k5

テレワーカー

[k5 @k5_un_]

マイバックのクラブ情報がそのまま移行できてる！

[k5 @k5_un_]

予約注文していたsc4 proが発送された模様。

[k5 @k5_un_]

sc4 pro発売日前に到着。
早速開封してみるか。

[k5 @k5_un_]

ガエルネのパンテーラが入荷したみたい！
確か靴を作る機械が故障していた気がするのですが直ったのかな。

[k5 @k5_un_]

AmazonPrimeセールで1Password3年版をとりあえず買っておく。

[k5 @k5_un_]

@jgc_6star コジマネットもおすすめです。大半がビックカメラと同額、ポイント還元率となっています。
200円で2マイルたまるので、ビックカメラよりLSPが貯まりやすいです。

[k5 @k5_un_]

@chomado 看病している大人も感染するので気をつけてください。足の裏激痛で歩行困難になったりします。

[k5 @k5_un_]

なんだ？

[k5 @k5_un_]

飲食店で肉をレアで提供するみたいなリールがよくでてくるけど、みんな店員が輩なんだけど。（当���品質基準などクリアできていない雰囲気）
シノギ？

[k5 @k5_un_]

1W
5W
4i → 7W
5i
6i
7i
8i
9i
PW
48
52
56
60
PT

[k5 @k5_un_]

情報漏洩の影響でその手のメールがくるようになった。いままで0件。
漏洩情報は、間違いなく悪用されている。

[k5 @k5_un_]

喉と足の裏と手の指が痛すぎる。手足口病強敵。

[k5 @k5_un_]

@papa_anniekey ご回答ありがとうございます。
誤検知を減らすことができそうですね！

M社以外のIPS/IDSは���まり触らなかったので全然意識していなかったです。むしろ他の機種はそこが弱いのですね、、、、

[k5 @k5_un_]

業務におけるセキュリティは業務担当がやることになるので、業務担当がセキュリティがわかる、意識でき��ようにする、気付いたらできているといった、各種の仕組みづくりが重要なわけで、、、、、

[kaname @kanametunes]

経験上「セキュリティ組織は独立させない方が良い」という結論

分けると、
すべてのセキュリティ関連の判断が安全側に倒される
　↓
業務担当と折り合いがつかないか業務がやりにくくになる
　↓
問題発生
　↓
（上に戻って繰り返し）
　↓
セキュリティ担当は業務の責任を負わないから、このループが加速
　↓
最終的にクチだけ出す偉そうな人ができあがる
　↓
なんでそんな意味わからん業務やってんの？みたいな業務ができあがる
　↓
業務担当の負担が限界突破
　↓
徐々に人が減る
　↓
・・・

セキュリティわかる人が業務するのが理想ですよね。

[k5 @k5_un_]

人生初のゴルフクラブのフィッティング。
凄い有益でした。

[farstep @farstep_]

https://t.co/fLIm4rlzco

[k5 @k5_un_]

クラウド時代になって圧倒的���DCに行ったことないエンジニア増えたよな

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

ファイルを1バイトも暗号化せず、ランサムウェアと同等の業務停止に追い込む攻撃手法「GhostLock」のPoCと詳細な分析が公開されています。通常のドメインユーザー権限だけで企業NAS上の50万ファイルを10分足らずでロックでき、既存のほぼすべての検知層を素通りするとのこと。仕組みはWindowsの正規API「CreateFileW」を共有モード0（排他モード）で呼び出し、読み取り専用の排他ハンドルを取得するだけというもの。ファイル内容の読み書きは一切不要で、ハンドル取得のみでロックが成立するため高速に大量実行できます。SMBプロトコルの仕様上サーバー側はこの排他設定の遵守が義務づけられており、攻撃者がハンドルを閉じるかセッションが切断されるまで、他のプロセスやユーザーはファイルを開くことすらできなくなります。

【要点の整理】

・CreateFileWのdwShareMode=0はOffice、SQL-Server、ビルドツール等が利用する正規動作で、単純なAPI制限では修正が難しく、CVEやパッチの見込みもないとされている。

・PoCは32スレッドの並列走査で50万ファイルのSMB共有を約6分で探索し、約2分半で49.8万件の排他ハンドルを取得（成功率99.6%）。書き込み・リネーム・削除がゼロのため、ハニーポット、書き込み量異常検知、振る舞い検知、EDR、NDR、DLPのいずれも反応しないと報告。

・現行の検知層で唯一反応するのはNASの管理セッションテーブル（セッションごとの排他ハンドル保持数）だが、調査対象のSIEMではいずれもこの指標を取り込んでいなかったとの指摘。1セッションあたり500件超の排他ハンドルをアラート閾値とする検知ルールが提案。

・侵害アカウントのAD資格情報を無効化しても、認証済みSMBセッションは設定次第で15��60分間ハンドルを保持し続ける。ストレージ管理者がNAS側でセッションを強制切断しない限りロックは解除されず、事前のランブック整備なしでの復旧所要時間は4〜8時間と見積り。

暗号化I/Oを前提に構築されてきた検知体系が、正規APIの仕様どおりの動作を大規模に悪用する可用性攻撃には構造的に無力だったことを実証した分析です。

詳細は以下を参照：
https://t.co/QNI99mDdb6

[k5 @k5_un_]

約1時間40分待ちからの渾身の一杯