で、事前に自分の公開鍵を送信者に渡しておかないと暗号化してもらえません。暗号化されたメールは対応する秘密鍵をもっている人しか復号化できませんから、受け取った相手しか開けないということになります。

しかし、ここで問題はどうやって公開鍵を入手するのか、また、その公開鍵を信用していいのかなど、さまざまな問題が発生するのですが、E2EMailでは鍵管理サーバを用意し、googleの認証機構を用いてユーザ確認をする仕組みなっているのが特徴です。

いままではPGP/MIMEを利用するには自分で送信先の公開鍵管理をしなければならず、とても不便だったのですが、それを解消しようとする試みですが、いかにユーザ側の簡便さとセキュリティを確保するかが重要になってくるのではないかと思います。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/

MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/

MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise
もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

添付ファイルの自動暗号化がもたらした功罪

最近、情報漏えい対策ということでメールの添付ファイルを自動で暗号化するサービスを導入する企業が増えてきました。

仕組みとしては、メールをサーバに送ると添付ファイルを取り出して自動で暗号化してパスワードをつけて再添付して送りなおすものが多く、ほとんどの場合、その次のメールで自動で作成されたパスワードも送られていきます。最近では一定のサイズを越える大きな添付ファイルの場合は別サーバに保存してダウンロードURLを自動で生成して送ってくるものも出てきました。

確かに便利になったのかもしれません。しかし、誰が便利になったのかといえば、添付ファイルを送る側のみです。受け取る側は、機密情報がないものでも、毎回、添付ファイルが暗号化されて、解除にパスワードが必要になって迷惑、この上有りません。しかも、それによってファイルのコピーが増えていき、データの一貫性が損なわれていきます。このようなメールの受信側の受難は長らく続くことになりそうで、困ったものです。

なぜ、こんなことになってしまったのでしょうか?

メールには、そもそもS/MIMEやPGP/MIMEといった立派な標準暗号化規格があるのですが、まったく普及しませんでした。これは両方共に公開鍵管理方式を採用していて、非常に強固なしくみなのですが、暗号鍵の鍵管理をしなければならず、送信者、受信者ともにそれなりにセキュリティ知識を要するからです。

この添付ファイルの自動暗号化は、パスワードは次のメールで来る場合は、誤送信時や、盗聴されている場合は役に立たないと思いますが、それでも「暗号化している」という変な安心感だけで独り歩きしているのではないでしょうか。

※ここからセミナーのご案内

2週間後に、このMLでよく話題にする「暗号鍵管理」のウェブセミナーを開催することになりました。今回は、MySQL5.7から機能追加された透過的テーブルスペース暗号化を利用する場合の利点と欠点、そして、どのように鍵管理をすべきかについて具体的な方法をご紹介したいと思います。

インターネットをご利用可能な環境でしたら、簡単に参加可能ですので、お気軽にお申し込みいただければと思います。
http://www.softagency.co.jp/webinar/20170309/
【ウェブセミナー開催概要】
タイトル: MySQLの暗号化機能を活用するための鍵管理入門

MySQL5.7では無料のCommunity版を含むすべてのバージョンでInnoDBの透過的テーブルスペース暗号化機能が利用できるようになりました。しかし、暗号化というものは暗号鍵の管理がとても重要になります。この暗号鍵をどのように管理すればよいのか、実際の動作を確認しながら、Community版でも活用できるノウハウを含めて紹介します。

日時:      2017年3月9日(木)16:00 – 17:00
参加費:     無料(事前登録制)
参加方法:    インターネットに接続可能なPCとヘッドセットをご用意ください。
         前日までに参加するためログインURLをご連絡します。
主催:      株式会社ソフトエイジェンシー
         ( MySQL 5 Specialization認定パートナー )
協力:      日本オラクル株式会社
申し込み方法:  下記、お申込みフォームよりご登録をお願いします。
         http://www.softagency.co.jp/webinar/20170309/
申し込み締切:  2017年3月8日(水)まで
お問い合わせ:  電話: 050-5505-5509
メール:     sales@softagency.co.jp

以上、よろしくお願いします。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/

MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/

MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise

MySQLの暗号化機能を活用するための鍵管理入門

2週間後に、このMLでよく話題にする「暗号鍵管理」のウェブセミナーを開催することになりました。今回は、MySQL5.7から機能追加された透過的テーブルスペース暗号化を利用する場合の利点と欠点、そして、どのように鍵管理をすべきかについて具体的な方法をご紹介したいと思います。

インターネットをご利用可能な環境でしたら、簡単に参加可能ですので、お気軽にお申し込みいただければと思います。
http://www.softagency.co.jp/webinar/20170309/

【ウェブセミナー開催概要】
タイトル: MySQLの暗号化機能を活用するための鍵管理入門

MySQL5.7では無料のCommunity版を含むすべてのバージョンでInnoDBの透過的テーブルスペース暗号化機能が利用できるようになりました。しかし、暗号化というものは暗号鍵の管理がとても重要になります。この暗号鍵をどのように管理すればよいのか、実際の動作を確認しながら、Community版でも活用できるノウハウを含めて紹介します。

日時:      2017年3月9日(木)16:00 – 17:00
参加費:     無料(事前登録制)
参加方法:    インターネットに接続可能なPCとヘッドセットをご用意ください。
         前日までに参加するためログインURLをご連絡します。
主催:      株式会社ソフトエイジェンシー
         ( MySQL 5 Specialization認定パートナー )
協力:      日本オラクル株式会社
申し込み方法:  下記、お申込みフォームよりご登録をお願いします。
         http://www.softagency.co.jp/webinar/20170309/
申し込み締切:  2017年3月8日(水)まで
お問い合わせ:  電話: 050-5505-5509
メール:     sales@softagency.co.jp

以上、よろしくお願いします。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/
MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/
MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise

クラウド内の暗号鍵マネジメントは主流になるか

先月、米グーグルはクラウドベースの暗号鍵マネジメントサービス(CLOUD KMS)を発表しました。

暗号鍵マネジメントとは、データを暗号化するときに必要な暗号鍵の「生成」「利用」「ローテーション」「破棄」の暗号鍵のライフサイクルを管理することです。いままでもグーグルは自社のクラウドプラットフォームで暗号鍵の管理ができましたが、ほとんど自動化されていて暗号鍵を意識する必要があまりありませんでした。

しかし、今回のサービスでは、ユーザ側で管理できる項目が増え、暗号鍵の管理に加えて、暗号化と復号化のためのREST APIも提供されています。また鍵のローテーションも自動と任意を選べるようになっています。

そもそも、本気でセキュリティを考える人の中では、鍵管理をグーグルのサービスに依存させることを嫌う人も多いでしょうが、このようなサービスが普及していくことで、暗号化における鍵管理の重要性が話題になり、セキュリティ対策を考えるきっかけになればよいのではないかと思います。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/
MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/
MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise

無料VPNアプリの恐怖

前回、VPNによって通信の暗号化ができるというお話をさせていただきましたが、最近ではスマートフォンでも多くのVPNアプリケーションが提供されています。しかし、スマートフォンでVPNを利用するにはかなり注意が必要なようです。

昨年の8月にオーストラリアのCSIRO(Commonwealth Scientific and Industrial Research Organisation)が発表した論文によると、AndroidのGoogle Playで提供されている283個のVPNアプリのうち18%が実際には暗号化をしておらず、さらに、38%にマルウエアが含まれていました。また、82%が個人情報データへのアクセス権限を要求しているとのことです。中には悪意をもって個人情報を収集していたアプリも存在したということですので、本当に恐ろしいことです。

このように氾濫しているアプリの中から、信頼のおけるVPNアプリを探すのは容易ではないかもしれませんが、少なくとも開発元のホームページなどを確認して、個人なのか法人なのか、オープンソースなのか、他にどんなサービスを提供しているのか、など自分なりの判断基準をもって選択することが必要でしょう。

VPNアプリの場合は、ルータやスイッチなどのネットワーク機器メーカが提供しているアプリは素性がはっきりしているので比較的安心して使えると思います。しかしながら、特定の機種やサービスにしか繋がらないような機能の制約があったりするので注意が必要です。次にオープンソースソフトウエアも選択肢としては良いと思います。人気のあるものは脆弱性の対応も素早いですので、十分実用に耐えることができます。

暗号化の重要度が増すにつれて、詐欺まがいのツールも増えてくると思いますので、そういったものに注意しながらVPNアプリの選択をしていただければと思います。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/

MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/

MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise