アカウント名:
パスワード:
巫女テスター(17歳)、欠陥システムをサーバーごとシャットダウンするに至った顛末とその後のお話 [togetter.com]もどうぞ。
http://twitter.com/#!/Yuzu_n/status/69004346381176832 [twitter.com]
「Twitter見てて、なんか巫女さんの仕事先の会社のシステムは酷いんだなぁ、と思っていたら派遣にシステム止められて障害になってると専務が泣きついてきた」とか社長さんに言われまして。なんというかありがとうございました。
http://twitter.com/#!/Yuzu_n/status/69048921279823872 [twitter.com]
客先は
基本的には同意なのですが、流れとしては微妙に異なる気がするので。その点を把握した上で同じ意見であれば、多分考え方に根本的な違いがあるのでしょうけれども。
普通、ペネトレーションテストを依頼している時点で、発見された脆弱性には 対応する姿勢があったと考えられるにも関わらず、いくら脆弱性を発見したから といって、勝手に停止して壊すなんて行為は威力業務妨害だよね。
まず致命的なさまざまな問題の発見があり、それを担当上長へ報告したものの「アンチウィルスソフトが入っているから大丈夫だろう」という程度の認識で「来月の定例会議でサービスを停止
元コメントのACとは別ACです。
その辺りは契約などもあるでしょうから容易に判断しかねますが、n_ayase 氏の言っていた「ベストではないにしろベターではあると信じている」という点についてはそれなりに同意できます。
今回はテストを依頼されてセキュリティホールを見つけたわけですが、テストを頼まれたわけでもなく、アクセスの過程でセキュリティホールを見つけた部外者が、報告したけど無視されたのでシステムを落としたケースを考えます。そのケースで「ベストではないがベターだと信じる」ことができるでしょうか。私の感覚ではこれはダメです。Stealth
今回はテストを依頼されてセキュリティホールを見つけたわけですが、テストを頼まれたわけでもなく、アクセスの過程でセキュリティホールを見つけた部外者が、報告したけど無視されたのでシステムを落としたケースを考えます。そのケースで「ベストではないがベターだと信じる」ことができるでしょうか。私の感覚ではこれはダメです。Stealth さんの感覚でそれでもOKだった場合、それはそれで一貫しているので特に議論もなく終わりになります。
部外者ということは、稼働中の社外にもサービスを提供しているグループウェア等を利用している担当チームが異
サービスの提供を中断させる操作が可能であるということは、完全な部外者とはなりえないのが確定しないでしょうか。
通常のシャットダウンが行われたという認識ですか。
前のコメントであげたケースでは、完全に無関係な部外者がセキュリティホールをついて落とすような操作をイメージしてました。通常のシャットダウンが行われたと考えるかどうかが評価の違いにつながっている可能性はありそうです。
今回の件では、真っ当なシャットダウンが行われたとは思っていません。本人が、「システムが壊れてしまいました」と twitter で述べているからです。システムを
# 落ちるまでがペネトレーションテストです。
そのようなテストを実際にサービスを運用しているサーバーで実行するのは不合理ですね。システムをコピーして隔離されたテスト系を作り、そこで実行するのが合理的です。そして、今回のtwitter での発言をみると、「本番系サーバーをシャットダウン」と、わざわざ本番系サーバーと断っているわけです。テスト系でセキュリティホールを見つけたら、そこで得た知識を使って本番系のサーバーも落としに行くのがあなたの考えるペネトレーションテストなんでしょうか?
不合理な行動だったことを認めるわけですね。もし、ペネトレーションテストで落としたのであれば、それは不合理な行動にはなりません。したがって、#1954069 の AC の言う、落としたのはペネトレーションテストの一環という主張は嘘ということになります。テストが完了し、脆弱性を報告したのに対処が遅いから切れて(おそらくは不正アクセスで)本番系のサーバーを落としたということが再確認できました。
合理的な理屈はすべてま・ち・が・い。
巫女の人の行動を合理的に擁護することは無理だということを認める、ということで合意に至ったようです。
最終的に脆弱なシステムが止まってめでたしめでたし
ペネトレーションテストでもなく、ネットにアクセスしている時に偶然セキュリティホールがあるサービスを見つけ、報告したけど「その対策は会議をしてから」と言われたために、セキュリティホールをついてサーバーを破壊して落とした人がいたとします。そのときも、「サービス提供者に問題があるから不合理な行動に出る必要があった」「脆弱なシステムが止まってめでたしめでたし」と言うのですか?
> そのときも、「サービス提供者に問題があるから不合理な行動に出る必要があった」「脆弱なシステムが止まってめでたしめでたし」と言うのですか?そんな実際に採った行動より馬鹿馬鹿しい部分しか増えてない例えに、いったい何の価値があるの?
逆に聞くけど「クレジット番号が容易に抜けるサーバを1ヶ月は放置します、と上に言われたから、言われたとおり従います。」って話だったら、あなたは「めでたしめでたし」って言うんだ?実にすばらしい職業倫理をお持ちのようで。
そんな実際に採った行動より馬鹿馬鹿しい部分しか増えてない例えに、いったい何の価値があるの?
あれが「例え」に読めるのですか?他のケースでどういう判断をするかを尋ねることで、どういう基準で正当な行動かどうかを判断しているのかを確認しようとしているだけですが。
逆に聞くけど「クレジット番号が容易に抜けるサーバを1ヶ月は放置します、と上に言われたから、言われたとおり従います。」って話だったら
サービスを落とすか、言われた通り従うか、以外に選択肢があるというのが普通の答えでは。自分で書いていて、その馬鹿な二者択一に疑問を覚えないのですか?
そんな実際に採った行動より馬鹿馬鹿しい部分しか増えてない例えに、いったい何の価値があるの?あれが「例え」に読めるのですか?他のケースでどういう判断をするかを尋ねることで、どういう基準で正当な行動かどうかを判断しているのかを確認しようとしているだけですが。
「例えばサーバをシャットダウンしたのではなく、破壊していたら?」っていう他のケースを聞いたんでしょ?どう見ても例えじゃん。正に例えば、だけど「強盗を拘束する際に怪我を負わせた警官が居ました。とにかく拘束しないと他人が死ぬところでした」って言う話に「まぁ怪我を負わせるくらい状況的に仕方ないよね」っていった人に「強盗を殺してても仕方ないって言うの?」って確
「例えばサーバをシャットダウンしたのではなく、破壊していたら?」っていう他のケースを聞いたんでしょ?どう見ても例えじゃん。
「例え」という言葉を「比喩」の意味ではなく、「一例」の意味で使ったというのですか?「世のたとえにもれず」とか、昔の用法が残っている決まり文句ぐらいしか聞いたことないですね。
もとの話も、それ以外の選択肢を考えられる余裕はなかったよね、が話のベースだと思うので。
話が通じない上司が、なぜペネトレーションテストを頼むのでしょうか?何か変だと思わないのですか。ペネトレーションテストをやれ、とその上司に指示した人が別にいるんですよ。そこをたどっていくのが筋です。
言及済みの結果論しかないんだ?問題を認識し、依頼(発注)をしている人間に現場の人間は連絡を取る手段が用意されていない、なんていう状況はごく普通ですよ。
今回のも社長が偶々ツイートをみてたから連絡があって、事後初顔合わせで、「今後は」直接連絡するように言われた、というツイートがあったのでそれまでは連絡先を知らなかったと推測するのは妥当でしょう。連絡をつけれるかもわからない、連絡がつけば問題なく止めれるかも分からない相手と連絡をとれば良かったなんてのは結果を見たから言える理想論ですよ。
言及済みの結果論しかないんだ?
「ペネトレーションテストを指示した人を見つけて報告する」のは、一般的に通用するやり方であって、結果論ではありません。それがうまくいく可能性が高いのは、そのような指示をする人ならセキュリティに対する意識が高いという理由があるからです。
一方、サービスを無理やり落とすようなやり方は、うまくいく可能性はずっと低い。一般的には、そのような行為によってペネトレーションテストの実行を指示した人の社内での発言力は低下します。セキュリティに対する意識が高い人が失脚した結果、セキュリティホールが放置されたままサービスが続行される可能性だって十分ありますね。
連絡を取る手段が用意されていない
連絡手段がなければ自分で作るものです。用意されてないからあきらめましたって、社会ではそういうのを子供の言い訳と呼びます。
「社長に直接連絡を取れる」が一般的?学生か極小企業出身か、新入社員時点で役職付のエリートさんですか?
どちらにせよ、普通の範囲ではないですね。
大人と子供の違いは「大人は何でも出来ると思っているか否かだ」と言います。常に正しい方法で何でも出来る、と思っているのは子供ですよ。
今回の場合、それでも社長に正しいセキュリティ意識があったから社長に連絡取れればで済んでいたと「結果的」に分かっていますが、その社長でさえ問題意識がなく、オーナーに厳命されて仕方なく、であった場合さらにハードルがあがります。それで
「社長に直接連絡を取れる」が一般的?
「ペネトレーションテストを指示した人」が、一般的に社長とは限らないのだから、一般的に社長に連絡することになるわけがありません。仮に、自分が今やっているペネトレーションテストを指示した人は社長だということを、あらかじめ知らされていたのであれば、社長に連絡することは別に不思議なことではありません。
大人と子供の違いは「大人は何でも出来ると思っているか否かだ」と言います。
それは「連絡手段を作ろうとしても作れない事情がある」というケースがあるという話です。「連絡手段が用意されていない」、だから連絡できない、というのとはまったく違い
今更の確認だけど、Togetterは読んでるよね?社長に限定する必要は勿論ないけど、あなただったら誰に連絡とって問題を解決させるつもりなの?すみやかに確認可能な権限者には確認を取っているんですよ?「誰」かは分からないけど、世界のどこかに解決できる人が居るのは絶対だから、がんば
代わりに連行された情報系エンジニアが余程無能で従順でない限りは、そのまま再開させることはないでしょう。
実運用中のシステムでペネトレーションテストをやれと言われて従うのが普通と主張している人が、そんなことを主張しても説得力がないですね。だいたい、修理するために呼ばれたエンジニアに、細かい経緯なんか説明しないでしょう。「トチ狂った奴が起動できないようにしていったから直せ」と言うのが普通では。
私の知っている範囲ではだましすかし色々理由を作ってテストそのものを行いませんでしたが
つまり、ユーザーを危険にさらすようなテストは、技術者側でなんとかして回避しているというの
再度
今更の確認だけど、Togetterは読んでるよね?社長に限定する必要は勿論ないけど、あなただったら誰に連絡とって問題を解決させるつもりなの?すみやかに確認可能な権限者には確認を取っているんですよ?
これの答えがない限り、全然代替案を示したことになってないので、「越権シャットダウン」と「お上の言うとおりに放置」しかやっぱり選択肢ないですよ?「その馬鹿な二者択一に疑問を覚えないのですか?」と聞いてきたあなたは当然他の合理的な選択肢を示せるんですよね?「疑問を覚えたけど、答えは持ってない」ですか?だったら相手も「疑問は覚えたけど、他に選択肢を見つけられなかったから、その二者択一で聞いて
ちょっと思い出して見に来てみたら、こんなことを書いていたのか。
「その馬鹿な二者択一に疑問を覚えないのですか?」と聞いてきたあなたは当然他の合理的な選択肢を示せるんですよね?
まともな論者が二者択一を提示した場合は、「その馬鹿な二者択一に疑問を覚えないのですか?」と言われたときに、「他に合理的な選択肢はない、なぜなら……だからだ」と説明するものです。一方、まともではない論者は、相手に「他の合理的な選択肢を示せるのか」と尋ねてしまい、他に合理的な選択肢があるかどうか確認せずに二者択一を提示したことを暴露してしまうもので
まともな論者が二者択一を提示した場合は、「その馬鹿な二者択一に疑問を覚えないのですか?」と言われたときに、「他に合理的な選択肢はない、なぜなら……だからだ」と説明するものです。
そうそうに説明してますが? [srad.jp]
ペネテで落とせば問題なかった、がエンジニアジョークである事位は理解してるよね?社長に直談判すればよかったんだ、は結果論だよ?自分の営業に相談すればよかったも同様。ちなみに、私だったら「本番系でペネテを行うなんて仕事を請けたのが間違い」とか答えるけどね。非常に合理的である自負はあるが、当然それ以上にナンセンスである自覚もある。
ペネテで落とせば問題なかった、がエンジニアジョークである事位は理解してるよね?社長に直談判すればよかったんだ、は結果論だよ?自分の営業に相談すればよかったも同様。
ちなみに、私だったら「本番系でペネテを行うなんて仕事を請けたのが間違い」とか答えるけどね。非常に合理的である自負はあるが、当然それ以上にナンセンスである自覚もある。
「論拠全無視で結論にだけずれた返信しか返ってこない」事が再度証明されただけですね。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー
警察を呼ぶ専務、理解を示す社長 (スコア:4, おもしろおかしい)
巫女テスター(17歳)、欠陥システムをサーバーごとシャットダウンするに至った顛末とその後のお話 [togetter.com]もどうぞ。
http://twitter.com/#!/Yuzu_n/status/69004346381176832 [twitter.com]
http://twitter.com/#!/Yuzu_n/status/69048921279823872 [twitter.com]
モデレータは基本役立たずなの気にしてないよ
Re: (スコア:5, すばらしい洞察)
対応する姿勢があったと考えられるにも関わらず、いくら脆弱性を発見したから
といって、勝手に停止して壊すなんて行為は威力業務妨害だよね。
情報漏えいを防いだとか言ってる割には、ツイッターに情報を漏えいさせてる
ところとか、もうアホかと。
ペネトレーションテストで深刻な脆弱性を発見したら、極秘(絶対に外部には
知られてはならない)に関係上長に報告し、対策方法があるのならすぐに
それを提示、無いならサービスの一時停止を提案するというのが正しいやり方。
社長の脳裏には、岡崎市立図書館事件があったんじゃないだろうか?
刑事告発することで、批判が集中し、誹謗中傷で評判を落とされたり、
嫌がらせ電話もたくさん来たりして、業務にもっと支障がでるのを恐れた
のではないだろうか。
私には専務が正しくて社長は早まったとしか見えない。
この巫女、今後も図に乗るかもよ。
少なくとも自分が発注元なら、この巫女を使ってる会社には絶対に発注しない。
Re: (スコア:1)
基本的には同意なのですが、流れとしては微妙に異なる気がするので。その点を把握した上で同じ意見であれば、多分考え方に根本的な違いがあるのでしょうけれども。
まず致命的なさまざまな問題の発見があり、それを担当上長へ報告したものの「アンチウィルスソフトが入っているから大丈夫だろう」という程度の認識で「来月の定例会議でサービスを停止
Re: (スコア:0)
元コメントのACとは別ACです。
今回はテストを依頼されてセキュリティホールを見つけたわけですが、テストを頼まれたわけでもなく、アクセスの過程でセキュリティホールを見つけた部外者が、報告したけど無視されたのでシステムを落としたケースを考えます。そのケースで「ベストではないがベターだと信じる」ことができるでしょうか。私の感覚ではこれはダメです。Stealth
Re: (スコア:1)
部外者ということは、稼働中の社外にもサービスを提供しているグループウェア等を利用している担当チームが異
Re: (スコア:0)
通常のシャットダウンが行われたという認識ですか。
前のコメントであげたケースでは、完全に無関係な部外者がセキュリティホールをついて落とすような操作をイメージしてました。通常のシャットダウンが行われたと考えるかどうかが評価の違いにつながっている可能性はありそうです。
今回の件では、真っ当なシャットダウンが行われたとは思っていません。本人が、「システムが壊れてしまいました」と twitter で述べているからです。システムを
Re: (スコア:1, おもしろおかしい)
なんで?
# 落ちるまでがペネトレーションテストです。
Re: (スコア:1, 参考になる)
そのようなテストを実際にサービスを運用しているサーバーで実行するのは不合理ですね。システムをコピーして隔離されたテスト系を作り、そこで実行するのが合理的です。そして、今回のtwitter での発言をみると、「本番系サーバーをシャットダウン」と、わざわざ本番系サーバーと断っているわけです。テスト系でセキュリティホールを見つけたら、そこで得た知識を使って本番系のサーバーも落としに行くのがあなたの考えるペネトレーションテストなんでしょうか?
Re: (スコア:0)
Re: (スコア:0)
不合理な行動だったことを認めるわけですね。もし、ペネトレーションテストで落としたのであれば、それは不合理な行動にはなりません。したがって、#1954069 の AC の言う、落としたのはペネトレーションテストの一環という主張は嘘ということになります。テストが完了し、脆弱性を報告したのに対処が遅いから切れて(おそらくは不正アクセスで)本番系のサーバーを落としたということが再確認できました。
Re: (スコア:0)
合理的に考えるならな。でもあんたの考えは間違ってる。不合理な状況で不合理な複数の人間が不合理に行動する話なんだから、合理的な理屈はすべてま・ち・が・い。そもそも最終的に脆弱なシステムが止まってめでたしめでたし、巫女も逮捕されなくてよかったねって話だしな。それを認めたり認めなかったりできるのは当事者の社長さんだけだろ。
あと、不正アクセスにはたぶんできないね。彼女は少なくともペネトレする権限は持っていただろうし、その権限においてシステムにアクセスして落としたのだろうから。不正なのは彼女が切れる前にペネトレ権を剥奪しなかった方だろう。
Re: (スコア:0)
巫女の人の行動を合理的に擁護することは無理だということを認める、ということで合意に至ったようです。
ペネトレーションテストでもなく、ネットにアクセスしている時に偶然セキュリティホールがあるサービスを見つけ、報告したけど「その対策は会議をしてから」と言われたために、セキュリティホールをついてサーバーを破壊して落とした人がいたとします。そのときも、「サービス提供者に問題があるから不合理な行動に出る必要があった」「脆弱なシステムが止まってめでたしめでたし」と言うのですか?
Re: (スコア:1)
> そのときも、「サービス提供者に問題があるから不合理な行動に出る必要があった」「脆弱なシステムが止まってめでたしめでたし」と言うのですか?
そんな実際に採った行動より馬鹿馬鹿しい部分しか増えてない例えに、いったい何の価値があるの?
逆に聞くけど「クレジット番号が容易に抜けるサーバを1ヶ月は放置します、と上に言われたから、言われたとおり従います。」
って話だったら、あなたは「めでたしめでたし」って言うんだ?実にすばらしい職業倫理をお持ちのようで。
Re: (スコア:0)
あれが「例え」に読めるのですか?他のケースでどういう判断をするかを尋ねることで、どういう基準で正当な行動かどうかを判断しているのかを確認しようとしているだけですが。
サービスを落とすか、言われた通り従うか、以外に選択肢があるというのが普通の答えでは。自分で書いていて、その馬鹿な二者択一に疑問を覚えないのですか?
Re: (スコア:0, 荒らし)
「例えばサーバをシャットダウンしたのではなく、破壊していたら?」っていう他のケースを聞いたんでしょ?どう見ても例えじゃん。
正に例えば、だけど「強盗を拘束する際に怪我を負わせた警官が居ました。とにかく拘束しないと他人が死ぬところでした」って言う話に
「まぁ怪我を負わせるくらい状況的に仕方ないよね」っていった人に「強盗を殺してても仕方ないって言うの?」って確
Re: (スコア:0)
「例え」という言葉を「比喩」の意味ではなく、「一例」の意味で使ったというのですか?「世のたとえにもれず」とか、昔の用法が残っている決まり文句ぐらいしか聞いたことないですね。
話が通じない上司が、なぜペネトレーションテストを頼むのでしょうか?何か変だと思わないのですか。ペネトレーションテストをやれ、とその上司に指示した人が別にいるんですよ。そこをたどっていくのが筋です。
Re: (スコア:1)
言及済みの結果論しかないんだ?
問題を認識し、依頼(発注)をしている人間に現場の人間は連絡を取る手段が用意されていない、なんていう状況はごく普通ですよ。
今回のも社長が偶々ツイートをみてたから連絡があって、事後初顔合わせで、「今後は」直接連絡するように言われた、というツイートがあったのでそれまでは連絡先を知らなかったと推測するのは妥当でしょう。
連絡をつけれるかもわからない、連絡がつけば問題なく止めれるかも分からない相手と連絡をとれば良かったなんてのは結果を見たから言える理想論ですよ。
Re: (スコア:0)
「ペネトレーションテストを指示した人を見つけて報告する」のは、一般的に通用するやり方であって、結果論ではありません。それがうまくいく可能性が高いのは、そのような指示をする人ならセキュリティに対する意識が高いという理由があるからです。
一方、サービスを無理やり落とすようなやり方は、うまくいく可能性はずっと低い。一般的には、そのような行為によってペネトレーションテストの実行を指示した人の社内での発言力は低下します。セキュリティに対する意識が高い人が失脚した結果、セキュリティホールが放置されたままサービスが続行される可能性だって十分ありますね。
Re: (スコア:0, フレームのもと)
「社長に直接連絡を取れる」が一般的?
学生か極小企業出身か、新入社員時点で役職付のエリートさんですか?
どちらにせよ、普通の範囲ではないですね。
大人と子供の違いは「大人は何でも出来ると思っているか否かだ」と言います。
常に正しい方法で何でも出来る、と思っているのは子供ですよ。
今回の場合、それでも社長に正しいセキュリティ意識があったから社長に連絡取れれば
で済んでいたと「結果的」に分かっていますが、その社長でさえ問題意識がなく、
オーナーに厳命されて仕方なく、であった場合さらにハードルがあがります。
それで
Re: (スコア:0)
「ペネトレーションテストを指示した人」が、一般的に社長とは限らないのだから、一般的に社長に連絡することになるわけがありません。仮に、自分が今やっているペネトレーションテストを指示した人は社長だということを、あらかじめ知らされていたのであれば、社長に連絡することは別に不思議なことではありません。
それは「連絡手段を作ろうとしても作れない事情がある」というケースがあるという話です。「連絡手段が用意されていない」、だから連絡できない、というのとはまったく違い
Re: (スコア:1)
今更の確認だけど、Togetterは読んでるよね?社長に限定する必要は勿論ないけど、あなただったら誰に連絡とって問題を解決させるつもりなの?すみやかに確認可能な権限者には確認を取っているんですよ?
「誰」かは分からないけど、世界のどこかに解決できる人が居るのは絶対だから、がんば
Re: (スコア:0)
実運用中のシステムでペネトレーションテストをやれと言われて従うのが普通と主張している人が、そんなことを主張しても説得力がないですね。だいたい、修理するために呼ばれたエンジニアに、細かい経緯なんか説明しないでしょう。「トチ狂った奴が起動できないようにしていったから直せ」と言うのが普通では。
つまり、ユーザーを危険にさらすようなテストは、技術者側でなんとかして回避しているというの
Re: (スコア:1)
再度
これの答えがない限り、全然代替案を示したことになってないので、「越権シャットダウン」と「お上の言うとおりに放置」しかやっぱり選択肢ないですよ?
「その馬鹿な二者択一に疑問を覚えないのですか?」と聞いてきたあなたは当然他の合理的な選択肢を示せるんですよね?
「疑問を覚えたけど、答えは持ってない」ですか?だったら相手も「疑問は覚えたけど、他に選択肢を見つけられなかったから、その二者択一で聞いて
Re: (スコア:0)
ちょっと思い出して見に来てみたら、こんなことを書いていたのか。
まともな論者が二者択一を提示した場合は、「その馬鹿な二者択一に疑問を覚えないのですか?」と言われたときに、「他に合理的な選択肢はない、なぜなら……だからだ」と説明するものです。一方、まともではない論者は、相手に「他の合理的な選択肢を示せるのか」と尋ねてしまい、他に合理的な選択肢があるかどうか確認せずに二者択一を提示したことを暴露してしまうもので
Re:警察を呼ぶ専務、理解を示す社長 (スコア:1)
そうそうに説明してますが? [srad.jp]
「論拠全無視で結論にだけずれた返信しか返ってこない」事が再度証明されただけですね。