情報セキュリティ

個人/SOHOでも導入可能なLinux用セキュリティソフト

サーバーに限れば広く使われているLinux OSだが,個人やSOHOなどで導入可能なセキュリティソフトの選択肢はあまりない。大手のセキュリティソフトベンダもLinux向けの製品を出してはいるものの,大規模ユーザ向けのものが多く,小規模事業者や個人には手がだせない。

以下の製品は無料または,比較的安価であり,1台から導入可能で,個人でも導入できる。

ESET File Security for Linux

https://www.eset.com/jp/business/server-antivirus/file-security-linux/

ESETはスロバキアの企業が開発したセキュリティソフトである。キヤノンITソリューションズが代理店となっている。同社の価格表によると,新規ライセンスが年間20,000円,更新ライセンスが年間10,000円となっている。

価格表 https://eset-info.canon-its.jp/business/file_security/price.html

Dr.Web

Dr.Webはロシアの企業が開発したセキュリティソフトで,日本語でのサポート対応を行っている。年間3,410円で利用できる。

https://products.drweb.co.jp/home/linux/

Comodo Antivirus for Linux

Comodo Antivurus for LinuxはComodo社が開発したセキュリティソフトで,無料で使用できる。英語の情報に頼ることにはなるが,無料とは思えないクオリティである。

https://www.comodo.com/home/internet-security/antivirus-for-linux.php

ClamAV

ClamAVは無料で利用できる。メールサーバ用に開発されたもののようである。誤検知が多かった印象を持っている。公式の日本語情報はないため,英語のドキュメントを読む必要がある。

http://www.clamav.net/

情報セキュリティ

Linux版セキュリティ対策ソフトDr.Web導入

Linux版のセキュリティ対策ソフトDr.Webを導入してみました。ロシアの会社が開発したものですが,日本にも拠点があり,日本語でサポートを受けられます。価格も年間3410円と安価です。

https://www.drweb.co.jp/

[root]# drweb-ctl appinfo
ConfigD; 1349; RUNNING 1; Installed (ConfigD ScanEngine FileCheck Update ESAgent NetCheck StatD GateD MailD Antispam UrlCheck CloudD MeshD LinuxGUI LinuxSpider LinuxFirewall), Should run (Update), UUID: 52eef68d-78ad-4c72-8d57-d2cea838f819, created: 2021-Sep-04 21:31:31
Update; 2195; RUNNING 1


[root]# drweb-ctl log
2021-Sep-06 12:18:37 ConfigD [1349] Notice: License number 147896597, expires 2022-Sep-08 12:11:08
2021-Sep-06 12:18:37 Update [2195] Notice: Update 11.1.6.2012181656: Ready for service
2021-Sep-06 12:18:38 Update [2195] Notice: Downloaded vrpatch-56.kwo (38842 bytes)
2021-Sep-06 12:18:53 Update [2195] Notice: Downloaded vrpatch-57.kwo (35479 bytes)
2021-Sep-06 12:18:53 ConfigD [1349] Notice: Update: placed “/var/opt/drweb.com/antispam/vrpatch-56.kwo”
2021-Sep-06 12:18:53 ConfigD [1349] Notice: Update: placed “/var/opt/drweb.com/antispam/vrpatch-57.kwo”
2021-Sep-06 12:18:53 ConfigD [1349] Notice: Update: placed “/var/opt/drweb.com/drl/antispam/version2.lst”
2021-Sep-06 12:24:28 Update [2195] Notice: Downloaded vrpatch-58.kwo (35915 bytes)
2021-Sep-06 12:24:28 ConfigD [1349] Notice: Update: placed “/var/opt/drweb.com/antispam/vrpatch-58.kwo”
2021-Sep-06 12:24:28 ConfigD [1349] Notice: Update: placed “/var/opt/drweb.com/drl/antispam/version2.lst”

情報セキュリティ

セキュリティソフトの誤検知

セキュリティソフトのMcAfee製マカフィーリブセーフが,私が作成した暗号化アプリをマルウェアとしてブロックしてくれました。実行ファイルが隔離されてしまいました。中身もすべてわかっていますので,ビルドし直した上で再度インストールして,ホワイトリストに登録しました。幸い,一般に提供しているものではなかったので被害者は自分だけでした。

情報セキュリティ

情報処理安全確保支援士の法定講習終了証

本日,IPAより情報処理安全確保支援士の法定講習(オンライン)の終了証が届きました。集合研修も受けなければいけないのですが,こちらはまだIPAの研修用サイトでスケジュールを検索しても一つも日程が表示されません。コロナ渦で日程調整が難航しているのかもしれません。

情報セキュリティ

情報処理安全確保支援士の法定講習

情報処理安全確保支援士の法定講習のうち,オンライン講習を受講しました。例年4月に始まるのですが,今年は制度改正があったため10月から始まりました。50頁ほどあるオンライン講習を6つ受講する必要があります。相当なボリュームです。

 民法改正や情報処理促進法の改正についても解説されていて,新しい法令に対応できる内容になっていました。

 今年はほかに集合研修も受ける必要があります。新型コロナウイルス感染症の影響により,こちらもオンラインで行うようです。まだ具体的な日程の案内はありません。

情報セキュリティ

電子メールでパスワードを送るべからず

情報セキュリティ意識が高まってきていることは歓迎すべきことであるが,誤った対策が広まってしまっているケースもある。メールの添付ファイルを暗号化するまではよいのだが,問題はそのパスワードの受け渡し方法がかなり杜撰なのである。後から同じメールで送られてくるケースが非常に多い。これはむしろ危険なのでやめてもらいたい。

 まず,添付ファイルが暗号化されていると,PCのセキュリティソフトが機能しなくなる。メールサーバ上で稼働しているセキュリティソフトの場合は,マルウェア等を検知するとサーバ上でそのメールを削除してくれるので,PCの危険を軽減できる。暗号化されたファイルがメールに添付されていた場合,これらをすり抜けてしまう。そして,運がよければ,復号した瞬間に検知されることになる。運が悪ければ,マルウェアの餌食となる。

 もう一つは,パスワードが盗まれる危険があることだ。暗号化されたファイルを盗まれ,かつ,パスワードも盗まれては暗号化した意味がまったくない。同じメールアドレス同士であれば,ずっとその間のやり取りを盗聴していれば,暗号化されたファイルと復号のためのパスワードを両方とも窃取できる。

 安全なのは,メール以外の方法でパスワードを受け渡すことである。SMS,チャット,電話,FAX,郵便など,他の手段でパスワードを通知すれば,かなりリスクを低減できる。公開鍵暗号方式を用いるのがよりよい方法ではあるが,そこまでするほど秘匿性が高くない場合には有効な方法だろう。

情報セキュリティ

マネジメントシステム認証を過信すべからず

情報セキュリティマネジメントシステム(ISMS)やプライバシーマークなどの認証を取得して,「うちはしっかりやっています」と宣伝する企業は多数あるが,これらの認証を過信してはならない。認証は2年あるいは3年ごとに継続審査があり,その時の状況でほぼ決まっていると言ってもよい状況である。

 現地審査の時間はまったく足りない。2日程度であることが多いと聞く。審査員も数名しか来ない。この程度では,現地で担当者の説明を聞いたら終わってしまう。

 加えて文書の捏造が横行している。実際には月次でしっかりチェックするというルールを設けていても,その通りに運用できずにチェックシートを過去の日付で作成してしまうような行為が行われているのである。このような行為は認証の信頼性を損なうので,厳に慎むべきである。

 認証を全否定するものではないが,「認証を取得している会社だから大丈夫」とはならないことに留意が必要だ。

情報セキュリティ

立会人型の電子契約サービス

9月4日に総務省,経済産業省,法務省の連名により,「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するQ&A(電子署名法3条に関するQ&A)」という文書が出された。この中で,「立会人型の電子契約サービス」については,「技術的・機能的に見て、サービス提供事業者の意思が介在する余地がなく、利用者の意思のみに基づいて機械的に暗号化されたものであることが担保されているものであり、かつサービス提供事業者が電子文書に行った措置について付随情報を含めて全体を1つの措置と捉え直すことによって、当該措置が利用者の意思に基づいていることが明らかになる場合には、同法第2条第1項に規定する電子署名に該当すると考えられる」と述べて,有効性を認める見解を示している。

 問題となるのが,「サービス提供事業者の意思が介在する余地がなく」という点であろう。果たして,そのような仕組みが現実的に可能なのか,甚だ疑問である。サービス提供事業者は,その意に反するような電子文書の作成を許容するであろうか? 例えば,お金を払わない利用者のアカウントを停止するようなことは,通常の事業者であれば容易に想像がつく。ある文書には電子署名をするけれども,別の文書には電子署名をしないということは非常に簡単であるし,逆に言うと,それができないようにすることは極めて難しい。

 「十分な水準の固有性を満たしていると認められるためには、①利用者とサービス提供事業者の間で行われるプロセス及び②①における利用者の行為を受けてサービス提供事業者内部で行われるプロセスのいずれにおいても十分な水準の固有性が満たされている必要があると考えられる」という部分の①について,「利用者」が1者のみではない(実際にはそのようなケースの方が多いと考えられる)場合が問題となる。AとBとがこのようなサービスを用いて電子契約をする場合,Aがサービス提供事業者とサービスの提供を受ける契約を結び利用料を支払うとする。AとBとが電子契約を締結する場合,サービス提供事業者とBとの間には契約関係がないか,あっても,無償の契約である。この場合,サービス提供事業者の提供するサービスにはAとBとの間で違いが生じるであろう。これは公平性という点で極めて問題であると言える。サービス提供事業者は,利用料を支払っている利用者に便宜を図ると考えるのが自然である。

 第3の問題として,「利用者が2要素による認証を受けなければ措置を行うことができない仕組みが備わっているような場合には、十分な水準の固有性が満たされていると認められ得ると考えられる」という部分について,MFA(多要素認証)を過剰評価していないであろうか。特に組織内においては,共有のメールアドレスを使用する,情報システムのパスワードを使いまわす,多要素認証のトークンを共有している,などのケースは多いと思われる。個人間の認証においてはMFAはある程度有効と考えられるが,組織においては使いまわしが横行している現状を考えると十分な固有性が満たされているとは言えないだろう。

 いずれにしても,本来は利用者自身の秘密鍵を用いて電子署名をすべきところを,サービス提供者の秘密鍵で電子署名をするように変更し,利用者の認証はパスワードとトークンなどのようなより弱いものになってしまっている点において,本来の電子署名よりは脆弱なものと評価せざるを得ない。