| Scan Security Scan Security | ||
|---|---|---|
| 2009年11月17日(火曜日) | ||
| Scan Vol.547 2009/11/17 ＋海外情報版＋ | 18:08 scan | |
|
┏━━ セキュリティマガジン Scan Security Wire ダイジェスト版 ━━━┓ "企業のセキュリティ担当者のための総合情報誌" [火曜発行／海外情報版] ┗━━━━ https://www.netsecurity.ne.jp/ ━━━━2009/11/17 Vol.547┛ ----------〔AD〕-- Ｓ┃Ａ┃Ｎ┃Ｓ┃ ■ SANS No.1インストラクター Eric Coleによる ━┛━┛━┛━┛ ■ SEC501 Advanced Security Essentials Ｔ┃Ｏ┃Ｋ┃Ｙ┃Ｏ┃■ − Enterprise Defender − ━┛━┛━┛━┛━┛■あらゆる攻撃・不正から組織を守る手法を完全習得！ 2010 Spring┃ 詳細・お申込みは→ http://sans-japan.jp/ ----- ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ━╋ Scan Security Wire ダイジェスト版 目次 ╋━ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 【01】SCAN DISPATCH ：クラウドサービスの弱点を 国際セキュリティ会議で発表 ---------- 【02】ScanNetSecurity 人気記事トップ10ランキング ---------- 【03】Scan 特選 優良セキュリティ・トレーニング 統合ログ管理 RSA enVision 紹介セミナー… 他 ---------- ╋ 編集部からのお知らせ（登録変更・解除はこちら） ━━━━━━━━━━━━━━━━━━━━━━━━━━━[ダイジェスト]━ 【01】SCAN DISPATCH ：クラウドサービスの弱点を 国際セキュリティ会議で発表 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ SCAN DISPATCH は、アメリカのセキュリティ業界及ハッカーコミュニティか ら届いたニュースを、狭く絞り込み、深く掘り下げて掲載します。 ---- 「国際セキュリティ会議で発表された AmazonとMobileMeの攻撃手法」に続 き、今年のBlackHatUSAにて行われたプレゼン、「Clobbering the Cloud!」か ら、SalesForce.com と SugarSync の脆弱性の例をみながら、クラウドの弱点 を探ってみたい。 SCAN DISPATCH ：国際セキュリティ会議で発表された AmazonとMobileMeの攻 撃手法（2009年10月27日） https://www.netsecurity.ne.jp/2_14212.html Clobbering the Cloud! プレゼン http://www.blackhat.com/presentations/bh-usa-09/MEER/BHUSA09-Meer-ClobberCloud-SLIDES.pdf https://media.blackhat.com/bh-usa-09/video/MEER/BHUSA09-Meer-ClobberCloud-VIDEO.zip まず最初はSalseForce.com。Software as a Service (SaaS)の元祖で、S&P 500（米スタンダード・アンド・プアーズ社算出の株価指数）にも登場する老 舗のクラウド・コンピューティングのサイトだ。 WebベースのCRMソリューションを提供するのがメインだが、デベロッパはカ スタムのアプリを作成してそれをSalseForce.comのプラットフォームで動作さ せることができる。アプリケーションはSalseForece.comのプラットフォーム で作動するSalseForece.com独自のApexを使う。「このプラットフォームは、 ビルトインの構文によってデータストアのオペレーションをサポートしており、 APIによって、HTTPのコールアウト、ApexのコードをSalseForce.com内部でWS エンドポイントにタイしたり、メールを送信できるだけでなく、メールのエン ドポイントにSalseForce.com内部でApexのコードをタイできるようになってい る。」（Slaviero氏）。また複数のイベント・ループのイリテーションの関係 を保持するのにデータストアは便利なだけでなく、アップデート・トリガーに よってメールを無料で送信することができる。 もちろん、このプラットフォームにアクセスする全てのユーザが、公平にリ ソースにアクセスできるようにコントロールされている。が、上記の機能と、 無料で登録できるアカウントを使用して、この制御機能を回避する方法がプレ ゼンでは発表された。WebスキャナのNiktoをSalseForce.comにポートするもの で、その名はSiftoだ。 SalesForce.comではさらに、クリックジャッキングの脆弱性も発見された。 ユーザがブラウザでCRMのインターフェースのページを開き、もうひとつのタ ブで「猿をパンチ」のゲームをしたところ、CRMのページからタスクをデリー トすることになってしまった様子をデモで紹介している。 最後は日本でも話題になっているインフラ・アズ・サービス形態の、オンラ イン・バックアップ、ファイル共有サービスのSugarSync.com。MobileMeと同 じようにパスワード・リセットのプロセスをハックしたデモであるが、プロセ スは多少違う。まず、ユーザ・ネームを推測する方法であるが、 SugarSync.comは親切にも、存在しないユーザネームでログインしようとする と、「ユーザネームが存在しない」と返答してくる。普通、メールアドレスを ユーザネームにしている人がほとんどだから、思い当たるメールアドレスを次 から次へと試せばいい。 一度ユーザネームが分かったら、パスワードリセットを行う。パスワードリ セットのリンクが、ユーザのメールアカウントに送られてくる。ここまではそ の他のサイトと同じ。 3氏がSugarSync.comの弱点として見つけたのは以下の3点。 (1) パスワードリセットのリクエストを何回もかけることができる。スクリプ トを書いて行えば、何百万、何千万回の試行が可能である。 (2) リセット用のリンクは、何週間も「Live」つまり、有効期限が無い。 (3) リセット用のリンクにあるsecret identifierは、例えば「for472gtb422」 というように、それほど長いものでない。 このことから、プレゼンではまず… 【執筆：米国 笠原利香】 ----- ※ この記事は Scan購読会員向け記事をダイジェスト掲載しました 購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 【02】ScanNetSecurity 人気記事トップ10ランキング＜2009-11-06〜11-13＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ●ScanNetSecurity 人気記事トップ 10 ----- 【1位】PCI DSS対策研究所 - PCI DSS準拠のための総合情報サイト - https://www.netsecurity.ne.jp/pcidss/ 【2位】Active Directory導入企業における「統合認証基盤確立のシナリオ」 https://www.netsecurity.ne.jp/special/ad/web01.html 【3位】Langley のサイバーノーガード日記 サイバーセキュリティとおとり捜 査(1) https://www.netsecurity.ne.jp/3_14265.html 【4位】個人情報を含む学生の授業レポートを記録したUSBメモリを紛失（電気 通信大学） https://www.netsecurity.ne.jp/1_14283.html 【5位】「NOD32」と「ESET Smart Security」比較使用体験記 (2) https://www.netsecurity.ne.jp/3_11198.html 【6位】mixiアプリ「サンシャイン牧場」に不具合、クレジットカード情報な どが閲覧可能な状態に（mixi） https://www.netsecurity.ne.jp/1_14251.html 【7位】ヤフーオークションで海賊版を販売していた男子大学生を逮捕（ACCS） https://www.netsecurity.ne.jp/1_14279.html 【8位】セキュリティホール情報＜2009/11/06＞ https://www.netsecurity.ne.jp/6_14277.html 【9位】11月06日のWeb改ざん情報 https://www.netsecurity.ne.jp/9_14280.html 【10位】携帯オークションで海賊版ソフトとクラックツールを販売した男性を 逮捕（ACCS） https://www.netsecurity.ne.jp/1_14243.html ----- ●ScanNetSecurity 人気製品・人気サービストップ 5 ----- 【1位】AppScan(脆弱性診断ツール) https://www.netsecurity.ne.jp/product/s00357/ 【2位】情報漏洩911(セキュリティコンサルティングサービス) https://www.netsecurity.ne.jp/product/s00364/ 【3位】Blue Lane Patch Point(セキュリティパッチ対策) https://www.netsecurity.ne.jp/product/s00353/ 【4位】X-Ways Forensics(フォレンジックツール) https://www.netsecurity.ne.jp/product/s00362/ 【5位】ペネトレーションテスト(診断) https://www.netsecurity.ne.jp/product/s00331/ ----- ●ScanNetSecurity 人気調査資料・ホワイトペーパートップ 5 ----- 【1位】日本情報漏えい年鑑2008ダイジェスト版 https://shop.ns-research.jp/form/fm/lk08 【2位】オンラインショップ運営者におけるPCIDSS 認知度調査 https://shop.ns-research.jp/form/fm/pcidss 【3位】"やってしまった!"では済まされない不正PC接続を防止する! DHCP認証システムで実現する"セキュア・エンタープライズ・ネットワーク" https://shop.ns-research.jp/form/fm/tel 【4位】セキュアなWeb サイト構築方針の考察〜Apache とIIS における改ざん 傾向比較 https://shop.ns-research.jp/form/fm/iis 【5位】クレジットカード会社連合が策定したPCIDSSの全貌 https://shop.ns-research.jp/form/fm/pci_01 ----- ●ScanNetSecurity 情報セキュリティ用語辞典 閲覧数トップ 5 ----- 【1位】Wrapperとは https://www.netsecurity.ne.jp/dictionary/wrapper.html 【2位】スニファーとは https://www.netsecurity.ne.jp/dictionary/sniffer.html 【3位】HIPPAとは https://www.netsecurity.ne.jp/dictionary/hippa.html 【4位】スタックオーバーフローとは https://www.netsecurity.ne.jp/dictionary/stackoverflow.html 【5位】RSAとは https://www.netsecurity.ne.jp/dictionary/rsa.html ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 【03】Scan 特選セキュリティ・トレーニング情報 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ●実践！ログ活用から始める情報リスクの見える化 統合ログ管理 RSA enVision 紹介セミナー http://japan.rsa.com/node.aspx?id=3592 統合ログ管理アプライアンス「RSA enVision」が行うログの収集から保管、 分析・解析、レポートまで効率的な統合ログ管理システムと事例をご紹介。 （主催：RSAセキュリティ株式会社） ○12月10日（木）15:00〜17:00 ●認証強化から始める情報漏えい対策“認証方式早わかり”セミナー http://japan.rsa.com/node.aspx?id=3569 認証強化に力を入れてビジネスを成功させた先行事例を紹介しながら、現在、 選択可能な各種認証方式の特性をご説明。（主催：RSAセキュリティ株式会社） ○11月24日（火）13:30〜15:00 ○12月11日（金）13:30〜15:00 ●〜不正アクセス・情報漏えい対策のキホンを知ろう〜 RSAセキュリティ ワンタイム・パスワード製品体験セミナー http://japan.rsa.com/node.aspx?id=3575 アプライアンスサーバの特長やRSA Authentication Managerの3つのキー ワード（Windowsデスクトップ認証、On-Demandトークン、Business Continuityオプション）を、デモンストレーションなどを交えてご紹介。 （主催：RSAセキュリティ株式会社） ○11月24日（火）16:00〜17:35 ○12月11日（金）16:00〜17:35 ●不正アクセス・情報漏えい対策のための認証基盤強化セミナー 〜よくわかる認証方式とそのえらび方〜 http://japan.rsa.com/node.aspx?id=3593 豊富な導入実績を持つRSA SecurIDソリューションをはじめ、最近のBtoBや BtoCの認証で話題となっているリスクベース認証なども含めて解説・デモンス トレーション。（主催：RSAセキュリティ株式会社） ○12月 4日（金）15:30〜17:10 ●企業存続をかけた危機管理実践方法とセキュリティ最新動向 https://www.empacs.jp/em/enq/enq_form.php?qIds=kCjgDgoYP 目の前にある脅威は何か、最新の攻撃は何で、どうすれば防御できるのか？ などを解説（主催：株式会社三菱総合研究所、三菱総研DCS株式会社、共催： RSAセキュリティ株式会社、Imperva Inc.、フォーティファイ・ソフトウェア 株式会社、株式会社アークン） ○12月10日（木）13:00〜17:25 ●特権IDによる操作履�... | ||
|
| ||
| (1) 2 3 4 5 6 7 8 9 10 » | ||
PopnupBlog V3 Denali created by
Bluemoon inc.
| ||
| Log-in | Register now! | ||||||||
|
||||||||
|
|
|
メインメニュー
ログイン
がらくたメニュー
RSSリーダー
参照元情報
参照なし SEO Stats
フィードメーター
SEO対策
サイト価格ランキング
| |||||
