Literacy – Page 16 – IoT OT Security News

LastPass が要求する 12文字以上のマスター・パスワード：2024年1月から強制

LastPass now requires 12-character master passwords for better security

2024/01/03 BleepingComputer — 1月3日に LastPass が顧客に通知したのは、アカウントのセキュリティを高めるための、最低 12文字の複雑なマスター・パスワード使用の義務付けである。2018年以降において LastPass は、12 文字のマスター・パスワードが必要であると繰り返し述べてきたが、ユーザーたちは脆弱なものを使用することが可能であった。

Enterprise Browser Buyer’s Guide：企業にとって重要な視点を提供する

The Definitive Enterprise Browser Buyer’s Guide

2024/01/02 TheHackerNews — 現代の企業環境において、Web ブラウザは重要な役割を担っている。したがって、その管理／保護の方法の再評価が必要であると、セキュリティ関係者たちは認識し始めている。Web に起因するリスクは、エンドポイント／ネットワーク／クラウドなどの各ソリューションの、パッチワークのようなもので対処されてきたが、それらのソリューションが個別に提供する部分的な保護では、もはや不十分であることが明らかだ。

Google Groups が Usenet のサポート終了を発表：蔓延するスパム対策のため

Google Groups is ending support for Usenet to combat spam

2024/01/02 BleepingComputer — Google が先日に公式に発表したのは、Google Groups プラットフォームにおける、 Usenet グループのサポート終了だ。このサポートの終了は、2024年2月22日に実施され、それ以降においてユーザーは、Google Groups で新しい Usenet コンテンツの投稿／購読／閲覧ができなくなる。ただし、2月22日以前に投稿された、過去の Usenet コンテンツは、引き続き Google Groups で閲覧／検索できるという。

OAuth エンドポイント MultiLogin：Google 認証クッキー復元の PoC もリリース

Malware abuses Google OAuth endpoint to ‘revive’ cookies, hijack accounts

2023/12/29 BleepingComputer — 複数の情報窃取型マルウェア・ファミリーが、情報が文書化されていない MultiLogin という、Google OAuth エンドポイントを悪用していることが判明した。このエンドポイントを悪用することで、たとえアカウントのパスワードがリセットされた後でも、期限切れの認証クッキーを復元して、ユーザーのアカウントにログインすることが可能になる。セッション・クッキーとは、認証情報を含む特殊なブラウザ・クッキーであり、認証情報を入力することなく、Web サイトやサービスに自動的にログインできるようにするものだ。この種のクッキーは有効期間が限られているため、脅威アクターがクッキーを盗んだとしても、アカウントへのログインのために無期限に使用することはできないのが通常である。

GitHub の2FA 義務化：2024年1月19日から正式スタート

GitHub warns users to enable 2FA before upcoming deadline

2023/12/26 BleepingComputer — GitHub アカウントにおいて、２要素認証 (2FA) が有効化されていない場合には、同サイトでの機能が制限されると警告されている。クリスマス・イブに GitHub ユーザーに送られたメールには、 GitHub.com でコードをコントリビュートしている全ユーザーは、2024年1月19日までに 2FA を有効化する必要があると記されている。

OpenSSH の脆弱性 CVE-2023-51385／CVE-2023-6004 が FIX：直ちにアップデートを！

CVE-2023-51385 and CVE-2023-6004 – A Dual OpenSSH Threat

2023/12/23 SecurityOnline — 最近のことだが、セキュアなネットワーキングにおける重要コンポーネントである OpenSSH が、手ごわい難題に直面している。現在はパッチが適用されているセキュリティ脆弱性 CVE-2023-51385 (CVSS：9.8) が、セキュアチャネル・オペレーションの根幹を脅かしていたのだ。この脆弱性は、9.6p1 未満の全バージョンの OpenSSH に影響を及ぼす。

CloakQuest3r：Cloudflare などで保護された真の IP アドレスを明らかにする

CloakQuest3r: Uncover the true IP address of websites safeguarded by Cloudflare & Others

2023/12/21 SecurityOnline — CloakQuest3r は、Cloudflare などのサービスにより保護されている Web サイトの、真の IP アドレスを発見するために作成された、綿密かつ強力な Python ツールである。このツールの主な目的は、Cloudflare の保護シールドに隠れている Web サーバの実際の IP アドレスを正確に識別することにある。そして、この追跡における重要な技術として、サブドメイン・スキャンが採用されている。

サイバー攻撃の 86% は暗号化チャネルを介して到達する：HTTPS 攻撃は前年比で 24% 増

86% of cyberattacks are delivered over encrypted channels

2023/12/21 HelpNetSecurity — HTTPS を介した脅威は 2022年から 24%増加し、暗号化されたチャネルを標的にするサイバー犯罪の手口の巧妙化が、Zscaler により明らかにされた。２年連続で最も標的とされた業界は製造業であり、それに続く教育機関と政府機関は、前年比で攻撃増加率が最も高くなっている。その他の暗号化チャネルを介した攻撃タイプと比べて、悪意の Web コンテンツやマルウェアのペイロードなどの配信が多く見受けられ、すべてのブロックされた攻撃全体の 78% を、広告スパイウェア・サイトとクロスサイト・スクリプティング攻撃が占めていた。

2023年の脆弱性は 26,447件：悪用に至ったものは１％に過ぎない – Qualys

More Flaws, Fewer Frightmares: 2023 Cybersecurity – A Tale of Exploitable Echoes

2023/12/20 SecurityOnline — 2023年の終わりを迎えるにあたり、私たちのデジタル世界を形成してきたサイバー脅威を振り返ることは極めて重要である。今年のサイバー・セキュリティ領域はジェットコースターのような１年であり、デジタル脅威に対する理解と挑戦があり、また、前進させてきたという進展があった。Qualys Threat Research Unit の包括的な分析から、今年のサイバー脅威の状況について、重要な洞察を得ることが可能となっている。

企業の 85% でインシデントが発生：そのうちの 11% は Shadow IT 関連 -Kaspersky

New Report: 85% Firms Face Cyber Incidents, 11% From Shadow IT

2023/12/20 InfoSecurity — これまでの２年間で、世界の企業の 85％がサイバー・インシデントを経験しており、そのうちの 11％は Shadow IT が原因となっている。この数字は、サイバー・セキュリティ企業 Kaspersky が、先日に実施した調査に基づくものであり、企業において懸念すべき脅威のパターンを露呈している。Kaspersky によると、分散型ワークフォースが拡大する中、従業員による Shadow IT の利用が深刻化しているため、企業におけるセキュリティが危殆性しているという。

OpenSSH 接続を劣化させる Terrapin 攻撃：新たな研究成果が発表された

Terrapin attacks can downgrade security of OpenSSH connections

2023/12/19 BleepingComputer — 広く普及している暗号化モードにおいて、ハンドシェイク・プロセス中のシーケンス番号を操作することで SSH チャネルの整合性を破壊する、Terrapin という新しい攻撃手法を学術研究者たちが考え出した。この操作により、通信チャネルを通じて交換されるメッセージの削除／変更が、攻撃者に許されることになる。結果として、OpenSSH 9.5 のユーザー認証に使用される公開鍵アルゴリズムのダウングレードや、キーストローク・タイミング攻撃に対する防御の無効化などにいたるという。

SMTP スマグリングの最新テクニック：DMARC などの防御を潜り抜けていく

Novel SMTP Smuggling Technique Slips Past DMARC, Email Protections

2023/12/18 DarkReading — インターネットの創世記から電子メールの送信に使用されてきた、数十年前のプロトコルを悪用する新たな標的型フィッシング攻撃により、組織や個人が危険にさらされている。この手法を用いる攻撃者は、DMARC (Domain-based Message Authentication, Reporting and Conformance) などの電子メール保護を回避できるという。

Chrome Privacy Sandbox の新機能 Tracking Protection：2024年1月からテストが開始

Google’s New Tracking Protection in Chrome Blocks Third-Party Cookies

2023/12/15 TheHackerNews — Google が 12月14日に発表したのは、Web ブラウザのサードパーティ・クッキーレス対策の一環としての、新たな機能である “Tracking Protection” のテストの開始である。このテストは、Chrome ユーザーの１％を対象にして、2024年1月4日から開始される予定だという。

Zoom が提案する新たな脆弱性スコアリング・システム VISS：理論値よりも現実値を優先

Zoom’s Bug-Scoring System Prioritizes Riskiest Vulns for Cyber Teams

2023/12/14 DarkReading — ビデオ・カンファレンスを提供する Zoom のサイバーセキュリティ・チームが、脆弱性に関する新たなスコアリング・システムを展開し、危険な脅威に対する優先的なリソースの割り当てを効率化すると述べている。

Volt Typhoon は中国の APT：KV-botnet で SOHO ルーターや VPN 機器を攻撃？

Stealthy KV-botnet hijacks SOHO routers and VPN devices

2023/12/13 BleepingComputer — Volt Typhoon (Bronze Silhouette) という中国由来の APT ハッキング・グループは、遅くとも 2022年以降において、SOHO ルーターを標的とする攻撃するために、KV-botnet ボットネットを使用していると推定される。Volt Typhoon の手口は、主にルーター／ファイアウォール／VPN デバイスなどに対して、悪意のトラフィックをプロキシすることで、正規のトラフィックに紛れ込ませて検知を回避するというものだ。Microsoft と米国政府による共同レポートには、攻撃者たちは米国内の通信インフラを混乱させるための悪意のインフラを構築していると記されている。

OAuth アプリに関する Microsoft の警告：侵害されたアカウントで悪意のアプリを作成

Microsoft: OAuth apps used to automate BEC and cryptomining attacks

2023/12/12 BleepingComputer — Microsoft の警告は、金銭目的の攻撃者が OAuth アプリケーションを使用して、BEC 攻撃やフィッシング攻撃を自動化し、スパムをプッシュし、クリプト・マイニング用の VM を展開しているというものだ。OAuth (Open Authorization の略) とは、資格情報の代わりにトークンベースの認証と認可を介して、ユーザー定義のアクセス許可に基づいた、サーバ・リソースへの安全な委任アクセスを、アプリ対して許可するためのオープン・スタンダードである。

Apache Log4j アプリの 30％以上が脆弱なライブラリを使用している – Veracode 調査

Over 30% of Log4J apps use a vulnerable version of the library

2023/12/10 BleepingComputer — Apache Log4j ライブラリの一連の脆弱性に対しては、２年以上も前からパッチがリリースされているが、それらを使用するアプリケーションの約 38% では、依然として脆弱なバージョンが用いられていることが判明した。それらの脆弱性の中には、深刻度が評価最大である、Log4Shell 脆弱性 CVE-2021-44228 も含まれている。

Pool Party プロセス・インジェクションという手法：主要 EDR ソリューションのバイパスに成功

Bypassing Major Edrs Using Pool Party Process Injection Techniques

2023/12/08 SecurityAffairs — サイバーセキュリティ企業 SafeBreach の研究者たちが、EDR ソリューションをバイパスするプロセス・インジェクションのテクニックを考案した。彼らは、このテクニックを Black Hat Europe 2023 で発表した。SafeBreach の研究者は、あまり調査されていない Windows のスレッド・プールに注目し、プロセス・インジェクションの新しい攻撃ベクターを発見した。

企業における権限昇格の脆弱性：インサイダー攻撃の 50％以上に悪用されている

Privilege elevation exploits used in over 50% of insider attacks

2023/12/08 BleepingComputer — 権限昇格の脆弱性は、企業のインサイダーがネットワーク上で不正な活動を行う際において、また、危険なツールの危険な方法でのダウンロードにおいて、頻繁に悪用される一般的な脆弱性である。2021年1月〜2023年4月に収集されたデータに基づく、CrowdStrike のレポートによると、インサイダーの脅威は増加傾向にあり、権限昇格の脆弱性の悪用が不正行為の重要な要素となっていることが判明した。

Facebook／Messenger の End-to-End 暗号化が本格スタート：デフォルトで ON になる！

Meta rolls out default end-to-end encryption on Messenger, Facebook

2023/12/07 BleepingComputer — Facebook および Messenger 介して行われる、すべてのチャットと通話について、直ちに E2EE (End-to-End Encryption) プロテクションを低起用すると、Meta が発表した。E2EE により、メッセージを交換する当事者だけが可読となり、データ保護が促進される。つまり、それ以外の不正なアクセス者は、スクランブルされた情報だけを得ることになる。

Apple によるデータ漏洩調査：End-to-End 暗号化の必要性を強調

Apple Commissions Data Breach Study to Highlight Need for End-to-End Encryption

2023/12/07 SecurityWeek — Apple が委託した調査により、過去２年間にわたるデータ漏洩の結果が分析され、推定で 26億件の個人記録が漏洩していたことが判明した。同社は、End-to-End 暗号化 (E2EE：end-to-end encryption) の必要性を訴えている。この “The Continued Threat to Personal Data: Key Factors Behind the 2023 Increase” という調査は、MIT の Stuart Madnick 教授により実施されたものであり、過去１年間に発生した主なデータ漏洩を精査し、いくつかの傾向を明らかにしている。

LockBit の強さを解析：あらゆる地域と業界でアフィリエイトを介して攻撃を成功させる

LockBit Remains Top Global Ransomware Threat

2023/12/06 InfoSecurity — LockBit ランサムウェアは、世界のすべての地域における大半の業界に対する、主要なデジタル恐喝の脅威であり続けていると、ZeroFox のレポートは主張している。2022年1月〜2023年9月の分析において研究者たちは、世界の R&DE (Ransomware and Digital Extortion) 攻撃の 25% 以上で、LockBit が利用されてきたことを、研究者たちは指摘している。そこには、同期間中に欧州で発生した全 R&DE 攻撃の30％および、北米で発生した 25％が含まれる。

Disney+ を装うサイバー詐欺：なりすましにおける新たな手口を解析

Disney+ Cyber Scheme Exposes New Impersonation Attack Tactics

2023/12/05 InfoSecurity — サイバー攻撃におけるブランドへのなりすましが、新たなレベルに達していると、Abnormal Security の最新調査が示している。これまでにおいて、金融機関やソーシャルメディアで確認されていた、高度にパーソナライズされた多段階攻撃を、いまの脅威アクターたちは採用しているようだ。Abnormal の CISO である Mike Britton が発表した研究結果では、人気のストリーミング・サービスの Disney+ になりすました脅威アクターが、巧妙な手口で攻撃を仕掛けている事例が明示されている。

Google Chrome におけるキャッシュの役割：その再定義により何が変わるのか？

Google Chrome’s new cache change could boost performance

2023/12/02 BleepingComputer — Google Chrome の Back/Forward Cache (BFCache) 動作に、大きな変更が加えられた。それにより、ブラウザのキャッシュにページを保存を、Web マスターが行わないように指定した場合であっても、Web ページはキャッシュに保存されるようになる。

GCP から Google Workspace への横移動と攻撃：Domain-Wide Delegation の深刻なリスク

Exposed: Hidden Risks in Google Workspace’s Domain Delegation

2023/12/01 SecurityOnline — Google Workspace の Domain-Wide Delegation 機能に深刻なリスクが潜んでいることが、Palo Alto Networks の Unit 42 研究者たちより明らかにされた。この発見は、Google Cloud Platform (GCP) から Google Workspace ドメイン・データを悪用する可能性に光を当てるものだ。進化を続けるクラウド・コンピューティングの領域において、各種のサービスで見過ごされがちな、複雑な脆弱性を浮き彫りにするものである。

CISA の Secure-by-Design 第一弾：安全な Web 管理インターフェイスのために

CISA Debuts ‘Secure by Design’ Alert Series

2023/11/30 SecurityWeek — 11月21日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、セキュリティが未実装のソフトウェア開発ライフサイクルがもたらす被害を強調するための、新たなタイプの警告を導入した。この Secure by Design (SbD) アラートは、脅威に対する防御や対応について詳述するものではなく、ベンダーの意思決定を示すものであり、それにより世界的な規模で被害を減らすことを目的とする、情報を提供するものである。

VirusTotal における AI の活用：マルウェア検出が 70% も向上している

AI Boosts Malware Detection Rates by 70%

2023/11/29 InfoSecurity — 脅威インテリジェンス共有プラットフォーム VirusTotal が発表したのは、マルウェア分析を強化するサイバー防御者たちが、AI を活用する方法を示す新たな調査結果である。VirusTotal が、この調査を通じて明らかにしたのは、AI が悪意のコードの解析に対して極めて有効であり、従来の手法と比較して 70% も多くの、悪意のスクリプトを特定する能力を持っていることだ。

Passkeys の導入が拡大：2024年はイケイケでさらに加速？

How passkeys are reshaping user security and convenience

2023/11/28 HelpNetSecurity — この Help Net Security のインタビューは、1Password の Head of Passwordless である Anna Pobletts が、Passkeys の導入と 2024年のその加速について語ったものだ。この傾向は、特にフィンテックや銀行などの規制の厳しいサービスにおいて顕著になっており、それらのユーザーはシンプルで馴染みのあるサインイン体験を求めている。Anna Pobletts は、パスワードレス認証がヘルプデスクや IT リソースの負担を軽減する方法と、ビジネスの加速／増収などの、より差し迫った問題に対して、時間とエネルギーを注ぐための方法についても述べている。

Windows Hello 認証バイパスの問題：指紋センサー・プロトコルの不適な実装

New Flaws in Fingerprint Sensors Let Attackers Bypass Windows Hello Login

2023/11/22 TheHackerNews — Dell Inspiron 15／Lenovo ThinkPad T14／Microsoft Surface Pro X のノート PC に存在する脆弱性の悪用により、Windows Hello 認証バイパスの可能性が生じることが、新たな調査により発見された。それらの脆弱性は、ハードウェア／ソフトウェア製品のセキュリティ調査会社 Blackwing Intelligence の研究者が発見したものであり、Goodix／Synaptics／ELAN の指紋センサーが埋め込まれるデバイスの欠陥である。

CISA の重要インフラ事業への対応：民間におけるリスク低減とコスト削減を実現するために

CISA Offering Free Cybersecurity Services to Non-Federal Critical Infrastructure Entities

2023/11/21 SecurityWeek — 米国の CISA 発表した新たなパイロット・プログラムは、サポートを必要とする重要インフラ事業体に対して、マネージド・サイバー・セキュリティ・サービスを提供するものだ。同機関は長年にわたり、連邦民間政府に対するマネージド・サービス・プロバイダーとして活動しており、標準化を実現するだけではなく、リスク低減とコスト削減を実現してきた。

Tor Project からネットワーク・リレーが削除：営利目的での運営は理念に反する

Tor Project removes relays because of for-profit, risky activity

2023/11/20 BleepingComputer — 先日の Tor Project の発表は、複数のネットワーク・リレーを削除することで、すべての Tor ネットワーク・ユーザーにおける、セキュリティ問題に対処するというものだ。Tor ネットワーク・リレーは、暗号化されたデータを受信して次のノードに渡すことで、Tor ネットワークを通じてオリジナル・トラフィック・ソースを匿名化する、ルーティング・ポイントのことである。Tor ネットワーク・リレーは、インターネット上のプライバシー／セキュリティ／匿名性／情報の自由に情熱を傾ける、ボランティアや愛好家たちにより運営されている。

BlackCat の申し立て：SEC に対して被害者のコンプライアンス違反を訴える

BlackCat Ransomware Group Reports Victim to SEC

2023/11/16 InfoSecurity — 積極的に攻撃を繰り返すランサムウェア・グループが、支払いへと向けて圧力をかける目的で、ある被害者の米国証券取引委員会 (SEC) に報告したようだ。11月7日に BlackCat/ALPHV が、デジタル融資ソリューションプロバイダーの MeridianLink を侵害して機密データを流出させたと主張しているが、それに対して同社は否定しているという。そして BlackCat は、重大な影響を伴う侵害について、４日以内に開示することを義務付ける新たな SEC ルールを利用し、ハードルを上げていると示唆される。

Google の Titan セキュリティ・キー：Passkeys 対応モデルを $30 で！

Google Adds Passkey Support to New Titan Security Key

2023/11/16 SecurityWeek — 今週に Google は、Passkeys サポートを追加した、Titan セキュリティ・キーの新バージョンを発表した。Titan セキュリティ・キーは、フィッシングに強い二要素認証デバイスであり、連動するアプリケーションの数も増えている。Google の新たな Titan セキュリティ・キーは、NFC 機能を備えた USB-A／USB-C のモデルであり、従来からのモデルを置き換えるものとなる。

SSH に存在する深刻な脆弱性：計算エラーにより RSA アルゴリズム・キーに影響

SSH Security Breach: Researchers Discover Vulnerability in Crypto Keys

2023/11/16 SecurityOnline — カリフォルニア大学サンディエゴ校とマサチューセッツ工科大学の研究者チームが、SSH 接続のデータ保護に用いられる暗号キーに存在する、深刻なセキュリティ脆弱性を発見した。この脆弱性は、接続確立プロセスにおける計算エラー時に顕在化し、RSA アルゴリズムを採用するキーに影響を及ぼす。この問題は、検査された署名 32億件のうちの 30％以上に影響を及ぼすのであり、100万件に１件の割合で、ホスト上の秘密キーが暴露される可能性があるという。

CISA による AI セキュリティの取り組み：５つの項目で構成されるフレームワーク

CISA Outlines AI-Related Cybersecurity Efforts

2023/11/15 SecurityWeek — 11月14日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、セキュリティ向上のための人工知能 (AI) の利用促進や、重要インフラ組織への AI 導入支援に関する取り組みを詳述する、新たなドキュメントを発表した。国家 AI 戦略に沿った CISA の Roadmap to AI (PDF) は、サイバー・セキュリティ能力の強化における AI の有効利用を促進し、AI システムを脅威から守ることに加えて、AI を悪用する脅威アクターから重要インフラを保護する取り組みについても詳述している。

CISA／NSA／ODNI の共同指針：SBOM／OSS などの管理ガイダンスを発表

US Government Issues Guidance on SBOM Consumption

2023/11/10 SecurityWeek — 11月9日に、米国のサイバーセキュリティ機関である CISA／NSA／ODNI (Office of the Director of National Intelligence) は、ソフトウェアベンダーとサプライヤー向けに、ソフトウェアのサプライチェーンを保護するための新しいガイダンスを公開した。このガイダンスでは、組織が OSS (Open Source Software) や SBOM (Software Bills of Materials) の管理を含め、ソフトウェアのライフサイクル全体を通して自社のセキュリティ対策を評価するのに役立ち、ソフトウェア・サプライチェーンのあらゆる段階にわたって適用できる推奨事項が提示されている。

OSS における脆弱性の情報開示：悪用を防ぐための工夫をメンテナたちに伝えたい

Open-source vulnerability disclosure: Exploitable weak spots

2023/11/09 HelpNetSecurity — オープンソース・プロジェクトの脆弱性開示プロセスの欠陥が攻撃者に悪用され、パッチが提供される前に攻撃を仕掛けるために必要な、情報を収集される可能性があると、Aqua Security の研究者たちが懸念している。”0.5-Day” の脆弱性は、メンテナには知られており、その情報は GitHub や NVD (National Vulnerability Database) に公開されているが、公式な修正プログラムが存在しない状況を指す。”0.75-Day” の脆弱性は、公式な修正プログラムは存在しているが、CVE 番号や CPE 識別子は存在しない状態を指す。したがって、脆弱性スキャンツールによる脆弱なコンポーネントの検出が不可能であり、パッチ適用の必要性に、セキュリティ・チームは気が付かない。

CVSS 4.0：パッチの優先順位つけに多様なコンテキストを提供

CVSS 4.0 Offers Significantly More Patching Context

2023/11/08 DarkReading — 先週にリリースされた Common Vulnerability Scoring System の最新版である CVSS 4.0 により、それぞれの組織は、セキュリティ・バグが特定の環境にもたらす可能性のあるリスクを、より適切に評価／管理できるようになるはずだ。しかし、CVSS 4.0 が本当に役に立つかどうかは、CVSS 4.0に含まれる新しいメトリクスの全てを使用して、よりスマートな脆弱性の優先順位付けに必要な、コンテキストを構築する意欲と能力にかかっている。

UK AI Safety Institute が設立： AI の未来への青写真とは？

UK AI Safety Institute: A Blueprint for the Future of AI?

2023/11/03 InfoSecurity — 英国の Frontier AI Taskforce は、2023年4月にファウンデーション・モデル・タスクフォースとして発足した政府出資のイニシアチブである。しかし同機関は、英国 AI Safety Institute へと進化しつつある。Rishi Sunak 英国首相は、2023年11月2日に英国ブレッチリー・パークで開催された AI Safety Summit の閉会スピーチで、同研究所の設立を発表した。この新組織における英国政府の目的は、新たなタイプのAI の安全性テストを任務とする世界的なハブにすることだと、Sunak 首相は述べている。

CVSS 4.0 を FIRST が正式発表：何が変わり何が加わるのか？

New CVSS 4.0 vulnerability severity rating standard released

2023/11/01 BleepingComputer — FIRST (The Forum of Incident Response and Security Teams) は、これまでのメジャー・バージョンである CVSS v3.0 から８年を経て、CVSS v4.0 を正式にリリースした。これが、次世代の標準 CVSS (Common Vulnerability Scoring System) となる。CVSS は、ソフトウェアの脆弱性の深刻度を評価するための、標準化されたフレームワークである。そこでは、機密性／完全性／可用性／悪用可能性／要求権限への影響に基づき、数値スコアまたは定性的な表現 (低／中／高／重大など) が割り当てられ、より深刻な脆弱性に対して高いスコアが与えられる。

フィッシングと生成 AI：メールを介した攻撃が前年比で 1265% 増

Report Links ChatGPT to 1265% Rise in Phishing Emails

2023/10/30 InfoSecurity —2022年 Q4 以降において、悪質なフィッシングメールが 1265％も急増しているという、サイバー・セキュリティにおける懸念すべき傾向が、SlashNext State of Phishing Report 2023 により明らかにされた。この年次レポートは、2022年Q4〜2023年Q3 の12カ月間において、メール／モバイル／ブラウザなどのチャネルで観測された、脅威の分析を網羅するものだ。そして、このレポートでは、クレデンシャル・フィッシング攻撃が 967% も増加したことが強調されている。

CISA の Logging Made Easy：GitHub 上で無償で提供されている

Logging Made Easy: Free log management solution from CISA

2023/10/30 HelpNetSecurity — CISA が発表した Logging Made Easy (LME) の新バージョンは、Windows ベースのデバイスに対応し、無償でのダウンロードとセルフ・インストールが可能な、使いやすいログ管理ソリューションである。LME の CISA 版は、英国の National Cyber Security Centre (NCSC) により開発された技術を、GitHub 上に再構築したものであり、多くの人々が利用できるようになっている。

HackerOne の報奨金は累計で $300 million：2023年のレポートからトレンドを探る

HackerOne paid ethical hackers over $300 million in bug bounties

2023/10/28 BleepingComputer — HackerOne が発表したのは、同社のバグバウンティ・プログラムにおいて、倫理的ハッカーや脆弱性研究者に対して提供された報奨金が、累計で $300 million に達したことだ。これまでに、30人のハッカーが $1 million 以上の報酬金を獲得し、その中には $4 million 以上の報酬金を受け取った人もいるという。HackerOne は 10年以上前に設立されたバグバウンティ・プラットフォームであり、脆弱性や弱点を特定／報告する倫理的ハッカーたちに報酬を支払うことで、ソフトウェア・ベンダーとの関係を構築している。

Chrome の新機能 IP Protection：IP アドレスのマスキングでユーザーのプライバシーを強化

Google Chrome’s new “IP Protection” will hide users’ IP addresses

2023/10/22 BleepingComputer — Google がテストを進めている、Chrome の新機能 “IP Protection” は、プロキシ・サーバを用いて IP アドレスをマスキングし、ユーザーのプライバシーを強化するものだ。機密情報の追跡のために、IP アドレスが悪用される可能性について、Google は認識している、そして、ユーザーのプライバシー確保と、Web の本質的な機能との間で、バランスを取ろうとしている。

生成 AI 導入の急増：その一方でセキュリティ意識の遅れが懸念される

AI Adoption Surges But Security Awareness Lags Behind

2023/10/20 infosecurity — ChatGPT や Google Bard のような生成 AI ツールの採用と管理に関する新たな洞察が、ExtraHop の新しい調査により得られた。この調査は、グローバルにおける、1,200人以上の Security／IT のリーダーを対象としたものだ。回答者たちが最も懸念しているのは、不正確な回答 (40%) であり、それに続くのが、顧客や従業員の個人を特定できる情報 (PII) の漏洩 (36%)／企業秘密の漏洩 (33%)／財務上の損失 (25%) などである。

KeePass の偽サイトに御用心：Google Ads と Punycode を用いる巧妙なトリック

Fake KeePass site uses Google Ads and Punycode to push malware

2023/10/19 BleepingComputer — Punycode を用いて KeePass パスワード・マネージャーの公式ドメインを装い、マルウェアを配布する偽 KeePass ダウンロード・サイトをプッシュするという、Google 広告キャンペーンが発見された。Google が戦っている、現在進行中の不正広告キャンペーンとは、検索結果の上に表示されるスポンサー広告を、脅威アクターが写し取るものである。

英国 NCSC／NPSA：中小企業のためのセキュリティ啓発キャンペーンが開始

Five Eyes Warn Deep Tech Start-Ups Against Nation-State Threats

2023/10/18 InfoSecurity — 英国の NCSC (National Cyber Security Agency) および国内諜報機関 MI5 の新たな部門である NPSA (National Protective Security Authority) は、最先端技術を開発する新興企業に対して、国家的な脅威の増大への警戒を促すための、新たな啓蒙キャンペーンを開始した。この、2023年10月17日に開始されたキャンペーンは、最新の ”Secure Innovation” ガイダンスで構成されている。そして、無料のクイック・スタート・ガイドも含まれており、セキュリティに関する幅広い専門知識を持たない人々が、安全にイノベーションを達成するための、第一歩を踏み出せるようにっしている。

サイバー攻撃と世界経済：今後の５年間で $3.5trn の損失 – 日本は３位 – Lloyd’s

Global Economy Could Lose $3.5trn in Systemic Cyber-Attack

2023/10/18 InfoSecurity — 保険大手の Lloyd’s of London は、サイバー攻撃による世界の経済損失が $3.5trn に達するという、構造的なリスク・シナリオを発表した。このシナリオは、主要な金融サービスの決済システムに対する、もっともらしい仮説のサイバー攻撃を想定したものであり、世界のビジネスに広範な混乱をもたらすものだとされる。

イスラエルとハマス：紛争における情報工作キャンペーンを Mandiant が解説

Gaza Conflict Paves Way for Pro-Hamas Information Operations

2023/10/14 DarkReading — 研究者たちは、イスラエルとハマスの紛争に端を発した、国家による情報工作を警戒しているが、今のところ大きな動きは見られない。しかし、多数のハクティビストやスパイ活動家たちが、この争いに参入すれば、それも一変する可能性がある。