- PR -

セキュリティーホール情報どうしてます？

1
投稿者投稿内容
kagecchi
会議室デビュー日: 2003/09/05
投稿数: 3
投稿日時: 2004-05-21 11:15
はじめまして。
RedHat9 のサポートも 4月末で終わってしまったわけですが、
皆様はセキュリティーホール情報をどのように収集してますでしょうか？

うちでは今まで情報システム部のメーリングリストアドレスをRedHat Network に登録して、
情シス部で共有してきたわけですが、今は個人による収集になってしまってます。
これをもう一度、情シス部で共有するための方法を考えています。

皆様はちなみにどうされてます？

参考までにお聞かせください。
はゆる
ぬし
会議室デビュー日: 2004/02/16
投稿数: 1008
お住まい・勤務地: 首都圏をウロウロと
投稿日時: 2004-05-21 12:04
こんにちは〜。

基本はやはり、Web 巡回でしょうか…。
（ニュース etc.　日本の Linux 情報 さんは結構見ています ←多謝！）
私がいま作業をしているところでは、ニュースサマリーを関連する方々にメールで送っていたりするのですが、問題点もあるので、もっと楽な方法はないかと模索しているところだったりします。(^^;

ディストリビュータのメーリングリストは重要ですね。
あとは、メールで Linux 周りの情報なら、japan.linux.com さんや NetSecurity さんでも細かな情報を得られそうなカンジかしら？
presto
会議室デビュー日: 2004/05/10
投稿数: 11
お住まい・勤務地: 宮崎
投稿日時: 2004-05-21 14:28
こんにちわ！
参考という参考にもならないかもしれまぜんが、
本屋でちょろっと立ち読みしたLinuxマガジンの
特集で

「セキュリティアップデートにどれを使う？
　最新アップデートツール事情」

なるものがありました。

サポートがおわったRedHat9などでも
Fedoraのアップデートツールをつかって
アップデートできるとかどうとか書いてあった気がします。
あんまり詳しいことわかんなくてごめんなさい＾＾；

参考：http://linux.ascii24.com/linux/linuxmag/
presto
会議室デビュー日: 2004/05/10
投稿数: 11
お住まい・勤務地: 宮崎
投稿日時: 2004-05-21 14:35
連続書き込みすみません。

このようなページも発見いたしましたので
載せておきます。

https://www.stackasterisk.jp/tech/systemManagement/fedoralegacy01_01.jsp
kagecchi
会議室デビュー日: 2003/09/05
投稿数: 3
投稿日時: 2004-05-21 15:35
ご返答ありがとうございます。
prestoさん
Fedora Legacy Project の
announce メーリングリスト早速試験的に使わせていただきました。
これは、RedHat Network からの announce と似ていて見やすいし使いやすそうです。

ツール系は、apt,yum と最近よく見かけるようになりました。
クライアント機では "apt" を使わせてもらってます。
サーバ運用でも使用できるかはちょっと試してはいないですが。。
されてる方います?

はゆるさん
やはり基本はweb巡回ですね。
はゆるさんが使用されている NetSecurity さんは個人的に見させていただいてます。
やはり問題なのは、この情報をいかにして共有するかでしょうか。

共有するのに難しいのは必要な情報、不要な情報との振り分けですかね。
例を出せばサーバ運用では、
OpenOffice の Errata はいらないけど、OpenSSH の Errata は必要
ということになりますよね。

情シス部内でセキュリティーホール担当者を割り当て
担当者がアナウンスを出すとそこに情報が一極集中して抜けがでるだろうし、
分散すれば、同じアナウンスが流れるかもしれないわけで。。。

うーん悩ましい。
いっそのことモデレータでも置くか。。

よい情報お待ちしてます。
presto
会議室デビュー日: 2004/05/10
投稿数: 11
お住まい・勤務地: 宮崎
投稿日時: 2004-05-21 16:28
引用:

kagecchiさんの書き込み (2004-05-21 15:35) より:
ツール系は、apt,yum と最近よく見かけるようになりました。
クライアント機では "apt" を使わせてもらってます。
サーバ運用でも使用できるかはちょっと試してはいないですが。。
されてる方います?

私は趣味で古いPCをルータ兼自宅サーバとして構築しています。
OSはRedHat9で、apt-getはよくつかっていました。
私もちょうど、セキュリティに不安があって色々調べていたところでした。

引用:

共有するのに難しいのは必要な情報、不要な情報との振り分けですかね。
例を出せばサーバ運用では、
OpenOffice の Errata はいらないけど、OpenSSH の Errata は必要
ということになりますよね。

確かに情報共有は難しいです。
kagecchiさんの環境がよくわからないので的違いな意見かもしれませんが、
なるだけお金をかけずに、情報を確認しあうには
ネット掲示板が一番じゃないでしょうか。

いい情報をみつけたひとが随時書き込み、
他の人も暇があれば見るようにする、といった感じです。
重複してもその書き込みを消すこともできますしね。

的違いだったらごめんなさい

[ メッセージ編集済み 編集者: presto 編集日時 2004-05-21 16:29 ]

[ メッセージ編集済み 編集者: presto 編集日時 2004-05-21 16:29 ]
kagecchi
会議室デビュー日: 2003/09/05
投稿数: 3
投稿日時: 2004-05-21 17:55
presto さん
引用:
確かに情報共有は難しいです。
kagecchiさんの環境がよくわからないので的違いな意見かもしれませんが、
なるだけお金をかけずに、情報を確認しあうには
ネット掲示板が一番じゃないでしょうか。

いい情報をみつけたひとが随時書き込み、
他の人も暇があれば見るようにする、といった感じです。
重複してもその書き込みを消すこともできますしね。

雰囲気的にそんな感じです。
できれば掲示板ではなくもっとシステマチックにしていきたいですね。
バグトラッキングシステムの使用もありかもしれませんね。

まとめると

  • 情報システム部メンバー個々が、web巡回でセキュリティー情報集め。
  • 気づいたメンバーがバグトラッキングシステムに登録
  • 必要な情報か不要な情報かをモデレータがチェック
  • 不要な情報は INVALID
  • 必要な情報にはRPMの作成等を指示
  • RPM作成の確認と検証
  • 本番機への適用
  • 動作の確認をとって FIXED

こんな感じになると理想的ですかね？

更なるご意見お待ちしてます。

kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2004-05-21 23:04
こんばんわ．

自分は，朝 Office の PC を起動したらまず，
http://www.st.ryukoku.ac.jp/~kjm/security/memo/
ここを見に行ってしまいます．既に体が自然にそのようになってしまっていたりします．．．
1

スキルアップ／キャリアアップ（JOB@IT）