Latest Posts

UberのセキュリティインシデントからみるGDPR準拠へのポイント

この記事の所要時間: 約 2分

年々利用者を増やしており、特に海外では多くの人に親しまれているUberですが、昨年、その人気が危ぶまれる出来事が発生しました。

Uberは、欧州連合(EU)の中でその成長率を維持するために、広報、法的課題、マーケティング活動に多くのリソースを費やしてきました。そのような活動の中、2017年11月掲載のUberのブログにて、2016年10月ごろに受けたサイバー攻撃を公開せず、隠ぺいしていたことが明らかとなりました。同社はブログにて、昨年10月に5000万人のユーザー情報と700万人のドライバーの名前、メールアドレス、電話番号、運転免許証の番号が流出し、漏洩した情報に対する一切の黙秘を条件に、ハッカーへ10万ドルを支払っていたことを報告しました。もともとこのようなセキュリティ違反は重大なインシデントとなりますが、EUの一般データ保護規則(GDPR)が施行された今、Uberにとっては、EUで再び信頼を得るための大きな障壁となり得ます。

● どのようにして攻撃が発生したのか?

Uberのエンジニアは、開発のためにGitHubコーディングサイトを使用していましたが、ハッカーはそのサイトの抜け穴を利用してログイン情報を取得後、個人データを抜き出しました。Uberは、すでに今後の攻撃を阻止するための対策を講じていると主張していますが、今回ポイントとなるのは、セキュリティ違反を直ちに公表しなかったという点です。実際、問題が発生したタイミングでは違反を報告する義務はありませんでしたが、GDPRが施行された今、欧州で同様のことが発生した際には、企業にとって深刻な事態となります。

● GDPR施行後に問題が発生した場合はどうなるのか?

今回の問題では、EU市民の個人データが多数漏洩してしまいましたが、GDPRは、このような問題に対して重いペナルティを課しています。例えば、制裁金として、最大2000万ユーロ(約26億円)、あるいは年間売り上げの4%のいずれかのうち、高額な方を支払う必要があります。また、違反があったことを直ちに公表しなかったという事実は、EU市民の信頼を大きく損なうことにつながるでしょう。

● GDPRを遵守するために必要なこと

今回のセキュリティ違反を踏まえて、2018年5月25日に施行されたGDPRを遵守するために求められることを、以下に挙げていきたいと思います。

  1. セキュリティ違反が発生した際には、速やかに検知し、被害を最小限に留めるための措置をとること。また、発生72時間以内に、監督機関へ報告をおこなうこと。いずれかを怠った場合、GDPRの違反につながります。
  2. データが保管されている場所(物理、仮想、クラウドなどに関わらず)に対して、企業は不正なアクセスからデータを保護し、安全性を継続的に検証するためのセキュリティ対策を講ずること。
  3. カスタムアプリケーションやサービスを使用している場合は、同様に監査対象とすること。企業はセキュリティの穴を防ぐため、これらのアプリケーションやサービスで起こっている活動を監査し、記録する必要があります。

● GDPRへの準拠にManageEngineはどのように貢献できるのか?

ManageEngineでは、GDPRに準拠するためのツールとして、以下を提供しています。

 


関連情報をCheck! >> GDPR対応ソリューション

ADAudit Plus , Desktop Central , EventLog Analyzer 1 min read

【GDPR対策をDIYするブログ】第2回 GDPRへ対応するための作業ステップと事前準備

この記事の所要時間: 約 6分

第2回 GDPRへ対応するための作業ステップと事前準備

「GDPR対策をDIYするブログ」へお越しいただきありがとうございます。…

セキュリティ 1 min read

【GDPR対策をDIYするブログ】第1回 GDPRの概要と日本における現状

この記事の所要時間: 約 7分

第1回 GDPRの概要と日本における現状

ManageEngineが運営するブログへお越しいただきありがとうございます。…

セキュリティ 1 min read

OpManager構築編05:OpManagerで監視する装置を登録する方法 – 【連載】ZabbixとOpManagerから学ぶ!統合監視の世界

この記事の所要時間: 約 5分

こんにちは!
永年無料でも使えるManageEngineの統合監視ソフトウェア「OpManager」技術担当のゆらです!

ちょうど一か月前でしょうか、Zabbixでの監視対象装置の追加方法を触れましたが、
今回はOpManagerでの装置追加方法をご紹介したいと思います。

Zabbixでは、監視対象装置を「ホスト」と呼んでいましたが、OpManagerでは監視対象装置と呼んでいますので今回は監視対象装置と呼ばせていただきますね。

目次
[1] 監視対象ホストの選定
[2] 監視するにあたり、プロトコルはどうしよう?
[3] sysObjectIDと装置テンプレートについて
[4] 監視対象装置の追加
– 一括で複数の装置を追加する方法


[1]、[2]に関しましては、前回のブログにてご紹介しましたのでそちらをご参照ください。
ということで、OpManagerでの装置追加方法をご紹介いたします。

[3] sysObjectIDと装置テンプレートについて

まず、(Zabbixエージェントを使用した場合はこの限りではありませんが、)Zabbixのように「装置追加時にテンプレートを選択し、適用する」という流れではなく、
1) OpManagerに装置を追加する際、指定されたホスト名またはIPアドレスにPing疎通が通るか確認
2) OpManagerに存在する、1つ1つの「装置テンプレート」に登録してある識別子(sysObjectID)と一致するものを見つける
3) その識別子が登録されている装置テンプレートを装置に適用する、という流れになります。
(装置を追加した後なら、テンプレートを適用しなおすことも可能です。)

言葉だけじゃなんか難しいですね。…

OpManager 1 min read

Zabbix構築編05:Zabbixで監視する装置を登録する方法 – 【連載】ZabbixとOpManagerから学ぶ!統合監視の世界

この記事の所要時間: 約 11分

こんにちは!
永年無料でも使えるManageEngineの統合監視ソフトウェア「OpManager」技術担当のゆらです!

やべえやべえ、そろそろブログ書かなきゃ><と久々にZabbixにログインしようと思ったら、ユーザー名もパスワードもすっかり忘れまして、ログインに失敗しました。(みんなあるあるだと信じます)
ユーザーのパスワード等はデフォルトのままでしたので、グーグル先生に聞きまして、なんとかログインすることができました。よかったー。
そしたらこんな画面が。

おお・・・・。OpManagerにもこんな機能あればいいのになぁ。

ということで、以下の順番でお話を進めていきます。
※Zabbixでは、監視対象として追加した装置のことを「ホスト」と呼びますので、わたしも今回はそれに倣って基本的には「ホスト」と呼びますのでよろしくお願いいたします!

目次:
[1] 監視対象ホストの選定
[2] 監視するにあたり、プロトコルはどうしよう?
[3] ホストの追加
– 一括で複数の装置を追加する方法


[1] 監視対象ホストの選定

まず、今回監視対象として登録できたらいいなーと思っているホストをご紹介します。
—————————–
サーバー
Windows Server 2012 R2
CentOS 6
ネットワーク機器
Cisco Catalyst 3560シリーズ スイッチ(シスコシステムズ)…

OpManager 2 min read

ちょっと余談01. SNMP, WMI, CLI、VMware APIの違いについて – 【連載】ZabbixとOpManagerから学ぶ!統合監視の世界

この記事の所要時間: 約 4分

お久しぶりです!あっ・・・・!という間に前回の投稿から二か月くらい経ってしまいました。
永年無料でも使えるManageEngineの統合監視ソフトウェア「OpManager」技術担当のゆらです。

今回は、「Zabbix、OpManagerで監視する装置の追加方法」を模索する前に、監視に使用される基本的なプロトコルについてご説明しようと思います。

まず、OpManagerがメインで監視に使用しているプロトコルは以下のとおりです。
SNMP、WMI、CLI、VMware API

今回は、この4つに絞って説明していこうと思います!
(※Zabbixは、Zabbixエージェントを利用してWMI等を利用した監視を行うみたいです。
LinuxサーバーはデフォルトではWMIに対応していないので、Zabbixエージェントで対応できるのが嬉しいですね。)

目次:
[1]  TCP, UDPって?通信の信頼性?
[2] 取得してる値って違うの?プロトコルが違うだけじゃないの?


[1] TCP, UDPって?通信の信頼性?

各プロトコルは、TCPかUDPというプロトコルで通信を行います。
TCPとUDPの違いは以下のとおりです。
(詳細は、ぐーぐる先生で検索してみるとたくさん教えてくれるので割愛しますね)

〇TCPを利用するプロトコルは:
・応答確認等を行うので、通信の信頼性が高い。
すべてのデータがきちんと届くことを確認します。キャッチボールします。
きちんとボールが返ってこなかったら、「返ってきてないよー!?」と伝えて、再度投げてもらいます。

〇UDPを利用するプロトコルは:
・応答確認を行わないので、通信の信頼性が低い。
監視対象装置から応答がなくても、確認しません。投げっぱなしにしておいて放置。
・でも、処理は簡単で遅延が少なくなります。

今回挙げている「監視に使用しているプロトコル」では、SNMPはUDP。
他はTCPです。
ZabbixエージェントもTCPだそうです。

参考URL)…

OpManager 1 min read

「低コスト/簡単運用」を追求した特権ID管理ソフト| Password Manager Proの実力/総コスト感は?

この記事の所要時間: 約 2分

アカウントやデータベースの管理、ネットワーク機器の設定変更等において高い権限を有する特権IDは、悪用されると甚大な被害につながります。サイバー攻撃が横行する昨今、このような脅威はあらゆる規模の企業/組織が実感しているのではないでしょうか。

しかし、これまでの特権ID管理ツールは、大手金融機関や重要システムを対象とした、高価運用負荷の高いものばかりでした。そのため、ツールによる特権ID管理をあきらめ、セキュリティレベルの低さを看過したり、紙台帳等での不十分な管理にとどめたりする企業も少なくありませんでした。

以下の資料では、このような課題を解決するために開発されたソフトウェア「Password Manager Pro(パスワード マネージャー プロ)」の概要についてご紹介しています。

選ばれる理由は「低コスト」- 特権ID管理ソフト Password Manager Pro製品概要資料

<目次>
■ Password Manager Proとは:導入実績とポジショニング
■ 低コストの理由:総コストの比較や実際の価格
■ 主要機能:申請/承認フロー、操作画面の録画、パスワードの自動変更…他
■ 説明/デモ依頼窓口:訪問やオンライン対応が可能なご相談窓口
■ 参考資料/各種お問い合わせ:関連資料や事例記事等、関連情報まとめ

 

【国内トップクラスの導入実績】

2014年から日本語版を提供し、近年は同分野において国内トップクラスの導入実績を達成しているPassword Manager Pro。…

Password Manager Pro , セキュリティ 1 min read

Password Manager Pro 9.4の新機能をご紹介!

この記事の所要時間: 約 2分

特権ID管理ソフト「ManageEngine Password Manager Pro」は、2017/12/25からビルド9.4を提供開始しました。

とは……

Password Manager Pro 1 min read

どこで差がついた?ここがヘルプデスク運用効率化の分かれ道!

この記事の所要時間: 約 4分

どこで差がついた?ここがヘルプデスク運用効率の分かれ道!

業務拡大によりますます少ない人数でヘルプデスクの運用を行うことになっていたA君とB君。効率化を検討したものの、いつしか大きな差が生まれてしまう…。今回は、効率的なヘルプデスク運用を目指しながらも、どこで差がつくのか、X社とY社の例を通して紹介しよう。

X社の情報システム部門 A

X社の情報システム部門 A君

新たにヘルプデスク用のツールを導入するのは覚えることも多いし、導入も大変そう。余裕もないし、環境を変えることなく、これまでと同じようにグループウェアや表計算ソフトで管理し続けるのが、結局は効率化につながるのでは?

 

Y社の情報システム部門 B

このままグループウェアや表計算ソフトで管理していては、いずれ限界がくるだろう。少ない人数で効率的に管理するには、低コストで導入しやすく、運用の一部を自動化できるしくみが不可欠…。更に将来的にはITILにも対応する必要もあるだろう。早急に対応ソフトを探さなければ。

異なる2つの道を選んだA君とB君。それぞれどのようなことになるのだろうか。

 

A君の場合

「色々とヘルプデスク運用を効率化するツールもあるようだけれど…導入するには時間もコストも余裕がなさそう。」

こう考えていたA君。例えば導入前にコンサルティングを受けるにしても、現状の課題の洗い出しやインシデントやサービス要求に関する問い合わせの要件をまとめたりするのは難しい。現行の業務と並行しながらツールを導入するのは困難と判断したのだ。

「それにツールを導入しても、自社に合わせてカスタマイズや細かい設定が必要なのでは。新たな操作を覚える必要もあるだろう。」

しかし、メールや電話で届くインシデント情報の管理や入力の手間は増える一方。更にデータベースソフトで作ったツールは、データの増加にともない処理速度が遅くなってきていて、管理やメンテナンス、データ集計にも時間が取られることが分かってきた…。

 

B君の場合

「ヘルプデスク導入のために、コンサルをお願いしたりする時間を取りにくい。自分の予定に合わせやすい無料の評価版を試してみよう!」

B君は導入にかかる時間や手間を減らすためにも、まずは無料評価版で試せるツールを検討。その中でもやはり、導入に負担がかからないのは、自社のヘルプデスク運用に合ったパッケージソフトということが分かった。

「パッケージソフトではカスタマイズはほとんど必要ない。設定も簡単な製品だと、管理側の負担もかなり減る。それに、入力しやすくて分かりやすい画面だと、実際の運用の際にも負担は軽減できそうだ。」

評価版を試す過程で、インシデント管理に関する要件も少しずつ整理していたB君。

低コストで導入しやすく、操作しやすいインターフェースを兼ね備えていることから、ゾーホージャパンの ManageEngine ServiceDesk Plus (マネージエンジン サービスデスクプラス:以下、 ServiceDesk Plus )を選ぶことに。 インシデント管理だけでなく、資産管理・CMDB・問題/変更管理機能も備えた拡張性もポイントだ。…

ITIL ITサービスマネジメント , ServiceDesk Plus , 一般 , 未分類 1 min read

【JPCERT/CC提唱】不審なタスク作成の調査

この記事の所要時間: 約 3分

攻撃者がコンピューターに侵入後、不正なプログラムを実行するために、タスクスケジューラを悪用するケースがあります。タスクスケジューラとは、WindowsOSにて標準搭載されている機能であり、決められた時間、あるいは一定の間隔にて、プログラムやスクリプトを実行することが可能な「タスク管理ツール」です。タスクスケジューラの脆弱性として、2014年9月に「CVE-2015-0098」が報告されており、この脆弱性を利用することで特別に細工されたアプリケーションの実行、および以下の操作を行うことが可能です。

・ プログラムをインストールする
・ データを表示、変更、削除する
・ 管理者権限をもつアカウントを作成する

上記のような不正な操作を検知するための手段として、不審なタスクが生成されていないことを、定期的にタスクスケジューラにて確認する方法があります。以下では、設定されているタスクの確認方法についてご案内します。

 

1.タスクスケジューラの確認方法

1) スタート > 管理ツール > タスクスケジューラ を開きます。

2) タスク スケジューラ ライブラリ をクリックします。

3) 現在設定されているタスクスケジューラの一覧を確認することが可能です。なお、タスク スケジューラ ライブラリから確認できる内容は下記の通りです。

・ 名前
・ 状態
・ トリガー
・ 次回の実行時刻
・ …

ADAudit Plus 1 min read