mtg.gr.jp/news/detail/20…
雑記系ブログ。セキュリティとか、マイルとか、投資とか、、、 / Miscellaneous Blogs. Security, miles, investments, etc
弊社を装った不審メールに関するお詫びとお知らせ(株式会社MTG)
mtg.gr.jp/news/detail/20…
「ベンダーロックイン」についてどう考えれば良いか(転載)
ベンダーロックインを解きほぐしていくために。AWSからホワイトペーパーを発行。
2021年6月に 『Unpicking Vendor Lock-in』と題された英語版のホワイトペーパーが発行されました。今回、 日本語版『ベンダーロックインを解きほぐしていくために』のダウンロードが可能となりましたことを、お知らせします( こちら)。────下記のような論点を踏まえることで、”難問”として捉えられがちなベンダーロックインの解消は、徐々に解きほぐしやすい(訳注*英文版の原題の”Unpick”)なものになっていく──とAWSでは理解しています。ぜひ、 ホワイトペーパー本体をダウンロードいただき、お読みください。キーコンセプト①:選択の自由はお客様に
本ホワイトペーパーで強調されている第一のポイントは、お客様自身がどのクラウド、どのサービスを使うか、そして「いつ」「どのように」他社のクラウドに移行するかの決定権を完全に有する──という点です。いずれのCSP(クラウド・サービス・プロバイダー)やアプリベンダー、システム・インテグレーターも、技術的・契約的な囲い込み手段を弄するべきではない、との前提が記載されています。
キーコンセプト②:スイッチングコスト
「ベンダーロックイン」は回避され、解消されるべきです。しかしそれは、「スイッチングコスト」が常に”ゼロ”であることを意味しません。「スイッチングコスト」は、金銭的・時間的・工数的に必ず多かれ少なかれ生じます。そのコストをどこまで許容できるか、事前に正確に見積もれるか──これらの論点の深堀りと大まかな把握が、ベンダーロックインの回避・解消には有効です。
キーコンセプト③:移行を容易にするAWSのサービス群
本ホワイトペーパーの後半は、AWSからの(from) / AWSへの(to)「データ移行 / 環境移行」を容易にする多数のサービスの紹介に当てられています。お客様自身が望めば、可及的速やかにクラウドを「Switch(乗り換える)」することは容易であるべきですし、AWSを含むCSP(クラウド・サービス・プロバイダー)はそれを全力でサポートするべき──との考えが記載されています。
英語版ホワイトペーパー『Unpicking Vendor Lock-in』
日本語版『ベンダーロックインを解きほぐしていくために』(バックアップ)
フライトイレギュラー発生。22年GWの次を考える。
とある平日の日中、珍しくケータイに着信があった。
着信番号を見ると、
0570025110
とある。
末尾が110番じゃん!ケーサツか?
でもケーサツってナビダイヤル使ってたっけ?
とりあえず電話番号をインターネットで検索してみる。
JALのコールセンターだった。
21年の10月に、22年GWのバンコク経由スリランカ行きの特典航空券の予約をした。
特典航空券の予約をした後にJALからの電話がくる場合、想定されるのは一つ。
とりあえず折り返し電話してみる。
--
自分「お電話いただいたみたいで、折り返しお電話しました。」
JAL「お電話ありがとうございます。実は4月〇日のバンコク発コロンボ行きのフライトが欠航となり、代替便がご用意できませんでした。直近ですと3日後となるのですが、如何いたしましょうか?」
自分「(やっぱり・・・)了解しました。全旅程キャンセルでお願いします。」
JAL「かしこまりました。それでは手数料無料で払い戻しを進めます。お戻しするマイルは本日から3年間有効となります。税金や空港利用料等の諸手数料はクレジットカード会社経由で返金いたします」
--
とまぁ、こんな感じ。
いったん保留にして考えるのも面倒だし、代替便が用意できなかった場合、キャンセルするとマイルの有効期限が伸びて戻ってくるのを知っていたため、いったん白紙に戻して考え直してみることにした。
ちなみに↓が幻と化した旅程表(85000マイル)
さて、次どうするか?
実は22年GWに向けた特典航空券の取得におけるフライトイレギュラーはこれで2回目である。
21年8月にエジプト行きのチケットを発券していたのだが、これがフライトイレギュラーとなり、一旦マイルを払い戻してもらった上でスリランカ行きのチケットを取り直したが更にこれもフライトイレギュラーとなってしまったのである。
特典航空券獲得の観点から考えると、今から22年GWの特典航空券を手配するには正直遅すぎる。
という訳で、22年GWはスキップし、シルバーウイークにターゲットを絞ってみることにする。
思いついた候補は以下の通り
- 22年9月10日~9月19日(土日+平日5日+土日+祝日の10日間)
- 22年9月23日~10月2日(祝日+土日+平日5日+土日の10日間)
- 22年10月1日~10月10日(土日+平日5日+土日+祝日の10日間)
次に行先。
ちなみにワンワールドアライアンス特典航空券で取得するのだが、下記のような特徴があり、周遊に大きなメリットがあると考えている。
- 1特典で、地上移動区間を除き、8区間まで利用可
- 途中降機(24時間以上の一都市滞在ならびに地上移動区間)は旅程全体で7回まで可
- 1特典で1つの都市は3回まで利用可。途中降機は1都市、1回まで
- 旅程全体で1回、地上移動区間の設定が可能
- 地上移動区間は、滞在時間にかかわらず1回の途中降機とみなす
また、交換に必要なマイル数は下記のチャートの通りとなり、長距離の方がメリットがあると思っている。
ざっくりとした感覚だが、必要マイル数はビジネスクラスの場合、8万マイルで東南アジア、11万マイルで東アジア、12万マイルで欧州っていう感じ。
それらを踏まえて、何となく気になっている国をリストアップしてみる。
・ケニア共和国:チェカTVの影響。一度CHEKAFEに行ってみたい。
・キルギス共和国:戦跡。日本人抑留者が建てたサナトリウムがあるらしい。
・ブラジル連邦共和国:サンパウロの移民資料館に行ってみたい。
・ジョージア:移住ネタで盛り上がっていた国。どんな国か見てみたい。
・アメリカ合衆国:ボーイング社の工場見学したい。
・キューバ共和国:チェ・ゲバラの影響。
・エストニア:電子国家で有名なバルト三国の一つ。
・モロッコ:ロイヤルエアモロッコがワンワールドに加盟したので。
あとは、スケジュール、行先、必要マイル数、などなどを踏まえて、JALの特典航空券予約サイトと格闘。
ANAは10年くらい前からオンラインでスターアライアンス特典航空券の予約ができていたが、JALは数年前から対応するようになった(2018年に基幹システムの刷新を行ったようだが、その結果できるようになったのだろうか?)
これまでは電話でしか予約ができなかったが、去年オンラインで予約できることを知り、衝撃を受けた。
いろいろとあーして、こーしてとやっているうちに6時間も経っていたが、12万マイルで無事特典航空券を発券することができた。
7フライトで概算移動距離18,713マイル。
地上移動も組んだので、特典航空券のメリットはかなり活かせた(と思う)
生活用品「LION」でEmotet被害発生 なりすましメールに注意喚起
セキュリティいろいろ
@IT主催のIT Security Live Weekで、にゃん☆たく氏の話の中で面白い絵を見た。
セキュリティって、関連する範囲が非常に広いため、端的に表現するのが非常に難しい。
例えば、上の絵の真ん中にCSIRTがあるが、CSIRTを中心にして役割分担を整理しただけでも下記のような複雑な絵になる。
また、ロールではなく、管理策ベースで整理する手もあるが、それでも下記の様に込み入った絵になる。
ちなみに攻撃手法ベースで整理されたものもある。
- インシデントハンドラー
- コンピュータフォレンジッカー
- プラットフォーム診断士
- Webアプリケーション診断士
- サイバー犯罪捜査官
- セキュリティインストラクター
- ゲームセキュリティ診断士
- 情報システムペネトレーションテスター
- IoTデバイスペネトレーションテスター
- セキュリティコンサルタント
- 脅威情報アナリスト
- リスクマネジメント(リスクマネージャー)
んで、一番上の絵に戻るのだが、現在自分は情シスとCSIRTの両方に所属している形になっているのだが、一つ悩みを抱えている。
自分はもともとインフラ運用からセキュリティに入ってきた。
インフラ運用についてはオペレーションクオリティを最高レベルまで引き上げ、PDCAサイクルを通じた標準化や品質強化にはそれなりの自信がある。
で、悩みというのは、インシデントレスポンスにおいては標準化が難しいという事実にぶち当たっているということである。
インフラ運用におけるオペレーションクオリティとは可用性を指し、可用性の阻害要因は障害である。
その障害の原因は大別するとハードとソフトに分かれる。
ハードについては、冗長構成等のアーキ設計、保守レベルの24x365対応と監視強化(例えばアラート発生したら早急に予防交換)で対応する。
ソフトについては改修/パッチ適用と異常な連続稼働が要因となるため、検証環境を用意し、事前確認の徹底を図ったり、メンテナンスウィンドウを設けて定期的にリブートしてメモリをクリアにする等の対応を行う。
上記の様に発生要因を分解し、対応手順を標準化することで、障害はパターン化される。
ところが、セキュリティインシデントは発生要因の分解ができない。
時代の流れとともに新たな要因が出てくるのである。
例えばマルウェア感染の手口にしても、ある時期はUSBメモリが使われたり、(今も主流だが)添付ファイル付きメールをバラまいたり、たまに資産管理ソフトの脆弱性を突いたり、たまにウイルス対策ソフトの管理サーバの脆弱性を突いたりと、時代の流れで要因が変わってくる。
そうなるとセキュリティインシデントで求められる人材は、計画性があって地道に物事を進めるタイプよりは、いろいろと臨機応変に対応できる人の方が求められる。
インフラ運用をやっていた時代、下記のような人の分類をしていた。
・PJ系人材:粗々で物事を進めていけるが、後片付け系が苦手(道づくりに例えると、ブルドーザーで木々をなぎ倒して簡易な道を作るイメージ)
・シスマネ系人材:計画的に着々と仕事を遂行するが、想定外が苦手(道づくりに例えると、ブルドーザーでなぎ倒された木をどかしてきれいに舗装していくイメージ)
※シスマネ:システムマネジメント(「運用」が意味的に近いかも)
個人的なイメージだが、セキュリティインシデントにおける初動対応/暫定対応はPJ系人材が向いている。
一方、暫定対応~恒久対応まではシスマネ系人材が向いていると考えている。
長くなってきたので、続きは気が向いてきたら。。。
【参考】
https://www.security-design.jp/entry/2019/10/01/232409
https://www.nca.gr.jp/activity/imgs/recruit-hr20170313.pdf
https://www.ipa.go.jp/security/manager/protect/pdca/risk.html
読書メモ:「感謝」で思考は現実になる~五つの資本~
とあるきっかけで感謝系の本を読んだのだが、内容がちょっと面白かったのでメモ
■錬金術資本
いつでも物事のいい面を見て、感謝の気持ちを抱くことにより現実世界に起きる物理的な変化
■スピリチュアル資本
目に見えない力を信じて感謝の気持ちで過ごす。自分が喜びを感じることをして、幸せを感じるところに向かう
■創造性資本
ワクワクするものに向かっていく
■ 冒険資本
人は永遠には生きられない。いつまで生きられるかは誰にもわからないので、全ての瞬間を最大限楽しむ。いつもと違う道を通って会社に行く、行きつけのレストランでいつもと違うメニューを頼む、いつも「ノー」と言っているものに「イエス」と言ってみる。
■ソーシャル資本
応援してくれる友達。こちらが頼んだら、突拍子もない計画にも参加してくれる仲間。
週刊OSINT 2022-02号 / Week in OSINT #2022-02(転載)
Week in OSINT #2022-02
OSINTの世界におけるツール、ヒント、リンク、記事などの小さなコレクションを毎号お届けします!
日本では最高裁がコインハイブ事件について無罪の結論を出しました。
マイニングは「不正指令電磁的記録保管罪」には該当しないということみたいです。
さて、今号のラインナップです。
- Subreddit User Overlap
- Investigating GitHub
- SARveillance
- Non-Mainstream Social Media CSE
- Hidden Photos in Google Maps
Steven 'Nixintel' Harrisが、サブレディット間のユーザーの重複を表示するクールなサイトをシェアした。これは、あなたがRedditの世界に飛び込むのに忙しいときに、情報を探すための他のグループのアイデアを与えてくれるでしょう。
また、サブレディット自体に関するページもぜひご覧ください。サブレディット自体に関する豊富な情報が得られます。正確な数字ではない可能性があるという警告が掲載されていることに注意してください。
https://subredditstats.com/r/[subreddit]
Sinwindieがまたまた時間を作って、美しいフローチャートを作りました!読者の多くはすでに使っていることでしょう。このフローチャートでは、GitHub アカウントを調査する際に必要な情報の断片と、その基点となりそうな場所を示しています。彼の GitHub リポジトリの他の部分もぜひ見てみてください。
サイト: SARveillance
Ben Heublから、Michael Cruickshankのツイートについてお知らせがありました。マイケルが、ESAのSentinel-1衛星が提供するSAR画像を誰でも見ることができる、新しいツールを教えてくれたからです。そして何より、このツールを使えば、Sentinel-1が捉えたどんな場所からでも、簡単にアニメーションGIFを作成することができるのです!
検索: Non-Mainstream Social Media CSE
OSINT Combineは、Gab、Parler、8kun、Rumbleといったオルタナティブ・ソーシャルメディア・プラットフォームに焦点を当てた新しいCSEを作成しました。ここ数年、様々なことが起こっていますが、これは多くの捜査官のツールボックスに追加される歓迎すべきものです。これを作ってくれてありがとう。
小技: Hidden Photos in Google Maps
OSINT_Researchが共有した、Google Mapsの位置情報から「隠された写真」を見つける方法についての素晴らしいヒントがある。Twitterユーザーの@Pangar-Banは、フランス語のTwitterスレッドで彼の考えを共有しましたが、要約すると次のようになります。
- https://plus.codes/mapでプラスコードを探す
- または、こちらからダウンロード:https://grid.plus.codes/
- またはGitHubのツールを使用: https://github.com/google/open-location-code
- 興味のある領域内のすべてのコードを検索する
- 可能な限りのエンドポイントをcurlするスクリプトを実行する。
- ファイルサイズの異常値を見つけると、写真が含まれています。
スクリプトの練習をして、Twitterのスレッドを読み漁ることをお勧めします。一見しただけではわからない画像を探すときに、絶対に潜る価値がありますよ。