# オープニング #我が家のスマホルール どうもー!セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指してサイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は我が家のスマホルールに関する話なんですけども 以前にもですねこの話はさせていただいたかと思うんですけども 僕のスマホですね 設定がですね 常に通知オフ、ミュートですかね、この状態になっております。 ですから電話がかかってきても鳴らない LINEが届いても震えないと、そういった状態になっています。 もちろんですね、電話帳に登録してある方の電話は鳴ったりですとか あとはですね仕事関連で言うとセキュリティのアラートですね これが上がった際はですね24時間365日 大音量でですね知らせてくれるというところはですね ございます。逆に言うとそれ以外ですね、そのSNS関連だったり メッセンジャーだったりLINEだったりですね、もともとそのSNSやってないというところも あるんですけれども そういったお知らせ関連で何かですね、そのスマホが反応するということは一切ないという状態で どうですかね、もうかれこれ10年以上ですか、使っています。 もともとですね、もうちょっと記憶もあの定かではないんですけども、もともとはですね やっぱこうスマホのその通知音だったりそのバイブとかでですね 自分の仕事だったりその集中している状態がですね、もう邪魔されてしまうのが本当に嫌というかですね それをこう再び起動を戻すのにですね、かなりパワーを使っているなぁということに自分自身気がつきまして この設定をですねすることによってやっぱりですね あの未読するするんじゃないよとかですね あの生きてるかみたいな、そんなご心配はですねかけるところもあるんですけれども あの去りとってですねその得られるものというかあの メリットの方がですね非常に大きいというところで未だに続けさせていただいております まあどうですかねあの一度やってみると結構ねあのいい感じに思っていただけるんじゃ ないかなというふうに思っていますのでぜひ あの1日でもですねあのお試しいただけたらいかがかなというふうに思っております ということで今回はパワーディエネスリカーサーと呼ばれる キャッシュDNSサーバーのソフトウェアに発見された 脆弱性について取り上げております この放送を通じてリスナーの皆さんは私たちが普段当たり前のように使っている ウェブサイトの閲覧が裏側でどのような仕組みに支えられているとか そして基盤システムに脆弱性が見つかった場合どのような影響があり どのように対応すべきなのかについて理解を深めていただければと思います それではどうぞ # PowerDNS Recursor に複数の脆弱性 PowerDNS Recursorに複数の脆弱性 株式会社日本レジストリサービスJPRSは7月27日 PowerDNS Recursorの脆弱性情報が公開されたと発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の記事は株式会社日本レジストリサービスが 7月27日に発表した情報に基づいています。 インターネット上で住所案内の役割を果たすDNSサーバーのソフトウェアである PowerDNS Recursorに複数の脆弱性が発見されました。 この脆弱性が悪用されるとサーバーが正常に機能しなくなったり 予期せぬ動作を引き起こしたりする影響が懸念されます。 具体的には悪意のある攻撃者によってサーバーがダウンさせられ 利用者がウェブサイトにアクセスできなくなる可能性があります。 対策としてはすでにこの問題を修正した新しいバージョンが 7月22日に公開されていますので システム管理者は速やかにアップデートを行う必要があります。 まず基本的なところでお聞きしたいのですが PowerDNS Recursorというソフトウェアはどのような役割を持っているのでしょうか。 はい。インターネットを利用する際、私たちはウェブサイトのドメイン名を入力しますが コンピューターが通信するためにはIPアドレスという数字の列が必要です。 PowerDNS Recursorはそのドメイン名をIPアドレスに変換するための フルリゾルバーと呼ばれるキャッシュDNSサーバーの一種です。 利用者の代わりに他のサーバーへ問い合わせを行い その結果を一時的に記憶しておくことで 次回のアクセスを高速化する非常に重要な役割を担っています。 インターネットの根幹を支える重要な仕組みなのですね。 今回7月22日に脆弱性の情報と修正版が同時に公開された背景には 何か理由があるのでしょうか。 はい。セキュリティの世界では脆弱性の情報だけを先に公開してしまうと 悪意のある攻撃者に攻撃のヒントを与えることになってしまいます。 そのためソフトウェアの開発元は問題を修正した安全なバージョンの準備できた段階で 脆弱性の詳細とアップデートを同時に公開するのが一般的な手順です。 今回も被害を未然に防ぐための責任ある情報開示のプロセスが しっかりと踏まれた結果だといえます。 情報公開の裏釜にはそのような配慮があるのですね。 IT担当者が自社のシステムにこの脆弱性の影響があるかを確認するには どうすればよいでしょうか。 はい。まずは自社のネットワーク環境でパワーディエネースリカーサーが 使用されているかをシステム構成図やサーバーの運用記録から確認することが第一歩です。 システムが使用している場合は稼働しているソフトウェアのバージョン情報を確認します。 今回の発表では影響を受ける具体的なバージョン番号が公表されていますので それと自社のバージョンを照らし合わせます。 古いバージョンが該当している場合はすぐに対応が必要な状態だと判断できます。 バージョンの確認がすぐに対応の第一歩となるわけですね。 もし業務の都合などで今すぐシステムをアップデートできない場合はどう対処すべきでしょうか。 はい。本来であれば修正版へのアップデートが最も確実な対策ですが すぐに対応できない事情がある場合はリスクを低減するための大対策を検討します。 例えば外部からの不審なアクセスを遮断するために ファイアウォールの設定を見直して通信を制限する方法があります。 またDNSサーバーに対する異常な問い合わせの増加を監視し 攻撃の兆候をいち早く検知できる体制を整えることも 被害を最小限に抑えるための有効な手段となります。 一時的な対策で時間を稼ぎつつ本対応を進めるのが大切なのですね。 最後に今回のニュースから私たちが学べる教訓は何でしょうか。 はい。私たちが日常的に利用しているインターネットの便利なサービスは DNSのような目に見えない裏側の基盤技術によって支えられているという事実です。 こうした基盤システムに脆弱性が生じると影響が広範囲に及ぶため IT担当者は常に最新のセキュリティ情報を収集するアンテナを張っておく必要があります。 また問題が発覚した際に迅速にアップデートを適用できるよう 平時からシステムの構成を把握し運用手順を整備しておく事の重要性を教えてくれています。 なるほど。ウェブサイトの閲覧を裏で支えるシステムも 日々の点検や最新情報へのアップデートが欠かせないという事がよく分かりました。 自社のシステム構成を日頃からしっかりと把握しておく事の大切さも理解できました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、PowerDNS Recursorの脆弱性ということでした。 もう繰り返し繰り返しお伝えしている通りですね、 オープンソースの脆弱性が大量に発見されております。 これに関してはですね、AIによる脆弱性の分析が影響しているというふうに言っても過言ではないと思っておりまして、 しばらくですね、この傾向は継続するというふうに考えられますので、 ぜひオープンソースのご利用中の方はですね、脆弱性情報に耳を傾けていただければと思うわけなんですけども、 このオープンソースのですね、脆弱性が発見されている現状に対して、 そのオープンソースを使わないという選択肢ですね、これを対策として考えられる方がいらっしゃるかもしれません。 個人的にはですね、あまりお勧めしないというところがありまして、 そのAIがですね、出る前から言われていることなんですけども、 その脆弱性が発見されなくてもですね、その脆弱性が存在している場合、 一部の悪意を持った人間に利用されてしまうということも考えられるわけですね。 そうすると、積極的に脆弱性が見つけられている状況は、むしろ好ましいという考え方もあって、 ですからそのオープンソースを使わないということ自体が対策にはなり得ないというふうに考えています。 もう一点ですね、これは非常にネガティブな話になってしまうんですけども、 ソースコードがなくてもですね、AIによって脆弱性が発見されるというような状況、 これもですね、遅かれ早かれ発生するであろうというふうに考えています。 ちょっと細かい話になると長くなってしまうわけなんですけども、 やはりそのモデルの進化に伴ってですね、この脆弱性の発見、サイバーセキュリティへの影響については、 これからもどんどん大きくなっていくということは間違いないと思っていますので、 ぜひですね、脆弱性情報に引き続き耳を傾けていただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!