Javaを無効にできない場合、何ができますか？

Javaは攻撃を受けています。

ドライブバイダウンロード、悪意のある添付ファイル、および技術の脆弱性を悪用するその他の攻撃を作成している黒い帽子からだけでなく、ユーザーがそれをまったく使用してはならないと主張する白い帽子からも。 OracleがJavaのゼロデイ脆弱性の最新のバッチにパッチを適用した後でも、国土安全保障省のコンピューター緊急事態対応チーム（US-CERT）はJavaをオフにすることを推奨しました。

AdobeのFlashと同じように、Javaはインストールベースが非常に大きいため、人気のあるターゲットです。 Javaを必要とするWebサイトを実際に使用していない場合は、先に進んでダンプしてください。 ブラウザ内でJavaを無効にする方法についての素晴らしい説明もあります。

しかし、私はJavaを使用します！

次に、実際にJavaを定期的に使用している私たちがいます。

「セキュリティアドバイスに注意を払う人がJava、IE 6/7/8などを実行していることを疑っています。実行する必要があるため、これらを実行し、決定は制御できません」セキュリティの第一人者であるジャック・ダニエルは、Uncommon Sense Securityについて書いています。

Javaを使用しているアプリケーションを調べてみると、Officeの代替品、ThinkFree Office、LibreOffice、OpenOffice、Minecraftなどの人気ゲームなど、多くの人気デスクトップアプリケーションが法案に合っていることがわかりました。 いくつかのアドビアプリケーションでは、特定のコンポーネントを実行するためにJavaも必要です。 これらはスタンドアロンのJavaアプリケーションであり、Webブラウザー内で実行されるものではないため、心配する必要はありません。 。 ステップバイステップの手順に従った場合は、ブラウザでのみJavaを無効にしました。 ローカルアプリケーションは引き続き正常に実行されます。

しかし、まだJavaを使用しているゲームサイトやビジネスがたくさんあることがわかりました。 投資銀行と従来の銀行を1つの口座に統合するシティプライベートバンクなどの特殊な銀行サービスがその一例のようです。 Box.netなどのクラウドサービスは、Javaを使用したバルクファイルアップロードツールです。 CitrixとCiscoは、どちらもクライアントレスSSL VPN製品を提供しています。これにより、ユーザーはJava対応のWebブラウザーを使用して、安全なリモートアクセスVPNトンネルを確立できます。

あなたは学生ですか？ 学校でBlackboardを使用している可能性があります。Blackboardでは、ファイルと添付ファイルをアップロードし、リアルタイムチャット機能Virtual Classroomを使用し、プラットフォームで特定のインタラクティブ機能を有効にするためにJavaプラグインの最新バージョンが必要です。

Pogo.comとKidsPlayPark.comは、オンラインJavaゲームを提供しています。 ユーザーフォーラムへの投稿によると、最新の脅威を心配している多くのPogoユーザーは、Java 7をJava 6（Oracleは2月以降サポートしなくなります）に置き換えたようです。 ご存知のように、それは見事に悪い考えです。 古いソフトウェアを標的とする攻撃はたくさんあります。 最新のクロップを回避するためだけに、まったく異なる攻撃のセットを危険にさらす必要はありません。

ITの代替手段は何ですか？

「Javaを必要とするビジネスクリティカルなアプリケーションがある場合、代替品を探してみてください」とSANS Instituteのヨハネスウルリッヒは先週、インターネットストームセンターのブログに書いています。

Web会議プラットフォームが最大の障害のようです。 CiscoのWebExおよびCitrix GoToMeetingは以前はJavaを必要としていましたが、Javaが見つからない場合は、両方のプラットフォームが最近アプリケーションを変更して異なるバージョンを使用するようになりました。 Citrixは、Javaを完全に廃止する過程にあると述べた。 ただし、MeetingBurnerやBrotherのOmniJoinなど、この分野のその他の企業はJavaを使用しています。 Join.me、ClickMeeting、およびReadyTalkはFlashベースです。

リモートアクセスツールは主にJavaベースでしたが、ソフォスのセキュリティアドバイザーであるChet Wisniewski氏は SecurityWatchに 、技術サポートに使用できる代替物のリストが増えていると語っています。 リモートデスクトップクライアントもMac OS XおよびWindowsに組み込まれています。

「ママとパパをサポートするために、LogMeInの無料版を使用しています」と彼は言いました。 LogMeIn FreeはActiveXを使用します。

切り替えられない場合はどうすればよいですか？

SecuniaのCSOであるThomas Kristensen氏は、多くの企業にとって「代替手段はない」と SecurityWatch に語った。 一部のアプリケーションを置き換えることは可能ですが、一般的に、管理者は従業員を保護するために他の方法を考え出す必要があります。 Kristensen氏によると、攻撃対象領域を減らす方法の1つは、実際にJavaを必要とするユーザーに対してのみJavaを有効にし、他のすべてのユーザーに対してJavaを無効にすることです。

InvinceaのAnup Ghosh氏は SecurityWatchに 、従業員にJavaの使用をやめるように言うのではなく、ユーザーを保護するために「バブルラップ」に焦点を合わせる必要があります。 ユーザーは、仮想化されたブラウザーを介してWebを閲覧できます。悪意のあるサイトに遭遇したり、誤ってブービートラップされたファイルを開いたり、マルウェアをダウンロードしようとすると、仮想環境は攻撃を実際のマシンで実行できなくなります。 2番目に仮想ブラウザが閉じられると、攻撃は削除されます。 そして何よりも、仮想ブラウザーは、Javaベースの脅威だけでなく、より広範な脅威からユーザーを保護します。

ユーザーは2ブラウザシステムを採用できます。 たとえば、通常FirefoxでWebを閲覧する場合は、FirefoxでJavaプラグインを無効にすることを検討してください。 次に、Chrome、IE9、Safariなどの代替ブラウザーでJavaを有効にし、Javaを必要とし、一般的なWebサーフィンには決して使用しないサイトのみを参照します。

「1つのブラウザでJavaを有効にし、それなしでは機能しないWebサイトにのみそのブラウザを使用するのが最善です」とWisniewski氏は述べています。

攻撃者は、ターゲット（Flash、Internet Explorer、Adobe Reader）を変更することを好みます。 「誰もがゼロデイを持っています」と、MetaforeのRob VandenBrinkはInternet Storm Centerに書いています。

Javaを無効にすることは、Webの脅威に対する防御の1つの方法にすぎませんが、普遍的なソリューションではありません。 組織は、攻撃をブロックするために、Webフィルタリングや制限された特権でのユーザーの実行など、セキュリティ上の慣行を採用して、攻撃をブロックすることができます。

「指を指すのを止め、従うことのできない毛布の推奨事項を作成する」とVandenBrinkは書いた。

Fahmidaの詳細については、Twitter @zdFYRashidで彼女をフォローしてください。