# オープニングトーク 今日の10分セキュリティラジオ ようこそ今日の10分セキュリティラジオへ 月曜担当パーソナリティの大春と セキュリティジョッキーの松野です 月曜の配信は見習いセキュリティエンジニアである私大春が 気になるセキュリティニュースを セキュリティ専門家の松野と共に読み解いていく セキュリティをテーマにしたラジオです 本日もよろしくお願いします よろしくお願いしますってことでね 今日もVoicyさんのハッシュタグから 推し活の支出ということで 応援している方への支出ということでしょうか そうですかね 大春さん何か推し活そもそもされていらっしゃいますでしょうか よくねコンサートに行ってグッズを買うとか 好きな谷野さんとかアーティストさんに ライブに行くとか そういうのはよく聞いたりしますけれども そういうのはあまりしないんですけれども 最近とかだったらやっぱり昔から漫画読むのが好きなので その漫画の単行本を買ったりとか 作者さんの利益になるような形で 本を買うとか電子書籍を買うとか そういうので推し活っていうのはちょっと言い方が違うかもしれないですけど こういう活動に当てているっていうのはありますね そういうことなんですね 僕も何か特定の応援している人がいるわけではないんですけど 芸者としてというんですかね ビジネスとしてやっぱり直接我々だと脆弱性診断とか 物やサービスを販売するよりも 応援の延長線上でそこで消費を発生していただくというんですかね 物やサービスを買っていただく方が継続性がすごくあると思っていて つまりこれを買ってください こちらどうですかっていう提案よりも 我々がいかに応援されるかということに ビジネスの非常に重要なポイントがあるんじゃないかと思っておりまして それの一環がこのVoicyでもあって 皆さんから応援されるように頑張っていかなきゃいけないかなというふうには思っております そうですね 応援されるように頑張っていきたいですね はい 今日もよろしくお願いします よろしくお願いします 私がやっている競馬って一種の押し勝つ? # Unbound にサービス不能（DoS）攻撃が可能になる脆弱性 アンバウンドにサービス不能、DOS攻撃が可能になる脆弱性 株式会社日本レジストリサービスは10月7日 アンバウンドの脆弱性情報が公開されたことを発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。Cache DNSサーバーのソフトウェアに脆弱性が発見されています。 ご利用中の方はアップデートを検討してください。 発見された脆弱性の内容とDOS攻撃の対策について説明します。 今回の脆弱性はオープンソースのCache DNSサーバーである アンバウンドにDOS攻撃が可能になる脆弱性が存在するというものです。 影響を受けるシステムはアンバウンド1.21.0以前のバージョンです。 影響として攻撃者によってパフォーマンスを低下させて サービス不能な状態を発生させられる可能性があるということです。 深刻度を表すCVSSバージョン3の基本値は5.3で3番目に高い警告とされています。 脆弱性の詳細は本脆弱性に割り当てられたCV番号 CVE-2024-8508で検索してみてください。 今回はCache DNSサーバーにDOS攻撃が可能になる脆弱性が 見つかったとの記事を取り上げています。 サービス不能へと落とし入れることができるこのDOS攻撃 どのような攻撃なのでしょうか。 またセキュラジでも以前に聞いたことのある DDoS攻撃との違いはどこにあるのでしょうか。 DOS攻撃とはDenial of Serviceの略で サービス拒否攻撃と訳されます。 サービスを提供しているシステムに対して 大量のアクセスやデータを送信したり 脆弱性を悪用したりしてシステムを過負荷状態にして 正常に動作的確するサイバー攻撃です。 イメージとしてはレストランに大量の人が一度に押し寄せ 店員が対応しきれなくなり 他の客が注文できなくなってしまうような状態です。 DOS攻撃の目的は特定のサービスへのアクセスを妨げ 利用者を困らせたり対象のシステムを停止させたりして ビジネスに損害を与えることが挙げられます。 またDOS攻撃を被害者に迫ることで金銭を要求したり より大きなサイバー攻撃を仕掛けるための カムフラージュにしたりすることもあります。 今回の脆弱性では攻撃方法として 特定の形式のDNSリクエストを送信することで アンバウンドがインストールされた キャッシュDNSサーバーのリソースを大量に消費させ 正常なサービス提供を妨害するというものです。 攻撃が成立する条件としては 非常に大きなリソースレコードセットを持つ 悪意のあるゾーンに対して 特別に採掘されたクエリを実行する必要があります。 DOS攻撃には大きく分けて 単一のコンピューターから攻撃を仕掛けるDOS攻撃と 複数のコンピューターを不正に利用して 分散して攻撃を仕掛けるD-DOS攻撃があります。 D-DOS攻撃の方がより大規模な攻撃が可能で 被害も大きくなる傾向があります。 また、今回取り上げているDOS攻撃は サービス不能に落とし入れることが目的の攻撃です。 どんなに良いサービスでも それが全く使えないとなってしまっては 利用する側としては対処のしようがありません。 DOS攻撃でサービス不能に陥らないためには どのような対策が必要となるのでしょうか。 はい、DOS攻撃の対策として 脆弱性の修正と負荷分散が挙げられます。 まず、DOS攻撃のきっかけが脆弱性であった場合 アップデートを行うことが対策の基本となります。 OSやアプリケーションに脆弱性がある場合は 脆弱性が修正されたバージョンを使用することで 脆弱性をついたDOS攻撃を受けても サービス不能な状態には落ちらないことになります。 また、DOS攻撃で脆弱性をつくこと以外にも サービスやシステムに大量のアクセスを発生させるなどして 負荷をかけることで サービス不能な状態に落ちる可能性があります。 ネットワークでの対策としては 特定のIPアドレスからのリクエスト数を制限することや 信頼できるIPアドレスからのみアクセスを許可することで 過負荷な状態になることを回避することができます。 サーバーでの対策としては 複数のサーバーに負荷を分散させたり 性的なコンテンツをキャッシュすることで 単一のサーバーが過負荷になるのを防ぐことができます。 ただし これらはあくまでも負荷分散による対策となりますので より大きな負荷やDDoS攻撃のような 分散化されたサイバー攻撃に対しては 効果が限定的になることに注意することが必要です。 今回はキャッシュDNSサーバーのソフトウェアに 発見された脆弱性の内容と DDoS攻撃の対策についてお届けしました。 DDoS攻撃は防ぐことが難しいサイバー攻撃の一つとなりますので 万が一被害に遭った場合の準備は あらかじめ行っておくようにしましょう。 なるほど DDoS攻撃自体は防ぐことが難しい攻撃の一種なのですね。 脆弱性が攻撃の起点とならないよう診断などでチェックをしたり 攻撃を受けてしまった際の対策や準備は怠らないようにしておきたいですね。 また一つ勉強になりました。 # エンディングと今日のひとこと 本日の放送は以上となります。 お届けしたニュースは、サイバーセキュリティ専門ニュースサイトスキャンネットセキュリティと株式会社中途セキュリティの提供でお送りしました。 ながらで聞けてダメになる今日の10分セキュリティラジオは、毎週月曜・水曜・金曜の朝7時15分より最新回を配信しております。 同じく月曜・水曜の夜8時から、録音では聞けないセキュラジー制作過程の裏側をVoicyライブアワーから生放送でお届けしています。 そして土曜日はダクシー大春とAIの奇跡のコラボ、1週間の内容をダイジェストでお送りするセキュラジーAIミー社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 私はメガネをかけているのですが、この間メガネを新調しました。 メガネをかけていても、検査で視力が低下していたのと気分転換も兼ねて変えることにしました。 ただ、かけ始めは慣れていないので、やはり少し疲れます。 改めて、目にかかる負担って大きいんだなあと思いました。大事にいたわってあげたいです。 それでは次回、水曜宮本さんの放送もお楽しみに。