セキュリティ用語の整理（2021年秋）

先日、情報処理安全確保支援士試験のセミナーを受けた。

意外に知らないセキュリティ用語が増えていたので、ちょっと整理を試みる。

1.NFT（Non-Fungible Token）

ブロックチェーン（分散型台帳）技術を使い「唯一無二の本物」と証明可能にしたデジタル資産のこと。非代替性トークンとも呼ばれる。デジタルで作成した音楽や絵画などのデータは一般にコピー可能だが、NFTにひも付けることで所有者の情報を明示できる。イーサリアム、ビットコインキャッシュ、Flowなどの一般的なブロックチェーンは、それぞれ独自のトークン規格を持ち、NFTの仕様を定義している。

2.Portmap

Unix系システムで動作するデーモン。2020年第4四半期のDDoS攻撃においてもっとも用いられたプロトコル

3.SSDP（Simple Service Discovery Protocol） 

ネットワーク上の機器を自動的に発見し接続するUPnP（Universal Plug and Play）に用いられる、UDP サービスの一種である。DDoS攻撃にも用いられる。

参考：2020年第2四半期のA10 DDoS脅威インテリジェンスレポート

4.IAM（Identity & Access Management）

アカウント管理・認証の統合基盤で利用者の本人認証を行う、ゼロトラストの構成要素の一つ。あらゆるシステムの認証機能を統合的に行うことで、不正アクセスに対する対処が行いやすくなります。例えば、同じ時間帯に遠く離れた場所から同一ユーザーでログインが行われた場合には警告もしくはアカウントを凍結するなど、リスクベース認証が可能になります。

※マイクソ(Microsoft)のプロダクトでいうと、Azure Active Directory

5.IAP（Identity Aware Proxy）

ユーザーとアプリケーションの間に入って通信を仲介するプロキシ。オンプレミスに「コネクター」と呼ぶサーバーを設置すると、コネクターとIAPが連携して、オンプレミスにあるアプリケーションがインターネット経由で利用可能になる。通信はIAPが暗号化するため、インターネット経由でも安全にアプリケーションを利用できる。セキュリティー強化と同時に、脱VPN（仮想私設網）も図れる技術。

「アイデンティティー認識型」と呼ばれるのは、ユーザーがアプリケーションにアクセスするたびに、アイデンティティー＆アクセス管理（IAM）と連携して認可をやり直すためだ。不正アクセスが疑われる場合は多要素認証などもやり直す。

※マイクソのプロダクトでいうと、Azure AD Application Proxy 

6.SASE（Secure Access Service Edge）

IT環境におけるセキュリティ機能とネットワーク機能を1つのクラウドサービスに統合させるという、新たなセキュリティフレームワークの考え方。

7.QUIC（Quick UDP Internet Connections）

トランスポート層では従来、高速だが信頼性の低いUDP（User Datagram Protocol）、信頼性が高いが接続確立時の遅延などが大きいTCP（Transmission Control Protocol）のいずれかが用いられ、Webなどの用途ではTCPに重ねて暗号化のためにTLS/SSLが利用されてきた。

QUICではUDPをベースに高速伝送を実現する一方、TCPの輻輳制御や再送制御の要素を取り込んで信頼性を高め、TLS相当の暗号化メカニズムを組み込み安全性も担保している。主にWeb通信の高速化を主眼に開発され、現在Web上で主流となっているTCP+TLSの組み合わせを置き換え、HTTP/2と合わせて高速で安全な通信を実現することを目指している。

8.SAMLと比べたLDAPの欠点

・ActiveDirectoryと通信できるようにする必要がある

・二要素認証が利用できない

9.LOTL（Living on the Land）攻撃（環境寄生型攻撃/自給自足型攻撃）

標的型攻撃において、侵入後の痕跡が見つかりにくくなるよう、一旦侵入した後に標的ユーザーのコンピュータにあるツール（WMI、Powershell, VBScript）を利用する手法

Windows10 WSL2環境のKali LinuxをWindowsデスクトップから使う方法【Win-KeX SL】

Win-KeX SL

 概要

シームレスモードのWin-KeXは、Windowsデスクトップの画面上部にKali Linuxパネルを起動します。

このパネルから起動したアプリケーションは、Microsoft Windowsアプリケーションとデスクトップを共有します。

シームレスモードでは、LinuxアプリケーションとWindowsアプリケーションの間の視覚的な分離がなくなり、Kali Linuxでペネトレーションテストを実行し、その結果をそのままWindowsアプリケーションにコピーして最終報告を行うための素晴らしいプラットフォームを提供します。

Win-KeXは、VcXsrv Windows X Serverを利用して、シームレスなデスクトップ統合を実現しています。

前提条件

VcXsrvには、Visual C++ Redistributable for Visual Studio 2015（vcredist140）が必要です。Windowsの標準的なインストールには含まれているはずですが、足りないことを訴えるエラーが出た場合は、そのままダウンロードしてインストールしてください。

使用方法

スタート

シームレスモードのWin-KeXを一般ユーザーで起動するには、kex --slを実行します。

Win-KeX SLを初めて起動する際には、Windows Defenderのファイアウォールを経由したトラフィックを許可するための認証を求められます。必ず「パブリックネットワーク」を選択してください。

これにより、Win-KeXがシームレスモードで起動します。

画面の上部にKaliパネル、下部にWindowsのスタートメニューが配置されています。

ヒント: Kali パネルは、最大化されたウィンドウのタイトルバーを覆ってしまうことがあります。邪魔にならないようにするには、パネルの環境設定で「自動的に隠す」に設定するとよいでしょう。

サウンド対応

• Win-KeXはパルスオーディオをサポートしています
  
  
• サウンドをサポートした状態でWin-KeXを起動するには、--soundまたは-sを追加してください（例： kex --win -s
  
  
• サウンドをサポートしたWin-KeXを初めて起動する際には、以下を必ず選択してください。

Windows Defenderのファイアウォールを通したトラフィックを許可するための認証を求められたら"パブリックネットワーク"を選択します。

マルチスクリーン対応

Win-KeXは、マルチスクリーンに対応しています。

「パネルの環境設定」を開き、パネルの長さを短くし、「パネルのロック」のチェックを外し、パネルを任意の画面に移動させます。

停止

• Win-KeX SLを終了するには、パネルの「Logout」ボタンでセッションからログアウトしてください。
  
  
• オプションでWin-KeX SLサーバーをシャットダウンするには、kex --sl --stop と入力します。

好奇心（転載）～きゅりおぉーしてぃ（curiosity＝好奇心）は人を前進させ、大きくさせるのに、とっても大切なこと～

好奇心:

ノーベル物理学賞を受賞される米国プリンストン大上級研究員の真鍋淑郎さん。なんと御年90歳ですが、とても快活にスピーチされている姿を見て感動しました。受賞の知らせを受けた英語でのスピーチで、キュリオシティ（curiosity＝好奇心）が大切だと説かれていました。好奇心。これは私(=マネックスの松本大さん)が社会人になり、外資系証券に勤めてから知った、とても大切な概念です。

ジョン・メリウェザー氏は私が最初に就職した会社、ソロモン・ブラザーズの黄金期を築いた人で、今では仲良く友人のように付き合わせてもらっていますが、元来はキャピタル・マーケットの殿上人、超スーパー・スターで、畏れ多い人でありました。このジョン・メリウェザー氏、仲間内ではJMと呼ぶことが多いのですが、JMはとにかく色んなことを知っていて、極東のオフィスで起きた小さな出来事まで知っていて、そして森羅万象全てに情報網を張っているようで、本当にその中身がスーパー・マンだと思いました。

そんなJMのことを、私の先輩は、「JMが他人と違うのは、そのキュリオシティの高さと量なんだよ」と云いました。そうか！好奇心って人を前進させる、大きくさせるのに、とっても大切なことなんだ。と、その時感じたことを今でも強く覚えています。真鍋先生もそう仰った。私は元々好奇心旺盛な人間でしたが、その時から好奇心を伸ばすことには一切制限を付けずに、せっせせっせと好奇心を更に拡げて、そして強く持つように努めてきたのでした。真鍋先生は強調されて、「きゅりおぉーしてぃ」みたいな感じに仰ってましたが、これからもキュリオシティを大切にしていきたいと思います！

マリオットのポイント購入ボーナスセール（2021年10月7日～2021年10月14日）

 マリオット：驚異のポイント購入55%ボーナスセール！！マイル交換で単価2.1円/マイル！

マリオットのポイント購入セールが開始。

マリオットは増量セールと割引セールがあり、今回は増量セールで、55%のボーナス。

過去のセールでの最高増量率は60%だが、今回のセールは増量率としては高い部類に入ると思う。

今回1万ポイント分調達するとした際の費用感は下記となる。

日本円に換算すると↓の感じ

前回は10,500ポイント購入で87.5USDだったのに対し、今回は10,850ポイント購入で同額の87.5USDなので、微妙に得と言えば得かも。。。

ただ、現時点、武漢ウイルス蔓延の影響が継続しており、マイル消化の目途が立たないことから、ポイント失効防止の観点で、下限で買う感じになりそう。。。

尚、TopCashback経由で購入すると若干のキャッシュバックが受けられます（キャッシュバックはpaypalでの受け取りだけど。）

Kali Linuxのアップグレード方法（2021.2⇒2021.3）

Kali Linuxのアップグレード方法メモ

1.現在のバージョン確認

【コマンド】

 lsb_release -a

【実行例】

kali@kali:~$ lsb_release -a
Release:        2021.2

┌──(kali㉿kali)-[~]
└─$ grep VERSION /etc/os-release
VERSION="2021.2"
VERSION_ID="2021.2"
VERSION_CODENAME="kali-rolling"

2./etc/apt/sources.list が正しく入力されていることを確認。

https://www.kali.org/docs/general-use/updating-kali/

【コマンド】

echo "deb http://http.kali.org/kali kali-rolling main non-free contrib" | sudo tee /etc/apt/sources.list

【実行例】

┌──(kali㉿kali)-[~]
└─$ echo "deb http://http.kali.org/kali kali-rolling main non-free contrib" | sudo tee /etc/apt/sources.list

3.アップグレード実施

【コマンド】

sudo apt update

sudo apt full-upgrade -y

【実行例】

kali@kali:~$ sudo apt update
kali@kali:~$
kali@kali:~$ sudo apt full-upgrade -y
kali@kali:~$

3.5.OS再起動実施

【コマンド】

[ -f /var/run/reboot-required ] && sudo reboot -f

【実行例】

┌──(kali㉿kali)-[~]
└─$ [ -f /var/run/reboot-required ] && sudo reboot -f

4.アップグレード後のバージョン確認

【コマンド】

 lsb_release -a

【実行例】

kali@kali:~$ lsb_release -a
Release:        2021.3

┌──(kali㉿kali)-[~]
└─$ grep VERSION /etc/os-release
VERSION="2021.3"
VERSION_ID="2021.3"
VERSION_CODENAME="kali-rolling"

┌──(kali㉿kali)-[~]
└─$ uname -v
#1 SMP Debian 5.10.46-4kali1 (2021-08-09)

┌──(kali㉿kali)-[~]
└─$ uname -r
5.10.0-kali9-amd64

システム障害リスクを何度も顕在化させる、みすぼらしい銀行は不動産取引に怖くて使えない（転載）

システム障害リスクのある銀行は不動産取引に怖くて使えない:

金融庁は、システムトラブルを繰り返す「大手メガバンク」に業務改善命令を出し、システムを実質管理するそうです。これは、今まで発生した障害に対して、抜本的な対策が取られておらず、金融機関任せでは今後も同様の事態が発生する懸念が払しょくできないと当局が判断したことを意味します。

金融システムの安定は、資産運用の中でも特に不動産取引において極めて重要です。

今月また東京23区の不動産を購入することにし、追加で1億円近い借り入れをすることにしました。

実は、日本の不動産の売買は、いまだに極めてアナログな方法で行っています。

通常は購入する物件に前の所有者の抵当権が設定されており、当日その抵当権を解除します。その上で、買い手の新たな抵当権を銀行が設定し、融資を実行するという流れになっています。

しかし、抵当権を解除して借りていた銀行に返済をしてもらい、その後抵当権を設定してから購入代金を支払うと言う流れでは、売り手への支払いができません。

そこで、関係者が金融機関の応接室などに一堂に会し、まず司法書士がすべての書類をチェックし問題ないことを確認する。終わったら登記に持ち込む前に融資をして、司法書士がすべての登記を同日で行うようにしているのです。

その際に、書類が足りなかったり、押印が漏れていたり、1つでもエラーが発生すると、取引全体が滞ってしまいます。毎回、極めて神経質なやりとりになります。

このような不動産取引に際し、もし決済日当日に銀行のシステムエラー等が発生すれば、決済が遅れてしまい登記手続きができなくなるリスクが出てきます。

決済の手続きは平日の午前中に始めることが多いのですが、支障が出れば、午後まで全員が足止めになったり、最悪決済が中止になる事態まで想定されます。

システムリスクのある金融機関を不動産決済に使うのは、最悪の事態を想定すると、私には怖くてできません。今回も安心して使えるりそな銀行さんでお願いしています。

システムトラブルを繰り返している銀行は、そのうち不動産会社から取引に使わないように要請されるかもしれません。

ニューワード「ワクハラ」（転載）～ワクワクハラスメントの略じゃないです。～

「ワクハラ」を騒ぎ立てる日本、ワクチン証明を義務化する欧米:

何でもハラスメントにしてしまう日本社会ですが、最近聞いた言葉に「ワクハラ」というのがあります。

新型コロナ（武漢ウイルス）ワクチンを接種したかどうかを聞く事は「ワクチンハラスメント」になるそうです。接種が終わった人が、接種をしていない人に「えー、ワクチン打ってないんだ。どうして？」などと突っ込みを入れるのは避けるべきだとアドバイスされました。

ワクチンを打つのも打たないのも個人の自由です。問題は、打たないことが自分だけの問題ではなく、感染や重症化によって周囲にも影響することです。

海外ではワクチン接種を事実上義務化するような動きが進んでいます。

例えば、イタリアは、すべての労働者に対し、ワクチンを接種したことやウイルス検査での陰性を証明する「グリーンパス」の提示を義務付けることを発表しました。

また、ニューヨーク市では、先週から12歳以上の屋内の飲食店、スポーツジム、映画館、劇場、美術館などの利用客に、ワクチン接種の証明書の提示を求めることが義務づけられ、違反した場合、最大5000ドルの罰金が科せられるそうです。

海外ではこのようにワクチン接種証明が無いと日常生活に支障が出るような流れが広がっています。

もし、日本でこれをやろうとしたらどうなるでしょうか？ワクハラとして、一部の人たちから激しい反発がありそうです。

ワクチン接種の自由や個人の選択の自由という人権に配慮。その一方で、感染拡大防止策は、緊急事態宣言をダラダラと延長して、自粛を呼びかけるだけ。

その結果、経済活動の再開が遅れ、経済的に追い詰められたり、精神的に鬱状態になって自ら命を絶つ人が増えていく。

そんな状態に耐え切れず、東京では、緊急事態宣言下にも関わらず、経営者の判断で飲食店がアルコール提供を再開するケースも増えています。真面目にルールを守る正直者が馬鹿を見る不公平感な状態が広がっています。

OnlyFansの元従業員が退職後も機密情報にアクセス可能であることが判明 / Former OnlyFans Employees Could Access Users’ and Models’ Personal Information

Former OnlyFans Employees Could Access Users’ and Models’ Personal Information:

OnlyFansのサポートスタッフだった一部の従業員は、セックスワーカーがヌードやポルノビデオを販売するために利用していた会社で働くのをやめた後も、財務上の機密情報や個人情報を含むユーザーのデータにアクセスしていました。

報復を恐れて匿名を希望したOnlyFansの元従業員によると、一部の元従業員は、OnlyFansを含む多くの企業で使用されている人気のカスタマーサービスソフトウェアであるZendeskにアクセスし、カスタマーサポートチケットの追跡や対応を行っていたことが、退職後も判明しました。OnlyFansは、コンテンツを投稿するユーザーと、そのコンテンツを見るためにお金を払っているユーザーの両方に対応するためにZendeskを使用しています。マザーボードは、複数の元従業員のアクセスにより、これを裏付けることができました。

この情報源とMotherboardに語ったOnlyFansのユーザーによると、ユーザーが助けを求めている内容に応じて、サポートチケットには、クレジットカード情報、運転免許証、パスポート、フルネーム、住所、銀行取引明細書、OnlyFansでいくら稼いだか、いくら使ったか、クリエイターが顔の横にIDをかざして確認するKYC（Know Your Customer）セルフィー、モデルリリースフォームなどが含まれていることがあるそうです。   

この情報源は、彼らがOnlyFansでの仕事をやめた後も、まだアクセスできることをMotherboardに示しました。

アカウント設定時に受け取ったサポートメールによると、クリエイターがプロフィールを設定する際、OnlyFansのサポートは「認証プロセスは極秘であり、この情報は誰とも共有されません」とユーザーに保証しています。 

マザーボードは、OnlyFansの一般的なメディアリクエスト用メールアドレスと特定の担当者に複数回メールを送り、OnlyFansの2つのTwitterアカウントにダイレクトメッセージを送りましたが、非常に深刻なセキュリティリスクの可能性についてのコメントを求めたところ、同社からの回答はありませんでした。

元従業員にユーザーの個人情報へのアクセスを許可することは、どのようなサービスを利用しているユーザーにとってもセキュリティ上のリスクとなりますが、特にセックスワーカーや風俗嬢は、その職業にまつわる悪いイメージのために標的とされることが多いため、リスクが高いと言えます。また、OnlyFansを利用してコンテンツにお金を払っているだけの人にとっても、個人情報を漏らすことは、その情報が脅迫に使われる可能性があるため、特に危険です。マザーボードは、ハイテク企業の従業員がデータへの特権的アクセスを利用して、ユーザーや同僚を不適切にスパイする「インサイダー脅威」について繰り返し報じてきた。これは、FacebookやSnapchat、ハッキング企業のNSO Group、Amazon傘下の監視会社Ringなど、多くの企業で起きている。特に、元従業員が機密データへの特権的なアクセス権を保持していることは危険です。

2016年には、Brazersの80万アカウントがデータ流出しました。2019年には、ポルノサイト「Lucious」の100万人以上のユーザーの個人情報がセキュリティエクスプロイトで流出しました。さらに2020年には、ImLiveを含む複数のアダルトサイトを所有するPussyCash.comの脆弱性から、モデルの個人情報のデータ流出が研究者によって発見されました。