Literacy – Page 10 – IoT OT Security News

クラウド・セキュリティ時代の新たな幕開け：AWS re:Invent 2024 で発表されたのは？

Vendors Unveil New Cloud Security Products, Features at AWS re:Invent 2024

2024/12/03 SecurityWeek — Amazon Web Services (AWS) と複数のベンダーが、AWS 主催のすre:Invent 2024 カンファレンスで発表したのは、新しいクラウド・セキュリティの製品と機能である。AWS によるアナウンスは、ユーザー組織に対して迅速かつ効果的なセキュリティ管理機能を提供する、インシデント・レスポンス・サービスの開始に関するものである。

中国 APT によるテレコム・スパイ活動：はるかに広範な目的を持っている

Chinese telecom espionage began with ‘much broader’ aims, officials say

2024/12/03 NextGov — 国家安全保障と法執行機関への傍受は、Salt Typhoon と呼ばれるハッカー集団が仕掛けた、通信データの監視／捕捉／収集の標的のうちの１つに過ぎないと、12月3日 (火) の記者会見で発表された報道ガイドラインに基づき、当局者が背景を明かしている。10月の時点で、Salt Typhoon の活動について、初めてを明るみに出したのは Wall Street Journal である。

AWS 立ち上げたインシデント・レスポンス・サービス：AWS CIRT が 24時間／365日サポート

AWS Launches Incident Response Service

2024/12/02 SecurityWeek — 12月1日 (月) に AWS が発表したのは、迅速かつ効果的なセキュリティ・インシデント管理機能を、ユーザー組織に提供する新たなサービスである。AWS によると、この新しいセキュリティ・インシデント・レスポンスは、Amazon GuardDuty および、統合されたサードパーティ検出ソリューションからのセキュリティシグナルを、AWS Security Hub クラウド・セキュリティ・ポスチャ管理サービスを通じて、自動的に隔離／分析するものだという。

Tor が必要とする 200 の WebTunnel ブリッジ：協力者に T シャツをプレゼント！

Tor needs 200 new WebTunnel bridges to fight censorship

2024/11/28 BleepingComputer — 各国政府の検閲に対抗する Tor プロジェクトは、この年末までに 200 個の新しい WebTunnel ブリッジを展開したいと訴え、ボランティアの支援が必要だと、プライバシー・コミュニティに対して緊急の呼びかけを行っている。現時点において、Tor プロジェクトは 143 個の WebTunnel ブリッジを運用している。それにより、検閲が厳しい地域のユーザーに回避の道筋を提供し、インターネット・アクセス制限や Web サイト・ブロックを無効化している。

Microsoft クラウドで発見／修正された３件の脆弱性：それぞれに CVE が採番された

Microsoft Patches Exploited Vulnerability in Partner Network Website

2024/11/28 SecurityWeek — 11月28日 (火) に Microsoft がユーザーに公表したのは、Cloud／AI などのサービスに影響を及ぼす脆弱性の、修正および悪用に関する通知である。同社は、Azure／Copilot Studio／Partner Network Web Site の脆弱性を修正したが、ユーザーを・サイドで行うべきことはなく、透明性のためだけに CVE 識別子とアドバイザリが公開された。

Salt Typhoon の武器庫を探査する：破壊力を静かに維持し続ける秘密は？

Salt Typhoon Builds Out Malware Arsenal With GhostSpider

2024/11/27 DarkReading — 中国由来の脅威アクター Salt Typhoon は、数年前から政府や通信などの重要組織をスパイしてきたが、新しいバックドア・マルウェアである GhostSpider もリリースしている。Salt Typhoon (別名 Earth Estries／FamousSparrow／GhostEmperor／UNC2286) は、中華人民共和国における最も選定的な APT の１つである。そのキャンペーンを、2023 年にまで遡ると、20 を超える組織を侵害してきたことが分かる。それらの標的となった組織には、世界中の最高レベルの組織という傾向があり、何年にもわたって侵害が検出されていないケースもある。最近の標的としては、米国の T-Mobile USA などの通信会社や、北米の ISP などが挙げられる。

NachoVPN という攻撃シミュレーター：Palo Alto／SonicWall の脆弱性を攻略

New VPN Attack Demonstrated Against Palo Alto Networks, SonicWall Products

2024/11/27 SecurityWeek — 各種の企業において用いられる VPN クライアントを、攻撃するための新たな手口の詳細が、サイバー・ソリューション・プロバイダー AmberWolf の研究者たちにより公開された。セキュアなリモート・アクセスのために多用される VPN だが、それにより生じる攻撃対象領域は無視できないと、AmberWolf の研究者たちは示唆している。

NTLM の脆弱性：Microsoft 環境に潜む深刻なセキュリティ・リスクとは？ – Morphisec

Unpatched NTLM Flaws Leave Microsoft Systems Vulnerable

2024/11/26 SecurityOnline — Microsoft の NTLM プロトコルが、サイバー・セキュリティ上の深刻な懸念として再浮上していることを、Morphisec の Michael Gorelikが最新レポートで警告している。同レポートが指摘するのは、Microsoft 製品に存在するパッチ未適用の複数の脆弱性により、NTLM の漏洩が生じ、攻撃者による特権昇格が容易になるという点だ。これらの脆弱性への、Microsoft の対応が遅れているため、企業は自力で対処する他にないという状況にある。

2024 MITRE ATT&CK Evaluations：セキュリティ・リーダーたちが信頼すべき理由は何処に？

Why Cybersecurity Leaders Trust the MITRE ATT&CK Evaluations

2024/11/26 BleepingComputer — 昨今の脅威が荒れ狂う状況において、組織を保護するためのソリューション／ストラテジーについて、十分な情報を得た上で選択すべきというプレッシャーに、セキュリティのリーダーたちは直面している。こうした課題に対処する、サイバー・セキュリティ意思決定者の有用なリソースが、“MITRE Engenuity ATT&CK Evaluations: Enterprise” である。MITRE ATT&CK Evaluations は、他の独立系の機関とは異なる立ち位置から、現実世界の脅威をシミュレートし、それぞれのサイバー・セキュリティ・ベンダーが検知／対応する方法を評価するものである。

Fortune 1000 企業に潜む脅威：3万の公開 API と10万の API 脆弱性 – Escape

Fortune 1000’s Hidden Threat: 30,000 Exposed APIs and 100,000 API Vulnerabilities Unveiled

2024/11/24 SecurityOnline — Escape チームの State of API Exposure 2024 レポートにより、世界で最大級の企業群の中に、膨大な数の脆弱な公開 API が存在することが明らかになった。Escape の分析が注視するのは、金融から医療にいたるまでの各業界に影響を及ぼし、また、Fortune 1000 企業に蔓延している可能性のある、重大なセキュリティ脆弱性である。

MITRE／CISA による CWE Top-25 リスト 2024年版：評価基準の更新と CNA の参加

Cross-Site Scripting Is 2024’s Most Dangerous Software Weakness

2024/11/22 DarkReading — 2024年に最も影響力の大きかったソフトウェア欠陥のリスト”2024 CWE Top 25 Most Dangerous Software Weaknesses” が公開された。この CWE リストは、MITRE と CISA により毎年作成されているが、2024年の評価基準には、深刻度 (Severity) と頻度 (Frequency) が追加された。新しい評価方法により、2024年で最も危険なソフトウェア欠陥のランキングは大きく変動した。その一方では、依然として根強く残る古典的な脅威が、組織にとって最大のリスクであることが証明され、安全なコードへの継続的な注力と投資の必要性が改めて浮き彫りとなった。

Google は Chrome 事業を売却すべきだ：米司法省が唱える反トラスト訴訟とは？

DOJ Proposes Breaking Up Google: Calls for Sale of Chrome Browser

2024/11/21 HackRead — Google に対する反トラスト訴訟において DOJ は、Chromeブラウザの売却および、検索処理の制限、そして、独占を制限するための事業再編などの、厳しい提案を行っている。米国司法省 (DOJ) は、Google に対する反トラスト訴訟の一環として、同社の事業構造とインターネットにおける役割を完全に変えると思われる、きわめて大きな変革を提案している。

MITRE が公開した 2024 CWE Top-25 リスト：注視すべき脆弱性のカテゴリとは？

2024 CWE Top 25: Critical Software Weaknesses Revealed

2024/11/20 SecurityOnline — 2024年の CWE (Common Weakness Enumeration) Top 25 が発表された。このリストは、現代のソフトウェア・システムへの攻撃で悪用されがちであり、最も危険な脆弱性に対処するための、重要なロードマップとなる。このリストは、31,770件の CVE (Common Vulnerabilities and Exposures) レコードの分析に基づき、攻撃者が悪用し得る、最も深刻なソフトウェアの脆弱性を浮き彫りにしている。

OSS のセキュリティ神話を検証：解かれるべき誤解とエンタープライズでの採用について

Debunking myths about open-source security

2024/11/20 HelpNetSecurity — Canonical の CISO である Stephanie Domas へのインタビューは、オープンソースのセキュリティに関する一般的な誤解と、それを払拭するためのコミュニティの取り組みについて説明するものだ。彼女の主張は、神話に反してオープンソース・ソリューションが、エンタープライズ・グレードの成熟度／信頼性／透明性を提供しているというものだ。さらに Stephanie Domas は、セキュリティの強化と、革新と安定のバランスを得るために、ユーザー組織がオープンソースを採用する際の、優先すべき重要な要素についても説明している。

ANY.RUN の最新 Sandbox：インタラクションを自動化する高度なメカニズムとは？

ANY.RUN Sandbox Now Automates Interactive Analysis of Complex Cyber Attack Chains

2024/11/20 HackRead — ANY.RUN が発表したのは、自動インタラクション機能内の高度なメカニズムである、Smart Content Analysis リリースである。このメカニズムを搭載するサービスにより、複雑なマルウェア／フィッシング攻撃を自動的に実行できるようになり、ユーザーによる調査は迅速化され、悪意の動作に関する詳細な洞察の取得が容易になる。

CISA 長官 Jen Easterly の退任：トランプ新政権による人事の刷新

CISA Director Jen Easterly to Step Down

2024/11/19 SecurityWeek — 11月19日 (火) に米国の CISA が発表したのは、2025年1月20日付けで Jen Easterly 長官と Nitin Natarajan 副長官が退任し、新政権によるリーダーシップ刷新への道を開くことである。CISA の広報担当者は、「トランプ新大統領が 1月20日正午に就任までに、バイデン・ハリス政権が任命した、すべての幹部は退任し、新たな体制への移行に、CISA は全力で取り組んでいく」と、SecurityWeek に対して、

CVE から PoC へ：Windows におけるローカル権限昇格を整理する GitHub リポジトリとは？

From CVE to PoC: A Collection Maps Windows Privilege Escalation Landscape

2024/11/18 SecurityOnline — Microsoft Windows オペレーティングシステムに影響を与える、ローカル権限昇格 (LPE) 脆弱性に対して開発されたエクスプロイトの包括的なコレクションを、セキュリティ研究者の Michael Zhmaylo が整理した。この、Github にホストされているリポジトリは、権限昇格攻撃に対する理解と軽減に関心のある、セキュリティ研究者／侵入テスト担当者／システム管理者にとって貴重なリソースとして機能する。

Gmail の新機能メール・エイリアス：スパム対策に有効な使い捨てメアドとは？

Gmail’s New Shielded Email Feature Lets Users Create Aliases for Email Privacy

2024/11/18 TheHackerNews — Google が準備している Shielded Email という新機能は、オンライン・サービスなどにユーザーがサインアップする際に、メール・エイリアスを作成してスパム対策を強化するというものだ。先週のことだが、Android Authority から、この機能についての初めて報告があった。

トランプ 2.0：米政府のサイバー・セキュリティ施策の変化を予想する

Trump 2.0 May Mean Fewer Cybersecurity Regs, Shift in Threats

2024/11/15 DarkReading — 次期大統領ドナルド・トランプの復帰と、閉鎖的な外交政策への転換という約束により、一連のサイバー脅威に対する新たな方針が生み出され、大半の産業分野における規制の緩和や、企業に優しい連邦プライバシー法の制定につながる可能性が高いと、サイバー・セキュリティと法律の専門家たちは指摘する。

Google Cloud の新たな取組：クラウド脆弱性に対する CVE の割り当てを開始

Google Cloud to Assign CVEs to Critical Vulnerabilities

2024/11/13 SecurityWeek — Google Cloud が 11月12日に発表した新たな取組みは、今後においては自社のクラウド・サービスで発見された重大な脆弱性に対して、CVE 識別子を割り当てるというものであり、パッチ適用などの対応が、ユーザーにとって不要な場合であっても、徹底されるというものだ。そのため、今後において CVE が割り当てられた、Google Cloud の重大な脆弱性については、Google Cloud Security Bulletins ページにアドバイザリが公開されることになる。

Tor Network への IP Spoofing：コミュニティの協力により攻撃元をシャットダウン

Tor Network Thwarts IP Spoofing Attack

2024/11/11 SecurityOnline — Tor ネットワークを標的とする協調攻撃が、Tor コミュニティとセキュリティ研究者たちの迅速な対応により無力化された。2024年10月下旬に Tor プロジェクトは、ディレクトリ管理者とリレー・オペレーターに向けられた、不正使用の苦情の波に直面していた。これらの苦情は、Tor リレーの IP アドレスを偽装する攻撃者が、ポート・スキャンの発信元であるかのように装うという、高度な IP スプーフィング攻撃に起因していた。

Linux のエミュレート環境が標的：“CRON#TRAP” キャンペーンの巧妙な検出回避術とは？

New “CRON#TRAP” Campaign Exploits Emulated Linux Environments to Evade Detection

2024/11/06 SecurityOnline — Securonix 脅威調査チームが検出したのは、”CRON#TRAP” と呼ばれる高度なマルウェア・キャンペーンの存在である。このキャンペーンは、軽量のエミュレートされた Linux 環境内で攻撃を仕掛けるものである。人気のオープンソース仮想化ソフトウェア QEMU などの、正規のツールを悪用する攻撃者は、セキュリティ対策を回避し、正規のソフトウェアを使用しているように見せかけ、悪意のアクティビティの存在を隠し続ける。

Active Directory のポスト・エクスプロイトを列挙する：Cable はパワフルな OSS ツール

Cable: Open-Source, Powerful Tool for Active Directory Post-Exploitation and Enumeration

2024/11/05 SecurityOnline — Active Directory (AD) は、依然としてエンタープライズ環境のコアコンポーネントであり、その脆弱性を理解することは、攻撃者と防御者の双方にとって重要である。そこに登場した Cable は、Active Directory 環境の悪用方法を列挙するために設計された、合理的なオープンソースのポスト・エクスプロイト・ツールである。.NET で作成された Cable は、セキュリティ・プロフェッショナルに対して提供するのは、AD のセキュリティ態勢のチェック方式であり、また、制御された環境で権限昇格戦術を実行するための各種の悪意の手法である。

オープンソース・ソフトウェアの行方：Cyber Resilience Act 発行後の組織化に注目

Open-source software: A first attempt at organization after CRA

2024/11/05 HelpNetSecurity — オープンソース・ソフトウェア (OSS) 業界が開発しているのは、グローバル・インフラスのコアとなるソフトウェアであり、プロプライエタリ・ソフトウェアの大手企業の一部でさえ、クラウド・サービスに Linux サーバを採用しているほどである。しかし、Cyber Resilience Act により提起されたヨーロッパにおける問題などに対して、有機的な対応ができる代表団体の設立／組織化などは、これまでに一度も試みられていない。

Google Cloud における MFA の強制：最終フェーズは 2025 年末に完了の予定

Google Cloud to make MFA mandatory by the end of 2025

2024/11/05 BleepingComputer — Google が発表したのは、2025 年末までに、すべてのクラウド・アカウントで多要素認証 (MFA) を必須にし、セキュリティを強化するという方針である。Google Cloud は、クラウドでのアプリケーションとインフラの構築／展開／管理を、企業／開発者／IT チームが容易に実現するための製品である。新たに発表された MFA の展開は、管理者および Google Cloud サービスにアクセスする全ユーザーにとって必須となるが、一般のコンシューマ向けの Google アカウントには影響しない。

OWASP の GenAI セキュリティ・ガイダンス：ディープフェイクの増加を受けて強化

OWASP Beefs Up GenAI Security Guidance Amid Growing Deepfakes

2024/11/05 DarkReading — いまでは、ディープフェイクや GenAI 攻撃は珍しいものではなく、今後においては、そのような攻撃が急増する兆候が見られる。すでに、AI が生成したテキストは、電子メールでは一般的なものとなり、人間が作成した可能性が低い電子メールを検出する方法を、セキュリティ企業は見つけ出そうとしている。mimecast の分析によると、人間が作成した電子メールは、すべての電子メールの約 88％に減少している。LLM が生成する電子メールの割合は、2022年後半の約 7％から、現在の約 12％へと上昇している。

Whispr は OSS の Secret Vault 操作ツール：AWS や Azure などに対応

Whispr: Open-source multi-vault secret injection tool

2024/11/04 HelpNetSecurity — Whispr はオープンソースの CLI ツールであり、AWS Secrets Manager や Azure Key Vault などの secret vaults から、各種のアプリケーション環境へと、シークレットを安全かつ直接に注入するように設計されている。それにより、機密情報のシームレスな管理と、ローカル・ソフトウェアのセキュア開発が強化される。

KDE の Project Banana：最新テクノロジーで構成される Linux ディストリビューションとは？

KDE Sets Sights on New Horizons with “Project Banana” Linux Distro

2024/11/04 SecurityOnline — 今年の Akademy カンファレンスで、Plasma デスクトップ環境で有名な KDE コミュニティが発表したのは、“Project Banana” というコード名を持つ、本格的な Linux ディストリビューションの開発に関する情報である。この野心的な取り組みが目指すのは、KDE 開発者／熱心なユーザー／OEM ハードウェア・メーカー向けの、統合プラットフォームの展開である。

DocuSign の Envelopes API を悪用：Norton／PayPal などの署名付き偽請求書の送信

DocuSign’s Envelopes API abused to send realistic fake invoices

2024/11/04 BleepingComputer — DocuSign の Envelopes API を悪用する脅威アクターが、Norton や PayPal などの著名なブランドを装うことで、偽の請求書を大量に作成／配布していることが判明した。脅威アクターが送信するメールは、正規の DocuSign ドメインである docusign.net から送信されるため、メール・セキュリティ保護は回避されてしまう。

Halberd はマルチクラウド対応のセキュリティ・テストツール：Entra ID／AWS／M365／Azure をサポート

Halberd: Your Swiss Army Knife for Multi-Cloud Security Testing

2024/11/04 SecurityOnline — 企業がクラウドに移行するにつれて、多様なクラウド・プラットフォームをまたがる形で、堅牢なセキュリティを維持することが最重要となってきた。以下に紹介するのは、最先端のマルチクラウド・セキュリティ・テストツール Halberd である。このツールは、組織による防御を、積極的に評価するように設計されている。Halberd のユーザー・フレンドリなインターフェイスにより、企業によるシミュレートが可能になるのは、Entra ID／M365／Azure／AWS などにおける実際の攻撃シナリオであり、また、クラウド・セキュリティ検証への一貫したアプローチも提供される。

Google LLM の成果：ファジングでは到達できなかった SQLite の脆弱性を発見

Google Says Its AI Found SQLite Vulnerability That Fuzzing Missed

2024/11/04 SecurityWeek — Google によると、従来からのファジングでは到達できなかった SQLite の脆弱性が、LLM (Large Language Model) プロジェクトにより発見されたという。同社は 2024年6月に、LLM が持つとされる、攻撃的セキュリティ能力の評価を目的とする、Project Naptime の詳細を共有した。Google の Project Zero と DeepMind の共同プロジェクトである Naptime は、その後に Big Sleep というプロジェクトへと進化している。

Cortex XDR を回避する脅威アクター：痛恨のミスにより暴露されたツールキットと戦略

EDRsandblast Exploited: How Attackers are Weaponizing Open-Source Code

2024/11/03 SecurityOnline — Unit 42 の研究者たちが発見したのは、最近に発生した EDR (endpoint detection and response) 回避において、脅威アクターたちが使用していた、新たなツール・キットの存在である。この調査では、EDR 防御を回避するために攻撃者が用いた、戦術が明らかになっただけではなく、攻撃を背後で操る１人の脅威アクターの、身元に関する重大な発見にもつながった。

中国のサイバースパイ Volt Typhoon／APT31／APT41：５年間にわたる活動の詳細 – Sophos 調査

Pacific Rim: Sophos Exposes 5 Years of Chinese Cyber Espionage

2024/11/03 SecurityOnline — Sophos X-Ops の最新レポート “Pacific Rim” は、中国を拠点とする脅威グループを追跡し、インド太平洋地域の高価値インフラ／政府機関を、５年間にわたり標的としてきたキャンペーンを明らかにするものだ。これらの活動で用いられる戦術には、特注のマルウェアや、ステルス性の持続的機能だけではなく、高度な運用セキュリティなどがあるという。Sophos は、他のサイバーセキュリティ企業／法執行機関／政府機関との共同調査により、これらの攻撃を、Volt Typhoon／APT31／APT41 (Winnti) などの悪名高い国家支援グループと関連付けている。

MDM と OSS：多種多様なプラットフォームとデバイスのための osquery とは？

How open-source MDM solutions simplify cross-platform device management

2024/11/01 HelpNetSecurity — 先日に Help Net Security が公開した、Fleet の CEO である Mike McNeil へのインタビューは、管理されていないモバイル・デバイスがもたらすセキュリティ・リスクについて警告するものだ。それに加えて、モバイル・デバイス管理 (MDM：Mobile Device Management) ソリューションにより、それらのリスクに対処する方法も述べている。さらに、彼が語っているのは、MDM に対する従業員の抵抗感／オープンソースの透明性が信頼を構築する方法／遠隔地のデバイス管理に関する洞察／MDM テクノロジーの今後の展望などである。

金融機関におけるセキュリティ負債：新たな概念でアプリの脆弱性を分類する – Veracode 調査

50% of financial orgs have high-severity security flaws in their apps

2024/11/01 HelpNetSecurity — Veracode のレポートが定義する、”セキュリティ負債” という言葉は、１年以上にわたって修正されず、放置されている、深刻な脆弱性により構成される概念を指す。このセキュリティ負債は、金融組織の 76% に存在しており、そのうちの 50% の組織は、深刻なセキュリティ負債を抱えていることが、Veracode の最新レポート “Research Highlights Financial Sector’s Escalating Security Debt” により明らかになった。

CrowdStrike の障害から学ぶ、金融業務レジリエンスの教訓 – 英 FCA

CrowdStrike outage: lessons for operational resilience

2024/10/31 FCA — 2024年7月に CrowdStrike が引き起こした、大規模な Windows BSOD 障害への取り組みにおいて、それぞれの企業が対策を実施し、将来のインシデントへ向けて準備している。それについて、FCA の主たる観察／見解／教訓を述べたい。

Enterprise Identity Threat Report 2024：企業による ID 管理の盲点

Enterprise Identity Threat Report 2024: Unveiling Hidden Threats to Corporate Identities

2024/10/31 TheHackerNews — いまの職場はブラウザ中心であり、企業 ID が組織の最前線の防御として機能している。この、新しい境界とも呼ばれる ID が、安全なデータ管理と潜在的な侵害の間で活躍している。しかし、LayerX の最新レポートによると、各種プラットフォームにおける ID の使用の実態を、正確に認識していない組織の多いとのことだ。このような曖昧な認識により生み出されるのは、データ侵害／アカウント乗っ取り／資格情報の盗難に対して脆弱な組織である。

Google Cloud の ID 管理：デフォルト・サービス・アカウントの使用は危険

Researcher Exposes Critical Vulnerabilities in Google Cloud

2024/10/30 SecurityOnline — 先日に公表された、DATADOG の著名なクラウドセキュリティー研究者 Christophe Tafani-Dereeper の詳細な分析が示すのは、Google Cloud のデフォルト・サービス・アカウント内の深刻な脆弱性により、クラウド環境が危険に直面している状況である。Tafani-Dereeper の調査結果は、誤って過度に設定／提供されたアクセスを、それらのアカウントが極めて容易に許可することで、クラウド・リソースを悪用する攻撃者に道を開くと指摘するものだ。

Atlassian Confluence の脆弱性 CVE-2023-22527：Titan を介したクリプトジャッキングで悪用

Atlassian Confluence Vulnerability CVE-2023-22527 Exploited for Cryptomining

2024/10/30 SecurityOnline — Atlassian Confluence サーバの脆弱性 CVE-2023-22527 を悪用する脅威アクターが、被害者のサーバを攻撃した上でリソースを窃取していることが、先日の Trend Micro レポートにより判明した。それらの脅威アクターたちは、Titan Network から報酬を得ているが、この分散型のオープンソース・プラットフォームは、ハードウェアを価値のあるデジタル資産に置き換えるものである。

Windows の新たなゼロデイ脆弱性：0patch がマイクロ・パッチを無償提供

0patch Uncovers and Patches New Windows Zero-Day Vulnerability, Microsoft Scrambles to Re-Fix Flaw

2024/10/29 SecurityOnline — Microsoft Windows に存在する新たなゼロデイ脆弱性を発見した、セキュリティ研究者のグループ 0patch が明らかにしたのは、ユーザーの認証情報が盗難の危険にさらされる可能性である。Akamai の研究者 Tomer Peled により、すでに報告されている同種の脆弱性 CVE-2024-21320 に対して、 Microsoft が修正に取り掛かった直後に、今回の脆弱性が発見された。現時点において、この新たな脆弱性には CVE 識別子が付与されていないが、悪意のテーマファイルをユーザーに表示させる攻撃者は、それだけでユーザー認証情報を流出させるという。

サードパーティ ID というリスク：サプライチェーンを IAM で安全かつ効果的に統合する

Third-Party Identities: The Weakest Link in Your Cybersecurity Supply Chain

2024/10/28 SecurityAffairs — サイバー攻撃における 70% 以上と言われるほどの割合で、認証情報の侵害やアイデンティティの盗難が関係しており、この攻撃ベクターは重大な懸念事項とされている。ただし、この問題は、主として可視性の欠如に起因しているという。毎日システムにログインする ID の数と、その出所を認識しているだろうか？興味深いことに、その大多数は従業員からのものではない。

Windows Downdate の脆弱性：アップデートの無効化とルートキットのインストールが可能に

New Windows Driver Signature bypass allows kernel rootkit installs

2024/10/26 BleepingComputer — Windows カーネル・コンポーネントをダウングレードする攻撃者が、ドライバ署名強制などのセキュリティ機能を回避し、完全にパッチが適用されたシステムに対して、ルートキットを展開できることが判明した。それは、Windows Update プロセスを制御して、完全にパッチが適用された状態へと OS を変更させないことで達成される。つまり、最新の状態のマシンであっても、脆弱で古いソフトウェア・コンポーネントを導入することになる。

GRC ツールの価格設定は不明瞭？４つのカテゴリーへの理解が重要 – Gartner

Unclear pricing for GRC tools creates market confusion

2024/10/25 HelpNetSecurity — 昨今の GRC (government, risk, and compliance) ツールには、多様な価格設定が並存している。そのため、ERM (Enterprise Risk Management) のリーダーたちは、GRC ソリューションの４種類の価格カテゴリーを理解し、スコープ・フレームワークを適用した上でベンダーを選定し、コストを見積もる必要があると、Gartner は指摘している。

Apple の Private Cloud Compute：セキュリティとプライバシーの保護を強化

Apple Opens Private Cloud Compute for Public Security Inspection

2024/10/24 SecurityWeek — Apple は新しいツールを導入し、VRE (Virtual Research Lab) を立ち上げることで、Private Cloud Compute 技術に関するセキュリティとプライバシーの情報を、最新の iPhone に統合するという。それにより、さまざまな見解が一般に公開され、検査／検証が推進される。同社は、「Apple Intelligence AI が搭載される機能の内側に、このツールによりデータが保持され、検証可能な透明性の提供が約束される」と述べている。

VMware vCenter の脆弱性 CVE-2024-38812／38813 に再パッチ：2024年9月の修正は NG

VMware fixes bad patch for critical vCenter Server RCE flaw

2024/10/22 BleepingComputer — VMware vCenter Server に存在する深刻なリモート・コード実行の脆弱性 CVE-2024-38812 に対する、新たなセキュリティ・アップデートをリリースされたが、この脆弱性は、2024年9月の最初のパッチで正しく修正されなかったものと説明されている。この脆弱性 CVE-2024-38812 (CVSS v3.1：9.8) は、vCenter の DCE／RPC プロトコル実装におけるヒープ・オーバーフローに起因し、vCenter Server／vSphere／Cloud Foundation などを取り込んだ製品に影響を及ぼす。

VOIDMAW というテクノロジー：メモリス・キャナーに対する新たなバイパス手法を提示

VOIDMAW: A New Bypass Technique for Memory Scanners

2024/10/21 SecurityOnline — マルウェア検出技術が進化するにつれ、それらの回避を試みる、攻撃者たちの手法も進化している。そのような手法の１つである VOIDMAW とは、悪意のコードを巧妙に隠蔽してアンチウイルス・ソフトウェアを回避する、革新的なメモリ・スキャン・バイパス技術のことである。VOIDMAW は、マルチスレッド・ペイロードをサポートし、すべての C2 (Command-and-Control) ビーコンと互換性があり、さらに、 .NET 以外のバイナリ・ファイルも実行できるため、攻撃者にとって強力なツールとなる。

Internet Archive でデータ侵害：サービス復旧作業中に再びハッキングが発生

Internet Archive Hacked Again During Service Restoration Efforts

2024/10/21 SecurityWeek — 非営利デジタル・ライブラリである Internet Archive でデータ侵害が発生し、3,100万人分のユーザー名／メールアドレス／パスワード・ハッシュなどが流出した。さらに、Internet Archive は大規模な DDoS 攻撃の標的となり、また、Web サイトの改ざんにも見舞われている。それにより、何千億もの Web ページのスナップショットを収集してきた、人気の Wayback Machine などを含む、大半のサービスが停止した。

クラウドにおける長期的に有効な認証情報：ユーザー組織の 46% が抱える問題とは？

Half of Organizations Have Unmanaged Long-Lived Cloud Credentials

2024/10/21 InfoSecurity — Datadog の State of Cloud Security 2024 レポートによると、ユーザー組織の 46% が、クラウド・サービスで長期的に有効な認証情報を持つ、管理されていないユーザーを抱えており、データ侵害のリスクが高まっているという。長期間において有効な認証情報とは、クラウド内の認証トークン／キーによる、長期間にわたるアクセスを認めるものである。したがって、長期的に有効な認証情報に対しては、攻撃者が侵害に長い時間を費やすことが可能になり、クラウド侵害の主要な原因となっている。

Microsoft のセキュリティ・ログが失われた：約１ヶ月分の紛失の原因とは？

Microsoft warns it lost some customer’s security logs for a month

2023/10/17 BleepingComputer — Microsoft がエンタープライズ・ユーザーに公表したのは、約１ヶ月間にわたり重要なログが部分的に失われ、それらのデータをベースに不正行為を検出している企業が、リスクにさらされているという警告である。2024年10月上旬の時点で、この問題を初めて報じた Business Insider によると、9月2日〜 9月19日に収集されなかったログデータがあることを、Microsoft は顧客に通知し始めたという。

GhostStrike の解説：Sliver C2 の解析から Cobalt Strike などへと対象を拡大

GhostStrike: Open-source tool for ethical hacking

2024/10/17 HelpNetSecurity — GhostStrike は、倫理的ハッキングやレッドチームでの運用に特化された、高度なサイバー・セキュリティのための、オープンソース・ツールである。このツールは、Windows システム上での検知をステルス的に回避する hollowing プロセスなどの、最先端の技術を組み込んでおり、ペンテストやセキュリティ評価に役立つものとなっている。