ガイダンス – Microsoft Security Response Center

2018 年 10 月 31 日より、Microsoft Office 365 では TLS 1.0 および 1.1 のサポート廃止を予定しています。
Office 365 サービスに正常に接続するためには、2018 年 10 月 31 日までに、クライアントとサーバー間、ブラウザーとサーバー間のすべての組み合わせで TLS バージョン 1.2 (またはそれ以降のバージョン) を使用するように設定する必要があります。期日までに、対応を行っていない場合、Office 365 に接続する際に、接続できないなどの問題が発生する可能性があります。

[IT 管理者向け] TLS 1.2 への移行を推奨しています

Japan Security Team / By jsecteam / July 11, 2017 September 6, 2020

こんにちは、垣内由梨香ですデータを暗号化し安全にやり取りを行う Transport Layer Security (TLS)。TLS は利用しているが、詳細なバージョンまでは把握してない、そんな方も多いのではないでしょうか？暗号プロトコルは「使ってさえいれば安全」ではありません。現在の脅威に対応できるバージョンのみを利用しリスクを下げることが重要です。マイクロソフトでは、より安全な TLS 1.2 へ移行していくことを推奨しています。 [2020/9/7 追記] 各製品、サービスにおけるTLS 1.0/1.1の廃止予定については、次の情報を参考にしてください。 TLS 1.0 and 1.1 deprecation https://techcommunity.microsoft.com/t5/microsoft-sharepoint-blog/tls-1-0-and-1-1-deprecation/ba-p/1620264

FAQ: SHA-1 廃止/SHA-2 移行に関するマイクロソフトのポリシー

Japan Security Team / By jsecteam / November 2, 2015 June 26, 2019

SHA-1 廃止/SHA-2 移行に関するマイクロソフトのポリシーについてよく寄せられる質問を掲載しています。

マイクロソフトセキュリティ情報 MS15-011「グループポリシーの脆弱性により、リモートでコードが実行される」適用ガイド (Active Directory 環境をご利用のお客様のみ対象)

Japan Security Team / By jsecteam / February 19, 2015 June 26, 2019

2015 年 2 月 11 日に公開したマイクロソフトセキュリティ情報 MS15-011「グループポリシーの脆弱性により、リモートでコードが実行される」では、セキュリティ更新プログラムを適用後に、Active Directory のグループポリシーの構成変更が必要です。今回は、Active Directory 環境をご利用のお客様に、脆弱性や攻撃のシナリオ、修正内容、および作業手順などの概要をご案内いたします。なお、必要となる作業の詳細は、サポート技術情報 (KB3000483) で公開しています。(Active Directory 環境をご利用ではないお客様は何の作業も必要ありません。Windows Update /WSUS をご利用のお客様はActive Directory ドメイン環境の端末のみセキュリティ更新プログラムが提供されています) Active Directory 環境をご利用のお客様は、ぜひ本資料をご参照のうえ、早急にセキュリティ更新プログラムの適用および必要となる変更作業を行ってくださいますようお願いいたします。対象環境 Active Directory 環境をご利用のお客様 (セキュリティ情報 MS15-011 の影響対象は Active Directory 環境のみとなります。) Active Directory 環境ですべてのサポートされているエディションの Windows Server 2003*、Windows Vista、Windows Server 2008**、Windows 7、Windows Server 2008 R2**、Windows 8、Windows Server 2012**、Windows RT、Windows …

マイクロソフトセキュリティ情報 MS15-011「グループポリシーの脆弱性により、リモートでコードが実行される」適用ガイド (Active Directory 環境をご利用のお客様のみ対象) Read More »

クラウドサービスの障害モデリング

Japan Security Team / By jsecteam / November 26, 2014 June 26, 2019

本記事は、Cyber Trust ブログ “Fault Modeling for Cloud Services” (2012 年 10 月 11 日公開) を翻訳した記事です。過去数週間に渡り、サービス停止の原因と関連する緩和策の戦略 (英語) および、クラウドサービス障害に備える重要性について投稿しました。今回は、障害によどみなく確実に対応するクラウドサービスを設計および構築するためにマイクロソフトが採用している方法の 1 つをご紹介します。この概念は目新しいものではありませんが、プロバイダーにとっても、お客様にとっても、一考の余地があるのではないかと考えています。セキュリティ関連の問題を評価する際は、脅威のモデリングが設計プロセスの重要な手順になります。同様に、信頼できるクラウドサービスの設計プロセスでは障害のモデリングが重要です。障害のモデリングとは、サービスの相互作用点や依存関係を特定し、サービスを効率的に監視して問題を速やかに検出するためにはどこに投資すべきかをエンジニアリングチームが見極められるようにすることです。さらに、こうしたモデリングは、エンジニアリングチームを、障害に耐えるまたは障害を軽減するサービスの能力を高める効率的な対処メカニズムに導きます。障害モデルの構築の主要なステップは次のとおりです。コンポーネントのインベントリを作成する。インベントリには、Web サーバーでホストされるユーザーインターフェイスコンポーネント、リモートデータセンターでホストされるデータベース、モデル化しているこのサービスが依存する外部サービスを含め、サービスが使用するすべてのコンポーネントが含まれます。ユーザーのシナリオを作成する。シナリオでは、ユーザーがサービスを操作する可能性のある方法をすべて説明します。たとえば、オンラインビデオサービスの場合は、ログイン、ビデオライブラリの閲覧、ビデオの選択および視聴、視聴後のビデオの評価などについて説明します。コンポーネントとシナリオを含むマトリックスを構築し、コンポーネントの利用を各シナリオにマッピングする。ユーザーのシナリオをコンポーネントインベントリにマッピングすると、各シナリオでどのコンポーネントにアクセスするかを特定し、依存関係や障害ポイントになりうる箇所を特定できます。障害を処理するメカニズムを定義する。依存関係ごとに障害を処理するメカニズム (対処戦略) を定義しておけば、障害が起きたときにソフトウェアによって何らかの合理的な処置が確実に実行されます。「合理的」の意味は、サービスの機能や対処戦略で対応する障害の種類によって異なります。たとえば、自動車購入サービスのアーキテクトが、各車種の型式やモデル別の評価を示すアプリケーションを設計するとします。こうした購入サービスは、車種の比較評価を実施する別のサービスに依存することがあります。この場合、評価サービスが故障あるいは利用不能になったときの購入サービスの対処戦略は、車種のリストを一切表示しないのではなく、参考となる評価はなしに車種のリストを表示することであると思われます。つまり、特定の障害が起きても、サービスによって、顧客の立場から見た合理的な成果がもたらされるようにします。サービスの信頼性に関する最近のホワイトペーパーをダウンロードして、これらの信頼性のトピックの詳細を確認することをお勧めします。デビッド・ビルズ、信頼できるコンピューティング、信頼性主任ストラテジスト