2012年4月版 新入生も新入社員も勉強会に寄っといで!
山本洋介山
bogus.jp
2012/5/14
4月は暖かくなったからか、新入生や新入社員がやってくる時期だからか、週末は至るところでセキュリティ系の勉強会やCTFなどのイベントがあり、その中継や内容に関連したツイートが盛り上がっていました。引き続き、Androidのセキュリティやプライバシーに関する事件も発生しました。
「CODEGATE 2012」開催、日本勢の結果は……
4月2日からお隣の韓国で、セキュリティカンファレンス「CODEGATE 2012」が開催され、同時に「YUT Challenge」という競技大会が行われました。カンファレンスの基調講演にはジェフ・モス氏が登場し、日本からは愛甲健二(@07c00)さん、フォティーンフォティ技術研究所の鵜飼裕司さんがスピーカーとして参加されました。
YUTは他のカンファレンスで行われているCTF(Capture The Flag)とは違い、「ユンノリ」という韓国の双六のような競技を模しているそうです。Twitterだけでは、詳しいルールまではよく分からないままでしたが、ありがたいことに、@sutegoma2と@togakushiの両アカウントが競技中ずっと、YUTの得点経過や順位などの情報についてツイートしてくれたため、日本からでも観戦している気分に浸れました。
3月に行われた予選では余裕の通過を果たし、今年こそはと優勝への期待が高まっていたSutegoma2ですが、決勝はシステムエラーに巻き込まれたこともあって、思い通りにいかなかったようです。一時は2位まで順位を上げたものの、惜しくも去年と同様、4位に終わってしまいました。
その他、CODEGATE 2012に参加している人たちによって、競技以外の講演や韓国でのご飯の様子などについても多数のツイートが行われ、それらを見ているだけで、韓国に行った気分を味わえました。日本で参加できるセキュリティカンファレンスも少ない現状ですが、ツイートを見て、「次回は韓国に行ってみよう」と思った人も多かったのではないでしょうか。
【関連リンク】 CODEGATE2012まとめ(Togetter) http://togetter.com/li/282338 |
一方日本では「Hardening Zero」という、ECサイトを攻撃や脆弱性に対応しながら運営を続けていくという競技大会が行われました。動画中継があったものの、CODEGATEとは対照的にツイートはあまり行われず、結果も後日発表ということで、どのようなことが行われているのかは外部からはあまり分からず、残念でした。
ただ、参加している人は楽しそうで、しかも参加チームの中からDEFCON予選に参加するチームがいくつか現れそうです。近いうちに、海外のCTF決勝大会に日本から複数のチームが参戦するなんてことがあるかもしれません。楽しみですね。
Webセキュリティ好きが大盛り上がり、Shibuya.XSS
4月4日には「Shibuya.XSS テクニカルトーク」というイベントが開催されました。
どのような内容の発表があるか当日まで明かされなかったにも関わらず、「XSS」というタイトルと、@Hamachiya2、@bulkneets、@hasegawayosuke、@ockeghemなど、Webセキュリティでおなじみの面々による話が聞けるということで、一瞬で参加枠が埋まってしまったイベントです。当日も会場、Twitterともに、期待に違わぬ大きな盛り上がりを見せました。
特にTLの流れが加速したのは、@Hamachiya2さんによるプレゼンの最中でした。@Hamachiya2さんは、Google Chromeが対応している「x-autocompletetype」というフォーム自動入力機能の危険性をプレゼンすると同時に、検証ページをインターネットで公開。Twitterのハッシュタグを追いかけていた人たちも多数試したりRTしたらしく、この検証ページの情報がTLを埋め尽くしていました。
他にも、@bulkneetsさんは、最近発見されることの多いDOM Based XSSの傾向と対策について解説。@hasegawayosukeさんは、FirefoxのJSONハイジャックの話を披露するなど、参加者30人のクローズドイベントにもかかわらず、#shibuyaxssハッシュタグは大盛り上がりでした。
Togetterのまとめにもたくさんのアクセスがあり、Webアプリケーションのセキュリティに関心を持っている人は想像以上に多いと感じた1日でした。
【関連リンク】 Shibuya.XSSまとめ(Togetter) http://togetter.com/li/283573 |
他にも4月には、多数の勉強会やセミナーなどのイベントが開催されました。その中でも印象的だったのは、「第3回名古屋情報セキュリティ勉強会」です。パスワードの話がテーマだったこともあり、TLがすごい早さで流れていきました。パスワードの話は誰にとっても身近な話題であるという理由もあるのか、いつも盛り上がりますね。
「The Movie」アプリで@luminさん大活躍
このところたくさん見つかっているAndroidのマルウェアですが、その中に「連打の達人 the Movie」や「桃太郎電鉄 the Movie」のように、人気アプリ名の後に「the Movie」と名付けられたアプリがたくさん出回っていました。
この「the Movie」アプリ、うかつにインストールすると、Android端末に記録されている利用者の電話番号やメールアドレス、そしてアドレス帳の中身が盗まれるという大変な代物でした。しかし、公式のAndroidマーケットからダウンロードできるうえに、結構な人気があったようで、約100万人が被害に遭った可能性があるというくらい広範囲に被害を与えたようです。
この「the Movie」アプリを解析し、配信元を突き止めて、アプリを配信するサーバを停止させたのが、ネットセキュリティ企業、ネットエージェントの社長でもある@luminさんでした。解析を素早く成功させ、Twitterに状況を報告しながらサーバを停止させて被害の拡大を食い止めるとともに、アプリの配信元サーバや作者の住所、電話番号を突き止めるさまは、さながらドラマのよう。その巧みさに、「さすがプロ」との声が多数上がっていました。
他にも、Android携帯電話の通話を盗聴する「TigerBot」や、Javaの脆弱性を利用し、60万人に感染したともいわれる「Flashback」といったトロイの木馬が流行しました。自分や周りの人が何かの拍子に感染してしまい、ひどい目に遭った人もいたかもしれません。引き続き注意が必要ですね。
【関連記事】 個人情報を外部に送信する日本語のAndroidアプリに注意(@ITNews) http://www.atmarkit.co.jp/news/201204/13/themovie.html |
セキュリティクラスタ、4月の小ネタ
このほかにも、4月のセキュリティクラスタでは以下のようなことが話題となりました。5月はいったいどのようなことがTLをにぎわせるのか楽しみですね。
- ローソンWi-Fiの規約がいろいろおかしい
- IPAから出された情報セキュリティ人材についての調査報告書が面白い
- Googleの脆弱性を見つけると2万ドルもらえることになって、賞金稼ぎの目の色変わる!?
- 元アイドル、DNS情報書き換えというマニアックな手法を使い、Webサイトを書き換えて逮捕
- プライバシー問題で吊るし上げられたミログが会社清算
- 欧州でハッキングツール違法化!?
- 日本では、いよいよダウンロードするだけで違法になるらしい
- 2つの図書館サイトでAnonymous FTPから内部データが見放題
- 「パスワードはツイートしても自動的に隠される」というウソツイートに騙された人が多数
- ポイント交換サービス「Gポイント」でなりすまし事件発生
- Windowsコモンコントロールの脆弱性により、任意のコードが実行される脆弱性(MS12-027)がヤバげ
Profile |
山本洋介山 bogus.jp 猫と一緒に自宅の警備をする傍ら、「twitterセキュリティネタまとめ」というブログを日々更新しているtwitterウォッチャー。セキュリティやネットワークに関する原稿も書いてます。 |
2012年3月版へ |
セキュリティクラスタまとめのまとめ 連載インデックス |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ (2017/7/24)
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に (2017/7/11)
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは (2017/7/10)
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から (2017/7/5)
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃(APT:Advanced Persistent Threat)対策の観点から考える。
|
|