2007年1月 Archives

今年からUSの夏時間期間が変わるそうで、ITへの影響が取り沙汰されている。
Daylight Saving changes: No Y2K, but there could be headaches - Network World
ことしから、夏時間は3月の第2日曜(11日)に始まり、11月の第1日曜に終わるようになる。
時刻が重要なアプリケーション、特にいろいろな予約関係や輸送機関の支援システムなどでトラブルが心配。
やめてよー。
変えないでよー。

でもこれで、夏時間が伸びた分1日あたり10万バレルの石油が節約できるとか。
ホンマかいな。

OOBでNAC機能を提供するアプライアンス。SNMPで情報収集しプロファイリング、CLIでポリシー適用。$6500より。
Bradford Networks :: New NAC Director™ Delivers COMPREHENSIVE NAC CAPABILITIES FOR Wired, Wireless, and VPN Connections

内部からの攻撃を検知する製品を作ってたintrusicが営業を停止。

Dark Reading - Desktop Security - Intrusic Shuttered - Security News Analysis

JANUARY 24, 2007 | Intrusic -- an insider threat detection vendor -- has closed its doors, a company executive confirmed today.

Other vendors in the sector have also had difficulties. Seattle-based GraniteEdge announced layoffs and a revamp last summer, and New York City-based CounterStorm restructured in 2004, he says. Other vendors in this market include Securify, PacketMotion, and network behavior anomaly detection players like Arbor Networks, Lancope, and Mazu Networks, Selby adds.

IPA、暗号化製品の認証制度を4月に開始

暗号化機能や署名機能が正しく実装されていることを確認するほか、鍵やID、パスワードなどの重要情報のセキュリティが確保されていることを試験・認証する

認証業務に必要な費用は26万2,500円～、試験業務については実費だが「数百万円単位」（IPA）。試験期間は2～3カ月

「音を考える(文字通り)」
Think Of a Tune (Literally):

ココに出てる人、Luciana Haillさんは、脳波をスキャンする機械をMacにぶち込んで、MIDI音源を鳴らして、心のままに音楽を作ってるそうな。
皮質の場所と、脳波の種類によって鳴らすサンプルを割り当ててあるらしい。
で、Future of Soundと銘打ってツアーしてるそうだが。
いやあ…

FortinetからNACスイッチ Fortigate-224B 。
admission control(＝端末検査)ではなくNAC(＝ユーザ認証＋アクセス制御)を提供。
つまり、一般的なACLにユーザ認証機能をつけたという意味の模様。
Fortigate-224B starts at $4,000 NAC以外のセキュリティ機能は含まず。
Fortinet switch enforces NAC policies - Network World
01/23/07
By Tim Greene

CISSP Exam Preparation Guide 25 Sep 2006 | In partnership with SearchSecurity.com
登録すると、ドメインごとのレクチャー(各1時間弱)と例題(15問づつ)をゲットできる。
問題が多く、しかもダウンロードできるのが良い。解説も結構書いてある。
プレゼン資料は、余り役に立たない。

CISSP Exam information. CISSP.com, The web portal for the certified information systems security professionals " cissp" www.cissp.com
登録するとオンラインで模擬試験が受けられる。

My Top 10 Tips For Preparing and Passing the CISSP Exam netsecurity.about.com
意外とまじめ。#1実務経験を積む、に始まって正攻法な10の助言。

CISSP, CISA, and SSCP Open Study GROUP Online Quizzer www.cccure.org
CCcure CISSP関連のポータル。例題エンジンもあり。結構あちこちで参照されている。
登録なしでサンプル問題に挑戦でき、出題数や分野など出題内容のオプションも豊富。

7 Types of Hard CISSP Exam Questions and How to Approach Them by Global Knowledge www.bitpipe.com
「CISSP試験における難しい質問7タイプと対策」
まじめなんだか冗談なんだか。「殆どの人がCISSP試験について最初に聞かされることは、問題がいかに難しいか、あるいはずるいか、ということだ。」という書き出しで始まり、気をつけるべき問題のタイプを7種類に分けて解説。Global Knowledgeのトレーニングでは、そういう受験ノウハウもしっかり教えてあげるよ、ということらしい。

Physical Security in the CISSP Exam > Overview www.examcram2.com
参考書Exam Cram 2から、Physical Securityの部分だけ紹介。例題50問つき。

Preparing for the CISSP exam, Part 2 - Network World
大学先生の試験準備への助言。技術資料サイトへのリンク、NISTなど。

マイクロソフトが新しいセキュアなVPNプロトコルを開発
Microsoft developing new secure VPN tunneling protocol - Network World
Technology targets remote access; protocol will not supoort site-to-site VPN tunnels.
By John Fontana, Network World, 01/19/07

VistaとLonghorn用に「新たな独自の」VPNプロトコルを開発しているそうな。
SSLベースで443ポート使用。
Vista SP1、Longhorn Beta3 (今年前半)
「ただのトンネリング･プロトコルなのでSSL VPNとは比べられない」が、

SSTPはSSL上でのフル･ネットワークVPNアクセスを可能にするので、RRASで基本的なSSL VPNを作ったり、もっと充実したSSL VPNを構築するための部品として使うことができる。

サーバ上でSSTPを使って、特定のIPやサブネットをブロックできる。」

だから、要はWhaleのSSL VPNなんだろ。
だけど能書きつけてそのままよそのSSLとはつながらない様にすると。

SSTPはIPv6上で動作可能、SSTP上でIPv6、PPPv6を使える。
NAPにも組み込む予定。

SSTP動作の解説：
Routing and Remote Access Blog:SSTP FAQ - Part 2: Client Specific

オラクル、定期セキュリティ・アップデートで51のパッチを配布 : セキュリティ - Computerworld.jp

データベース・サーバ（Oracle Database 10g、Oracle 9i、Oracle 8i）向けのものが26含まれており、データを改竄されるおそれのある脆弱性に対するセキュリティ・パッチは10に上っている。

アプリケーション・サーバ向けのセキュリティ・パッチは12あり、そのうち8つは、遠隔地からユーザー認証なしでアクセスできる脆弱性に対するもの

オラクル、定例パッチリリースで51件の脆弱性に対応 - CNET Japan

Oracleのセキュリティマネージャー、Eric Maurice氏は同社ブログで、「いくつかのバージョンのデータベースの脆弱性を修正するパッチに、ある問題がみつかった。…」

ありゃま。
とか言っといて…

「いつも通り、すぐに全パッチを適用することを推奨する」とMaurice氏

怖くてできないって。

9.11の貿易センタービル事件について、筆者が当時勤めていた銀行のオフィスでは、2機目で多くの犠牲が出たらしい。
その理由について。

日経SYSTEMS［2007年1月号　no.165　12月26日発行］
岩脇一喜のSE事件簿　有事に問われるシステムの価値　今どきのSEは命懸けなのか？

1機目の激突で従業員の大半が避難した後、「2機目はない｣と考え、上層部のメンバーと情報システム担当者が業務継続プランを立てるために支店に戻ったからだ。

こんな判断を、しなければいけない状況に遭遇したくないなあ。

うーむ。悲しい。
しかし、水中毒っていう死因があるのね。

asahi.com：水８リットル飲み急死　米の競技会で２８歳女性 - 国際

水８リットル飲み急死　米の競技会で２８歳女性 2007年01月18日10時22分 　米カリフォルニア州サクラメントのラジオ局が先週主催した「水飲み大会」で、約２ガロン（７．６リットル）の水を飲み干して２位に入賞した女性（２８）が、帰宅後に急死したことが分かった。検視の結果、死因は水中毒と判明。サクラメント・ビー紙によると、地元警察は主催者側に運営上の問題がなかったか、捜査に乗り出した。

　大会が開かれたのは１２日。２０人の参加者が、１５分ごとに手渡されるボトル（２４０ミリリットル）入りの水を、トイレに行かずに何本飲めるかを競った。（時事）

アンチウィルスのSophosがEndforceを買収。
端末チェックを行う。
NACまわりの動きとして報じられている。
買収額不明。
Sophos buys Endforce for network access control - Network World

ユミルリンクという会社が、XMLデータの通信時の暗号化?の技術で特許をとった由。

ユミルリンク　メールマガジン: 「情報の暗号化」に関する米国特許を取得　～XMLを用いたプログラムの情報漏洩・改ざんを防止～

XMLを基本構造に用いたシステム間において、セキュアなデータ通信を実現するために第三者からの情報閲覧・改ざんを防止する「情報交換システム」・「情報通信端末」・「情報交換方法」

XMLを基本構造に用いたシステム、というのは意味が良く分からないけど、XMLでデータ通信するということみたい。

XMLで記載されたプログラムに対して分割ルールに基づいて複数の疎結合情報に分割します。疎結合情報とその分割ルールは、データ通信の際に複数の伝送経路を用いて送信されるため、情報の秘匿性を高められます。

XMLで記載されたプログラム、というのも良く分からないけど。
「複数の疎結合情報に分割」してバラバラに送信するらしい。
うーむ。
とりあえず、既存の標準規格とは余り関係がなさそう。
普通の暗号化じゃ、駄目なのかな。

Webサイトの保護に使うWAFが世代交代している、という記事。
Processor Editorial Article - Protect Your Web Site From Attack
メインで紹介されているのはBreachのWebDefend。

BreachGate WebDefendの主な競合相手はImpervaのSecureSphere WAFだろう。 旧世代のWAF製品、例えばNetContinuumのNC-2000 AFやF5のTrafficShield、そしてCitrixのApplication Firewallは、次のような機能のうち一つ、あるいは複数が欠けている： ポジティブ･セキュリティとネガティブ･セキュリティを組み合わせてカスタムのWebアプリを保護、アプリの変更を検知してプロファイルを自動生成、検知したイベントのポリシー管理機能、などである。

一方、Impervaはデータベースの監視と保護まで達成することで、WebDefendより広くカバーしている。 WebDefendはWebアプリに対する攻撃に完全に集中している。 またImpervaはインライン構成なのに対し、WebDefendは非インラインでインストールしてブロックを達成しようとしている。

1/6ライブに感想とお写真を頂いたので、紹介しました。

ぐわし: ライブの感想と写真

先日のライブの打ち上げで、写真を撮りにきてくれた旧友に、「お互いのことだけど、ギター練習せんとイカンぞ」といわれて、まあそうだなあ、今日はだいぶヘボかったしなあ、なんて軽く思ってた。
たまたま今日、16年以上前の自分がギター弾いてるライブビデオを見てみたら、上手い。
お、ニクいねえってくらい、上手い。
今と比べると、数倍、上手い。
曲は、女性ボーカルのメタルポップとゆーか、まあちょっと恥ずかしい感じで、殆ど自分がアレンジした筈だけど今じゃチラッと聞いたくらいじゃコピーできない程、凝ってる。
自分でもアレくらいできたんだなあ、ってのが不思議なくらい。
まじめに修行したくなってきた。

昨日の写真をぐわしのところに公開。
ぐわし: 07/1/6 EDGE写真公開
体が痛い…

録音もそのうちアップしよう…いつできるかな。

やっと、前回のライブ写真を公開。
ぐわし: 写真公開
といってるうちに、今日はライブだ。
早く雨上がれ。

うっかり今日やっと気がついたけど、出演予定の土曜日は、EDGEの仕事初めでもあったのね。
http://www11.ocn.ne.jp/~edge/schedule/schedule_2007_1.htm
だいじょうびかなあ。EDGEの皆さんも初日ってことで張り切ってくれるんならいいんだが。

------------------------
ぐわしライブ

百戦錬磨の大人たちに贈る、
弱虫ロックと
轟音と
変拍子と
リリシズムと
陶酔の宴

アクセス 「六本木」駅から外苑東通りを東京タワー方面へ真っ直ぐ歩く（途中　ドンキホーテ「左側」、ロアビル「右側」通過）。
右手にオレンジ色のカフェレストラン「Va-tout」（バトゥー）があり、その角を右に曲がる。
直ぐ左側に「雪月花」とうい焼肉屋が見えます。そのビルの地下２Ｆです。
お問い合わせ 03-3505-4561　-E-mail　edge@luck.ocn.ne.jp
------------------------

ＬＤＡＰインジェクション
主にフォームの入力フィールドからLDAPクエリを注入するので、パラメータのプロファイル・チェックで防御可能。
LDAP管理ソフトウェアの脆弱性に対してシグネチャによる防御も必要。
LDAP Injection Vulnerabilities | TestingSecurity.com
What is LDAP injection? - a definition from Whatis.com
[LDAP Injection] Threat Classification - Web Application Security Consortium
Ravikanth's Blog : LDAP Injection overview

メールヘッダインジェクション
注入方法によって対策が異なる。
主にパラメータのプロファイル・チェックによって検知・防御可能。
メールサーバ・ソフトウェアやメール送信スクリプトの脆弱性に対してシグネチャによる防御も必要。
NYPHP - PHundamentals - Email Header Injection
Email Injection - SecurePHP
emailheaderinjection-nyphp

ネアンデルタールのDNAを再現すると言う学者が現れてしまった。
Technology Review: How Neandertal DNA Will Shed Light on Human Genes
フレームシフトを地でいっちゃってるじゃないの。
あるいはジュラシックパークか。

データ便がつながらず、困った。
ここ↓も2年前の記事だから、古いけど。
無料ファイル転送サービス リンク集 [Orbium -そらのたま-]

で結局おくりん坊に登録してみた。
宅ファイル便はフリーメール不可、とかぬかしてて気分悪いので。