Office365 & セキュリティ対策セミナー
Office365 & セキュリティ対策セミナー
普通私の行く勉強会と言うのは、どっちかというと私用で参加するOSS関連の勉強会が多いのですが、たまに仕事関係のお誘いで平日昼間のセミナーで勉強させて頂くこともあります。
今回は某取引先主催のセミナーですが、セキュリティ対策セミナーのMSのエバンジェリストの人が登壇するらしいので、ぜひにと思って出席しました。NSEG関係者やソフト協関係者もおいでで、いろいろびっくりしましたｗ
セキュリティ対策セミナー
MSの蔵本雄一氏が講師です。セキュリティ関係の偉い人。そういやMSのエバンジェリストというとなんかスキンヘッドぽい人が多い気がする。気のせいですか？
攻撃手法と多重防御
攻撃についてはWindowsネットワークへの攻撃の実演があるらしいです。
攻撃者はどのようにWindowsを乗っ取るのか。 その裏でどのようなjことをが起こっているのか。 どうやって守ればいいのか。
興味津津。
MSの働き方
Windows10を素のままで使うのが多いらしいです。いれてもWindows diffenderくらい。Win10はいろいろと最近の評判がアレですけどｗ、セキュリティに関してはWin7よりはるかに向上しているので、使うべき、だそうです。
MSではクラウドの活用で、会社に在社するコアタイムがなくなったらしいです。いつどこで仕事をしててもちゃんと実績だけだしてればOK。うーむ、進んでる。
ランサムウェアに感染してみた
おう、「感染してみた」シリーズ。 ランサムウェアは最近のはやりで、勝手にPCを暗号化したり消去したりして、戻して欲しくばお金を払えという攻撃ですが、非常にマネタイズが分かりやすい攻撃ですよね。
ここではPETYAというランサムウェアに感染したケースを紹介してくれました。 blog.trendmicro.co.jp
.onionとかtorとかダークネットとかGramsとかいかがわしい話題が続出。うーん、楽しい。 Gramsでは薬から殺しからなんでも取り扱ってるらしいですが、最近では脆弱性を突くツールと取引されてるらしいです。AcrobatやFlash関連が高い。次がIEとか。やっぱビューアとかブラウザ関係が高値らしいですね。
RaaS???
ランサムウェアもRaaSの世界に行っているそうです。Ransomware as a Service.何それおいしいの。
要するにお金を払ったらちゃんと戻せるという保証がなければ、お金にならない。彼らはマネタイズのためにやっているわけですから、信用してお金を払ってもらわないと困るわけです。
したがってサービスも向上していて、サイトに行くとお試し復旧とかも無料でちょっとできるようになってる。なにそれ。「お困りですか？」とサイトで言われても今まさにお前に困らされるんですが。
そういう状況の中で、ランサムウェアもアウトソースしてサービス化してきている、ということらしいのです。電話問い合わせすると親切に対応してくれる。これなら金払おうって気がするってもんだ。
攻撃手法
で、実際のWindowsネットワークへの攻撃デモです。
最初はメール添付のPPTXファイルを開かせるところから始まります。anexe.pptxというファイル。アイコンはPowerPoint。どう見てもPowerPoint文書。
びっくりすることにこれがEXEファイルなんですよ。詳しくは説明しないけれど、偽装されてるんです。たぶん私にも見分けはつきません。
ここから始まって、ローカルPCが落とされ、ローカルアカウントが取られ、ドメインアカウントがハックされて、DCにアクセスされ、アドミのアカウントが取られて、DCが乗っ取られるまで、あっという間でした。
速すぎてどんな攻撃だったのかよくわかんない。でもやられてましたｗ
これが危険なファイルと分かる人だけが、リテラシーの低い人に石を投げなさい。
普通、添付ファイル開いてPC乗っ取られましたと言えば、つい馬鹿扱いしますが、これだけ巧妙になっているわけですから、ほとんどのネットワークは侵入されていると考えるべき、というのが蔵本氏の主張です。
多層防御は貫通されていることを前提に「では何を守るか」と言う点に発想を転換するべきだという主張です。
そのなかで「株価に影響しない情報流出は問題にならない」というのも一つの割り切り方。何をどこまで守るかと考えるべきで、全ての攻撃を防御するのはコスト的にも利便性上も引き合わない、と考えた方がいいそうです。
事故るんですよぜったい。
MSの人も、EXEで普通にやられている。そうです。高級なrootkit仕込まれたとか、そういう複雑なこうげきはあんまりなくて、普通にexe踏んで踏んで死んでる。
したがって、リテラシーが高いとか、ポリシーがいいとか、そういう状況であってもやられる。やられてないと言う人は、やられてるけれど発覚していないだけと思った方がいいそうです。
結局、事故は必ず起こる。車が当たらないように運転するのではなくて、当たっても丈夫なようにする。に代わってきているということだそうです。
何故攻撃されるか
iPhoneをハックできたらお金くれるサイトがあるそうです。Appleに連絡すると感謝されるだけだけれど、黒い連中に売れば、たとえばIOSの脆弱性は50万ドルで売れる。そうすると、脆弱性を発見した人は、みんなこっちにもっていってナレッジがダークサイドの方にたまるわけです。
だからずっとゼロディ攻撃はなくならないと。
攻撃は食らう。
ではどうするかと考えます。 ランサムウェアで説明されましたが、彼らは金を巻き上げることができるから攻撃するのですね。 したがって巻き上げられなければ攻撃は停止します。
匿名のクラッカーに「どのくらいの期間攻撃しますか」とアンケートを取ったところ（おいおいｗ） 9日間攻撃してダメなら次に行く。と言う例があったそうです。
彼らは金でにすることが目的。ダークネットで仕入に使った資金の急いでるわけですね。 つまり、めんどくさがれれば勝ちなわけ。
私も出来ればすべてを防御したい方で、いろいろと制限を掛けたがる方だったのですが、お話聞いてちょっと考えなおしました。
社内のセキュリティポリシーも改変の時期が近いものですから、もっといろいろ勉強していきたいと思います。
大変勉強になったセミナーでした。開催された取引先様に感謝です。
オープンソースカンファレンス2016 Tokyo/Spring
オープンソースカンファレンス
2/26 オープンソースカンファレンス2016 Tokyo/Springに行ってきました。 明星大学での開催。けっこうな郊外でした。 すぐとなりが帝京大学。はー、ここが最強の大学かと記念写真撮ったりしました。
到着！
お台場関係の広い会場とはちょっと違う。大学の棟ひとつ借りてやってる感じでした。ITWeekとかに行き慣れた目からはちょっと新鮮。
セミナーいくつか
こんなタグさげてみました。ネタで下げんな、との注意書きがｗ
午前午後とも多くのセミナーを回りました。 おもしろかったものの感想をいくつか。
そういや資料あとで上げますってみなさん言ってましたが、 オープンソースカンファレンス2016 Tokyo/Spring みてもぜんぜん上がってないじゃないですかｗ
スライドそろったら記事あげようと思ってたら、このざまですよ。
はじめてのオープンソース・ライセンス
講師：可知 豊氏 ライターの人。「知る読む使うオープンソースライセンス」の著者
仕事的にいろいろライセンス関係を勉強しなければいけなくて、この手の入門セミナーを回ってます。
内容は超駆け足で本当にさわりのさわり。
そういやRailsって何ライセンスなのかって気にしたことなかったな汗（MITライセンスです）
www.slideshare.net
Raspberry Piよ何処へ行く - 5ドルPCの時代 -
講師：太田 昌文氏
ラズパイの偉いひと…らしい。見た目いかにもギーク。しゃべり方まじギーク。 つうかテンプレどおりかよってくらいのギーク感。圧あるな。
ラズパイの英国面の話題が多く、デモとかその手の話題がなくて残念。忙しくて用意できなかったとのことでした ゼロの5ドルはありえない、を連発。まあ確かに私もありえない価格とは思いますけどｗ
じゃんけん大会でラズパイゼロ争奪戦がありましたがあっという間に敗北。
おひる
大学だから学食ですよ！学食！
200～300円で昼飯が食えるですよ。
何十年振りかで学食カレー食って、若き血潮が湧きたちましたわｗ
おひるやすみ展示ブースを回りました。
スタンプ集めながら回ります。いろんなシールなんかの粗品が集まってプチうれしい。
イジェクトコマンドユーザーズグループ
イジェクトコマンドでトレイをリモート操作！なんでもハード的になんとかするひとたち。 まじエンターテイメント。低レベルハードウェア研究所といってよい。
シェルスクリプトマガジン
こんな雑誌があるなんて知りませんでしたｗ シェル芸の本家なのかな。2冊購入しました。帰って読もうｗ
Redmine
Redmine使ってますけど、バージョンアップがいろいろとアレで。うちのはまだ2.5.1なのかな。 バージョンアップの秘訣ってありますか?と聞きましたが、やっぱりこれで万全という方法論はなかなかないらしく。
さくらインターネット
ユーザと主張してさくらのクラウド20000円クーポン券を奪取。 その他シール一杯もらってきました。どこに貼るんだ。
Plone Users Group Japan
Zopeとかいつの間にか聞かなくなったなあと思ってましたが、Pythonに最近フォーカスしているので、Ploneなんかもまたいじってみたいなあと思いました。
午後のセミナー
午後もまじめにセミナー周り
オープンソースの来し方行く末 ～10年間OSSをテーマに活動してきたNPO法人OSSAJの軌跡から考える～
講師：橋本明彦氏
オープンソースがそも、どこから来てどこへ行くのか、どちらかと言えば歴史をさかのぼる講義。 とつとつと語られる講師の方で、哲学の角先生を思い出しました（？）
IBM、マイクロソフト、レッドハット ３社講演。クラウド時代におけるOSSの活用法
IBMとMSはまじめに製品紹介とかサービス紹介してましたが、RedHatのにいさんのトークがキレッキレでおおいにウケる。 今回最高のセミナー。RedHatまた買いたくなりましたよ（うそ）。
RedHatはもとは本屋だったとか、サービスをマネタイズする秘訣とか、RedHatが破竹の勢いで成長した理由とか、まあ一般的には出回ってるネタなんでしょうけれど、楽しく聞かせてもらいました。
そういやRedHatはサーバばかりで、なんでデスクトップは鳴かず飛ばずなのか問題というのは、私も前から不思議に思ってましたよ（やる気がないんだそうです）。昔はTurboLinuxとかが流行った頃もありましたが、最近はみんなUbuntuばかりじゃないですか（俺調べ）
粗品で赤い帽子かぶったクラウディア窓辺のクリアファイルもらいました。本国に許可とってない非公式コラボだそうで、みつかるとまずいんで拡散不可だそうです。ほんまか。つーかそんなに仲いいの？？ｗ
脱下請けにも有効、オープンソース・ビジネス解説（ビジネスモデルと事例）＜OSSNews広告枠プレゼント特典付き＞
講師：寺田 雄一氏（オープンソース活用研究所）
以前どこかのセミナーで聞いた講師の人。RedHatのにいさんの興奮もさめぬままに聞いたので、こちらはまあ一通りという感じ。
みんな熱かったよ
オープンソースカンファレンスは初めて行きましたが、何がどうというより、やみくもな熱気と、ああ私もこういうムーヴメントに関わりたい、という熱い刺激を受けたのが最大の収穫だったと思います。
次回も行けたら行きたいなあ。
NSEG#72
15:00〜17:00 Geeklabさんにて
前説
suno (すの) (@suno88) | Twitterさんより前説。
IDカード発行システム商会と開発裏話（LT：山田さん）
南の巨人、山田さんのLT。 IDカード発行システムを作られたそうです。 コクヨ名刺用紙に入るIDカードを印刷する。 PCのWebカメラ使用 書式はある程度変更できる。
要点いくつか
帳票ツールとしてのRapidReport
Crystal Reportがいろいろアレで、帳票ツール探しの旅に出たそうです。 レポート定義がバイナリ形式として保存されるのがまずだめ。バージョン管理しにくいというか、diff取れませんしね。 いろいろあってRapidReportにたどり着いたそうです。
「開発者のための帳票ツール」がというコピーがいい。 確かに。 その他
Free版がある。
年２万円でStandardになる。
契約が切れても実行版はそのまま利用可能。
QAフォーラムが良い。 などなど。 Active Report12万円は個人で使うには高すぎるとのことです。
顔認識
顔認識はOpenCVだそうです。私なんかは頭がアレで、難しいコードは書けないので、Pythonでちゃかちゃかやるだけですがｗ 山田さんのはC++からの利用*1だそうです。サスガ。
ちゃんとついたてをバックにおいて顔認識のデモをしてもらいました。参加者みんな無事に認識。suno (すの) (@suno88) | Twitterさんのマスクかけた状態でもちゃんと認識してスゲーの声。
その他いろいろ
WFP
帳票ツールの話題で、会場からWPFを使ってみてくださいの声。 レンダリングがCPUじゃなくてビデオチップでできるので速いはず。 またXAMLということでこちらには未来があると思います。MSもUWPとか言い出している。 ストアアプリでも、デスクトップでもWindowsフォンでも、monoを介せばAndroidでも使える技術だそうです。 とりあえず習っといて損はないらしい。 へー、こゆのは知りませんでしたよ。
Insider.NET > 業務アプリInsider > 連載：WPF入門 - ＠IT
Electron
遅いらしいしセキュリティ的にやばいところあるけどいいんじゃないんですか（いいのか）。
Webでやってきた人がデスクトップでなにか作りたい時、JavaScript、HTML、CSSでアプリを作りたいなんてニーズで進んでる気がします。 クロスプラットフォーム的にいいかと思うんですが。
VisualStudio Codeあたりが今のところのキラーアプリでしょうか。
確かにチュートリアルとか検索すると、デベロッパらしからぬシャレオツでデザイナーチックなサイトが目立ちますね。
Accessってありますよね
それを言うならVB6にも未来あるのでは。 FileMakerは良くなってますよ、の声。
NSEGに女子を増やすには
なんでこんな話題に… まあいろいろ案は出ましたけど、そもそもニーズというかそういう要望があるのかというのがまず問題らしくて。
で後半へ
NSEGでやりたいこと
・今日のような純然たる雑談会もいいもんじゃないんですか。 ・もくもく会だと本当にもくもくするだけなので、後ろに雑談タイムがついてるといいかも。 ・巷で言われる、「NSEGに参加しづらい」のはどうにか解消できんもんでしょうか。 ・CODE For NAGANOとNSEGの関係などどうでしょう。
などなど。
もうちょっとこちらの話に参加したかったですが、時間切れで途中早退しました。
ごめんなさい。
次回はきっちり時間を取って参加したいと思います。
私はどこでも聞けないような先端の話が世間話的に聞けるだけで非常に役立ってますので、参加させてもらって大変ありがたいです。 どんな形で貢献できるのかよくわかりませんが、何かあればわたしにできることをやりたいと思います。
Python勉強会 in GEEKLAB.NAGANO #2
Geeklabで行われたPython勉強会 in GEEKLAB.NAGANO #2に出席しました。
IT関連の勉強会にはたまに参加させて頂いてますが、エッジのさきっちょのことはやっぱりわからないことも多く、関わってる事がバレるとちょっと恥いと思ってました。
が「ブログで書くまでが勉強会です」という名言を思い出して、勉強会に出席したら感想を書き残すことにしました。
Python勉強会
昨年TensorFlowが公開され、その名前のかっこよさにヤラれてしまったので、Pythonをはじめました。まあC++でもいいわけですが、最近ラズパイですとかPepperですとか、Python来てる感じしますしね。
ということでもともとTensorFlowを使うのが目的だったのですが、あたまがわるいので全然わからず、とりあえずすぐにいじれるOpenCVから触ってます。
てなことで長野でPythonの勉強会があればぜひ行きたいと思ってましたので、GeeklabさんがPython勉強会 in GEEKLAB.NAGANO #2 - GEEKLAB.NAGANO | Doorkeeperを開催されると聞いて、さっそく参加申し込みいたしました。
#1は残念ながら所用で参加できませんでしたので、#2が最初になります。
みんなのPython勉強会
この勉強会は、東京で開催されているみんなのPython勉強会の長野リモートだそうです。 今回はGeeklabの中の人もお一人プレゼンされるそうです。
Talk 1:「COBOLエンジニアがDjangoでwebアプリを作るまで」中島 祐樹（ニホンシステムギケン）
Geeklabの中の人。
普段はCOBOL開発者だそうですが、Pythonの単価の高さにつられて転向されたそうです。
DjangoによるWebサービスの構築についてのプレゼンでしたが、超高速開発というか超高速説明なので、これだけですぐに開発ができるかどうかは自信がありません。スライドは公開されているので、またあとでじっくりと手を動かしながら拝見させていただこうと思います。
www.slideshare.net
Talk 2:「Pythonで学ぶ統計学の基礎」辻 真吾（東京大学）
ゲノムとか研究職の方。
統計はぜんぜんわかりません。バイオリンとかなんか人口分布図みたいだなあと思ってみてました。
matplotlibというライブラリを使って統計のグラフを出しますが、このライブラリを入れるのに一苦労。 今回の勉強会用に別にenv切っといたほうがいいですよ、と事前に知恵をつけていただいたので、新しい環境をひとつmkvirtualenvしていたのです。その結果結局numpyから入れなおしの刑ｗｗ
数学は学生時代にもうちょっと勉強しとけばよかったな。
Talk 3:「PostgreSQL をPythonで楽しく使おう」山田 聡（株式会社アシスト）
Postgres用のアダプタ（っていうのか？）、psycopg2の紹介。 サイコピージーですぜ。名前がイカれててかっこいい。
チュートリアルがgithubにあるというのでcloneしてみました。ドキュメントがipython notebookぽいので、動かそうとしましたが、やっぱり環境自体がすっからかんじゃんかｗ
pipでぽちぽちといれて動かしたらちゃんとブラウザにドキュメントが出ました。ドキュメント出すハンズオンかよｗ
しかしながらそんなことをしなくても、ブラウザでgithub上のipynbファイルをクリックすれば、ちゃんとブラウザで読めるのでした。知らねえYO!そんなのｗ
PostgreSQLはPostgres95とか言ってた時期にPHP/FIで動かしてた化石なので、最近のJSONとかトランザクションとかぜんぜんわかりません。これもPostgreSQL自体入れてないので、また後日自分で手を動かして試してみたいと思います。
RDBアクセスってのはこういうネイティブなドライバも使いたい時がないわけじゃないですが、やっぱり最近ですとActiveRecordとかに慣れてしまってO/Rマッパー的なものが欲しくなりますね。
Pythonではなにがいいんでしょう、と長野会場で聞いてみましたら、やっぱDjangoじゃないですか、という声がありましたので、またこれも勉強したいと思います。
勉強会を終えて
まあハンズオンとかはなかったので、聞いてるだけが多かったですし、統計なんてぜんぜんわかりませんでしたけれど、いくつかのキーワードからまた勉強する意欲がわきました。
#3もできれば参加させていただきたいと思います。
今日の気付き#1
HerokuのPricing、なんか普通になっちゃったな。昔はゴジラとかガンダムとかいたよね？
今日の気付き#2
numpyは「なんピー」ってコロロの中で呼んでましたが、聞こえてくるみなさんの声は「なんぱい」という平板な発音でした。 numpyフォークスか。
今日の気付き#3
ご自宅ではDell E6400にUbuntu16.04LTS入れてるのでやってるので、そのまま持ってったんですが、今後を考えるとでかすぎなのがちょっと心配。
