オープニングと近況報告
こんばんは、Replay.fm 第 97 回です。
はい。 97 回ですね。
あれ、見てるページが、あ、間違ってた。 98 回の方見てた。すみません。
ああ、そうだね。先にして、来週分も作っちゃった。 97 ですね。
やべえ、俺、これ、そっか、こっちは読んでないけど、
まあ、一回… ああ、一周飛ばして。まあ、任せろ。
うーん、まあ、まあいいや、はい、なんか良い、良いなと思いました。
ああ、そう、これはね、読みたかったんだよね、その、あの、これね。 3 つ目かな。
うーんと、4 つ目でしたね。 ああ、4 つ目か、ええ、まあ、そうすか。
じゃあ、解説して死んぜよう。 やったぜ。
ええ、はい、ワールドカップも終わったし、ヌルヌルとやっていきましょう。
もう夏が来たね。 雑談、雑談ネタがないんだ、もう。
ワールドカップが終わったらもう話すことないんですか? 話すことないでしょう、なんかあるかな、世間のニュース。
まじで、お祭りらしいですね、あの、わからない、日本全国でどうかわからないんですけど、京都しがら辺はもう夏祭りらしいで。
うーん。 念願の、ずっと行きたかった、三鷹祭りっていう京都のお祭りに行ってきました。
三鷹祭り。 そう、あの三鷹の由来になった三鷹ですね、三鷹団子の。
どういうこと? あの、下鎌神社、なんかね、忘れちゃったな、なんか、まあ、清めるみたいな意味なんだけど、
あの、下鎌神社っていう、あの、まあ知る人ぞ知る、世界遺産だっけ?神社でやってるお祭りで、
あの、めっちゃ冷たい川を裸足で渡って、ロウソクをつけるっていうお祭りなんですけど。
うーん。 まあ人が、にぎや、ほど、ほどよくにぎやっててよかったですね。
なんか、ヘキヘキとするほど混んではないけど、まあでもちゃんとにぎやっててから、
まあ、夜行ったら多分でもヘキヘキとするほど混んでると思うんですけど。 うーん。
そう、三鷹。 三鷹しい団子はあるんですか?
どっかにあるはずだけどね、なんかもう探さずに撤退しちゃったな。
あ、そうなんだ。 うん、夜とかだったら食べれるのかな?
ちなみに、実は三鷹祭りもう1個、滋賀でも三鷹祭りがあって、
そっちの神社の目の前にある三鷹団子は食べたわ。
うーん。 謎に。
焼き目がすごいついてて美味しかったですね。
いいな、食べたくなってきた。
あ、多分そうだね、茶屋、その屋台とかじゃなくてお茶屋があるから、
そこでもしかしたら売ってたのかもしれないけど、そこはちょっと、もういいやと思って。
屋台でかき氷を買ったり、漁夫釣りをしましたね。
いやー、いいっすね。 うん、夏満喫したい。
うーん、いやー祭りか。
普通に暑くて外出たくない以外の感情がないからな。
それは本当にそうだね。 うん。
ちょっと始まったって感じだね。
今年はなんかだいぶ始めるのが遅かった感じがするけど、
ちゃんと始まるんだなって。
40度ラッシュというかね。
いや、まじで体調気をつけましょう。
はい、気をつけていきましょう。
はい。 命大事に。
命大事に。
じゃあ、そんな感じでお便りお待ちしております。
おすすめの祭り教えてください。
暑くない、暑くないやつ。
暑くないやつ、はい。
GoogleフォームXでお待ちしています。
暑くないやつ、ほんまいいや。
はい。
SaaSセキュリティ評価チェックを自動化するスキル
じゃあ今日はね、4つほどあるんで、
久しぶりに4つぐらいあるんで、ぬるぬると読んでいけばって感じですけど、
1個目が、えーっと、ジェンダの、そうですね。
ジェンダの、まあ会社ブログと言っていいのかな。
で、上質のスキル、クラウドでサースセキュリティ評価チェックスキルを作ってみたという記事ですね。
これ多分ほぼ似たようなやつの別の会社のやつを前も紹介した気がするんですけど、
言ってしまえばそれとほぼ同じ話で、
上質のあるある提携業務としてサースセキュリティチェックというものがあって、
何かというと、この新しいサース使いたいって言われたときに、
データ保存場所はどこですかとか、
利用規約はどうなってますかとか、
今流行りのAI系だったら入力したデータは各社に使われるんですかとか、
アカウント機能はありますか、エセンスはありますか、
そういうものを多分各社、
秘伝のチェックリストを使ってチェックするみたいな、
割と面白くない業務があるんですけど、
それをしてくれるスキルを実装して、
クラウドで回してみてますよという話ですね。
で、何かわざわざピックしたのは、
これ何か作ったやつをOSSにしてみたんで、
一周振りくださいみたいな感じで書いてあって、
中身を読んで、
結構僕らも上司の業務の端くらいを貸してるんで、
こういうところは一周やなとか、こういうとこ見るんだとか、
あとスキル自体の構成とかもかなりシンプルなんで、
普通にクローンしてちょっとアレンジしてすぐ使えそうだなみたいなことを思ったりとか、
あとは前も話かもしれないけどやっぱりスキル化すると、
各社も多分非エンジニアもLLMに触るっていう世界になりつつあると思うんで、
こういう手順でインストールして、
これでセルフチェックしてそれを出してきてねとか、
そういう形でできるなとか思ったり、
実行中の誰かっていう違いしかないんですけど、
このスキル自体を例えば途中で、
自動で埋めるところ埋めて埋まらないところはここ埋めてねっていうのを出して、
その申請書に自分で埋めた状態のものを出してねみたいなとか、
やりてーみたいなことを思いましたって感じですね。
各位やっていきましょうぐらいの気持ちですかね。
各位やっていきましょうぐらいの気持ちかな。
うん。
なんか特別すべき点があるとしたら、
結構公式サイト以外からもウェブ検索して情報集めてこいみたいな指示を混ぜてるらしくて、
それなんかへーって感じでしたね。
今スキルMD見てるけど、なるほどなーって感じだね。
うん。
なんかまあおおむね、
なんか大通り、大通りね。
チェックしたい大通りで漏れはなさそうな感じがする。
うーん。
なるほどなーって感じだよね。
いやなんか読んでみてほしいだから。
気になる人は。
あのー、過不足ない感じがします。
うーん。
なんかさー、そのー、
うーん。
いやー。
うーん。
まあいいや。
なに?
ちょっともうなんかその、
あの、やきもきするなに?
いやーこれなんか、
最終的にどうしてんのかなーって思って。
その、
うん。
うーん。
なんかABC判定ぐらいまでは出させてたよね、確か。
うーん。
これなに、じゃあCだったら使わせないって言ってんのかな。
まあー、最終的なジャッジは人間がしてんじゃないかなって気はするけどねー。
さすがに。
ああ、最終的なジャッジは人間がするにしても、
なんていうか。
うん。
これで結果がすごくイマイチだったらダメですって言うのかなーって思って。
言うんじゃないかなー。
うーん。
いやなんか聞きたいのはそっちなんだよな、どっちかっていうと。
なんか別にスキル作りましたーはまあまあまあっていう感じかなって思ってて。
ああー。
なんか。
まあでも。
そっちじゃない?
セキュララに語ってほしいのって。
でもさー。
月に何件こういう申請が来てて、うち何件をリジェクトしてますみたいな話とかさー。
ああー。
難しいねー。
それは理由はこういうのがあって、
なんかまあバーってまとめるとこういう内訳になっててみたいな話が聞きたいよね。
じゃあお前んとこ出せって言われちゃうんかもしんないんだけど、
まあなんか気になる人はカジュアル面談とかしましょう。
そうですね。
なんかジョーシーストラックとかで聞けば教えてくれそうだけどね。
うんうん。
一回その仕事で、あの職場であのー、
いやいや私も知ってる職場の人と話、他社の話とか聞いたけど。
うんうん。
まあ厳しいとかめっちゃ厳しい、バンバン弾くとか。
あとなんか会社の規模感にもよるっぽいね。
そのー、でかいとその重複があるから、
いやなんかそれやるさあさるからっていう理由で弾くとか。
うんうん。
あとその、まあなんかサービス名は出せないけど、
たぶんヤギ足が入社する前にね、1個弾いたことあるよ。
うんうん。
いろいろちょっと預ける情報の割にいろいろアンクリエだったり。
いやこれはちょっと、まああれですよ。
まあなんか主にセキュリティ周りが。
これで、これでこの情報を預けるのはちょっとなくないですかみたいな。
けど、まあどうしますかみたいな。
だから結局その対話は割とそうだね。
申請者として。
だから余裕だよなあそういうのって基本的に。
基本的にはそうだね。
なんかもうリスク飲むか飲まないかの判断に、
セキュリティ観点においてはなる気はするね。
し、まあ大抵のケースは今時だったら、
まともなサービスだったらまあ、
なんか良くも悪くも、
脳と言いづらいものを揃えてきてる気はするから。
そうね。
うん。
まあその辺は結構各社色が出るかもね。
うん。
うん。
まあなんか全社共通してるのはこの業務が辛いっていう部分なんだとは思うんだけど。
まあね。
うん。
うん。
判断基準も分かんねえよって感じだし。
うん。
そうなんだよね。
なんか、
そうなんだよね。
うーん。
そうなんだよね。
なんだかなあ。
ややこしい時代ではあるね。
うん。
10年前はそんなに考えなくてよかった領域だと思うんだよね。
まだ。
そうかなあ。
10年前ってだってもう2026年、
あ、2016年でしょ。
うん。
まあ確かにそうかもね。
そうかもしんないね。
まあなんかスラックとかはあったけどさ、
うん。
まあCIサービスもまああったかとか。
うん。
まあでも、
なんだろうなあ。
ちょっと会社PC開きたいなあ、なんか。
そのSaaS一覧みたいに出して。
なんか何でもかんでもSaaSみたいな感じじゃなかったかな。
あったと思うんだよね。
うーん。
なんか。
確かに。
会計とかなんかそのクラウドサービスじゃなくてソフトを買うみたいな概念とかもあったと思うし、
当時は。
確かにね。
スマートHRをリリースしたのが2015年ですね。
ぱっと思いつくところで言うと。
ああ、なるほどね。
うん。
本当そっから徐々にここまで来た感じか。
あとなんだ、
なんかSaaSで。
スマートHRがSaaSなのかちょっとなんとも言えんけど。
マネファードとかフリーとかはまあ、
いろんな会社のせいになってるよねきっと。
うーん。
まだ国系は昔からある気がするけど。
フリーは。
なんかそれをCRMとかさ、
プロダクト領域で言うと。
フリーいつ出したのかわかんないなあ。
ちょっとパッと出てこないなあ。
あと10年前だったのもはやさあその、
なんかクラウドコンピューティング、
ちょっと小悪音ぐらいのまだ空気感だったよね。
オンプレからクラウド以降の。
確かに。
AWSがなんかいいらしいぞみたいなタイミングだったかもね。
そう言われてみれば。
僕新卒、
その時いた新卒会社はガッツリオンプレだったから。
確かに。
フリー会計が2013年の3月。
うーん。
まあだからやっぱそういう時期なんだよなあ多分。
そうだね。
だからまあ日本、
世界問わずSARS大事だよなって。
うーん。
まあまあセキュラーな話は聞きたいね。
そういう意味で言うと。
うーん。
多くねって言う。
何でもかんでもSARSじゃねって言う。
全部通しますか。
濁した回答でいいから。
それこそ頼り欲しいわ。
じゃあAWSの人はちょっと聞いてるかわからんけど。
まあまあ。
そうね。
うーん。
AIを用いたC2ボットネット構築事例
じゃあ次行きますかね。
はい。
チョービーカロリーとかですけど。
侵害までわずか6分。
パトリオットバイトの攻撃者はいかにAIを使って。
ベイト失礼しました。
パトリオットベイトの攻撃者はいかにAIを使って
C&Cボットネットを構築展開したか。
トレンドマイクロジャパンの記事ですかね。
でこれ何かって言うと。
まあなんかたびたび紹介してるんでまた買うって感じもするんですけど。
AIを使って攻撃をある程度自動化というか。
しましたよっていう話の事例の紹介で。
結構面白かったんで買いつまんで紹介できればなと思うんですけど。
やったことは結論その記事のタイトルにある通り。
C2サーバーをAIアジェントを使ってどうやら構築したようだというふうにですね。
ただなんか一から構築したっていうよりかは。
もともと侵入してC2サーバーが動いてたんだけど。
侵入先のファイアウォールの設定とかが変わって動かなくなっちゃったみたいなところで。
AIアジェントを使ってこれ動くようにしてみたいな感じで指示を出して。
新しいアーキテクチャをまず考えさせて。
そのアーキテクチャへの移行プランとか。
移行の部分の実行もAIアジェントにやらせて。
移行した後に疎通うまくいかないからこれ直してみたいな指示を出して。
疎通してめでたく新しく動くC2サーバーに移行できてしまったっていう話ですね。
記事の6分はちょっとミスリードで。
古いC2サーバーを新しいC2サーバーに書き換えたのが6分で。
そっからさっき言った疎通しないみたいなので動かなかったらしくて。
でもそれも動くようにしたのに10分かかったって感じなんで。
結論その16分で動かなくなったC2サーバーをAIアジェントに指示を出すだけで動くように変えましたっていう。
攻撃の痕跡が見つかったよって話ですね。
なんでこれが分かったかで言うと攻撃された環境にGemini CLIを使ってたらしいんだけど。
それのセッションログみたいなのがいくつか残っていてそっから読み解いたっていう部分で。
プロンプトとかタイムラインが見えてきたっていう感じですと。
結構いくつか印象深いなって思ったのはまず一つはほぼ攻撃者は何もしてない。
なんか手動でデバッグとかはしてないっぽかったっていうのが一つ。
ただ一方で前AWSさんに紹介した低レベルな攻撃者かというとそういうのに分かっている攻撃者が指示を出してたっぽい。
なので感覚的には僕らレベルの人が仕事でAI使うぐらいの感じでやってたっぽいような話と。
またC2サーバーでコマンドを送ると思うんですけど、コマンドを送るのにもAIを使ってて。
これはめっちゃ便利そうって思っちゃったんだけど。
従来だったら多分自分が実装したC2サーバーの仕様に合わせてコマンドをポチポチ送るっていうことをすると思うんだけど。
その部分を自然言語でAIに対して例えば記事で言われていると今オンラインになっている端末を確認してみたいな指示を出すと
エージェント側で吉野にコマンドを書き換えたりとか、実際のシェルのコマンドを吐き出すみたいな挙動をしてて。
そこでも便利に使っていますよみたいな話とかですね。
あとは何かこれはどうなんでしょうっていう確かにという気持ちとどうなんですかっていうところですけど、
この記事の筆者曰くこのAIを使って成功したという部分もさることながら、
この一連の新しいアーキテクチャ、C2サーバーの動く新しいアーキテクチャとかそれの情報を最終的に
ペライチのドキュメントというかテキストにまとめてそのテキストを使えば、
どの環境でもそのエージェントに渡せばまた新しく構築できるみたいなのが結構まずいんじゃないかみたいな話をしてて、
何でかっていうと今までだったらマルウェア作ってそれを売るとか配布するみたいな形だったのが、
テキストを配布するって形になると生成されるコードが一位に決まらないんで、
ハッシュベースで検知するとかできなくなるよねとか、
またなるほどなと思ったのはテキストで例えばアンダーグラウンドでばらまかれちゃうと、
誰が作ったものなのかみたいな足がつけづらくなって結構トレーサビリティが落ちるみたいな話をしてたりとか、
結構それはなるほどなみたいな感じでしたね。
まあ、なくてもそんな時代はとっくに終わったと思ってたけどな。
ああ、その愛を知る。
まあそれはそうね。
あとはなんかちょっとおもろいなって思ったのは、
ジェミニシエライのガードレールどうやって回避したかというと結構シンプルで、
あなたは認可されたペンテスターっていうか公開させてやってほしいって。
いや、ガバガバすぎて面白すぎる。
でもなんか一方で言ってなんかガードレールが聞いてたケースもあったらしくて、
まあそういうのは攻撃者が諦めたっぽいっていうのもあったらしい。
で、まあ意味がないわけじゃないけど、
まあでも今のジェミニシエライと同じレベルのローカルエレルーム同棲、
ローカルエレルームって言ったら違うかね、
野良エレルーム同棲そのうち出るから時間の問題だよねみたいな感じとか。
あとはなんかちょっと印象深かったのは結構その、
AI時代の犯罪ビジネスでは成功を左右するのはもはや技術や経験だけではなくて、
発想力か想像力、もしくはAI人と巧みに使いこなせるかみたいなのが書いてあって、
これはなんかその開発の文脈においても全くほぼ同じというか。
まあね。
攻撃者側もまあそこはまあそれは同じだよねみたいな部分と、
一方でそのものづくりの方は結構その作るもののセンスとか、
なんか細部をきちんと定義できないと、
その動くものが作れても価値あるものにならないみたいな部分で、
なんか依然としてまあまあソフトエンジニアの仕事はなくならないなって思ってる派なんだけど、
一方で攻撃、なんかサイバー攻撃に関しては結構その、
そこの部分のゴールがある程度明確というか、
開発と比べて優位な点が、簡単な点がいくつかある気がしてて、
ゴールもこの端末に侵入するってゴールがあったらそこでもピン刺しできるよねとか、
またコードも別に運用する必要ないから、
使い捨てでいいからコード品質に気を配る必要ないよねとか、
なんか結構なんだろうな、
まあ攻撃者にとっても便利なんだなっていうのを改めて思ったっていう感じですね。
そうね。
はい。
詳しく書いてあったんで気になる方は読んでみてください。
まあまあまあ。
まあまあ。
まあこれもまあなんだかなって感じの記事ではあるな正直。
フリー社のサプライチェーン攻撃訓練
なんだかなって記事か。
なんだかなとは。
まあ事例としてはなんかまあそりゃそうだよねっていう感じではあるし。
そうね。
はい。
じゃあ次行きますか。
行きましょう。
これね。
多層業務VS最先端のサプライチェーン攻撃フリーの大規模障害訓練の舞台裏というフリーデベロッパーズハブの記事ですね。
フリーのレッドチームの人が書いてる記事なのかな。
で、これは読んでたんだけどちゃんと。
はい。
もう忘れてたな。
なんか割と多分毎年やってるのかなきっとね。
全社障害訓練みたいな感じで。
ちょっとセキュリティーがその中でどういう位置づけになってるかとかわかんないんだけど。
なんか今年はOSSのサプライチェーン攻撃を。
ちょっと待ってね。
そうだね。
今年はそもそも全社でやってたけど、もう全社でかくなりすぎちゃったからスケールダウンしてエンジニア組織に。
本当だ。
スコップを絞って今HOTのサプライチェーン攻撃のネタに実施してる。
特にGitHub経由からの侵入みたいなのを多分やってたよっていう話なのかな、きっとね。
しゅんすけ鈴木さん巻き込んだりとかしてるから多分そうなのかなと思うんだけど。
なんか誰かの端末で作ったスクリプトを発火させたみたいな感じだった気がする。
で、そっからGitHubを辿るような挙動するスクリプトを発火させたって感じだったかな、確か。
ちょっとね、細かいシナリオ欲しいなーって普通に思ったんだけど。
そうだね、この2の開発者が実行しちゃって、C2と繋がってその後GitHubに侵入されるっていうシナリオだね。この図を見る限りは。
そうね、いいっすね。
これはなんか普通にいいなと思ったし、なんか結構試行実験的にさ、あれができるこれができるって我々はやるけどさ、実際にやってみるって正直やってないし、結構大事だなと思うので。
結構その面白かったのがこれ多分、いつやるかを告知せずにやったっぽいけど、結構すぐバレたみたいなことが書いてあって、
そういうのもやってみないと分かんないよね。なんか絶対バレないだろうなみたいな。
あ、5分後か。5分後で不審なプロジェクト見つかっちゃって、でそっからすぐに対応が始まってみたいなんで。
結構フリーのレベルの高さというか、まあどう偶然なのかなんか分かんないですけど。
レスポンスの速さとか、あとはそこに対して結構攻撃者側もバレたの前提でガンガンいろいろやってたみたいで。
あとなんかちょっと笑ったのがなんか反抗声明文みたいなスラックに投稿するみたいな感じでやってたけど、
めっちゃセキュリティチームがどう対応するか楽しみにしてたけど、めっちゃスルーされてたって言ってた。
さすがやなっていう感じだった。
あとあれだ、ブルーチームが実際になんか、なるほどなと思ったのは対応したやつで、
あれかCMの解析をAgentとMCBで接続して高速化するみたいなことをしてるけど、
ログを削除する挙動をしてたのかな、スクリプトか何かが。
なんでAirAgentが削除されたログをひたすら探すっていうことでハングしちゃって、
結構ブルーチームが困ってたみたいな。
これとかはまさに実際にやってみないとつまずかないポイントだよなと思った。
いやいいな、うちもやりてえなこれ。
これ面白いね。
うちもやりてえんだけどさ、セキュリティーチームそんなに大きくないからさ、
セキュリティーチーム抜きで皆さんに対応していただく必要があるという。
そうかね、それはそうかも。
本末伝統感がすごいんで。
本当にこれ参考にタイトにやるのはもう僕らのうちの1人だけ発起人になって、
こそこそ進めてもらうとかなのかな。
結構ね、なんか開発者巻き込んで、
極秘プロジェクトチーム数人ぐらいでやったのかな。
普通になんか開発者側から誰か巻き込んで、
なんかそのいろいろ吹っ飛ぶ範囲にいないチームの人とかに協力求めてやるとかもありかもね、それで言うと。
そうだね。
やりてえ、やりてえけどなんか、
やりてえけど、これ過去の記事読むとなんかいろいろ書いてあるのかな。
なんか結構さ、そのなんか、
普通にこう忙しい中でなんかこういうふうにやられると普通になんか腹出す人ってなんかいるし、
そういう気持ちも全然わかるよなと思うから。
前…
その辺のハレーションをどう解消したかみたいな話とかは多分遡ってくと書いてあるのかな。
前、多分ね前回のこのフリーさんの生涯訓練記事読んだ時にヤギ足全く同じこと言ってた。
言ってた?
多分言及なかったと思う。
なかったのか、そっか。
でも前回、前々回は多分日付が決まってたんだよね、この日にやるって。
何か起きるぞっていう。
起きた時に察知できるかと、察知した後にどう起きるかみたいな感じだけど、
今回は多分タイミング知らせてない気がするから、
なんかそれで言うとその辺のそのエクスキューズというか調整というか、
もしかしたら横かかったのかもね。
なんか来週のどっかで訓練やるけどみたいな。
まあそれぐらいはやりたい、予告したいよね。
だけどそれをしたとてやっぱ忙しい時期っていうのは何かどうなんだみたいな話はあるし、
じゃあ忙しくない時期があんのかみたいな話も結構難しいし、何か。
いや何か、いや究極優先度でしょ。いつやっても忙しいんだからさ。
そうなんだよね、そう。
そこに会社として、コスト投下すべきですかっていう、コストリター見合いますかっていう。
もしくはもしかしたら裏側ではアナウンスが流れてるかもね。
本物の、例えば本物の障害対応が被ったりしたらそっちさすがに優先してるよねとか。
なんだろうね、このプロジェクトは今火がついてるから大丈夫とか、
そういう気遣いはもしかしたらあるのかもしれないけど。
何かね、難しいね。
でもさ、結局さ、忙しい中でちゃんとやんないと訓練の意味がないっていう話もある。
むしろね。
それはそうね。
ただ何か、いやでもさ、それも一定理屈としてはその何ていうか、
完全に正義と正義がぶつかる世界だなって思うから悩ましいなとは思うね、それで言うとね。
忙しい中でやんないといけないっていうのは、そりゃそうだよねとは思うんだけど。
でもじゃあ何か実際忙しい中で本当にそれが起こったら何か、
まあそれが全部止めててもそっちやるわっていうのは多分みんな思うし、何か難しいね。
まあでも思うだけでできないこともあるじゃないですか。
そりゃそうだけどね。
でもそれこそ何かその、何か意思決定をもう完全に迫られてしまえばさ、それしかないわけだから。
いや、でも僕は経験則的にはそれでもできない時はあるよ。
どの会社のどれとは言わないけど、そのセキュリティじゃないけど障害対応とかで、その何かリードというかさ、これどうにかしようみたいな。
だからお見合いになったこととか経験としてはあるし。
旗から見て、まあ難しい、もうちょっと何かいろいろ濁していますけど、何か旗から、
僕が何かその、拾ったボールを捌けてるかは他社の評価にお任せしますけど、
そのボール拾うマンのマインドセットなんで、その障害対応とかガンガン拾いがちなんだけど、
まあ各社そういう人たちがいっぱいいると思うんだけど、まあそういう人に依存するの良くないよねって気持ちで、
何かあえてちょっと少しボール、落ちたボールを眺める時とかがあるんですよ。
適切な環境でね。
で、そういう時に結構何か1回とかじゃなく経験したのは、その誰も拾わんというか誰かが拾いそうだから私は仕事するねみたいな。
お見合いするって全然何か普通の障害レベル大きいし。
それはそうね。
だから何かそう、そういう意味でも何か訓練の時に誰が何をやんねんみたいな部分が何か機能するのかを見るのは全然ありの気はするんだよね。
そうね。いやそれはそうですね。全く思ってない。正しい。
何かもしかしたらだけどその、実施するタイミングで何か気を使うっていうよりかは何か普段の文化とかも大事な気はしてて、その何か何だろうな。
いやハレーションゼロにすることはできないと思うけど、その何かもしハレーションが大きくなるとしたら何でやんねんみたいな気持ちから来る可能性があるんであれば、
何かそれを何でやるのか、何でやらなきゃいけないのかとかそういうのをまあ事前に社内に話すのか文化として根付かせるのかわかんないけど。
まあその面倒くさいしもう今走れる今かよって思ったけど、でもまあ大事だよねって言ってもらえるかどうかみたいな部分だけはするけどね。
知らんけど、知らんくないけど。
もっと何か小さい範囲でやってみたいな。
そうね。何か紹介したか忘れたけど、紹介してなかったかな。DNAの何かマネージャー限定の月1回の机上訓練みたいなやつ。
あったね。先週か先々週ぐらいかな確か。
そうだよね。あれとかは何かいい、また別の形だよね。
毎月コンスタントに一定レイヤー以上は必ず抑えて機上訓練っていう、それなりにこのフリーさんの形よりはライトの形でやるっていう。
全然いいよね。
そうね。
結構何かフリーさんのやつはお祭り的な部分もあったりするのかなっていう気はするよね。
まあ楽しめてやれてそうな雰囲気もちょっとあるよね、見てるとね何か。
うん。
何を目的にしてどこにどうするかの一つの形だよなっていう。
まあでも何にしてもこのシナリオはやってみたいね、本当に。
やってみたいね。というか直近一番ゴリゴリにやってた部分だから。
そうだね。
まあそれでも何かまだここはとか普通に思いつく部分はあるし。
普通に何か復帰したらソロで何かやりたいぐらいの。
何か結構ずっとね、実は仕事してる時から思ってたけど、その会社のオルグに自分のアカウントもう一個生やして普通の権限だけ持たせて、それでどこまでみんなにバレずにやれるのかみたいなのやってみてみたいな。
ちょっと考えたこと何回かある。
ああ。
脳内妄想だと結構いける気がするから、まあそのいける気がする部分をまあ優先的にもちろん仕事で塞いできたけど、塞いだ上で何か探せばありそうとか、またバレるかどうかとか。
そうね。
バレ、いやーちょっと何かだんだん話せないところになってきちゃったからあれだけ。
そうだね。
だんだん話せないところになってきちゃうけど、まあまあまあ。
そうですね。
いつかやろうな。
やりたいね。
あれはとてもいい気がしちゃったな。
いやー参考になります。
CISAの認証情報漏洩事例
はい。ありがとうございました。
ありがとうございます。
しゅんすけ鈴木さんをこう召喚するっていうことができるのちょっと面白いなと思ったな。
確かにね。この上ない人生だね、このシナリオにおいては。
いやーいいよな。
じゃあ最後いきますか。
はい、いきましょう。
個人用リポジトリで見つかった米国セキュリティ機関の認証情報についてまとめてみた。我らがピオログの記事ですね。
なんか全然余談だけどピオログが急に急にバリバリ更新しだしてピオカンゴさん忙しかったのかなみたいな。
息吹き返した。
そう、しばらく記事なかったんだけど。
なんかモチベーションあれだったのかもね、もしかしたら。
なんかXがうんぬんかんぬんみたいな話あったじゃん、ちょっと前に。
あ、そうなんだ。
それは観測してなかった。
分かんないけど、忙しかったのかもしれないし単純に。
何の話をまとめたかというと、CISAですね、米国のめっちゃ雑に言うとセキュリティデジタル庁みたいなところの
IWSのAPIキーが、あとはパスワードとかが6ヶ月間パブリックな状態になってましたよっていう話ですね。
それがたまたま研究者か誰かが見つけて報告してリボークと公開を非公開するっていうのをやって
どうにか一応何も起きずに休んだっていう感じっぽいですね。
これ何が原因だったかで言うと、CISAの職員が直接やらかしたわけではなくて
CISAが業務委託していた別の会社のスタッフが個人のリポジトリ、GitHubリポジトリにそのキーとかを
間違えて多分プッシュするなりして置きっぱにしていて、誰も半年間見つけられずに放置されちゃってましたっていうのが原因って感じですね。
結構、あ、GitGuardianが見つけたんだ。
結構、対策とかサイズ防止に関してはローテーション無効化、リポジトリ権限制御を諸々やりますっていう話が。
あとEDR使って売んどるみたいなのを別のやつで見たんだよな。
アップロード防ぐみたいな。そんな機能あるみたいな感じで。
理論上はやれそうだけどね。通信全部解いてれば何とかできますし。
そうだよね。
あとサイバーヘイブンみたいなプロダクトとかは多分そういうところは結構特化してそうな気はするけど、どうだろうね。
あ、そうだ。やっぱりEDR使ってアップロードを監視管理する感じ。
結構ガチガチにやるというか。
そうだね。はい。
なかなかこれはね、厳しいですね。
ちなみに小ネタとして、通報したくても通報窓口が分からなくて、
CISAの何かの辻転を経由して報告したらしいよ。
それもそれでっていう感じはするんだけど。
そうだね。それも改善に入ってるね。
セキュリティ.テキストはあるけど、みんな見ねえでしょみたいな話とか。
これね。
あとあれだ。
おもろかったのが、漏洩しちゃった個人の人がGitプッシュしたときに、
GitHubってシークレットプッシュしようとすると警告してくれるんですよね。
パブリックとかだともしかしたら無料だったかもしれないけど、
プッシュしようとしてるよって警告が出るんだけど、それ無視してプッシュしたって言ったらしくて。
人間の注意力の限界を示す案件でもあるなっていう。
結構これ真剣に防ごうと思うとだいぶしんどいよなって思ってて。
自分たちのオーガニゼーションリポジトリに何か入ってないかとか、
そういうのはいいけど、個人個人が仕事してて、
GitHubだったらまだ見つかるかもしれないけど、
全然どっかのパブリックで見えるサイトに置いちゃったとか。
なった時にそれを見つけてくださいって言われて見つけられるかというと、
結構きつい気はしてて。
だから究極的にキーレスにしていこうとか、ローテーション頑張ろうとか、
そういう風にやるしかないとは思うんだけど。
まあね。
とはいえ、とはいえって感じはする。
またキーのアクセスログの監視とかなのかな。本当にできることとしては。
まあどっちかというとそっちの方がなんか筋は良さそうな気はするけどね。
キーレスにできるんだったらキーレスの方がいいんだろうけど、
でも多分キーレスにできないからキー持ってたんでしょ?当然。
知らんけど。
まあそれはなんともわからない。
なんとも言えないけどね。
きっとそうなんじゃないかなとは思うんだけど。
アクセスログ監視もなんか言うは安しな気がすんだよな。
運用してみたことないからわかんないけど。
結構難しいと思うよ。
SOC的なチームが必要になっちゃうよね、おそらく。
ログの流量的にも。
仕組み作りも大変だと思うし。
衣装正常でルールのチューニングして、
衣装っぽいのアラート上げて、
一個一個見て大丈夫だねってやって改善を回していくみたいな。
そうね。
正解はようわからんな正直。
キーごとにプレイベーション使ったかね。
なんか委託だったけどPCは渡してたのかな?
どうなんだろうね。
EDRの話とかもさ、
PCまでコントロールできてるんだったらなんとかなるかなと思うけど。
まあでもなんか支配性レベルだったらさすがに
PODはできないようになってて欲しいなって思うけどね。
委託先管理みたいなんで
絶対にやりきれないみたいな可能性はなくはないのかな。
支配性、なんかアメリカのこの辺の
ちょっと温度感よくなんとも見えんなって感じはするけど。
あとあれか、漏電時間かかったとかも書いてあるな。
いやー困っちゃうね。
困っちゃうよね。
いざこれを何とかしてくださいって言われると
なんかもう結構頭抱えちゃうよね。
なんか漏れたキーが何ができたのかの言及がないけど
結構現実でやるとしたら
全部のキーを同じ温度感でやるのは無理だから
油足しにつけることになる気はしてて。
スラックのベイブックURLとかはもう
まあ分かんない。
全1年漏電しなくても
そんなにできることって高橋でできる。
Googleクラウドの
プロダクションDBのAPIキーとか言われたら
それは全然違うよねみたいので
色分けをしてました。
いやでもさ、なんかその
いやー
じゃあ毎日漏電しますかって言われたら無理じゃんってなっちゃうんだよな。
そうね。
ぶっちゃけ1週間でも致命的じゃん。
そうだね。
ハシコプルトとかで漏電を自動化するとか
アプローチしたじゃん。
人間が触ってると余計に漏電リスク増えると思うし。
GitGuardianとかも分かんないけど
高いお金を払えば
ローテーション自動化するようなサービスを買うことができそうだし
自前で作るっていうのもあまりいると思うし
そうだね。ハシコプルトとか
エンプラだったらありますね。
まあでもこの
主要のクラウドサービスは多分対応してると思うけど
なんか
その辺のSaaSとかってAPIキーの漏電を
自動化できるようなAPIが生えてないことの方が多いと思うから
やっぱ
なんていうか、きれいに解決しきれない領域であるのは間違いない。
クレデジタル管理は結構
なんか生きてるうちにどうにか
どうにかしたいなーって気持ちが
まあでもどこまで行っても
なんか何かは残るからね。
どっかに。
まあね。キーレスにしてもアクロドが侵害されたりとかね。
そういうのもあるけど
人が何かにアクセスするという前提がある以上は
どっかに何かが残り続けるから
まあそれはそうだね。確かに。
行き着く先は
インターネット切断になってしまう。
インターネット切断して解決できるならそんな簡単なことはないんだよな。
まあ結構難しい気はするな。
この問題自体はなんか
たぶん永遠にどっかで残り続ける気がするし
まあちょっとCSSがどうかわかんないけど
過去に
どっか忘れたな。ベンズだっけな。ベンズかUberか
どっかがその
似たようなAPIキー
APIキー経由
AWSのAPIキー経由で漏れちゃいました。リボークしてませんでしたみたいなやつがあったんだけど
そっちはなんかその
開発委託して
委託終了した後もリボークせずに残ってたみたいな
で、委託先頑張れたみたいなパターンで
そういうケースとかはちゃんとできると思うから
ふさげとかちゃんとやるっていう
リボークのタイミングを逃さないみたいなのが結構
地味だけど
このケースによってはもしかしたら対策に書いてない以上は
まあでもリボークの研究あるからちょっとどういうコンテキストかわかんないけど
できるところ努力作着実践を抑えましょうが
やっていきたいところですね
そんな感じですか?
エンディング
はい、そんな感じです
4つ読みました
いやー早いですね
もはや紹介しませんけど
サプライチェーンがまた盛り上がっているので
皆さんお気を付けください
Async APIと
忘れちゃった
あとRubyGemもなんか来てなかった?
Rubyもちょこちょこ何回やられてるね
ね
いやーまあまあまあ
まだまだ頑張りましょうって感じですね
はい、じゃあそんな感じで大丈夫ですか?
はい、そんな感じで
今週もお疲れ様でした
お疲れ様でした
おやすみなさい
おやすみなさい