トップ　最新

糸の切れた凧（　a threadless kite　）

ここは、管理人yamagataが方針未定のまま、何となーく思いついたことを思いついたままにだらだらと書き付ける日記帳です。ふんわりほんわかな感じでお願いします。
<< 2024年3月　2024年4月　　

2024/04/16(火)火曜日ー。（微妙に隠蔽されている？）

[雑談] いろいろ。

  • GoogleやMetaは“やる気なし”？　サポート詐欺から自力で身を守る方法：半径300メートルのIT - ITmedia エンタープライズ
  • XZ Utilsのインシデントを教訓に、ソーシャルエンジニアリングによるオープンソースプロジェクトの乗っ取りに関する注意喚起。OpenSSFとOpenJS Foundationsが共同で － Publickey
  • Kaspersky analysis of the backdoor in XZ | Securelist
  • 「PuTTY」に秘密鍵が復元できてしまう深刻な脆弱性 ～「WinSCP」など他ツールにも影響 - 窓の杜
  • 米国連邦政府におけるクラウド戦略「Cloud First」の失敗と教訓｜ミック

米国連邦政府におけるクラウド戦略「Cloud First」の失敗と教訓｜ミック

本稿の趣旨は米国連邦政府のクラウド推進戦略、いわゆる「Cloud First」から始まる一連の政策が辿った経緯を概観することである。米国のクラウド戦略は、掛け声こそ勇ましかったものの、あまりうまくいかなかった。これは筆者の主観ではなく、連邦政府自身がそれを認めるレポートを出している。あとで具体的に見ていこうと思う。 本邦においてもガバメントクラウドが本格的に動き出している。さくらインターネットが政府公認のベンダーとして認証を受けたことが話題になったのはつい最近のことだ。本邦のクラウド戦略もかなり米国のそれを参考にしており、そのまま進むと同じ轍を踏む可能性もなきにしもあらずである（実
https://note.com
  • 米国連邦政府におけるクラウド戦略 - クラウドセキュリティをどう担保するか｜ミック

米国連邦政府におけるクラウド戦略 - クラウドセキュリティをどう担保するか｜ミック

さて、米国連邦政府のクラウド戦略についてのレポートその2である。その1はこちらを参照。その1を読んでいなくても支障はないが、歴史的な話をしているので先に読んでいただくと理解が捗ると思う。 前回は、どちらかというと連邦政府の取り組みがうまくいかなかった、というトーンで話をしたが、公平を期して言うならば、成功している部分もあるし、うまくいかなくても諦めず粘り強く進行している取り組みもある。こういうとき米国人というのは強くて、失敗を教訓にどんどん再トライを繰りかえし、大きなブレイクスルーに繋げてしまう。 本稿では、そのようなダイナミズムを持った取り組みとして連邦政府のクラウドセキュリティ
https://note.com
  • 米国連邦政府におけるクラウド戦略 - クラウドシフトを支える組織と法令｜ミック

米国連邦政府におけるクラウド戦略 - クラウドシフトを支える組織と法令｜ミック

さて、米国連邦政府のクラウド戦略その3である。その1とその2はこちらからどうぞ。今回は、米国の連邦政府という組織と法令という観点からクラウド戦略を見ていきたいと思う。これらはエンジニアからすると周辺的なことと思われるかもしれないが、実際にクラウドを活用していくには欠かすことのできない観点である。 それでは初めにまずは組織の観点から見ていこう。 クラウドシフトを支える組織 エンジニアの直接雇用と内製文化 連邦政府はよく知られているように多くのエンジニアを直接雇用しており、伝統的に内製による開発を行ってきた。連邦政府が雇用しているITエンジニアの人数は8万人弱という大所帯である（
https://note.com
  • 情報処理学会「情報科全教科書用語リスト」を無料公開、5895用語をスプレッドシートで共有 高校情報科の教育支援に役立つ - こどもとIT
  • OpenAI、GPT-4の「日本語特化モデル」発表--処理速度3倍に - CNET Japan
  • なぜバスには「ヘッドレスト」が無い？ 身体を守る"安全装置"なのに…どうして!? 理由を「国土交通省」に聞いた！ | くるまのニュース
  • 「思ってたより小さい」東京駅の入口が話題→「探索隊は行方不明となっており……」「初めてだと驚きますよね」と“悪ノリ”続出 - ねとらぼ
  • 飼い主の腰が大ピンチ!?　ニャンズが気に入ってしまったハードな遊びが125万回表示「大変だけど、みんな楽しそう」 - ねとらぼ
  • 悪さばかりする猫に小型カメラを装着→映像を確認してみたら……　衝撃の光景に「ヤバい最高」「こういうの見たかった」 - ねとらぼ

2024/04/15(月)月曜日ー。（さっそく不登校かよ。。）

[雑談] いろいろ。

  • PAN-OS GlobalProtect の脆弱性 CVE-2024-3400 についてまとめてみた - piyolog

PAN-OS GlobalProtect の脆弱性 CVE-2024-3400 についてまとめてみた - piyolog

2024年4月12日、Palo Alto Networksは、同社の製品であるPAN-OSにおいて、深刻な脆弱性が確認されたとしてセキュリティ情報を公開しました。情報公開の時点では修正版は開発中（その後4/14にHotfix公開）であり、さらにこの脆弱性を悪用した限定的な事例を同社は把握していることから、脆弱性修正を含むHotfixの情報や推奨される回避策等の公開を行っています。ここでは関連する情報をまとめます。 概要 脆弱性が確認されたのはPalo Alto社のFW製品等で稼働するPAN-OS一部バージョンのGlobalProtect機能。攻撃者が脆弱性の存在するFW製品等に対しネットワーク…
https://piyolog.hatenadiary.jp
  • Palo Alto Networks社製PAN-OS GlobalProtectのOSコマンドインジェクションの脆弱性（CVE-2024-3400）に関する注意喚起
  • CVE-2024-3400 PAN-OS: OS Command Injection Vulnerability in GlobalProtect Gateway
  • Threat Brief: Operation MidnightEclipse, Post-Exploitation Activity Related to CVE-2024-3400
  • Linux環境で使用されている圧縮ツール「XZ Utils」のバックドアはどのように埋め込まれるのかをセキュリティ企業のカスペルスキーが解説 - GIGAZINE
  • Windowsで動くプログラミング言語に脆弱性、引数の扱い方の穴を突いて攻撃 | TECH+（テックプラス）
  • Apple、日本を含む世界の一部ユーザーにスパイウエアの「脅威の通知」 - ITmedia Mobile
  • 警視庁150年事件ファイル「遠隔操作ウイルス事件」誤認逮捕から執念の逮捕　FBIを動かした交渉の舞台裏｜FNNプライムオンライン

警視庁150年事件ファイル「遠隔操作ウイルス事件」誤認逮捕から執念の逮捕　FBIを動かした交渉の舞台裏｜FNNプライムオンライン

2024年に創立150年を迎えた警視庁。その長い歴史の中で、犯人に翻弄され、あってはならない「誤認逮捕」を生んでしまった事件がある。2012年の「パソコン遠隔操作ウイルス事件」。数々の殺害予告メールを送信する“真犯人”が、遠隔操作ウイルスを使って、無関係の4人のパソコンから送ったかのように偽装した事件だ。警察は無実の4人を誤認逮捕したが、その後謝罪。捜査の結果、8カ月後、“真犯人”を逮捕した。逆転劇に至る裏側には、FBI・アメリカ連邦捜査局との知られざる交渉劇があった。2012年6月ごろから、…
https://www.fnn.jp
  • ARM環境でディスアセンブルを妨害するテクニック（32ビット編） - Sterra Security Tech Blog

ARM環境でディスアセンブルを妨害するテクニック（32ビット編） - Sterra Security Tech Blog

取締役CTOの小竹（aka tkmru）です。 ディスアセンブルを妨害するアンチディスアセンブルという耐タンパ性を高めるための技術があります。 本記事では、32ビットのARM環境（以下、ARM32）で有効なアンチディスアセンブルのテクニックを紹介します。 静的解析を妨害するアンチディスアセンブル リバースエンジニアリングの方法の1つに、バイナリをディスアセンブル（逆アセンブル）した結果を読み解く静的解析があります。 ディスアセンブルというのは、バイナリを機械語からアセンブリ言語に変換することです。 静的解析では、アセンブリ言語の命令を読み解くことで、プログラムの挙動を明らかにします。 アンチデ…
https://tech-blog.sterrasec.com
  • 使用していないドメインを勝手に名乗ってメールを送信されるのを防ぐためのDNS設定まとめ - GIGAZINE
  • 「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ～ JPAAWG 6th General Meeting レポート | ScanNetSecurity
  • IIJ、沖縄県立学校全85校のインターネット接続環境を再構築 | IIJについて | IIJ
  • 解説論文 インターネットにおける ふくそう制御アルゴリズム
  • 本当にあったAWSでやらかした話と対策😭 #AWS - Qiita
  • Get started with the latest updates for Dockerfile syntax (v1.7.0) | Docker
  • Microsoft、「Windows 11」のスタートメニューにアプリ広告を表示するテスト開始 - ITmedia NEWS
  • 「このシステムすごくいい」　東横INNの「フードロス対策」に称賛の声　「全てのホテルに拡大してほしい」 - ねとらぼ
  • さようなら、全てのエヴァーノート - 本しゃぶり
  • 「契約違反やろ」国民年金の納付「5年延長」の試算に批判殺到、支援金は年収400万円で月550円徴収 | Smart FLASH/スマフラ[光文社週刊誌]
  • ほぼ自動操縦な旅客機が「離陸だけ手動」なワケ 実は自動で可能？ 実用化されない理由も納得！ | 乗りものニュース
  • ロマンスカーをモチーフにしたLINEスタンプ　無料提供中 - 週刊アスキー
  • イタリア・ボローニャの塔が倒壊の危機…ピサの斜塔方式で修復へ | 毎日新聞
  • アース製薬と「8番出口」がコラボ。“お口クチュクチュ”しながら大量のおじさんが迫ってくる新CMを公開
  • ゴールデンレトリバー、それは最高の……　寒い日の飼い主へのやさしい行動に「うわぁ羨ましい…」「幸せ時間ですね」と280万表示 - ねとらぼ
  • ついに「猫のもっともかわいいしぐさ」を撮影成功!?　まさかの三段オチに「懐かしいザンス」「猫は世界を救いますね」 - ねとらぼ

2024/04/12(金)金曜日ー。（踏み抜きそう・・・）

[雑談] いろいろ。

  • X(旧Twitter)で投稿内の「twitter.com」を「x.com」へ自動変換する試みに合わせてフィッシング用ドメイン取得が続発 - GIGAZINE
  • 偽のセキュリティ警告画面(サポート詐欺)が表示される仕組み - NTT Communications Engineers' Blog

偽のセキュリティ警告画面(サポート詐欺)が表示される仕組み - NTT Communications Engineers' Blog

みなさんこんにちは、イノベーションセンターの益本(@masaomi346)です。 Network Analytics for Security (以下、NA4Sec) プロジェクトのメンバーとして、脅威インテリジェンス(潜在的な脅威について収集されたデータを収集・分析したもの)の分析をしています。 最近、広告から偽のセキュリティ警告画面に飛ばされる事例が目立っています。 本記事では、偽のセキュリティ警告画面が表示される仕組みについて、実際に使われているツールを使って紹介していきます。 ぜひ最後まで読んでみてください。 NA4Secについて 「NTTはインターネットを安心・安全にする社会的責務が…
https://engineers.ntt.com
  • アップル、92カ国のユーザーに警告　傭兵スパイウェア攻撃に狙われた可能性で | Forbes JAPAN 公式サイト（フォーブス ジャパン）
  • Rustの標準ライブラリにCVSS 10.0の脆弱性　任意のシェルコマンドを実行されるリスク：セキュリティニュースアラート - ITmedia エンタープライズ
  • 「XZ Utils」のバックドア問題--オープンソースのセキュリティを考える - ZDNET Japan
  • OTのセキュリティでこれから必須になるインシデントへの対応 - ZDNET Japan
  • 有名人の画像を悪用した広告が氾濫中、LINEで連絡すると投資詐欺に誘導されるケースも【被害事例に学ぶ、高齢者のためのデジタルリテラシー】 - INTERNET Watch
  • iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ　パスワードリセット通知を大量送付、乗っ取りを狙う：この頃、セキュリティ界隈で - ITmedia NEWS
  • 無線LANルーター「Aterm」シリーズの一部に複数の脆弱性　設定変更や買い替えをアナウンス - ITmedia PC USER
  • 戦闘機パイロットの養成 国内で将来できなくなる!? 旧式T-4の後継に必須な要件とは？ | 乗りものニュース
  • 米国の気候変動の情報開示、5000社超に影響　日本企業もヒトゴトではいられない【表で解説】 - ITmedia ビジネスオンライン

2024/04/11(木)木曜日ー。（ナルホド、ナルホド・・・）

[雑談] いろいろ。

  • Windows版「Zoom」クライアントアプリのインストーラーに権限昇格の脆弱性 - 窓の杜
  • 各生徒に貸与のタブレットに卒業生の成績表示…採点補助システムに学年や出席番号使う : 読売新聞
  • BatBadBut: You can't securely execute commands on Windows
  • GitHub - YuriiCrimson/ExploitGSM: Exploit for 6.4 - 6.5 kernels and another exploit for 5.15 - 6.5
  • HTTP/2プロトコルの脆弱性を警告、Goなど複数製品に影響 - JPCERT/CC | TECH+（テックプラス）
  • HTTP/3に実験対応した「freenginx 1.26.0」が安定版に ～本家「nginx」に動きなし - 窓の杜
  • 「SQL」の読み方論争に決着？ 「しーくぇる」vs「えすきゅーえる」にPostgreSQLがケリ - やじうまの杜 - 窓の杜
  • 「現状、人間はこの技術を制御しきれない」。読売新聞とNTTが生成AIのあり方に共同提言 - INTERNET Watch
  • 【無料】文章生成のソフト一覧 - 窓の杜
  • Google、日本へ接続する海底ケーブルに1500億円投資 - Impress Watch
  • Googleが日本とアメリカの間に2本の新しい海底ケーブルを設置するため約1530億円規模の投資を発表 - GIGAZINE

2024/04/10(水)水曜日ー。（Give me five！）

[雑談] いろいろ。

  • 偽のセキュリティ警告画面(サポート詐欺)が表示される仕組み - NTT Communications Engineers' Blog

偽のセキュリティ警告画面(サポート詐欺)が表示される仕組み - NTT Communications Engineers' Blog

みなさんこんにちは、イノベーションセンターの益本(@masaomi346)です。 Network Analytics for Security (以下、NA4Sec) プロジェクトのメンバーとして、脅威インテリジェンス(潜在的な脅威について収集されたデータを収集・分析したもの)の分析をしています。 最近、広告から偽のセキュリティ警告画面に飛ばされる事例が目立っています。 本記事では、偽のセキュリティ警告画面が表示される仕組みについて、実際に使われているツールを使って紹介していきます。 ぜひ最後まで読んでみてください。 NA4Secについて 「NTTはインターネットを安心・安全にする社会的責務が…
https://engineers.ntt.com
  • ワープロソフト一太郎の複雑な脆弱性を分析し、任意コードの実行に成功
  • SSVCにおける Human Impact 決定方法例 | Vuls Blog
  • xzにバックドアが混入した件のまとめ(CVE-2024-3094) #Security - Qiita
  • 「Apache」「Node.js」も ～多くの実装が影響を受ける脆弱性「HTTP/2 CONTINUATION Flood」 - 窓の杜
  • OpenSSL Security Advisory [8th April 2024] : Unbounded memory growth with session handling in TLSv1.3 (CVE-2024-2511)
  • Cloudflareがデータセンターで大規模な停電が発生したことを報告、フェイルオーバーが機能してサービスへの影響はほぼ無し - GIGAZINE
  • 【追記あり】システムを理解する人しない人 - あのにますトライバル

【追記あり】システムを理解する人しない人 - あのにますトライバル

こんな話題を見かけて、思い出したこと。 togetter.com 老人になるとタブレットでの注文や配膳ロボットがうまく扱えないという話題で、それは老化の問題ではなく「周囲の異文化を理解するか」でないかと思うのです。 例えば老人でも、常に外部から情報を入れていれば「これがニュースで見た配膳ロボットか！」くらいのリアクションにはなるわけで、そいつらはタブレット注文も配膳ロボットも最初は戸惑うけど、すぐに慣れる。最初から「そういうもんになったのか」という受け入れ態勢があるから、すんなりと文化の中に入っていける。 そしてこれからする話はもう随分の昔のことになるけど、このブログ書いてる人にとって結構印象…
https://nogreenplace.hateblo.jp
  • マイクロソフト、日本のAI投資に4400億円　東京に研究拠点も：朝日新聞デジタル
  • GoogleがGemini 1.5 Proの一般プレビューを開始、音声理解・システム命令・JSONモードなどの新機能を搭載 - GIGAZINE
  • ⼤規模⾔語モデルの拡張（RAG）が 終わったかも知れない件について - Speaker Deck
  • 横浜にある透明に見えるビルは本当に透明なのか :: デイリーポータルZ
  • “月1650円”の負担も…子育て支援金負担額の試算公表　当初発表の「月500円弱」を上回る形に｜FNNプライムオンライン

“月1650円”の負担も…子育て支援金負担額の試算公表　当初発表の「月500円弱」を上回る形に｜FNNプライムオンライン

2026年度から開始される「子ども・子育て支援金」の負担額の試算が公表された。年収に応じて異なる負担額が設定されている。岸田首相は2月に「月500円弱」の負担と発言していたが、公表された金額では、年収400万円以上でもその金額より上回る形となっている。少子化対策の財源として、公的医療保険料に上乗せして徴収する「子ども・子育て支援金」について、政府は、被用者保険の年収別の負担額の試算を公表した。支援金は2026年度から徴収が始まり、2028年度には総額約1兆円が徴収される。会社員や公務員などが加…
https://www.fnn.jp
  • パパが勉強を邪魔してくるデカワンコたちを寝かしつけていたら……　予想外の展開に「お前もお前もお前もか！」「似たもの三兄弟」 - ねとらぼ
  • キッチンに立つ猫ちゃん、手首のスナップをきかせて……　衝撃の“手慣れ感”に「人間入ってません？笑」「家事手伝える」 - ねとらぼ