第12回 まっちゃ445勉強会

勉強会／セミナー

第11回 まっちゃ445勉強会に続き、第12回目も参加させて頂きましたので感想（まとめ）を。


http://matcha445.techtalk.jp/saturday-workshop/12th-workshop


セッションによっては内容の公開が不可のものありましたので、公開可だと判断したものについてのみ書いていきたいと思います。

※公開不可の内容についての記述ありましたらご指摘頂けますと幸いです。

「LT1：ISMSの内部監査はどうあるべきか」 miryuさん

  1. ISMSの話は記事を読んだりはしていたものの、実際に業務に携っておられる方の話を聞いたことはなかったのでとても勉強になりました。PDCAのCの話ですね。
  2. 「検査」と「監査」の違い。
    1. 検査・・・策定されたスタンダード(マニュアル)通りに現場を矯正することを目的とする。
    2. 監査・・・スタンダードがそもそもどうなの？っていうことを確認し改善することを目的とする。
  3. 上記の通り「監査」は改善が目的であるので、「監査」に「合格」「不合格」はないという話は自分が想像していた内部監査のイメージと違ったのでとても勉強になりました。
  4. 内部監査
    1. 「規格が情報セキュリティ要求事項に適合しているかどうか」、「期待したとおりに実施されているかどうか」以外にも、「方針に合致したマニュアルが作られているかどうか」とマニュアルを疑うことも重要とされていました。(現場無視のマニュアルは改善していく必要がある)
    2. 確かにこれを出来るのは業務を知っている内部の人間だと思いますので、そこに内部監査の重要性があるというのはとても納得できました。
    3. ですので、内部監査を行う事務局は現場の視点をしっかり持ち、「経営層」と戦う覚悟が必要とされていました。(空気作りとトップダウンが必要)
    4. 今回話を聞いて、一番の感想は内部監査大変だなぁということでした。社員からは検査をされているように思われ、経営層からは煙たがられる。誰にとっても悪いことを言っていないのに。。ですが、ただ評価するだけでなく、改善案も考えていくプロセスはとても面白そうに感じました。

「LT2：うぶんつ　みーつ　あいぽん」 yumanoさん

  1. 最初は公開可能なのかわからず感想を書いていなかったのですが、yumanoさんから直々に公開可と教えて頂いたので感想を書きたいと思います。
  2. Ubuntu10.4でiphoneをマウントするとパスワードなしでデータが見れる！？というちょっとビックリな内容についてでした。
  3. 実際は下記のようです。
    1. パスワードを設定されていない状態でUbuntuにつなぐと複合鍵がUbuntuにコピーされる。
    2. iphoneの暗号鍵は、その後パスワードを設定したり変更したりしてもそのまま変わらない。(再アクティベーションするとリセットされる？)
    3. そのため、その後パスワードを設定しても鍵はUbuntuにあるので見ることが出来るとのことです。
    4. つまり、一度パスワードを設定されていない状態でiphoneをUbuntuに接続し、鍵をコピーしておく必要があるとのことです。
  4. 接続して見ることが出来るのは今のところ写真くらいだそうです。
  5. 自分はUbuntuは使っているものの、iphoneは持っていないので試すことが出来ませんが、パスワードと鍵が結びついていないのはすごく意外でした。今後写真以外も見えるようになると、、、。
  6. 当初アナウンスされていた内容からは変更されたそうですが、とても面白いセッションでした。
  7. iphoneを始めとするモバイルデバイスのファイルシステムや暗号化も面白そうだなと思いつつ、またiphone(touch)欲しいなぁと思いました。(新型待ち。。)
  8. 資料はこちら
    1. http://bit.ly/bPDqGK

「LT3：ブラウザー勉強会の報告と予告」 hebikuzureさん

  1. ブラウザー勉強会の報告と今後についてということで、今後の予定として話されていた「企業におけるFirefox/Thunderbirdの一括導入。管理、カスタマイズ」については個人的にすごく興味を持ちました。
    1. ホント、未だにI.E6とか勘弁して欲しいです。。。

『「願い」〜ペネトレーションテスターからセキュリティ担当者へ〜』

NTTデータ・セキュリティ株式会社 セキュリティ診断本部 NW診断部　課長代理
辻 伸弘 氏（TwitterID：ntsuji）
  1. ペネトレーションテストは、報告を受ける側の経験はあるものの、実際どのように業務を行われているかは知らないので、このセッションはとても楽しみでした。(ツールを使ったセキュリティ診断はしたことあるのですが)
  2. ペネトレーションのテストに対する誤解。
    1. 外部(インターネット)から攻撃するものだけではない！(プリンタや制御装置に対してもやる)
      1. 内部からのテストもやりますということで、確かにペネトレーションテストというと「外部からの進入テスト」をイメージしてしまう自分がいました。。
  3. どうやってやるか。
    1. 対象マシンのTCP、UDPに対して、稼動しているサービス、ポートやOSやアプリのバージョンを調べる情報収集をまず行い、そこから攻撃方法を考察し、攻撃してみる。(ツールを使用)
  4. それってツールで全部出来る？
    1. 機械はFalse Positive(嘘)とFalse Negative(沈黙)があるので、それを見破る力が必要。
      1. 嘘をつくことに対しては、嘘の内容を実際に人手で確認することが出来るし、工数は増えますが問題としては低いのかなと思いました。(スポーツでも積極的なミスは怒られないですし)
      2. 逆に沈黙に関しては、どう対応しているのかとても興味を持ちました。ツールの癖を理解し、自らの経験を基に探していくのかなと思ったり。
      3. 自分がツールを使って検査を行うときも「脆弱性はありませんでした！」とは決して言わず、「脆弱性は検出されませんでした」と言ったりと、「沈黙」があるのではないかというリスクはいつも感じています。
      4. セキュリティは99%完璧に出来ていても1%の穴があればダメということを考えると、ツールがどんなに進化しても人による確認作業やそのためのスキルが必要だということを改めて感じました。
      5. また、対策の対象をシステムだけでなく人も含めて考えることが重要ということもその通りだと思いました。パスワードはそのわかりやすい例だと思いました。
  5. 報告、対策
    1. 報告会での話しや対策についての話もとても興味深かったです。「これ確かに脆弱性かもしれないけど、、コストをかけてまで対策する必要がある？？」という脆弱性はよくあると思いますが、その扱い方や報告の仕方についてのお話もありとても参考になりました。
  6. 全体を通して
    1. ひとつひとつ丁寧に説明をしてくださり、さらに実際に検査をされている中での経験談なんかもありとても面白いセッションでした。対象のシステム以外にも、組織や人とも向かい合うことが求められることに面白さや難しさを感じました。

お菓子

  1. 前回も美味しかったですが、今回も美味しかったです！ありがとうございます。

ペネトレーション テスターより愛を込めて　Part2

NTTデータ・セキュリティ株式会社 セキュリティ診断本部 NW診断部　課長代理
辻 伸弘 氏（TwitterID：ntsuji）
  1. 先ほどのセッションに続いてのライトニングセッションでしたが、ここでは具体的によく検知される脆弱性についての話をして頂きました。
  2. SSL v2.0が有効になっていることや、「Apache Expect ヘッダのクロスサイトスクリプティング」などもありますが、ぶっちぎりの1位として「推測可能なパスワード」が挙げられていました。これなんかはシステム的な対応もありますが、人が重要な役割を担っているためその対策も簡単にはいかないなと思いました。(導入時から一度も変更されていないパスワードなんかの場合は特に。。)
  3. Joeパスワード(ID == Password)は問題外ですが、パスワードの運用のルールって本当に難しいなぁと思います。仕事以外でもTwitterやGmailやDropboxなどたくさんのサービスを利用していると、パスワードの管理が大変になってきますし。今だとID/Password管理ツールを使用されている方が多いのでしょうか？

Google Chromium OS Forensics

Oroさん
  1. Google Chromium OSに対するフォレンジクスの難しさについてのお話だったかと記憶しています。
  2. Google Chromiumは名前は知っていたものの、OSとしてどういう仕組みを持っているのかを知らなかったので、前提として説明されていたGoogle Chromium OSについての説明がとても勉強になりました。
  3. フォレンジクスは言葉としては知っているものの、実際に業務としてどのように行われているのかということを知らないので、その辺りの話についても聞いてみたいなと思いました。(皆さんご存知なのかもしれませんが。。)
WASF
  1. 質疑応答の際に、WASF2010についての話もありました。別の勉強会に行っていたので、参加出来ませんでしたが、話を聞いているととても面白そうで、行きたかったなぁと思いました。残念。。

関係者の皆様、発表者の皆様、ありがとうございました。今回もとても勉強になりました。