ITProスペシャル
企業を取り巻くセキュリティの10大脅威
後で読もうっと。
2010年7月1日木曜日
2009年7月27日月曜日
HP、ブラウザベースのダークネットを公開へ--Black Hatカンファレンスで
HP、ブラウザベースのダークネットを公開へ--Black Hatカンファレンスで
Hewlett-Packard（HP）の研究者2人が、ブラウザベースのダークネットを作り出した。企業が部外者による機密情報の傍受をより簡単に防げるようにする狙いだ。
ダークネットは暗号化されたPtoPネットワークで、通常、非公開グループの間でファイルをやり取りするときに使用される。大半のダークネットは、必要なサーバの管理も含め、準備と保守に一定水準以上の技術的知識が必要である。しかし、HPの研究者であるBilly Hoffman氏とMatt Wood氏は今週、「Veiled」と呼ばれるブラウザベースのダークネットのデモを行う予定である。Veiledの準備と実行に専門的知識はほとんど必要ない、と両氏は主張している。
このアイデアは面白い。今後を展開をフォローしよう。メモっとく。
Hewlett-Packard（HP）の研究者2人が、ブラウザベースのダークネットを作り出した。企業が部外者による機密情報の傍受をより簡単に防げるようにする狙いだ。
ダークネットは暗号化されたPtoPネットワークで、通常、非公開グループの間でファイルをやり取りするときに使用される。大半のダークネットは、必要なサーバの管理も含め、準備と保守に一定水準以上の技術的知識が必要である。しかし、HPの研究者であるBilly Hoffman氏とMatt Wood氏は今週、「Veiled」と呼ばれるブラウザベースのダークネットのデモを行う予定である。Veiledの準備と実行に専門的知識はほとんど必要ない、と両氏は主張している。
このアイデアは面白い。今後を展開をフォローしよう。メモっとく。
2009年3月18日水曜日
セキュリティ対策が分からない中小企業にアドバイス、IPAが指南書提供
セキュリティ対策が分からない中小企業にアドバイス、IPAが指南書提供
情報処理推進機構（IPA）は3月18日、具体的なセキュリティ対策方法など紹介する「中小企業の情報セキュリティ対策ガイドライン」を公開した。自社内の対策だけでなく、外部との契約書などに盛り込むべき対策にまでをカバーする内容となっている。
同ガイドラインは、「5分でできる自社診断シート」「中小企業における組織的な情報セキュリティ対策ガイドライン」「委託関係における情報セキュリティ対策ガイドライン」で構成されている。いずれも、情報セキュリティ対策が十分ではない中小企業が対策を強化するために必要な項目を重点的にカバーしたという。
中小企業の情報セキュリティ対策ガイドライン
中小企業なのでメモっとく。
情報処理推進機構（IPA）は3月18日、具体的なセキュリティ対策方法など紹介する「中小企業の情報セキュリティ対策ガイドライン」を公開した。自社内の対策だけでなく、外部との契約書などに盛り込むべき対策にまでをカバーする内容となっている。
同ガイドラインは、「5分でできる自社診断シート」「中小企業における組織的な情報セキュリティ対策ガイドライン」「委託関係における情報セキュリティ対策ガイドライン」で構成されている。いずれも、情報セキュリティ対策が十分ではない中小企業が対策を強化するために必要な項目を重点的にカバーしたという。
中小企業の情報セキュリティ対策ガイドライン
中小企業なのでメモっとく。
2009年2月4日水曜日
これならわかる！OpenIDの仕組み
これならわかる！OpenIDの仕組み
OpenIDの具体的な内容や仕様がわからなくても、名前から推測すると、その裏にある発想が見えてきます。そのまま訳すとオープンなIDですので、閉じていないIDということでしょう。つまり、サービスごとに閉じているIDではなく、1つ1つのサービスからオープンになっていて、どこでも共通に使える IDということです。
メモっとく。
OpenIDの具体的な内容や仕様がわからなくても、名前から推測すると、その裏にある発想が見えてきます。そのまま訳すとオープンなIDですので、閉じていないIDということでしょう。つまり、サービスごとに閉じているIDではなく、1つ1つのサービスからオープンになっていて、どこでも共通に使える IDということです。
メモっとく。
2009年2月3日火曜日
第1回：暗号とは何か、何であるべきか
第1回：暗号とは何か、何であるべきか
暗号とは情報、特にその安全性を制御する技術である。情報の安全性は、大きく「情報の機密性」「情報の完全性」「情報の信頼性」に分けられるが、WEPは主に「情報の機密性」を保証する技術であった。事実上、情報通信ネットワークの上で形成される社会において、暗号およびその技術は、国家にとって安全保障上の、企業や組織にとって危機管理上の、個人にとってプライバシーを制御する重要な基盤技術である。
メモっとく。
暗号とは情報、特にその安全性を制御する技術である。情報の安全性は、大きく「情報の機密性」「情報の完全性」「情報の信頼性」に分けられるが、WEPは主に「情報の機密性」を保証する技術であった。事実上、情報通信ネットワークの上で形成される社会において、暗号およびその技術は、国家にとって安全保障上の、企業や組織にとって危機管理上の、個人にとってプライバシーを制御する重要な基盤技術である。
メモっとく。
2009年1月15日木曜日
被害が広がるDNSキャッシュポイズニング、IPAが対策資料を公開
被害が広がるDNSキャッシュポイズニング、IPAが対策資料を公開
独立行政法人情報処理推進機構（IPA）は1月14日、DNSキャッシュポイズニングの脆弱性への対策をまとめた資料を公開した。IPAのサイトで無償配布している。
IPA DNSキャッシュポイズニング対策
DNSキャッシュポイズニング対策(全48ページ、1.61MB）pdf
メモっとこ。
独立行政法人情報処理推進機構（IPA）は1月14日、DNSキャッシュポイズニングの脆弱性への対策をまとめた資料を公開した。IPAのサイトで無償配布している。
IPA DNSキャッシュポイズニング対策
DNSキャッシュポイズニング対策(全48ページ、1.61MB）pdf
メモっとこ。
2008年12月15日月曜日
アメリカンエクスプレスからメールが
アメリカンエクスプレスカードからこんなメールが届いた。
Reference Number: 2008xxxxxxxxxxxx
Dear American Express Card holder:
As part of the new security measures, all American Express Card holders are required to complete American Express Customer Form. Please complete the form as soon as possible.
To access the form please click on the following link:
http://www.americanexpress.com/xxxxxxxxxxx
Thank you for using your American Express Card.
Sincerely,
American Express Customer Service
発信者もAmericanExpress@email2.americanexpress.comって正しそうだし、アクセスすべきか、無視するべきか...
Reference Number: 2008xxxxxxxxxxxx
Dear American Express Card holder:
As part of the new security measures, all American Express Card holders are required to complete American Express Customer Form. Please complete the form as soon as possible.
To access the form please click on the following link:
http://www.americanexpress.com/xxxxxxxxxxx
Thank you for using your American Express Card.
Sincerely,
American Express Customer Service
発信者もAmericanExpress@email2.americanexpress.comって正しそうだし、アクセスすべきか、無視するべきか...
2008年7月1日火曜日
この警報はこわいぞ
「ミサイルが着弾する恐れ」と緊急放送、福井県美浜町でシステムが誤作動
>３０日午後４時３５分ごろ、福井県美浜町の防災無線全５８基から、
>「ミサイル発射情報。当地域にミサイルが着弾する恐れがあります」との放送が誤って流れた。
防災無線って、光化学スモッグの警報とか流れる奴だろうけど、この警報は怖いぞ！！！
>町によると、庁舎内にある警報受信システムの一部に以前から不具合があり、同日午後、
>消防庁の指示で、管理用コンピューターを再起動させると、誤作動が起き、
>放送が流れたという。町は「町民に迷惑をかけて申し訳ない」としている。
確かスリーマイルズ島の原発事故の時も、警報装置の誤動作がず～っと続いてて、ある日、本当に警報装置が動作したけど、誰も気にしなかったとか。早く直さなくっちゃ(^^;
>３０日午後４時３５分ごろ、福井県美浜町の防災無線全５８基から、
>「ミサイル発射情報。当地域にミサイルが着弾する恐れがあります」との放送が誤って流れた。
防災無線って、光化学スモッグの警報とか流れる奴だろうけど、この警報は怖いぞ！！！
>町によると、庁舎内にある警報受信システムの一部に以前から不具合があり、同日午後、
>消防庁の指示で、管理用コンピューターを再起動させると、誤作動が起き、
>放送が流れたという。町は「町民に迷惑をかけて申し訳ない」としている。
確かスリーマイルズ島の原発事故の時も、警報装置の誤動作がず～っと続いてて、ある日、本当に警報装置が動作したけど、誰も気にしなかったとか。早く直さなくっちゃ(^^;
2008年6月9日月曜日
Amazon.com、2時間にわたりダウン
Amazon.com、2時間にわたりダウン
米オンライン小売業者Amazon.comが、同社の米国サイトが6月6日に2時間にわたってダウンしたことを明らかにした。アクセスが遮断された原因は不明という。
今はまだ最大大手Amazonのサイトがダウンした話で済むけど、クラウドが普及していったら、インフラの崩壊とか言われて、これだけでは済まなくなるんだろうな。
尤も、今回ストレージサービスに問題は無かったらしいけど。
米オンライン小売業者Amazon.comが、同社の米国サイトが6月6日に2時間にわたってダウンしたことを明らかにした。アクセスが遮断された原因は不明という。
今はまだ最大大手Amazonのサイトがダウンした話で済むけど、クラウドが普及していったら、インフラの崩壊とか言われて、これだけでは済まなくなるんだろうな。
尤も、今回ストレージサービスに問題は無かったらしいけど。
2008年6月2日月曜日
wipe:ディスクドライブのデータ完全消去ツール
wipe:ディスクドライブのデータ完全消去ツール
コンピュータを長い間使い続けていくと、やがては不要になったディスクドライブを廃棄するという日が訪れるはずだ。そうした際には第三者への情報漏洩を防止する観点から、廃棄するドライブのデータを事前に消去しておくべきである。しかしながら、通常の操作によりすべてのファイルを削除して再フォーマットを施すという措置だけでは不充分なのであって、表面上はドライブから消えていたはずのデータも、実はある程度の手間をかければ抽出できる状態で残されているのだ。そのような復活の余地なくデータを完全消去したいという場合に私がお勧めするのが、本稿で紹介する wipe というツールである。
こういうツールはいつか必要になるのでメモっとく。
コンピュータを長い間使い続けていくと、やがては不要になったディスクドライブを廃棄するという日が訪れるはずだ。そうした際には第三者への情報漏洩を防止する観点から、廃棄するドライブのデータを事前に消去しておくべきである。しかしながら、通常の操作によりすべてのファイルを削除して再フォーマットを施すという措置だけでは不充分なのであって、表面上はドライブから消えていたはずのデータも、実はある程度の手間をかければ抽出できる状態で残されているのだ。そのような復活の余地なくデータを完全消去したいという場合に私がお勧めするのが、本稿で紹介する wipe というツールである。
こういうツールはいつか必要になるのでメモっとく。
2008年5月1日木曜日
「Microsofts」に気を付けろ！
「Microsofts」に気を付けろ！――偽警告で「偽ソフト」を売り込む
>セキュリティ企業の米サンベルトソフトウエアは2008年4月30日、
>米マイクロソフトなどのサイトに見せかけて、実際には役に立たない
>「偽ソフト」を売りつけようとする悪質サイトが複数確認
>されたとして注意を呼びかけた。
>
>今回確認された悪質サイトは、ドメイン名に「microsofts」などの
>単語を含めて、マイクロソフトと関連があるサイトに見せかけよう
>としている。サンベルトソフトウエアでは、以下のようなドメイン
>名を確認している。
>
> * updates-microsofts.com
> * updates-microsofts.net
> * free-microsofts.com
> * updatemicrosofts.com
> * microsofts-updates.com
> * www-microsofts.com
所謂バッタもんのサイトらしい。行っちゃうと大変な目にあわされるらしいから良い子は行かないように。
しかし、なんで今まで見付からなかったんだろう？
最近出来たんだろうか？
今まで悪い人は誰も思いつかなかったのか？
と思ってしまった。
>セキュリティ企業の米サンベルトソフトウエアは2008年4月30日、
>米マイクロソフトなどのサイトに見せかけて、実際には役に立たない
>「偽ソフト」を売りつけようとする悪質サイトが複数確認
>されたとして注意を呼びかけた。
>
>今回確認された悪質サイトは、ドメイン名に「microsofts」などの
>単語を含めて、マイクロソフトと関連があるサイトに見せかけよう
>としている。サンベルトソフトウエアでは、以下のようなドメイン
>名を確認している。
>
> * updates-microsofts.com
> * updates-microsofts.net
> * free-microsofts.com
> * updatemicrosofts.com
> * microsofts-updates.com
> * www-microsofts.com
所謂バッタもんのサイトらしい。行っちゃうと大変な目にあわされるらしいから良い子は行かないように。
しかし、なんで今まで見付からなかったんだろう？
最近出来たんだろうか？
今まで悪い人は誰も思いつかなかったのか？
と思ってしまった。
2008年4月30日水曜日
Web 2.0時代のセキュリティに求められるもの--セキュアコンピューティング
Web 2.0時代のセキュリティに求められるもの--セキュアコンピューティング
Secure Computingは、1989年に設立されたセキュリティベンダーだ。設立のきっかけとなったのは、米国国家安全保障局と共同で行なったSecure OSの開発で、この技術は現在も同社の主力製品であるファイアウォール/UTMの「Sidewinder（現Secure Firewall）」に搭載されている。
こうした設立の経緯から米国では政府官公庁や軍関連で圧倒的な支持を得ているという。米国での軍関連組織でのファイアウォールのシェアは70～80％に達するといい、SidewinderはNATO軍の標準ファイアウォールにも選定されているそうだ。
ここでは、米Secure ComputingでDirector, Enterprise Salesを務めるGrant Murphy氏と、日本法人の代表取締役社長 辻根佳明氏に同社のセキュリティ戦略について聞いた。
ちょっと面白かったのでメモっとく。
Secure Computingは、1989年に設立されたセキュリティベンダーだ。設立のきっかけとなったのは、米国国家安全保障局と共同で行なったSecure OSの開発で、この技術は現在も同社の主力製品であるファイアウォール/UTMの「Sidewinder（現Secure Firewall）」に搭載されている。
こうした設立の経緯から米国では政府官公庁や軍関連で圧倒的な支持を得ているという。米国での軍関連組織でのファイアウォールのシェアは70～80％に達するといい、SidewinderはNATO軍の標準ファイアウォールにも選定されているそうだ。
ここでは、米Secure ComputingでDirector, Enterprise Salesを務めるGrant Murphy氏と、日本法人の代表取締役社長 辻根佳明氏に同社のセキュリティ戦略について聞いた。
ちょっと面白かったのでメモっとく。
2008年4月25日金曜日
Linuxが落ちた
本日16:26にLinuxが落ちた。丁度、ゴソゴソとMySQLを動かしていた最中なので非常に心配だ。
でもLinuxが悪いわけではない。子供が机によじ登って奥に置いてあるサーバの電源スイッチを切ったらしい。物理的なセキュリティ対策を考えなければ(^^;
で、事後(事故後の?)のチェックだがfsckでいいのだろうか？
という事でsuして/sbin/fsckとしたら
fsck 1.40.2 (12-Jul-2007)
e2fsck 1.40.2 (12-Jul-2007)
/dev/VolGroup00/LogVol00 is mounted.
WARNING!!! Running e2fsck on a mounted filesystem may cause
SEVERE filesystem damage.
Do you really want to continue (y/n)?
check aborted.
e2fsck 1.40.2 (12-Jul-2007)
/dev/sda1 is mounted.
WARNING!!! Running e2fsck on a mounted filesystem may cause
SEVERE filesystem damage.
Do you really want to continue (y/n)?
check aborted.
と、シビアなダメージをファイルシステムに与える原因になるよ。と脅されてしまった。当然noと答えたんだけど...
でもLinuxが悪いわけではない。子供が机によじ登って奥に置いてあるサーバの電源スイッチを切ったらしい。物理的なセキュリティ対策を考えなければ(^^;
で、事後(事故後の?)のチェックだがfsckでいいのだろうか？
という事でsuして/sbin/fsckとしたら
fsck 1.40.2 (12-Jul-2007)
e2fsck 1.40.2 (12-Jul-2007)
/dev/VolGroup00/LogVol00 is mounted.
WARNING!!! Running e2fsck on a mounted filesystem may cause
SEVERE filesystem damage.
Do you really want to continue (y/n)?
check aborted.
e2fsck 1.40.2 (12-Jul-2007)
/dev/sda1 is mounted.
WARNING!!! Running e2fsck on a mounted filesystem may cause
SEVERE filesystem damage.
Do you really want to continue (y/n)?
check aborted.
と、シビアなダメージをファイルシステムに与える原因になるよ。と脅されてしまった。当然noと答えたんだけど...
2008年4月21日月曜日
SQLインジェクション攻撃を検出する簡易ツール、IPAが公開
SQLインジェクション攻撃を検出する簡易ツール、IPAが公開
国内サイトでSQLインジェクション攻撃による被害が相次いでいるのを受け、独立行政法人・情報処理推進機構（IPA）は4月18日、WebサイトのSQLインジェクション脆弱性を検出する簡易ツール「iLogScanner」を公開した。
iLogScannerのページ
後で使ってみよう。という事でメモっとく。
国内サイトでSQLインジェクション攻撃による被害が相次いでいるのを受け、独立行政法人・情報処理推進機構（IPA）は4月18日、WebサイトのSQLインジェクション脆弱性を検出する簡易ツール「iLogScanner」を公開した。
iLogScannerのページ
後で使ってみよう。という事でメモっとく。
2008年4月11日金曜日
最近よく聞く「クロスサイトスクリプティング」って？
最近よく聞く「クロスサイトスクリプティング」って？
最近よく耳にするようになったセキュリティ用語に、「クロスサイトスクリプティング」がある。今回は、ウェブサイトの開発者さえ明確な定義を把握していないこともあるこの用語について説明しよう。
「XSS」とも呼ばれるクロスサイトスクリプティングは、ここ数年の間にかなり注目を集めるようになったセキュリティ攻撃の一種である。しかし多くのユーザーにとって、この用語の意味が完全に明らかなわけではない。ウェブ開発者が意味を把握していないことさえある。ここでは、どこに危険が潜んでいるかわかるように、クロスサイトスクリプティングについて説明しよう。
一応、メモっとく。
最近よく耳にするようになったセキュリティ用語に、「クロスサイトスクリプティング」がある。今回は、ウェブサイトの開発者さえ明確な定義を把握していないこともあるこの用語について説明しよう。
「XSS」とも呼ばれるクロスサイトスクリプティングは、ここ数年の間にかなり注目を集めるようになったセキュリティ攻撃の一種である。しかし多くのユーザーにとって、この用語の意味が完全に明らかなわけではない。ウェブ開発者が意味を把握していないことさえある。ここでは、どこに危険が潜んでいるかわかるように、クロスサイトスクリプティングについて説明しよう。
一応、メモっとく。
2008年4月9日水曜日
無線LANを開放するとVirus.Win32.Tenga.aがやってくる
昨日、e-mobileでインターネットに接続し、ノートPCの無線LAN経由でiPod touchを接続して遊んできました。設定方法は「iPod touchをノートPCのe-mobileで接続する。」
本当は無線LANの暗号化をきちんと設定してもiPod touchは接続出来るけど、とにかく早く繋げたかった（後にビールが待ってるから(^^;）ので暗号化ナシ。ファイアーウォールも設定が適切でなかったようで繋がらなかったので無効にして...早くビールが飲みたかったから。
で、無事iPod touchは接続出来たものの、完全開放されたノートPCには、しっかりとウィルスが4回も飛び込んできた。
Virus.Win32.Tenga.a from Viruslist.com
Virus.Win32.Tenga.a from F-Secure
Tenga.Aは、探し出したウィンドウズ実行ファイルにそれ自身を添付することで感染させます。ウィルスは、ネットワークのスキャンと、感染したファイルを開かれた共有ネットワークで探す機能も持っています。
実行と同時に、http://utenti.lycos.it/[***]/dl.exe へ接続・実行・ダウンロードを試みます。
http://[***].users.freebsd.atへも接続し、54321ポートで感染した端末を遠隔操作シェルで開けます。
ウィルスは、悪意の行為を行うために必須のAPIを探すためにCRCを使用します。それはntoskrnl.exeを感染させることを避けて、それぞれ感染した実行ファイルへ旧DosのサブヘッダVをマークします。感染したファイルのマークは、再び感染させることを防ぎます。
Tenga.Aは、特権を上げてウィンドウズファイル防御を無効にします。
それ自体がすでに走っているかどうか調べるために、ウイルスはgaelicumと名づけられたミューテックスを作成します
という事らしい。Virus Security Zeroが隔離してくれたからいいけど、.exeが4つ隔離されて消えてしまった。ちょっと腹立つけど、自業自得か？(^^;
無線LANで遊ぶ時は、面倒がらずにSecurity設定をきちんとして遊びましょう。というのが、このお話の教訓。
本当は無線LANの暗号化をきちんと設定してもiPod touchは接続出来るけど、とにかく早く繋げたかった（後にビールが待ってるから(^^;）ので暗号化ナシ。ファイアーウォールも設定が適切でなかったようで繋がらなかったので無効にして...早くビールが飲みたかったから。
で、無事iPod touchは接続出来たものの、完全開放されたノートPCには、しっかりとウィルスが4回も飛び込んできた。
Virus.Win32.Tenga.a from Viruslist.com
Virus.Win32.Tenga.a from F-Secure
Tenga.Aは、探し出したウィンドウズ実行ファイルにそれ自身を添付することで感染させます。ウィルスは、ネットワークのスキャンと、感染したファイルを開かれた共有ネットワークで探す機能も持っています。
実行と同時に、http://utenti.lycos.it/[***]/dl.exe へ接続・実行・ダウンロードを試みます。
http://[***].users.freebsd.atへも接続し、54321ポートで感染した端末を遠隔操作シェルで開けます。
ウィルスは、悪意の行為を行うために必須のAPIを探すためにCRCを使用します。それはntoskrnl.exeを感染させることを避けて、それぞれ感染した実行ファイルへ旧DosのサブヘッダVをマークします。感染したファイルのマークは、再び感染させることを防ぎます。
Tenga.Aは、特権を上げてウィンドウズファイル防御を無効にします。
それ自体がすでに走っているかどうか調べるために、ウイルスはgaelicumと名づけられたミューテックスを作成します
という事らしい。Virus Security Zeroが隔離してくれたからいいけど、.exeが4つ隔離されて消えてしまった。ちょっと腹立つけど、自業自得か？(^^;
無線LANで遊ぶ時は、面倒がらずにSecurity設定をきちんとして遊びましょう。というのが、このお話の教訓。
2008年2月4日月曜日
SELinuxの現状：使いやすさの改善が進むSELinux
SELinuxの現状：使いやすさの改善が進むSELinux
SELinuxは優れたセキュリティ強度を提供してくれるが、その設定の困難さ故か、SELinuxは使いにくいかのようなレッテルが貼られている。しかし、現状を見ると、2つのアプローチによって大きく変わりつつあることが分かる。
現状といっても2006/09の記事であるが、SELinuxは手ごわいので、メモっとく。
SELinuxは優れたセキュリティ強度を提供してくれるが、その設定の困難さ故か、SELinuxは使いにくいかのようなレッテルが貼られている。しかし、現状を見ると、2つのアプローチによって大きく変わりつつあることが分かる。
現状といっても2006/09の記事であるが、SELinuxは手ごわいので、メモっとく。
2007年12月19日水曜日
WARNING: Your ClamAV installation is OUTDATED!
毎朝４時に届くlogwatchメールのclamavセクションに
WARNING: Your ClamAV installation is OUTDATED!
WARNING: Local version: 0.91.2 Recommended version: 0.92
DON'T PANIC! Read http://www.clamav.net/support/faq
と、メッセージが出ていた。
バージョンアップせよという事らしい。後で対処しよう。
---------08/01/25追記-----------
その後、suして
yum -y update
としても、この人達のアップデートはしてくれないようだ。
という事で、
yum update amavisd-new clamav clamav-server clamav-update spamassassin
としてみたら、0.91.2から0.92にアップデートしてくれてみたい。
インストールした新しいパッケージに対しては、自動的にチェックしてアップデートを探してくれるわけじゃないんだ。
yum関連の資料も読まなくては。
WARNING: Your ClamAV installation is OUTDATED!
WARNING: Local version: 0.91.2 Recommended version: 0.92
DON'T PANIC! Read http://www.clamav.net/support/faq
と、メッセージが出ていた。
バージョンアップせよという事らしい。後で対処しよう。
---------08/01/25追記-----------
その後、suして
yum -y update
としても、この人達のアップデートはしてくれないようだ。
という事で、
yum update amavisd-new clamav clamav-server clamav-update spamassassin
としてみたら、0.91.2から0.92にアップデートしてくれてみたい。
インストールした新しいパッケージに対しては、自動的にチェックしてアップデートを探してくれるわけじゃないんだ。
yum関連の資料も読まなくては。
2007年12月16日日曜日
サイト脆弱性をチェックしよう！
サイト脆弱性をチェックしよう！
ウェブアプリケーションに潜む危険は数多くあるが、これまでのセキュリティ対策で指摘されてきたのは脆弱性の種類から見た危険性とその対策だった。
たとえば、クロスサイトスクリプティングの脆弱性とは何か、SQLインジェクションの脆弱性とは何か、そしてそれらへの対策とは……。これらについては、既に的確な解説をウェブ上で見つけることができるので、この連載では改めてその視点での解説はしない。
この連載では逆の視点から、つまり原因となる行動に焦点をあてて、ウェブアプリケーションにおける脆弱性を考えていきたいと思う。
例によってメモっとく。もしかしたら前にもメモったかな？
ウェブアプリケーションに潜む危険は数多くあるが、これまでのセキュリティ対策で指摘されてきたのは脆弱性の種類から見た危険性とその対策だった。
たとえば、クロスサイトスクリプティングの脆弱性とは何か、SQLインジェクションの脆弱性とは何か、そしてそれらへの対策とは……。これらについては、既に的確な解説をウェブ上で見つけることができるので、この連載では改めてその視点での解説はしない。
この連載では逆の視点から、つまり原因となる行動に焦点をあてて、ウェブアプリケーションにおける脆弱性を考えていきたいと思う。
例によってメモっとく。もしかしたら前にもメモったかな？
2007年11月14日水曜日
第一人者がやさしく教える新SELinux入門
第一人者がやさしく教える新SELinux入門
>Linuxディストリビューションの「Fedora Core 5」
>からは，大幅に機能刷新された「SELinux」が組み込
>まれました。SELinuxは，Linux OSにセキュアOS機能
>を組み込めるソフトウエアです。Linux OSで使える
>代表的なセキュアOS機能として，注目を集めています。
>本連載では，Fedora CoreでのSELinuxの機能や使い方を，
>これまでSELinuxを使ったことがない人に向けて，
>分かりやすく解説してしていきます。
これは、一度、じっくり読まなくては。
>Linuxディストリビューションの「Fedora Core 5」
>からは，大幅に機能刷新された「SELinux」が組み込
>まれました。SELinuxは，Linux OSにセキュアOS機能
>を組み込めるソフトウエアです。Linux OSで使える
>代表的なセキュアOS機能として，注目を集めています。
>本連載では，Fedora CoreでのSELinuxの機能や使い方を，
>これまでSELinuxを使ったことがない人に向けて，
>分かりやすく解説してしていきます。
これは、一度、じっくり読まなくては。
登録:
投稿 (Atom)
