オープニングと近況報告
ITメディアセキュリティウィーク2026 夏、お疲れ様でございました。
もうお疲れ様でした。今週ね。楽しかった。
直前の配信の時間、直前に大体、ほら、機材のテストとかするじゃないですか。
マイクの音声の声くださいとか、接続でHDMIの出力とか。
その出力する時のタイミングに、返しのモニターを見て、
今日は30分しか喋られへんっていうのを思い出したのは内緒です。
あれ、何回か前からもう30分じゃん。
前々回でしたね。 前々回か。
そっか、なんか頭の中でもうずっと40分やのに、返しのモニター見たら、なんかカウントダウンが30分ってなって、
なにこれ?と思って。
ああ、そうや、30分になったんやったわと思って。
30分はね、結構。
短いよね。
短いよな。
短く感じちゃいますね、どうしても。
そう。でもなんかこう、我々ね、あのイベントにも出させてもらうようになって、
もう長いじゃないですか、この3人でやるようになって。
いや、もうだいぶだよね。
何回ぐらい出させていただいたんですかね。
相当やってんじゃない?だって1年で4回出るやんか。
ね、毎年。もう多分5、6年はずっとやってるよね。
そっか、もうそんなやってるんですね。
コロナ禍の前からじゃない?
だってオフラインのイベントで、ほら、品川やガジョエンや、みたいなとこでもやってたじゃないですか。
そうだ。それも合わせたらもっとだ。
そうそうそうそう。それでね、ちょっと1つ不満があるんですよ。
まあここで言うてもしゃあないねんけど。
じゃあ言うなよ。
いやいやもう、ここまで。
いやもう口ついて出てきたから言うねんけどさ。
なんで僕らはモーニングセッションないの?
それ毎回言ってるよな。
あれじゃない?毎回旬な話をしてるからじゃない?
モーニングセッションってあれじゃない?再放送みたいなやつですよね?確かね。
そうそうそう。
前回やったやつがそのまま流れる。
好評だったやつをなんか録画でやってるやつね。
あ、そうなの?あれ、好評が条件なの?
いやそれはそうでしょうよ。
あ、そうなんや。じゃあ好評じゃないってこと?僕ら。
え?そんな、マジで?
そういうことではない。
あ、そうなの?
我々はそれでなくても毎回呼んでもらってんだからさ。
確かに確かに。あ、そっか。あれはあれか。
モーニングセッションもあって、昼のセッションも出てるって人はおらんのか?もしかしたら。
それはないでしょ、たぶん。
だから文句を言う筋じゃないのよ、そもそも。
セキュリティウィークっていうぐらいから結構長いことやってるじゃないですか、あれ。開催期間。
1週間ぐらいやってるね。
そうそう。ほんで時間に分けてなのか、日に分けてなのかでさ、
例えば今回僕らアタックサーフェスマネジメントってことで、脆弱性管理の今みたいな話したでしょ。
で、他の箱とかだいたいデータセキュリティだの、サプライチェーンだの、またバックアップとかいろんな日があるじゃないですか。
だからもうそろそろあれっていう箱作ってもらってもいいんちゃうかなと思って。
その日一日あれがテーマってこと?
そうそうそうそう。だからほらセキュリティウィークって言ってんねんからさ、6日も7日も一緒やろ?
1日ぐらい増えたって。
むちゃくちゃ言ってるこの人。
モーニングセッション今まで出られへんかった分、1日もあれが全部ずっと僕らの過去のやつから脈々と流れるっていう回があっても。
確かにあれだね、僕ら認証認可の回とかさ。
あれ3回やりましたよね、分けて。
そういうテーマで結構続きものっぽくさ。
やってるやってる。
やってるから全部通して聞いたら結構わかりやすくていいかもしれないね。
確かにそれちょっと提案してみようかな。
いやいやいやそういうことじゃないのよ。
そうなんですか。
でも面白いね、そういう日あったら面白いな。
逆にありなんちゃうかなと思って。
ゼロトラストとかクラウドセキュリティとか並んでるところにあれっていうのが入ってるってことですよね。
それはちょっとおもろいな。
1回ぐらいやったらどんなもんかなって思って結構みんな1回試しにみたいなの見てくれるんちゃう?
確かに意外と好評だったりして。
でもその後さ、もう好評だったら下がる一方しかないかもしれないから1回だけやって逃げようぜ。
最初で最後。
最初で最後って言って。
そんな感じでこの間喋った後に久しぶりに3人でご飯行きましたね。
餃子食べに行こうって言ってて。
ずっと前から言ってたもんね。
7年越し8年越しぐらいでやっと行けたっていう。
ほんとですよ。ようやくですよ。
めちゃめちゃ食べましたね、餃子ばっかり。
でも美味しかったね。
一応箸休め的なのはあるとしてもさ、もうひたすら餃子ばっかり食べるってなかなかないよな。
焼き餃子、炊き餃子とニンニクありなしとかでも頼んでみたりとかね。
いろんな種類知るほど食べましたね。
美味しかった。
腹いっぱい食べて3人で5000円ぐらいでしたよ。
ほんとに安あがれたよな。
めっちゃ安かったな。
コスパいいよね。
もし行ってみたいと思う方は原宿餃子廊っていうお店に我々行ったんで。
美味しかった。
めちゃめちゃ。僕が場所よく行ってたところなんですけど。
また行きましょう。
近場やったら行ってみてもみなさんもいいんじゃないかなと思いますけどもね。
お便りコーナー：北朝鮮IT労働者、インフラ障害、ラムネ
こんなこんなで今日もお便りが来ております。
お願いします。
辻さんが紹介された北朝鮮のIT労働者の話はまるでドラマのようでしたが、日本国内でもありえますよね。
しばらく前に人材確保のためにIT子会社を本体に統合する例が多くありましたが、外部遺存よりクリアランスのためにも有効かもしれないなと思いました。
動画も見ますということで。
前にIT労働者の話を僕がした後に、それとぶら下げる補足の形で、ウォールストリートジャーナルで同じようなネタが動画にされてたやつを紹介したんですよ。
それをご覧になられた方のやつですかね。
なるほどね。
結構僕の周りでもこういう話聞かれることありますよ。
確かに一言ではない日本でも全然普通に起こり得るし、あとまあこれはやっぱり複雑な下請けとか業務委託とか契約関係の先の先の方でこういうIT労働者、北朝鮮からのIT労働者が関わってても正直わかんないからね。
そうですね。
せめて自分たちが直でやるところにはっていうグローバルに展開してたりする会社もいっぱいあるじゃないですか。
そういうところでこういう人たちが自分たちに直接来て紛れ込まれてたらどうしようみたいな危機感を持たれている方に結構質問されたりすることありますね。
完璧にはちょっと多分入ってくるのは防ぐのは難しいと思うんだけど、仮に入ってきたとしてその例えば社員だったり、社員ってことはさすがにないかな。
まあ業務委託とかそういう下請け的なところの人が入り込む余地があった場合にどのくらいきちんとそのなんか統制効かせられるかというか。
そういう人たちが良くない権限を持っていろいろ悪さができないようにきちんとねコントロールできていればまあいいかなと思うんだけど。
検知する仕組みとか不審な動きを見るような仕組みがあればいいんでしょうけどね。
まあそれはねその社員だろうが何だろうが内部不正働く人はいるわけだし、それは別にそういう北朝鮮云々関係なくそういう仕組みとか体制は整えておくのがいいと思うけど、それで防げればいいけどね。
ああいうのを考えるとこう内部不正っていうのもあるけどなんかちょっとリビングオフザランドじゃないですけどそういうなんでこんなことやってるの?
直接害ないような活動もちょっと視野に入れてみないといけないなって思いましたね。
そうね単にお金稼いでるだけだったらまあ本当にちょっとわかんないもんね。
そうなんかどっかにねでけえファイル持っていくとかそんなんじゃないですからね。
エクスプロデュースしてくるとかでもないしさ。
でですねあとはこの間データセンターの冷却システムがあって話をネギさんがされてた。
ネームチープのやつかな僕が紹介したやつね。
そうそうそれに関連してなんですけれども、AWSバージニア北部の障害2025年10月20日の大規模障害が記憶に新しいですね。
ロブロックスやフォートナイトのゲームができなくなったりしました。
でもクラウドが当たり前の世界になりクラウドってたまに障害を起こして止まるけどそういうものだから仕方ないねという風潮になったのはとてもいいことかっこ悪いという。
そういえばさその時にあれ2週間前に僕が紹介したんだと思うけどこんなアリトナのデータセンターで冷却の故障があってみたいなこんな起きるんだねみたいなこと言ってたらさ
その1週間後ぐらいかなか先週ぐらいプロトンのデータセンターでも同じような障害がまた起きてさ
これがまたしかもそのドイツがフランクフルトかなんかのデータセンターで冷却システムの故障があってそれもまた
でもねそれはなんかねあの事故の報告を見たらどうも人的ミスというか
そのデータセンターの事業者がプロトンにも通知をせずに勝手に冷却システムその2系統あるやつを両方ともメンテナンスしちゃったんだって
一気に?
両方とも一気にでそのメンテナンスに不備があって両方とも故障しちゃったっていうこれはもうだから人災だよねこうなっちゃったらね
そうですね別に気候がどうとか関係ないですもんね
そうさすがにそれは防げたのではっていう気がするけど
まあでもやっぱり似たようなこと起きるんだなと思ったのはそのやっぱりその多重にあったはずのものがやっぱ障害が起きちゃって
短期間に何十度もやっぱり温度が上昇しちゃって
で結局そのユーザーへのサービスを継続するよりもハードウェアを守らないことにはもうどうしようもないっていう
切羽詰まった状況になってやむを得ずそのハードウェアをシャットダウンして守ったっていう
なんか似たようなことが立て続けに起きたなと思って全然珍しくないやと思ってちょっとびっくりしちゃったよ
そうなんやそんなこともあるんやな
そうなんだよね
でもこの方が言ってるこのクラウドってたまに障害を起こして止まるけどそういうもんっていう風なものっていうのは
起こればこういうことが起こるのはいいというわけではないけど
起こる前提でやっぱ考えとかなあかんもんだっていうのが広まったのはいいことかもしれないですね
そうねまあそういう風に浸透したのが良かったかもしれないけどね
クラウドにしときゃ大丈夫とかそういうんじゃなくてっていう話ですよね
そうね変な誤解はね
はいでですねあと遅れましたがおすすめのあれで紹介されたレインボーラムネを含めて
ぶどう糖補給にラムネにはまっております
森永ラムネではシュウチュウとラムネコってキャラまであるんですよね
懐かしいグッピーラムネのねという
へー
おすすめのあれを買って試していただいたっていう写真付きでね
あのお便りいただきましたね
ラムネも結構いろんな種類があるんだね
そうですよそうそうそうそのほらレインボーラムネといえば僕この間持ってったじゃないですか
お土産でお土産というかいただきましたありがとうございます
ははー食べてないなまだ
まだ開けてません
なんでな
1個だけ食べましたよ
あ食べたどうでした
ちょっとあんまり違いがわからないって言うと怒られちゃいますけど
どういうこと何との違いがわからへんの
普通のラムネかというか
全然違うやろ食感が
これ一番言っちゃいけないやつ
食感はあのはい確かに違いましたけど
おぼろ正直すぎるわ
そんなにえー全然わからんえーそうなんや
いや俺ごめんちょっとあのあれ開けたら一気に食べなきゃいけないかなと思って
そうですね確かに
そうですねコホウソウじゃないからねあのフタできひんやつやからねあれね
そうそうちょっとまだ食べてませんがすいません
そうかでも森永ラムネ懐かしいですよねお二人どうですか森永ラムネこれ50周年らしいですよ
えそうなのそんなにつんづいてんのかすごいな
あのほらラムネ飲む方のラムネの入れ物に入ってるやつ
俺ラムネって言ったらやっぱそれがまず真っ先に思い浮かぶ
私もこれですね
だよねなんか
そうですよねなんか懐かしい昔からありますよねこれね
懐かしいよね
なんかいつできたのかわからへんけどキャラクターがねいるんですよラムネ子っていうやつとかね
こんなキャラクター昔いなかった気がすんだよ
いやいないないないいないですねいつできたかは知りませんけど
なんか今時っぽいよねこういうキャラクター商売
なんか新キャラ選挙とかやってるぐらいから何個か候補いたのかな
そうなんだ
でもこれあれですよこの森永ラムネってコンビニ売ってるんですよね
あそうなんだ今も売ってるんだ
売ってる売ってる売ってる
なんかちょっと買ってみたくなっちゃうなこういうの
まあそれ買う前にレインボーラムネ食えってことですよね
まあまずはそちらをいただきます
まずはそちらをお願いしたいなと
次がですね私のトラブルシュートの話ということで
お便りコーナー：トラブルシューティングとユニークな投稿
僕のほらトラブルシュートが何のノウハウにも貢献してないっていう話あったじゃないですか
なんか前回募集してたよねそういえばねみんなの
そうそうそれが聞けましてですね
アンチウイルスソフトのアップデートがマックOSのメジャーアップデートに追いついておらず
パーソナルファイアウォールがインターネット接続を禁止してしまい
ネット接続ができずアンチウイルスの更新もできず積んだことがあります
えーそんなことになっちゃうことあんだ
これでデッドロック状態というかね何もできひんような状態になってしまうっていう
ろくなことしないねそれね
これでもどうしたらいいんやろな
オフラインでアップデートとかするのかなUSBとか使って
どうすんだろうねそれ一旦アインストールとかできないのかしら
あーアインストールか確かにそれは個人のPCとかやったらね
コーポレートエディションとかじゃないからそれはできるかな
まあねなんか言ったまでもなんかめんどくさそうだよないろいろな
でもめんどくさアンチウイルス入れ直すとかめんどくさいよな
設定とか消えるとか除外設定とかもあるやんあれ
除外設定せえへんかもしれんけど
アンチウイルスとかあとそのエンドポイント系のセキュリティ製品って
まあ物によるけどさでもほらたまに大きな障害とか起きたりもするし
やっぱ高い権限でOSの中で動いてるから
なんかトラブルとなんかちょっとめんどくさいよね対象がね
あー確かにそうですね
これ個人やとまだあれやっていう話さっきしましたけど
これ会社やったらめっちゃ大変やと思うな
いやーほんとだよね
上司数とか巻き込んでやる話になるでしょ
大変やとしかもリモートからメンテとかもなかなかできんのかなこんな
難しそうですよねなんか大変そうやなと思って
いやでもなんかこういうみんなトラブルあってんの聞くと嬉しくなってくるな
僕だけじゃないんやなっていうね
まあそりゃそうだよな
あとね僕がちょっと前に紹介した遊輪地のお便りも来てまして
大正の
これねどういう風にリアクションしていいかわからないんですけど読みますね
遊輪地遊輪地遊輪地遊輪地
ちーゆーりんちーゆーりん
ちゅーりんちゅーりん
ちーりんちーりん
なにそれ
最終的にランサムギャングの名前になってますね
だいぶなんか無理があるけど
ちょっと途中で一気に変えてきた感じはあるから
なんかあんまりこうスーッと入ってない感じは
そうねそうね
まあなんか若干音が似てるちは似てるけど
確かにね言われてみればっていう感じではあるかな
ソラミミとかではないですよね
もう明らかに言ってるなっていう
明らかに寄せてるよね
でもねなんかねこういうのもまあまあ好きよ僕は
こういう勢いだけで来たお便りみたいなの好きです
あーよかったね
こういうのも読みます僕は
確かに確かに
まあそういうのでもぜひねお待ちしております
そうですね
で最後のお便りなんですけれども
314回でステッカーに日付が入る話をされていましたが
5種類8種類集めるのは
全て日付入りステッカーにする必要があるのでしょうか
途中まで2週目リーチ中
集めている人もいると思うので気になりました
という質問のお便りが来てるんですけど
あーなるほどね
まあねこのお便り読むとね
ステッカーを差し上げるっていうようなことをしているんですけど
新たに追加されたものがあったんで
一旦線を引こうかなと思って
ステッカーの印刷の右側に
渡した日付を入れてるんですよね
区別付けるために
過去のやつを使い回すとは思ってないですけど
お互いね分かりやすい方がいいかなと思って
入れるようにしたんですけれども
どうしようかなと思っててね
2週目はもう諦めてほしいなと思ってて
一旦やっぱリセットした方が
分かりやすくてねお互いいいんじゃないかなということで
日付入りで進めさせてもらえればなと思っております
ぜひ新規ってもう一回集めていただけると
今回集めやすくなってるからね前よりもね
そうですねお願いしたいなと思います
ということでですね
注意喚起：Slack不正ワークスペース招待
お便りを読んだ方には先ほども言った通り
セキュリティのあれ特製ステッカーの印刷コード
コンビニで印刷する印刷コードを差し上げております
8種類あるんですけれども
日付入りのステッカー5種類ですね
これユニークな5種類を揃った方は
僕にDMいただければ
シークレットの印刷コードを差し上げてます
8種類全部揃ったぞという方のためにですね
今ちょっと進めている話があるので
頑張って皆さん8種類集めていただければなという風に
思っております
お便りなんですけれども
Xですね
シャープセキュリティのあれというハッシュタグをつけて
つぶやいていただければ
ポストしていただければ自動的にお便りになりますんで
励ましとか褒めたりとか
励ましたりとか褒めたいとかのコメントをですね
いただければななんていう風に
質問とかでもね
遊輪地とかでも全然構わないんで
お気軽にお便りをいただければ
我々の励みになるんですね
いただければと思います
お待ちしてますよろしくお願いします
よろしくお願いします
じゃあ今日もセキュリティのお話をしていこうかと思うんですが
今日はカンゴさんからいきましょう
はい
今日私ちょっと小ネタ的な話ではあるんですけど
注意喚起の話でありまして
9月の1日に
皆さん使ってる方どれくらいいるかな
スラックっていうビジネスチャットツールあるじゃないですか
一応使ってます
使ってらっしゃる方も結構いらっしゃるんではないかとは思うんですけど
そちらのスラックから
注意喚起が出されたんですよね
タイトルそのまま読み上げますと
不正なワークスペース正体から
利用者を守るための取り組みについてっていう
タイトル読むだけだと何のことを言ってるかよくわからんような
自分たちのことなのかな
中身的には注意してくださいっていうトーンで書かれてはいるので
注意喚起とも取れるのかなとは思うんですけども
誰かよく知らん人から
ワークスペースの正体が届く
そういった事例が日本と
韓国のユーザーで確認されていると
フィッシング活動って書かれているので
そうですね流れ的には昨年末から
結構国内でも話題になっている
偽CEO詐欺ってありますけど
あの流れに近いものなんじゃないかな
っていう風には個人的には
見ているというところではあるんですけども
不正なワークスペース正体が
突如届くというところではあってですね
これ実際に届いた方も
ちらほらXとかで
投稿はされていて
残念ながら先ほどのスラックの
取り組みについてっていうところでは
具体的な画像とかは
貼り付けられてはいないんですけども
そうなんや文面とかもないのか
正規の正体メッセージって言っていいのかな
正体メールというのかな
見た目から判別するっていうのは
まず不可能というところではあって
正規の正体ではあるので
そこから判別することはかなり厳しくてですね
不審さというところを感じるところとしては
唐突さというか
なんでこの相手からこんな急に来るんだとか
そもそもメールアドレスがおかしいとか
そういったところで気づける方は
気づくのかなというところではあるんですけども
そういった正体が
唐突に届くというところではあってですね
ちょっと注意というか
やり口に変化がもしかしたら出てきているのかな
というところではあって
さっき私と偽使用詐欺って話はしたんですけども
当初はメールで届いて
LINEに誘導するっていうような
手口で
目的としては金銭的なものであったり
あとは従業員の情報であるとか
最終的には金銭的なところにつなげる
そういったトリガーというか情報を得るための
手段として使ってるんだと思うんですけども
そういうところで活動としては見られていた中で
注意喚起という形でね
広くそういった手法がまずいものだということで
呼びかけられてどれぐらい効果があるのか
というところはなんとも分からないんですけども
そういったところも受けてなのか
やっている側もちょこちょこやり口変えてはきていて
LINEに誘導する後は
国内ですとチャットワークで誘導するというケースもね
結構見られてはいたので
やっぱりこの辺り一度でもやり口として
ある程度有効だなっていうところが
やっている側に認知をされると
他に手段がないかっていうところで応用がきくやり方を
どんどんどんどん試されて
いたちごっこのような様相になると
クリックフィックスなんかもその例ではありますけど
チャットワークスラックときたら
ちょっとあまり私直接の事例は見たことは
あまりないんですけども国内だと例えば他にも
チームズとかですかね
会社社内組織とかで使われているようなものだと
そういったビジネス用途で使われている
コミュニケーション手段というところが
メール一遍等というところからはこういったチャットツールであるとか
他のものに標的が
移ってきているというか幅が広がってきている
という状況なんていうのは今回のスラックの
状況なんかを見ると改めて
見ていて思ったところではあったかなと
これですね実際来ていたとして
管理者側っていうのが
システム全体のってことね
守る側っていうのかな何をそもそもどういう視点で守るか
あるんですけどこれってスラックのケースで言えばね
自社で使っているスラックが何か汚染されるわけでは
基本ないはずなので
どこをどういう視点でどういう風に守るっていう立場の人が
動かなきゃいけないのかっていうところは当然
あろうかなと思うんですけど基本的には常識とかセキュリティとかを
見てらっしゃる方々がこういった手口に関して
どういう風に気づいていく
手段を講じたら良いのかっていうところは
受け取った当事者任せっていうところから
脱却していかないとやっぱりこういう形でどんどんどんどん
追従されていく状況っていうのが変わらず続いていくなっていうのが
今年なんかを見ていてもずっとこういう状況が続いているので
実際被害も出て
大量に出ているかっていうと
公表されている事例からだけ見れば
件数こそそこまでではないのかなとは思いつつ
金額はね当然組織標的の
事例ではありますので
数千数万円とかレベルは決してなくてですね
数百数千というような
被害金額が出ているというような
公表であったり報道であったりっていうところも
されているところではあるので
目をつけられて続くという状況が
続いていってしまうとよろしくないなとは思いつつ
フィッシング対策とか
っていうところもやっぱり
根本的なところとしては繋がるのかなと思うんですけども
これ防ごうとするとなかなか
難しいなというのが
こういった注意の呼びかけ以外で何か手段があるかな
というところを踏まえるとちょっと悩ましいところもあって
どうしたらよいかというところも含めて
皆さんに考えてほしいなということで紹介をさせていただきました
これなんか悪意のある第三者から
信頼できる組織や個人になりすました不正な
スラックワークスペースを作って正体飛ばしてくるっていう
ものなんですけどニセシオ詐欺
とかだと本当に実在するその組織の
偉い人の名前でその組織の人に来るじゃないですか
何かしらの連絡が
これもあれなんですかねやっぱり知り合いの
何かしらのリストか何かを使ってそれでやってくるのかな
まずはその実写の
上長であったり役員であったり
社長であったりっていうところから来るのかなとは思います
よくわけわからんところが来るわけではないですもんね
そうですね
スラックを例えば管理してる管理者がその組織内に
誰か複数かもしれないけどいるじゃないですか
その人が自組織で作られてた
アカウントがどのワークスペース
どこのワークスペースに参加してるとかって
管理者ダッシュボードみたいなところ見れたりするんですかね
僕やったことないかわからへんけど
ちょっと私も管理ダッシュボードは見たことないんですけど
個々人のアカウントで
そういった情報っていうのは見れないんじゃないですかね
見れたいするとそれはそれで
問題となりそうな気がするんで
別にビジネス用途に限らず
使っているケースも当然あるでしょうから
コミュニティとかそういうので使ってるのもあるでしょうから
それが特定のどこかの組織の管理者の方から
全部見えてしまうっていうのはちょっと考えづらいんですけど
このあたりはもしかしたらスラック詳しい方だったら
こういう手段で見えるよとか
あれば教えていただきたいんですけど
自分の管理してるワークスペース以外は見えないでしょう
見えないですよね
見れないとなると一回もそこのワークスペースに行っちゃったら
もうっていうところやから組織として見つけにくいですよね
そうそう別のところに頂戴されたら多分わかんないよね
これやっぱあれなのかなこういうのって慣れるしかないのかね
わかんないけど
慣れるしかないんですかね
繰り返されるじゃないこういうのって
適切かどうかともかくとして標的型のメール訓練みたいなの
こういうのでもやってみるとか
慣れを養うためにね
管理者の人が例えばスラックとかチームズとか
チャットワークとか何でもいいけど
そういうのでもこういうのきますよっていう
訓練メッセージを投げてみるとか
気づいた人に連絡をしてもらって
いやこういうのもあるんですよっていうのを注意喚起するとか
わかんないけどそれがどれくらい効果あるかわかんないよ
わかんないけど
そういうフィッシングの標的型のメールとかも
地道にそういうのをやるしかないよねっていうのが
一つの方法ではあると思うんで
そういうのも効果はあるはあるんじゃないかな
って気もするけどね
あとはさっき言ってたけど
管理者が全部把握できないとすると
個人からこういう怪しいの受けましたって
やっぱり連絡が来ないことには
把握のしようがないので
そのあたりの連絡体制とか
風通しをよくしておくことも大事だと思うんだけど
なかなか上手く技術的な仕組みで
こういうのを全部防ごうと思っても難しいよね
そうですよね
この注意喚起のようなもののページ見てると
以下の点に注意くださいって挙げられてるのって
結局一言で言うとめっちゃ気をつけましょうしか言ってない
感じがするからシステムでどうにもできひん部分
っていうのはちょっと思った
そういう部分はちょっと否めないよね
そうですね
ちょっといやらしいなと思ったのは
基本的に個人宛に招待何か届いて
どっかに参加してしまうっていうところまでは
個人のアカウントの範囲ではあるかなと思うんですけど
もしそのアカウントが
なんだかの理由で例えばちょっと危ないので
認証情報くれみたいな感じで聞き出されてしまって
アカウントが乗っ取られてしまった時に
派生というか派給というか
そのアカウント取られたアカウントを返して
連鎖的に攻撃に使われたりとか
あるいは自社のそれこそワークスペースに
不審な人物どんどん招待されてしまうとか
そういったことも起きる可能性ってのは
当然あるでしょうから
個人の範囲だけにとどまらない可能性はあるよね
そうなんですよねちょっと甘く見ないほうがいいなって
乗っ取られて入られたらいろんなやつ呼び込まれるのか
そうなんですよ
閃光丸ウェアみたいですね
どっかで聞いたことあるやつ
めちゃめちゃ厄介やなと思いましたね
防ぎにくそう
だから攻撃家がこういう手段を取ってくるんでしょうね
そうですよね
いろんなスラックだとかチャットワークだとか
いろいろあるからその度に自分たちが使ってるんだったら
注意喚起こまめにするっていうのがまず
ファーストステップかなと思いました
ありがとうございます
解説：BGPハイジャックによるソフトウェアサプライチェーン攻撃
じゃあ今週僕からはですね
BGPのハイジャックの事件を取り上げようかなと思うんですけども
BGPハイジャックって実は
皆さんどういう風に思ってるかわからないけど
なんか結構なヒントで起きてて
それこそ設定ミスだったり人的ミスだとか
機械的なミスとかいろいろわかんないけど
明らかに意図を持ってやろうとしてなくても
起きてしまいましたっていうのは結構あるんだよね
それだけだったら大した事件にならないんだけど
なんかちょっとやらかしちゃったねーって言って
短時間だけリークしちゃったねーで済むんだけど
今日紹介するやつはちょっとそういうのとは違っていて
明らかに攻撃として行われたってやつ
なんですよね
なんでそれがわかったかっていうと
そもそも今回のハイジャックのターゲットになったのが
ソフタキュラスっていうソフトウェアのベンダーさんなのかな
ちょっと僕あんまり詳しく知らなかったんだけど
初めて聞いた
バーチャライザーっていうVPSとかのコントロールパネルの
ソフトウェアとかを提供している会社さんで
なので結構世界的にホスティングのプロバイダーとか
VPSの事業者とか
使っている
そういう管理用のソフトウェアなんかを提供している会社なんですよね
でそのソフトキュラスっていうベンダーさんが
自社のサービス用に使っているIPアドレスのレンジ
っていうのがあって
具体的にはこれ162.55.0.0.16
っていうレンジを
この人たち使っていたんだけども
ここが今回のそのハイジャックのターゲットになりました
ということで
具体的にはその元々のスラ16のレンジよりも
さらに具体的な
長いレンジというか
162.55.80.0という
スラ24っていう
元々はそのBGPで流していなかった
より具体的な経路ってやつが突如として
全くの第3社から流れ始めました
ということで
本来経路を流すべきエースとは全然違う
ネクソンホストとか
ルーマニアのどこかのよくわからない
プロバイダーから突然としてBGPの広報がされた
これだけだったらさっきも言ったけど
あれ何かミスでもあったのかなっていう感じだけど
実はそうではなくて
そのハイジャックの期間
実際には8月28日の夜9時くらいから
断続的に何回か波があったらしいんだけど
最終的には30時間近く経って
完全に復旧したっていう話なんだけど
このハイジャックされてた時間に何が起きたかっていうと
このソフトケラスっていう
ベンダーさんが提供してる
VPSのコントロールパネルっていう
バーチャライザーっていうソフトウェアの
アップデート用のサーバーっていうのも
そのハイジャックされたレンジの中に含まれていて
なんか嫌な予感してきた
公益側はそのアップデートのサーバーの
偽物のサーバーを立てて
そこにユーザーを誘導というか
誘導というかハイジャックされてもう経路がねじ曲がってるから
ユーザーは知らんまでそっちに行っちゃうわけなんだけど
そこにアクセスをしてきたユーザーに対して
悪意のあるアップデートのデータを
配信したということなんで
明確にマルウェアに完成させてやろうっていう攻撃
だったわけなのね
さらに結構巧妙なのは
悪意のあるパッケージはもともと用意してたんだろうけども
本当だったらその偽物のサーバーを
攻撃者が勝手に立ててるわけなので
例えば証明書のエラーが出るとかさ
そういうのに気づけそうなもんかなって思ったりするんだけど
実はハイジャックが始まった直後に
この攻撃者は
ねじ曲がった経路を利用して
あたかも自分たちが本物のドメインの保持者であるかのように
予想って
レッツエンクリフトから正しいドメインの証明書を
入手してるんだよね
これはやってる人は分かると思うんだけど
ドメインの検証って
今申請をしてる人が本当にそのドメインの保持者か
っていうのをいろいろ確認する手段ってのがあるけども
今その経路をねじ曲げて自分たち攻撃者が
本来の正規のサーバーであるかのように
予想いうことができちゃってるんで
その検証をパスしちゃって
まんまとレッツエンクリフトから本物の証明書を
入手してたと
見た目は完全に本物なんですよね
だからユーザーからすると全く何の疑問も
感じないというか
まさか自分のアクセスが経路がねじ曲がっていて
攻撃者のサーバーにアクセスしてるとは
誰も気づいてなかったはず
気づく術が基本的にはないと
加えてこれは
ベンダーさんの落ち度だと思うけども
普通だったらというかアップデートのデータに
例えばコード署名を付けておいて
例えばその署名が正しいかどうかという検証を
した上でアップデートするとか
正しいアップデートかどうかっていうのを確認する手段
っていうのを本来は持っているべきなんだけども
インシデントのレポートによると
ソフトケラスのアップデートの
ソフトウェアにはその仕組みがありませんでした
すっと入っちゃいますね
だから攻撃者からすると
偽物の悪意のあるソフトウェアのアップデートが
そのままスルッとユーザーにどうも入ってしまったようですね
ということで
ただしねじ曲げられていた間は
当然このソフトケラスさん
本来のソフトウェアのベンダーである自分たちの
ところにはアクセスが来ないわけなので
どのくらいのユーザーが誘導されて
悪意のあるソフトをダウンロードしたかっていうのは
はっきり分からないんだよね
データが残ってないから手元には
影響範囲は分からないんだけどおそらくごく少数でしょう
と彼らは言っていて
直接多分顧客から連絡があったんだと思うんだけど
実際にマルウェアが配布されたこと自体は間違いないんだけど
ただし今言ったみたいに
全部のユーザーのどれくらいの割合が実際に影響を受けたかとか
あとそのマルウェアが具体的にどういうことをやったか
っていうのはあんまり詳しく報告にはまだ載ってなくて
後でまた何か出るかもしれないけど
ちょっと詳細は分かってない
ただその対策
自己対策として認証情報などは
全部リセットしましょうみたいなことを書いてあるので
おそらくその辺の情報は抜かれたと思って間違いないだろうと
インフォスティーラーの類とかそういうことなんですかね
どうなのかちょっと分からないけどね
という感じですと
いわゆるソフトウェアサプライチェーン攻撃の
ちょっと手が込んだやつっていう
経路そのものから言ってるわけですもんね
結構過去にもこの手のやつってないわけはなくて
例えば同じように
BGPでハイジャックしてDNSの名前解決を
乗っ取るだとか
今回みたいな偽のサーバーを立ててみたいなやつってのは
探せば見つからなくはないので事例として別に
そんなにめちゃくちゃ珍しいわけではないけど
ただわざわざBGPの経路を
ねじ曲げるっていうめんどくさいことをやって
本物の証明書まで取って
偽装するっていうのはそこそこ手が込んでいるので
攻撃の背景とか全然今は全く分かってないんだけども
誰がどういう目的で
おそらく狙いも
このバーチャライザーのソフトウェアとか
作ってる人たちそのものというよりは多分
使っているどこか
VPSとかそういう管理をしているどこですよね
でどこか多分ターゲットにしたいところがどっかあって
そこを狙ったんだと思うんだけど
それがどこなのかとかそこから何が最終目的なのか
とかっていうところはちょっとよく分からないんで
なんか若干その
その辺が分からない不気味さっていうのと
あとさっきも言ったけど
ユーザー側誘導された側からするとこれ
多分全く気づけない
でしょうね
よほど注意深く見てなかったら
あれなんかいつもと違うけど
調べても多分分からないから
アップデート落として入れた後の異常ぐらいまで
気づかへんのちゃいますか
そこまでいってエンドポイントの挙動がおかしいとか
ひょっとしたら前にもリタイアドがあったけどEDRが変なこと
検知したとかさ
そういうのはあるかもしれないんだけど
いつもと動作が違うっていうのは
注意深く見てれば検知はできるかもしれないけど
多分入る手前で気づくのはほぼ不可能だよね
そうですね
多分厳しいなこれは
そういう点でもちょっとこのタイプの攻撃ってのが厄介だなと思って
過去になくはないけど
久々にこういうの聞いたので
ちょっとゾワッとしたなっていう
ソフトウェアサプライチェーンって聞くと
だいたい改ざんされる
今回も改ざんというよりは違うところに飛ばしたんでしょうけど
何かしらの方法で
本物を乗っ取るケースが多いじゃないですか
例えばどっかのライブラリーみたいなのを
メンテナーのアカウント乗っ取った後に書き換えて
みたいなものとか
アップデートサーバーを乗っ取ってとかっていうケース多いですよね
ああいうのって全部が全部そうじゃないんですけど
見てると結構早くに気づいて対処してるんですよね
確かにね
自分所有のサーバーやから止めようと思ったらボチ止めれるじゃないですか
でもこれねじ曲げられた先のものは
攻撃者の手元にあるもんやから
長期間攻撃し続けられるというか
誘導し続けられるっていうところは怖さやなって思いましたね
今回のもちょっとそれもどうかなと思うんだけど
本来のBGPの経路
経路を広報しているべきプロバイダーよりも
ベンダーというか自分たち側が先に気づいて
通知をして
対抗すべく
正しい経路を広報してもらって
対処をしてっていう
そういった問題をやった上で結局30時間ぐらい解決するまでに
かかってしまっていて
もうちょっとスマートにできなかったのかなっていうのがある
やっぱりこの辺のBGPの
設定ミスで間違った経路が流れるって
それこそ日常茶飯事なので
監視の仕組みとかね
プロバイダー自身がそういう間違った経路を広報しないような
厳密な運用の設定とかって一応できるような仕組み自体はあるわけ
だから起こさないようにやろうと思えば
たぶんできたはずなのね
そこら辺ちょっと脇が甘いんじゃないかなというか
攻撃者側に付け入れ隙を与えたんじゃないかなという
節は若干あるよね
守る側の不手際もちょっと
時間を長くした原因の一つかもしれない
あとこれ自分たち自身で
ソフトキャラクター自身が何かやるというのは
やっぱりちょっと難しいので
その経路を流してくれているプロバイダーさんに
お願いしなければいけない部分とかってあるわけで
そこの辺の連携もどうだったのかなっていうのもあるし
事前にもうちょっと
その辺が詰められていればもう少し
早く対処できたのではっていう感じもあるんで
なんというかユーザー側
アップデートの被害に遭っちゃったユーザー側
多分あんまりできることはなかったんだけども
ただ提供する側の方というのはいろいろ
できたことはあったんじゃないかなというのは
感じるけどね見ると
これちょっと止めにくそうですね
気づいてもすぐに止められへんっていう
もやもやするなこれな
あとこういう経路的な話っていうのは
バチッとすぐに切り替わるわけじゃないので
経路がだんだん伝播していってとかってやっぱり
タイムラグがあったりとかするし
あとやっぱりこういうのって
完全にこういうのを防ぐためのそもそも
仕組みではないというか
攻撃者がもうこういう隙があるところを見つけて
攻撃しようと思ったら多分世界中にいくらでもある
それぐらいあるんや
そういう意味でちょっと防ぎにくい
タイプの攻撃だよねこれはね
にしても大がかりですね
だからちょっとそれも気になるよね
誰がどういう目的で
ここまで準備してやったのかなとか
それで目的は達成できたのかなとかね
いろいろ考えちゃうよね
こういう特定の業種の人たちが
使うソフトウェアで管理する系っていう
この後からどんどん大きな被害がっていう風に
どうしても悪い想像をしてしまいますけどね
多分ね狙いはそっちの方にあったんだろうからね
これ全然経路違うけど
カセヤのVSAのやつとかああいうの思い出しちゃう
懐かしいねMSPがやられてってやつね
そうそうそう1個やられるとその顧客が
全部やられるとかそういう感じじゃないですか
これでこの管理のやつを乗っ取ったりとか
することができたらそこの下にぶら下がっている
お客さんの情報だったりとか制御が奪われるから
一大攻撃基盤作られたりする思想で怖いなって思いましたね
実際そうだと思う今回のはたまたまだから
そんなに明らかになってないけど
被害が少なく済んで良かったって言えるんじゃないかな
それこそ本当に大手のプロバイダーとかの
管理コンソールっていうか
コントロールパネルが乗っ取られてたら偉いことだからね
そうそうそう
被害がこんなもんで済まなかったはずなんで
そういう点もちょっと攻撃者の狙いが怖いよね
こういうところを狙っていくんだなっていう
クラウドの言ってみれば基盤そのものじゃないですか
そうですね
そういう基盤を脅かそうっていう風にされちゃうと
土台がグラグラしちゃうっていうか
その上物は全部やられるわけですからね
下手したらそこが一網打尽でやられちゃうから
そういうのが意外とこういう
今回のはたまたまだけど
こういう一つの会社のこういうソフトウェアに
変に依存してるっていうのはちょっと怖いよね
確かにそうですね
そういう怖さも感じましたね
仮想基盤ってめっちゃ便利やし
例えばコストも抑えられるしね
メンテナンスもしやすいじゃないですか
すぐ元に戻せるとかさ
それがあだとなって被害が拡大するっていうのは
DXめちゃくちゃ進んでる組織こそ
被害に遭った時のダメージがでかいっていうのは
皮肉やなって思いますね
でもそこはある程度トレードオフでしょうがないよね
それはそういう利便性を享受してるんだから
リスクも当然あるでしょっていうね
便利やからって言ってスピード上げすぎても危ないで
っていうのはセットで考えんと
すごいそれがあだとなって帰ってくるっていうのは
大きな教訓やなっていろんな事件見てても思いますね
そうですね
解説：Medusaランサムウェアの攻撃活動
ありがとうございます
ランサムネタいこうかなと
いいですね
今回はどんな
CISAが出してるストップランサムウェアって
ランサムギャングごとに出してくれてるレポートとかあるじゃないですか
時々出ますよね
そうそう
どういうタイミングで出てるのか外から見ててよく分からない時もあったりするんですけれども
過去に出てた
メデューサっていうランサムギャング
これも結構老舗の部類にも入ってくるのかなと思うんですけども
これが先月の半ばぐらいに
更新されましたというお話を
今日はしようかなと思ってて
これも攻撃のパターンが変化があるとかさ
そういうタイミングで結構更新もされてるよね
大体の場合は特定業種とかに
いっぱい被害が出始めてるとかで
何かしらトリガーがあったりすると思うんですけれども
改めて注意喚起しましょうみたいな感じだよね
一番初め初版は25年の3月12日に公開されてて
2025年の2月までの
FBIとかのそういった法執行機関とかの
調査情報が収録されてたんですけど
今回は2026年の4月の期間までのものですね
これ以後のやつが
入ってるということなんですけれども
ただメデューサ自体は結構今活動は
おとなしくて
リークサイトも繋がらなくて
2月が最後ぐらいだったかな確か
2月の半ばぐらいが止まっているのか
リブランドなのかその辺はまだはっきりわからないんですけれども
この期間の間にいろいろな攻撃手法だったりとか
あとは攻撃の流れとかが変わってますよ
っていうようなことが書かれてあってですね
追加で変わった部分でいうと被害組織に関しては
時間が経ってるので増えていまして
305例から505例ぐらいになりましたというのが書かれてありました
攻撃の対象ですね
暗号化したりするランサムなんで暗号化するわけなんですけれども
前のレポートではWindows中心だったんですが
今回のではWindowsに加えてLinux
あとは先ほどもちょっと出た仮想環境という言葉ESXIとか
っていうふうなものですね
共同発行してるんですけどFBI、CISAというのは一緒なんですけど
今回HHSっていう保険系のやつですね
の組織が入っているのでもしかしたら
そういう医療関係の被害とかが増えたのかもしれないですね
なるほど
内容に関してはTTPとかIOCとか
新入後の活動を使っているツールみたいなのが
結構大幅に過筆されているような状態でした
今回
こんな脆弱性使ってきてましたよっていうふうなものが
いくつか追加されていて
例えばGo Anywhere、MFTの脆弱性だったりとか
Beyond Trust製品の
OSコマンドインジェクションとかっていうふうな
あんまりそんなめちゃくちゃ効くような脆弱性ではないんですけど
そういったものが追加されていて
追加されるのは時系列で見れば新しい脆弱性がどんどん出てくるので
当たり前っちゃ当たり前なんですけれども
変化としては脆弱性情報とか
攻撃行動が公開された後
最短24時間以内にも悪用が
この人たちがしてるっていうふうな速度が上がっている
素早いね
あとは脆弱性の正式公開より最大で1週間前に
攻撃されたっていうのもありますね
ゼロデイっていうのもあったと
ただCISAのコメントでは
メデューサ自身がゼロデイを開発しているという証拠はどこにもなくて
非公開の攻撃行動とかアクセス手段を
外部から入手している可能性があるな
っていうふうなことが書かれてあって
それに引き続いて
インシャラアクセスブローカーをかなり使ってるんじゃないかっていうふうなことが書かれてありましたね
なるほどね
最近の話ではないんですけど
25年のこのレポートがちょうど出た時期ぐらいに
いくつかのフォーラムに
公衆支払うからインシャラアクセス売ってくれみたいなことを
メデューサが書き込みしてたんですよね
そういったIABの
市場に支えられてるっていう構造が
この時には明確に示された
結構珍しいんですよね
売ってくれってランサムギャング自分自身で書き込むってあんまり見かけないんですけど
そういったことをしているっていうふうなものが
バラクーダのレポートにもそういったことが書かれてありましたね
結構この辺から面白いな
興味深いなと思ったのが
脆弱性を悪用した時の確認手段っていうふうなものに
知ってる人は結構知ってると思うんですけど
イントラクトSHっていう
サービスを利用しているっていうふうなものが書かれてあって
これ使ったことある人あんまりおれへんかな
攻撃が成功したかどうか外向けの通信が発生した時に
その通信を受けることによって
攻撃が成功したってことを確認するための
サービスがあるんですよね
攻撃が成功して自分が用意したURLとかにアクセスをさせて
そのアクセスが来たらその攻撃の対象に
攻撃が成功して外に通信を発生させることができた
C2とかにアクセスさせることができるよね
っていうことを確認するこのツールを使っている
っていうふうなものが見つかったというふうに書かれてあって
これ結構賢いなと思うのが
文章にも書いてあったんですけれども
任意のコマンドを実行すると脆弱性を悪用して
それが成功したとしてもこっちから見た時には
成功してるかどうか分かれへん時とかあるんですよね
例えばウェブ系だったら500とかが変え
インターナルサーバーエラーのエラーが返ってきて
コマンドが成功したのか分かれへんから
それをちゃんと通信を発生させて
インタラクトSHに通信が来たからっていうふうなもので確認する
これ効率めちゃくちゃいいなって僕も思ってて
記録に1個の脆弱性でバーって
レンジで攻撃した時に通信発生したものが返ってきましたよ
っていうふうなものが出てくれば
次の攻撃に移るリストが作れるじゃないですか
なのでかなり効率的な運用をし始めてたんやな
っていうのはここからは読み取れましたね
あとは侵入してからの話の
防御回避のところなんですけれども
結構こまめにいろんなものを停止したり
元に戻したりみたいなことをしててやってたことは
脆弱性とかの署名済みのドライバー
いわゆるEDRを止めるというふうなことをもちろんやってるんですけど
ちょいちょいマイクロソフトディフェンダーの
除外フォルダに自分たちが使うツールを入れたりとか
あとはディフェンダーを無効化したりとか
っていうふうなものをして最後最後に作業が終わってから
再有効化をするなんていうふうな
都合のいい時だけ無視させて
作業が終わったら元に戻すみたいな
結構こまめなこともしてたみたいですね
この辺見てるとEDR止められるとかは
管理コンソールとかで見るっていう方法あると思うんですけども
イベントログとかでこういった活動も
監視対象に入れた方がいいのかなっていう風に思いましたね
例えばディフェンダーの構成が変更されたとか
イベントIDの5007番とかで分かりますし
リアルタイム保護が無効化されたとか
5001番とかっていうふうなものがあるので
自分たちがディフェンダーをしっかり使ってるんであれば
この辺の変化を見る実際の被害の前に
この横展開とかしている間に見つけるためには
この辺のイベントログも視野に入れた監視っていうのが
あった方がいいのかなっていうのはこれを見て思いましたね
なるほど
あとは使ってくる遠隔操作ツールも
結構しっかり管理系のツールをよく使ってきていて
いくつか挙げられてたんですけど
気になったのが2つほどあって
NATAっていうツール、これ複数のサーバーを
ウェブのダッシュボードみたいなところから監視管理するような
オープンソースのツールなんですよね
例えば複数のサーバーとかCPU、メモリとかディスクとか
ネットワークの使用率みたいなものを
ダッシュボードで一気に可視化するっていう風なツール
多分これ自分たちが乗っ取った範囲の
稼働監視みたいなのをするために入れてるんだと思うんですよね
このツール僕初めてこれで見たんですけど
このキーワードで調べてみたら
ハントレスが出してるレポートの中で
中国拠点とみられるゴーストラットとか
アントソードマルウェアとか
そういったものを感染させるような攻撃者も使ってたっていうレポートも
見つかりましたね
このNATAに加えてメッシュエージェントっていうのも使ってて
このメッシュエージェントっていうのも遠隔管理するための
ソフトウェアで
メッシュエージェントっていうのはメッシュセントラルっていうのの
管理用のエージェントソフトなんですけど
これを入れてリモートデスクトップとかターミナルとかも実行できる
NATAで全体の稼働状況を確認して
どんなサーバーがいるのかっていうのを見ながら
メッシュエージェントを使って好きなアクション横展開とかをするために
リモートデスクトップとかターミナルとかを操作できるっていう風な
本当に裏の管理者みたいな
感じの状況を作るっていうところまで来てるっていうのが
ありましたね
あとは横展開とかの最後の方では
PDQインベントリーこれも正規のソフトウェアなんですけど
これを使って更新プログラムを一気に配布して
この場合だったらランサムウェアですけども
を展開して感染させていく
あとはLinux系とかMacOS Unix系とかに
対応するためにBigFixっていう
ツールで自分たちが感染させたい
ランサムウェアをプッシュしていくっていう風なことを
してたそうです
完全に管理者に近い活動をしてるなっていう風なものは
結構僕はびっくりしましたね
あとはランサムだったら
二重脅迫のところで情報の持ち出しっていうのをすると思うんですけど
そこでよく出てくるのってRクローンが多いじゃないですか
それだけじゃなくて
リモートデスクトップのクリップボードとか
ファイル転送のツール使って
複数の方法でちょっとずつ小分けに送って
気づきにくくするみたいなこともしてたみたいですね
結構僕の知ってるやつとかでレポートで見ると
一気にデカいZIPファイルドーンとか
RARバーンみたいなの送っていくのも多いんですけど
ちょっとずつ小分けにするっていう風なものも
観測されたという風に書かれてありました
MEDUSAはですね
脆弱性ついて侵入するっていう
ランサムウェアっていういわゆるランサムギャングの一つというよりは
これMEDUSAに限らないかと思うんですけども
認証基盤とか管理ツールとか
そういうところをしっかり使いながら
管理者と同じような振る舞いをしてきて
侵入した環境を管理しながら
最終的に目的を達成するっていう風なところまで来てるっていうのは
正直驚いたなっていう風なところなんですけど
結構ボリューミーなレポートなので
さっき言ったみたいに
このアクションってどのログで見れるのかなっていう観点で
追っていって自分たちはどこを見ててどこを見てないかっていうのの
答え合わせじゃないですけども
そういったのに使ってみてもすごい有用なんじゃないかなっていう風に
思いましたというお話でございます
MEDUSAは最近は何してるんだろうね
MEDUSA何してるんですかね
自分が意思になって固まってなければいいんでしょうけどね
全然見かけないですね
このCISAのドキュメントストップランサムウェアのさ
ドキュメント自体は非常に価値が高い
こういうのをちゃんとしっかりここまでの
細かい内容のものを出してくれるのは非常に価値が高いと思うんだけど
とはやっぱり
タイムラグがあるじゃない
そうですねこれちょっと古いなみたいなのも入ってましたね
いたしかたないけど8月に更新があって
それが4月までの情報でさっきのついさんの話では
今ちょっと活動あんまり活発じゃないみたいな
そうするとひょっとしたらその間にまた何か
方法を変えたり名前変えたりして
また別の形でやってきたりすると
その頃には今せっかく紹介してまた
TTPがあんまり役立たないとかさ
場合によってはそういうことも起こり得るわけで
しょうがないよこれはイタチゴッコンなんである程度しょうがないなと思うんだけど
なかなかこういった
情報の活かし方っていうのは
やっぱり難しいなっていう
脆弱性の情報が出てから24時間以内に
抑揚するだろう
イニシャルアクセスを買うだろうゼロデイのアクセス情報を
どっかから入手するだろう
わりかし公益側も
相変わらず使うツール変わらないし
手段も変わらないよねっていう部分もあるけど
ただどんどん新しく変えて進化している部分
っていうのはやっぱりあるじゃない
それに対してやっぱりこういう情報共有というのは
どうしても遅れがちにならざるを得ないので
せっかく我々がこういうところから
教訓を得て備えようと思っても
なかなか
共通するさっき言った
こういう場合にはこういうイベントが出るとか
共通してこういうツールが中では使われるから
こういうのを監視を徹底しようとかっていうのは
たぶんそんなに変わったりしないと思うんだけど
ジェネリックな部分っていうかね
その部分は生かせればいいと思うんだけど
ただそのわりかしちょっと旬な感じで
どんどん変わっていくものっていうのは
生かすの難しいかもなって考えちゃうよね
なかなかその辺の
僕も結構これ読み込んでいくときに
どこがやっぱり共通しやすいかなとかっていう
視点でいつも見るようにしてて
使われる脆弱性っていうのはパッチさえ当てれば
もう終わりじゃないですか守る側からすると
どんどん新しいものに移り変わっていくってことを
考えるとやっぱり自分たちのシステムに
与えられる変更っていうところが一番
ポイントとして抑えやすいのかなと思って
さっきディフェンダーのイベントログの話を入れたんですけど
読むときにやっぱりその辺を重視して
見てみるっていうのがいいのかなっていう気はしますけどね
そうだねなかなかそういう
守る側がどうこういった
情報TTP情報とかIOC情報を
うまく活用して生かしていくかっていう
視点で眺めたときに
どれぐらいそれが生かされるかっていうのは
なかなか難しいですね
そうですねでも結構掘っていくと
Windowsの標準機能で検知できるようなものも
いくつもあるんであとはPowerShellのログとかね
そういったものとかあとはシスモンとか
あればこういうのも検知できるとかっていう
幅も広がるような見方もできるかなと思うので
そういう視点で読み解いてみてもいいんじゃないかな
と思いましたね
ぜひこういうのをうまく活用して生かしていきたいですね
こういうレポートを皆さん読んでどういう風に
活用しているのかとか教えてもらえると嬉しいですね
社内のソックで活用しているとか色々ありそうだけどね
この辺は絶対抑えるんですみたいなポイントとか
共有できるとさらにいいんじゃないかなと思いました
おすすめのあれ：ドラマ「俺のスカート、どこ行った？」
確かに
ありがとうございます
ということで今日もセキュリティのお話を3つしてきたんで
最後にオススメのあれなんですが
今日はドラマを紹介しようかなと思って
久しぶり
ちなみに僕は学園ドラマ好きなんですよ
多分いつまでも学生気分が抜けてないから
なるほど
思うんですけれども
今はもう学園ものって学園ドラマって言うと
今は久しぶりに何年ぶりなのあれ
10何年とかぶりにGTOがまた始まってるんですよ
グレートティーチャーですか
ポイズンバージョンですよ
ポイズンバージョンって
ソリマチタカシさんがやってるGTOと
イグザイルの
アキラさんがやってるバージョンが
今はポイズンバージョンなんで
オリジナルってことですよね
それがやってるんですけど中身も今風になってるんですよ
みんなスマホ使ってたりとか
オリジナルからもう何年経って20何年経ってるでしょ
昔のGTOやと
フォトショップみたいなの使って
鬼塚がこんな悪いことしてるみたいな
コラージュを作るっていうのが
昔の回ではあったんですけど
今はもうAIなんですよ
よく見たら首のつなぎ目が不自然じゃないか
AI出てくるんだよな
今日僕がお勧めするのは
2019年4月20日からやってた
俺のスカートどこ行った
っていう学園ドラマですね
GTOじゃないのか
GTOも見てるんですけど
GTOは不利です
2019年って言ったらちょっと前のドラマだね
それはなんでこのタイミングで
それこそGTOを見てるんですけど
GTO見てて
ネットフリックスとかでも
ドラマって今配信されてるじゃないですか
生地始まったのが嬉しくて見ちゃったんですよね
まだ最終回迎えてないからさ
ネットフリックスとかフールオリジナルみたいに
一気に前は出ないんですよ
見てた時に次気になるわ
また一週間待たなあかんやんかって思ってた時に
学園ドラマが見たいってなって
それで俺のスカートどこ行った思い出したんです
昔にも見たことあってこれ
一気見しちゃいました
これすごいユニークな作品でね
出てくる主人公の人は先生役なんですけど
別に元々先生の人ではなくて
52歳のゲイで女装家の人が
高校教師をするっていう話なんですよ
ちょっと奇抜だね
その役をしてるのが古田新田さん
古田新田さん前にもどっか紹介しなかったっけ
それもしかすると下北沢大ハードかな
違ったっけな
味がある役者さんだよね
優しい役もできるしめっちゃ怖い役もできるし
この人元々劇団の人なんですよ
大阪の劇団新幹線っていうところの
劇団員の方だったんですけど
ずっと今もやられてるよね
色んなことチャレンジしてたりとかしてて
すごい味のある演技のうまい方なんですけど
こういうとっぴな役でもちゃんとこなしてて
良かったなってのと熱さですね
普通じゃない感じとか
世間一般的な感じから逸脱してると思いきや
そうじゃないまともなこともめちゃくちゃ言いますし
とっぴなこともするし
その辺のバランス感覚がすごくいい描かれ方をしてる
大体こういう学園モノで
先生が奇抜なキャラクターだったら
最初の方は生徒とぶつかって
だんだん生徒と打ち解けていって
最終的に学校を取り巻く大きな問題とか
人に関係する大きな問題をみんなで解決する
っていうのは王道の流れではあるんですけど
かなり見てて一気見できるような感じですし
もしGTを見てて次の回が気になるって方がいれば
こっちで一回ちょっと逃げてみて
真埋めって言ったら悪いけど
すごいちゃんと感動する部分もあるしね
見てて面白いというか
古田アラドさんのこういうアッパーなキャラクターもあって
あんまり深刻さみたいなのも薄まってるから
ちょうど見やすい感じに仕上がってるなっていうのがあって
あとはいろんな役者さん出てますね
当時乃木坂にいらっしゃった白石舞ちゃんとかですね
そうかまだそれは卒業前の時か
そうですねまだしてなかったですね
この時はね
女優さんに転身する前みたいなギリギリのあたりやったんちゃうかな
あとは僕の好きな俳優さんだったら
荒川よしよしさんとかですね
凄い個性的な人たちも
伊藤誠孝さんとかも出てますね
周りの人たちもいい感じで
こういうので面白いのはね
学生役の子とかをフォーカスするのも面白い見方なんですよ
後からめちゃくちゃ爆発的に人気が出る人が
紛れ込んでたりとかね
よくあるよね学園戻ってそういうことね
そうそうそう
GTOだってその頃は子役というか学生役で出てた人で
今ドカーンって来てる人だったら
久保塚さんとかもいますしね
古くは金髪先生的なやつとかもさ
生徒役からブレイクした役者さんって
いっぱいいるじゃない
意外と脇固めてた人がブレイクする時もあるんで
そういう見方も面白くて
なにわ男子っていうもともとジャニーズだった
道枝俊介さんっていうのかな
すごい綺麗な顔をした子なんですけど
この子も後に近大地初め
近大地少年の事件の主役を張ったりとかね
そんなんもしてるような子もいる
そういう見方も結構面白いんちゃうかなって
昔の学園戻見るとこの人出てたんやとかもあったりする発見もあるんで
アマゾンプライムで見れるの確認してるんで
アマプラ入ってれば見れる
クールとアマゾンプライムで見れるような感じ
1話ぐらいみなさん見てみてはどうかなということで
紹介させていただきました
そんな感じでまた次回のお楽しみです
バイバイ
