アカウント名:
パスワード:
いつも不思議なんだが、公開しているサーバに無許可でスキャンを掛けるのはどうなの？内容によるってのもあるでしょうが、本件のはスキャナがAndroidアプリになってどっかで紹介されたりしてたので、世間的にはOKなんだと自分は驚きました。損害を与えなければ犯罪じゃないとしても、与えるかどうか事前には分からないですし、スキャン動作をアラートにしていた場合、技術者の対応が発生し、最悪の場合は、偽計業務妨害にもなりかねませんよね。
「被害無しのアタックは日常茶飯事なので無視」っていうノリが定着している会社/技術者が多いのも実感していますが、新参者の倫理観としては他人の機器に無断でスキャン掛けるのはNGかなと思っています。
# この前、脆弱性スキャナで業務サーバ落としちゃったのでACで（お前の功夫はそんな物かって言ったけど、めっちゃ怒られた）
インターネットに公開されているウェブサイトに対し、人間が対話的にアクセスするのと同じ程度のほどよい速度頻度で巡回ロボットが繋いでみて特に掘り下げることなく取得可能であった情報を統計的に解析してみることに何の問題がありましょうや？
それにアラートが上がったら即時緊急対応するため技術者を貼り付けるという体制と、今回のような緊急対応が求められる重篤な脆弱性を放置するという状況は矛盾しませんか。
貴兄が従前属していた業界では抜き打ち検査というのは「何日何時から抜き打ち検査をしますのでよろしくお願いします」と事前連絡があるものだったのですか?護衛船団方式横並びの某業界においてはそのような傾向であるとも耳にしますが。
#今回 Qualys SSL Labs で解析してついでに現代的に不要な古いプロトコル等も落として Forward Security も達成させました
別に本件に限ったことではなく、内容によって線引きはあるかもしれませんが、一律問題無いと思いますか？もし、スキャンがバージョンチェック程度で無く、メモリの内容読んでみて判断とかだったらどうですか？
抜き打ち検査が何を意図しているのか図りかねますが、WEB業界だとして、事前に打ち合わせも無くスキャンするのは意味無いですし、誰が何の目的でそんなことするんでしょう。大抵の場合、検査のクライアントはサービスを運営する側ですし、ユーザが利用してる状態のサーバにスキャン掛けさせるなんて、よっぽどの事が無い限りやらないと思います。サービス停止やユーザに被害が出たら損失が大き過ぎますし。
私の認識では、スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はあると思います。もっともこの問題の場合は、スキャンが大量そうなんでIPS側で一律遮断とかにするとは思いますが。
実際にクラックしてみるのはスキャンとは言わないんで用語定義がおかしい。だから議論もちょっとずれてる。どこからがクラックかと言う問題は不正アクセス禁止法にきちんと定義がされていて、判例もある。また不正アクセス禁止法は故意犯のみで過失犯はないというのもポイント。業務妨害系も故意犯のみ。
＞スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はある
これは理由にならない。たとえば、街をあるいて目に見える範囲で情報収集している人を見て、不審人物だと騒いで警備員を雇ったとしてもそれは対策する側の勝手であり、ただ街を歩いている人に費用請求はできないし、その人が何を理由に行動しているか想像出来ないからと言って行動を制限できるはずもない。
じつはむかし、岡崎市立中央図書館事件というのがあったんだ。それ知っても同じ事言えるの？
じゃあ被害届提出しろよww
岡崎の件は被害届が出されたからそういう対応になっただけだっつーの…
あれは業者が図書館に納めたシステムが糞だった事が原因でクロールした側は冤罪だったんだが。
お前こそ知ってんのか。あの件の特殊性を。法律の条文を間違って解釈した特異な件、それも最終的には起訴猶予になり、後に捜査がまずかったと散々指摘されている話を、一般論としては使うのは間違いだろうが。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
あつくて寝られない時はhackしろ! 386BSD(98)はそうやってつくられましたよ? -- あるハッカー
こっちスキャンすんなっ (スコア:0)
いつも不思議なんだが、公開しているサーバに無許可でスキャンを掛けるのはどうなの？
内容によるってのもあるでしょうが、本件のはスキャナがAndroidアプリになってどっかで紹介されたりしてたので、世間的にはOKなんだと自分は驚きました。
損害を与えなければ犯罪じゃないとしても、与えるかどうか事前には分からないですし、スキャン動作をアラートにしていた場合、技術者の対応が発生し、最悪の場合は、偽計業務妨害にもなりかねませんよね。
「被害無しのアタックは日常茶飯事なので無視」っていうノリが定着している会社/技術者が多いのも実感していますが、新参者の倫理観としては他人の機器に無断でスキャン掛けるのはNGかなと思っています。
# この前、脆弱性スキャナで業務サーバ落としちゃったのでACで（お前の功夫はそんな物かって言ったけど、めっちゃ怒られた）
Re: (スコア:1)
インターネットに公開されているウェブサイトに対し、
人間が対話的にアクセスするのと同じ程度のほどよい速度頻度で巡回ロボットが繋いでみて
特に掘り下げることなく取得可能であった情報を
統計的に解析してみることに何の問題がありましょうや？
それにアラートが上がったら即時緊急対応するため技術者を貼り付けるという体制と、
今回のような緊急対応が求められる重篤な脆弱性を放置するという状況は矛盾しませんか。
貴兄が従前属していた業界では抜き打ち検査というのは
「何日何時から抜き打ち検査をしますのでよろしくお願いします」
と事前連絡があるものだったのですか?
護衛船団方式横並びの某業界においてはそのような傾向であるとも耳にしますが。
#今回 Qualys SSL Labs で解析してついでに現代的に不要な古いプロトコル等も落として Forward Security も達成させました
Re: (スコア:0)
別に本件に限ったことではなく、内容によって線引きはあるかもしれませんが、一律問題無いと思いますか？
もし、スキャンがバージョンチェック程度で無く、メモリの内容読んでみて判断とかだったらどうですか？
抜き打ち検査が何を意図しているのか図りかねますが、WEB業界だとして、事前に打ち合わせも無くスキャンするのは意味無いですし、誰が何の目的でそんなことするんでしょう。
大抵の場合、検査のクライアントはサービスを運営する側ですし、ユーザが利用してる状態のサーバにスキャン掛けさせるなんて、よっぽどの事が無い限りやらないと思います。サービス停止やユーザに被害が出たら損失が大き過ぎますし。
私の認識では、スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はあると思います。
もっともこの問題の場合は、スキャンが大量そうなんでIPS側で一律遮断とかにするとは思いますが。
Re:こっちスキャンすんなっ (スコア:0)
実際にクラックしてみるのはスキャンとは言わないんで用語定義がおかしい。だから議論もちょっとずれてる。
どこからがクラックかと言う問題は不正アクセス禁止法にきちんと定義がされていて、判例もある。
また不正アクセス禁止法は故意犯のみで過失犯はないというのもポイント。業務妨害系も故意犯のみ。
＞スキャンを攻撃の初まりと捉えて、IPS等で検知次第、該当攻撃の調査、必要なら遮断や影響範囲の確認等、例え脆弱性が対策済みでもやる事はある
これは理由にならない。
たとえば、街をあるいて目に見える範囲で情報収集している人を見て、不審人物だと騒いで警備員を雇ったとしてもそれは対策する側の勝手であり、ただ街を歩いている人に費用請求はできないし、その人が何を理由に行動しているか想像出来ないからと言って行動を制限できるはずもない。
Re: (スコア:0)
じつはむかし、岡崎市立中央図書館事件というのがあったんだ。
それ知っても同じ事言えるの？
Re: (スコア:0)
じゃあ被害届提出しろよww
岡崎の件は被害届が出されたからそういう対応になっただけだっつーの…
Re: (スコア:0)
あれは業者が図書館に納めたシステムが糞だった事が原因でクロールした側は冤罪だったんだが。
Re: (スコア:0)
お前こそ知ってんのか。あの件の特殊性を。
法律の条文を間違って解釈した特異な件、それも最終的には起訴猶予になり、
後に捜査がまずかったと散々指摘されている話を、一般論としては使うのは間違いだろうが。