情報セキュリティの多くの本は表現が難解な点があり、読む進めていくと大変なので、簡単に嫁そうな本を読みました。
あなたがセキュリティで困っている理由
この本の構成について
一つのテーマだけでなく、フィッシング、ランサムウェア、パスワード運用、情報セキュリティの進め方など多岐にわたっています。
どのような読者を想定して作成されたのがよくわからないような気がします。ただ、専門的な本を読んでもよく理解できない人はこの本を読むことをお勧めします。
どうしてセキュリティで困るの
・サイバー攻撃は多種多様 手の内を知れば怖くない
だましのテクニック
・佐川急便を装うフィッシング 攻撃者が取得した大量のドメイン
・6大学が相次いでフィッシング被害 Office 365利用という共通点
・JALが350万ドルの被害 ビジネスメール詐欺の巧妙な手口
・正規サイトを切り貼りしてだます 外務省をかたるウイルスメール
・北朝鮮の関与が疑われる攻撃 証拠がそろい過ぎて逆に怪しい
身代金を払っていいの
・ランサムウエア感染から4日で復旧 素早い判断で被害を最小限に
・受け取った身代金は600万ドル 起訴状で読み解くSamSam攻撃
パスワードを覚えられない
・使い回しはなぜ増えた？ パスワードの古い常識
・更新されたパスワード運用指針 「定期変更は不要」は間違い
・プレミアム・アウトレットの事故 漏洩データ内に謎の文字列
・セシールが受けた不正アクセス 百発百中の攻撃を受けた理由
DoS攻撃との付き合い方
・日本の追い込み漁が標的に アノニマスの攻撃を防ぐ新対策
・衰えないアノニマスの攻撃 原発のWebサイトも標的に
インシデントに遭遇
・SSHのソフトに危険な脆弱性 未対策のサーバーを探すワザ
・「攻撃者は誰か」は重要ではない 対策に役立つのは攻撃の指標
・攻撃を受けたら何をすべき 適切な情報公開で二次被害を防ぐ
チェックするべきところ
様々なことが書かれていますが、フィッシングやランサムウェアの原因の一つは認証問題なので、具体的な対策の一つとしてパスワード運用の話が書かれています。原因の一つである脆弱性対策についても書かれています。
実例研究 フィッシング／ランサムウェア被害解説
この本ではフィッシング被害の実例がいくつか出てきます。フィッシングの問題はメール・フィルタリングが完璧に処理できないので、完全に防ぐことは難しい点です。
フィッシングメールが精巧にできていれば、利用者はついつい誘導されパスワードを盗んだり、マルウェアを起動させたりすることはできません。
またフィッシングやパスワードの盗用などによりランサムウェアの被害にあうことがありますが、本書では実例をもとにどのようなことが行われたか解説しています。
本書が書かれたとき(2019/5/27)は身代金を払うことについてあまり言われていなかったようですが、2024年の今はできるだけ払わないほうがいいといわれているので、時間とともに変更されている状況について考えながら読む必要があります。
パスワード運用について
パスワードを適切に管理していないとパスワード盗用が行われます。パスワードはハッキングにより盗まれることもありますが、フィッシングなどで盗まれることもありますが、パスワードを使いまわしていると、複数のサイトで悪用されるようなことがあります。
パスワードの使いまわしをしない、辞書に載っている言葉やサービス名、誕生日など推測させるようなパスワードは使わず、記号などをいれることにパスワード強度を高めることが重要であることが指摘されています。
システムでパスワードの定期変更が強制されなくなってきた事情についても説明されています。複数のサイトでパスワードの強制変更が実施されるとパスワードの強度が低いものが複数のサイトで使いまわされる可能性が高いためパスワードの定期的な変更の見直しが行われたことが指摘されています。
パスワードを複数のサイトで使いまわしをせずに、パスワード強度を保つにはパスワードマネージャーの利用を提案しています。
最近では携帯電話を使った2要素認証も一般的になってきたので、それらを利用するのもいいと思います。
昔、いろいろパスワード運用について書きました。よかったらご単ください。
脆弱性などの情報の調べ方
被害を抑えるためには、事前に攻撃者がなにをするか確認することです。この本では脆弱性を調べるためのノウハウが整理されています。
この本が書かれてから時間がたっているので他にも有用な情報はあると思うので、調べてみようと思っています。
実際に問題が起こった時の対応方法
実際に問題が起こった時になにをするべきなのか基本的なところを書いています。
被害にあった企業はできる範囲で情報公開することで二次被害の発生を防ごうという提案はなるほどと思いました。
実際に被害があった後の情報公開についても調べてみようと思います。
最後に
この本が書かれたのは5年前なので、ところどころ情報の古さを感じることは否めませんが、セキュリティに対する考え方は今でも十分に役に立つと思います。
他の難しいセキュリティの本を読んで理解が追い付かないときには、整理するためにこの本を読むのはいいと思います。
コメント