September, 2007

小野寺です

さて、台風9号がきておりますが、今月は、先月と比較すると若干少ない?4 件の公開を予定しています。その内、緊急は 1 件、残りの 3 件は重要となっています。
なお、リリース日は、 9/12 となります。

今月も、表形式でご紹介してみたいと思います。

http://www.microsoft.com/japan/technet/security/bulletin/ms07-sep.mspx

----
2007/09/08: セキュリティ情報 5 が公開中止になったため、内容を変更しました。

小野寺です。

9/12 に公開を予定していた5 件のセキュリティ情報の内、「セキュリティ情報 5」の公開を中止しました。
「セキュリティ情報 5」は、Windows および SharePoint Server に影響のあるセキュリティ情報でしたが、テスト過程で発見された品質問題の調査・解決の為に来月以降に順延するべきと判断しました。

そのため、今月は、緊急 1 件、重要 3 件 の計 4 件を公開する予定です。

小野寺です。

最近、以前の様な大規模で、ネットワーク全体に被害が及ぶようなセキュリティ事故は、あまり目にしなくなっています。 とはいえ、Bot (ボット) や、Targeted Attack (標的型攻撃)の特定の組織や個人を狙った問題が増えています。 フィッシング詐欺なんかも、標的型の攻撃の一種ですね。

トレンドマイクロさんが調べた結果だと、何らかの不安を感じている利用者は 98% に上っているようです。 しかし、その一方で、同じ母集団ではないですが、対策をしている利用者は 2割～3割程度という調査結果もあります。少し乱暴な推測ですが、利用者は不安は感じているけれども、対策はしていないという事になります。

実社会において、何らかの不安を感じたら何か不安に対処するために対策を取っていると思います。 （もしかすると、不安を対策とは別の手段で打ち消しているかもしれませんが・・・）
しかし、実際には、インターネットやパソコンに関して、不安と感じても対策を取っていないわけです。 対策しない理由は、「現実感が無い (自分だけは被害にあわない)」、「対策にお金が掛かる」、「対策方法が分からない」、「理由は無いが対策したくない」など色々とあると思っていますが、 少なくとも、「現実感が無い」「対策にお金が掛かる」の部分は、セキュリティに関わるものとして何とかしたいと思っています。 OenCare などの有償のサービスもありますが、セキュリティーに関する資料や無償のツールも併せて公開しています。

我々の活動がまだまだ不足しているのか、本当に伝えたい利用者には伝えるべき事が伝え切れていないと軽い無力感を感じます。しかし、 先日の TechED でも MVP の方々とお話させていただいた中で、親として子供に、いつから何を教えていけば子供が安全に使えるのか、分からないと言う事をききました。この話を聞いたとき、まだまだやるべき事は多く残っていると感じました。セキュリティチームでは、家庭向けのセキュリティコンテンツも提供していますが、彼らの悩みに直接答えるものではありませんでした。 些か愚痴っぽくなりましたが、少しずつでもインターネットが安心して使える安全な環境である様にしていきたいですね。もちろんそれは、私個人ができるものでは、ないですし、マイクロソフトだけでできるものではありません。 きっと、インターネットの成り立ちの様に利用する個人・個人が少しだけ意識することで、状況が改善していくのだと感じています。 そのための、お手伝いできる事は何なのかを最近考えます。

小野寺です
今日のリリースは、事前通知でお伝えした 緊急 1 件, 重要 3 件の計 4 件を新規に公開しています。
当初の事前通知では、重要 4 件とお伝えしていましたが、1 件は、順延となったため、今月は重要 3 件となります。

今月は、MS07-052, MS07-053, MS07-054 がセキュリティ情報の公開前に一般に情報が公開されていましたが、悪用が確認されてはいません。
特に、各セキュリティ情報に既知の問題もありませんが、いくつかのセキュリティ情報を抜粋します。

MS07-052: Crystal Reports for Visual Studio の脆弱性により、リモートでコードが実行される (941522)
Crystal Reports に関する脆弱性に対処しています。Crystal Reports は、Visual Studio の各バージョンと供に出荷されておりいるコンポーネントになります。 注意点としては、更新の展開・検出に際して一部のバージョンのVisual Studioでは、MBSA 2.01 で検出できず EST を使う必要があります。

MS07-053: Windows Services for UNIX の脆弱性により、特権の昇格が起こる (939778)
Service For Unix または UNIX サブシステムの脆弱性に対処しています。注意点としては、更新の展開・検出に際して一部のバージョンのVisual Studioでは、MBSA 2.01 で検出できず EST を使う必要があります。

MS07-054: MSN Messenger および Windows Live Messenger の脆弱性により、リモートでコードが実行される (942099)
MSN Messenger または Windows Live Messenger に関する脆弱性に対処します。 この脆弱性は、ビデオチャットに関するもので、脆弱性の情報が一般に公開されていましたが、悪用は確認されていません。この更新は、他の製品とは違い Microsoft Update による配信ではなく、Messenger の仕組みを使って更新が配信されます。対象となるバージョンのMessenger クライアントで、サインインすると、その時にバージョンアップのお知らせが表示され、受諾するとバージョンアップが開始されます。

最後に、今月もセキュリティ情報のストリーミング配信を行います。 午後辺りに公開の予定です。

小野寺です。

9月のワンポイントセキュリティを公開しました。
先月同様に、セキュリティチームの女性が話をしています。

soapbox 版ではない、フルサイズ版は、以下のサイトからご覧いただけます。: http://www.microsoft.com/japan/technet/community/events/webcasts/security.mspx

最近、セキュリティ チームに配属になった麻生です。はじめまして。

今までセキュリティには多少の興味はありました。以前は、企業向け技術支援部門で Exchange Server の担当を約 5 年程対応しました。その前は、US でスタートアップ系の会社でネットワーク管理者として働いていたのですが、今から考えると、セキュリティ意識はそれほど高くなかったんだな・・・と言うのが素直な気持ちです。が・・・。セキュリティ チームに移動し、色々な情報が入ってくるようになりました。その中でも、私の目を引いたのは、子供関係のサイバー犯罪です。はっきり言うと、多いです。というか、多すぎです。

例えば、つい最近警察庁が出した、「平成19年上半期のサイバー犯罪の検挙状況等について」を見ると、サイバー犯罪の件数は以前とあまり変わらないのにも関わらず、「児童買春事犯及び青少年保護育成条例違反」が前年同期より 61.1% 増加しています。最近、一児の親になったのですが、この様な情報を見ると、まずマイクロソフトの社員と言う前に一人の親として不安になってきます。携帯やインターネットのインフラが整ってきて、便利な世界にもなりましたが、必ずそれを悪用する悪人がいるのが現状です。

もちろん、今後は仕事を通してもこの様な犯罪を減らしていきたいと思いますが、まずは、自分の子供がインターネットや携帯電話を使用し始める際にどの様な対策を取れるのか家族で考えました。色々なデータはありますが、ある調査の中で、「一人でインターネットをしますか？」と親と子供に問いかけたところ、約 24% のギャップがある事が分かりました。まずは、第一歩として子供が一人でインターネットを使用する事も有りうると認識し、認める必要があります。この壁を制覇しないと前に進む事が難しいでしょう。また、子供がインターネットを使用し始める前に、インターネットの活用方法や便利性を説明するのと同時に、危険性についても説明する必要があると思います。マイクロソフトや他社様も色々と子供を守るサービスやソフトを提供していますが、まずはやはりその前に自分たち親がちゃんとインターネットの危険性を認識し、勉強する必要があります。そして、それを子供に伝えて行くのが重要かな？と最近思うパパでした。

私が最近、親として見ているサイトの一部です。もしよかったらどうぞ。

子供の安全管理
http://www.microsoft.com/japan/athome/security/children/default.mspx

警視庁: あぶない！出会い系サイト: 保護者の方
http://www.npa.go.jp/cyber/deai/parents/index.html

キッズ・パトロール
http://www.cyberpolice.go.jp/kids/index.html

小学生のための情報セキュリティ対策
http://www.soumu.go.jp/joho_tsusin/security/enduser/shogaku00.htm