CIS Control 07:脆弱性管理を継続して成功させるには?

CIS Control 07: Continuous Vulnerability Management

2021/10/06 StateOfSecurity — サイバー・セキュリティにおける脆弱性管理は、資産を保護するために重要な役割を果たす、従来からのテクノロジーのひとつだ。そして、適切な脆弱性管理プログラムは、一連のデータ漏洩を回避する上で重要な役割を果たしている。CIS (Center for Internet Security) Control 07 は、成功する脆弱性管理プログラムを確立するための、最低限の必要条件を提供していく。

Continue reading “CIS Control 07:脆弱性管理を継続して成功させるには?”

中国の国家支援 APT41 グループ:高スティルス性マルウェアを大量に展開している

Attacks by Prolific APT41 Tied to Chinese Government

2021/10/06 SecurityBoulevard — BlackBerry Research and Intelligence Unit の新たな調査により、中国の国家機関である APT41 は、これまで知られていたよりも多くのサイバー攻撃キャンペーンの背後にいることが分かった。研究者たちは、FireEye が以前に記録した、カスタマイズ可能な command-and-contro (C2) プロファイルを使用した、Cobalt Strike の活動の詳細に触発され、関連するマルウェア・キャンペーンを追跡した。そして、これまで気づかなかった攻撃間のつながりを発見し、パンデミックに対する人々の不安を利用した、キャンペーンの実態が明らかになった。

Continue reading “中国の国家支援 APT41 グループ:高スティルス性マルウェアを大量に展開している”

Google の二要素認証:年内に1億5000万人を自動的に移行させる

Google to turn on 2-factor authentication by default for 150 million users

2021/10/06 TheHackerNews — Google は、アカウントへの不正アクセスを防ぎ、セキュリティを向上させるための継続的な取り組みの一環として、約1億5,000万人のユーザーを二要素認証スキームに、年内を目標に自動的に登録する計画を発表した。また、200万人の YouTube クリエイターに対しても、二段階認証 (2SV) の設定を義務付けることで、チャンネル乗っ取りから守るとしている。

Continue reading “Google の二要素認証:年内に1億5000万人を自動的に移行させる”

Honeywell Experion PKS/ACE コントローラにおける深刻な脆弱性が FIX

Multiple Critical Flaws Discovered in Honeywell Experion PKS and ACE Controllers

2021/10/06 TheHackerNews — 火曜日に Cybersecurity and Infrastructure Security Agency (CISA) は、Honeywell Experion Process Knowledge System C200/C200E/C300/ACE の全バージョンに存在する、複数のセキュリティ脆弱性について勧告を発表した。この脆弱性を悪用されると、リモートコード実行やサービス拒否 (DoS) 状態に陥る可能性がある。

Continue reading “Honeywell Experion PKS/ACE コントローラにおける深刻な脆弱性が FIX”

米政府の新たなスタンス:インシデントを隠蔽する請負業者は責任を負うべき

U.S. govt to sue contractors who hide breach incidents

2021/10/06 BleepingComputer — 今日、米国司法省が発表した新しい「民事サイバー詐欺イニシアチブ:Civil Cyber-Fraud Initiative」によると、政府機関の協力者が情報漏洩を報告しない場合や、必要なサイバー・セキュリティ基準を満たさない場合、民事裁判で責任を負うことになる。このイニシアチブは、連邦政府機関の協力者から発生する、機密情報や重要システムへのデジタル脅威に、対抗するために必要な影響力を司法省に与えるものだ。

Continue reading “米政府の新たなスタンス:インシデントを隠蔽する請負業者は責任を負うべき”

Apache Web Server のゼロデイ脆弱性 CVE-2021-41773 はリモートコード実行

Actively exploited Apache 0-day also allows remote code execution

2021/10/06 BleepingComputer — Apache Web Server のゼロデイ PoC (Proof-of-Concept:概念実証) がインターネット上で公開されたが、この脆弱性は当初公開されたものよりも、はるかに深刻であることが明らかになった。この脆弱性は、パス・トラバーサルの範囲を超えており、攻撃者はリモート・コード実行 (RCE) が可能となる。Apache は、25% 以上の市場シェアを持つ、最も人気の Web サーバの1つである。

Continue reading “Apache Web Server のゼロデイ脆弱性 CVE-2021-41773 はリモートコード実行”

Medtronic インスリン・ポンプに欠陥:緊急リコールが実施される

Medtronic urgently recalls insulin pump controllers over hacking concerns

2021/10/06 BleepingComputer — Medtronic は、同社の MiniMed Paradigm ファミリーに属するインスリン・ポンプのリモート・コントローラーを、深刻なサイバー・セキュリティ・リスクがあるとして、緊急にリコールした。ベンダーに戻されるべきコントローラーは、Medtronic のインスリン・ポンプ MiniMed 508 および、MiniMed Paradigm ファミリーで使用される MMT-500/MMT-503 となる。

Continue reading “Medtronic インスリン・ポンプに欠陥:緊急リコールが実施される”

Amazon 傘下の Twitch ストリーミングサイト:ハッキングの背景にある憎悪とは?

Streaming Site Twitch Confirms Hack

2021/10/06 SecurityWeek — Amazon 傘下の人気ライブ・ビデオ・ストリーミング・プラットフォーム Twitch は、同社の機密データが流出したとの報告がネット上に掲載された後に、ハッカーたちがネットワークに侵入してきたと発表した。Twitch は、ゲームのライブ配信などを行っているサービスだが、この侵入は Twitter を介して確認されている。

Continue reading “Amazon 傘下の Twitch ストリーミングサイト:ハッキングの背景にある憎悪とは?”

LANtenna 攻撃の論文:イーサケーブルをアンテナにしてエアギャップを無効化する?

LANtenna attack allows exfiltrating data from Air-Gapped systems via Ethernet cables

2021/10/06 SecurityAffairs — イスラエルの Ben Gurion 大学 Cyber Security Research Center の研究者たちが、イーサネット・ケーブルを「送信アンテナ」として利用し、エアギャップ・システムから機密データを盗み出す、「LANtenna Attack」と呼ばれる新たなデータ流出メカニズムを考え出した。

Continue reading “LANtenna 攻撃の論文:イーサケーブルをアンテナにしてエアギャップを無効化する?”