How to Navigate Open-Source Security Without Stifling Innovation
2024/02/08 InfoSecurity — Open-Source ソフトウェアのコードが、重要インフラを含むあらゆる部門で利用される規模を反映するかのように、各国政府におけるセキュリティへの関心が高まっている。Open-Source ソフトウェアの広範な利用と、それがもたらすリスクは、2021年12月に発見された悪名高い Log4j の脆弱性により証明された。その影響力は、グローバルで 58% の組織に及んだとされている。
Continue reading “Open-Source Security の現状と未来：コミュニティとユーザーと政府は何を考えるべきか？”Microsoft unveils new ‘Sudo for Windows’ feature in Windows 11
2024/02/08 BleepingComputer — 今日、Microsoft は、Windows 11 の新機能として “Sudo for Windows” を発表した。さらに同社は、この新しいツールのオープンソース化に取り組んでおり、より多くの設定オプションと、より広範な機能を持つ代替手段として、Gerardo Grignoli の gsudo を推奨している。Microsoft は、「Sudo for Windows は、昇格前のコンソール・セッションにおいて、ユーザーがダイレクトに昇格コマンドを実行する新しい方法である」と述べている。
Continue reading “Sudo for Windows を Microsoft が発表：人間工学に基づいたソリューションと主張”Malware-as-a-Service Now the Top Threat to Organizations
2024/02/06 InfoSecurity — Darktrace の最新の研究によると、2023年下半期に、組織にとっての最大の脅威となったのは、MaaS (Malware-as-a-Service) 感染だったという。Darktrace の 2023 年の “End of Year Threat Report” では、多くのマルウェアが機能横断的に適応していることが強調されている。そこに含まれるものには、リモート・アクセス型トロイの木馬 (RAT：Remote Access Trojans) のようなマルウェア・ローダーと、情報窃取型マルウェアとの組み合わせも存在する。
Continue reading “MaaS 感染が最大の脅威：2023年下半期のサイバー攻撃 – Darktrace 調査”Microsoft is bringing the Linux sudo command to Windows Server
2024/02/04 BleepingComputer — Microsoft は、Linux の “sudo” 機能を Windows Server 2025 に導入し、管理者がコンソール・アプリケーションの特権を昇格させるための新たな方法を提供するという。Superuser do (sudo) は、Linux のコンソール・プログラムであり、低特権ユーザーに対して、昇格した特権 (通常は root) でのコマンド実行を許すものである。このコマンドにより、通常ではサーバを低特権アカウントで使用し、特定のコマンドを実行する場合に限り、特権への昇格を可能にするため、Linux のセキュリティを向上させている。
Continue reading “Linux sudo コマンドを Windows Server 2025 で発見：製品版に入れば嬉しい”Check if you’re in Google Chrome’s third-party cookie phaseout test
2024/02/03 BleepingComputer — Google Chrome のサードパーティ Cookie の、段階的な廃止のテストが開始された。このテストは、ユーザーの約１％にあたる、約 3,000万人を対象に実施されるという。この記事では、自分がテストの対象に該当するかどうかを、確認する方法を紹介する。サードパーティ Cookie とは、ターゲット広告のために、さまざまな Web サイトでのユーザーの閲覧習慣を追跡するものだが、Google の Privacy Sandbox API へと、徐々に置き換えられている。Privacy Sandbox API とは、ユーザーのプライバシーを損なうことなく、ユーザーの興味に基づき、パーソナライズされた広告表示を行うことを目的としている。
Continue reading “Chrome サードパーティ Cookie の段階的な廃止が始まる：あなたはテストの対象？”Cloudflare hacked using auth tokens stolen in Okta attack
2024/02/01 BleepingComputer — 今日、Cloudflare が公表したのは、同社内の Atlassian サーバが APT と疑われる人物に侵入され、Confluence wiki／Jira Bug Database／Bitbucket Source Code Management System への不正アクセスが発生したことだ。この脅威アクターは、11月14日の時点で Cloudflare のセルフ・ホスト型 Atlassian サーバにアクセスし、偵察段階を経た後に、同社の Confluence／Jira システムにアクセスした。
Continue reading “Cloudflare にも影響を及ぼした Okta 攻撃：盗まれたアクセス・トークンの悪用が発生”Does CVSS 4.0 solve the exploitability problem?
2024/01/31 HelpNetSecurity — 脆弱性スコアリングシステム CVSS の最新版である、CVSS 4.0 が登場した。2015年の CVSS 3.0 のリリースから長い時を経て、2023年11月から、CVSS 4.0 が正式に稼動している。CVSS 3.0 を基に構築された CVSS 4.0 では、脆弱性のスコアリング／認識／分類方法などが改善されている。
Continue reading “CVSS4.0 の変更点：攻撃の複雑さと要件のパラメータについて詳述する”GRIT Report 2023: Unpacking the Surge in Ransomware Attacks
2024/01/29 SecurityOnline — GRIT Ransomware Annual Report 2023 は、進化するランサムウェアの詳細な状況を、包括的に解説するレポートである。そこでは、ランサムウェア攻撃の急増について分析が行われるだけではなく、さまざまなランサムウェア・グループの複雑な仕組みや戦略についても詳述されている。
Continue reading “ランサムウェアの 2023年：急増の要因と戦術の変化 – GRIT Report”Perfecting the Defense-in-Depth Strategy with Automation
2024/01/26 TheHackerNews — 中世の城郭は、その綿密な設計のおかげで、何世紀にもわたって難攻不落の要塞として機能してきた。デジタルの時代になっても、この中世の知恵はサイバー・セキュリティに継承されている。攻撃に耐えるために、戦略的なレイアウトが施された城のように、Defense-in-Depth 戦略は、戦略的な冗長性と受動的／能動的なセキュリティ制御を組み合わせた、現代における多層的なアプローチである。
Continue reading “Defense-in-Depth 戦略の自動化に関する考察 – Picus Security”Browser Phishing Threats Grew 198% Last Year
2024/01/24 InfoSecurity — Web ブラウザ・ベースのフィッシング攻撃が、2023年の上半期と下半期の比較において 198% も増加し、それに伴い回避型攻撃も 206% 増加したことを、セキュリティ研究者たちが観測している。この調査結果は、Menlo Security が先日に発表した “2023 State of Browser Security Report” で報告されており、ブラウザを標的とする Highly Evasive Adaptive Threats (HEAT) の急増という、懸念すべき傾向を浮き彫りにしている。
Continue reading “Web Browser ベースのフィッシング：2023年の前半／後半の比較で 198% も増加”75% of Organizations Hit by Ransomware in 2023
20124/01/17 InfoSecurity — Veeam の Data Protection Trends Report 2024 によると、2023年は 75％の組織が、少なくとも１回のランサムウェア攻撃を受けていたことがわかった。研究者たちによると、2023年は、ランサムウェア攻撃を受けなかったと回答した組織よりも、4回以上攻撃を受けた組織 (26％) の方が多かったという。Veeam の VP／Market Strategy である Jason Buffington は、「統計的に、ランサムウェアは、”発生するかどうか” というものではなく、”いつかは発生する可能性があるもの” だと言える」と、オンラインの事前ブリーフィングでコメントしている。
Continue reading “2023年ランサムウェア調査：組織の 75% が攻撃に遭っている – Veeam”Case Study: The Cookie Privacy Monster in Big Global Retail
2024/01/16 TheHackerNews — 先進的な暴露管理ソリューションが、 ある大手小売業界のクライアントを、Cookie 管理ポリシーのミスコンフィグレーションによる罰則から救った事例を紹介する。これは悪意のものではなかったが、現代の Web 環境は非常に複雑であるため、同様のミスは起こりうると言える。
Continue reading “グローバル小売業におけるクッキー・ミスコンフィグのケース・スタディ – Reflectiz”Security Experts Urge IT to Lock Down GitHub Services
2024/01/15 InfoSecurity — GitHub サービスを悪用して秘密裏にサイバー攻撃を仕掛けるケースが増えていると、脅威インテリジェンス企業である Recorded Future が警告している。同社は、企業の IT チームに対して、対策を講じるよう呼びかけている。Recorded Future の最新レポート “Flying Under the Radar: Abusing GitHub for Malicious Infrastructure” では、脅威アクターに最もよく悪用される GitHub サービスが列挙されている。
Continue reading “GitHub 2023 調査：リポジトリを悪用するサイバー攻撃の増加 – Recorded Future”82% of Companies Struggle to Manage Security Exposure
2024/01/09 InfoSecurity — セキュリティ上の脅威と、それに対する管理能力とのギャップが拡大していると、82％ もの企業が報告している。この数値は、XM Cyber の “2024 State of Security Posture Report” から抽出したものであり、この調査では、米国と英国の主要企業の CISO およびセキュリティ意思決定者 300人 から得られた知見がまとめられている。この、2024年1月9日に発行された報告書は、サイバー・セキュリティの課題に対して、組織が取り組む際の方式を調査し、業界内の傾向と問題に注目するものになっている。
Continue reading “82% の企業がセキュリティ管理に苦慮している：300人の CISO たちは何を考える？”China claims it cracked Apple’s AirDrop to find numbers, email addresses
2024/01/09 BleepingComputer — 中国の国営研究機関が発見したのは、Apple AirDrop 機能におけるデバイス・ログの解読方法だ。同機関は、この手法により、コンテンツを共有したユーザーの電話番号やメールアドレスを、政府が特定できるようになったと主張している。中国は以前から、国民に対する規制を行ってきた。同国が実施してきた規制策としては、モバイル・アプリへのアクセス・ブロックの Apple への要求がある。また、Signal などの暗号化されたメッセージング・アプリのブロックや、Great Firewall of China による中国国内での Web サイト閲覧規制なども挙げられる。
Continue reading “Apple AirDrop のデバイス・ログの解読方法を中国が発見：ユーザーの電話番号などが特定可能に”Why Public Links Expose Your SaaS Attack Surface
2024/01/09 TheHackerNews — SaaS の強力なセールスポイントとなっているのは、アプリケーション間における連携機能である。Microsoft／Github／Miro などは、ユーザーのパフォーマンスを高めるものとして、各々のソフトウェア・アプリケーションの連携性の高さを訴求している。ファイル／リポジトリ／掲示板などへのリンク URL は、どこでも、誰とでも、共有できる。それにより、地域や部署を越えて分散している従業員間の連携が促進され、より強力なキャンペーンやプロジェクトを生み出すためのチームワークが後押しされる。
Continue reading “ファイル共有のベスト・プラクティス：SaaS の公開リンクが攻撃対象になる理由とは？”Twilio will ditch its Authy desktop 2FA app in August, goes mobile only
2024/01/08 BleepingComputer — Authy デスクトップ・アプリの Windows／macOS／Linux 用が、2024年8月に廃止されることが決定した。同社はユーザーに対して、モバイル版の二要素認証 (2FA：Two-Factor Authentication) アプリへの切り替えを推奨している。Authy は、オンライン・アカウントに 2FA を設定できる認証アプリであり、30秒ごとに固有の認証コードを生成して、認証されたアクセスを容易にするものだ。
Continue reading “Authy のデスクトップ版が 2024年8月に廃止：モバイル版への移行を急ごう”Operation Japan’s Cyber Response to Fukushima Decision
2024/01/07 SecurityOnline — サイバー・セキュリティ界に新たなキャンペーンが登場し、大きな関心を呼んでいる。この Operation Japan と名付けられたキャンペーンは、福島第一原子力発電所の処理水を海に放出するという日本の決定が、物議を醸していることを背景に展開されている。この日本の決定はサイバー・アクティビズムの波を引き起こし、日本政府や民間企業に対する一連の協調的なサイバー攻撃につながっているという。
Continue reading “フクイチ核物質処理水とハクティビズム：日本の政府／民間へのサイバー攻撃が始まっている”Google: Malware abusing API is standard token theft, not an API issue
2024/01/06 BleepingComputer — Google は、先日に発見されたマルウェアの報告を軽視している。このマルウェアは、Google Chrome の文書化されていない API を悪用して、以前に盗まれた認証クッキーの有効期限が切れた際に新しい認証クッキーを生成するものだ。2023年11月下旬に、BleepingComputer は、攻撃で盗まれた期限切れの Google 認証クッキーを復元する２つの情報窃盗マルウェア・オペレーション Lumma／Rhadamanthys について報告をしている。これらのクッキーは、感染したユーザーの Google アカウントへの不正アクセスのために、脅威アクターに悪用される可能性がある。
Continue reading “Google API を介したトークン窃取：OAuth MultiLogin 問題は軽視されている？”X users fed up with constant stream of malicious crypto ads
2024/01/06 bleepingComputer — X の広告を悪用するサイバー犯罪者たちが、暗号ドレイナーや偽エアドロップなどの詐欺につながる Web サイトを宣伝している。X (旧 Twitter) は、他の広告プラットフォームと同様に、ユーザーのアクティビティに基づき、ユーザーの関心に一致した広告を表示させると謳っている。
Continue reading “急増する暗号通貨の詐欺広告：X 広告が悪用されている”Three Ways To Supercharge Your Software Supply Chain Security
2024/01/04 TheHackerNews — “Executive Order on Improving the Nation’s Cybersecurity” の第４節で紹介されているのは、技術業界の人々のための、ソフトウェア・サプライ・チェーンと安全性確保の概念である。もし、あなたがソフトウェアを作り、それを連邦政府機関に売りたいと考えているのであれば、ソフトウェア・サプライ・チェーンについて注意を払う必要がある。もし、政府機関に販売する計画がないとしても、ソフトウェア・サプライ・チェーンを理解し、その安全性を確保する方法を学ぶことで、より強固なセキュリティの足場とメリットという配当が得られる。この記事では、ソフトウェア・サプライチェーンのセキュリティを強化するための、３つの方法について説明していく。
Continue reading “ソフトウェア・サプライ・チェーンの安全性：三本柱の実践で改善できるはず”‘everything’ blocks devs from removing their own npm packages
2024/01/04 BleepingComputer — 年末年始の連休中に、npm パッケージのレジストリは 3,000以上のパッケージで溢れかえった。この、”everything” をダウンロードするように命名されたパッケージは、すべての npm パッケージを徐々に取り込む。それらは、コンピュータ上の npmjs.com レジストリに公開されものであり、ストレージが不足する可能性がある。 しかし、このような問題は、氷山の一角にすぎない。つまり、誰が “everything をインストールするのかという疑問は、このパッケージが持っている、もっと大きな副作用を無視している。
Continue reading “npm で発生した “依存性地獄”：パッケージ削除を禁止する最悪の連鎖が発生”LastPass now requires 12-character master passwords for better security
2024/01/03 BleepingComputer — 1月3日に LastPass が顧客に通知したのは、アカウントのセキュリティを高めるための、最低 12文字の複雑なマスター・パスワード使用の義務付けである。2018年以降において LastPass は、12 文字のマスター・パスワードが必要であると繰り返し述べてきたが、ユーザーたちは脆弱なものを使用することが可能であった。
Continue reading “LastPass が要求する 12文字以上のマスター・パスワード：2024年1月から強制”The Definitive Enterprise Browser Buyer’s Guide
2024/01/02 TheHackerNews — 現代の企業環境において、Web ブラウザは重要な役割を担っている。したがって、その管理／保護の方法の再評価が必要であると、セキュリティ関係者たちは認識し始めている。Web に起因するリスクは、エンドポイント／ネットワーク／クラウドなどの各ソリューションの、パッチワークのようなもので対処されてきたが、それらのソリューションが個別に提供する部分的な保護では、もはや不十分であることが明らかだ。
Continue reading “Enterprise Browser Buyer’s Guide：企業にとって重要な視点を提供する”Google Groups is ending support for Usenet to combat spam
2024/01/02 BleepingComputer — Google が先日に公式に発表したのは、Google Groups プラットフォームにおける、 Usenet グループのサポート終了だ。このサポートの終了は、2024年2月22日に実施され、それ以降においてユーザーは、Google Groups で新しい Usenet コンテンツの投稿／購読／閲覧ができなくなる。ただし、2月22日以前に投稿された、過去の Usenet コンテンツは、引き続き Google Groups で閲覧／検索できるという。
Continue reading “Google Groups が Usenet のサポート終了を発表：蔓延するスパム対策のため”Malware abuses Google OAuth endpoint to ‘revive’ cookies, hijack accounts
2023/12/29 BleepingComputer — 複数の情報窃取型マルウェア・ファミリーが、情報が文書化されていない MultiLogin という、Google OAuth エンドポイントを悪用していることが判明した。このエンドポイントを悪用することで、たとえアカウントのパスワードがリセットされた後でも、期限切れの認証クッキーを復元して、ユーザーのアカウントにログインすることが可能になる。セッション・クッキーとは、認証情報を含む特殊なブラウザ・クッキーであり、認証情報を入力することなく、Web サイトやサービスに自動的にログインできるようにするものだ。この種のクッキーは有効期間が限られているため、脅威アクターがクッキーを盗んだとしても、アカウントへのログインのために無期限に使用することはできないのが通常である。
Continue reading “OAuth エンドポイント MultiLogin：Google 認証クッキー復元の PoC もリリース”GitHub warns users to enable 2FA before upcoming deadline
2023/12/26 BleepingComputer — GitHub アカウントにおいて、２要素認証 (2FA) が有効化されていない場合には、同サイトでの機能が制限されると警告されている。クリスマス・イブに GitHub ユーザーに送られたメールには、 GitHub.com でコードをコントリビュートしている全ユーザーは、2024年1月19日までに 2FA を有効化する必要があると記されている。
Continue reading “GitHub の2FA 義務化：2024年1月19日から正式スタート”CVE-2023-51385 and CVE-2023-6004 – A Dual OpenSSH Threat
2023/12/23 SecurityOnline — 最近のことだが、セキュアなネットワーキングにおける重要コンポーネントである OpenSSH が、手ごわい難題に直面している。現在はパッチが適用されているセキュリティ脆弱性 CVE-2023-51385 (CVSS：9.8) が、セキュアチャネル・オペレーションの根幹を脅かしていたのだ。この脆弱性は、9.6p1 未満の全バージョンの OpenSSH に影響を及ぼす。
Continue reading “OpenSSH の脆弱性 CVE-2023-51385／CVE-2023-6004 が FIX：直ちにアップデートを！”CloakQuest3r: Uncover the true IP address of websites safeguarded by Cloudflare & Others
2023/12/21 SecurityOnline — CloakQuest3r は、Cloudflare などのサービスにより保護されている Web サイトの、真の IP アドレスを発見するために作成された、綿密かつ強力な Python ツールである。このツールの主な目的は、Cloudflare の保護シールドに隠れている Web サーバの実際の IP アドレスを正確に識別することにある。そして、この追跡における重要な技術として、サブドメイン・スキャンが採用されている。
Continue reading “CloakQuest3r：Cloudflare などで保護された真の IP アドレスを明らかにする”86% of cyberattacks are delivered over encrypted channels
2023/12/21 HelpNetSecurity — HTTPS を介した脅威は 2022年から 24%増加し、暗号化されたチャネルを標的にするサイバー犯罪の手口の巧妙化が、Zscaler により明らかにされた。２年連続で最も標的とされた業界は製造業であり、それに続く教育機関と政府機関は、前年比で攻撃増加率が最も高くなっている。その他の暗号化チャネルを介した攻撃タイプと比べて、悪意の Web コンテンツやマルウェアのペイロードなどの配信が多く見受けられ、すべてのブロックされた攻撃全体の 78% を、広告スパイウェア・サイトとクロスサイト・スクリプティング攻撃が占めていた。
Continue reading “サイバー攻撃の 86% は暗号化チャネルを介して到達する：HTTPS 攻撃は前年比で 24% 増”More Flaws, Fewer Frightmares: 2023 Cybersecurity – A Tale of Exploitable Echoes
2023/12/20 SecurityOnline — 2023年の終わりを迎えるにあたり、私たちのデジタル世界を形成してきたサイバー脅威を振り返ることは極めて重要である。今年のサイバー・セキュリティ領域はジェットコースターのような１年であり、デジタル脅威に対する理解と挑戦があり、また、前進させてきたという進展があった。Qualys Threat Research Unit の包括的な分析から、今年のサイバー脅威の状況について、重要な洞察を得ることが可能となっている。
Continue reading “2023年の脆弱性は 26,447件：悪用に至ったものは１％に過ぎない – Qualys”New Report: 85% Firms Face Cyber Incidents, 11% From Shadow IT
2023/12/20 InfoSecurity — これまでの２年間で、世界の企業の 85％ がサイバー・インシデントを経験しており、そのうちの 11％ は Shadow IT が原因となっている。この数字は、サイバー・セキュリティ企業 Kaspersky が、先日に実施した調査に基づくものであり、企業において懸念すべき脅威のパターンを露呈している。Kaspersky によると、分散型ワークフォースが拡大する中、従業員による Shadow IT の利用が深刻化しているため、企業におけるセキュリティが危殆性しているという。
Continue reading “企業の 85% でインシデントが発生：そのうちの 11% は Shadow IT 関連 -Kaspersky”Terrapin attacks can downgrade security of OpenSSH connections
2023/12/19 BleepingComputer — 広く普及している暗号化モードにおいて、ハンドシェイク・プロセス中のシーケンス番号を操作することで SSH チャネルの整合性を破壊する、Terrapin という新しい攻撃手法を学術研究者たちが考え出した。この操作により、通信チャネルを通じて交換されるメッセージの削除／変更が、攻撃者に許されることになる。結果として、OpenSSH 9.5 のユーザー認証に使用される公開鍵アルゴリズムのダウングレードや、キーストローク・タイミング攻撃に対する防御の無効化などにいたるという。
Continue reading “OpenSSH 接続を劣化させる Terrapin 攻撃：新たな研究成果が発表された”Novel SMTP Smuggling Technique Slips Past DMARC, Email Protections
2023/12/18 DarkReading — インターネットの創世記から電子メールの送信に使用されてきた、数十年前のプロトコルを悪用する新たな標的型フィッシング攻撃により、組織や個人が危険にさらされている。この手法を用いる攻撃者は、DMARC (Domain-based Message Authentication, Reporting and Conformance) などの電子メール保護を回避できるという。
Continue reading “SMTP スマグリングの最新テクニック：DMARC などの防御を潜り抜けていく”Google’s New Tracking Protection in Chrome Blocks Third-Party Cookies
2023/12/15 TheHackerNews — Google が 12月14日に発表したのは、Web ブラウザのサードパーティ・クッキーレス対策の一環としての、新たな機能である “Tracking Protection” のテストの開始である。このテストは、Chrome ユーザーの１％を対象にして、2024年1月4日から開始される予定だという。
Continue reading “Chrome Privacy Sandbox の新機能 Tracking Protection：2024年1月からテストが開始”Zoom’s Bug-Scoring System Prioritizes Riskiest Vulns for Cyber Teams
2023/12/14 DarkReading — ビデオ・カンファレンスを提供する Zoom のサイバーセキュリティ・チームが、脆弱性に関する新たなスコアリング・システムを展開し、危険な脅威に対する優先的なリソースの割り当てを効率化すると述べている。
Continue reading “Zoom が提案する新たな脆弱性スコアリング・システム VISS：理論値よりも現実値を優先”Stealthy KV-botnet hijacks SOHO routers and VPN devices
2023/12/13 BleepingComputer — Volt Typhoon (Bronze Silhouette) という中国由来の APT ハッキング・グループは、遅くとも 2022年以降において、SOHO ルーターを標的とする攻撃するために、KV-botnet ボットネットを使用していると推定される。Volt Typhoon の手口は、主に ルーター／ファイアウォール／VPN デバイスなどに対して、悪意のトラフィックをプロキシすることで、正規のトラフィックに紛れ込ませて検知を回避するというものだ。Microsoft と米国政府による共同レポートには、攻撃者たちは米国内の通信インフラを混乱させるための悪意のインフラを構築していると記されている。
Continue reading “Volt Typhoon は中国の APT：KV-botnet で SOHO ルーターや VPN 機器を攻撃？”Microsoft: OAuth apps used to automate BEC and cryptomining attacks
2023/12/12 BleepingComputer — Microsoft の警告は、金銭目的の攻撃者が OAuth アプリケーションを使用して、BEC 攻撃やフィッシング攻撃を自動化し、スパムをプッシュし、クリプト・マイニング用の VM を展開しているというものだ。OAuth (Open Authorization の略) とは、資格情報の代わりにトークンベースの認証と認可を介して、ユーザー定義のアクセス許可に基づいた、サーバ・リソースへの安全な委任アクセスを、アプリ対して許可するためのオープン・スタンダードである。
Continue reading “OAuth アプリに関する Microsoft の警告：侵害されたアカウントで悪意のアプリを作成”Over 30% of Log4J apps use a vulnerable version of the library
2023/12/10 BleepingComputer — Apache Log4j ライブラリの一連の脆弱性に対しては、２年以上も前からパッチがリリースされているが、それらを使用するアプリケーションの約 38% では、依然として脆弱なバージョンが用いられていることが判明した。それらの脆弱性の中には、深刻度が評価最大である、Log4Shell 脆弱性 CVE-2021-44228 も含まれている。
Continue reading “Apache Log4j アプリの 30％以上が脆弱なライブラリを使用している – Veracode 調査”Bypassing Major Edrs Using Pool Party Process Injection Techniques
2023/12/08 SecurityAffairs — サイバーセキュリティ企業 SafeBreach の研究者たちが、EDR ソリューションをバイパスするプロセス・インジェクションのテクニックを考案した。彼らは、このテクニックを Black Hat Europe 2023 で発表した。SafeBreach の研究者は、あまり調査されていない Windows のスレッド・プールに注目し、プロセス・インジェクションの新しい攻撃ベクターを発見した。
Continue reading “Pool Party プロセス・インジェクションという手法：主要 EDR ソリューションのバイパスに成功”Privilege elevation exploits used in over 50% of insider attacks
2023/12/08 BleepingComputer — 権限昇格の脆弱性は、企業のインサイダーがネットワーク上で不正な活動を行う際において、また、危険なツールの危険な方法でのダウンロードにおいて、頻繁に悪用される一般的な脆弱性である。2021年1月〜2023年4月に収集されたデータに基づく、CrowdStrike のレポートによると、インサイダーの脅威は増加傾向にあり、権限昇格の脆弱性の悪用が不正行為の重要な要素となっていることが判明した。
Continue reading “企業における権限昇格の脆弱性：インサイダー攻撃の 50％以上に悪用されている”Meta rolls out default end-to-end encryption on Messenger, Facebook
2023/12/07 BleepingComputer — Facebook および Messenger 介して行われる、すべてのチャットと通話について、直ちに E2EE (End-to-End Encryption) プロテクションを低起用すると、Meta が発表した。E2EE により、メッセージを交換する当事者だけが可読となり、データ保護が促進される。つまり、それ以外の不正なアクセス者は、スクランブルされた情報だけを得ることになる。
Continue reading “Facebook／Messenger の End-to-End 暗号化が本格スタート：デフォルトで ON になる！”Apple Commissions Data Breach Study to Highlight Need for End-to-End Encryption
2023/12/07 SecurityWeek — Apple が委託した調査により、過去２年間にわたるデータ漏洩の結果が分析され、推定で 26億件の個人記録が漏洩していたことが判明した。同社は、End-to-End 暗号化 (E2EE：end-to-end encryption) の必要性を訴えている。この “The Continued Threat to Personal Data: Key Factors Behind the 2023 Increase” という調査は、MIT の Stuart Madnick 教授により実施されたものであり、過去１年間に発生した主なデータ漏洩を精査し、いくつかの傾向を明らかにしている。
Continue reading “Apple によるデータ漏洩調査：End-to-End 暗号化の必要性を強調”LockBit Remains Top Global Ransomware Threat
2023/12/06 InfoSecurity — LockBit ランサムウェアは、世界のすべての地域における大半の業界に対する、主要なデジタル恐喝の脅威であり続けていると、ZeroFox のレポートは主張している。2022年1月〜2023年9月の分析において研究者たちは、世界の R&DE (Ransomware and Digital Extortion) 攻撃の 25% 以上で、LockBit が利用されてきたことを、研究者たちは指摘している。そこには、同期間中に欧州で発生した全 R&DE 攻撃の30％ および、北米で発生した 25％ が含まれる。
Continue reading “LockBit の強さを解析：あらゆる地域と業界でアフィリエイトを介して攻撃を成功させる”Disney+ Cyber Scheme Exposes New Impersonation Attack Tactics
2023/12/05 InfoSecurity — サイバー攻撃におけるブランドへのなりすましが、新たなレベルに達していると、Abnormal Security の最新調査が示している。これまでにおいて、金融機関やソーシャルメディアで確認されていた、高度にパーソナライズされた多段階攻撃を、いまの脅威アクターたちは採用しているようだ。Abnormal の CISO である Mike Britton が発表した研究結果では、人気のストリーミング・サービスの Disney+ になりすました脅威アクターが、巧妙な手口で攻撃を仕掛けている事例が明示されている。
Continue reading “Disney+ を装うサイバー詐欺：なりすましにおける新たな手口を解析”Google Chrome’s new cache change could boost performance
2023/12/02 BleepingComputer — Google Chrome の Back/Forward Cache (BFCache) 動作に、大きな変更が加えられた。それにより、ブラウザのキャッシュにページを保存を、Web マスターが行わないように指定した場合であっても、Web ページはキャッシュに保存されるようになる。
Continue reading “Google Chrome におけるキャッシュの役割：その再定義により何が変わるのか？”Exposed: Hidden Risks in Google Workspace’s Domain Delegation
2023/12/01 SecurityOnline — Google Workspace の Domain-Wide Delegation 機能に深刻なリスクが潜んでいることが、Palo Alto Networks の Unit 42 研究者たちより明らかにされた。この発見は、Google Cloud Platform (GCP) から Google Workspace ドメイン・データを悪用する可能性に光を当てるものだ。進化を続けるクラウド・コンピューティングの領域において、各種のサービスで見過ごされがちな、複雑な脆弱性を浮き彫りにするものである。
Continue reading “GCP から Google Workspace への横移動と攻撃：Domain-Wide Delegation の深刻なリスク”CISA Debuts ‘Secure by Design’ Alert Series
2023/11/30 SecurityWeek — 11月21日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、セキュリティが未実装のソフトウェア開発ライフサイクルがもたらす被害を強調するための、新たなタイプの警告を導入した。この Secure by Design (SbD) アラートは、脅威に対する防御や対応について詳述するものではなく、ベンダーの意思決定を示すものであり、それにより世界的な規模で被害を減らすことを目的とする、情報を提供するものである。
Continue reading “CISA の Secure-by-Design 第一弾：安全な Web 管理インターフェイスのために”AI Boosts Malware Detection Rates by 70%
2023/11/29 InfoSecurity — 脅威インテリジェンス共有プラットフォーム VirusTotal が発表したのは、マルウェア分析を強化するサイバー防御者たちが、AI を活用する方法を示す新たな調査結果である。VirusTotal が、この調査を通じて明らかにしたのは、AI が悪意のコードの解析に対して極めて有効であり、従来の手法と比較して 70% も多くの、悪意のスクリプトを特定する能力を持っていることだ。
Continue reading “VirusTotal における AI の活用：マルウェア検出が 70% も向上している”How passkeys are reshaping user security and convenience
2023/11/28 HelpNetSecurity — この Help Net Security のインタビューは、1Password の Head of Passwordless である Anna Pobletts が、Passkeys の導入と 2024年のその加速について語ったものだ。この傾向は、特にフィンテックや銀行などの規制の厳しいサービスにおいて顕著になっており、それらのユーザーはシンプルで馴染みのあるサインイン体験を求めている。Anna Pobletts は、パスワードレス認証がヘルプデスクや IT リソースの負担を軽減する方法と、ビジネスの加速／増収などの、より差し迫った問題に対して、時間とエネルギーを注ぐための方法についても述べている。
Continue reading “Passkeys の導入が拡大：2024年はイケイケで さらに加速？”
You must be logged in to post a comment.