---
サイバー攻撃の本質的要因と、(攻撃側に対峙する)防御側のあるべき姿
by サイバーディフェンス研究所 名和 利男 氏
基調講演ってことで、サイバー攻撃の現状把握って意味では面白かった。まあどうしても政府機関とか軍隊とかの問題になってくる。「中国」がキーワードだったな。あの国はサイバー攻撃専門部隊も持っていたりして、今後も脅威になるようだ。面白いは面白いのだけれど、ソフト開発の現場にいるエンジニアとはちょっと距離があったかな。
インシデントに即応！各種ログによる迅速な調査・分析の実現手法
by マクニカネットワークス 市川 博一 氏
Apacheのログを例にログ解析に具体例を幾つか紹介していた。例えばアクセス頻度が多すぎるとか間隔が一定とか。そういう風に見やすくサマリにまとめるところまではソフトでやりましょうって話でセールスしてた。ログのサマリを作るのは自力でできなくもないけど手間かかるからね。
標的にされた日、守れる組織のセキュリティ対策とは
by チェック・ポイント・ソフトウェア・テクノロジーズ 宮川 淳一 氏
日々マルウェアの新種は２０万種以上生まれてますよ、という話。パターンで対応できないから振る舞い検知で対策します、という最近流行りのやつだね。他ファイアウォールとかIPSとか複数の対策を組み合わせた製品をセールスしてた。
パネルディスカッション
「煽るな危険！ 正しいセキュリティ情報の恐がり方」
by NTTデータ先端技術 辻 伸弘 氏,
インターネットイニシアティブ 根岸 征史 氏,
NTTコムセキュリティ 北河 拓士 氏
たとえばXPのパソコンをネットにつなぐと数分でマルウェアに感染するとか、じつはサービスパックが古いなどの特定条件のみで起きうる状況を、恐怖を煽るような表現で目にすることがあるから、まず最初は懐疑的姿勢で見るのも大切だよという話が１点。あと、標的型攻撃で多いメールを利用したサイバー攻撃対策として、メールを開かない訓練をするのは無意味だよという話も。
あなたの知らない、とっても恐ろしいDDoSサイバー攻撃
by 日本ラドウェア 井谷 晃 氏
DDoSの色んなパターンの紹介。SYNフラッド攻撃、HTTPページ・フラッド攻撃、スローレート攻撃、DNSフラッド攻撃、DNSリフレクション攻撃など。全部に対応する製品ってことでセールスしてた。
アプリ脆弱性、危うい現実と究極の解決策！
by ソニーデジタルネットワークアプリケーションズ 松並 勝 氏
これ予想以上に面白かった。Android開発で脆弱性を作りこんでしまう例は多くて、それは単に対策を知らないだけだったりするようだ。で、講演者も関与した業界デファクトスタンダードのガイドラインに沿って開発すれば、Android開発においてセキュアなコードは書けるということで書籍を紹介してた。僕もその本は知ってた（自分では持ってないけど）。で、コードを静的解析して脆弱性のある部分を自動的に発見し、修正のヒントまで教えてくれるってツールをセールスしてた。実際Eclipseを立ち上げてコードをビルドし、そのツールで脆弱性を修正するデモとかやってて見てても面白かった。まあ、ホントは開発者がきちんと脆弱性対策を学ぶのが一番なんだけどね。
HTML5時代のWeb開発者が知らないと“ガチヤバ”な脆弱性対策
by ネットエージェント 長谷川 陽介 氏
このイベントに行ったのはこれを聞きに行くのが目的だったという講演。非常に具体的にコードの例を示してくれたので参考になった。ただし、HTML5でJavascript上での脆弱性の危険性が拡大したと言っても、「ユーザからの入力値を直接採用しない」「エスケープするか、エスケープしても危険なものはあらかじめ選択肢を用意して、その中空選ぶ」という考え方については、従来と全く同じだった。その意味で、基礎的な考え方ができていればよいということが分かったのは収獲だった。その他、セキュリティ機能を使いこなすためのHTTPヘッダーの紹介があってこれも大変参考になった。
---
こんなところ。感想に偏りがあるのは講演そのものよりも、現場のエンジニア目線で面白いと思った部分に重点を置いているということで理解いただきたい。やっぱりこういうイベント来ると業界動向の把握には役立つね。
※この記事について指摘・意見・提案・感想などありましたら下のコメント欄にどうそ。
0 件のコメント:
コメントを投稿