こんにちは。セキュリティレスポンスチームです。
もうすぐクリスマス、そして年末年始と、楽しい休暇シーズンがやってきますね。皆様は長期休暇をどのように過ごされるのでしょう？私は 2 歳のおチビがいるので忙しない帰省になりそうです。
ところで、日本でも先日 (11 月 20 日) 発売された Xbox Kinect は、順調に売り上げを伸ばしているようで、発売 (北米では 11 月 4 日) から 10 日で 100 万台、25 日で 250 万台 (…年内 58 日で 580 万台?) の勢いのよう。年内 500 万台という目標を達成できるペースですね。嬉しい限りです。ゲーマーではない私ですが、Dance Evolution は汗だくでやっています。皆様もクリスマス パーティ用に 1 台いかがですか？
この Kinect、発売から数日で面白いハック (と呼ぶのは MS 的には正しくないと思いますが) がたくさん紹介されていますね＾＾； 影絵や落書きの技術を搭載したり、体の特定の部分を認識させたり、光学迷彩を再現したり、はたまた 2 台使いで自分の部屋を 3D レンダリングしたり…。Kinect のインターフェースをオープンにしたことで、技術革新が進んでいるようです：P このデバイスの技術は非常に注目を浴びており、これを様々な OS や組み込みシステム、ロボット等と接続して応用できないかというプロジェクトが走るのも納得できますね。念のため、Xbox 内部のアルゴリズムを触ったり通信を盗んだりという本来のハックに対しては、しっかりした保護策が取られています。
そういえば、話は変わりますが、以前この Blog で触れた EMET (Enhanced Mitigation Experience Toolkit) について、改めて紹介すると言ったまま紹介していませんでした。その後ツール紹介サイトも用意し宣伝活動も進めています。ちょっとここでもご紹介しますね。
EMET (エメット) は、任意のアプリケーションに対して脆弱性緩和技術を簡単に導入できる便利ツールです。例えば Windows XP や Vista から導入された DEP (Data Execution Prevention) や ASLR (Address Space Layout Randomization) を含め、計 6 つ (EMET v2 の場合) のセキュリティ緩和技術をあらゆるアプリケーションに対して設定できるのです。
【EMET v2 の GUI】
【 EMET v2 で設定できる 6 つの緩和技術】 **
EMET の活用の幅は組織によって異なるでしょうが、例えばソースコードの存在しない古いアプリケーションや、セキュリティ更新の出ていない脆弱性 (0-day) への対策、また、運用上更新プログラムをすぐに適用できない場合の緩和策などとして活用できると思います。データが盗まれると被害の大きい基幹業務アプリケーションや重役の Web ブラウザーなどに個別設定するのもいいかもしれませんね。EMET は、プロセスをクラッシュさせることで悪用を阻止するので、サービスの停止が難しいサーバーへの実施は困難という声もありますが、リスク管理の考え方として「セキュリティのリスクをゼロにできないのであれば、リスクは最小限にとどめる」という基本的な考え方があります。EMET が有効に機能したことでプロセスがクラッシュしサービスが停止したとしても、被害 (この場合サービス停止のみ) が 1 台で食い止められるのであれば、リスク管理の観点では成功といえるのだと思います。
EMET は、コマンドベースの v1 が 2009 年 10 月に、また、GUI ベースの v2 が 2010 年 9 月に公開されています。組織の複数のコンピューターに EMET を導入する場合は、ネットワーク共有上に EMET をインストールし、対象となるコンピューターにはログオンスクリプト等で EMET を設定することもできます。展開に関しては、今後のバージョンで Active Directory との連携など、企業環境で容易に展開や管理ができるよう検討されています。また、ツール自体も正式にサポートする方向で調整中です。
EMETv2 ツールは こちら からダウンロードできますので、ご興味ある方はぜひ触ってみてください。もう少し詳細をという方には、EMET を 10 分で知る Web キャスト も用意しています。ちょっと話し方がスローですがその辺はご寛仁ください。