「あなたの知らないセキュリティの非常識」を読んだ

辻伸弘さんから、「あなたのセキュリティ」シリーズ第一弾（http://sugamasao.hatenablog.com/entry/2016/10/31/083124）に続いて頂きました！ （本当は12月中にこのエントリを書くつもりだったのですが遅くなってしまった……）

今回の内容も実際に発生したセキュリティインシデントに対して対策や対応方法について書いてあります。 が、なかなか事例が生々しい例が多いということもあって身が引き締まる思いです。

あなたの知らないセキュリティの非常識

気になった内容メモ

ランサムウェアにお金を払うか？

バックアップから人質に取る事例。昨年はよく話題に上がった事例だと思います。 とにかく恐ろしい。

個人の端末ではなく、サーバにアクセスして復旧手段を封じてから本丸を暗号化させて身代金要求するようなケースの紹介があるのですが、暗号化や侵入の手順の説明だけではなく、被害にあった業者と攻撃者が交渉して代金の支払いやデータの復旧が行われたという事例の紹介になっていて、読んでいるだけで胃が痛くなる。 こんなんやられたら死ぬわ、、、。

また、脅迫型のDDos攻撃の事例も紹介されている。 これは言ってしまえばDDos攻撃されたくなかったら金を払えということなのだけど、脅迫メールとともにお試しで攻撃してブラフでないことを証明したり攻撃方法としてMiraiボットネットを使用するなどが書かれていたらしい。

Miraiボットネットについてよく知らなかったのだけど、Iot機器に感染させて様々な機器からDDos攻撃を仕掛けるとか言われるの怖すぎますね……。単にIPアドレスで弾くみたいなことはできないでしょうし。 参考 : http://techfactory.itmedia.co.jp/tf/articles/1704/13/news010.html

他にも、筆者がアノニマスのアカウントから人物像をプロファイリングしている話や、Webサイトを改ざんしたハッカーに直接コンタクトを取ってみたりする話が載っているのですが、スリリングで面白いというか、すげえって感じですね。

攻撃の被害者になったら

この章は実際に筆者の会社で被害にあった時の対応などが書かれている。最高の知見では？？？

実際の対応について、三つのポイントというのが書いてあって、例えば対応の意思決定者として社長が参画しているとか、きちんと情報を公開するという方針をとったなど。

これはぜひ本書を手にとって読んでみてもらいたい。

本作の見どころ（難易度：高）

前作の「あなたのセキュリティ対策間違ってます」で、Amazonのレビューに著者である辻さんのお母さんがレビューを書いていたことがありました。 非常に良い内容で一部界隈では盛り上がったのですが、なんらかの事情でAmazonから消えてしました（親族からのレビューはダメとかあるのかな？）。

そのレビューの文章が本作には載っているので、もし見逃してしまった人は一見の価値ありです。

合わせて読みたい

前作の「あなたのセキュリティ対策間違ってます」はこちらからどうぞ

あなたのセキュリティ対応間違っています