小野寺です。

MBSA (Microsoft Baseline Security Analizer)が久しぶりにバージョンアップして、2.1となりました。
前回、2.01を公開したのが、2006年6月ですから、実に2年ぶりですね・・・

一応 MBSA を知らない人向けに語弊を恐れず簡単に説明すると、「セキュリティパッチの適用具合と製品の設定を確認するツール」という感じです。 実際には、このツールで確認するのは、名前の通り 'baseline' となる最低限のセキュリティだけですので、このツールの検査に合格しても、ビジネス的に十分かどうかはまた別の話です。逆に、このツールで不合格になるような環境は、多くのケースで不適切と言えます。

さて、今回、マイナーバージョンが一つ上がって、2.1 となりましたが、今回の目玉は、Windows Vista と Windwos Server 2008対応です。2.0.1 も Windows Vista の更新プログラムのスキャンはできたのですが、脆弱性レポートなどの幾つかの機能には対応していませんでした。 今回のバージョンアップで、その辺の機能にひと通り対応しています。また、64bit 環境, Windows Embedded, SQL Server 2005 の脆弱性評価にも正式に対応しました。

新機能を列挙すると以下のようなものがあります。

• Windows Vista および Windows Server 2008 のサポート
• 更新されたグラフィカル ユーザー インターフェイス
• 64-bit プラットフォームのフル サポートおよび 64-bit のプラットフォームおよびコンポーネントに対する脆弱性評価 (VA) チェック
• Windows XP Embedded プラットフォームのサポート
• SQL Server 2005 の脆弱性評価 (VA) チェックのサポート
• Microsoft Udate の登録およびエージェントの更新 
• ユーザーが選択したディレクトリ パスまたはネットワーク共有に完了したスキャン レポートを出力する機能
• Windows Server Update Services 2.0 および 3.0 のWUAへの対応

ちなみに、ダメ環境のレポートはこんな感じです。

詳しいことは、MBSAのページとそのFAQ (よくある質問) を見てください。
http://www.microsoft.com/japan/technet/security/tools/mbsa2_1/default.mspx

小野寺です。

5月のワンポイントセキュリティを公開しました。

Video: Security Updates This Month - May 2008

soapbox 版ではない、フルサイズ版は、以下のサイトからご覧いただけます。: http://www.microsoft.com/japan/technet/community/events/webcasts/security.mspx

小野寺です

今月は、事前通知でお伝えしていたとおり 計 4 件 (緊急3件, 警告1件)を公開しました。
加えて、Jetに関するセキュリティ更新の提供に伴って、セキュリティアドバイザリ 950627 を更新しています。 また、MS06-069 も更新していますが、こちらは今月の公開との関連性はありません。

少し詳しく見ていきます。

まずは、MS08-028 (Jetのセキュリティ情報) ですが、セキュリティアドバイザリ 950627 で言及していた問題について対策を行っています。 アドバイザリに関していれば、Wordを通じてJetを悪用する方法だったわけですが、Jetの脆弱性は、MS08-028のみで対策可能です。MS08-026の適用により、WordからSQL コマンドまたはクエリを実行する前にユーザーに確認メッセージを表示します。将来的な攻撃経路 (Attacking vector)を減らすためにJet同様に適用をお勧めしたいですね。
ちなみに、Jetですが・・・よく Office 製品 (Access) が入っていない環境は関係ないと誤解されているみたいですが、セキュリティ情報に書いてあるとおり、Jet自体はWindowsのコンポーネントです。Access(*.mdb)は、Jetを使うアプリケーションの一つに過ぎず、Jet形式は、結構色々な処で使われていたりします。

次に、MS08-029 (セキュリティ ソフトウェアのセキュリティ情報) は、Forefront Client Protection, OneCare, Windows Defender 等で利用している。Microsoft Malware Protection Engine で発生しうるサービス拒否の問題に対処しているのです。
とはいえ、常に最新の状態で使っているユーザーは、基本的に新たにアクションをとる必要がありません。 対策されたエンジン自体は、いわゆる定義ファイルとして配信しているためです。 セキュリティ製品といえば、2007年7月～12月期について分析した セキュリティインテリジェンスレポート (SIR) の最新版(4版) を先日から公開しています。日本語の要約版も公開していますので、これを機に今のマルウェアや脆弱性の動向を見てみるのも良いかも。 このレポートは、世界中のデータをもとに編纂していますが、近いうちに日本に特化したものも、Blogで触れてみたいとは思っております。

今月もセキュリティ情報のストリーミング配信を予定しています。公開次第、Blogでもお知らせします。
http://www.microsoft.com/japan/technet/community/events/webcasts/security.mspx

小野寺です。

現在、「スキルチャージ プログラム」なるエンジニア向けにスキルアップの為の無償支援をしようという企画を行っています。

その中で、もちろんセキュリティも含まれており、左の画像の、「セキュリティ対策キット」として、セキュリティリンク集とマイクロソフトの情報源、製品情報をひとまとめにしたものを提供しています。

そして、人によっては新しい、人によっては懐かしい「なめ猫」を使ったスクリーンセーバーも用意してみました。このスクリーンセーバーは、RSSを使って、このBlogとセキュリティ情報をお知らせします。ちなみに、毎日、なめ猫があなたのセキュリティ？を占ってくれます。

 このほか、OneCareプレゼントや、セキュリティ以外でも面白い企画があるので、興味のある人はぜひ。

 http://www.microsoft.com/japan/powerpro/skillcharge/default.mspx