# オープニング #連休中に読みたい本 どうもー。セキュリティ直起の松野です。 6回目のセキュリティ会社企業を目指して、 サイバーセキュリティの最新ニュースについて 解説しております。ということでね、今日は連休中に読みたい本に 関する話なんですけども、そうですね。 読みたい本はですね、たくさんぼんやりとあるんですけれども、 これを読もうというふうに思って本屋に向かうことがですね、 僕自身あんまりなくてですね、例えば今であったら興味がある 文やAIとかですね、そういった本屋さんに行くとですね、 そのカテゴリーごとに本をまとめてくださっているので、 そのブースに立ち寄ってですね、その中からですね、 もう本当にジャケ買いレベルでですね、手に取ってみて、 目次をパラパラ読みながらですね、内容を想像してみて、 少し読み進めてみる中で、 お持ち帰りしようか、どうしようかということをですね、決めていく。 こんな感じで本をですね、本当にね、著者の方には 申し訳ないんですけども、ちょっと雑にですね、読まさせていただいております。 そんな中でもですね、今読みたいなというふうに思っているのがですね、 さっきもちょっと出たんですけども、AIの中でもですね、 AIアライメントの問題に関するですね、本がいくつか出ていると認識していますので、 その辺りをですね、漁ってみようかなというふうに思っています。 現在もですね、そのモデルのビッグテックというかですね、 大きな3社がですね、いますよね。オープンAI、それから アンソロピックだとはGoogleですか、この3社の争いもさることながらですね、 ここ数年、そのAIをどうやって使おうかという分野においてですね、 さまざまな会社がですね、業務にこうやって組み込んだらいいですよというようなですね、 コンサルだったり、アドバイスだったりをですね、ビジネスとしていると。 こういった会社もですね、うぞうぞ増えている状況だというふうに思っています。 ここ数年、そういった流れがある中で、一方ですね、 ちょっとビジネスとは別の流れでもあるんですけれども、 いわゆるAIとの向き合い方というかですね、その人間の意図とずれた対応を AIがしないかどうかみたいな、そういったアライメント問題が 顕在化しているなというふうに思っていまして、 つまりその使い方ばっかりをですね、突き詰めた結果、例えば戦争だったり、 あとは人間の監視だったりですね、使われてしまうと。 それって我々が求める本来のですね、形ではないじゃないですか。 逆にそれは使い方ばっかり、AIをどうやって合理的に使おうかということばかり 考えていると、そういった結果にたどり着いて、 最終的には戦争に使われてしまうということになってしまうということですね。 ですから、この今後はAIのアライメント問題、ここにしっかりと経営者としてはですね、 向き合っていく必要があるというふうに思っていまして、 その辺りをですね、読み進めていきたいと思っております。 ということで、今回は Oracle Javaに見つかった深刻な脆弱性について取り上げております。 この放送を通じて、リスナーの皆さんは、サイバー攻撃の脅威から自社のネットワークや端末を守るための 具体的な手順と適切なリスク管理の考え方について、 理解を深めていただければと思います。 それではどうぞ。 # Oracle Java に脆弱性、セキュリティ更新プログラム適用を呼びかけ オラクルジャバに脆弱性、セキュリティ更新プログラム適用を呼びかけ、 独立行政法人情報処理推進機構IPAは4月22日、オラクルジャバの脆弱性について発表した。 対象はサポートされている以下のオラクル製品。 こちらの記事を簡単に解説をお願いできますでしょうか。 はい、今回のニュースはIPAが4月22日に発表した オラクルジャバの複数の脆弱性に関するものです。 概要といたしましては、現在サポートが継続している オラクルジャバSEの複数のバージョンにおいて、 セキュリティ上の欠陥が発見されたという内容です。 影響についてですが、もしこの脆弱性を悪用された場合、 利用しているアプリケーションが突然異常終了して業務が止まってしまったり、 最悪の場合は攻撃者によってパソコンを遠隔で制御され、 機密情報が盗まれるなどの甚大な被害が発生する危険性があります。 そのため対策として、IPAは影響の大きさを重く受け止め、 早急に最新のセキュリティ更新プログラムを適用するように強く呼びかけています。 そもそもオラクルジャバとはどのようなところで使われている技術なのでしょうか? はい。オラクルジャバは、OSやハードウェアの種類に依存せずに動かすことができる、 非常に汎用性の高いプログラミング言語とその実行環境のことです。 身近なところでは、企業の社内システムやブラウザ上で動く業務用のウェブアプリケーション、 さらにはデータベースと連携するような大規模な機関システムまで幅広い場面で活用されています。 多くのシステムを支える重要な土台となっているため、 ここに脆弱性があると非常に広範囲に影響が及ぶことになります。 自社のシステムが今回の脆弱性の影響を受けるかどうかは、どう確認すればよいですか? はい、まずは自社のパソコンやサーバーにインストールされている Oracle Javaのバージョンを確認することが第一歩となります。 Windowsであれば、コントロールパネルのプログラム一覧やコマンドプロンプトを使って 現在のバージョン番号を表示させることができます。 その後、IPAやOracle社が公式に発表している対象バージョンのリスト、 例えばバージョン17や21などの特定の更新番号と照らし合わせ、 該当しているかを正確に確認する手順が必要となります。 もし該当するバージョンを使っていた場合、具体的にどのように修正すればよいのでしょうか? はい、対象のバージョンを使用していることが判明した場合は、 Oracle社が提供している最新のセキュリティ更新プログラムをダウンロードし、 適用していただく必要があります。 この更新プログラムには、今回発見されたセキュリティ上の欠陥を塞ぐための修正が含まれています。 ただし、いきなり本番環境のサーバーに適用すると、 業務アプリケーションが正常に動かなくなるなどの不具合が起きる可能性もあるため、 まずはテスト環境で動作確認を行う手順を踏むことが重要です。 すぐに更新プログラムを適用できない事情がある場合、何かリスクを下げる方法はありますか? はい、システムの構成上、すぐにアップデートが難しいケースは確かに存在します。 そのような場合のリスク低減策として、まずは外部からの不正のアクセスを防ぐために、 ファイアウォールや侵入検知システムの設定を見直し、通信の監視を強化することが挙げられます。 また、影響を受けるシステムをインターネットから一時的に切り離したり、 利用できるユーザーを最小限に制限したりすることで、 攻撃者が脆弱性を悪用して侵入してくる機会を物理的・論理的に減らす対策が有効です。 今回のニュースから、私たちIT担当者はどのような教訓を学ぶべきだとお考えでしょうか? はい、今回のような広く普及しているソフトウェアの脆弱性は、 いつ発見されてもおかしくないという前提に立つことが最大の教訓です。 ソフトウェアを導入して終わりではなく、常に最新のセキュリティ情報を収集し、 迅速に対応できる体制を整えておくことが求められます。 日頃から社内で利用しているソフトウェアやそのバージョンを正確に把握する資産管理を行い、 いざという時に迷わずアップデートの計画を実行できるような運用プロセスを築いておくことが、 長期的な防御につながります。 なるほど。 広く使われている技術だからこそ、自社の利用状況を正確に把握し、 速らかに更新プログラムを適用するなどの適切な管理が欠かせないのですね。 事前のテストや一時的なリスク低減策も含めて、日頃からの備えが重要だとよくわかりました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はJavaに見つかった 深刻な脆弱性ということでした。 最近作られたシステムでは、 特にAI駆動開発で作ったプログラムですと、 あまりJavaが選ばれることって ないかなと思うんですけれども、 レガシーなシステムでは引き続き、 現役でJavaが必要とされるということになるかなと思っています。 どこかのプロジェクトで、確かアメリカでしたっけ、 イーロンマスクも絡んでいたと思うんですけれども、 Javaで書かれたプログラムを、 近代的な開発言語に完全リプレイスをAIで数日で終わったと。 本当に動いたかどうかというのは、当時のモデルで どれぐらいの性能が出るかというところにかかっていると思うんですけれども、 そういったこともあるくらい、 もしかしたらそういったJavaの潜在的なセキュリティリスクを解消するために、 別の言語に乗り換えていくと、 そういった動きもこれから出てくるかもしれません。 ソースコードを読ませれば、そこから設計書だったり、 あとは脆弱性診断だったりですね。 そんなことが誰でも当たり前にできるようになった、 そういった時代でもあります。 そういった意味であれば、それ自体をビジネスにしてきた 自分としては、もはやお払い箱というか、 それで何か社会に価値を提供していることには ならないということになります。 前半にも話しましたが、使い方よりも向き合い方、 この辺りが重要だなというふうに考えている、 今日この頃であります。 今日の10分セキュリティラジオは、 月曜から土曜に、祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.