# オープニング #月に一度のご褒美 どうもー。セキュリティジョッキーの松戸です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は月に一度のご褒美に関する話なんですけども 先月末ですね、8月末から僕自身減量を始めておりまして、現在ですね、大体3週間ぐらいですかね。 順調というかですね、どれくらいかな、2、3キロ減っている状態です。 糖質制限なので、ほとんど多分水分ですかね、実際には1キロも減ってないとは思うんですけども、 増えてないだけですね、上出来かなというふうに思っています。 月に一度のご褒美というかですね、子どももですね、少しずつカロリーを削っていくわけなんですけども、 順調にですね、減量が進んでいくとですね、 大体月に一度ぐらいですかね、ご褒美としてチートデーを入れることになります。 チートデーというのはですね、接種カロリーを下げた際に、どうしても代謝まで下がってしまうんですね。 やっぱり人間の体ってよくできているので、低カロリーだとそれで回そうとすると、体が順応してしまうわけですね。 そうすると体重が減らなくなってしまうので、カロリーをですね、がっつりとって、体に刺激を与えると、 代謝を戻していくみたいな、そんなチートデーをですね、大体1ヶ月に1回ぐらい、順調であればですね、入れるわけなんですけども、 先ほども言いました、糖質制限をしてますので、糖質を取らないことをしつつ、 チートデーという、カロリーをですね、大量に摂取するというのは、割とですね、難しかったりしてですね、 現状考えているのは、シャブシャブ食べ放題の一番安いコースで、豚バラだけひたすら食べ続ける。 しかもポン酢は使えませんというですね、果たしてご褒美なのか、それとも修行なのか、ちょっとわからないようなですね、 計画を立てているところです。ということで、今回は、IT資産管理のパレットコントロール製品で発見された、 アクセス制御不備の脆弱性について取り上げております。 この放送を通じて、リスナーの皆さんは、ソフトウェアアクセス権限が持つ意味や、 脆弱性が公表された際の迅速なアップデートの重要性について、理解を深めていただければと思います。 それでは、どうぞ。 # PALLET CONTROL 製品にアクセス制御不備の脆弱性 パレットコントロール製品にアクセス制御不備の脆弱性 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは 9月1日、パレットコントロール製品におけるアクセス制御不備の脆弱性について ジャパン・バルナリビリティノーツJVNで発表した こちらの記事を簡単に解説お願いできますでしょうか。 はい、今回の記事はJALデジタル株式会社が提供するパレットコントロール製品に関するものです。 このソフトウェアにはバックグラウンドで動作するサービスプログラムが含まれていますが その通信部分において適切なアクセス権限が設定されていないという問題が発見されました。 これにより、管理者権限を持たない一般のユーザーであっても 不正にアクセスできてしまうという脆弱性が存在しています。 想定される影響としては、この製品がインストールされているWindowsクライアントOSにおいて 一般ユーザーがシステム権限という非常に強力な権限を脱出し 任意のコードを勝手に実行してしまう危険性があります。 対策としては、開発元から提供されている修正済みの最新バージョンへ 速中にアップデートすることが推奨されています。 システム権限という言葉が出てきましたが、これは具体的にどのようなものなのでしょうか。 はい。システム権限とは、WindowsOSにおいてシステム自体が使用する最も強力な権限のことです。 通常は、パソコンを使う一般ユーザーや管理者であっても この権限を直接操作することはできません。 しかし、今回の脆弱性を悪用されると、攻撃者がこのシステム権限を奪い取ってしまう可能性があります。 そうなると、OSの重要な設定を勝手に書き換えられたり、 悪意のあるプログラムを気づかれないようにインストールされたりと、 パソコンを完全にコントロールされてしまうため、非常に危険な状態に陥ります。 一般のユーザーがそこまで強力な権限を奪えてしまうというのは、とても恐ろしい状況ですね。 はい。おっしゃる通りです。 通常、企業内などのネットワークでは、一般の社員には業務に必要な最小限の権限しか与えられていません。 これは、万が一パソコンがウイルスに感染しても、被害を最小限に食い止めるための基本的なセキュリティ対策です。 しかし、今回のようなアクセス制御の不備が存在すると、その前提が崩れてしまいます。 外部からのサイバー攻撃を防いでいたとしても、内部に侵入したマルウェアや悪意を持った内部の人間によって システム全体を支配されるリスクがあるため、深刻に受け止める必要があります。 この脆弱性に対応するためには、企業は具体的にどのような手順で確認を進めればよいのでしょうか? はい。まずは、社内で使用しているパレットコントロール製品のバージョンを正確に把握することが重要です。 具体的には、バージョン6.3のパッチ後やバージョン10のアップデート8以前のものが影響を受けます。 クラウド版についても同様に確認が必要です。 バージョンが該当した場合は、開発元が案内している最新の修正プログラムを速やかに適用します。 また、社内のIT資産管理台帳などを活用して、漏れなく全ての端末でアップデートが完了したかを確認する体制を整えることが確実な対策につながります。 アップデートが終わるまでの間、リスクを少しでも減らすためにできる対策はありますでしょうか? はい。根本的な解決は最新版へのアップデートですが、適用までに時間がかかる場合の緩和策として、社内ネットワークの監視を強化することが挙げられます。 例えば、一般ユーザーのアカウントから不審なプログラムの実行や、通常では行われないようなシステム領域へのアクセスがないか、ログを細かくチェックすることが有効です。 また、エンドポイントセキュリティ製品であるEDRなどを活用して、万が一不正な動きがあった場合に、素早く検知して通信を遮断できるような仕組みを整えておくこともリスク低減には効果的です。 今回の件から、私たちが今後のセキュリティ対策として学んでおくべき教訓は何でしょうか? はい。一番の教訓は、普段当たり前のように使っている信頼できるソフトウェアであっても、常に脆弱性が存在している可能性があるという前提に立つことです。 一部導入したら終わりではなく、IPAやJVNといった信頼できる機関から発信されるセキュリティ情報を日常的に収集し続けることが大切です。 そして、脆弱性が発表された際には、それが自社の環境にどのような影響を与えるのかを冷静に分析し、 迅速にアップデートを適用できる運用ルールや体制を日頃から構築しておくことが、企業を守る上で最も重要なポイントになります。 なるほど。信頼しているソフトウェアでも脆弱性は発生するものであり、日常的な情報収集と迅速なアップデート体制の構築が何よりも大切だということがよくわかりました。 自社のシステム環境をしっかりと把握し、適切な権限管理と素早い対応を心がけていきたいと思います。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、IT資産管理のソフトウェアで発見された アクセス制御不備の脆弱性ということでした。 システム権限が乗っ取られる可能性があるということですので、 ご利用中の方はですね、ぜひアップデートをご検討いただければと思います。 こういったIT資産管理であったりとか、 あとはセキュリティ製品全般にも言えるんですけども、 パソコンに直接導入して、そういったシステムの奥深い情報というんですかね、 詳細情報を扱うようなソフトウェアですね。 これらに関しては、脆弱性が見つかった際に、 その影響が大きくなる傾向があるということをですね、 以前にもお話しさせていただいたかと思うんですけども、 その理由はですね、先ほど申し上げた、 そのシステムのですね、奥深い情報、詳細な情報をですね、 取るためには、そのソフトウェア自体にですね、強い権限を与える必要があると。 この点はですね、ご理解いただけると思います。 そのソフトウェアにですね、脆弱性が見つかった際に、 何が起こるかというとですね、 そのソフトウェア自体が乗っ取られてしまうことになりますので、 そのソフトウェアが持っている権限が、 そのまま使われてしまう可能性があるということになります。 ですから、システム権限をですね、 そもそもそのソフトウェアが持っている可能性が高いというところで、 今回のようにですね、この脆弱性が供用されると、 そのままですね、システム権限が乗っ取られてしまうということになります。 ですから、その導入されているソフトウェアが 取り扱う情報もさることながらですね、 そういった非常にさまざまな詳細な情報であったり、 イメージ的にですね、OSに深く組み込まれるような、 そういったソフトウェアに関してはですね、 脆弱性の影響が大きくなりがちであるということはですね、 ぜひ注意をしていただければと思います。 今日の10分セキュリティラジオは、 月曜から土曜に祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.