# オープニング #世帯年収と家賃のバランス どうもー。セキュリティ直記の松戸です。6回目のセキュリティ会社企業を目指して、 サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は世帯年収と家賃のバランスに関する話なんですけども、 一般的にはですね、家賃は年収の2割ですとか、 あとは手取りの3割とかですね、言われているかなというふうに思うんですけども、 僕自身ですね、その家賃とか、そういった毎月出ていくような固定支出って言うんですかね、 その自分の年収に対して固定支出をですね、 可能な限りですね、引き上げることをですね、大きくすることを意識していた時期があります。 例えばですね、年収400万に対して、もうどうでしょう、300万以上とかですね、 本当に年間で言うと月10万も使えないみたいな、 そういった状態にしてしまうとですね、貯金はおろか。 その毎月のですね、食べるものだったり、あとは遊びに行くものだったりですね、 こういったところにですね、お金が回らないと いうこともですね、場合によっては発生してしまうということになります。 そうするとですね、やっぱりこう生きていく上で苦しいじゃないですか。 普通に大変だというふうに思うんですけども、そういった自分自身に対してですね、 経済的なプレッシャーをかけ続けてですね、 強制的になり上がるしかないという状況を作り上げていくと。 その行動だったり、あとはハングリー精神を自分自身に叩き込むような、 当時僕自身はですね、それを貧乏強制ギブスと呼んでいたわけなんですけども、 そういった状況に自ら追い込むというようなことをしていた時期がありました。 結果ですね、年収を超える支出になってしまった時期もあったりとかしてですね、 そういった時期を経て、どうかなというのが現在に至るというところであります。 おかげさまでその会社は、セキュリティ企業はですね、 6社起業してきたという、ちょっと変態的な向上心みたいなものはですね、 もしかしたらそういった貧乏強制ギブスからですね、生まれたものかもしれません。 それによって招かれた結果はですね、良かったのか悪かったのかなみたいなところですよね。 くしくもセキュリティに関しては、企業数に関してはですね、おそらく日本トップクラス、 世界でも有数みたいな、そういったところまで来てしまいました。 ただそれに伴うですね、その貧乏強制ギブスによる体のきしみというか、 心含めてですね、かなりきしんでいるというのは間違いありません。 そういうこともございますので、まとめさせていただくと、 良い子は真似しないでね、ということになります。 ということで今回は、自然BOX2というシステムで発見された 2つの深刻な脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、システムに対する物理的なアクセスの危険性や、 ユーザー権限の管理に潜むリスクについて理解を深めていただければと思います。 それではどうぞ。 # ShizenBox2 に複数の脆弱性 自然BOX2に複数の脆弱性、独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは、 9月2日、自然BOX2における複数の脆弱性について、Japan Vulnerability Notes JVNで発表した、こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回のニュースは、自然BOX2という特定の製品に2つの深刻な脆弱性が見つかったという内容です。 まず1つ目の概要ですが、機器に直接触れることができる人であれば、パスワードなどの認証を一切行わずに、システムの根本的な動作を決める重要な部分を操作できてしまうという影響があります。 そして2つ目は、すでにシステムにログインしている人が、システムの権限チェックをうまくすり抜けて、管理者など他の利用者のパスワードを勝手に変更できてしまうという影響があります。 どちらもシステムを不正に操作される危険性が高い問題です。 有効な対策としては、開発元が提供している最新のバージョンAソフトウェアをアップデートすることが強く推奨されています。 1つ目の脆弱性にある機器に直接触れることができる人とはどういうことでしょうか。 はい、これはネットワーク経由のサイバー攻撃ではなく、オフィスの机の上やサーバールームなどにある機器そのものに、手で直接触れられる状態にある人を指しています。 例えば、来客や出入り業者など、物理的にその機器がある場所に立ち入れる人であれば、特別なハッキングの技術がなくても、ケーブルを繋いだりボタンを操作したりして、システムの根本的な設定を変更できてしまうという非常に危険な状態を意味しています。 物理的なアクセスを防ぐためには、どのようなリスク低減策があるのでしょうか。 はい、最も基本的で効果的な対策は、重要な機器を鍵のかかる部屋やキャビネットに保管し、許可された担当者以外は近づけないようにすることです。 また、機器が置かれている部屋には監視カメラを設置したり、入退室の記録をしっかりと管理したりすることも重要です。 ソフトウェアのアップデートを行うまでの間は、こうした物理的なセキュリティを強化することで、悪意のある人が機器に直接触れるリスクを大幅に減らすことができます。 二つ目の脆弱性にある、他の人のパスワードを変更できてしまう仕組みを教えてください。 はい、通常であれば、システムは今操作している人が誰なのかを正しく識別し、自分自身のパスワードしか変更できないように制限をかけています。 しかし今回の脆弱性では、その確認機能に欠陥がありました。 そのため、一度正規のユーザーとしてログインさえしてしまえば、システムに特定の命令を送ることで、管理者を含む他のユーザーのパスワードを自由に書き換えることができ、結果としてシステム全体を乗っ取ることが可能になってしまいます。 最新版へのアップデートが必要ということですが、確認手順を教えていただけますか。 はい、まずは現在自分たちが使っているシステムが、今回の影響を受ける古いバージョンに該当しているかどうかを、設定画面や単利用の画面から正確に確認する必要があります。 今回のケースでは、開発元がどのバージョンに危険があるのかという情報を公開しています。 その情報と自分たちのバージョンを照らし合わせ、もし古いものを使っている場合は、速やかに開発元から提供されている更新プログラムを適用していただく手順となります。 今回の脆弱性ニュースから、私たちはどのような教訓を学ぶべきでしょうか。 はい、サイバーセキュリティというと、どうしてもインターネットを通じた外部からの攻撃ばかりに目を向けがちですが、機器そのものに対する物理的な安全管理も同じくらい重要であるということです。 また、システム内部の権限管理も決して完璧ではないという前提に立ち、定期的に脆弱性の情報を収集して、ソフトウェアを常に最新の状態に保つという基本的な運用を日頃から徹底していくことの重要性を改めて教えてくれています。 なるほど、外部からのサイバー攻撃だけでなく、機器に直接触れられる物理的なリスクや、内部の権限管理の濱さも大きな脅威になるのですね。 日頃から機器の保管場所を見直しつつ、最新のバージョンへアップデートする基本の徹底が大切だと分かりました。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、自然BOXで発見された 2つの深刻な脆弱性ということでした。 うち1つはですね、物理的な攻撃を 必要とするということでですね、 ぜひ気をつけていただければと 思うわけなんですけども、 多分とも最近ですね、そういった 物理的なセキュリティを設計する機械がありまして、 いろんなデバイスを調査していた わけなんですけども、 そのうちですね、よくありますのが 入体管システムですね。 皆さんもオフィスに入る際に ICカードですとか、あとは生体認証をしてから ドアが開いて、そして進むエリアに入出される そんな方も多いんじゃないかなと思うんですけども、 そういった入体管システムのですね、 脆弱性というか盲点なんですけれども、 正しく認証した人、ICカードを持った人とか、 生体認証を通過した人の後ろからですね、 一緒に入出してしまう、いわゆる友連ですね。 こういったことでですね、 第三者の侵入を進むエリアに対して許してしまう というようなことが発生しています。 その結果ですね、こういった脆弱性が 悪用されたいですとか、あとはですね、 スクリーンロックがかかっていない パソコンを操作されて、そこからですね、 社内のシステムに侵入されてしまうということが 実際に発生していたりします。 ただこういったところですね、結構見逃されがちな セキュリティ対策だと思っていて、 ぜひですね、一度見直していただければと思っています。 ですから今、あなたの隣にいる人が 攻撃者である可能性があるわけですね。 ぜひ気をつけていただければと思います。 今日の10分セキュリティラジオは、 月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!