公開情報から見る攻撃タイムラインと、防御側が気をつけるべきポイント ランサムウェア被害は、利用者の画面に身代金要求が表示された瞬間に始まるわけではありません。多くの場合、その前に「侵入口の確保」「認証情報の悪用」「内部探索」「権限拡大」「バックアップ破壊」「情報窃取」といった準備段階があります。 公開レポートを見ると、攻撃は以前より速くなっています。Sophosの2025年調査では、インシデントレスポンス案件におけるランサムウェアの中央値滞在時間は4日、Mandiantの2025年レポートでもランサムウェア関連侵害の中央値滞在時間は6日で、半数以上が1週間以内に検知されています。つまり、防御側には「数週間かけて調査する余裕」はなく、初期侵入後の数日が勝負になります。(SOPHOS) 1. 初期侵入：入口はメールだけではない 従来は「ランサムウェア＝怪しい添付ファイル」という印象が強くありました。しかし、現在の侵入口はもっと広いです。 MITRE ATT&CKでは、初期アクセスは「攻撃者がネットワーク内に足場を得る段階」と定義され、スピアフィッシン

Hi, there. 本日のトピックは、Elastic Stackです。 ― “検索エンジン”の先にある、監査と可視化の実用ライン Elastic という名前を聞くと、いまでも「Elasticsearch のこと」と受け取られることが少なくありません。たしかに Elasticsearch は Elastic の中核であり、検索と分析を担う重要なエンジンです。けれど、いま実際に手を動かして使う対象は、Elasticsearch 単体ではなく、Elasticsearch、Kibana、そして必要に応じて Elastic Agent や Fleet を含めた Elastic Stack 全体です。Elastic 公式も、Elastic Stack を「データを安全に保存し、検索し、分析し、可視化するために連携する製品群」と説明しています。 この違いは、言葉の問題ではありません。「Elasticsearch で何ができるか」と考えると、どうしても検索エンジンの延長として見てしまいます。ですが、「Elastic Stack で何ができるか」と捉え直すと、話

量子時代に、署名の信頼をどう守るか PQC が必要になる理由は、通信の暗号化だけではありません。政府、金融、重要インフラのシステムでは、「誰が作ったか」「改ざんされていないか」を確認する署名基盤も同じように量子脆弱性の影響を受けます。NIST は 2035年までに量子脆弱な公開鍵アルゴリズムを段階的に外していく方針を示しており、英国 NCSC は 2035年までの移行完了を目標にした3段階のロードマップを公表しています。EU も加盟国全体での移行開始と、重要インフラの早期移行を促しています。 そこで中核になるのが ML-DSA です。NIST は 2024年8月に FIPS 204 を承認し、ML-DSA を PQC の主要なデジタル署名標準として定めました。ML-DSA は旧称 CRYSTALS-Dilithium で、用途は 署名生成と署名検証 です。 ML-DSA は何をするアルゴリズムか ML-DSA は、秘密鍵で署名を作り、公開鍵でその署名を検証する方式です。役割自体は RSA や ECDSA、EdDSA と同じで、データの完全性と署名

組み込みソフトウェアの脆弱性管理で難しいのは、単に「CVE を検出すること」ではありません。難しいのは、その CVE がどのレイヤーに存在し、製品として本当に影響するのかを判断することです。 コンテナを使っている製品であればコンテナイメージ。Linux ベースであれば OS パッケージ。カーネルモジュールやデバイスドライバ。C/C++ で書かれたアプリケーション。さらに、Yocto や Buildroot で取り込まれる OSS、静的リンクされたライブラリ、設定ファイル、起動スクリプト、証明書、秘密情報。 これらを一つのスキャナでまとめて見ようとすると、どうしても粗くなります。逆に、レイヤーごとに「狙うべきもの」と「適した手段」を分けると、検出結果の解釈がかなり楽になります。 SBOM はこの考え方の土台になります。CISA は SBOM を、ソフトウェアコンポーネントとその関係を把握するための情報として位置づけており、脆弱性把握やサプライチェーンリスク管理に利用できます。NIST SP 800-161 Rev.1 も、製品・サービスのサプライチ

Hi, there. 今回のトピックは脅威モデリングです。 はじめに 「スマート家電や産業用ロボット、どうやってセキュリティを守ればいいの？」 そんな疑問を持ったことはありませんか？ ITシステムのセキュリティ対策（MITRE ATT&CKなど）は有名ですが、実は「組み込みシステム（Embedded Systems）」には、ハードウェア特有の守り方があります。 そこで登場したのが、2024年に公開された新しいフレームワーク『MITRE EMB3D』です。この記事では、初学者の方向けに、この便利なツールの使い方をわかりやすく解説します。 MITRE EMB3Dとは？ 簡単に言うと、「組み込みデバイスに特化した、攻撃者の狙い目と対策のリスト」です。 セキュリティエンジニアが攻撃者によるサイバー攻撃を想像する際、いわゆる脅威モデリングを実施するというのセオリーですが、STRIDEやアタックツリーなどの様々な分析手法が存在しどれを使えばいいのか選択に悩まされていました。 そんな中、単一の基板で完結するようなシステムにおける脅威モデリングの救世主となりうる

Linux ディストリビューションを選ぶとき、セキュリティだけを単体で評価するのは簡単なことではありません。カーネルや OpenSSL のバージョン、SELinux の有無だけを見ても、実運用で安全になるわけではないからです。 実際のサーバー運用では、脆弱性情報を追えること、パッチを適用し続けられること、監査に耐えられること、そして移行時に不用意なリスクを増やさないことが重要になります。 AlmaLinux は、CentOS Linux の後継候補として語られることが多いディストリビューションですが、セキュリティ観点で見ると、単に「RHEL 互換で無料」というだけではありません。本番環境で長く使う Linux として、セキュリティ運用に必要な仕組みがかなり現実的にそろっています。 ここでは、AlmaLinux の良さをセキュリティ観点で5つに絞って整理します。 1. 長期運用を前提にしたセキュリティパッチ提供 サーバーOSのセキュリティで一番重要なのは、「今安全か」ではなく「安全な状態を維持できるか」です。 AlmaLinux はエンタープライズ

Hi, there. 本日は、過去に投稿した「Splunkを使用した監査環境の構築」のWazuh版です。 Splunkの環境構築時に作成した監査対象サーバーを流用し、Splunkとの見え方の違いを見ていきたいと思います。 Wazuhには、中央コンポーネントを同一ホストにまとめた all-in-one 構成が案内されています。そのため、Splunk や Elastic と比べると最初から 監査項目の型をかなり持っており、ログを見るだけではなく、ファイル改ざん、設定不備、脆弱性まで含めて「そのホストが今どういう状態か」を見せるのが得意です。 今回の構成 今回の構成もシンプルです。 Wazuhサーバー Ubuntu Server 24.04 LTS Wazuh all-in-one 構成 名前：wazuh タイプ：Linux バージョン：Ubuntu (64-bit) メモリ：4096MB CPU：2 仮想ディスク：20GB 監査対象サーバー 前回の Splunk 編で作成した Ubuntu Server 24.04 LTS ネットワークの構成.

Hi, there. 本日は、過去に投稿したSplunkに引き続きSIEMに関連した内容で、オープンソースのSIEMツールでお馴染みのWazuhについてお話します。 Wazuh を初めて見ると、「SIEMっぽいものをオープンソースで試せる製品」という印象を持つ人が多いと思います。でも、実際に公式資料を読んでみると、思っていた以上に多機能だということがわかります。 Wazuh は free and open source で、中央コンポーネントを同一ホストにまとめた quickstart も用意されており、プラットフォーム全体としては XDR と SIEM を一体化した基盤として案内されています。 つまり Wazuh は、単なるログ集約基盤ではありません。ログ分析、脆弱性検出、ファイル完全性監視、設定評価、アクティブレスポンスまで、かなり監査寄り・運用寄りの機能を最初から持っています。 できることの幅は、かなり広い Wazuh の代表的な機能としてまず挙げられるのは、File Integrity Monitoring（FIM）です。これは監視対象フ

Hi, there. 本日取り上げるテーマは、PQCの暗号アルゴリズムの一つであるML-KEMについてです。 量子時代の鍵共有をどう置き換えるか ポスト量子暗号は、もう遠い未来の話ではありません。政府、金融、重要インフラの世界では、すでに2030年から2035年にかけて移行を前提にした時間軸が具体化し始めています。 NIST は量子脆弱な公開鍵アルゴリズムについて、112-bit 相当は2030年以降に deprecated、2035年以降に disallowed、128-bit 以上相当でも2035年以降に disallowedという移行方針を示しています。英国 NCSC も 2028年、2031年、2035年の3段階で移行を進めるロードマップを公開し、EU でも加盟国に2026年末までの移行開始、重要インフラについては2030年末までの移行を促しています。さらに金融分野では、G7 Cyber Expert Group が金融セクター向けの PQC 移行ロードマップを公表しています。 もはや PQC は、政府・金融・重要インフラに関わるなら今す

Hi, there. 本日は、システムのセキュリティを高めるうえでの核となるセキュリティアーキテクチャについて考えます。 IoT組み込みデバイスのセキュリティ設計は、単に「TLS を使う」「暗号化する」「セキュアブートを有効化する」といった個別対策の寄せ集めでは成立しません。本当に問われるのは、どこを信頼の起点にするのか、どの層で何を防ぐのか、侵害されたときにどう検知し、どう回復するのかを、製造から廃棄まで一貫したアーキテクチャとして整理できているかです。NISTIR 8259A は IoT デバイスに求められる能力として、識別、構成、データ保護、論理アクセス制御、ソフトウェア更新、サイバーセキュリティ状態の可視化を整理しています。ETSI EN 303 645 も、既定パスワードの排除、脆弱性開示、更新、機微データ保護などを基礎要件として示しています。 本稿では、IoT組み込みデバイスにおける「最適なセキュリティアーキテクチャ」を、実装可能性を意識しながら整理します。対象は、MCU/RTOS 系の軽量機器から Linux 系のエッジ機器までを含

Hi, there. 本日は、以前投稿したOpenSCAPの記事について深堀し、具体的な手順をお伝えします。 OpenSCAPで“まず安全側のベースラインを一気に作る”手順 Linux のハードニングで最初に消耗しやすいのは、設定の難しさそのものより、項目数の多さです。SSH、パスワード、ファイル権限、不要サービス、監査設定、カーネルパラメータを一つずつ手で詰めるやり方は、どうしても時間がかかり、設定漏れや設定ゆれも起きやすい。そこで発想を変えて、最初から ベンチマーク準拠のベースラインへまとめて寄せる ために使いたいのが OpenSCAP です。Red Hat は OpenSCAP を、設定コンプライアンススキャン、脆弱性評価、レポート生成、remediation に使う仕組みとして案内しています。 この記事の主題は「監査して学ぶこと」ではありません。最短で、安全寄りの標準形を作ることです。手順としては、WSL の Ubuntu を整える → OpenSCAP を入れる → 利用可能なプロファイルを確認する → ベースラインとの差分を評価する

Hi, there. 今回は、Linux OSのハードニングについてのお話です。 Linux のハードニングに興味を持つと、多くの人が最初にぶつかるのは、「設定項目が多すぎる」という壁です。カーネルパラメータ、認証設定、監査ログ、ファイル権限、不要サービスの停止。手で一つずつ詰めていく方法は勉強にはなりますが、全体像を掴む前に疲れてしまいやすい。しかも、手作業にはどうしても設定漏れや設定ゆれ、単純な見落としが入り込みます。そこで役に立つのが OpenSCAP です。OpenSCAP は SCAP 準拠コンテンツを使ってシステムの設定評価やレポート生成を行うためのツール群として案内されており、RHEL では SCAP Security Guide のプロファイルを使った評価や remediation、Ansible Playbook や Bash スクリプトの生成まで公式に整備されています。 OpenSCAP の本当の価値は、単に「CIS に照らして監査すること」ではありません。むしろ大きな価値は、ベースライン構築を標準化できることにあります。どの

Hi, there. 本日は、筆者がおすすめするISC2資格のCPE獲得方法についてお話します。 ――維持のためだけでなく、実力にもつながるCPEの積み上げ方 ISC2資格を取得したあと、次に気になってくるのがCPEの獲得ではないでしょうか。せっかく資格を取っても、維持のために必要なCPEが思うように集まらず、少しずつ負担に感じてしまうことがあります。 しかし実際には、CPEは「特別なこと」をしなければ貯まらないものではありません。日々の学習、ちょっとした隙間時間、業界イベントへの参加などを上手く重ねていくだけでも、無理なく積み上げていくことができます。むしろ、実力を伸ばしながら自然に貯まっていく、という感覚のほうが近いかもしれません。 本記事では、筆者が実際に取り組んできたCPEの貯め方をもとに、ISC2資格のCPE獲得の考え方をご紹介します。 実力を身につけつつCPEを稼ぐ Hack The Box（HTB） まず、実力養成とCPE獲得を両立しやすいものとして挙げたいのが、Hack The Boxです。 ラボの難易度によって獲得できるポイント

Hi, there. 本日は、日本国内でセキュリティ業界に飛び込もうとしている、あるいは飛び込んだばかりの新人向けに私の独断と偏見によるおすす資格をご紹介します。 結論から申し上げますと、以下2つです。 ・基本情報技術者試験（通称FE） ・Certified in Cybersecurity（通称CC） 理由はシンプルです。 FEでは、IT業界の現場で頻繁に使われる基本用語が数多く出題されます。現場で交わされる会話や議論を正しく理解するためにも押さえておく価値があります。 また、CCのトレーニングには、セキュリティの基本原理・原則が体系的に整理されており、実務にも直結しやすい内容です。加えて、以下のプログラムに参加すれば無料で受講できます。なお、資格認定は有料です。 CC資格100万人無償提供プログラム One Million Certified in Cybersecurity https://www.isc2.org/landing/1MCC/Japanese これらの資格は難易度も低く、情報系学部の出身でない方でも容易に取得できます。...