# オープニング #わたしなりの夏の過ごし方 どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて 解説しております。ということでね、今日は 私なりの夏の過ごし方に関する話なんですけども そうですね。ちょうど今週の前半からなんですけども、毎年この8月末になると減量をしています。 これ何でかというと、前半にセキュリティジョッキーの松野ですと 申し上げているわけなんですけども、そのセキュリティ以外に ジョッキー用仕事というかですね、競馬関連の仕事もしていまして、 その一環としてですね、11月上旬ぐらいに 草野球ならぬ草競馬というものが全国各地で行われています。 ご存じない方も多いと思うんですけども、そこでですね プロアマがですね、お祭り競馬というんですかね、イベントでその競馬をするというようなですね、 いわゆるお遊びレースみたいなものがありまして、とはいえですね、参加している方はガチなんですけども、そこでですね 馬に負担がかからないようにですとか、やっぱりレースで勝ちたいじゃないですか。 早く走れるようにと いうことで、これぐらいの時期からですね減量をスタートして、どれぐらいですかね、約10キロぐらいですかね。 減量して本番に臨むということを毎年しています。 こういった草競馬だったりとか、あとは何かこう コンテストとかある、その目標明確に設定しないとですね、なかなかやっぱり減量とかダイエットって うまくいかないと思うんですよね。少なくとも僕はあんまりうまくいってなくてですね。 だからこそこういった明確な目標を定めて、それに向かって 例えば10キロ痩せるぞとかですね、それを1ヶ月ごとにですね、その進捗を追っていくですとか、そういうふうにやっていくとですね 意外とその頑張れるというのもあるわけなんですよね。 もう言ってしまうとですね、カロリー取りすぎなければ誰でも痩せるんですよね。 もう本当にそれにつきます。なので、どうやったらですね、その食欲をコントロールしながらアンダーカロリーできるかというとこですね。 辛い辛い減量がですね、今週スタートしたというところであります。 っていうことで今回は IT資産管理ツールに発見された重大なセキュリティの脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、社内で使っているシステムのバージョンを常に最新に保つことが いかに組織の安全を守る上で重要なのかについて 理解を深めていただければと思います。それではどうぞ # SKYSEA Client View および SKYMEC IT Manager に複数の脆弱性 スカイシークライアントビュー及びスカイメックITマネージャーに複数の脆弱性 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは 8月24日、スカイシークライアントビュー及びスカイメックITマネージャーにおける複数の脆弱性について Japan Vulnerability Notes JVNで発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。スカイ株式会社が提供しているIT資産管理ツールのスカイシークライアントビューと スカイメックITマネージャーに複数のセキュリティ上の問題、つまり脆弱性が見つかったというニュースです。 これらのツールは、社内にあるたくさんのパソコンの状況を把握したり、セキュリティ対策を管理したりするために使われています。 今回発表された脆弱性を悪用されると、攻撃者によって勝手にプログラムを実行されてしまう危険性があります。 中には最も高い権限であるシステム権限を奪われてしまう深刻なものも含まれています。 対策としては、開発元から提供されている修正プログラムであるパッチを対象となるシステムに速やかに適用することが求められています。 勝手にプログラムを実行されるというお話がありましたが、具体的にどのような被害が考えられますか。 はい。勝手にプログラムを実行されるというのは、攻撃者が皆さんの会社のシステムを遠隔から思い通りに操作できてしまう状態を指します。 例えば社内の機密情報がごっそり盗み出されたり、ミノシロ菌を要求するランサムウェアというウイルスに感染されたりする危険があります。 IT資産管理ツールは社内のすべてのパソコンとつながっているため、そこを乗っ取られると会社全体のネットワークへとあっという間に被害が広がってしまうとても恐ろしい事態になります。 それはとても恐ろしい事態ですね。記事にUDPパケットを受信して攻撃されるとありますが、これはどういう意味でしょうか。 はい。UDPパケットというのは、インターネット上でデータをやり取りするための通信方法の一つです。 特徴として、相手にデータが確実に届いたかを確認せずに次々とデータを送り付けることができます。 攻撃者はこの仕組みを悪用して、脆弱性のあるシステムに対してサイクをしたデータを一方的に送り込みます。 システム側がその不正なデータを受け取って処理しようとした瞬間に、セキュリティの壁を突破されてしまい、結果として遠隔から攻撃を仕掛けられてしまうことになります。 今回のように、いくつもの脆弱性が一度に発表されるのは、何か特別な背景や理由があるのでしょうか。 はい。セキュリティの専門家や研究者がシステムを細かく調査した際に、一つの問題点を見つけると、それに関連する他の部分でも似たような弱点が見つかることがよくあります。 開発求め企業は、見つかった複数の問題に対して個別に修正プログラムを出すのではなく、まとめて安全に対策できるように、パッチを一つに統合して一斉に公開することが多いのです。 これにより、利用する企業側も一度のアップデート作業で複数の脆弱性を塞ぐことができます。 自分たちの会社がこの問題の影響を受けることは、どのような手順で確認すればよいのでしょうか。 はい。まずは自社で使っているSkyCEクライアントビューやSkyMEC ITマネージャーのバージョン番号を確認してください。 管理画面の設定やヘルプの項目から、現在インストールされているバージョンを見ることができます。 次に、IPAや開発元であるSky株式会社のウェブサイトで公開されている脆弱性の影響を受けるバージョンの一覧と照らし合わせます。 もし該当している場合は、すぐに対応が必要な危険な状態であると判断できます。 修正プログラムを当てるのが一番だと思いますが、すぐに作業できない場合はどうやってリスクを下げればよいですか。 はい。システムのアップデートには事前の動作テストなどが必要で、すぐには対応できない場合もありますよね。 その場合のリスク低減策として、まずはファイアウォールなどのネットワーク機器の設定を見直し、 外部からの不要な通信、特に先ほどお話ししたUDPパケットが管理サーバーに届かないように制限することが有効です。 また、システムへのアクセス権限を最小限に絞り、不審な動きがないか監視を強化することで、万が一の侵入をいち早く検知する体制を整えることが大切です。 なるほど。便利な管理ツールも、万が一そこを狙われると社内全体に被害が及ぶというリスクがあるのですね。 だからこそ、日頃から自分たちが使っているシステムのバージョンをしっかり把握し、 必要があれば通信の制限や監視を強化しつつ、速やかにアップデートを行うことが重要なのだと理解できました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、IT資産管理ツールに発見された 重大な脆弱性ということでした。 管理者権限が取得されてしまう可能性が あるということですので、 ご利用中の方はですね、 ぜひアップデートをご検討いただければと思います。 このIT資産管理ツールにですね、 脆弱性が発見された場合に、 その管理者権限が取られてしまうことがあると、 多いということがありまして、 これなぜかというとですね、結論、 IT資産管理ツールには強い権限が必要であり、 そのソフトウェア自体にですね、脆弱性が見つかれば、 そのままその強い権限が取られてしまうということになります。 なんでこの強い権限が必要かというとですね、 IT資産管理ツールにはですね、 例えばインストールされているソフトウェアの情報ですね、 全て一覧化したりですとか、 あとは、今操作している状態を画面とかをですね、 キャプチャしたりですとか、記録するわけですね。 あとは、USBとかですね、外部記憶媒体を禁止したりですとか、 そういったですね、OSに対して強い権限が求められるような、 そういった操作をすることがあります。 ですから、IT資産管理ツールにですね、 その強い権限を与えるということは、 使用上仕方ないというところになるわけなんですけども、 その結果ですね、ソフトウェアに脆弱性が見つかった場合の 影響も大きいということになります。 これというのはですね、結構セキュリティソフト全般に 言うこともできるかなというふうに思ってまして、 そういった意味ではですね、こういったIT資産管理ツール ないしは、そのセキュリティソフトにですね、 脆弱性が見つかった場合は、深刻度が高いということ。 この辺りを原則として、ぜひ対応をですね、 しっかりとご検討いただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に、 祝日も休まず、配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!