35376 submission [タレコミ] 2008年上半期インターネットの脅威動向レポート 28 タレコミ by kirara(397) 2008年09月19日 11時47分 kirara(397) 曰く、 ＠ITの記事によれば、セキュリティ企業のラックは9月17日、同社のセキュリティ監視センターJSOC（Japan Security Operation Center）がまとめた2008年上半期のインターネット脅威動向レポートを発表したらしい（プレスリリース）。主にSQLインジェクション攻撃メジャーなWikiやCMSなどへの攻撃SSHサービスへのブルートフォース攻撃などが増加傾向にあり、その攻撃手法はより進化しているようだ。年々手口が巧妙になっていく攻撃に、貴方の所では対処できているだろうか？
下半期にはやるのは？ (スコア:5, 興味深い)
Re: (スコア:0)
# うわ誰だよIP間違えて登録してるのは、セカンダリーに行ってしまってるぞ、更新が二日かk（ry
#
# あまりにアレなのでAC
進化？ (スコア:3, 興味深い)
その中身が進化してるんでしょうか？
前者はORで常に真になる式を突っ込む、後者は辞書を賢くするくらいしか知りません
Re:進化？ (スコア:3, すばらしい洞察)
攻撃パターンが一定なので、そのパターンに対する封じ込みをされれば攻撃するだけ意味が無いような気が。
SQLインジェクションならエスケープ、ブルートフォースならパスワード認証を不可能にするとか。
＃いずれにしろ、攻撃理由が踏み台目当てかいたずらなのは昔からなんだろなぁ。
Re: (スコア:0)
種類としては古いけど、アタックの手法がどんどん進化してるのかも知れないよ?
Re: (スコア:0)
Re:進化？ (スコア:3, 参考になる)
そろそろ公開鍵認証 only にしてやらんといかんとは思うのだが、ユーザに教える面倒と、ブルートフォース人気サイトらしい快感が、、、
Re:進化？ (スコア:2, 興味深い)
社内と取引先の「安全な」連絡用のサーバを、公開鍵認証のみで運用してますが
利用者のタコさ加減に混惑する事が多々あります。
秘密鍵を掲示板（社内の）に載せたり、平文のメールに貼り付けたり…
ソフト業界の従事者でさえ「この水準」ですから、
一般中高年に対する「ユーザ教育」の困難さ・面倒さは、かなりのものです。
# パスフレーズ忘れた，秘密鍵消した等で、問い合わせに来る連中から１回1000円くらい徴収したい
notice : I ignore an anonymous contribution.
Re:進化？ (スコア:1)
そういえば、先日も「ssh公開鍵をください」と言ったら、秘密鍵をメール添付してきた人がいた。
「こっちを貰ってもしょうがないんだけど、、、」
「あ、間違えた、こっちね。」
＃鍵、作り直したんかなぁ？
＃あ、試してみればわかったか。しまった、捨ててしまった。
Re:進化？ (スコア:1)
他のシステムでは絶対に使わないよう注意はしていますが、どこまで守られているやら…
平文で送っても問題ないのが公開鍵の特徴なのに、
物理媒体での輸送を推奨しなきゃならないのは困ったもんです。
notice : I ignore an anonymous contribution.
Re: (スコア:0)
「社内の」だったらまだマシ(?)で、堂々と世界向けに公開してる人もいる有様だから
業界といえども油断は禁物…
Re: (スコア:0)
実は電話/FAXで十分だったりしませんか？
「連絡用」目的でわざわざそんなメンドくさいことを
しなくても…、と思うのですが。
>>一般中高年に対する…
年齢は関係ないかと。若いのでもタコな奴はいますし
再教育もそれなりにやっかいです。
Re:進化？ (スコア:3, 興味深い)
手口は昔から別に変わっていません。
これは業界の構造的な部分で発生するんだと思います。
私も以前は作るほうの下請けにいましたが、
発注側はとにかく人月単位の金額で安い人を引っ張ってこようとし、
受注側も少ない給料で済む人を派遣しようとします。
そういう人達は、知識も少なめです、プログラミングも、セキュリティも。
でも「少々知識がアレでも上の人間が面倒みればいいじゃん」って感じで
引っ張ってきて開発をスタートさせてしまい、けれど「上の人間」は
あれこれ忙しくてチェックなんか完璧にできるわけもなく、
結局は穴がいくつも残ってしまいます。
そして、全工程が短めに取ってあるために制作期間が足りなくなり、
でも後ろが決まってるのでテスト工程が削られまくってしまい、
オープンリリースになっても穴は残りっぱなし、と。
Re:進化？ (スコア:2, 興味深い)
「手口が巧妙化」するっていうか、RDBを使ったサイトの数自体が増えていて
その中にダメなものが相当数含まれているということなんでしょう。
攻撃された件数じゃなくて、攻撃された率を見てみたいところです。
Re:進化？ (スコア:1, 参考になる)
一度痛い目にあえば学習するかもしれないけど、それまでは「わかっちゃいるけど…真剣に学ばない、自分だけは大丈夫だろう」って感じなのでしょうか。
Re: (スコア:0)
中身は進化していない (スコア:0)
但し、コンピュータは昔とちがってはるかに演算能力が向上しているので、非常に脅威
Re:中身は進化していない (スコア:1, おもしろおかしい)
Perlキティとか、PHPキティとかいるんでしょうか。Rubyキティなんかは、きっと可愛いかも。
Re: (スコア:0)
正解を教えてあげなされ。
Re: (スコア:0, 参考になる)
やはりPHP厨が大半のセキュリティーホールを作り出しているんじゃ・・・
＃釣りのようで真剣
Re: (スコア:0)
Re: (スコア:0)
結局のところ (スコア:2, 興味深い)
こういう変な教材があるから
中途半端な知識で中途半端なサーバができて
中途半端なソースがかかれてってところがあるんでしょうね。
日進月歩なセキュリティーの世界で30日でプロまでの能力が付くって
あり得ません。
これだけでも読めばだいぶへると思った文章 (スコア:1, 参考になる)
Re: (スコア:0)
> 外部入力を使って
その発想が既に間違い。
Re: (スコア:0)