_Cloud – Page 7 – IoT OT Security News

Log4j の悪用：企業ネットワークの 40% が攻撃者の標的になり得る

40% of Corporate Networks Targeted by Attackers Seeking to Exploit Log4j

2021/12/14 DarkReading — Log4j の脆弱性が、インターネット・セキュリティにとって最大の脅威の１つであるという初期の懸念は、週末に爆発的に増加した脆弱性の悪用と悪用活動により早急に確認されており、企業が行うべき修復作業の膨大さが明らかになっている。

Eltima SDK の複数の脆弱性：Amazon WorkSpaces などのクラウドに影響をおよぼす

Eltima SDK Contain Multiple Vulnerabilities Affecting Several Cloud Service Provides

2021/12/08 TheHackerNews — この脆弱性は、Amazon Workspaces／Accops／NoMachine などのクラウド・デスクトップ・ソリューションに、知らず知らずのうちに引き継がれており、攻撃者による各種の悪意のアクティビティを行う経路となり得ると、サイバー・セキュリティ研究者たちが明らかにした。

SolarWinds を侵害した脅威アクター：UNC2652 と UNC3004 は活動を継続している？

SolarWinds hackers kept busy in the year since the seminal hack, Mandiant finds

2021/12/06 CyberScoop — SolarWinds サプライチェーン侵害に関連したハッカーたちは、この攻撃が明らかになってから１年の間に、ロシアの関心を示すデータを盗み出した。そして、さらに被害者を増やすルートを見つけることを目的に、複数のクラウド・ソリューション企業を侵害していたことが、新たな調査で明らかになった。

Nobelium の最新マルウェア Ceeloader は高スティルス性で CSP と MSP を狙う

Russian hacking group uses new stealthy Ceeloader malware

2021/12/06 BleepingComputer— Nobelium ハッキング・グループは、CSP (Cloud Service Provider) や MSP (Managed Service Provider) を標的する、新しいカスタム・マルウェア Ceeloader を用いて、世界中の政府機関や企業のネットワークへの侵入を続けている。Nobelium は、米国の複数の連邦政府機関からの情報漏洩につながった、昨年の SolarWinds サプライチェーン攻撃の背後にいる脅威アクターであり、その名前は Microsoft がつけたものだ。

AWS と顧客の責任分担モデル：14項目の Shared Responsibility を表にしてみた

SBN What is the AWS Shared Responsibility Model?

2021/12/02 SecurityBoulevard — 多くのクラウド・プロバイダーと同様に、AWS は責任共有モデル (Shared Responsibility Model) を基に運営されている。AWS は ‘of’ the cloud のセキュリティに責任を持ち、AWSの顧客は ‘in’ the cloud のセキュリティに責任を持つ。AWS は、顧客の重要な情報やアプリケーションを保護するために、プラットフォームのセキュリティを優先しており、インフラのセキュリティに責任を持つ。

Dell と Amazon がデータ保護で連携：PowerProtect Cyber Recovery for AWS が登場

Dell Allies with AWS to Protect Data

2021/12/01 SecurityBoulevard — Dell Technologies と Amazon Web Services (AWS) は、AWS re:Invent カンファレンスにおいて、Dell EMC PowerProtect Cyber Recovery for AWS を発表した。これにより、サイバー攻撃を受けた企業がアクセスするための、データの完全なコピーを作成することが可能になる。Dell EMC PowerProtect Cyber Recovery for AWS は、これまで VMware のハイパーバイザーで提供されてきたが、AWS の Amazon Machine Image (AMI) 仮想マシン・アプライアンスにも提供されることになった。

AWS re:Invent カンファレンス：Aviatrix が提供する Cloud Management Platform とは？

Aviatrix Adds Security Capabilities to Cloud Management Platform

2021/11/30 SecurityBoulevard — AWS re:Invent カンファレンスにおいて Aviatrix は、クラウド・サービス・プロバイダーが提供する複数の Software-Defined Networking サービスを、IT チームが管理するためのデータ・プレーンに、セキュリティ機能を追加したことを発表した。Aviatrix の VP of Product Marketing である Bryan Ashley は、ThreatIQ with ThreatGuard のセキュリティ機能が組み込まれたことで、すべてのネットワーク・ノードにおいて、トラフィックの検査とポリシーの適用が可能になったと述べている。

CISA／NSA の要求：セキュアな 5G のためにはネットワークとクラウドの連携が必須

5G Networks Lack Adequate Cloud Security

2021/11/29 CyberSecurityIntelligence — 5G システムは、通信の高速化を実現するが、適切なセキュリティが確保されていなければ、サイバー攻撃の標的になる可能性がある。高速／低遅延のパフォーマンスが約束された 5G が登場し、それに伴いクラウド・コンピューティングに関する多様で興味深い開発が進んでいる。データの作成／保存／利用／共有の能力に対する 5G の影響は、IoT／AI／機械学習を利用している企業を中心に、大半のビジネス分野におよぶといっても過言ではないだろう。

Google 警告：GCP の不適切な管理がもたらす暗号通貨マイニングなどの手口

Hackers Using Compromised Google Cloud Accounts to Mine Cryptocurrency

2021/11/29 TheHackerNews — Google Cloud Platform (GCP) の不適切なセキュリティ管理を悪用することで、侵害されたシステムへの暗号通貨マイニング・ソフトウェアのダウンロードや、インフラを悪用したランサムウェアのインストール、フィッシング・キャンペーンの実施、YouTube トラフィック／視聴回数の操作などが横行している。

マルチ・クラウドへの移行が止まらない：追いつかないセキュリティ関連の予算

Underinvestment in Multi-Cloud Security a Pressing Concern

2021/11/24 SecurityBoulevard — 大多数の企業は 2022年において、マルチクラウドを戦略的に優先させ、セキュリティを最重要視する計画を立てているが、それ実行するために必要なツールやスキルが不足しているとも感じている。実際のところ、成長するビジネスに伴い、いずれはマルチクラウドが必要になると、大多数の企業は考えているが、セキュリティ上の複雑さが原因となり、IT リーダーたちはマルチクラウドへの移行を躊躇している。

Google Cloud Platform のバグ報奨金：３回で $10,000 の内訳とは？

Researcher Awarded $10,000 for Google Cloud Platform Vulnerability

2021/11/24 SecurityWeek — セキュリティ研究者の David Schütz は、Google Cloud Project の脆弱性を報告し、その後に、公開された修正プログラムのバイパスを報告したことで、Google から $10,000 以上のバグ報奨金を受け取ったと述べている。３月に Schütz は、Google Cloud Platform (GCP) の内部プロジェクトである、”cxl-services” のアクセス・トークンを、URL 許可リスト・バイパスを利用して漏洩できることを発見した。

Microsoft Azure AD の深刻な脆弱性 CVE-2021-42306 がユーザーに通知される

Microsoft Informs Users of High-Severity Vulnerability in Azure AD

2021/11/18 SecurityWeek — 水曜日に Microsoft は、Azure Active Directory (AD) に影響を与える情報漏えいの脆弱性に、パッチを適用したと顧客に通知しました。この脆弱性 CVE-2021-42306 (CVSS 8.1) は、Azure で新しい Automation Account が設定されたときの、Run as 認証情報が作成される方法に起因している。

Palo Alto Networks が拡張するクラウドのためのセキュリティ・ポートフォリオとは？

Palo Alto Networks Extends Cloud Security Portfolio

2021/11/16 SecurityBoulevard — Palo Alto Networks は、オンライン会議 Ignite ’21 において、セキュリティ・プラットフォーム Prisma Cloud 3.0 を発表し、クラウド・インフラを保護するツールと、アプリケーションを保護するエージェントレス・オプションを追加すると述べた。同時に、Cloud Access Security Broker (CASB) を刷新し、機械学習アルゴリズム／NLP (自然言語処理) を活用することで、何千もの SaaS アプリケーションのデータを即時的／自動的に保護するという。

Microsoft Defender for Endpoint に AI 駆動型のランサムウェア検知機能が追加

Microsoft adds AI-driven ransomware protection to Defender

2021/11/16 BleepingComputer — Microsoft は Defender for Endpoint の顧客に対して、AI によるランサムウェア攻撃検知システムを提供し、境界でリスクを評価して脅威アクターをブロックすることで、既存のクラウド保護を補完すると発表した。人間により操作されるランサムウェア攻撃は、特定の手法や行動を特徴としているため、データ駆動型の AI アプローチを用いて、この種の攻撃を検知できると、同社は考えている。

Alibaba ECS インスタンスをハイジャックする大勢の暗号マイナーたち

Alibaba ECS instances actively hijacked by cryptomining malware

2021/11/15 BleepingComputer — Alibaba Elastic Computing Service (ECS) インスタンスを乗っ取り、クリプトマイナー・マルウェアをインストールし、サーバー・リソースを利用して利益を得ようとする脅威行為が発生している。Alibaba は、グローバル市場で活躍する中国の大手テクノロジー企業であり、同社のクラウド・サービスは主に東南アジアで利用されている。

Black Hat Europe：Microsoft Azure Cosmos DB はカオスだという話

ChaosDB: Researchers Share Technical Details of Azure Flaw

2021/11/11 DarkReading — Black Hat Europe 2021：London：今日、Microsoft Azure Cosmos DB データベース・ソリューションに深刻な脆弱性を発見した研究者は、その欠陥の全範囲と、これまで未開示だった調査の詳細を明らかにした。それは、当初に公表されたよりも、はるかに広範におよぶものであることが判明した。

Black Hat Europe：AWS API Gateway を回避する脆弱性が公開された

Researcher Details Vulnerabilities Found in AWS API Gateway

2021/11/10 DarkReading — Black Hat Europe 2021：London：Web 研究者の Daniel Thatcher は、文字と文字の間にスペースを入れ、ランダムな文字を数個入れるだけで、Amazon API Gateway に送信される HTTP ヘッダーを変更できた。AWS API Gateway は、開発者が Web 環境で API を記述／管理／保護するためのマネージド・サービスとして人気を得ている。

Oracle Cloud に無償のセキュリティ・サービスが提供される理由は？

Oracle Adds Free Security Services to Public Cloud

2021/11/09 SecurityBoulevard — 今日、Oracle Cloud Infrastructure (OCI) プラットフォームに４つの無料サービスが追加され、クラウド・セキュリティに関する、同社の懸念への対応が進められた。Oracle Cloud Infrastructure Vulnerability Scanning Service (OCI VSS) は、パッチが適用されていない脆弱性や、開放されたポートを特定するための無料サービスであり、OCI 上に展開されたアプリケーションのセキュリティ状態を監視する、無料サービスである Cloud Guard と統合される。

Microsoft のマルチ・クラウド・セキュリティ戦略：Azure Preview に AWS も統合

Microsoft Expands Security to AWS in Multicloud Push

2021/11/03 DarkReading — 今日、Microsoft は Ignite 2021 カンファレンスを開催し、エンタープライズ・のクラウド保護について、特にマルチクラウド環境への対応に重点を置く、クラウド・セキュリティに関する発表を行った。同社は、Microsoft Defender for Cloud (旧称：Azure Security Center および Azure Defender) と呼ばれるスイート製品の中で AWS に対しても、ネイティブな Cloud Security Posture Management (CSPM) およびワークロード保護機能を拡張していく。

クラウドにおけるデータの暗号化と保護：大半の企業が未達成という状況

Companies Fail to Encrypt, Protect Data in the Cloud

2021/11/02 SecurityBoulevard — 昨年において、40% の組織が、クラウド・ベース侵害の被害に遭っていることを考えると、クラウド上のデータを保護することに重きが置かれていると思えてくる。しかし、2021 Thales Global Cloud Security を観ると、そうでも無さそうだ。なんと 83% もの企業が、クラウド上に保管している機密データを、半分も暗号化できていないのだ。さらに、3分の1にあたる 34% は、暗号化キーを完全に管理していない。

Slack／Teams／Zoom などによる攻撃面積の拡大を理解する

Understanding the Human Communications Attack Surface

2021/11/01 DarkReading — 最近の話だが、Slack／Microsoft Teams／Zoom などのチャネルで、人と人のコミュニケーションを悪用した脆弱性の公開や、PoC エクスプロイトの悪用などのインシデントが増えている。これらのクラウド・ベースのチャネルは、具体的な攻撃手段であるだけではなく、内部の人間にアクセスできるという点で、ヒューマン・コミュニケーションを悪用する犯罪者にとって、魅力的な手段となっている。

脅威に対する認識の欠如がリモートワークのリスクを生み出す

Lack of Threat Awareness Creates Hybrid Work Risks

2021/11/01 SecurityBoulevard — ほとんどの米国人は、サイバー・セキュリティの脅威に気づいておらず、また、サイバー・セキュリティに関心を持つ人は増えてあひても、10人に6人近くが IT 部門の承認を得ていないソフトウェア／アプリ／クラウドストレージをダウンロード／インストールしたことがあるといいう。

SaaS を安全に運用するためのソリューション：CASB と SSPM の違いはどこに？

Securing SaaS Apps — CASB vs. SSPM

2021/11/01 TheHackerNews — Cloud Access Security Brokers (CASB) と SaaS Security Posture Management (SSPM) は、SaaS アプリケーションのセキュリティに対処するために設計されたソリューションであるため、しばしば混同される。CASBは、重要なデータを保護するために、複数のセキュリティ・ポリシーを実施することで、機密データを保護する。

DevOps 2021：サプライチェーンを Ephemerality 概念の導入で守る

All Day DevOps 2021: Securing the software supply chain with ephemerality and the least-privilege principle

2021/10/29 DailySwig — 1974年にコンピュータ科学者の Jerry Saltzer は、「すべてのプログラムとシステムにおける、すべての特権ユーザーは、必要な最小限の特権を用いて、仕事を完了すべきである」と述べた。半世紀近く経った今でも、ソフトウェア開発において最小特権の原則は最重要事項であると、VMware の CTO for Modern Application Platform である James Watters は、今年の All Day DevOps の参加者に向けて語った。

クラウド環境におけるペンテストは従来からのパターンとは全く異なる

Penetration Testing in the Cloud Demands a Different Approach

2021/10/20 DarkReading — ほとんどの企業は、攻撃者がテクニックを変更すれば、防御側はセキュリティ戦略を見直す必要があるというパターンを熟知している。そして今、犯罪者がクラウド環境を攻撃の標的にしていることで、企業はクラウド・インフラの安全性を確保する必要に迫られている。

SaaS セキュリティ統合：SSPM ツールを選ぶ際のチェックリスト

The Ultimate SaaS Security Posture Management (SSPM) Checklist

2021/10/14 TheHackerNews — クラウド・セキュリティとは、その中に IaaS／PaaS／SaaS を抱く傘である。Gartner は、セキュリティ・リスクを継続的に評価し、SaaS アプリケーションのセキュリティ体制を管理するソリューションとして、SaaS Security Posture Management (SSPM) カテゴリーを設けた。

Vaultree が提供する Encryption-as-a-Service：クラウド・データの安全が保たれるという

New Vaultree Encryption-as-a-Service Keeps Cloud Data Fully Encrypted

2021/10/13 DarkReading — 暗号化のスタートアップ業である Vaultree は、クラウド環境／データベース／SaaS の種類を問わず、暗号化されたデータを扱うことを可能にする Encryption-as-a-Service を発表した。

SaaS のセキュリティ：リスクを分析して対策を講じる

[eBook] The Guide for Reducing SaaS Applications Risk for Lean IT Security Teams

2021/10/13 TheHackerNews — SaaS (Software-as-a-Service) 業界は、わずか数年の間に、目新しいものから、ビジネス界に欠かせないものへと変化した。多くの企業にとってのメリットとして、効率性や生産性の向上と、容易なアクセスなどが明らかになっているが、SaaS モデルがもたらすリスクも目立ち始めている。現在、大半の企業が SaaS を利用していると言っても過言ではない。それにより、セキュリティ・チームにとって、大きな課題が生じている。

Microsoft Azure を標的にした UDP 反射型 DDoS：2.4 Tbps という規模を防ぐ

Microsoft Fended Off a Record 2.4 Tbps DDoS Attack Targeting Azure Customers

2021/10/12 TheHackerNews — 月曜日に Microsoft は、Azure クラウド・プラットフォームが、8月の最終週にヨーロッパの顧客を標的とした分散型サービス拒否 (DDoS) 攻撃を軽減ししたことを明らかにした。この攻撃の規模は 2.4Tbps であり、2020年2月に AWS 阻止した 2.3Tbps の攻撃を上回ったことになる。

AWS S3 Buckets の管理：大多数のユーザーが潜在的に抱える問題とは？

New Research: The Urgent Threat of Ransomware to S3 Buckets

2021/10/07 SecurityBoulevard — AWS S3 Buckets は信頼性が高いと評価されており、安心して利用できる。しかし、多くのクラウド・セキュリティ関係者は、S3 Buckets が予期せぬソースからの、大きなセキュリティ・リスクに直面していることを認識していない。それは ID である。漏洩した ID は、資格の組み合わせにより、組織のデータに対するランサムウェア攻撃を容易に許してしまう。

ImmuniWeb の無料の Cloud Security Test：保護されていないストレージを検出

ImmuniWeb Launches Free Cloud Security Test to Detect Unprotected Storage

2021/09/30 TheHackerNews — IDC Cloud Security Survey 2021 では、過去18ヶ月以内に 98％もの企業が、クラウド上でデータ侵害の被害に遭っているとしている。パンデミックに煽られて、世界中の中小企業や大企業のデータやインフラが、パブリック・クラウドに移行しているが、その一方では、クラウドの新規性やセキュリティ／プライバシー問題を過小評価していることが多いようだ。

Amazon AWS Cloud でのインシデント対応：どこから考え始めれば良いのか？

Incident Response In The AWS Cloud

2021/09/30 CyberSecurityIntelligence — Amazon Web Services (AWS) のクラウドは、他の主要クラウド。ベンダーと同様に、責任共有モデルで機能している。つまり、AWS 側は基盤となるインフラを保護し、クラウドの顧客側は、アカウントと権限、ネットワークとデータ、クラウドに配置されたアプリケーション・コードなどの、クラウド上のリソースとデータを保護することが求められている。

Microsoft Exchange Online から Basic 認証が消える日：１年後の 2022年10月1日に決定

Microsoft will disable Basic Auth in Exchange Online in October 2022

2021/09/26 BleepingComputer — Microsoft は、数百万人の Exchange Online ユーザーを保護するために、2022年10月1日から全てのテナントの全てのプロトコルで、Basic 認証をオフにすることを発表した。今回の発表は、COVID-19 パンデミック対応のために、Exchange Online からの Basic 認証の削除を、2021年後半に延期したことを受けてのものである。

サイバーセキュリティ優先順位 2021：CISO による再分析と見直しは必要か？

Cybersecurity Priorities in 2021: How Can CISOs Re-Analyze and Shift Focus?

2021/09/21 TheHackerNews — 2020年は、容赦ない破壊の年だった。保護されたエンタープライズ・ネットワークや、物理的に管理された IT 環境という保護層は、結局のところ存在していないことが分かった。この1年間、CISO (Chief Information Security Officers)は、こうした新しい状況の中で、セキュリティ態勢の強化や、リスクの最小化、事業継続の確保という課題に取り組まなければならなかった。

クラウド環境の危険性：Role パーミッションについて再考しよう

Why ‘Role’ Permissions Are So Dangerous To Your Cloud Environment

2021/09/17 SecurityBoulevard — クラウドを利用する企業が直面するものに、過剰なパーミッションの適切な抑制という、重要な課題がある。クラウドでの運用には、俊敏性と柔軟性が求められる。しかし、この問題は、そのメリットによりセキュリティを犠牲にされることが多く、また、クラウド上には不要で過剰なパーミッションが蔓延していることである。このウェビナーでは、クラウドにおける過剰なパーミッションの問題と、それをコントロールする方法について説明していく。

IBM レポート：クラウド・セキュリティの課題を調べてみた

IBM Report Shows Severity of Cloud Security Challenges

2021/09/15 SecurityBoulevard — 今日、IBM Security Services は、ダークウェブ・マーケットプレイスで隠れて販売されている約 30,000 のクラウド・アカウントを含む、一連のクラウド・セキュリティの問題を詳述するレポートを発表した。このレポートは、ダークウェブの分析および、IBM Security X-Force Red ペンテストのデータ、IBM セキュリティ・サービス指標、X-Force Incident Response の分析、X-Force Threat Intelligence などの調査に基づくものである。

Microsoft のパスワードレス・ログインが始まったらしい

Microsoft rolls out passwordless login for all Microsoft accounts

2021/09/15 BleepingComputer — Microsoft は、今後の数週間にわたってパスワードレス・ログインのサポートを展開し、顧客がパスワードを使用せずに Microsoft アカウントにサインインできるようにする。Microsoft は、2020年に 1億5,000万人以上のユーザーがパスワードを使用することなく、Azure Active Directory や Microsoft アカウントにログインしていることを報告した後に、３月から商用顧客環境でのパスワードレス認証の展開を許可した。

Microsoft Azure の OMIGOD 脆弱性はログ収集エージェントが原因？

Critical Flaws Discovered in Azure App That Microsoft Secretly Installed on Linux VMs

2021/09/15 TheHackerNews — Microsoft は、９月の Patch Tuesday アップデートにおいて、Azure クラウド標的にした脆弱化されたシステムのリモート操作や、特権昇格などを引き起こす恐れのある４つのセキュリティ陥に対処した。これらの脆弱性は、Wiz の研究者が OMIGOD と総称しているものであり、多くのAzure サービスに自動的に導入されている Open Management Infrastructure という、あまり知られていないソフトウェア・エージェントに影響を与える。

オンプレ・データベース：企業の 50% が深刻な脆弱性を放置している

Nearly 50% of On-Premise Databases Have Vulnerabilities

2021/09/15 DarkReading — インターネット・セキュリティ企業の Imperva が、過去５年間に収集したデータを分析したところ、全企業の約半数が保有する内部データベースには、既知の脆弱性が存在することが分かった。それらのデータベースにおける公開された脆弱性の平均は 26個であり、そのうち半数以上が Critical もしくは High という、深刻度の高い問題である。

従業員教育から災害復旧まで：包括的なデータ保護でサイバー犯罪を無力化する

Building a Unified BCDR Strategy to Protect Data

2021/09/10 SecurityBoulevard — すべてのビジネスにとって、データは生命線である。しかし、そのデータを保護することが、企業にとって大きな課題となっている。その理由は、さまざまな法律や規制のコンプライアンス基準があり、また、サイバー犯罪者による攻撃や、従業員が犯す失敗などにより、常にデータが脅威にさらされるからだ。

Microsoft Azure クロス・アカウント・コンテナ乗っ取りの脆弱性が FIX

Microsoft fixes bug letting hackers take over Azure containers

2021/09/09 BleepingComputer — Microsoft は、Azure Container Instances に存在する、Azurescape と呼ばれる脆弱性を修正した。この脆弱性により、プラットフォーム上の他の顧客が所有するコンテナを、悪意のコンテナが乗っ取ることが可能になる。Azurescape を悪用した攻撃者は、他のユーザーのコンテナでコマンドを実行し、プラットフォームにデプロイされている、すべてのデータにアクセスすることができるようだ。

Facebook が４万ドルのバグ報奨金：アカウント乗っ取りが解消

Facebook Pays Out $40,000 for Account Takeover Exploit Chain

2021/09/02 SecurityWeek — 9月1日に、SNS 大手の Facebook は、脆弱性ハンターに与えられるバグバウンティの内訳について、より理解が進むよう、新たな支払いガイドラインを発表した。具体的は、新しいガイドラインでは、「あなたが提供した電子メール・アドレスまたは電話番号を用いてあなたを検索できる人」の項目にある、「コンタクト・ポイントの可視化設定におけるセキュリティ問題」が対象となる。

Palo Alto Networks のクラウド誤設定検出ツール：背景にある問題とは？

Palo Alto Networks Adds Cloud Misconfiguration Tool

2021/08/31 SecurityBoulevard — 今日、Palo Alto Networks は、Bridgecrew by Prisma Cloud の機能を拡張し、複数のクラウド間でのコンフィグレーション・ドリフトを検出するためのツールを発表した。Bridgecrew Drift Detection は、オープンソースの Yor Project をベースにし、IaC テンプレートに属性と所有権の詳細を自動的にタグ付けするとともに、クラウド・リソースに伝達される固有の ID を付与する。

クラウド・インフラの認証を再考：GitOps のすすめ

Rethinking Cloud Infrastructure Authentication

2021/08/30 SecurityBoulevard — 願わくば p4$$w0r9s を超えて、すべてのクラウド・インフラでセキュアなキーと多要素認証 (MFA) を使ってもらいたいものだ。しかし、それぞれの小さなノードや、ソフトウェア、サーバ、管理コンソールなどにアクセスできる人が、何人いるか把握されているだろうか？スクリプトが実行できるようにするために、どれだけのキーが散らばっているだろうか？信頼できる IP は何個あるだろうか？もし悪意のある人が、これらのうちの１つを手に入れたら、ネットワークがダウンする可能性があるのだろうか？誰かが退職したときに、変更しなければならないパスワードは何個あるのだろうか？

SaaS 運用の管理が甘いとサプライチェーン・リスクが生じる

Unmanaged SaaS Data Brings Supply Chain Risks

2021/08/30 SecurityBoulevard — SaaS (Software-as-a-Service) のデータに対するアクセスが管理されていなと、内部および外部からの脅威が発生する可能性が高まる。その理由を、DoControl Inc の新しいレポートが示している。この SaaS セキュリティ企業は、平均 1,000人の従業員を抱える企業と、50万件〜1,000万件の資産を持つデータストアを評価した結果として、SaaS データ・アクセスの40％が管理されていないことを発見した。つまり、膨大な資産が、パブリックに共有される可能性があるのだ。

Microsoft Azure Cosmos NoSQL への侵害により何千もの組織に影響が

Critical Cosmos Database Flaw Affected Thousands of Microsoft Azure Customers

2021/08/27 TheHackerNews — 木曜日に、クラウド・インフラストラクチャのセキュリティ企業である Wiz は、現在修正されている Azure Cosmos データベースの脆弱性の詳細を明らかにした。この脆弱性を悪用すると、Azure ユーザーであれば誰でも、他の顧客のデータベース・インスタンスに対する完全な管理者権限を、無許可で与えられる可能性がある。この、Chaos DB と呼ばれる脆弱性は、読取／書込／削除の権限を誤って付与するものだ。

Microsoft Power Apps の問題により 3,800万件以上の記録が流出した

38 Million Records Exposed from Microsoft Power Apps of Dozens of Organisations

2021/08/24 The Hacker News — Microsoft のポータル・プラットフォーム Power Apps を利用している、47の事業体の 3,800万件以上の記録が、誤ってオンライン上に公開されており、データ流出の新たなベクトルが浮き彫りになった。UpGuard Research のチームは、「データの種類はポータルごとに異なるが、COVID-19 のコンタクト追跡に用いられる個人情報および、COVID-19 ワクチン接種の予約、就職希望者の社会保障番号、従業員 ID、数百万人の氏名と電子メールアドレスなどが含まれていた」と、月曜日に行われた情報開示の中で述べている。

クラウドの Linux が標的になり始めている：コンテナの中身は大丈夫？

Attackers Increasingly Target Linux in the Cloud

2021/08/24 DarkReading — これまで、Linux という OS は、システム管理者やハッカーに好まれてきたが、今ではサイバー犯罪者にとっても重要なターゲットとなっている。Web シェルや暗号通貨マイニングなどのマルウェアが Linux コンテナから実行されることがあり、また、Linux に存在する約200種類の脆弱性も攻撃の対象となっている。Trend Micro が発表したデータによると、コンテナが広く普及している状況が示され、また、人気のコンテナには相当数の脆弱性が存在していることが分かる。

Microsoft Windows 365 をセキュアに運用するためのガイダンスとは？

Microsoft shares guidance on securing Windows 365 Cloud PCs

2021/08/22 BleepingComputer — 今週の初めに Microsoft は、Windows 365 Cloud PC のセキュリティ確保に関するガイダンスと、ビルトインされているセキュリティ機能の詳細情報を公開した。このガイダンスでは、Windows 365 Business およびWindows 365 Enterprise サブスクリプションに登録された Cloud PC を保護するために顧客ができることが説明されている。

Salesforce Communities の設定ミスが顧客やパートナーにリスクをもたらす

Salesforce Communities Misconfig Puts Clients, Partners at Risk

2021/08/17 SecurityBoulevard — Varonis の研究者たちが発見した、Salesforce Communities のミス・コンフィグレーションとは、大切なデータをインターネットに公開してしまう可能性を持つものだ。Varonis のブログには、「匿名のユーザにより、顧客リストや、サポート・ケース、従業員の電子メール・アドレスなどの、機密情報を含むオブジェクトの照会が可能になる」と述べている。