วีดีโอ

何が良いって、DoCANに個人情報が保存されないってことですよね。 何かを利用したくても、個人情報を登録しなくちゃいけないとなると、利用をためらってしまうことがあるので。

不正をする人達に見ていただきたいですね。ありがとうございます。

会社のパスワード変更面倒臭いなぁと思ってたら、本社がランサムウェア身代金に引っ掛って、面倒くさいパスワード使って入っても、データ死んで終わってました。

10:56　L3とL4の記載がひっくり返ってますね。 作成を外注しているであろうことまで視聴者レイヤで洞察しました。

セキュリティ的に真剣に100%しっかり当てたいというのであれば、 100%当てるというようよりも100%当たってない端末をNWに接続させないアプローチの方が良いのでは？ EntraIDの条件付きアクセスとIntuneの準拠済みデバイスの設定でWindowsアップデートが当たってない端末は弾いて、 社内LANにはZPA経由でアクセスさせるようにする事で、SSOの段階で準拠してない端末はZscalerにサインインできないみたいな

パスキーが良いのはわかりましたが、どうやってパスキーを使うのかがわかりません。 現在、パソコンはパスワードでログインしています。 パスキーに切り替える方法を教えてください。

パソコンや携帯を機種変更したときに返って面倒にならないですか？

パソコン等端末を盗まれてpinが破られると最悪ですね。

チャンネル登録しましたよw LINEヤフー今度やらかしたらマズイ事になりそうですね。WhatsAppとかSignalが普及すれば良いのになあ。

大変ためになります。ありがとうございます。１つ質問がございます。 社内ネットワークに接続している、複合機（プリンタ）やOSを搭載したモニターなどもアタックサーフェスに含まれると理解しているのですが、間違いないでしょうか？ またこれらについてのセキュリティ対策として、ファームウェアやOSの更新以外に必要なことはありますでしょうか？

自社でシステム管理者まがいの仕事を任され始めたので、このような動画は大変ためになります！ 引き続き拝見させていただきます。

情シスがいないような規模の中小企業をサイバー攻撃から守るために、サービスや機器の販売を行っています。いくつかの動画を見させていただいて、すごく為になる良い動画だと思いましたので、これからも有益な情報発信よろしくお願いします。参考にさせていただきます。ありがとうございます。 ひとつ質問です。 私もセキュリティパッチをあてるのが何よりも効果的な対策だと思うのですが、そういった脆弱性の情報はどういった方法で取得するのがよいでしょうか。ご教示いただけると幸いです。

カスペルスキーは危険ですか？

1:50 現場が中長期的な保守運用を考慮せず開発することは無いと思います。確かに中長期的な会社経営を考えるのはビジネスサイドの人たちですが、現場のエンジニアは基本的に後世の人たちが長期的に保守運用でき、かつ再利用性、可読性の高いコードを書くことを日々意識しています。 勿論、中には短期的な保守運用しから考えられずコードを書いているエンジニアもいますが、そういったエンジニアリングスキルの低い人達は今後職に困り淘汰されていくと思いますし、そういうコードしか書けない人材を採用してしまった人事の問題かなって思います。

すごくよい動画と思います。

5:37 クラウドストライク自体へのサイバー攻撃の結果かもしれない。

Windowsすべて？

使っちゃいけないメモリー領域を使ってたんだっけ。

なんか怪しいですね。時期が時期だけに。トランプの株に投資した事を消したかったのではないかと疑います。

群衆をストライクは草・・。

Falconの定理

自分の場合はシステム丸ごとバックアップを新しいアプリをインストールする前や定期的に行っています。（バックアップソフトはＣＤ起動のWindows PE?）パソコンで大した事をしないので頻繁にバックアップを取っても負担にはなりませんが、企業のパソコンだとシステムのバックアップも大変なんでしょうね。

マイクロソフトに責任は無いが、 ブルースクリーンということはWindowsはドライバの不具合を把握できている。 というか、そのためにこそCPUに例外処理の機能が付いている。 にも関わらず、再起動時にそういう問題あるモジュールを読み込み対象から除外 する仕組みにしていないのは、OSの堅牢性という点でWindowsの設計上・実装上の欠点では？

コンビニカップ麺の例え笑いましたw

PW管理ソフト使ってますけど、バスキーと両立出来ない不具合があって仕方なくPWオンリーにしてます…選択スイッチあれば良いのにな〜

根本原因は、不具合を持ったソフトがリリースされ続けている現状だと思います。 Windowsを含め、不具合を持ったソフトがリリースされ続けている現状では、ソフトの自動更新は、とても危険ですね。 不具合修正と言う一面もあるかも知れませんが、新たな不具合をインストールすると言う側面もあるからです。 単なる不具合修正だけであれば、脆弱性問題は、とうの昔にオワコンになっているはずですが、新たな不具合がインストールされるために、未解決状態が続いています。 まずは、不具合を持ったソフトのリリース(不良品の出荷)を容認しない機運を高める必要があると考えられます。 そうしなければ、同様なことが繰り返されるだけだと思います。 最低限として、過去に出荷した製品の不具合については、最終的に責任を持つべきだと思います。 不具合修正を打ち切るなんてことを容認してはいけないと思います。

私もそう思います

タイムリーな話題事例で、問題点をすぐに勉強したいと思っても、適格なコメントがネット上には未だ少なかったので助かりました。この会社の名前の「クラウト」は　Cloud (雲）とばかり思っていましたが 違ったのですね。

大手法人はADかAADに回復キー保存してると思いますよ

十分なテストしないで出荷してるんやろな。 外資は過剰品質は悪と捉えるから徹底的にテストを減らす。その結果が大規模障害。一度失った信用は中々取り返せないだろう。

グローバルIPを取得して、ダークウェブにIPアドレスが流れていないか監視する外部サービスの利用を勧められているんですが、わざわざグローバルIPに固定する意味が分かりません😢最適解をご教授ください。

まさに、「喰らうドストライク」だ😂

PINてネットワーク経由での攻撃には意味ありますが ローカルの(社内の)悪意ある人にはものすごく脆弱だと思いますけど、どう思います？ つまり社内で後ろから長くて複雑なパスワードを読み取るのと 4桁のPINを読み取ることのどっちが容易かって話です 指紋や顔はまだいいとして

情シス→Microsoft→セキュリティ製品会社→情シスと渡り歩いて来ましたけど Microsoftにいた時にWindows Updateが失敗する事例についてすごくたくさん調べましたけど、6割ぐらいはセキュリティソフトがプロセス掴んで離さない結果進まないってのがありました MSのOSに付属してるのだけ使ってるのなら、こういうことは起きませんけど、他社製品使ってるなら、ファイルハッシュで除外とかプロセスで除外とかいう設定ぐらいあると思うので、それ試してみるのもいいです。あとはネットワーク起動(PXE)のできる環境作って、OSの起動してない外でパッチあてるのもありです。ほとんど何も走ってないので圧倒的に早いです。それでも30分とかかかることありますけど。MSはこんな方法推奨してませんので、その点は誤解なきよう。

ゼロデイ攻撃を前提とすれば、マルウェアにも当然感染するし感染後はIDパスワードが漏れるのも当たり前ですね。 2要素認証も導入コストと利用者側の手間の双方が壁に成りますね。IPアドレスを絞る程度の消極策に成らざる追えない。

アンドロイドスマホのため、グーグルパスキーを設定予定ですが、アップルのサービスも使っている場合、アップルパスキーも設定したほうが良いですか？

webサイトごと鍵を作成の意味を教えて下さい、例えばA銀行、B銀行、アマゾン等私の場合３０個位あります鍵を作成するために必要な項目として各項目のURL,メールアドレス、IDなどありますがpasskey作成するのに必要な項目を教えてください。当然各項目がpasskeyが対応してると仮定してます。よろしくおねがいします。

KADOKAWAやニコニコがやられて、悔しい思いをしている、いちエンジニアです。 日本企業が狙われてると聞いて、自分に何かできる事はないか日々悶々としています。 こちらの動画はすごくわかりやすく解説してくれて、大変勉強になります。 ここで学んだことが少しでも広められるように頑張ります。ありがとうございます。

外の公園での収録、珍しいですね。開放的で良いですね。

ノートンのパスワードマネージャーを長年使ってる身からすれば十分理解できる話でした。 Windows10が来年10月辺りに完全にサポートが切れますが11に上げれる要件の一つがTPMのバージョンですね(2.xだったかな？) 。 これはリリース当時、買って3年もたたないＰＣを切り捨てにするのかと非難ごうごうでした。今回の話を聞いて、TPMの重要性も理解できました。マイクロソフトもいずれはOSもしくはブラウザも含めてパスキーを標準実装するでしょうね。

吉田さんの動画のおかげでサイバーセキュリティ全般に対する興味が高まり，kali linaxをインストールして攻撃者の手法を学ぶなどセキュリティに関する理解が進んできました。本当にありがとうございます。 現在勤めている会社はゼロ情シスで、相対的に機械に明るい人（私）がなんとなく対応している状況です。 今後もわかりやすい動画を配信いただけますと幸いです。

いつも拝見しております。私は外資系セキュリティベンダーのSEです。ほんと動画の通りです。これは逆もあって、お客さんがどの脅威を防ぐべきなのか分からず、クラス1の脅威に対する対策もままならない状態でクラス3の脅威にしか目が行かず、対策のロードマップがブレてしまうことを見ることがあります。 脅威の発現可能性から対策を考えるのは現場からすればやりやすい方法だと思いますが、セキュリティリスクマネジメントからしたら、守るべき情報資産とその優先順位が決められていないところが(特に中小では)大半なので、そもそもブレるよなとも思ってます。

すごい！すごいすごい！ 今まで何気なく使ってたPINコードはそういう事だったのか！ あれはハードウェアロックの解除だったわけですね😮

迷信と思われる1件があります。emotetが流行り実際に社内で感染者が出た際、年配の社内SEの方がメール本文のプレビュー機能を社内ユーザーに対して一律禁止したいと言っていました。つまり、件名(と送信者メールアドレスなど)だけを最初に一覧表示させ、その一覧表示の1行ずつを必要に応じて手動でクリックしないとメール本文を見れないようにしたいということでした。確かに昔はそういう運用が推奨された時代がありました。しかし今現在は、メーラーの機能で(HTML形式ではなく)テキスト形式でメール本文をはじめから表示させる機能をONにしておけば十分なのでは、と思うのです。

毎週、関連職員とともに勉強をさせて頂いています。

初めてチャネル訪問させて頂きました。分かりやすい解説ありがとうございます。1点分からないことがあったのでご存知でしたら教えてください。複数端末(複数PCと複数Tablet, スマホ)で同じWebサイトを利用したい場合、Apple製品でのiCloudを利用した端末間でのパスキー共用の仕組みなどを利用しない限り、個々の端末のTPM内に別々の異なる値(パスキー)が格納される状態となると思われます。すると、Webサイト側で個人ID毎に記憶しておくべきパスキーの数は、1つでは無く任意の数(or 機能提供したい端末の数) になると想像します。つまりサーバー側の作りとしては、従来方式であるパスワード方式では個人IDとパスワードを1対1で紐付ければ済んでいたものが、新しいパスキー方式では個人IDとパスキーを1対nで紐付ける必要が生じるのでしょうか？

脆弱性対策が有効な事は理解しました。最終的には100%のセキュリティ対策は無いので、データのバックアップに関しての特集をお願いします。

クラス1、2、3を定義しているサイトはどちらですか？

任天堂のマイニンテンドーストアもGoogleのパスキーを採用していますねw

他の動画も見て、ここを三回見てやっとなんとなく理解できました。