過去と未来とセキュリティと情報セキュリティ

2008年06月03日 (火) 18:32

■ 嫌われるUAC

Windows VistaのUIをかなりのところまでXP風にするツールが発売されるそうです。

まだ現物を見ていないので、いったいどういう方法で、どこまでXPに似せてくれるのか分かりませんが、おそらくはVisualStyleの変更とスタートメニューの置き換え、アイコンの変更(と維持)をやってくれるような常駐プログラムを一個、動かしておくのではないかと推測します。

確かに、 WindowsXPのユーザインターフェースが2001年に登場してから早7年を過ぎており、個人・企業を問わずデファクトスタンダードとなっています。人間は慣れる生き物ですから、登場当初はなんとも派手派手しい印象だったLunaも、これだけ長い間使っていると

急には代えられない

方も多いかと思います。それはまぁよしとして、驚くのが

突然画面が暗くなりません!!

と、UAC(User Account Control)の無効を高らかに謳っていることです。UAC、嫌われてますね…。事実UACは何かといえばダイアログを出してきて、うっとおしいことこのうえないのですが、クライアントOSのセキュリティ管理に対してマイクロソフトが出した一つの回答であり、 Vistaの肝だと思っています。

もともと、パーソナルコンピュータとは、複数人が1台のコンピュータを時分割しながら使う(TSS)のではなく、一個人がそのコンピュータの資源を独占することが出来ることが画期的であったと言われています。また当時は"パソコン"の性能も、 OSの機能も一人の利用者が「管理者」を兼ねてコントロールできる範囲に十分、ありました。

しかしながら、まだスタンドアロンで動いていたころは、マシンに何かあってもせいぜいフリーズするとか、煙を吹くとかその程度?で済んでいたのですが、ほぼ全てのコンピュータが何かしらの形でネットワークに繋がっている現在、 "パーソナル"コンピュータといえどもとても個人では制御しきれなくなった、というのが実情でしょう。このあたりはクライアントOSがWindowsNT系の2000やXPになってから特に顕著ですが、利用者の意志(スタートアップフォルダにモノを置く、といった行為も含めて)とは無関係に動くプログラム(プロセス)が増加してきたことにも関係があるかと思います。

OSの作りとして「マルチユーザ・マルチプロセス」はもはや当たり前となり、プロセス一覧を見ても、利用者は自分しか居ないのにやれ「system」とか「LOCAL SERVICE」といった"ユーザ"が何かを動かしており、ユーザはそれがなんだか大抵把握していません。そして最近のマルウェア(ウィルス、ワーム)の大半は、そうしたプロセス一覧の不透明性を逆手にとって「svchost.exe」だの「rtvscan.exe」といった名前で、不正なプログラムを動かそうとします。

それでも現在はたいていのPCに対策ソフトが入っていますから、そうした不審なプロセスはすぐ検知され警告なり駆除なりされればそれで問題はないのですが、今のトレンドはそういった露骨なウィルスより、スパイウェアだのアドウェアだのといった、ベンダによってはグレイウェアと呼ばれたりする連中です。ウィルス対策ソフトのベンダも、こういったプログラムをうっかり検知対象とすると、グレイウェアを開発したところから

相当な抗議と、場合によっては訴訟

を覚悟しなければならず、徹底しきれないのが実情かと思います。

一方で、OSのセキュア化の潮流として管理者権限の分離と制限、というのがあります。 WindowsはNT系になるまで

なんちゃってマルチユーザ

であった時代が長く、その影響でマルチユーザ化した後になってもすべての作業をadministrator(ないし、権限)で行う慣習？が根強く残りました。また、Unix系OSについてはそうした風潮こそありませんでしたが、やはりrootユーザがそのシステムの全ての操作を許可されているという点で、リスクであると捉えられるようになった結果、 Ubuntu等の近年のディストリビューションでは、

rootにsuするのではなく、必要なときだけsudoする

という作法が浸透しつつあります。さすがに年中rootユーザでXとか弄ったりするユーザは多くなかったものの、やはりシステム管理の際にはrootユーザに切替えなければならないため、できる限り「神である時間」を短縮する方向になっています。また、最近晴れて「UNIX」の称号をGETしたらしいMacOS Xも、グラフィカルインターフェース上ではroot(管理者)の存在は隠蔽され、システム管理などの重要な局面で、管理者として登録されている一般ユーザのパスワードを求められます。

それからすれば、VistaのUACはダイアログに対して応答するだけで、パスワードの入力までは求められません。UbuntuやMacOS Xよりもゆるいアクセス制御システムであるのに、なぜUACはここまで嫌われるのか…。

恐らくは、上記の通りWindowsには「これまで」というものがあり、従来あまりにも一般ユーザと特権ユーザが使い分けられていなさ過ぎた点もあるかとは思いますが、MacOS X等に比べ「確認が必要な局面」 についてまだブラッシュアップしきれていないのも一因かと思います。ユーザ分母の多いWindowsでは、どうしても安全側に倒さざるを得ないのは確かですが、例えばProgram Filesにフォルダ一個置くだけでも確認を求めてくる(それはそれで、セキュリティ上大事なことだと思います)ことが、個人ユーザの管理するPCとして(企業ユースはまったく別のモノサシです)どれくらいのリスクなのかを、今一度棚卸する必要はありそうです。

2010年には早くも次期Windowsが出るそうですが、それまでこのままではちょっと厳しいかもしれませんね。UACを外すのはユーザの勝手で、MSは関知しないことかもしれませんが、これまでだってウィルスやワームへの感染は(脆弱性を除けば)MSの関知するところではなかったはずで、今後何かしらの対応が迫られる・・・ことになるのかもしれません。

# | 2008/06/03 18:32 | 情報セキュリティ | Comment (0) Trackback (0) | C List | ▲

2008年04月30日 (水) 14:21

■ DEFCON、(毎度のことではあるが)目の敵にされる

編集 | ▼

DEFCONで「マルウェア難読化コンテスト」を開催、セキュリティ企業らが反発

　これに対してKasperskyは、セキュリティ製品をかいくぐる新手のマルウェアを面白半分に作成する「マルウェア難読化コンテスト」は容認できないと反発。資格も実績もないグループがウイルス対策ソフトをテストするのは、「例えば銀行の警備システムをテストするために銀行強盗コンテストを実施するようなものだ」と批判した。

これはちょっと例えに無理があるような…。ウィルス対策ソフトを作っている会社としては、コメントをしておかないこと=容認みたいなことになってしまうので、とりあえず何か言っておかないとマズいというのはあると思いますが。

私も感覚としてあるのですが、今セキュリティ情報は「フルディスクロージャ」からかなり遠いところにあります。技術力のあるセキュリティ技術者が、「善意で」「思想・使命感に基づき」「タダで」セキュリティ情報を公開するような時代は終わってしまいました。セキュリティは攻める方も守る方もいっぱしの「ビジネス」となりました。

マルウェアにしても、攻撃者の皆様は日々「コストを投入して」難読化だのの改良を施し、今やその情報は"表"に出てくることもありません。まぁウィルス対策ソフトベンダはそういった情報を何かしらの方法で入手し、対策ソフトを作っているという点で攻撃者と

もちつもたれつ

のところもあるでしょうから、それらがDEFCONで一部でも公になることには抵抗があるのかもしれません。

…というと、対策ベンダの方からは怒られるかもしれませんが、ベンダの目的がなんであれ(絶対善の追求とか、神に与えられた使命とか)、ビジネスである以上はニーズ(マルウェアの蔓延・進化)抜きには廻りませんし、それを自覚してしかるべきです。であれば、上記のようなコメントは

商売の邪魔をするな

と周囲に理解されても仕方ないところです。まぁ、本当にそう言いたくて遠回しに言ってる可能性も十分ありますけど。

しかし、 McAfeeのコメント

McAfeeも、主催者のやり方ではウイルス対策ソフトの機能を完全にテストすることはできないと指摘した。「シグネチャベースのスキャナで既知の脅威に対抗できることは既に実証済みであり、それを証明するためのコンテストは危険な遊びにすぎない」と一蹴した。

というのもなんというか「ホントかなぁ」な感じはしますね。 100%の存在しない業界にあって、ここまでのいい切りを見ると逆に怪しさ爆発に見えてしまいます。"実証"をすり抜けたマルウェアの被害について、何か保証をしてくれる訳ではないでしょうに。

# | 2008/04/30 14:21 | 情報セキュリティ | Comment (0) Trackback (0) | C List | ▲

2007年02月13日 (火) 13:33

■ ISOの「本末転倒」

編集 | ▼

ブランクの間に「Performancing」というFirefoxアドイン形式のBlogエディタが登場していたので、前回のエントリはそれで書いてみたのですが、どうもしっくりこないため、結局ubicast Bloggerに戻ってきてしまいました。

Performancingは、WYSIWYGエディタ上で「フォントを小さくする」を選択すると、 <small></small>タグを投げ込む仕様になっていて、コントロールが難しいです。今は何でもかんでもCSSでやるべき!な潮流ですから、本当はエントリにも<font size=xx>なんて書いてちゃ駄目なんでしょうが(w、とりあえず私お得意の

256倍風

をやるために楽しちゃってます。

さて、先だってからの不二家騒動で、不二家はISO9000を取得していたのにこんなことになって、 認証機関は何を見とったんだ！とか、 そもそもISO認証制度なんて形骸じゃないか、という議論が吹き出しているようです。私もISMS制度がISO27001化する中で、ちょっと無関係じゃないよなぁと思っています(私は審査とかする人じゃないので、間接的に、ですが)。

最初の「認証機関は何を見とったんだ」という点についてですが、これはISOの趣旨が如何に一般に浸透していない、あるいは意図的にゆがんだ形で活用されているかが浮き彫りになりました。ISMSも含め、品質とか環境のISOというのは、対象となる企業が「うちの{品質|環境|ISMS}はこういう風にシステムとして作りました！」という宣言に対して、そのシステムがそれぞれの基準(ISO9001とか、ISO14001)が要求している項目に照らし合わせて、基準を満たしているかどうかを認証しています。どうも一般的な誤解はこの「何を認証しているか」という部分で、

認証しているのは、あくまでもシステムを、ですよ

というのがどっかに行ってしまってて、その組織の商品やサービスの品質自体を認証していると勘違いされている点だと思います。

不二家で言えば、不二家のケーキの作り方と、その結果できたケーキの品質に対する認証じゃなくて、不二家はケーキの作り方を一定の品質にするために、こういうマニュアルを作って継続的な改善が行えるようにしていますよ、という宣言に対して認証をしているのです。ISOの審査員はケーキの専門家ではありませんから、作り方のマニュアルを読んでもそれが適切な品質を維持することが出来るかは分かりませんし、食ってみて判定できるわけでもありません(それでいいなら是非ケーキ屋の審査をやりたい(笑))。

ただどうも世間の理解はそうではなく、また残念なことですが取得する組織もそうした「誤解」を逆手にとって自社サービス・製品のアピールのために(別にアピールすること自体は結構なんですが)ISO9001を利用している節が見て取れます。この辺が、特に品質においてISO認証取得の「手段と目的」が入れ違ってしまう根本的な原因だと、私は思ってます。

とはいえ、上記のようなISOの「本義」はあくまでも認証機関としての理屈である、という議論もあります。ISO認証機関も認証を「売らんかな」の姿勢で乱発しているんじゃ？という批判もちらほら。もっと言えば、その程度(システムの準拠性)しか見ていないような認証は意味が無いんでは？という話につながってくるのだろうと思われます。それが「そもそもISO制度なんて・・・」という議論につながるかと。

ISMS(= ISO27001)も似たようなもので、情報セキュリティ(Information Security)に対する組織としてのマネジメントシステム(Management System)がちゃんと運用されているかどうかを認証しています。もちろん内容はぐだぐだでもOKということはなくて、システムの中で要求事項をしかるべき数(全部でなくてもいいのですが)満たしていることを求められます。ただ、それによって

「この組織のセキュリティは大丈夫です。情報漏洩なんて絶対起きません！」

ということを保証している訳ではありません。

たとえば、ISMSでは「組織が重要と考えるオフィスやサーバルームを『セキュリティ区画』として保護すること、さらにはその境界には適切な入退室管理を行うこと」という要求事項がありますが、入退室管理の具体的な方法については(認証の枠組みとしては)規定されていません(ガイドラインはあります)。どういう範囲に、どのような方法で管理を実現するかは、認証を取得する組織の判断に任されています。認証機関は組織が規定した「こういう範囲に、こうやって対策を実施します」という規定、またそれが実現されているかを見て、基準に照らした適合性を判断します。それがたとえば「この区画の入退室管理はこのレベルでは不足ではないか」という指摘は原則しませんし「これだけ対策されていればOK!」とも言いません。「決めたとおりのこと」が実現・運用され、必要に応じて見直す仕組みが用意されていることをチェックしているのです。

ですから、A組織とB組織のISMSが同一である可能性は、本当は非常に低い(もちろんベストプラクティスはそう違いませんから、著しく異なることもないでしょうが)はずなのです。業態や規模、扱う情報の重要性が異なる組織のセキュリティレベルは当然異なりますから、等しく「認証を取っている」と言っても、そのレベルは「相対的にOKかもね」くらいのお墨付きにしかならないのですが、それを以て「入札の条件とする」とか言い出すから、ややこしいことになるのです。入札に相対的な条件を含めてしまったら、結果品質だって相対的になってしまいかねません。同じISMS取得企業でも、A社なら(入札条件以外に)これくらいのセキュリティだけど、B社が同じようにやる保証はまったく無いのです。最低限の担保くらいにはなるかもしれませんが、上記を読めばそれだって確実な要件とはなりえません。

また、昨今はISO9000と一緒にISO14000も取得し、さらにはISMSまで取ってしまう組織も増えました。そうなると問題になるのが「各基準ごとの矛盾」です。不二家もこの矛盾を適切にハンドリングできず自沈した感があります。

私が以前遭遇した、よくある「バッティング」例としては

ISO14000 ・・・紙の消費量を減らす＝印刷は裏紙を使う
ISMS ・・・裏紙なんか使ったら情報が漏洩するだろ！裏紙禁止！

です。あっちを立てればこっちが立たず、と言う状態に対して、普通なら双方の規定を調整して優先するほうを決めればいいのですが、同じ組織でも品質と環境の事務局が違っていたり、不二家のように工場ごとにISOを別々に取っている場合は非常にややこしいことになります。組織が縦割りチックなところであればあるほど、どれを優先すればよいのかマネジメントされておらず、ISOによって現場は苦しめられる訳です。

ISOなんて取らなければいいのに、という感想は方々で聞きます。ですが前述の通り入札や取引の関係でやむを得ず取らなければいけないケースも少なくなく、組織によっては「ISOの日」なんてのを作ってその日は業務そっちのけでISOの書類を「でっちあげる」ことをする、なんて話も聞きます。本末転倒ここに極まれり、なのですが、これが実態なのかなという感じです。

ISMSもそうですね。日本人の性癖か知りませんが、こういうマニュアル類を作ると出来もしない理想論ルールをガンガン盛り込みたがります。ISMSに乗じて、社員綱紀の引き締めまでやってしまおうという魂胆が透けて見える規定類もゴロゴロしてます。品質にしろ、 ISMSにしろ本来は組織をギュウギュウにするためのものではなく、ルールどおりにやれば何も考えなくても(は極端ですが)同じように仕事が出来ることを目指しているはずです。

仕事のためにルールを作るのではなく、ルールのために仕事をする

という「本末転倒」が、ここでも発生している訳です。

今回の不二家騒動で難儀をしてらっしゃる認証機関の方々は本当にお疲れさまですが、不二家騒動をきっかけにもう少し本来的なISOの環境が整う・・のは難しいにしても、もう少し建設的な議論が出来ることを願っています。

(参考)
ISO休戦：不二家事件
http://blog.goo.ne.jp/cqad/e/328d22cb4e0802e21182d4cb149de0c0
ISO総研藤原のちょこっとコラム：　不二家やっちゃった
http://www.isosoken.com/blog/f_column/archives/2007/01/post_65.php
不二家騒動から考えるISO不要論
http://blog.goo.ne.jp/kanataylfc/e/d023b000a7e3fa28944d91daf5c6b8d0
情報セキュリティプロフェッショナルをめざそう！：ISMS認証って、何なの(2)
http://hase-sec.cocolog-nifty.com/blog/2007/01/isms2_665e.html
情報セキュリティコンサルタントのお気楽Blog：ISMS認証制度って・・・私見をば
http://masse01.blog11.fc2.com/blog-entry-127.html
まるちゃんの情報セキュリティ気まぐれ日記：　ISMSの形骸化
http://maruyama-mitsuhiko.cocolog-nifty.com/security/2005/01/isms.html

# | 2007/02/13 13:33 | 情報セキュリティ | Comment (0) Trackback (0) | C List | ▲

2007年02月09日 (金) 02:11

■ ダコタ・ファニングと画像spam

編集 | ▼

超・久しぶりの更新です。
9月くらいからずっとほったらかしでしたが、その辺りから年末にかけて周囲の環境が激変、今振り返ってみればまさに

激動

でございました。ぼちぼちエントリを再開できればなぁ、と思っております。
さて、すでにだいぶ新鮮味のない話ではありますが、最近は

画像spam

というのが流行っているそうです。私のところにも、主に会社のほうによく飛んできます。
たいていはThunderbirdの迷惑メールフィルタで弾いてくれてるんですが、そういえばこれってわざわざフィルタに引っかからないように画像の中にメッセージを埋め込んでるのに、 Thunderbirdはどうやって判別してるんだろう・・・。

ともあれ。普段はスルーしていたのですが、ふと気になって内容を読んでみました。

カラフルですんげー分かり難い(これもフィルタに引っかからないための手法です)のですが、転記すると

Investors are excited as "Hound Dog" continues make the news!
More news expected Thursday!

The Motion Picture Group
Symbol: MRPG
Price: $0.22 UP 16% today

Investors are grabbing up MRPG as the media continues to buzz about Dakota Fanning's new film "Hound Dog". Volume jumped 350% and price climed another 16% today alone. Jump in and grab MRPG first thing Thursday.

こうなります。よーするに

「ダコタ･ファニングの出演する「ハウンド・ドッグ」という映画がヒットしそうだから、The Motion Pictire Groupの株が上がるよ！買っとけよ！」

みたいなことが書いてあるみたいです。当然これは

株価詐欺

です。ま、断言しちゃってますが、裏は取ってないですけどね。最近は、あらかじめ買っておいた株に対してこういった「風説」を流し、株価が上がったところを売り抜けるという「pump-and-dump」がspammerの間では主流？のようです。

まぁ、考えてみればかつてはspamといえばやれバイアグラだの違法コピーCD（これは今も多いようですが)だの、

本当にこんなメールで買う気になるのか？

と思ってしまうような内容が多かったのですが(それでも、何百万通送って数人でも反応すれば投資対効果がある、と言われてました)、それからすれば実に現実的というか、まかり間違って

どっかの馬鹿

が、この風説を元に株を買ってしまえば自分の利益になるのですから、よく考えていると思います。このように、最近のセキュリティ事情は実に

せちがらい

と言いますか、KlezだNimdaだヒャッハー！というエキセントリックさは鳴りを潜め、より確実にマネーをゲットできるシノギのようになってきていますね。スパイウェアしかり。これだけレイヤがあがってくると、守るほうも実にやりにくいなぁというのが正直なところです。

そうそう、ダコタ・ファニングって誰やねん、と思ったら、「宇宙戦争」でキーキャー泣き叫んでたトム・クルーズの娘役だったのですね。海外ではすでに天才子役として確たる評価を得ているとか。うーん、すごいなぁ・・・。

# | 2007/02/09 02:11 | 情報セキュリティ | Comment (0) Trackback (0) | C List | ▲

2006年08月30日 (水) 01:41

■ PCの管理とセキュリティのジレンマ

編集 | ▼

会社が"PC音痴"を見捨てる日
http://itpro.nikkeibp.co.jp/article/OPINION/20060823/246177/

タイトルはあまり本文の本質を表現していない気もしますが、内容は非常に興味深いというか、インパクトがあります。主にTCO削減が目的のようですが、

業務に必要なPCを従業員に買わせてしまえ！

という米国の事例(実験)を紹介しています。世間が情報漏洩でてんやわんや言ってるさなかに、まさに

真っ向勝負！

を仕掛ける論説であり、この記事を取り上げたスラッシュドットジャパンでもたいていの方は懐疑的です。私も正直、額面通りにはちょっと受け取れないし、解決しないといけない問題は多々あるとは思っていますが、発想は刺激的で、示唆に富んでいると思っています。

同じ「PC」という装置を使った業務には、大別して二種類の方向性があります。一つは大型汎用機時代から面々と続く「事務処理」としてのコンピューティングで、定型的で管理はしやすいですが、生産性の向上といった面についても集中管理しないと絶対にあがらないモノ。もう一つはインターネット発展後のホワイトカラーの業務のような、はっきりと定型化しておらず、使うソフトも一定ではなく管理が難しいが、利用者の個人レベルでの生産性向上があり得るモノです。本来は、両者は取り扱う情報の「形」(内容は、同じ場合もあるかもしれない)や取り扱い方、求められるスキルに至るまで別個のモノであるはずなのですが、どうもそれらが渾然一体というより「十把一絡げ」にされているところに、情報セキュリティの維持と生産性向上のジレンマが強く、発生しているように感じています。

現在多くの企業でITを担当する部署というのは、たいていは前者のような情報システムを管理していた、あるいは現在もしているはずです。彼らの部署は10年ほど前からPC-9801でない「パソコン」を、従業員全員分管理する仕事に追われるようになりました。従業員はそりゃもう好き勝手してくれますし、訳のわからん質問やサポートで彼らはてんやわんやだったでしょう。それでいて「本業」たる情報システムの管理は「できてて当たり前」で、これじゃいくら人員がいたってなんともならないよ・・・というのが本音だったかと思います。

そこにきて、21世紀になると巷で「セキュリティ」が言われ始めました。おそらく「彼ら」には渡りに船だったと思います。セキュリティという「錦の御旗」があれば、今まで言うことを聞かなかった利用者をねじ伏せられるのですから。彼ら的に一番やりやすいのは、上記で挙げた「前者」、つまりすべてのコンピューティングは汎用機＋端末のレベルに戻し、集中管理することです。そこでパソコンを使う利用者のイメージは、まさに「OA業務」のそれではないでしょうか。

しかし、情報システムの管理と違って、ホワイトカラーのコンピューティングは定型的でないだけに「集中管理」には弊害が発生します。ITを担当する部署では、不定型な業務のソリューションまでは「面倒を見きれない」からです。彼らは情報システムやそれに関連する業務には精通しているでしょうが、さすがに営業や企画まで幅広く押さえている訳ではありません。彼らにしてみればそうした不定型業務のサポートは「しかねる」し、できないと言われた方は「セキュリティセキュリティといって管理ばかりして、何もサポートしてくれないじゃないか」と不満を募らせることになります。実に不幸な現状であるといえます。

ホワイトカラー的、不定型な業務に使用するPCを、それを使う従業員自らの責任で運用させるというアイディア自体は、実運用上の問題はまだ多く考えられますが、こうした現状を打破する可能性の一つとして非常に興味深いですね。

# | 2006/08/30 01:41 | 情報セキュリティ | Comment (0) Trackback (0) | C List | ▲

▲　

| Top | Next

Calender

07 \| 2008/08 \| 09
S	M	T	W	T	F	S
-	-	-	-	-	1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29	30
31	-	-	-	-	-	-

過去と未来とセキュリティと

■ スポンサーサイト

■ 嫌われるUAC

■ DEFCON、(毎度のことではあるが)目の敵にされる

■ ISOの「本末転倒」

■ ダコタ・ファニングと画像spam

■ PCの管理とセキュリティのジレンマ