# オープニング #気になるニュース どうもー。セキュリティ直起の松戸です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということで、今日は気になるニュースに関する話なんですけども つい先月末ですかね、クロードセキュリティということで 脆弱性診断のサービスがアンソロピック社からリリースされたということです。 これでオープンAIとマソフトバンクからの パッチングアザサービスと合わせて、フロンティアAI2社から 脆弱性診断サービスがリリースされるという、 今既存のセキュリティベンダーにとっては、まさに戦々恐々じゃないかなというふうに思っているわけなんですけども 以前から、セキュラジーではAIは民主化されています。 つまり、全ての人が使うことができるサービスであるということですね。 ですから、AIを使えるようにしてあげるよということは、 現時点では価値はあるかもしれないんですけども、 中長期的に見たら、全ての人が等しく使えるものでありますので 無価値であるというふうにお話しておりました。 同じように、AIを契約すれば、クロードの場合だと エンタープライズプランが必要だということなんですけれども、 そのトークン代さえ払えば、脆弱性診断ができると。 そこに特別な能力が必要となくなるわけです。 そうなると、先ほどと同じように、AIの使い方を教えても、 それ自体は民主化されて、全ての人の手に届いているものなので、 無価値ですよというのと同じように、 脆弱性診断が無価値化してしまうんじゃないかという、 そういった思考に至るわけです。 来年、セキュリティーベンダーを立ち上げようとしている僕自身にとっても、 これは他人事ではないわけで、つまり、 脆弱性診断サービスを提供する会社を作ろうと、 過去もそれで何社も作ってきたわけなんですけども、 そういったことをしても、それ自体にもはや価値がないわけですね。 脆弱性診断は誰でもできるものになってしまったと。 これは本当に素晴らしいことだと思います。 お金がなくて、セキュリティ対策、脆弱性診断ができなかった方々が、 少なくとも現時点でもいらっしゃるということになります。 それを、このフロンティアAI2社が解決されたかということは、 本当に素晴らしいことだと思っています。 その上で、セキュリティーベンダーの存在価値って何なんだろうと。 私どものような、セキュリティ専門家の存在域って何なんだろうということを、 真に考え抜かなければいけない。 企業家として、本当にその会社として価値を皆さんに届けることができるのか。 そういった真剣な企業家、ないしは経営者としての手腕が問われると。 こんなにやりがたいのある時代はないんじゃないかというふうに思っております。 ということで、今回は、Globeで発見された 複数の脆弱性について取り上げております。 この放送を通じて、リスナーの皆さんは、 社内システムのアップデートを怠ることが、いかに深刻な情報漏洩につながるのかについて、 理解を深めていただければと思います。 それではどうぞ。 # GROWI に複数の脆弱性 グローイに複数の脆弱性 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンター JPサートCCは8月28日グローイにおける複数の脆弱性についてJVNで発表した こちらの記事を簡単に解説お願いできますでしょうか はい今回のニュースはグローイという社内情報共有システムにおいて 深刻なセキュリティホールが2件見つかったというものです 具体的にはブックマーク機能に関連するAPIの不備が原因となっています 影響としてシステムにログインできる人であれば 本来見ることができない他の利用者のブックマーク情報を不正に読み取ったり 勝手に書き換えたりあるいは削除できてしまう危険性があります これにより社内の機密情報へのアクセス経路が推測されるなどの 二次的な情報漏洩につながる恐れもあります 対策としてすでに修正プログラムが提供されていますので システム管理者は直ちにグローイを最新のバージョン8.0.1はアップデートすることが求められています 記事に出てくるAPIという言葉についてもう少し具体的に教えていただけますか はいAPIはアプリケーションプログラミングインターフェースの略称でして ソフトウェア同士が情報をやり取りするための窓口のようなものです 今回のグローイのケースでは利用者がブックマークを登録したり一覧を表示したりする際に ブラウザとサーバーの間でデータをやり取りするための通信窓口としてAPIが使われています この窓口の入り口で誰がアクセスしてきているのかを確認する警備員のような機能に問題があったため 今回の脆弱さにつながってしまいました そういうことなのですね 自社がこの影響を受けるかどうかはどう確認すれば良いのでしょうか はいまずは自社で稼働しているグローイのバージョンを確認することが第一歩となります システム管理者の画面やサーバーの構成ファイルなどをチェックしていただき バージョン8.0.0あるいはそれより古いバージョンを使っている場合は今回の脆弱性の影響を直接受けてしまいます 社内でグローイを導入している部署がないか情報システム担当者がしっかりと資産管理 ツールなどで洗い出しを行うことが被害を未然に防ぐための確実な確認手順となります アップデート以外に一時的にリスクを減らすような対処方法は何かあるのでしょうか はい根本的な解決策はやはりバージョン8.0.1へのアップデートになるのですが システムを止める調整などで即座に更新できない場合もあります そうした時のリスク低減策として例えばファイアウォールなどのネットワーク機器で 不審な通信を監視してブロックしたり社外からの vpn 接続のセキュリティを一段階厳しく設定したりすることが考え られます ただしこれらはあくまで一時的な時間稼ぎですので可能な限り早くシステムの更新作業を進めることが大切です 発表元として jvn という名前が出てきましたがこれはどのような役割を持つ組織なのですか はい jvn はジャパンバルネラビリティノーツの略称でして日本国内で利用されているソフトウェアの 脆弱性情報を専門機関である ipa と jp サート cc が共同で公表しているポータルサイトです システム開発者から報告されたセキュリティ上の欠陥を検証し 広く一般の利用者に注意喚起を行う役割を担っています it 担当者にとっては自社のシステムを守るための重要な情報源であり 毎日チェックすべき掲示板のような存在だと言えますね日々の情報収集が大事なのですね 最後に今回のニュースから私たちが学ぶべき教訓は何でしょうか はいどんなに便利で普及しているツールであっても思わぬセキュリティホールが見つかることは 日常茶飯事であるという事実を改めて認識することです 一度システムを導入したら終わりではなく常に最新の脆弱性情報にアンテナを張り 迅速にアップデートを適用できる運用体制を社内に築いておくことが重要です 定期的なメンテナンス日を設けるなどセキュリティ対策を業務の仕組みとして定着させることが 組織を守るための最大の教訓となります なるほど社内で当たり前のように使っている便利なツールでも見えないところに落とし穴が あるかもしれないのですね日頃から自社のシステムのバージョンを正確に把握して jvn のようなサイトで情報収集を行い いざという時にすぐアップデートできる体制を作っておくことが本当に大切だと実感しました また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、社内情報共有システムのGlobeで見つかった 複数の脆弱性ということでした。 他人のブックマークを読んだり、書いたり、 削除したりですね、できてしまうということで、 ご利用中の方はですね、 ぜひアップデートをご検討いただければと思います。 セキュリティの考え方というかですね、 システムには認証と認可というですね、 この2つの考え方がありまして、今回はですね、 その後者である認可の脆弱性ということができます。 どういったものかというとですね、 認証はあなたは誰ですかということをですね、 確認する手続きだということになります。 つまり、IDとパスワードを入れてログインすると。 そうするとそのIDに紐づく人は、 そのパスワードによって確認されるわけですね。 なので、あなたは誰ですかということが 確認できるということになります。 一方、認可はですね、 あなたは何ができますかを決めることなんですね。 今回ここに不備があったということで、 先ほどのですね、ブックマークの読み書きは、 当然ながらその本人でないとできないと、 そのブックマークの所有者でないとできない ということになるべきなんですけども、 その認可不足ということでですね、 全ての人ができてしまう状態であったと。 これが脆弱性として今回公表されたということですね。 認証と認可、何度か聞いていただいてですね、 ご理解を深めていただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に、 祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.