Scan Security Wire

Scan Vol.547 2009/11/19 ＋国内情報版＋

┏━━ セキュリティマガジン Scan Security Wire ダイジェスト版 ━━━┓
 "企業のセキュリティ担当者のための総合情報誌"  [木曜発行／国内情報版]
┗━━━━ https://www.netsecurity.ne.jp/ ━━━━2009/11/19 Vol.547┛

--------------------------------------------------------------〔AD〕--
┏━┓★セコムが提供するSSLサーバ証明書リニューアル★
┗━╋━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
┃セコムパスポート for Web SR2.0はサイト運営者の「負荷」「コスト」削減
┃5年間有効／1年契約／毎年支払→更新時の手続＆証明書インストール不要
┃詳細: http://www.secomtrust.net/news/2009/nsr_adpfwsr5_20090601.html 
----------------------------------------------------------------------
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
           ━╋ Scan Security Wire ダイジェスト版 目次 ╋━
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

  【01】情報漏えい事件 Weekly Review
  --------------------------------------------------------------
  【02】今週のニュース＜2009-11-19＞
  --------------------------------------------------------------
  【03】今週の製品・サービス情報＜2009-11-19＞
  --------------------------------------------------------------
  【04】今週のセキュリティトピックス＜2009-11-19＞
  --------------------------------------------------------------
  【05】Langley のサイバーノーガード日記
                                   サイバーセキュリティとおとり捜査(3)
  --------------------------------------------------------------
   ╋   編集部からのお知らせ（登録変更・解除はこちら）


--------------------------------------------------------------〔AD〕--
Ｓ┃Ａ┃Ｎ┃Ｓ┃    ■　SANS No.1インストラクター Eric Coleによる
━┛━┛━┛━┛    ■　　SEC501 Advanced Security Essentials
Ｔ┃Ｏ┃Ｋ┃Ｙ┃Ｏ┃■　　　　　 − Enterprise Defender −
━┛━┛━┛━┛━┛■あらゆる攻撃・不正から組織を守る手法を完全習得！
 　　  2010 Spring┃    詳細・お申込みは→ http://sans-japan.jp/ 
----------------------------------------------------------------------
━━━━━━━━━━━━━━━━━━━━━━━━━━━[ダイジェスト]━
【01】情報漏えい事件 Weekly Review
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　企業が起こした情報漏えい事件のこの一週間を振り返ります。
----------------------------------------------------------------------
●カード情報流出件数が32,359件に拡大（アリコジャパン）
----------------------------------------------------------------------
　アリコジャパンは11月11日、同社が9月11日に発表したクレジットカード情
報の流出件数18,184件に加え、新たに14,175件が流出していたことが判明した
と発表した。これにより、現時点で判明している流出件数は合計32,359件と
なった。これは、カード会社各社から新たに報告をうけた不正使用の試みの照
会の中に、これまで把握していた流出情報の共通属性に該当しないものが含ま
れていたことから精査・分析を行った結果だという。

　合計32,359件のうち、カードの不正使用の試みが行われたのは、11月5日時
点で累計5,122件（このうち14,175件に含まれるのは469件）。なお、流出した
情報はカード番号および有効期限のみであり、顧客個人を特定する情報は含ま
れておらず、該当する顧客に金銭的な被害は発生していない。同社では該当す
る顧客に対し、カードを切り替えるよう呼びかけている。手数料は同社が負担
するとしている。

 http://www.alico.co.jp/about/press/09_1111.pdf 
----------------------------------------------------------------------

●大阪市立喜連東小学校、教諭が児童の個人情報を記録したUSBメモリを紛失
  （大阪市）
 https://www.netsecurity.ne.jp/1.html 
●社員が顧客情報を販売代理店に「不適切」な提供（NTT西日本）
 https://www.netsecurity.ne.jp/1.html 

 (※各URLは記事カテゴリのトップページにリンクします)
 -----
 ※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
 購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw 


━━━━━━━━━━━━━━━━━━━━━━━━━━━[ダイジェスト]━
【02】今週のニュース＜2009-11-19＞
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
----------------------------------------------------------------------
●「SNSDB Advisory Report 200907-09」を発表（ラック）
----------------------------------------------------------------------
　株式会社ラックは11月18日、「SNSDB Advisory Report 2009 07-09」を公開
した。本レポートは、同社の脆弱性情報データベース「SNSDB」において発行
されたSNSDBアドバイザリをもとに、四半期別に集計を行ったもの。2009年7月
から2009年9月に発行した151件のSNSDBアドバイザリを集計したものとなって
おり、「SNSDBピックアップ脆弱性」「脆弱性サマリ」「脆弱性統計情報」に
よって構成されている。

　SNSDBピックアップ脆弱性では、第三者に悪用される危険性が特に高いと考
えられる17件の脆弱性を紹介している。また、脆弱性サマリでは、アドバイザ
リの脆弱性をソフトウェア分類として区分した統計情報および四半期別の脆弱
性の件数を紹介しており、6つのソフトウェア分類のうち、サーバが45件
（30％）と最も多く、前四半期のクライアントを逆転した。脆弱性統計情報で
は、リスクレベルでは「Medium」が最も多く約34％を占めた。

 http://www.lac.co.jp/info/snsdb_advisory/pdf/SNSDB_Advisory_Report_200907-09.pdf 
----------------------------------------------------------------------

●IT統制ソリューションセミナーを開催（NRIセキュア）
 https://www.netsecurity.ne.jp/1.html 
●集合研修を利用し、中小企業のPマーク自社取得を低価格で支援
  （JMCリスクソリューションズ）
 https://www.netsecurity.ne.jp/1.html 
●gredセキュリティレポートVol.4[2009年10月]を発表（セキュアブレイン）
 https://www.netsecurity.ne.jp/1.html 
●月間マルウェアランキング[2009年10月]（キヤノンITソリューションズ）
 https://www.netsecurity.ne.jp/1.html 
●第3四半期はスパム、マルウェア、Webベースの脅威が史上最高を記録
  （マカフィー）
 https://www.netsecurity.ne.jp/1.html 
●10月のサイバー脅威、相変わらず情報を盗みとるための不正なコードが蔓延
  （マカフィー）
 https://www.netsecurity.ne.jp/1.html 

 (※各URLは記事カテゴリのトップページにリンクします)
 -----
 ※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
 購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw 


━━━━━━━━━━━━━━━━━━━━━━━━━━━[ダイジェスト]━
【03】今週の製品・サービス情報＜2009-11-19＞
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
----------------------------------------------------------------------
●包括的なセキュアWebゲートウェイ・ソリューションを提供開始
  （ブルーコート）
----------------------------------------------------------------------
　ブルーコートシステムズ合同会社（ブルーコート）は11月17日、包括的なセ
キュアWebゲートウェイ・ソリューション「Blue Coat Secure Web Gateway」
を発表した。同製品は、高性能なゲートウェイ・アプライアンスと連携するこ
とで、リモートユーザの保護と互換性のあるクラウド環境によって、長期的に
有効なセキュリティ基盤が構築可能だ。

　新製品であり、高パフォーマンスを実現するゲートウェイ・アプライアンス
「Blue Coat ProxySG 9000シリーズ」、高性能なマルウェア・スキャン機能を
提供する「Blue Coat ProxyAV 1400/ 2400アプライアンス」の他、「Blue 
Coat ProxyClientソフトウェア」のフィルタリング機能、「Blue Coat 
WebPulseクラウドサービス」の機能拡張が含まれている。「Blue Coat 
ProxySG 9000」および「WebPulse」は同日より供給を開始しており、「Blue 
Coat ProxyAV 1400/ 2400シリーズ」は、2009年12月から販売を開始する。

 http://www.bluecoat.co.jp/news/releases/2009/171109.html 
----------------------------------------------------------------------

●Web&DBセキュリティ製品のWAFを大規模システム対応、自動化の観点でリ
  ニューアル（TED）
 https://www.netsecurity.ne.jp/10.html 

 (※各URLは記事カテゴリのトップページにリンクします)
 -----
 ※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
 購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw 


━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【04】今週のセキュリティトピックス ＜2009-11-19＞
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
●電子メールフィルタリングソフトの最新版を発売（デジタルアーツ）
 http://www.daj.jp/company/release/2009/r111801.htm 


━━━━━━━━━━━━━━━━━━━━━━━━━━━[ダイジェスト]━
【05】Langley のサイバーノーガード日記
                                   サイバーセキュリティとおとり捜査(3)
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
●さらに恐ろしいおとり捜査の手法

　筆者がさらに恐れていることは別にある。その説明を行う前に、2種類のお
とり捜査について軽く触れたいと思う。

　もともと犯罪を行う意志はなかったがおとり捜査によってその気になった場
合と、もともと犯罪を行う意志があり、おとり捜査によって実行した場合の
2種類である。

　前者は犯意誘発型と後者は機会提供型と呼ばれるらしい。

　例えば、買い取り捜査のほとんどは、すでに犯人がネット上で販売を行って
おり、警察官はそれを買うわけである。なので、後者に分類される。

　これに対して警察官が、「オレ、あそこのサーバの穴を知ってるんだ。お前、
クラックしてみない？」と誘ったら、前者になる。

　前者は、犯行の意志がないものを誘うので、これは違法捜査に当たるらしい
し、起訴されても無罪になるということになっている。

　では、海賊版DVDを販売している業者に、児童ポルノもあったら高くても買
うよ、と誘うのは、どちらに当たるであろうか？　（これは前者の犯意誘発型
に当たるらしい）あるいは、ネット上で××社のサーバをクラックしてやりた
いと言っている者に当該サーバの脆弱性情報を教えるのはどうなんだろうか？
　などなど前者と後者の境界はあいまいである。

　筆者が恐れているのは、この境界上の捜査方法である。

　まず、筆者とは縁遠い話題から説明してみたい。つまり児童ポルノや海賊版
のおとり捜査である。筆者はどちらにも興味がない。

　警察が児童ポルノや海賊版のダウンロードサービスを行う、あるいはWinny
に追跡可能な仕掛けを施した児童ポルノや海賊版を放流する可能性があるん
じゃないだろうか？　罠については公表せず、ひたすら児童ポルノや海賊版を
入手した者を検挙していくのである。なんと効率的なことだろう。児童ポルノ
や海賊版を自己解凍ファイルにしておいて、解凍の際に勝手にスパイウェアを
インストールすれば一発である。

　動画サイトの著作権も常に問題になっていたりするわけであるが、こういう
仕掛け（動画を見ている間に勝手に個人情報を当局に通報される）をしておけ
ば効率アップである。あの莫大なファイル全てに仕掛けをつける必要はない。
たまに警察がアップしたファイルがあって、それを見ると一発で捕まるという
だけで充分な抑止効果になるであろう。

　これは、先ほどのおとり捜査の犯意誘発型に当たるのであろうか？　難しい
ところだが、そもそも相手は、児童ポルノや海賊版を探していて警察謹製の
ファイルを探し当てたわけだから、最初に犯行の意志があったと見なされてし
まうのではないだろうか？

　FBIは偽造クレジットカードなどの売買を行っていたサイトの運営に自ら携
わり、犯罪者を一網打尽にしている。なおFBIは、おとり捜査は認めているが、
サイト運営に携わっていた点については公式にはコメントしていないようであ
る（だが、FBIのおとり捜査官は第三者から運営者と見られていたので運営に
かかわっていた可能性は高い）。日本で、警察自身が違法サイトを運営し、そ
こに集まってきた犯罪者を逮捕するのも、ありえない話ではないのである。

　怖い話である。

●さらに進化系　ツールの配布

　筆者が本当にやって欲しくないと思っているのは…

                                            【執筆：Prisoner Langley】
執筆者略歴：
　民間研究者として、さまざまな角度から、セキュリティ事象を調査研究、
BUGTRAQへの投稿などを行う。2004年に発生した、コンピュータソフトウェア
著作権協会（ACCS）のセキュリティ事件の際、セキュリティ対策のひとつとし
て「サイバーノーガード戦法」を提唱。
　4コママンガを描くこともある。執筆依頼はSCAN編集部まで

【関連記事】
Langley のサイバーノーガード日記 サイバーセキュリティとおとり捜査(1)
 https://www.netsecurity.ne.jp/3_14265.html 
Langley のサイバーノーガード日記 サイバーセキュリティとおとり捜査(2)
 https://www.netsecurity.ne.jp/3_14309.html 

【関連リンク】
セキュリティコラムばかり書いているLANGLEYのブログ
 http://netsecurity.blog77.fc2.com/ 
 -----
 ※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
 購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw 


━━━━━━━ 弊誌は下記の企業様にご協賛頂いております ━━━━━━━

RSAセキュリティ株式会社                         http://japan.rsa.com/ 
トレンドマイクロ株式会社                 http://www.trendmicro.co.jp/ 
エフセキュア株式会社                       http://www.F-secure.co.jp/ 
セコムトラストシステムズ株式会社           http://www.secomtrust.net/ 
NTTデータ・セキュリティ株式会社         http://www.nttdata-sec.co.jp/ 
株式会社ラック                                  http://www.lac.co.jp/ 
SSHコミュニケーションズ・セキュリティ          http://www.jp.ssh.com/ 
バリオセキュア・ネットワークス株式会社    http://www.variosecure.net/ 
NRIセキュアテクノロジーズ株式会社        http://www.nri-secure.co.jp/ 
株式会社セキュアスカイ・テクノロジー    http://www.securesky-tech.com 

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
╋ 編集部からのお知らせ
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○[melma!] アドレスの解除と変更(変更は解除後に再登録下さい)
　http://www.melma.com/backnumber_12454/
○[まぐまぐ!] アドレスの解除と変更(変更は解除後に再登録下さい)
　http://www.mag2.com/m/0000005897.html
○SCAN 情報公開原則 (編集部のセキュリティ情報の公開の考え方)
　http://ns-research.jp/c2/info_dis_pri.php 
○Scan購読会員について
　企業のネットワーク管理者やセキュリティ部門の担当者向けに情報セキュリ
ティ最新情報やニュースをお届けするScan購読会員登録について、詳しくは下
記URLをご参照下さい
　http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw 
○SCANメールマガジン一覧
　Scan Security Wire (情報セキュリティ総合誌)
　https://www.netsecurity.ne.jp/14_3684.html 
　Scan Daily Express (OS,ベンダ別セキュリティホール)
　https://www.netsecurity.ne.jp/14_3683.html 
　Scan Security Management (文系ビジネスマンにわかるセキュリティ情報)
　https://www.netsecurity.ne.jp/14_3697.html 
　Scan Tech Report (エクスプロイットやツールを解説する技術情報専門誌)
　https://www.netsecurity.ne.jp/14_3698.html 
○協賛と広告お問い合わせ
　https://www.netsecurity.ne.jp/ad.html 

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
                 株式会社ネットセキュリティ総合研究所
          (事業譲渡により2009年4月より商号が変更されました）
        旧商号：サイボウズ・メディアアンドテクノロジー株式会社
                      http://www.ns-research.jp/ 
                 発行人：近藤 直樹／編集人：大菅 健一郎
     このメールマガジンの掲載記事を許可なく転載することを禁じます
      Copyright (c) 2009 NetSecurity Research Institute Co., Ltd.
                         All Rights Reserved.
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━