JWNTUG Open Talk in MSC Tokyo 2000.10.24

1. 自己紹介
2. マイクロソフトセキュリティ情報
3. 防衛手段
4. 穴
5. その他

　多分、途中で終る……。

• 簡単に……

• Security Advisor

  • 量
  • 質 (内容)
  • 速度 (初出/更新)

• 混乱する情報

  • Security Advisor (web/mail)
  • サポート技術情報 (KB)
  • マイクロソフト Download Center
  • Windows Update
  • 各 OS/アプリの MS home page

• 英語 patch と日本語 patch の時差

• メディア?
• コミュニティ?
• コンサルタント?
• 自分で?

• セキュリティポリシー

  • つくってます?
  • 導入・維持の know how

• ファイアウォール、要塞ホスト

  • つくってます?
  • 維持/更新のための know how
    • 新しい OS
    • 新しいプロトコル
    • 状況の変化
    • 動作検証? (本当に守れているのか?)
    • ……

• IDS

  • つくってます?
  • 維持/更新のための know how

• きちんと patch を適用する

  • 適用すべき patch 一覧?
  • patch cluster?
  • Windows Update?
• 常時接続時代の……
  • dial-up / CATV / xDSL ルータ?
  • IPv6 への対応?
  • パーソナルファイアウォール?

• 認証

  • kerberos 5 は流行るか?
  • 生体認証? (指紋、虹彩、……)
  • IC card?
  • ……
• Misc.
  • time sync?
  • file integrity check?
  • backup?

• client の穴
  • HTML (IE, Outlook, Outlook Express)
    • ActiveX
    • アクティブスクリプト (JavaScript, VBScript, ...)
    • Java
    • Java アプレットのスクリプト
    が
    • buffer overflow した
    • ドメイン境界を越えて動作してしまう
    • スクリプトを実行しても安全な ActiveX のはずだったのに……
  • (マクロ) ウィルス、トロイの木馬
  • 一般コマンドの bug
  • 以上の複合体
• サーバの穴
  • IIS
    • IIS 自体
    • 自社アプリ (.asp, CGI, ……)
  • Media Service
  • ……
• 共通
  • default ACLs
  • default settings/services
  • protocol 実装: TCP/IP, SSL, ……
  • ……

• プライバシー
  • Word document "phone home"
  • cookie
  • proxy で対抗可能?
    • 「(意図しない?) public proxy」を使うのは……
    • anonymizer のような……