00:00
いやもうちょっとね、今日はほんまに謝らなあかん。
どうした?
大きなチャンスを、業に振ってしまいました。
なるほど。
チャンス。
ちょっと前にね、地上波デビューっていう話したでしょ?
アレステッカーとかの。
アレステッカー、はいはい。
チャンスあったんですよ。
あったんですけど、ノートパソコンに貼ってるじゃないですか、私、アレステッカーを。
机の上にノートパソコン置いていいですかって言ったら、ダメですって言われて。
それはしょうがないかもね、それは。
それはね、例えばほら、ブランドロゴとかあるじゃないですか、アップルのマークでもなんでもいいけどさ。
それかなと思ったら、昔に何かと干渉したことがあるらしくて。
干渉?
うん、なんか多分音声だと思うんですよね、テレビの。
あー、へー。
そんなことあるんですね。
そうそう、それでもう説明はもう全部頭の中に入れるか、台本、テーブルの上に置いてとかっていうやつ。
え、じゃあiPad的なやつとかもダメってことなんですか?
まあ多分その電子機器はもう多分朝のニュースの生放送なんで、何かあったらもう終わりやから。
マジですか。
そうそうそう、そうなんですよね。
ほんであの、一瞬電源入れないんで置いていいですかって言おうと思ったけど、いや俺何しにいってんねんってなったから頭の中で。
ちゃんとね、仕事として言ってんのにね、そんなあかんわと思って言わなかったんで。
しかも全国ネットだったんですけど。
そしたらさ、服の上に左胸かなんかにステッカー貼ればよかったよね。
そうそうそうそう。
それも思ったんだけど、あかんと思うねん、もうそんなことしたら。
ダメですかね。
確かにね。
そうなんですよね。
次から呼ばれなくなるかもしんない。
そうそうそう、メインはそれじゃないじゃないですかね。
まあまあまあ、確かに確かに。
まあまあそのうちまたチャンスあるでしょ。
そうそうそう、また。
はい。
また頑張りますということでね。
はい、おつかれさまでした。
それはそうとね、ちょっと僕今悩んでることあってどっちにしようかなと思ってて。
うん、はい。
僕7月誕生日で、ほらこの間ね、皆さんに祝っていただきましたけれども、
誕生日といえばやっぱりこう、祝ってもらうという話があったりするのもそうなんですけど、
前後1ヶ月でやらなきゃいけないことあるじゃないですか。
何かあったっけ?
何だろう、免許更新?
そう、そう、免許の更新。
ああ、やっぱり。
ああ、そうかそうか。
そう、だから僕は今月中に行かなきゃいけないのですよ。
ついさん免許持ってたんですね?
持ってるわ、なんで?持ってないと思ってたの?
いやなんかあんまりそういうイメージがなかったんで。
返納したらいいんじゃない?
そう、それ、それ悩んでるんですよ。更新するか返納するか。
だって乗ってないじゃん、全然。
ね、金輪際運転することがないんだったら。
運転してるとか聞いたことないけど。
そうそうそう、だからさ。
タクシー乗ってますもんね。
タクシー乗るとするからね。
だからその返納、ちょっと問い合わせようかなと思ってて。
僕ぐらいの年で返納する人っておるんかな?
03:03
まあでもあれか、返納っていうか、別に返納してさ、代わりのなんかもらう必要なくない?
そのまま機嫌切れでそのまま放っとけばいいんじゃないの?
いやでもなんか返納、もしさ、僕ぐらいの年齢で返納したことおれへんかったら、僕日本初なわけでしょ?
それがしたいだけでしょ?
そうそうそうそう。
場合によったら返納した方がおいしいんちゃうかなって思ってて。
俺あれよく知らないけど、返納したら代わりの身分証代わりのものくれるとかそういうやつでしょ?
たぶんそうそうそうそう。
それを持ってる最年少になれる可能性があるわけじゃないですか。
自主返納ですよ、だってこれは。
まあそうだけどさ。
必要ないじゃん。
必要ないですかね。
でもあれなんですよね、結構いろいろ調べたら自治体によったらね、免許を積極的に自主返納すると、
公共交通機関がタダになるとかもあるんですよ。
そうそうそう、そういうのがあるらしいね。
もちろんでもね、よくよく調べたら年齢が何歳以上で返納したらっていう。
まあそりゃそうだよ。
だから僕たぶん何の恩恵を受けられないんですよね。
だからどうしようかなと思っても期間が迫ってきてるんでね、どうしようかなっていうのがあるんで。
何か異議案ある方いたらお便りいただければ。
ないだろう。
選択肢があんまりない気がします。
更新するのお金かかるじゃないですか。
まあそうですね、確かに。
なんかよく分かれへん公衆も聞かなあかんでしょ。
以前だったら、乗らなくても身分証代わりで必要とかあったけど、今はそれ必要ないし。
写真つけたマイナンバーありますからね。
そうそう、婚輪際運転しないなら、まあなくてもいいような気もするけどね。
もうちょっと考えてみようかな、お便りを見ながら。
ないよ、そんなに。
来ないと思いますけど。
来ないよ。
この件に関して。
じゃあお便りいきますかね。
はい、お願いします。
これなんか第45回のやつを取り上げてお便りをいただいた。
とあるきっかけでセキュリティのアリを遡って視聴中してるらしくて。
ありがとうございます。
それで45回のこれほらもう2人マジでちょっとこれ考え直したらいいですよ。
何を?
すじさんのWindows XPのモノマネがおもろいっていう。
そんな回あったっけ?
えー、僕Windows XPのモノマネ、起動後のモノマネできるんですっていう話して。
知ってる知ってる。
マジですか?
やったやん。
やったよね、やったけど。
45回で。
そんな覚えてないわ、もう。
今もうできるんですか?もしかして。
もういいや、やらなくて。
全然できるよ。
なんでやらしてくれへんねん。
やりたいの?そんなにやりたいならやらしてあげてもいいよ。
45回聞いてへん人もおるかもしれへんよ。
45回聞いてもらえばいいじゃん。
確かに。
むしろ45回ちょっと比較して。
比較。
絶対多分なんも変わらんと思うで。
06:00
俺もそう思う。
じゃあ45回聞いてもらった方がいいか。
そうそう、聞きたい人は45回聞いてください。
多分わりかし雑談の最初の方で言うてるような気もするしな。
そうだっけ?
話の途中で言わんでしょこれ。
急に。
そりゃそうだな。
話の途中でね確かに。
危ない人だな。
いきなりやったらおもろいっすねそれは。
そうそうそうそう。
おもろ。
45回ちょっと聞いていただければなと思います。
そうですね。
それが何そのお便りの人には刺さったわけね。
もうOSモノマネ面白すぎるって腹抱えて笑ったらしいですよ。
嬉しいっすよね。
あんなんで笑ってくれて嬉しいわ。
そんなおもろかった記憶ないけどな。
なんでやねん。
もしお会いする機会あったらあのOSのモノマネ絶賛してたものですって言えば目の前でやりますから。
2回目は思わなくてその顔されたらめっちゃ嫌やけどな。
そんな感じですね。
今回もですね合格しました。
来てますよ。
すごいまだ続いてるんだなすごいね。
ラッシュですね。
そうなんですよ。
情報処理安全確保支援士合格しました。
NICTのノーティスや攻撃手法などのセキュリティのあれの知識が役立ちました。
ありがとうございました。
ということで綾さんおめでとうございます。
おめでとうございます。
素晴らしいです。
あとは試験前の3ヶ月は通勤時間などを利用して聞かせていただきました。
無事令和6年春の情報処理安全確保支援士の試験に合格できました。
独学へ49歳だったので大変でした。
いつもより合格率も低く例年と傾向も異なり難しかったです。
おかげさまです。ありがとうございました。
ということで翔二さんおめでとうございます。
おめでとうございます。
すごいなあ。
ですね本当に。
あとはねこの感想もかなり舌食べてDMでいただいたんですけれども。
DMではお名前呼んでいいかどうかわからないのでちょっとおめでとうございますは言わないでおきますけどね。
セキュリティの勉強を始めるのとほぼ同時にセキュリティのあれを聞き始めてはや1年。
情報処理安全確保支援士に合格しました。
いつかお便りを送りたいステッカーをもらいたいと思いながらいつしか最初のお便りは合格の報告でというのが一つのモチベーションになっていました。
お三方皆さんそれぞれ特徴があって大好きなのですが最近では特に辻さんが推しです。
なんで静かなんねん。
良かったね良かったね。
これまた続きあんねんけどもう読みにくいから。
読んで読んで読んで。
某番組でこれ先僕が謝罪したやつですね。
某番組で解説されているのを拝見したところあれ以上にとにかく誰でもわかりやすくそして中途半端な主観は入れず事実をきちんと伝えながらも辻さんが伝えたいと思っているところだけはしっかりと入れています。
私は心残ものですがいつか辻さんのように多くの方にセキュリティを広められるような仕事がしたいと思います。
09:05
おめでとうございます。
おめでとうのとこしか触れへんねんなこれな。
良かったね伝わってて良かったじゃん。
いやそうそうそうなんですよ。
推しが誰かともかくさ。
そうそうそうですよ。
いやなんかそのこっちの気持ちが伝わってて良かったね。
いやそうですねこうやって感想をもらえる機会は本当にありがたいんですよね。
いや本当だよね。
何かしらそういう反応をくれるっていうのはそれなりに結構コストっていうかなんていうかな。
やんなくていいことじゃんほっとけばさ。
まあまあそうそうそうそう。
それをわざわざこうやって送ってくれるっていうのは本当に大変ありがたいよね。
そうなんですよね。やっぱりそういうリアクションというかそういう反応みたいなものっていうのはなくて当たり前みたいなとこあるじゃないですかやっぱり。
いやそうだよね。
僕らに見える形っていう意味で言うとね。
そうそうだからこういうのはありがたいなというふうに思いますよね。
ありがとうございます。
次のお便りなんですけども伊勢島の件ISMSもPマークも取ってるのにこういうインシデントが発生するたびに以前認証取得の業務に関わった経験から
セキュリティ認証の意味意義について考えてしまいますねというお便りを受けております。
まあまあそうですよねこれ取ってなかったらもっとひどいことになってるかもしれへんしなとかいろいろ考えちゃうと意味ないわけじゃないんじゃないかなとは思ったりもするけどどうしてもこういうのは挙げられがちですよね。
取ってたのにみたいな。
本来的にというか直接インシデントの原因となった事柄について認証を取得していたからというのと直接リンクするわけじゃないと思うんだけど
まあそれはインシデントのケースによると思うんだけど
ただ一般的には第三者的にはそういう第三者認証を取っているところに期待するであろうレベルっていうのがあって
そのレベルと比較してどうだったかっていうのはどうしても気になっちゃうところではあるっていうかね
なんでっていうのはあるかもしれないけどね
難しいとこだよねこれはね認証とか診断的なのもそうじゃない
そういうのする側の立場だったこともね僕らあるからわかるけど
そういうので全部見れるわけじゃないというか
確実にその大丈夫って保証できるってわけでもないというか
ああいう認証とか監査ってそのある基準に対してオッケーかどうかってこと言ってるだけで
そこのね会社の穴が全部塞がってるってことを保証してるわけじゃないから
安全の担保ではないですね
じゃあ何のためにやってるんだよって場合には確かにねって思っちゃうからね
まあ難しいところではあるけどね
そうですね底上げなのかなどっちかっていうとっていうイメージはありますよね
俺はさっきの資格試験と同じようなイメージで捉えてて
認証を取る取らないよりも取るためにいろんな整備をすることが大事かなと思ってるんだよね
12:04
社内の規定だったり仕組みだったり手順だったりっていう
あらゆるものをきちんと整備しないとそもそも認証通らないじゃん
でもそれ土台作りだからそこがスタート地点かなっていう感じなんだよね
資格もさ合格した方がもちろん喜ばしいけど
浮かる浮かないよりもそこに向かっていろいろやるところが意味があるかなっていう感じで
同じような感じで僕は捉えてるんでどっちも
だから認証通ってるから何も起きないとは言えないっていうのはね
まあそうなんだけどね
あとISMSもPマークもそうですけど直接セキュリティに
普段の業務で関わらない人も事務局という形で関わったりすることもあるじゃないですか
そうすると全体的に専門用語とかに触れる機会とかになるんで
全体の底上げっていう意味ですごくいいんじゃないかなと思ったりするんですよね
あれはその対象部門だけとはいえ大抵は全社が対象っていうか
いろんな部門が対象で取り組むものだからね
サンプルでヒアリングとかされるじゃないですか監査の時に
そういうのも全体を巻き込んでやるっていう意味はすごく大きいんじゃないかなと思いますけど
そうだね
最後の便りなんですけれどもこれちょっと来たんじゃないかっていう
何が?
何がですか?
セキスペ試験の教材にセキュリティのあれを活用する案ちょっと考えてみますっていう
セキスペの資格取得のための本を出版されてる方からこういうのが来まして
えー
マジじゃんマジ
マジマジちょっとマジのやつなんですよ
ちょっとマジですじゃん
そうそうそうそう
ぜひねぜひお願いしますということで
なんかぜひコラボしたいでそれね
そうそうそう
じゃあメンション返しておきましたんで
もしかしたら何かいい案が浮かべばねご連絡いただければ嬉しいなと
なんかできそうだよね
なんかできそうなんかできそう
僕ら的にそのナットを使って協力するっていうかさ
そうですね
一人でもそういうね合格する人が増えるっていうか
そういう資格試験に取り組もうって人が増えること自体が喜ばしいじゃん
興味持つ方が増えれば
そうそうそうそう
だからそういうのになんかね協力できればしたいよねなんかね
そうですね
楽しみなんかちょっとぜひお願いします
ぜひお願いします
言ってみるもん的なやつですね
言ってみるもんだね
やっぱ言うた方がいいんですよこういうことをね
どんどん言ってこ
言い続けるってやっぱ大事なんやなと思いました
確かに確かに
大事だ
はいということでじゃあそろそろセキュリティの話もしていこうかなと思うんですけども
はいお願いします
今日はじゃあ看護さんから行きましょうか
はいじゃあ私から行かせていただきますが今回はインシデントの話なんですけども
前回に続きというわけではないんですけども
今回は他課の総合会計事務所とそのグループ会社が被害に遭れた
ランサムウェア感染事案というのを取り上げさせていただきたいんですが
この多分会計事務所のインシデントというよりかは
15:03
東京会場日動のグループで情報漏洩がみたいな話で
多く主要メディアが取り上げられているのをご覧になった方いらっしゃるんではないかなとは思うんですけども
実はその東京会場日動他には駿河銀行とかもあるんですけども
委託している先っていうのがランサムウェアの被害に遭れたと
そこが今名前出させていただいた他課の総合会計事務所と
そのグループ会社だったというところであったので
他にも影響を受けられている組織が会計事務所ですからね
他から会計作業などを委託受け取っていれば
同じように影響が及んでいる可能性もあるので
そこがもしかしたら今後も伊勢島のような形で
続報というか影響を広がってますという形で話が出てくるかもしれないんですが
今回この取り上げさせていただきたいなと思ったのは
こちらの会計事務所初報と続報という形で6月10日に初報を出されておられて
最近7月10日に第2報という形で続報を出されたんですね
続報の方が結構細かく書かれていてですね
というのはタイムラインで言うと被害に遭われて
その後外部の専門機関に調査を依頼されたと
その調査を依頼された結果というのが今回分かった事実ということで
続報に含められているというところで結構細かい内容なども書かれてはいるというところであるんですが
実際被害に遭われてシステム障害的な話が発生したのは
6月の4日夜というところでデータを管理しているサーバーで
アラートが発生したというところ これはよくある話ですけれども
それを発端に調査を行われて
翌々日の6月6日実際にこのサーバーであるとかを管理している
会計事務所から委託を受けるという形で管理をしているITシステムの保守業者の調査を受けて
これがランサメアによるものだったよというところが判明をして
その後にさっき申し上げた外部の専門機関などに調査を依頼したりというところが始まったわけなんですけれども
7月10日に公表されたリリースの内容には判明した事実ということで
3つ大きく分けて書かれているところであるんですが
1点目としてはさっき申し上げた6月4日 この時点で外部 海外から複数のサーバーに対して不正アクセスが既に起きていたと
2点目が不正アクセス 6月4日の実際にデータ暗号化されたりはしているわけなんですけれども
それよりも前の5月26日に今回なんで不正アクセスが生じたかというところが書かれていて
18:02
この会計事務所のグループのインターネット接続点に設置する
おそらくVPNのような 多分そういうのを意図した表現だと思うんですが
インターネット接続点に設置する通信機器の更新作業が行われていて
その際に委託されている おそらく先ほどの保守業者だと思うんですが
委託業者が行った通信機器の設定が誤っていてですね
それの結果としてグループ内部に対して不正アクセスを可能とする状態に
5月26日になってしまったというところを原因として挙げられていると
UTMとかファイアウォールかもしれない
その可能性も確かにありそうですね
その経路から実際不正アクセスが行われており
ウイルス対策ソフトも入っていたんですけども実際停止をされてしまい
対策などが無効化されて最終的にランサメが実行された可能性が高いというところが判明したと
特別珍しいものが今回あったかというと
よくある一つの手口ではあろうかなと思うんですけども
やっぱりちょっと気になるところとしては設定誤りで入られてしまって
それが実際に委託先の事業者の方がやっていたことに起因していたというところもそうですし
あとやっぱり日付が気になるところで誤って設定をしてしまったというのが
5月26日の日曜日だったと
で先ほどお話ししたその実際に不正アクセスによって
もしかしたらもうちょっと前から入られてたかもしれないですけども
実際にそのシステム障害とかデータの暗号化とかがされていたのは
6月4日の夜というところでですね
たぶん10日足らずで設定誤りから不正アクセスの
事案が発生してしまったというところで
結構早いなというのが
なんとなくというか見ていてタイムライン見ていて
まず思ったところであってですね
この手の設定誤りに起因した事案なんかを見ると
そこそこ期間を空けて被害に遭われているっていうのも見ることは
これはちょくちょくあってですね
それはなんとなくイメージはできるんですけども
今回のような本当に10日足らずで設定誤りに問題があって
それが悪用されて入られてしまってランサメンに繋がるという
すごいスピードがあるなというのが
タイムライン見てて思ったところであったので
改めてそういう観点で認識を持った方が良いなっていうのは
今回の事案を見て改めて思ったところと
ちょっとこの手の事案が続くなっていうのが正直なところであって
伊勢東市かり他の事案もそうでしたけども
一社がやれて波及的に他のところにどんどんどんどん影響が
21:02
それこそ大手であったり
事業インフラの企業であったりというところに
影響が波及していくっていうのが結構国内でも
去年今年と続いているなっていう感じはしているので
この辺はやっぱり改めて委託している先がどうかっていうところは
実際今回影響を受けられた組織はいろいろありますけども
改めて自分たちも見直さなきゃいけないところに来ているのかなっていうのは
思ったんですがこれ見直して仮に問題があったとしてですね
やれよって言うのは簡単なんですけど
実際にやれてるかとかっていうそこの辺についてどこまで見ていくかっていうのは
結構頭抱えるところだなと思ったので
そこはなんか上手い解決策があるといいなっていうのは思うんですけど
ちょっとまだ私の中では浮かんでこなくてですね
この手の事案がまだまだ続かないといいなっていう
ちょっとその安直な感想しかちょっと思い浮かばなかったんですけども
ちょっとこの手の動きが本当に続くと
委託先の管理がどうこうっていう話もどんどんどんどんなっていくので
そうなってもさっき言った通り上手い解決策っていうのはすぐに出てこないので
ちょっと頭抱えるなっていうのは改めて今回ちょっと事案とか見ていて思ったところでした
これさ設定の誤りって何だったんだろうね
例えばさ委託先の業者からしか本来はアクセスできないように
アクセス制限かけるべきだったのに
なぜかそれが外れちゃってどこからでもアクセスできるようになってましたとか
例えばね
設定誤りって何だろうね
あと過去にあったやつだとテストアカウントを作ってそのままにしていたとか
それもあったよね
なんかいろいろ考えられるよね
過去に今言ったようなアクセス制限の不不備みたいなやつもあったし
なんだっけファイヤーボールで本当は制御してるはずがなぜか外れちゃったみたいなやつもあったし
ありますね
なんかいろいろあるんだなこういうのってね
そうですね
過去に設定変更を誤ってっていうやつだと東海国立大学機構とかありましたけど
あったねあれはなんだっけ
あれはファイヤーボールの設定の変更ミスですよね
暗黙の了解的なルールあるじゃない何もせえへんかったらこっちみたいな
許可なのか拒否なのかっていうのを誤ってしまってて結果開いちゃってたっていう
で認証サーバーにパスワードの問わたりをされましたっていうやつですね
そういうようなファイヤーボールの設定ミスとかそんなような感じに
なんとなく見えなくもないけどね
データサーバーに不正アクセスできる状態っていうのは
本来はそこにアクセスできるはずじゃなかったのにみたいに読めるようになった
そうですねデータサーバーって何を指してるのかわからないですけど
ファイルサーバーとかそういうのかわからないですけど
さっきねぎさんが言ったやつがもしかしたら正解なのかなってちょっと思いましたね僕
24:02
もしかしたらねなんかRDPで委託先からしかアクセスできないようになってるのに
そこが開いちゃったみたいなね例えばだけど
もうなんか結構ツーツーになっちゃってるところを全公開にしちゃったみたいな感じはちょっと印象的ですよね
そのミスの内容はわかんないんだけど想像だけど
それが果たしてその委託業者だけの責任として良かったかっていう話でしょ
いわゆるねここでもよく言ってるそのスキャン的なやつとかASM的なやつでさ
見つけられませんかねっていう話が一つと
あとさっきその看護師さんが言ったやっぱり気になるのはそのこのスピード感だけどこれたまたまなのかなのか
これがなんかそう今本当そういう流れが来てるのかっていうのはやっぱりちょっと気になるところですよね
もし今言ったようなそのよくあるプロトコルがたまたま開いちゃった的なやつだったら
定常的な攻撃者のスキャンに引っかかっちゃうっていうのは割と早いタイミングで起きてもおかしくないなっていう気がするし
逆にそうじゃなくて特定の機器のさっき言ったVPN機器だったらわかんないけど
何か機器の脆弱性とかっていう話だったら
まあなんかタイミングがたまたま悪かったっていうことかもしれないけどねなんだろうねまあちょっとでも
まあその最悪の場合これぐらいのまあこれ1週間ぐらいだもんね
そうですねはい
それぐらいのスピード感でその仮に設定ミスがあった場合に自分たちで気づいて直すっていうことをやらないと
これが気づくの難しいですよね
なんかその辺考えるとやっぱりウェルノウンポートにやってた弱いパスワードで刺さった説かな
とかねなんかそういうような何か
いくつか考えられてそういうミスが仮にあった時に気づけるようにというのと
あとまあ仮にそのちょっとまああの仮に仮に話しちゃって全然違ってたら申し訳ないんだけど
まあ今言ったようなそのもし例えばそういったところが空いてしまったみたいな理由だとすると
もしそういうことが起きたとしても簡単にはやられないような工夫がなかったかという話だよね
認証強度を上げるとかっていうのはそうですかね
それはその何いわゆるリフェンスインデフス的なというか
従来からある防御の基本的な考え方で
もし万が一なんかそういうファイアーボールの設定しくってたとしても
いきなり外へ晒されても簡単にはやられませんよっていうような
例えばハードニングの設定がちゃんとできていましたかみたいな
そういう基本的な部分はなんか見直してできるんじゃないかなって気がするんで
確かにそうですね
なんか今回だけど群発的な要素っていうのもなんかありそうにはありそうなんだけど
あとまあそのミスを完全には防げないしそれをこんなスピード感に見つけるっていうのは
まあ割と頭かかえるっていうのはその通りなんだが
そうなっても耐えられるような工夫はできるんじゃなかろうか
27:03
そうですねなんかそうまずそれとその来て入られて空いてしまっても大丈夫みたいな状態
かつもう一個やってほしいなって思うのはASMまで行かなくていいから
設定変更を行った時にはきちんと確認作業
例えばスキャンして空いてないことを確認とか変更されてないことを確認っていう
その実地のチェックがあった方がいいかなと思います
これはでもあれだねそのこの多分会社自体にはそれは求めるのは難しいような気もするので
業者の人ですかね
業者側がちゃんとリリース時のテストでやるべきだよねこれはね
そうそうそうそう結構僕もなんか構築昔やってた時っていうのはそういうのセットでしたけどね
そうかそれはあれですかお客さんから要件として求められてるわけではなくて
いや要件として求められてるわけではなくて何かしら例えばそのファイアウォールの設定変更作業とか
ネットワークの設定変更しないといけないとかVPNもそうですけど
1回終わったらその自分たちの会社のグローバルIPから許可されてないIPから
ポートスキャンした結果を一緒に提出するっていうルールになってました
あーそうなんですねそうかそうか
まあだからそのあたりの作業手順がどうだったかテストがどうだったかっていうような話だよね
そうですね
まあなんかもしかしたらだけどねさっきの話だと正常系しかやってなかった可能性はあって
あーはいはいはい
その自分たちのところからちゃんと繋がるから大丈夫って思っちゃったけど
もしかしたら他からも繋がってたけどそれはダメだったかもしれなくて
そういうテストまではしてなかったとするとテスト手順に問題があった可能性もあるんだよね
あーそうですね
まあ割とその異常系を見逃しがちっていうのはまあまあありがちではあるけどね
ちょっとわからないけどね想像だけど
はいはい
まあそのあたりは改善の余地があるかもね
うんですね
多いっすねなこういうのほんまに最近
そう本当に多くて
でもこれね委託先がやったこととはいえさ
被害を受けるのは自分たちの顧客だからね
そうなんですよ
委託先ですって言ったところであの別に起きた事実は変わらないので
こういう設定変更作業でっていうのって過去にも僕が扱ったような語句あるじゃないですか
あるね
ありますね
だからそのねどういう方法でっていうのでよくフォーカスしがちなのは
どの脆弱性使われてんっていうのも多いけ
注目してしまいがちやけど
こういうなんかバッドノウハウじゃないですけどね
こういうことをしたらこうなりましたみたいなのも
情報を共有していかなあかん感じはしますねこういうの
そうね実際の事例ではこういうの結構多いもんね
そうそうそうそう
意外となんか足元救われる感じやなっていう気はしますね
そうだね
はいありがとうございます
はい
はいじゃあ次はねぎしさんいきましょう
はい今日はですねまあ今日もかな小ネタでいきたいと思ってるんですけども
小ネタ
本当の小ネタね
本当ですか
本番ね
はい
30:00
えっとですね今日はGoogleがアドバンスとプロテクションプログラムっていうので
パスキーをサポートしましたよっていうニュースを取り上げたいんだけど
これなんかね今日話そうと思っててなんとなく過去に取り上げた記憶があったんで調べたんだけど
第32回でもだいぶ前なんだけどさ一度これ取り上げて紹介したことがあって
めっちゃ前ですね
うんもうなんかリモートで収録する前
前か
ですよね
なんだけどまあまあ久しぶりなんでもう一回ちょっと改めて今回何変わったかっていうのも含めて話そうかなと思ってるんですけど
えっとねこのアドバンスとプロテクションプログラムちょっと長いんでAPPって省略するけど
これは何かまあそもそもこれが何かっていうと
えっと2017年からかな
Googleが提供をしている高度な保護を必要とするようないわゆるそのリスクの高い人たち
例えばジャーナリストだったりなんだりっていう結構そういうなんていうかな
高影響を受けやすい人に向けたプログラムっていうので始めたもので
ただとはいってもそのGoogleのアカウントを持っているまあ僕ら一般の普通のユーザーも誰でも無償で使うことができる機能なんだけど
元々の目的としてはそういう人たち向けにっていうので提供されたものですと
でこれを自分のGoogleのアカウントで有効にするとどうなるかっていうと色々セキュリティーが強化されるんだけど
一番のポイントはGoogleの二段階認証の手段がセキュリティーキーだけになりますと
制限されますってことね
なので普通の二段階認証ってみんなも多分設定してると思うんだけど
例えばなんだ認証アプリとかあとSMSで認証コード飛ばしてもらうだとかさ
いくつかパターンが何パターンかあるじゃないですか
で自分で選べるよね選べるというかいくつか登録できるじゃない
なんだけどこのAPPを有効にしたアカウントではそれらが設定されても無効になって
常にセキュリティーキーが必要になりますと
唯一になるんですね
だからアカウントのログインに対する不正アクセスに対する防御策としては非常に強くなるってことだよね
で一応他にも例えばサードパーティー製のアプリがGoogleのアカウントのデータにアクセスしようと思っても制限がかかるとか
あとはセーフブラウジングの機能がちょっと強化されるとか
いくつかそのセキュリティー面での強化っていうのは他にもあるんだけど
一番のポイントはその二段階認証がセキュリティーキー必須になりますというところだね
でなんでそのためにそうするとログインする時に必ずセキュリティーキーが必要ですということなんだけど
じゃあセキュリティーキーなくしちゃったり壊れちゃったりアクセスできなくなっちゃったら積んじゃうから
そのためにはこれ最低バックアップがないと困るので
このAPPを有効にするときには必ず2つのセキュリティーキーが必要ですっていう風に当初なってましたと
33:00
これはのアップルのねアカウントの保護も同じな感じだけど
確かにそうですね
そうそうそう
何今ついさんなんか言おうとしたよね
いやー予備キーって言うと
久しぶりに言ったね予備キーと予備キーね
予備キー予備キーはい
そうそうそういうことですよ予備キー以外に予備キーも必要ってことなんだよね
それはその目的考えたらしょうがないのかなって感じだったんだけど
ただそれとさすがにその2本も買わなきゃいけないのってなってちょっとハードルが高いじゃない
確かにねめんどいですよね
なんでGoogleは自前でTITANっていうセキュリティーキーを開発したりだとか
あとまあそれをそういうジャーナリストとかそういう人たちに配ったりだとかね
いろいろそういう作もやったりしつつ
あとまあでもそれでもさすがにちょっとハードルが高いから何とかしようっていうことも一応やってて
例えばその2019年からAndroidのスマートフォンそれから2020年からはiPhoneでも
それぞれスマートフォンをセキュリティーキーの代わりに使える機能っていうのを提供し始めて
これビルトインセキュリティーキーっていう名前なんだけど
これを前回のPodcastで紹介したんだよね
でこれが使えるようになりましたよって言って
じゃあこれだったらセキュリティーキー1本で済むから
もう1本はスマートフォンが代わりにセキュリティーキーの代わりに使えるから
だいぶ使いやすくなりましたねっていう話を前回したのよ
で僕はその時からこのAPPの機能を使い始めたんだけど
ただしこれはGoogleの独自の機能で
そんなことしたらパスキーっていうのが出始めて
でパスキーもやってることは実はこのビルトインセキュリティーキーとほぼ同じことをやってるんだよね
なのでGoogleは去年から正式にパスキーのサポートとかを始めたタイミングでどうしたかっていうと
今まで提供したビルトインセキュリティーキーってやつはこれはもうやめて
今もう全部パスキーの置き換えてるのね
なので僕ももともと使ってたんだけど
ビルトインセキュリティーキーっていうのを登録しておく状態で
パスキーを登録するとどうなるかっていうとパスキーがそのまま置き換わる感じになるのね
なので今はこのビルトインセキュリティーキーっていうのは今は使えませんという感じになってるのね
でここまでが今までの状況で
で今回どうなったかっていうとさらにそれを一歩進めてもっと使いやすくしましょうということで
パスキーのみでokになりましたということで
今だからどうなったかっていうと今まで通り例えば2つのセキュリティーキー
物理的なセキュリティーキーを買ってそれを登録してapp有効にしてもいい
これもokだしあと2つのパスキーこれはスマホと
例えばワンパスワードとかも使ってもいいけど何でもいいけど
とにかくパスキーを2つ登録してやることもできますと
それから物理的なセキュリティーキーを1本買ってそれとパスキーっていう組み合わせでもできますと
それから一番簡単にできるのが1本セキュリティーキーを買うか
またはもうそれもやめてパスキー1個だけ登録をしてでも使えるようになりますと
36:03
ただしこれだとパスキーがもし使えなくなったら詰んじゃうので
この場合にはリカバリーオプションの設定は必須になります
もし万が一パスキーなくなってログインできなくなった場合に
復活できるようにリカバリーオプションってやつは
もともとパスキーとか云々関係なくもともとGoogleのアカウントで
もしアカウントがロックされちゃったら困るんで
その場合に回復できるような電話番号とかメールアドレスを
あらゆる形で登録するっていう機能がもともとあるんで
これは設定は任意だったんだけど
今言ったパスキー1つだけでこのAPPを使おうとした場合には
パスキーが使えないと詰んでしまうので
リカバリーオプションは必ず設定してくださいという感じになって
一応でもそういう条件はつくけど
今までは絶対物理的なキーが必要だったんだけど
それがなしでもスマートフォンのパスキーだけで
使えますよということになったので
だいぶ敷居が下がったかなという感じ
僕その前紹介したときも言ったかもしれないんだけど
このアドバンストプロテクションプログラムってやつは
もともとリスクの高い人向けとは言ってるものの
あんまり副作用があんまりないし
セキュリティキーさえあれば
常にセキュリティキーがログインで必要とは言うものの
この手の二要素認証とかといつもお決まりだけど
登録のときに必要でだけで
普段使ってるログイン済みのアプリとかでは必要ないし
意識しないですよね
普段は全く意識しないので
僕も数年ずっと使ってるけど
全くそういったこと意識したことは一度もないので
そういう意味では普段使いできるハードルが低い
かつ常にセキュリティキーが二段階認証では必須だから
攻撃者からすると非常に攻撃難易度が高い
そうですねハードルがめちゃくちゃ高くなりますよね
ハードルがめちゃくちゃ高いっていう
すごくいい機能だなと思ってるので
リスクの高い人向けって言っちゃうのは
なんかもったいない気がして
もっと広く使われてもいいんじゃないか
一般の人ももっと使ってもいいんじゃないかなと思って
ただこれまでは
セキュリティキーを買ってねって言わざるを得なかったので
それは流石にハードルが高いから
言いにくかったんだけど
今回パスキーだけでOKになったからさ
ほらこれでもうしょうがないでしょっていう
みんな使えるでしょっていう
そういう状態になりましたよっていうのを改めてね
伝えてぜひ皆さん使ってみてっていう
なんかちょっと比べるものが違うかもしれないですけど
iPhoneで言うとこのロックダウンモードみたいな感じの
不便さはないってことなんですよね
そうそうまさにその通りで
ロックダウンモードは
あれはもともとどっちかっていうと
ゼロクリックの攻撃っていうか
iメッセージ使ったゼロクリックでの
脱却性を利用したね
攻撃手法に対して
防御できないと困るっていうので
39:00
あれはもうちょっとガチガチなモードになってて
あれを有効にしちゃうとちょっとやや
普通の仕様に支障が出るので
あれは万人向けじゃないと思うんだけど
こっちのGoogleのやつはそこまで厳しくないので
むしろ誰でも使えるんじゃねっていう風に
少なくとも僕はずっと使ってて何の問題もありませんよっていう
しかもいいなって思ったのは
説明のところに
最強レベルみたいなこと書いてますもんね
ストロンゲストレベルって書いてますから
それは言い過ぎかなって気もする
めちゃめちゃアカウントの
最強レベルのセキュリティーだぐらいのこと書いてますけどね
でもね現実問題はSIMスワップだのなんだの
2要素の認証とは言っても
レベル感にだいぶ下がるので
やっぱりそこはセキュリティー機とかパスキーの方が
そういう乗っ取りに対しても強いし
フィッシングにも強いし
かといって普段は全く使う必要ないので
これは絶対やった方が良くないっていう
ただ何だろうな
もうちょっと使い方によっては不便になる人も
さっき言ったサートパーティーのアプリによるアクセスの制限がかかるので
そういうのはちょっとあるかもしれない
Googleのアカウントいろんなアプリから参照してますっていう人は
ちょっと使い方がめんどくさくなるかもしれないんだけど
基本的にGoogleのサービスはGoogleの中だけで使ってますっていう人にとっては
ほぼデメリットはないので
気になる人はぜひちょっと使ってみてほしいなっていう
さっきネギスさんがこの場合は回復するために
何かしら電話番号なり登録する必要あるとかいくつか条件あったじゃないですか
その辺の分かりやすいフローズみたいなのあったらいいな
そうね確かに
どれぐらい何をすればいいのかっていうのは先に分かる方がいいなと思いましたけどね
でも割と今回ので使いやすくなったかなって気がしました
この辺のネタもネギスさん担当みたいになってますよね
もうお任せください
パスワード系とか認証系の次のステップみたいな話は
基本的に全部使ってみる派なんで
そうですよね
ありがたいです
ありがとうございます
じゃあ最後僕なんですけれども
お願いします
今日はですねFortinetが出してる毎年
毎年か半期に1回かな
グローバル脅威レポート2023年下半期版というものが
少し前に出てたんでそれを読みましたということなんですけど
これ結構量が多いので
つまんで僕の気になったところだけ紹介していこうかなと思うんですけど
いろんな分析自分たちのやつをソースにしてですね
顧客で観測されたこととかそういったものを含めて
自分たちで分析している結果が反映されてるんですけれども
攻撃コードが出てからエクスプロイトがリリースされてから
攻撃開始までの日数というのがちょっと短くなってきてますみたいな
42:01
よくある話もありつつですね
ちなみに脆弱性が出てからの話じゃなくて
エクスプロイトが出てからなんで
ちょっと脆弱性が発表されてからは猶予があるっちゃあるんですけれども
攻撃コードが出てから実際の攻撃が発生するまで平均で
4.76日というふうなことで
43%増加というふうな感じ増えてるというようなことですね
41%の組織
これは40が見ている組織ですね
組織でエクスプロイトコードの登場から1ヶ月未満のエクスプロイトが
41%で実際に攻撃が観測されたと
ちょっと前に僕EPSS何とか活用できへんかみたいな話してたじゃないですか
紹介したね
ここのレポートでもEPSSの流れが上がっていったりするような
攻撃コードが出ましたっていうところがグッと上がったりするっていう風なものがあって
それを1個の脆弱性を元にこういうタイムラインでしたみたいなことを上げてくれててですね
脆弱性自体はワードプレスのプラグイン決済プラグインの脆弱性で
CVE202328121という風なEPSSスコアがレージされてたんですけれども
どんな流れだったかというと
今年の4月の12日に脆弱性が公開されたと
その時にはEPSSはエクスプロイトの可能性低いっていう評価だったんですね
6月1日にエクスプロイトコードが公開されたと
その後7月4日にNucleiテンプレートとメタスプロイトのモジュールが公開されると
それを受けて瞬間にEPSSが上位3%に入って
30日以内のエクスプロイトの可能性が71%とグンと跳ね上がったと
そこから7月19日にはエクスプロイトの兆候を観測と
実際に攻撃来て成功したのかしないか分かんないですけど
そういった攻撃が来たという風なものがあったという流れを出してくれたんで
EPSSがどれくらい活用できるかというのは分かんないですけど
こういった例も観測することができたみたいなことも書かれてあります
分かりやすいグラフで書いてくれてるんで
こんな流れでいくんやなっていう1個の例として参考になるんじゃないかなと思いました
途中で口挟んじゃうけど
うまくいった例を1個だけ見せられても
そうなんですよ
記事つけるわけじゃないけど
たまたまじゃねえって言いたくなるよね
僕も言おうかなと思ったんですけど
ワードプレスのプラグインってちょっとマイナーやなっていう感じが
だから分かりやすい例を一生懸命探して見つけてきたような
悪い見方をするとそうとも言えるから
ありきたりのどんな時でもこういう風な
常にこういうグラフの推移になるって言われたら
おおすげーってなるけど
たまたまうまくいった例じゃんって
ちょっとうがった見方をしちゃうんだよな
45:00
将来的にこういう例が増えていったらいいなっていう
精度が上がればいいなみたいな感じはあるんですけど
でも中にはこういう風にうまくスコアを活用できそうな場面もあるってことだよね
こういうのを活用すれば
エクスプロイトリリースしてから対処するまでっていうのを
なんとか埋められるんじゃないかみたいな感じ
ただちょっとここだけ突っ込むわけじゃないけど
EPSS自体がどうこうっていうよりも
僕はさっき言ったような
贅沢性の診断ツールとかメタスプロイトのモジュールとか
エクスプロイトコードの公開とかっていうのは
ものすごく分かりやすいインジケーターなんで
その辺りをチェックした方が
それを全部肩代わりしてくれるのがEPSSのいいとこなのかな
EPSSだけ見とけば
いろんなソースを見なくてもいいっていう感じなんだと思うんですよね
あるけど明確なそういうインジケーターが分かっていないときに
使えるのが有効な点な気もするんで
明確なインジケーターがあるのって
それ見ればいいんじゃないのって気はするんだけどな
それ言っちゃったらあれかな
多くの人があってなるとやっぱり
こっちに流していきたいんじゃないかなって気はしますよね
確かに確かにね
まだまだ先の長い話かもしれへんなと思いました
でですね
そういった脆弱性を
EPSSでどう見ていくかみたいな話ちょっと関連するんですけど
対処していく脆弱性の優先度っていうのはね
このポッドキャストやいろんなところで僕らはたびたび言ってきてると思うんですけど
ここがですね
レッドゾーンっていう概念を
このレポート内だけの概念なんですけどもあるんですよ
これは2022年からかな
この40ネットがレポート内に入れたやつなんですけれども
これがですね
何を表しているものかというと
四角のヒートマップみたいな四角がいっぱい並んでる
ヒートマップがあるんですけれども
それに対して活動が活発だったCVE
脆弱性の割合とか件数みたいなものを
当てはめていっているのがレッドゾーンっていう風に
このレポート内で呼ばれているもので
どんなものが盛り込まれているかというと
3つ要素があるんですけど
観測しているその監視しているエンドポイントでの内に存在する
観測されなかったCVE
これがグレーで表されるんですよね大体
でそのエンドポイント内に存在する脆弱性は
水色であるんですね
それに加えてさらに観測され
存在していてかつ攻撃された
成功したかどうかは別にして
攻撃が観測されたやつっていうのが赤くなるっていう風なもので
これが何パーセントあるかみたいなものを
ベンダーごととか製品ごととかみたいな感じに
出したりとかするものがあって
パッと見てすごい分かりやすいなっていう
でベンダーで言うともちろん
言うまでもなくマイクロソフト製品が
一番レッドゾーンが多いんですけど
それが14.2%と
これは全CVEが0.7%がレッドゾーンなのに
48:00
20倍多いみたいな感じになってくる
使ってる人が多いから狙われやすいっていう風なものが
これぐらい顕著に出てるんやろうなとは思いました
ちなみにAppleが7%でLinux系が5%っていうことでしたね
マイクロソフトに次いで多いのが
これちょっと僕意外やったんですけど
Adobeが次いで多い13.6%
っていう数字だったんですよね
でこれ多分このレポート内にもこの後に触れられるんですけど
古い脆弱性っていうのが引き続き悪用されてますよっていうことが
結構強調されて書かれていました
なのでこのレッドゾーンに含まれている脆弱性っていう風なものの
ほとんどは新しいものじゃないらしいんですよね
例えば古いものだったら15年前の脆弱性とか
5年とかですね
そういったものがまだまだ悪用されているっていうことは
非常に大事なポイントだということがレポートにも書かれてありました
で頭の方で41%の組織で1ヶ月未満の
登場してから1ヶ月未満の
そのエクスプロイトが検知されてるよっていう話があったんですけども
ほとんど全ての組織98%の組織で
5年前から存在しているいわゆるNDAの脆弱性が検知され続けてると
いう風なことが挙げられていました
実際にいくつかCV番号とかが製品別に
代表的な悪用されている製品メーカー別みたいなのがあるんですけど
Adobeなんて2017とか2008とか
結構見てると古いのがやっぱり多いんですよね
MSもそうでしたね2017
2017、0147みたいなものがめちゃくちゃ多かったりっていうのがあるので
この辺もきちんと埋めていけてるかどうかっていうのの確認が必要かなと思いましたね
マイクロソフトだったらアップデートを一元で管理できたりする機能もあるんであれですけど
AdobeとかはやっぱりこんだけMSについて多いっていうのは
抜けがちなのかなアップデートがまだまだっていう風なことが感じられましたね
あとはこのレポートその他には
Botnetが停止されるまで大体平均何日ありますとか
そういったこともいろいろ触れられてたりもするので
通しで日本語でリリースされてるレポートなんで
さーっと眺めながら読んでもいいんじゃないかなという風に思いました
全体的にはやっぱりこの対処する期間っていうのが
短くなりつつあるみたいなところもあったりするんですけど
そこの中で諦めずにまだまだちょっと猶予があるっていう風な
スピード感を上げていくっていう風の参考に
感覚を養っていくのに読むのもいいんじゃないかなという風に思った次第でございます
あれかさっきのレッドゾーンっていうのはちょっと俺勘違いしたけど
あれが過去のCVE全部含まれてるんだね
今年だけじゃないんだねこれは
今年だけじゃないですね
今年だけとかにしたら多分めちゃ少ないと思うんですけどもっと
そうだよねそれも知りたかったなというか
そういう集計もしてほしかったけどね
まあでもさっきの話だと
今年とか最近のものだけじゃなくて
何年も前の贅沢性もいまだに攻撃されてるよっていうような状況が
51:00
わかるっていうことだよね
それもあってさっき言ったやつが多いのかな
確かにこの全体っていうのと
今年とかここ1年2年とか
そういう風なものもあるともっといいレポートになったかもしれないですね
傾向としてどうなのかなっていうのはあるよね
全体としてそうか
過去全部だと相当な件数になるけど
実際にエンドポイントで攻撃が監視されるものは
非常に少ないっていうのは
まあこれはね今後も変わらない状況だろうからね
これだからあんまりその
なんで今そう言ったかっていうと
過去からの積み上げっていうか
多分1年2年とかではそんなに傾向は変わらない気がするので
そうですね
これは従来からの傾向として
新しい例えばこういうところがとか
さっき言ったその日数
攻撃までの日数がやっぱり短くなりつつあるとかっていう
ちょっと変化も気にした方が
むしろそっちを気にした方がいいかもしれない
あとさっき言ったねその対策が
抜けがちなところを攻撃者は相も変わらず狙ってるっていうか
多分いまだにそういうのが攻撃が有効だということが分かってるから狙ってるんだろうし
もうねだって全くこんなの攻撃しても有効じゃないっていうのは古いものは
当然攻撃側も全くコストに見合わないから
そんな攻撃するとは思えないから
いまだにその何年も前のやつが使われてるっていうこと自体が
その攻撃の有効性を示してるよね多分ね
そうですね
結構なんかねこのレポート以外のね
こんな攻撃はありましたけど
うちでこんな観測しましたレポートとか見てると
やっぱりまだまだめっちゃ古いオフィスの脆弱性とか
使われ続けてるのが上がってくるじゃないですか
なんかちょっとねその自分が仕事で見てる範囲と
ちょっと違うなと思うんですけど
まだまだそういうのがあるんだなっていうのを
改めて気づかされますなあという感じでしたね
攻撃者のさ攻撃のやり方にもよると思うんだけど
特定のターゲットだけを狙うような攻撃もあれば
どこでも狙い所だったらどこでもいいっていうか
はいはいはい無差別というかね
無差別的なランサムやとかもそうかもしれないけどさ
ただそういうのによってもそのねできるだけ
従来からある比較的使い勝手の良い簡単なというか
実績のある脆弱性昔からの脆弱性で狙えるんであれば
それを使うのが一番手っ取り早いわけで
安定してるでしょうしね
何もその最新の難しい攻撃を使う必要がないのだったらさ
それ使っときゃいいじゃんって話だもんね
だからそれが使えなくなったら違うって考えればいい話かもしれないし
逆にね標的型攻撃とかでどうしてもここを狙わなければいけないってなったら
組織が使っているところに穴がないかって見つけると思うんだけど
54:03
そうですね
そのあたりは多分攻撃側の戦略っていうか
やり方によって変わってくるところだよね
そうですねあとは攻撃側のリソースですかねやっぱり
そうだねどのくらい最近の攻撃に注力できるかみたいなところもあるだろうし
あとはそういう古いツールとかあったら
たくさん出回ってるだろうから
簡単に手に入りますしね
そうそう誰でも使えるっていう
多分そういう手にしやすさ入りやすさっていうのもあるだろうしね
こういうのはあれですかやっぱり攻撃者の裾野が広がってる感あるじゃないですか
そういうのも関係しているのかもしれないですね
そうだねそういうのもあるかもね
まあまああんまり明るい話ではないですけれども
こういう変化をキャッチアップしていかないとなとは思いますね
あとやっぱさっきのそのEP設備の新しい取り組みに対する評価って
つじさんが紹介した時に言ったけどさ
実際にどうかっていうのを検証して続けて初めて効果がわかると思うので
こういうそのベンダーとかが
いろいろスコアと調べてみたところこうでしたみたいなのを検証するっていうことが
多分重要なんだよね
でまだまだダメだなーなのか
いやさっきみたいにうまくいくケースもあるじゃんなのか
確かに確かに
こういうことを繰り返し検証しつつ
だんだん良くなっていくものだと思うので
こういう第三者のこういうのがないと
いいですよっていくらね
やってる側だけが言ってもダメなんで
そうですね
こういう検証はすごく大事かなと思いましたね
確かに確かに
そうですね
あとあのちょっと気になったのは
レポートの中にもそうなんですけど
このレポートを紹介するPR的な記事の中にも
何箇所かESPPになってたっていうのは気になった
ES
あんまり定着してないんかね
そうなんですレポートの中でもESPPになってたんで
フォーマーの
そう
それは指摘してあげたら間違ってますよって
そうですよね
なんかちょっとねまた新しい概念できたんかなみたいな
なんかほらCVSSを逆さまから呼ぶみたいなもんあるじゃないですか
なんかちょっといじったみたいな感じのね
SSVCね
SSVCそう
だからそういうので新しい概念でたんかなって
一緒にギョッとしたんですけど
ただのミスタイプだったということ
ちょっと珍しいね
こういうレポート出す前に普通チェックすると思うんだけど
そうそうそういくつか何個かあったんで
そうなんだちょっと48の人ももしかしたら聞いてるかもしれないからさ
そうですねもし聞いてたらこっそり直していただいて
直した方が格好悪いですよこういうのは
こっそり直してこっそり直したって教えてください
確かに
全然こっそりじゃない
全然こっそりじゃない
よく気づいたね
いやー結構そういうの気づくタイプなんですよね
いやーさすがさすがですね
そんな感じでございますありがとうございます
ありがとうございます
ということで今日もですねセキュリティのお話を3つしてきて
最後におすすめのあれなわけなんですけども
今日はですね飲み物を紹介しようかなと思いまして
57:02
クラフトボスですね
コーヒーのボスあるじゃないですか
あれのクラフトボスパインのフルーツオレっていう
コーヒーちゃうやん
ボスっていうのはコーヒーやけども
前にねぎすさんがおすすめのあれを教えて
僕が紹介したときもあれもボスじゃなかった?
そうだっけ
違かったっけ
なんか結構すっきり飲み
喉越しすっきりみたいな感じのさ
やつ紹介してくれへんかった?
あったねなんかあったあった
紅茶系のやつやった気がするんですけど
ピーチティーみたいなやつそうそうそう
あれもクラフトボス?
じゃなかった?
クラフトボスかどうかわからへんけどボス系やった気がする
そうかもしんない
間違ってるかもしんないですけど
それでこれもすっきりというわけじゃないですけど
ちょっとパインもあって夏感あるかなと思って
結構最近ねいろんなものを探すのが好きすぎて
やっぱり行く店偏ったら見るものも偏るんですよ
例えばコンビニ一つ通ってもね
例えばセブンばっかり行くローソンばっかり行くとか
こっちにはあるけどこっちにはないみたいなものもあるじゃないですか
オリジナル商品以外でもね
なのでそれで僕はスーパーも行く
それではもう飽きたらずですね
薬局も見に行くようになった最近
薬局?
薬局とか行くとさ
えこれまだ売ってんの?みたいなやつとかないですか?
たまにあるかも
例えば僕のそれの中での代表格はアンバサなんですけど
薬局で飲み物見ないんだけど
ほんまですか?
薬局ってほんまにえげつない安い値段で売ってくれてるものとかあるじゃないですか
たまにあるよね
そういうのを見つつ
他コンビニやスーパーでは取り扱ってない
なんやこれみたいなものを探すのをしようかなと思って
もちろん薬局に用事があったってのもあったんですけども
そこに行ってきてそこで見たことないものを買って
自分の味の好みっぽいなって思うものを見つけて
買ったのがプラフトボスパインのフルーツオレというやつなんですけど
これ甘いの?
甘い
甘酸っぱい感じ
甘酸っぱい
結構ゴクゴクいける感じというかね
オレ感すごいんですよ
オレ感ってあのフルーツオレ感
オレって僕じゃないですよ
僕じゃないですよ
僕感
懐かしいな
フルーツオレのオレ感が強いんですけど
最後にパインの風味がフワッみたいな感じで
僕はすごい好きでしたね
一口飲んでこれまた買おうって思いました
サントリーのサイトでもちゃんと夏にぴったりなって書いてるんで
そうなんだ
確かに見た感じパッケージは夏っぽさあるけど
そうそう
パインオレか
そうですね
昔紹介したやつでいうとミックチュジュチュとかにちょっと似てるかな
それよりもちょっともっとあれみたいにドロッとしてるわけじゃないんで
1:00:01
もっとスッキリしてるんですけど
あれが好きな人は好きやろうなという感じの味かな
スッキリジュジュみたいな
よくわかんないけど
わかれへんけど
スッキリごくごく飲めますってことね
500mlですね本でね
もしくは期間限定とは書いてないんですけどなくなるかもしれないので
もし見かけたら飲んでみてもこれからどんどん集なってきますから
確かに確かに
いいんじゃないかなと思って紹介させていただきました
ありがとうございます
はいということで今週も以上ですかね
また次回のお楽しみでございますバイバイ
バイバイ