「三菱UFJニコス、OpenSSLの脆弱性を狙った攻撃を受けて会員情報が不正に閲覧される」記事へのコメント

のんびりした対応だな

[Anonymous Coward]

なんで対処するソフトを入れる前にバージョンアップしなかったんだろ
OpenSSLはとっくに対応版あがってる頃だし なくてもHeartbeat拡張オフにすればいい
大手の対応なんてそんな程度といえばそうなんだけどさ

Re:のんびりした対応だな

[Anonymous Coward]

緊急対応としては「Heartbeat拡張オフ」は現実的な方法だよね。
なにかあったらオンにすれば戻せるわけだし。

不正なパケット検出する仕組みとかはないのかな？サードパーティファイアウォール／ウィルス対策入れとけば大丈夫とか。
それはそれで影響でかそうで承認まで時間かかるだろうけど。

Re:

[Anonymous Coward]

その「なにかあったら」で責任を問われるんだからそりゃ慎重にもなるわな。

情報盗まれるならサービス止まる方がまし、ってサービスする側も受ける側も、ひいては世間が意識を変えないとどうにもならん。

Re:

[Anonymous Coward]

緊急時に即時にサイトを停止する機能と耐性をちゃんと用意してあるシステムの割合ってどれくらいだろう

すぐに停止するように世間が変わるのには教訓となる良い事例にはなってくれたかな

Re:

[Anonymous Coward]

知っている限りで言うとパロアルトが脅威防御シグネチャを提供 [paloaltonetworks.jp]と言ってます。

※実はリンク先見てないｗｗ

たしか他社のNFWでもチェックできるという話を聞いたような気がするんだけど………行ったイベントで言うとHPかな？

Re:

[Anonymous Coward]

再コンパイルしてインストールし直しだし、そう簡単にオン・オフ切り替えられるわけじゃないでしょ。
どういうやり方でOpenSSLをインストールしたのかわからないが、自分なら普通にパッケージ管理で更新する。
さすがに金融機関のサーバーOSならサポート付きだろうし、サポート企業の指示の下、迅速に実施出来たと思うけどなぁ。

Re:

[Anonymous Coward]

おー、NO_HEARTBEATSオプションでの再コンパイルが必要だったんですね。

指摘ありがとうございます。