バグバウンティ・プログラム市場の需要と供給:誰もが幸せになれない現状を考える

Why Bug-Bounty Programs Are Failing Everyone

2022/07/30 DarkReading — Black Hat USA の講演で Katie Moussouris は、バグバウンティ・プログラムが目標を達成できない理由と、セキュリティ上の成果としてバウンティを活用するために、それに続くステップで必要となるものを説明することになる。

Continue reading “バグバウンティ・プログラム市場の需要と供給:誰もが幸せになれない現状を考える”

IPFS 分散型ファイル・システムとサイバー犯罪:フィッシング・キャンペーンの温床?

Researchers Warns of Increase in Phishing Attacks Using Decentralized IPFS Network

2022/07/29 TheHackerNews — IPFS と呼ばれる分散型ファイル・システム・ソリューションが、フィッシング・サイトをホストするための新たな温床になりつつあると、研究者たちが警告を発している。サイバー・セキュリティ企業の Trustwave SpiderLabs は、特定された過去3ヶ月間の攻撃キャンペーンの詳細を公開し、攻撃ベクターとして IPFS フィッシング URL を含む、3,000 以上の電子メールを確認したと述べている。

Continue reading “IPFS 分散型ファイル・システムとサイバー犯罪:フィッシング・キャンペーンの温床?”

Microsoft の Office マクロ対策:ブロック後のハッカーたちの動向を統計値で見る

As Microsoft blocks Office macros, hackers find new attack vectors

2022/07/28 BleepingComputer — これまでのフィッシングでは、悪意の Office マクロを埋め込んだ添付ファイルでマルウェアを配布していたハッカーたちだが、Microsoft がデフォルトで Office マクロをブロックするようになってから戦術を変更し、ISO/RAR/LNK (Windows ショートカット) などの、新しいファイル・タイプへと添付ファイルを切り替えている。

Continue reading “Microsoft の Office マクロ対策:ブロック後のハッカーたちの動向を統計値で見る”

AWS における Security/Privacy/Compliance 対応:クラウド・ユーザーを強力に支援

AWS Announces Enhancements to Cloud Security, Privacy, Compliance

2022/07/27 SecurityWeek — AWS が新たに立ち上げた Customer Incident Response Team (CIRT) は、顧客が責任を負うシステムやデータに影響を与える、アクティブなセキュリティ・イベント時に、ユーザーを支援することを目的とする。AWS CIRT との連携は、サポートケースを開設することで実施される。また、AWSのアカウントとワークロード向けの脅威検知サービス である Amazon GuardDuty に、マルウェア検知機能が追加されることも発表された。この Malware Protection 機能を有効にすると、EC2 インスタンスやコンテナ・ワークロードで不審なアクティビティが検出されたたときに、マルウェアスキャンが開始される。

Continue reading “AWS における Security/Privacy/Compliance 対応:クラウド・ユーザーを強力に支援”

DDoS トレンド 2022:ウクライナから世界へと広がる規模と頻度

DDoS Attack Trends in 2022: Ultrashort, Powerful, Multivector Attacks

2022/07/27 BleepingComputer — 2022年に入ってからというもの、ヨーロッパをはじめとする世界の政治情勢は劇的に悪化した。それにより、DDoS 攻撃の性質/強度/地理的条件に影響が生じ、政治的な目的のために積極的に利用されるようになった。

Continue reading “DDoS トレンド 2022:ウクライナから世界へと広がる規模と頻度”

Detectree インシデント分析:可視化のための OSSツールでアラート疲労を軽減

Detectree: Open-source tool simplifies data analysis for blue teams, reduces alert fatigue

2022/07/22 HelpNetSecurity — セキュリティ・インシデントが止まらない中、悪意の活動と影響の特定に、数多くの企業が苦戦している。攻撃を食い止め、被害を最小限に抑えるための、時間とリソースが浪費されている。そこに、インシデントの可視性を高めることで、企業における損害を緩和する新しいオープンソースツールが登場した。

Continue reading “Detectree インシデント分析:可視化のための OSSツールでアラート疲労を軽減”

サイバー保険を考える:ランサムウェアが引き上げる保険料と予測不能な未来

Ransomware Scourge Drives Price Hikes in Cyber Insurance

2022/07/12 DarkReading — ランサムウェア攻撃がもたらすコスト上昇により、英国/米国でサイバー保険の保険料が大幅に上昇していることが、新しいデータで明らかになった。米国では、過去2年間の平均支払額が $3.5 million を超えており、顧客のセキュリティ指標や対策に直接アクセスしたいと考える、サイバー・セキュリティ保険会社が増えているようだ。サイバー保険業界の現状に関する Panaseer のレポートによると、このような方式の採用により、セキュリティ管理の状況を証明しやすくなるという。

Continue reading “サイバー保険を考える:ランサムウェアが引き上げる保険料と予測不能な未来”

Microsoft Windows の Autopatch が開始:Enterprise E3/E5 ライセンスを持つ顧客が対象

Microsoft Windows Autopatch is Now Generally Available for Enterprise Systems

2922/07/11 TheHackerNews — 月曜日に Microsoft は、登録されたエンドポイントで Windows/Office ソフトウェアを自動的に最新の状態に保つ、Autopatch と呼ばれる機能の一般提供を発表した。Microsoft が月例セキュリティ・パッチをリリースする前日に、この機能は発表されており、Windows Enterprise E3/E5 ライセンスを持つ顧客が利用できるものとなる。ただし、Windows Education (A3) および Windows Front Line Worker (F3) ライセンスには対応していない。

Continue reading “Microsoft Windows の Autopatch が開始:Enterprise E3/E5 ライセンスを持つ顧客が対象”

Microsoft Azure AD 認証がアップデート:期限付きパスコードの提供で高まる柔軟性

Microsoft updates Azure AD with support for temporary passcodes

2022/07/01 BleepingComputer — Azure Active Directory (Azure AD) の管理者による、期限付きのパスコードの発行が可能になった。このパスコードは、パスワードレス認証での新規登録や、Windows オンボーディング時において、また、認証情報や FIDO2 キー紛失などのアカウント復旧においても利用できる。 Microsoft は TAP (Temporary Access Pass) と表現しているが、Azure ポータルからAzure AD の認証方式ポリシーで TAP を有効にすると、(初回サインアップ時やデバイスのセットアップ時に) 認証情報を登録するために利用できるようになる。

Continue reading “Microsoft Azure AD 認証がアップデート:期限付きパスコードの提供で高まる柔軟性”

オープンソース・ソフトウェアと脆弱性の関係:実際に攻撃可能なものは3%に過ぎない

Only 3% of Open Source Software Bugs Are Actually Attackable, Researchers Say

2022/06/25 DarkReading — ソフトウェア・サプライチェーンにおけるセキュリティ・リスクが高まる中、脆弱性管理の作業負荷が増大しているが、今日の Shiftleft レポートでは、現存の脆弱性のうち、実際に攻撃者が到達可能なものは約3%に過ぎないことが示されている。このデータは、アプリケーション・セキュリティ (appsec) の専門家と開発者たちが、攻撃可能な脆弱性の修正と軽減に注力すれば、チームの負担を劇的に軽減できることを示唆している。

Continue reading “オープンソース・ソフトウェアと脆弱性の関係:実際に攻撃可能なものは3%に過ぎない”

IoT アーキテクチャ@カーネギーメロン大:データ最小化の原則に基づく動作とは?

New Privacy Framework for IoT Devices Gives Users Control Over Data Sharing

2022/06/09 TheHackerNews — プライバシーに配慮した、新たにデザインされたアーキテクチャでは、開発者がデータ共有の懸念に対処し、ユーザーが個人情報を管理できるような方法で、スマートホーム・アプリを作成することが目的となっている。カーネギーメロン大学の研究者たちにより Peekaboo と名付けられたシステムは、「家庭内のハブを活用し、外部のクラウド・サーバーに送信する前に、構造的かつ強制力のある方法で、送信データを前処理して最小化する」と説明されている。

Continue reading “IoT アーキテクチャ@カーネギーメロン大:データ最小化の原則に基づく動作とは?”

SBoM 支持の CISA/OpenSSF/OWASP:ソフトウェア・サプライチェーンのリスクを軽減

Gathering Momentum: 3 Steps Forward to Expand SBoM Use

2022/06/06 DarkReading — IT 環境における Software Bills of Materials (SBoM) の普及を求める声は大きくなっているが、アプリケーション・ポートフォリオで使用されている、ソフトウェア・コンポーネントの追跡のために SBoM を一貫して導入している組織は、相対的に少ないという現実がある。

Continue reading “SBoM 支持の CISA/OpenSSF/OWASP:ソフトウェア・サプライチェーンのリスクを軽減”

Google がパッケージの依存関係をグラフで分析:Open-Source Maintenance Crew とは?

Google Created ‘Open-Source Maintenance Crew’ to Help Secure Critical Projects

2022/05/13 TheHackerNews — 木曜日に Google は、重要なオープンソース・プロジェクトのセキュリティ強化のために、Open Source Maintenance Crew を創設したことを発表した。さらに Google は、パッケージと依存関係をグラフで分析するツールとして Open Source Insights を指摘し、それを使って「依存関係にある脆弱性が自身のコードに影響を及ぼす可能性の有無を判断する」ことを提案した。

Continue reading “Google がパッケージの依存関係をグラフで分析:Open-Source Maintenance Crew とは?”

CISO として考えるべき脅威検知の視点:7つの質問を用意してみた

7 threat detection challenges CISOs face and what they can do about it

2022/05/05 HelpNetSecurity — セキュリティ運用 (SecOps) チームは、新たな攻撃やマルウェアの亜種の氾濫に、さらされ続けている。最近の AV-TEST 調査によると、2021年だけで 1億7000万以上の新しいマルウェア亜種が存在している。その結果として、CISO とチームが、これらの新たな脅威を特定し、阻止するための負担は、かつてないほど高まっている。しかし、それを行おうとすると、スキル不足/データの相関関係の特定 (手作業)/誤検出の追及/長時間の調査といった、さまざまな課題に直面する。この記事では、CISO が直面している脅威検知プログラムの課題を探り、セキュリティ運用を改善するためのヒントを紹介したいと思う。

Continue reading “CISO として考えるべき脅威検知の視点:7つの質問を用意してみた”

OpenSSF の新プロジェクトが実用段階に:OSS リポジトリから悪意のパッケージを探し出す

New OpenSSF Project Hunts for Malicious Packages in Open Source Repositories

2022/04/29 SecurityWeek — Open Source Security Foundation (OpenSSF) が発表した新しいプロジェクトとは、オープンソース・リポジトリ内の悪意のパッケージの特定を、支援することを目的とするものだ。OpenSSF によると、この Package Analysis プロジェクトは、オープンソース・パッケージの挙動と機能 (アクセスするファイル/サポートするコマンド/接続する IP など) を特定し、疑わしい活動を明らかにし、変更を追跡することを目的としている。

Continue reading “OpenSSF の新プロジェクトが実用段階に:OSS リポジトリから悪意のパッケージを探し出す”

メッセージング・アプリの選び方:利便性と安全性をビジネス目線で考察する

Which Third-Party Messenger App Is Best for Secure Business?

2022/04/07 SecurityIntelligence — 2021年10月のこと、世界中で Facebook/Instagram/WhatsApp/Messenger が最大で6時間にわたり停止し、数十億人がメッセージ・サービスを受けられなくなった。Facebook のエンジニアたちが問題解決に奔走する間、ユーザーは他のアプリに移行してつながりを維持した。Telegram の創設者である Pavel Durov によると、この停止の後に、7000万人のユーザーが増加したという。

Continue reading “メッセージング・アプリの選び方:利便性と安全性をビジネス目線で考察する”

Google と GitHub が協力:ソフトウェアの真正性確保によりサプライチェーン攻撃に対抗

Google Teams Up With GitHub for Supply Chain Security

2022/04/07 SecurityWeek — Google と GitHub が協力して、SolarWinds や Codecov に影響を与えたような、ソフトウェア・サプライチェーン攻撃に対抗するための、防御ソリューションを提供している。Google の Open Source Security Team の説明によると、SolarWinds の攻撃では、ハッカーがビルド・サーバーを制御し、ビルド・プラットフォームに悪意のアーティファクトを注入している。また、Codecov の攻撃では、脅威者は信頼できるビルド・サーバを迂回して、悪意のアーティファクトをアップロードしていた。

Continue reading “Google と GitHub が協力:ソフトウェアの真正性確保によりサプライチェーン攻撃に対抗”

GitHub 調査:不適切なソースコード管理によりパスワードなどの機密情報が漏洩

Companies’ Code Leaking More Passwords and Secrets

2022/03/03 DarkReading — 今日の GitGuardian の新しいレポートによると、2021年に組織全般から流出したパスワード/AP Iキーなどの機密データは 600万件を超え、前年の2倍に増加したとのことです。このレポートでは、より多くのコードがリポジトリにプッシュされ、より優れた検出機能が利用できるようになったことが主要因である。

Continue reading “GitHub 調査:不適切なソースコード管理によりパスワードなどの機密情報が漏洩”

ウクライナ戦でのオンラン・バトル:最前線に押し出された SNS の役割とは?

The Online Battle In Ukraine

2022/03/02 CyberSecurityIntelligence — 多くの人々のポケットに入ったスマフォのカメラから、ロシアによるウクライナ侵攻の様子が世界に流れ出している。デジタル時代の新たな最前線であるインターネットを導入された、ヨーロッパで初めて経験する武力紛争である。オンラインでの戦いが双方でエスカレートし、米国のテクノロジー企業はロシアからのコンテンツのブロックについて混乱している。たとえば、オンライン検閲や、偽情報の拡散を考える一方で、ミサイル攻撃に直面しているウクライナのインターネットユーザーのことも考える必要がある。

Continue reading “ウクライナ戦でのオンラン・バトル:最前線に押し出された SNS の役割とは?”

CISA が編纂するリスト:サイバー・セキュリティのための無償ツール/サービス

CISA compiles list of free cybersecurity tools and services

2022/02/19 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃からの防御を強化し、組織のセキュリティ能力を高めるための、無料のサイバー・セキュリティ・サービス/ツールのリストを公開した。このリストは、包括的なものではなく、また、変化にも対応できるものだが、サイバー・セキュリティ・プログラムのための、基本的なセキュリティ対策と組み合わせることで、企業のサイバー・セキュリティ・リスク管理を成熟させることを目的としている。

Continue reading “CISA が編纂するリスト:サイバー・セキュリティのための無償ツール/サービス”

GitHub の新しいコード・スキャン:JavaScript/TypeScript のエコシステムをサポート

GitHub code scanning now finds more security vulnerabilities

2022/02/17 BleepingComputer — 昨日に GitHub は、機械学習を利用した新しいコード・スキャン解析機能を発表した。これにより、より一般的なセキュリティ脆弱性を、プロダクション環境に至る前に自動的に発見することが可能となる。この新しい実験的な静的解析機能は、JavaScript および TypeScript の GitHub リポジトリで、パブリック・ベータ版として提供されている。

Continue reading “GitHub の新しいコード・スキャン:JavaScript/TypeScript のエコシステムをサポート”

Google Cloud と Log4Shell:ピーク時のスキャン数は 40万件/日

Google Cloud offers good news and bad news on Log4Shell, other issues

2022/02/15 CyberScoop — Google Cloud では、Log4Shell バグを持つ脆弱なシステムに対して、1日あたり 40万回のスキャンが行われていると、同社は火曜日に発表した。Google Cloud の CISO である Phil Venables は CyberScoop に対して、「当社の不定期レポート Threat Horizons の調査結果では、スキャンは継続的に行われており、脆弱なインスタンスを1つでもオープンにしておくと発見される。IT セキュリティ担当者は常に注意を払う必要がある」と述べている。

Continue reading “Google Cloud と Log4Shell:ピーク時のスキャン数は 40万件/日”

脆弱性スキャンの現状:対象は3倍になり頻度は 20倍になっている

Vulnerability Scanning Triples, Leading to Two-Thirds Fewer Flaws

2022/02/09 DarkReading — Veracode の最新レポート State of Software Security によると、10年前との比較において企業は、アプリケーション・セキュリティ・テストの頻度を高めており、スキャンの対象となるアプリケーション数は3倍に、また、アプリケーションごとのスキャン回数は20倍になっている。

Veracode は、DevSecOps と呼ばれる文化的変化の特徴である、スキャン頻度の増加や、テストとデプロイの自動化、開発者の教育などに注力した結果として、脆弱なライブラリの数が 3分の2に減少し、欠陥の修正に要する時間が 3分の1に短縮されたとしている。

Continue reading “脆弱性スキャンの現状:対象は3倍になり頻度は 20倍になっている”

Secure Web Gateway と Web Filtering:ルール/メリット/問題点は?

How To Secure Web Gateway & Web Filtering

2022/01/26 CyberSecurityIntelligence — Secure Web Gateway は、企業のセキュリティ・ポリシーを適用し、悪意のインターネット・トラフィックをリアルタイムにフィルタリングすることで、オンライン・セキュリティの脅威からの保護を強化する。Secure Web Gateway は、最低限、URL フィルタリング/Web アプリケーションのコントロール/悪意のコードの検出とフィルタリングなどを提供するが、データ漏洩防止機能も不可欠となる。

Continue reading “Secure Web Gateway と Web Filtering:ルール/メリット/問題点は?”

米国の国土安全保障省がバグバウンティを実施:Hack DHS プログラムとは?

The DHS is inviting hackers to break into its systems, but there are rules of engagement

2021/12/16 StateOfSecurity — 米国の国土安全保障省 (DHS : Department of Homeland Security) は、悪意の攻撃から自らを守るために、脆弱性の発見やシステムへの侵入を、セキュリティ研究者に呼びかけている。DHS は、「DHS の特定システム内のサイバー・セキュリティ脆弱性を特定し、同省のサイバー・セキュリティの回復力を高めるために、バグバウンティ・プログラム Hack DHS を開始すると発表している。

Continue reading “米国の国土安全保障省がバグバウンティを実施:Hack DHS プログラムとは?”

VirusTotal Collections が登場:Indicators of Compromise (IoC) の共有を推進する

VirusTotal Collections allows enhancing the sharing of Indicators of Compromise (IoCs)

2021/12/01 SecurityAffairs — VirusTotal は、脅威研究者がたちが IoC (Indicators of Compromise) を共有するための、新サービス VirusTotal Collections を発表した。このコレクションは、特定の脅威に関連する IoC を含むライ・ブレポートであり、VirusTotal の登録ユーザーであれば利用できる。また、このレポートには、最新の VirusTotal 分析メタ・データが含まれる。

Continue reading “VirusTotal Collections が登場:Indicators of Compromise (IoC) の共有を推進する”

Honeywell の量子コンピュータ子会社が分社と合併で大規模にビジネス展開

New Quantum Computing Giant Quantinuum to Launch Cybersecurity Product

2021/12/01 SecurityWeek — 火曜日のこと、Honeywell Quantum Solutions と Cambridge Quantum は合併し、Quantinuum を設立したことを発表した。彼らは、世界最大の統合量子コンピューティング企業と、自らを表現している。Honeywell Quantum Solutions は量子ハードウェアに特化し、Cambridge Quantum はソフトウェア/オペレーティング・システム/サイバー・セキュリティに特化する企業だった。この合併の目的は、量子コンピューター分野の開発と革新を促進することにあるという。

Continue reading “Honeywell の量子コンピュータ子会社が分社と合併で大規模にビジネス展開”

AWS re:Invent カンファレンス:Aviatrix が提供する Cloud Management Platform とは?

Aviatrix Adds Security Capabilities to Cloud Management Platform

2021/11/30 SecurityBoulevard — AWS re:Invent カンファレンスにおいて Aviatrix は、クラウド・サービス・プロバイダーが提供する複数の Software-Defined Networking サービスを、IT チームが管理するためのデータ・プレーンに、セキュリティ機能を追加したことを発表した。Aviatrix の VP of Product Marketing である Bryan Ashley は、ThreatIQ with ThreatGuard のセキュリティ機能が組み込まれたことで、すべてのネットワーク・ノードにおいて、トラフィックの検査とポリシーの適用が可能になったと述べている。

Continue reading “AWS re:Invent カンファレンス:Aviatrix が提供する Cloud Management Platform とは?”

オープンソースからバグを取り除く:重要なのは報奨金とエコシステムだ

Searching for Bugs in Open Source Code

2021/11/30 SecurityBoulevard — まずは、迷信の払拭から始めよう。オープンソース・ソフトウェアが、クローズドソース・ソフトウェアよりも、安全性が低いということはない。しかし、オープンソースのプログラムに脆弱性が発見されると、クローズドソースで発見された脆弱性よりも、はるかに容易に武器化し、悪用される傾向にある。これが、現実だ。

Continue reading “オープンソースからバグを取り除く:重要なのは報奨金とエコシステムだ”

Microsoft Office 365:全ユーザーのディフォルト保護レベルを Admin 設定で強化する

Microsoft: Office 365 will boost default protection for all users

2021/11/20 BleepingComputer — Microsoft は、Defender for Office 365 に Built-In Protection を導入する。この機能は、推奨される設定やポリシーを自動的に有効にし、すべての新規/既存のユーザーが、少なくとも基本的なレベルの保護を受けられるようにする新機能である。

Continue reading “Microsoft Office 365:全ユーザーのディフォルト保護レベルを Admin 設定で強化する”

Palo Alto Networks が拡張するクラウドのためのセキュリティ・ポートフォリオとは?

Palo Alto Networks Extends Cloud Security Portfolio

2021/11/16 SecurityBoulevard — Palo Alto Networks は、オンライン会議 Ignite ’21 において、セキュリティ・プラットフォーム Prisma Cloud 3.0 を発表し、クラウド・インフラを保護するツールと、アプリケーションを保護するエージェントレス・オプションを追加すると述べた。同時に、Cloud Access Security Broker (CASB) を刷新し、機械学習アルゴリズム/NLP (自然言語処理) を活用することで、何千もの SaaS アプリケーションのデータを即時的/自動的に保護するという。

Continue reading “Palo Alto Networks が拡張するクラウドのためのセキュリティ・ポートフォリオとは?”

Microsoft Defender for Endpoint に AI 駆動型のランサムウェア検知機能が追加

Microsoft adds AI-driven ransomware protection to Defender

2021/11/16 BleepingComputer — Microsoft は Defender for Endpoint の顧客に対して、AI によるランサムウェア攻撃検知システムを提供し、境界でリスクを評価して脅威アクターをブロックすることで、既存のクラウド保護を補完すると発表した。人間により操作されるランサムウェア攻撃は、特定の手法や行動を特徴としているため、データ駆動型の AI アプローチを用いて、この種の攻撃を検知できると、同社は考えている。

Continue reading “Microsoft Defender for Endpoint に AI 駆動型のランサムウェア検知機能が追加”

Black Hat Europe:世界のデジタルインフラを保護するには法改正が不可欠だ

Black Hat Europe: Laws and regulations need to change to secure world’s digital infrastructure

2021/11/10 DailySwig — 11月10日に開催された Black Hat Europe においては、民主的な制度や価値観に対する侵食を食い止めるためには、デジタル兵器に対する規制を強化し、サイバー・セキュリティの経済学を再考する必要があるとの意見が出された。スタンフォード大学 Cyber Policy Center の International Policy Director である Marietje Schaake は、現在のデジタル・インフラの運用方法が、民主主義の原則を侵食し、サイバー攻撃に対して脆弱になっていると警告した。

Continue reading “Black Hat Europe:世界のデジタルインフラを保護するには法改正が不可欠だ”

レッドチームが必要な理由:PoC エクスプロイトが重要な理由

Red Teams and the Value of Open Source PoC Exploits

2021/11/10 SecurityBoulevard — レッド・チームとは、優れたサイバー・セキュリティを構成するうえで必要な要素である。(ISC)2 Security Congressで講演した、セキュリティ研究者の Richard Tychansky は、レッド・チームは攻撃的なセキュリティであると説明している。レッド・チームのプロセスにおいては、いくつかの段階的なステップを踏む必要があると、彼は言う。

Continue reading “レッドチームが必要な理由:PoC エクスプロイトが重要な理由”

Oracle Cloud に無償のセキュリティ・サービスが提供される理由は?

Oracle Adds Free Security Services to Public Cloud

2021/11/09 SecurityBoulevard — 今日、Oracle Cloud Infrastructure (OCI) プラットフォームに4つの無料サービスが追加され、クラウド・セキュリティに関する、同社の懸念への対応が進められた。Oracle Cloud Infrastructure Vulnerability Scanning Service (OCI VSS) は、パッチが適用されていない脆弱性や、開放されたポートを特定するための無料サービスであり、OCI 上に展開されたアプリケーションのセキュリティ状態を監視する、無料サービスである Cloud Guard と統合される。

Continue reading “Oracle Cloud に無償のセキュリティ・サービスが提供される理由は?”

ゼロトラストにおける5つの迷信を検証していく

Debunking Five Myths About Zero-Trust

2021/11/05 SecurityBoulevard — セキュリティ業界では、何年も前からゼロトラストという言葉が使われている。ゼロトラストはセキュリティ業界の最新バズワードだと、多くの人々が捉えているかもしれないが、実際には何年も前から存在している概念である。

Continue reading “ゼロトラストにおける5つの迷信を検証していく”

フィッシング・リンクを従業員に踏ませないための5つのチップス

How To Prevent Your Employees Clicking On Phishing Links

2021/11/03 CyberSecurityIntelligence — フィッシングとは、信頼できる機関を装う詐欺師が、被害者を騙すサイバー攻撃の一種である。通常、フィッシャーは被害者の機密情報を入手し、マルウェアを展開する。フィッシャーは何十もの巧妙な手口を使うため、信頼できる送信者と詐欺師を見分けるのに苦労することがよくある。

Continue reading “フィッシング・リンクを従業員に踏ませないための5つのチップス”

Microsoft のマルチ・クラウド・セキュリティ戦略:Azure Preview に AWS も統合

Microsoft Expands Security to AWS in Multicloud Push

2021/11/03 DarkReading — 今日、Microsoft は Ignite 2021 カンファレンスを開催し、エンタープライズ・のクラウド保護について、特にマルチクラウド環境への対応に重点を置く、クラウド・セキュリティに関する発表を行った。同社は、Microsoft Defender for Cloud (旧称:Azure Security Center および Azure Defender) と呼ばれるスイート製品の中で AWS に対しても、ネイティブな Cloud Security Posture Management (CSPM) およびワークロード保護機能を拡張していく。

Continue reading “Microsoft のマルチ・クラウド・セキュリティ戦略:Azure Preview に AWS も統合”

クラウドにおけるデータの暗号化と保護:大半の企業が未達成という状況

Companies Fail to Encrypt, Protect Data in the Cloud

2021/11/02 SecurityBoulevard — 昨年において、40% の組織が、クラウド・ベース侵害の被害に遭っていることを考えると、クラウド上のデータを保護することに重きが置かれていると思えてくる。しかし、2021 Thales Global Cloud Security を観ると、そうでも無さそうだ。なんと 83% もの企業が、クラウド上に保管している機密データを、半分も暗号化できていないのだ。さらに、3分の1にあたる 34% は、暗号化キーを完全に管理していない。

Continue reading “クラウドにおけるデータの暗号化と保護:大半の企業が未達成という状況”

SaaS を安全に運用するためのソリューション:CASB と SSPM の違いはどこに?

Securing SaaS Apps — CASB vs. SSPM

2021/11/01 TheHackerNews — Cloud Access Security Brokers (CASB) と SaaS Security Posture Management (SSPM) は、SaaS アプリケーションのセキュリティに対処するために設計されたソリューションであるため、しばしば混同される。CASBは、重要なデータを保護するために、複数のセキュリティ・ポリシーを実施することで、機密データを保護する。

Continue reading “SaaS を安全に運用するためのソリューション:CASB と SSPM の違いはどこに?”

SaaS セキュリティ統合:SSPM ツールを選ぶ際のチェックリスト

The Ultimate SaaS Security Posture Management (SSPM) Checklist

2021/10/14 TheHackerNews — クラウド・セキュリティとは、その中に IaaS/PaaS/SaaS を抱く傘である。Gartner は、セキュリティ・リスクを継続的に評価し、SaaS アプリケーションのセキュリティ体制を管理するソリューションとして、SaaS Security Posture Management (SSPM) カテゴリーを設けた。

Continue reading “SaaS セキュリティ統合:SSPM ツールを選ぶ際のチェックリスト”

Google の二要素認証:年内に1億5000万人を自動的に移行させる

Google to turn on 2-factor authentication by default for 150 million users

2021/10/06 TheHackerNews — Google は、アカウントへの不正アクセスを防ぎ、セキュリティを向上させるための継続的な取り組みの一環として、約1億5,000万人のユーザーを二要素認証スキームに、年内を目標に自動的に登録する計画を発表した。また、200万人の YouTube クリエイターに対しても、二段階認証 (2SV) の設定を義務付けることで、チャンネル乗っ取りから守るとしている。

Continue reading “Google の二要素認証:年内に1億5000万人を自動的に移行させる”

Puppet のコンプライアンス自動管理モジュール:Policy-as-Code の実装が進む?

Puppet Adds Modules to Automate Compliance Management

2021/10/01 SecurityBoulevard — 今週に開催されたオンライン・カンファレンス Puppetize Digital 2021 において、Puppet は IT オートメーション・プラットフォームの範囲を拡大し、Compliance Enforcement Modules を追加した。Puppet の CTO である Abby Kearns は、Center for Internet Security (CIS) が定義したベンチマークを用いて、IT チームとセキュリティ・チームが共同で Policy-as-Code を実装することを、よりシンプルにすることが目的だと述べている。

Continue reading “Puppet のコンプライアンス自動管理モジュール:Policy-as-Code の実装が進む?”

Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく

Apple will disable insecure TLS in future iOS, macOS releases

2021/09/22 BleepingComputer — Apple は、最近リリースした iOS および macOS において、安全性の低い TLS (Transport Layer Security) 1.0/1.1 プロトコルを非推奨とし、今後のリリースではサポートを完全に削除する予定だという。TLS は、クライアント/サーバー・アプリケーションを使用して、インターネットを介して情報にアクセスする際などに、メッセージの盗聴/改竄/偽造からユーザーを保護するために設計された、セキュアな通信プロトコルである。

Continue reading “Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく”

ゼロトラスト・アーキテクチャ:必要なものから当前のものへ

Zero Trust Architecture – No Longer A ‘Nice to Have’

2021.09/21 CyberSecurityIntelligence — 米国 National Institute of Standards and Technology (NIST) が、先日に発表した Special Publication (SP 800-207) は、サイバー・セキュリティのベスト・プラクティスにおける当たり前の事柄を変えた。強制力はないが、経済面でのセキュリティを高める上で、この連邦機関の役割は過小評価できない。

Continue reading “ゼロトラスト・アーキテクチャ:必要なものから当前のものへ”

サプライチェーンとエッジ:データ収集とデバイス管理を一挙に解決

Securing the Edge in the Supply Chain

2021/09/21 SecurityBoulevard — サプライチェーンとは、大半の人々が当たり前のように利用するものだが、何か問題が起こると簡単に崩れ去ってしまう。今回のパンデミックで浮き彫りになったのは、サプライチェーンが寸断されると、ビジネスが即座に停止してしまうという現実である。より効率的にサプライチェーンを運用する、エッジ・コンピューティングが発見されたが、このエッジへの移行には、サプライチェーンのサイバー・セキュリティに対する新しいアプローチが必要となる。

Continue reading “サプライチェーンとエッジ:データ収集とデバイス管理を一挙に解決”

クラウド環境の危険性:Role パーミッションについて再考しよう

Why ‘Role’ Permissions Are So Dangerous To Your Cloud Environment

2021/09/17 SecurityBoulevard — クラウドを利用する企業が直面するものに、過剰なパーミッションの適切な抑制という、重要な課題がある。クラウドでの運用には、俊敏性と柔軟性が求められる。しかし、この問題は、そのメリットによりセキュリティを犠牲にされることが多く、また、クラウド上には不要で過剰なパーミッションが蔓延していることである。このウェビナーでは、クラウドにおける過剰なパーミッションの問題と、それをコントロールする方法について説明していく。

Continue reading “クラウド環境の危険性:Role パーミッションについて再考しよう”

可視化の重要性:インフラ・セキュリティにおいて最初に必要なものとは?

Infrastructure, Security, and the Need for Visibility

2021/09/17 DarkReading — 米国をはじめとする政府機関は、国が関与したと思われる不正侵入事件や、犯罪者が関与したと思われるランサムウェア事件が頻発していることから、重要インフラのネットワーク・セキュリティを強化しようとしている。2020年に発生した SolarWinds や Microsoft への攻撃や、最近発生した Colonial Pipeline でのランサムウェア事件などは、経済的に重要な企業のセキュリティ態勢に対する、潜在的かつ広範な脆弱性や弱点があることを示している。

Continue reading “可視化の重要性:インフラ・セキュリティにおいて最初に必要なものとは?”

Microsoft のパスワードレス・ログインが始まったらしい

Microsoft rolls out passwordless login for all Microsoft accounts

2021/09/15 BleepingComputer — Microsoft は、今後の数週間にわたってパスワードレス・ログインのサポートを展開し、顧客がパスワードを使用せずに Microsoft アカウントにサインインできるようにする。Microsoft は、2020年に 1億5,000万人以上のユーザーがパスワードを使用することなく、Azure Active Directory や Microsoft アカウントにログインしていることを報告した後に、3月から商用顧客環境でのパスワードレス認証の展開を許可した。

Continue reading “Microsoft のパスワードレス・ログインが始まったらしい”

サイバー犯罪の定義:あなたの法務論と わたしの技術論が 噛み合いません

My “Cybercrime” Isn’t Your “Cybercrime”

2021/09/12 StateOfSecurity — サイバー・セキュリティの専門家たちと、ネットワーク上のサイバー犯罪について話をすると、スキャン/攻撃/イベント/インシデントなどの、悪意の活動について言及されるだろう。おそらく、どこかの時点で、悪名高い攻撃手法や内部プロトコルといった、業界の略語を参照しながら戦術/技術を説明し、膨大な数の紛らわしい略語や専門用語を使って、マニアックな話をすることになるだろう。

Continue reading “サイバー犯罪の定義:あなたの法務論と わたしの技術論が 噛み合いません”