2014年4月9日のtwitterセキュリティクラスタ

yousukezan
2014年4月9日のtwitterセキュリティクラスタです。本当にXPのサポート終わってしまうんですね。

いよいよ最後のXP更新となりました。

本日4月9日をもち、Windows XP、Office 2003のサポートを終了させていただきます。現在XPをお使いのお客様は、すみやかにWindows Updateをご適用いただき、お早目に最新環境への移行をご計画ください。
spr.ly/60179Mfz
加治佐:本日のWindows Updateで提供されるXP、Office 2003向けの更新プログラム紹介。来月の月例更新プログラムでは、XP、Office 2003向けは提供されないということになる。
加治佐:XPをお使いのお客様にお願いしたいこと。すべてのセキュリティ更新プログラムを適用し、セキュリティ製品も最新の状態に。インターネットから切断、USBメモリ等の使用停止のうえ、最新環境への移行計画を。 pic.twitter.com/O6PjKIfEdx
加治佐:個人のお客様にはデータ移行ツールの無償提供やフリーダイヤル、法人のお客様にはパートナー様からの各種支援策をご提供中。最新環境への移行をご計画いただきたい。 pic.twitter.com/20TShVPJQ3
加治佐:Windows Vista, 7, 8/8.1のサポート終了日の説明。Windows 製品には最低10年間のサポートを提供。Windows 7のサポートは、東京五輪が開催される2020年には終了予定。 pic.twitter.com/9tepoO4mFp
加治佐:より安全にITをご利用いただくために、正しいセキュリティ設定、クラウドを活用したバックアップ、オンライン詐欺などに対する慎重な行動をお願いしたい。 pic.twitter.com/yOV1oZ1Z8j
2014年4月のセキュリティ情報を公開しました。詳しくは2014年4月のセキュリティ情報をご覧ください。aka.ms/D32p2m #JSECTEAM
Windows XPで最低限のセキュリティを確保するために
blog.f-secure.jp/archives/50725…

rryu@rryu2010

さようならの方のフォーエバーであって欲しかった…… / “Vector 新着ソフトレビュー 「XPフォーエバー」 – メンテナンス不要のXPパソコン用“永久型”セキュリティ対策ソフト” htn.to/gC9Lid
2014年4月 Microsoft セキュリティ情報 (緊急 2件含) に関する注意喚起を公開。深刻度が「緊急」のセキュリティ更新プログラムが 2件含まれています。セキュリティ更新プログラムの早急な適用を。^YK jpcert.or.jp/at/2014/at1400…
「2014 年 4 月のセキュリティ更新プログラムのリスク評価」を公開しました。
セキュリティ情報ごとに最も起こりうる攻撃などを解説しています。適用優先順位の決定にご活用ください。aka.ms/Gycen6 #JSECTEAM
[News] さようならXP――最後のパッチリリース後、MSが呼び掛ける「4+1」の対策 bit.ly/1g79rGV

INTERNET Watch@internet_watch

「Windows XPはインターネットから切断して」継続利用者にMSがお願い bit.ly/1kpipTZ
WinXP延長サポートは期限切れですが、Windows XP Embeddedは製品販売最終日ですら2017/1/30なので、絶賛サポート期間内です。
「多くのATMや組込機器が未だにXPでヤバい」っていうデマに踊らされないようにね。
microsoft.com/windowsembedde…

cocoon提督@cocoonP

これからはUserAgentを監視してIE6からのアクセスがあったらその組織を「この企業はまだXP使ってるぜm9(^Д^)プギャー」と晒しあげる嫌がらせ合戦が起きる世の中になります。だいたいソフトウェアエンジニアって陰湿だから絶対そういう奴が出る。

Yosuke HASEGAWA@hasegawayosuke

twitter.com/cocoonP/status…onepointwall.jp 「本日、HTTPリクエストヘッダー[User-Agent]の書き換えを行い、発信元をWindowsXPではないように偽装するルールをリリース致しました。」
エフセキュアブログ : サポート終了後のWindows XP対応策 blog.f-secure.jp/archives/50725…

山崎はるか@harusanda

サポートはしないが、ライセンス認証はするって ちょっと不思議 > Windows XP
Windows XPでホスティングのWebサイト、世界でまだ6000以上──Netcraft調べ itmedia.co.jp/enterprise/art… 米国では1869件、日本では214件のWebサイトがまだWindows XPでホスティングされているという。
今のうちにインストールしておかないとアップデートとかもできなくなりそうなので、Windows XPをインストールしている。 pic.twitter.com/9rSJiWSHDd
今XPがインストールされているPCは、ブラウザのプラグインが古くてウェブサイトを開くだけでやられる状態になっていそうだし、リモートから攻撃可能な脆弱性が見つからない限り、状況は変わらなそうな気がする。
ウィンドウズXP サポート終了
www3.nhk.or.jp/news/web_tokus…

Neutral8x9eR@0x009AD6_810

Windows XP, Office 2003 は医師がもう治療するのやめたと言っているだけで死んだりはしてないと思います。だからこそ危険なんだと思います。
MS14-019 – 重要 : Windows のファイル操作コンポーネントの脆弱性により、リモートでコードが実行される (2922229) technet.microsoft.com/ja-jp/security… 「はい。この脆弱性は一般で公開…CVE-2014-0315 が割り当てられています」

fumitake1969@fumitake1969

「Windows XPのメーカーサポートは終了しました。 もう、最新パソコンに買い替えはお済みですか!?」ソフマップ リユース総合館 #akiba flic.kr/p/mVQDJZ

fumitake1969@fumitake1969

「Windows XPサポート終了2014/4/9まであと0日」ドスパラ パーツ館 #akiba flic.kr/p/mVSF3q

いろいろ検査ツールが出てきたOpenSSLのHeartbleed Attackです。

OpenSSLのTLS heartbeat extensionに関連した脆弱性について openvpn.jp/2014/04/08/783/
Heartbleed Attackの影響を受けるかどうかはクォリス社のSSL Labs Server Testでも調べられるようですよ。 / SSL Labs Test for the Heartbleed Attack bit.ly/1lPcXJS
クォリス社のSSL Labs Server Testでチェックする場合に結果を掲載されたくない場合は「Do not show the results on the boards」にチェックを入れることをお忘れなく!
Nessusのプラグインもあるようですね。 / OpenSSL Heartbeat Information Disclosure – bit.ly/1lPdc7F
OpenSSLのHeartBleed攻撃が出来る状態かどうかをチェックできるNSE(Nmap Scripting Engine )がもうあるんですね。 / seclists.org/nmap-dev/2014/… bit.ly/PQ1A6U

piyokango@piyokango

CVE-2014-0160の脆弱性が確認されるとF判定受けるようだ
ssllabs.com/ssltest/analyz…

Neutral8x9eR@0x009AD6_810

これらは大丈夫だ(っぽい)けど、その使い方とチェック結果がどう取り扱われるかぐらいは認識しといた方が良いカモですね。もしかするカモがネギしょってくるのを待ち構えている鉄砲打ちがいるかもしれない。

Neutral8x9eR@0x009AD6_810

リバース脆弱性スキャナ または 受動的脆弱性スキャナ
filippo.io/Heartbleed/
ssllabs.com/ssltest/
その辺りよろしく

Kanatoko@kinyuka

そろそろ、『例えば、OpenSSLを避ける』と某公的機関が言う頃合い あとBindも

Mamoru Saito@msaitotypeR

@kinyuka OPENSSLについては言うべきかも。過去も鑑みて。

moto kawasaki@motok2501

@msaitotypeR 別実装としては GNUTLS ですか? 横からすみません。

The Hacker News™@TheHackersNews

Heartbleed – #OpenSSL Zero-day Bug leaves Millions of websites Vulnerable thehackernews.com/2014/04/heartb… #Security pic.twitter.com/ezzPJXpbwr

その他に気になったことはこのあたり。

徳丸 浩@ockeghem

“「ゆうちょダイレクト」を騙るフィッシングに注意喚起 | 日立ソリューションズの情報セキュリティブログ” htn.to/cKAydUP
Adobe Flash Player の脆弱性 (APSB14-09) に関する注意喚起を公開。Adobe Flash Player には、複数の脆弱性があります。最新のバージョンに更新を。^YK
jpcert.or.jp/at/2014/at1400…
Adobe Flash Player の脆弱性対策について(APSB14-09)(CVE-2014-0506等) dlvr.it/5LsNkp

moton@moton

Flashパッチ出てる。Masato Kinugawa氏の名前あったー。APSB14-09 Security updates available for Adobe Flash Player adobe.ly/OzIjFt
chromeも更新したので今月のFlashバージョン一覧 pic.twitter.com/W3J96jULGF

piyokango@piyokango

“東京新聞:サイバー犯罪、捜査に切り札 民間研修の佐藤警部補が帰任:千葉(TOKYO Web)” htn.to/KmoBGQ9d
Weekly Report 2014-04-09を公開しました。^YK #セキュリティ jpcert.or.jp/wr/2014/wr1414…

日経NETWORK@nikkei_network

匿名を過信した書き込みで不採用!ソーシャルメディア就活に潜む危険(「ソーシャル新人類」の不夜城〜10代は何を考えているのか):  これから就職活動(就活)を始める新就活生もいることだろう。ソーシャルメディアの普及により、… nkbp.jp/OzuoPT

Yosuke HASEGAWA@hasegawayosuke

脆弱性報告、表に公表される名前をsha-1とかのハッシュ値にしておくのはいいね。自分の名前が公表されくたはないけれど、ごく周囲の人には自分の手柄だと示すことができる場合に。…と、今月のMS14-018を見て思った。
ユーザーに自由にHTMLを入力させるのは大変そう。それぞれの対策がなされていなかった場合にどういう攻撃が可能になるのか気になる。
はてなダイアリーXSS対策 – はてなダイアリーのヘルプ
hatenadiary.g.hatena.ne.jp/keyword/%E3%81…

The Hacker News™@TheHackersNews

WordPress 3.8.2 Security Release wordpress.org/news/2014/04/w…

Yosuke HASEGAWA@hasegawayosuke

ipa.go.jp/about/kobo/kob… セキュリティ・キャンプ全国大会2014は8月12日-16日。参加者40名。
【NRIセキュアニュース】「三井住友カードとNRIセキュア、加盟店のセキュリティ対策を促進 ~共同で「加盟店ウェブサイト向けセキュリティサービス」を開発~」 nri-secure.co.jp/news/2014/0409…
https://matome.naver.jp/odai/2139697245331851001
2014年04月10日