Scan Security Management Vol．012～Vol．015

著： Scan編集部
発行：バガボンド
シリーズ： Scan Security Management
価格：2,100円(税込)

10ポイント還元

形式：

⇒詳細

対応端末：パソコン　
みんなの評価（未評価）
◆レビューを書く

解説

　【 Scan Security Management 】は、現在注目の高まっているセキュリティの各種規格・制度に特化したメールマガジンです。インターネットセキュリティに関する規格や、法制度の仕組みについての解説記事や、認証取得の際のポイントなどを事例とともに紹介しています。
　今回は、2003年6月の本誌バックナンバー Vol.012～Vol.015を掲載します。“【解説】ネットワーク・セキュリティ保険”“レンタルサーバは本当に安全か？誰にも見えない業者の実態”などのレポートを収録しています。

Scan　Security　Management　　Vol.012　2003.06.03
　◎セキュリティトピックス
　◇レンタルサーバは本当に安全か？誰にも見えない業者の実態
　　■第2回■ OCNの実態（2）
　◇リスク分析の国際標準　ISO/IEC 13335 TRの詳細
　　■第55回■ Part5 ネットワークセキュリティの管理指針その3
　◇【解説】ネットワーク・セキュリティ保険
　　■第4回■ コンピュータ保険「NETガード」のご紹介（三井住友海上）
　◇セキュリティの劣化とその対抗手段
　　■第4回■ 企業におけるセキュリティ運用とは何か（2）
　◎セキュリティセミナー情報
　★無料セミナー情報（6件）
　★有料セミナー情報（2件）
　★トレーニングコース（4件）

Scan　Security　Management　　Vol.013　2003.06.10
　◎セキュリティトピックス
　◇レンタルサーバは本当に安全か？誰にも見えない業者の実態
　　■第3回■ OCNの実態（3）
　◇リスク分析の国際標準　ISO/IEC 13335 TRの詳細
　　■第56回■ Part5 ネットワークセキュリティの管理指針その4
　◇【解説】ネットワーク・セキュリティ保険
　　■第5回■ コンピュータ保険「NETガード」のご紹介（三井住友海上）
　◇セキュリティの劣化とその対抗手段
　　■第5回■ セキュリティのトレードオフ問題を考える
　◎セキュリティセミナー情報
　★無料セミナー情報（7件）
　★有料セミナー情報（2件）
　★トレーニングコース（2件）

Scan　Security　Management　　Vol.014　2003.06.17
　◎セキュリティトピックス
　◇レンタルサーバは本当に安全か？誰にも見えない業者の実態
　　■第4回■ OCNの実態（4）
　◇リスク分析の国際標準　ISO/IEC 13335 TRの詳細
　　■第57回■ Part5 ネットワークセキュリティの管理指針その5
　◇【解説】ネットワーク・セキュリティ保険
　　■第6回■ コンピュータ保険「NETガード」のご紹介（三井住友海上）
　◇日々変化するセキュリティの「常識」YES/NOクイズ
　　■第28回■ 今週のテーマは「不正侵入・攻撃」　～新規10設問を出題～
　◎セキュリティセミナー情報
　★無料セミナー情報（9件）
　★有料セミナー情報（3件）
　★トレーニングコース（3件）

Scan　Security　Management　　Vol.015　2003.06.24
　◎セキュリティトピックス
　◇インシデントマンスリーレポート　2003/05
　　■ OCNによる「業者の規模に拠らない」迅速な事後対応
　◇リスク分析の国際標準　ISO/IEC 13335 TRの詳細
　　■第58回■ Part5 ネットワークセキュリティの管理指針その6
　◇【解説】ネットワーク・セキュリティ保険
　　■第7回■ コンピュータ保険「NETガード」のご紹介（三井住友海上）
　◇日々変化するセキュリティの「常識」YES/NOクイズ
　　■第29回■ 今週のテーマは「不正侵入・攻撃」　～設問 1～5　解答および正解集計結果～
　◎セキュリティセミナー情報
　★無料セミナー情報（8件）
　★有料セミナー情報（3件）
　★トレーニングコース（3件）

抄録

◆◇∽━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　　　インシデントマンスリーレポート　2003/05
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━∽◇◆

　 ■ OCNによる「業者の規模に拠らない」迅速な事後対応
　￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣

　レンタルサーバ業界大手の「OCN」に、情報漏洩などの危険性があったことが判明した。
　現在、多くの企業が自社でサーバを構えずに、外部のISPやデータセンターなどの業者に委託するアウトソーシングを行っている。レンタルサーバ業者のサーバに脆弱性があるとなれば、一社のみならず広く社会に影響を及ぼしかねない事態にまで発展することもあるだろう。インシデントを事前に防ぐ最善の努力をすること。生じてしまった後には速やかに対応を行うこと。これらはレンタルサーバ業者の義務であるが、本件に対するOCNの対応は非常に迅速であった。

>> レンタルサーバクラックと、旧バージョンアプリの使用

　今回、OCNで発見された脆弱性。その1つ目は、「レンタルサーバクラッキング」あるいは「$20 virtual web server hack」と称される類の問題である。

　レンタルサーバの利用者がCGIを使うことにより、他ユーザのデータ盗聴、改竄、データセンター内部への侵入などが可能となる脆弱性だ。今回発見された改ざん可能と思われるファイルやフォルダは約4,500個。問題の原因はパーミッション設定にあり、たとえユーザがBasic認証などを使用したディレクトリを作成していた場合でも、そのディレクトリの中身やパスワードファイルを閲覧することが可能であった。

　もう一点は、アプリケーションのバージョンに関与するもの。使用していた旧バージョンのサーバー運用・保守用ソフトウェアは、直接インターネット越しに攻撃可能なものではないが、今回のようにCGIを踏み台にすれば攻撃することができる。