パスワードを忘れた? アカウント作成
14001036 story
ソフトウェア

法人向け「ウイルスバスター」の脆弱性を狙った攻撃が確認される 39

ストーリー by hylom
当時はほとんどニュースになっていなかった模様 部門より

Bill Hates曰く、

INTERNET Watchによれば、トレンドマイクロの法人向けセキュリティ製品「ウイルスバスターコーポレートエディション」などを含む複数の製品の脆弱性に対する攻撃が確認されており、検索設定など任意の設定を変更される恐れがあるという。

2019年4月4日に情報が公開され、すでに修正プログラムが公開されているにも関わらず、法人向けセキュリティシステムが約5か月更新されないというのはどのような事情があるのだろうか。

  • ITセキュリティ関連に詳しい人が居ない組織で、無理やり担当を押し付けられてたりして。

    ここに返信
  • by Anonymous Coward on 2019年09月11日 14時23分 (#3684229)

    > 法人向けセキュリティシステムが約5か月更新されないというのはどのような事情が

    小さい会社の事はわからないけど、大きな企業だと「そのパッチを当てても現状動いているシステムに影響が無い事」が確認できてからでないと当てられない、ってのは普通の話。24h365d止まらず、大きく頻繁なトランザクションを処理している部分だと特にそういう事が起こるよね。
    確認する事自体も、極端に言えば全機能のエビデンスも取らねばならないし、時間がかかるみたいな。

    勿論、そういった運用が正しいか否かってのは、また別の話なので、ここでは触れない。

    ここに返信
    • by uxi (5376) on 2019年09月12日 16時04分 (#3684975)

      セキュリティホールは塞がないとそこ突かれたら確実に止まる(止めざるを得ない)んだし、
      パッチで死ぬ確率と、攻撃に当たる確率比較して、前者が無視できないなら最初からそんなセキュリティ対策入れてるのがおかしいよね。

      --
      uxi
    • by Anonymous Coward

      名目にそれを挙げて、やってるように見せてサボってる管理部署というのも何気にあったりする。
      で、今回みたいに大々的に公表されてから慌てて対応するというのもよく見る(遠い目)

      • by Anonymous Coward

        弊社の情シスはインプレスの記事を見て慌ててインストール作業に入った模様。
        まあ、ちゃんとした情シスなら、そもそもトレンドマイクロなんて使わないし。

      • by Anonymous Coward

        そういや以前いた現場は、セキュリティパッチとかも半年に1回まとめてだったな。
        緊急性の高いパッチはすぐに評価して当てないといけなかったのだが、いろいろ理由つけて後回しにしてたわwwww

    • by Anonymous Coward

      小さい会社の事はわからないけど、大きな企業でトレンドマイクロ製品を採用しているところがあるのですか?

      • by Anonymous Coward on 2019年09月11日 15時47分 (#3684295)

        あると思うよ。簡単に契約を切れないから。
        世間や個人がどう言っていようと、そんな小回り効くわけないのがむしろ大企業なんですよ。

      • by Anonymous Coward

        判子押す人が知っているメーカーのものでないと起案が通らないので、大手ほどTMになるのでは?

        • by miyuri (33181) on 2019年09月11日 20時40分 (#3684504) 日記

          ナントナク、役所方面を気にしてみる。

        • by Anonymous Coward
          > 判子押す人が知っているメーカーのものでないと起案が通らない
          そういうところで普通に産業用の機械や部品を買うときはどうするんだろう?
          日本電気?そんな田舎の電気屋のモノが買えるか!とかなるんだろうか。
          • by Anonymous Coward

            そういう人は日本電気は未だに国策企業としてのイメージが残って居る様な気がする。

      • by Anonymous Coward

        #3684259 を書いた者ですが、一部上場企業です。困ったことに。

    • by Anonymous Coward

      一般論としてはその通りだが、だからといって脆弱性を5ヶ月放置するのはさすがに一般的ではない。
      あなたの会社の情シスはちょっと普通じゃないと思う。

  • by Anonymous Coward on 2019年09月11日 14時39分 (#3684239)
    セキュリティとかウィルスとかよくわからないですが何かインストロールしないといけないことになっているので予算だけ消費したいです。
    ということなので何ヶ月あろうが対応するこたぁないだろうよ。
    そういうところ向けにタスクトレイに何かアイコンを表示するだけの機能も脆弱性もないフェイクウェアを作ってくれればそれ採用するのに。
    ここに返信
  • by Anonymous Coward on 2019年09月11日 14時53分 (#3684252)

    更新ペンディングしてそのまま忘れるタイプ

    ここに返信
  • by Anonymous Coward on 2019年09月11日 16時48分 (#3684342)

    トレンドマイクロのcorpサーバ、作りが悪くて煩雑
    パッチも全部手動で当てないといけないとかで放置されてるんじゃないかね

    ここに返信
    • by Anonymous Coward

      ×出来が悪い
      ○マルウェアベンダーの製品

      シマンテックあたりはまだ質が低いの範疇かもしれんが
      トレンドマイクロは質が低いとかいうレベルの問題では無い。
      スパイウェアばら撒いたり成果の捏造で無辜の人間を逮捕させたり、
      存在自体が社会にとって有害。でもコネ力お化けなので始末もされない。
      本当に質が悪い………

      • by Anonymous Coward

        以前地方のSIerの方から聞いたんですが
        「コネ」のためVBCは使わなくてはいけないので
        見た目動作させておいて
        他ベンダーの信頼できるウィメス対策ソフトで防御しているケースがありました

        ここまでされて「恥」と思わないんですかね

        自分自身は三回くらい運用に深刻な影響が出るバグを食らっていますが
        遠まわしに「被害を弁償する気はあるか(意訳)」と聞いたら返答は「知らんがな(同)」でした

        • 遠まわしに「被害を弁償する気はあるか(意訳)」と聞いたら返答は「知らんがな(同)」でした

          ライセンス的に、なにをどうしようが、弁償の可能性は絶対にないやろ。
          要求を匂わすだけでも、クレーマー扱いされそうだし、それが当然。

          • by Anonymous Coward

            2005年に日本全土(世界中かも)のWindows XPを起動不良にした事件があり
            その時は賠償の話が出てたはずですが

            「それが当然」ですか・・・

      • by Anonymous Coward

        Symantec Endpoint Protectionはファイル移動制限とかUSBデバイス制限掛けるにはかなり優秀なプラットフォームなんだけどね。
        年1500円/ユーザーでクライアントアンチウィルスとファイアウォールとファイル制限系を統合的にできるのでIT予算が少ない会社にはオススメ。

        #ついでに言うとファイル操作ログも取ろうと思えば取れるので、空海とかLSPとかクライアント管理システムいらないレベル

        • by Anonymous Coward

          偽証明書発行とかリファラ消しとか、自身が加害者となった事はあるけれど、
          トレンドマイクロと違って組織として意図した加害ではないからね。
          アレなところがあるにしても社会への貢献自体は可能だろう。

          トレンドマイクロは社会に貢献する気がゼロで、
          社会への貢献は口先だけだから、存在自体が悪。

    • by Anonymous Coward

      情シスが脆弱性見つけて、「脆弱性が有るからグループ企業の皆様は、サーバーのメジャーバージョンアップ禁止」
      「まだ直ってないから、メジャーバージョンアップ禁止」、「今度はこっちが壊れたから、メジャーバージョンアップ禁止」
      とか毎度のように通達が出る負の実績が有るので「ヤッパリ」でしかない。

      脆弱性のアナウンスも貧弱よね。
      法人向けのサイトトップに、「お客様へ重要なお知らせ:申し訳ございません、脆弱性が有りますので至急バージョンアップしてください。」とか書く位の対応しても良いと思うんだけど。
      この辺、セキュリティを売り物にしてる割にはどの企業も残念対応している気がする。
      自社の面子より、顧客の安全をきちんと考えた広報をして欲しい物です。

  • by Anonymous Coward on 2019年09月11日 23時39分 (#3684569)

    脳頓、滓屁、菌愚 < ウイルスのようにバスターするのが売りなくせに他者にやらせる隙きを作るなんて四天王の面汚しよな

    ここに返信
  • by Anonymous Coward on 2019年09月12日 11時02分 (#3684823)

    ウイルスバスターバスターでいいですか?

    ここに返信
typodupeerror

ハッカーとクラッカーの違い。大してないと思います -- あるアレゲ

読み込み中...