サイバーセキュリティの勉強を始めるには

「サイバーセキュリティってどうすればいいの?(;゚▽゚)」

長いことセキュリティ齧っているおじさんは、このような疑問を、あちらこちらから聞かれるわけです。
で、これにバン!と一発で明快に答えられたらいいのですが、そういうわけにはいきません。

何故か?

それは、組織によって守るべきものが違うので、結果やらなきゃいけないことも変わってくるからです。

でも、自分のところで守るものって何よ?となりますよね。そもそも、どういうものを守らなきゃいけないの?と。
プロのコンサルに400~1000万円位払って、リスクアセスメントしてもらったり、コンサルしてもらってもいいのですが、それよりも先ずは自分で勉強しなければ始まりません。

そんな時に、「分かりやすいな~」と思ったのが、東京都産業労働局が出している「中小企業向けサイバーセキュリティの極意」です。
マンガ形式で分かりやすく説明してくれています。

また、サイバーセキュリティの世界は悪い人もいい人も日進月歩なので、新しい情報を仕入れ続けていく必要があります。
プロではない人が情報を仕入れるのに便利なサイトがいくつかあります。

他にも英語ですが、Bleeping Computer などは、かなり専門的ではあるものの良質な情報が提供されています(腕に自信のある方向け)。

これから始めてみようという方は、是非目を通してみてください。

短縮URLにご用心、というお話

※実は、去年の11月頃のネタですが...。ご参考:https://piyolog.hatenadiary.jp/entry/2023/11/12/014635

近年、スーパーのチラシに、ホームページや会員登録サイトなどのURLがQRコードで印刷されているのをよく見かけます。
で、そのURLなのですが、短縮URLであることが多いようです。

「そもそも、QRコードなんだから短縮する必要ないじゃん?(;゚▽゚)」

と思う人もいるかもですが、QRコードは情報量が増えるとそれ自体が大きくなってしまう(ある意味当たり前)ので、なるべく広告を載せたいチラシでは小さいことに越したことはありません。
かといって情報量の多いQRコードを小さく印刷してしまうと、いくら強力なエラー訂正が売りのQRコードと言えど細かくなり過ぎて、読み取りが難しくなるなどの問題が生じます。
そこで、短縮URLを使ってQRコードの情報量を減らすことで、読み取り精度を維持しつつQRコードを小さくできるという理屈です。

で、それの何が危険かというと、短縮URLの運営企業も収益を上げないと存続できないので、収入源としてネット広告を表示するのですが、その広告に紛らわしい不正な広告(malvertize)が混じってしまうことがあります。
利用者が、その広告をクリックしてしまうと、不正なサイトに接続されてしまい被害に遭う、ということらしいです。
※昔から、ダウンロードサイトに偽の「ダウンロード」という広告を出してクリックさせ、マルウェアをダウンロードさせる、なんてのもありましたね。

提供者側の対策としては、定期的に不正な広告が表示されないかを点検し、不正な広告を見かけたら直ちに指摘・停止措置を行う、といったところでしょう。
また、利用者側対策としては、サイトの表示にはよく注意して、妙な広告をクリックしないようにすることと、Adblockerなどを導入することくらいでしょうか。
※ただし、Adblockerを検知して、広告が表示できないとリダイレクトしない、という措置をしているところもあるようで、一筋縄ではいきません。

利用者側にとっては、なかなかに難しい問題です。

あけましておめでとうございます!

  • 投稿日:
  • by
  • カテゴリ:

あけましておめでとうございます。
旧年中は大変お世話になりました。
今年も宜しくお願いいたします。

新年早々、このブログに繋がらないことに気づいて、慌てて直しておりました。
まあ、再起動で直ったのですけど。
もう、母艦サーバも古いので、そろそろ更新しなきゃなぁと思う今日この頃です...。(;´д`)

Windows Protected Print Modeの登場

  • 投稿日:
  • by

なんでも、Windowsのバグのうち印刷のバグが9%を占めているらしく、マイクロソフトは2025年からサードパーティーのプリンタドライバを受け入れなくするらしいですね。
Bleeping Computer - Microsoft unveils new, more secure Windows Protected Print Mode

じゃあ、どうするのかというと、MS謹製の汎用ドライバのみが使用されるようになるみたいです。

これにより、プリンタドライバのバグや脆弱性による被害を抑えることが目的のようですが、各社色々独自機能がありますし、その辺が使えるようにするためのインターフェースがどのように用意されるのかな(あるいは用意されない?)と思います。

今、Canonのちょい古いプリンタを使ってますが、各種クリーニング機能やらインク残量やらで便利なので、その辺が維持できるのかな?とは思います。
というか、古いプリンタは斬り捨て御免かもですけど...。
※プリンタ制御も、ESC/Pとかその辺使って汎用的に動かす感じになるのかな...流石に今更PostScriptってのもないかもだし...。

今のプリンタは、ピックアップローラASSY(紙を拾い上げるローラー)の調子が悪くて最早寿命の感もあるのですが、次のプリンタを買うのは2025年まで様子を見たほうが良さそうだな~と思った次第でした。

遂に達成\(^o^)/

Webサーバでは、httpsプロトコルでSSL/TLSと呼ばれる暗号通信が可能です。
そのあたりの設定について、安全かどうかを調査することが出来るQualys SSL LabsのSSL Server Testがあります。
今回、Let's Encryptに移行したので、久々に評価をしてみました。

不思議な動画

  • 投稿日:
  • by
  • カテゴリ:

いつもはセキュリティに関する情報を入手するために使用しているX(twitter)ですが、Stable Diffusionを使ったAIアートの動画が出てきてびっくりしました。

https://twitter.com/mark_riedl/status/1715473941194530900

大自然の背景に人が踊っているような動画なのですが、止めると人が消えて背景になってしまうというものです。
リアル画像版AA(アスキーアート)のような感じなのかな?とも。
一度見てみてくださいませ。これはすごい。(;゚▽゚)

冷凍餃子フライパンチャレンジ...

  • 投稿日:
  • by
  • カテゴリ:

味の素さんが、面白いことをしてました。

なんと、3500個以上に及ぶ数の「冷凍餃子を焼いたら焦げたフライパン」だけを集め、研究開発を行っているとのこと。
同プロジェクトのホームページでは、キーエンスの協力を得て3Dモデル化してくれています。

見ていくと、結構既にボロボロなフライパンも多く、たぶん何焼いても焦げ付きそうな...。\(^o^)/
焦げ付かないコツは、油を大さじ1杯引くのと、10分蒸し焼きにすることなんだそうです。

なんだか餃子食べたくなってきた!(;゚▽゚)

HTTP/2の設計自体に脆弱性が発見されました。。。

軽量で高速に処理できるということで、数年前から流行り始めたHTTP/2でしたが、残念ながらプロトコルそのものに脆弱性が見つかってしまいました。
HTTP/2 Rapid Reset という攻撃手法により、なんと1秒間に3億9800万リクエスト(!)もの通信を仕掛けて、サーバを落としてしまうというものです。

証明書変えてみました

当サイトの証明書、定期的に「いい加減、オレオレ証明書もアレだな~(;´д`)~3」と、思っていたのですが、なかなか踏ん切りがつかず絶賛放置プレイでした。

しかし、今回思い切って、あの「ホワイトハウス」でも使われている「Let's Encrypt」を採用してみました。\(^o^)/

まあ、某サイトでは「Let's Encrypt使ってたら詐欺」とまで言われましたがw

大丈夫です。

このサイトは皆さんに何も求めておりません。
書いた内容が間違っているかもですが、それは個人の考え・諸説ありますということで、ご容赦頂きたく。m(_ _)m


ひょっとしたら、Chromeなんかだと「いつもと違う証明書」ということでエラーになるかも...。
その時は、以下の手順で解消できます。

chrome://net-internals/#hsts にアクセス
②「Delete domain security policies」のところで、当サイトのドメイン「grnbbs.mydns.jp」を入力し、「Delete」ボタンをクリック
③ 当サイトに再度アクセス

これで、このエラーを解消できるはずです。

サポート詐欺にご注意

最近なんだか増えているらしいので、注意喚起しておきます。

Webを見ていて、急に「貴方のPCは感染しています」とか、「Windowsサポートへ連絡」とか出ると不安を感じてしまいますね。

でも、安心してください。それは100%詐欺です。

心配しなくても、誰も貴方のPCをタダで守っていません。そんなことを言ってくる輩は貴方を驚かせて騙そうとしている詐欺です。

さっくり無視しましょう。

また、このメッセージが出たからと言って不安になることもありません。所詮はただの広告です。
こういうのを、悪意ある広告=Malvertisingと言います。

ご参考1:https://www.npa.go.jp/bureau/cyber/countermeasures/support-fraud.html

こういうのに出くわさないようにするためには、AdBlockなどの広告ブロックツールをブラウザの拡張機能に入れましょう。
無料で効果てきめんです。


突然、OSのタスクトレイの通知領域に、McAfee等のセキュリティ製品を騙って、やれ「ウイルスに感染した」だの、「ライセンスがない」だのと下らないことを言ってくる場合があります。
OSなどの通知と同様にタスクトレイの通知領域に出てくるので、それっぽく感じてしまうかも知れませんが、その本質は単なる詐欺広告です。

そもそも、あなたがWindows10 以降を使っているなら(ほとんどの人がそのはず)、OS標準のMicrosoft DefenderがあなたのPCを「そこそこいい感じ」に守ってます。
こんな胡散臭く、鬱陶しい方法で通知されるような怪しいモノを、あなたの大事なPCに入れる必要は全くありません

もし表示されてしまっている人も安心してください。

この詐欺広告を表示してしまう原因となるのは、ブラウザのプッシュ通知機能です。

最近、プッシュ通知を要求してくるサイトがやたら多いように感じます。ハッキリ言って迷惑以外何物でもありません。
よほどの理由がない限り基本全拒否でOKでしょう。よほど理解して、必要だと思っている人以外はハッキリ言って不要なものです。

胡散臭いプッシュ通知をうっかり許可しないよう、例えばGoogle Chromeであれば、

「設定 > プライバシーとセキュリティ > 通知」で、「サイトに通知の送信を許可しない」にチェック

を入れておきましょう。これで二度とプッシュ通知を許可しなくなります。

また、既に詐欺広告が表示されている方は、同じ設定画面に

「通知の送信を許可するサイト」

というところがあります(一番下)。
実際問題、どれが怪しいのかまでは分からないと思いますので、全部削除してしまいましょう。ほとんどの場合、鬱陶しいだけで不要なものです。

これで解決です。

ご参考2:https://internet.watch.impress.co.jp/docs/column/dlis/1337624.html