Millions of Pen Tests Show Companies’ Security Postures Are Getting Worse
2023/03/29 DarkReading — 平均的な企業のリスク・スコアは、この１年で悪化している。その背景にあるのは、企業におけるデータ流出への対応が不足し、Web アプリケーションの適切な保護が向上しないという現実である。企業におけるデータ流出のリスク・スコアは、2021年の 30ポイントから、2022年の 44ポイントに上昇し、データ漏洩に関する全体的なリスクが高まったことを示している。この調査結果は Cymulate によるものであり、プロダクション環境における 170万時間に及ぶ攻撃的サイバー・セキュリティ・テストを含む、100万回のペンテスト・データを集計したものである。
Continue reading “100万回のペンテスト・データは語る：この１年で増大したリスクとは？”British govt is scanning all Internet devices hosted in UK
2022/11/04 BleepingComputer — いま、英国政府が行っているのは、サイバー・セキュリティを主導する National Cyber Security Centre (NCSC) による脆弱性のスキャンであり、同国内でホストされているインターネットに接続されたすべてのデバイスが対象となっている。その目的は、サイバー攻撃に対する英国の脆弱性を評価し、インターネットに接続されたシステムの所有者である組織が、それぞれのセキュリティ態勢を理解できるようにすることだ。
Continue reading “英国政府が実施するスキャン：国内のインターネット接続デバイスの脆弱性を洗い出す”4 Steps Financial Industry Can Take to Cope With Their Growing Attack Surface
2022/07/26 TheHackerNews — 金融サービス業界は、常にテクノロジー導入の最前線にあるが、2020年のパンデミックにより、モバイルバンキング・アプリ／チャットベースの顧客サービスなどの、デジタルツールの普及が加速した。Adobe の 2022 FIS Trends Report によると、調査対象となった金融サービス／保険会社の半数以上が、2020年上半期のデジタル／モバイルビジター数が著しく増加したという。
Continue reading “金融サービスとサイバー攻撃：拡大する攻撃対象を保護する４つのステップとは？”7 threat detection challenges CISOs face and what they can do about it
2022/05/05 HelpNetSecurity — セキュリティ運用 (SecOps) チームは、新たな攻撃やマルウェアの亜種の氾濫に、さらされ続けている。最近の AV-TEST 調査によると、2021年だけで 1億7000万以上の新しいマルウェア亜種が存在している。その結果として、CISO とチームが、これらの新たな脅威を特定し、阻止するための負担は、かつてないほど高まっている。しかし、それを行おうとすると、スキル不足／データの相関関係の特定 (手作業)／誤検出の追及／長時間の調査といった、さまざまな課題に直面する。この記事では、CISO が直面している脅威検知プログラムの課題を探り、セキュリティ運用を改善するためのヒントを紹介したいと思う。
Continue reading “CISO として考えるべき脅威検知の視点：７つの質問を用意してみた”Kali Linux on bare-metal gets snapshotting functionality
2022/03/11 HelpNetSecurity — Offensive Security チームは、ベアメタル上にインストールされた Kali Linux による自動的なシステム・スナップショットの作成と、アップグレードに失敗した際のロールバックすることを可能にする、新機能 Kali Unkaputtbar をリリースした。
Continue reading “Kali Linux にベアメタル・スナップショット機能が追加：ペンテストの範囲が拡大”VMware NSX Data Center Flaw Can Expose Virtual Systems to Attacks
2022/02/18 SecurityWeek — VMware は、この脆弱性 CVE-2022-22945 について、同製品の NSX Edge アプライアンス・コンポーネントに影響を与える、Command-Line Interface (CLI) に存在するシェル・インジェクションの欠陥だと説明している。この脆弱性の CVSS スコアは 8.8 であり、リモートの攻撃者に root 権限で任意の OS コマンド実行を許す可能性がある。
Continue reading “VMware NSX の脆弱性 CVE-2022-22945 が FIX：Jailed Shell 脱出と Linux Shell アクセス”The DHS is inviting hackers to break into its systems, but there are rules of engagement
2021/12/16 StateOfSecurity — 米国の国土安全保障省 (DHS : Department of Homeland Security) は、悪意の攻撃から自らを守るために、脆弱性の発見やシステムへの侵入を、セキュリティ研究者に呼びかけている。DHS は、「DHS の特定システム内のサイバー・セキュリティ脆弱性を特定し、同省のサイバー・セキュリティの回復力を高めるために、バグバウンティ・プログラム Hack DHS を開始すると発表している。
Continue reading “米国の国土安全保障省がバグバウンティを実施：Hack DHS プログラムとは？”OWASP ModSecurity Core Rule Set sandbox launched to help security researchers test new CVEs
2021/12/10 DailySwig — OWASP ModSecurity Core Rule Set に対してペイロード・テストを行うセキュリティ研究者たちが、プロジェクト・メンテナがリリースした新しいサンドボックスを使えるようになったという朗報である。この Core Rule Set (CRS) とは、ModSecurity および、互換性のある Web Application Firewalls (WAF) で使用するための、一般的な攻撃検知ルールのセットである。その目的は、OWASP Top Ten を含む広範な攻撃から、Webアプリケーションを保護することにある。
Continue reading “OWASP ModSecurity Core Rule Set サンドボックスが登場：新たな CVE の研究が効率化される”CISA Releases Incident and Vulnerability Response Playbooks
2021/11/17 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、バイデン大統領が５月に署名した大統領令を受けて、インシデント対応と脆弱性対応に焦点を当てた２つの Cyber Security Playbook を公開した。国家のサイバー・セキュリティを向上させる大統領令により、CISA に与えられた役割は、民間機関が脆弱性対応やインシデント対応を計画／実施する際に役立つ、プレイブックを開発することになっていた。
Continue reading “米 CISA がリリースした Playbook：脆弱性とインシデントへの対応を明示”Penetration Testing in the Cloud Demands a Different Approach
2021/10/20 DarkReading — ほとんどの企業は、攻撃者がテクニックを変更すれば、防御側はセキュリティ戦略を見直す必要があるというパターンを熟知している。そして今、犯罪者がクラウド環境を攻撃の標的にしていることで、企業はクラウド・インフラの安全性を確保する必要に迫られている。
Continue reading “クラウド環境におけるペンテストは従来からのパターンとは全く異なる”Optimizing Cybersecurity Apps in the Remote Working Era
2021/09/30 securityboulevard — リモートワークという新たな現実の中で、アプリケーションの安全性を、どのように改善していけば良いかと悩んでいないだろうか？サイバー脅威を防止するために、統合すべき、いくつかの戦略を紹介していく。世界中のすべての企業にとって、2020年は大変な課題を提示した。つまり、生物学的にもデジタル的にも、ウイルスの年と認識された年だったからだ。
Continue reading “リモートワーク時代：アプリケーションの安全性を重視するなら”ImmuniWeb Launches Free Cloud Security Test to Detect Unprotected Storage
2021/09/30 TheHackerNews — IDC Cloud Security Survey 2021 では、過去18ヶ月以内に 98％ もの企業が、クラウド上でデータ侵害の被害に遭っているとしている。パンデミックに煽られて、世界中の中小企業や大企業のデータやインフラが、パブリック・クラウドに移行しているが、その一方では、クラウドの新規性やセキュリティ／プライバシー問題を過小評価していることが多いようだ。
Continue reading “ImmuniWeb の無料の Cloud Security Test：保護されていないストレージを検出”Apple will disable insecure TLS in future iOS, macOS releases
2021/09/22 BleepingComputer — Apple は、最近リリースした iOS および macOS において、安全性の低い TLS (Transport Layer Security) 1.0／1.1 プロトコルを非推奨とし、今後のリリースではサポートを完全に削除する予定だという。TLS は、クライアント／サーバー・アプリケーションを使用して、インターネットを介して情報にアクセスする際などに、メッセージの盗聴／改竄／偽造からユーザーを保護するために設計された、セキュアな通信プロトコルである。
Continue reading “Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく”Kali Linux 2021.3 released with new pentest tools, improvements
2021/09/15 BleepingComputer — 昨日に Offensive Security からリリースされた Kali Linux 2021.3 には、新しいツールセットや、改善された仮想化サポート、攻撃対象領域が増えた新しい OpenSSL コンフィグレーションなどが含まれている。
Continue reading “Kali Linux 2021.3 のペンテスト能力：OpenSSL/VM 対応を強化”Linux Implementation of Cobalt Strike Beacon Targeting Organizations Worldwide
2021/09/13 TheHackerNews — 月曜日に研究者たちは、政府機関／通信事業者／情報技術者／金融機関などを標的にした、Cobalt Strike Beacon の Linux 版と Windows 版を新たに発見した。この、ペネトレーション・テスト・ツールの、未確認バージョンは Vermilion Strike というコードネームで呼ばれ、あまり使われない Linux ポートの１つを指している。
Continue reading “Cobalt Strike 亜種の Vermilion Strike が Linux 上に展開されている”New Cobalt Strike bugs allow takedown of attackers’ servers
2021/08/04 BleepingComputer — セキュリティ研究者が、ビーコン C2 (command-and-contro) 通信チャネルの遮断や、新たなデプロイメントを阻止する、Cobalt Strike のサービス拒否 (DoS) 脆弱性を発見した。Cobalt Strike は、レッドチーム (セキュリティの専門家が、自組織のインフラを攻撃する役割で行動し、セキュリティ・ギャップや脆弱性を発見する) の攻撃フレームワークで使用するために設計された、正規のペネトレーション・テスト・ツールだ。
Continue reading “Cobalt Strike の新たなバグにより悪意のサーバーがダウンした？”Wake up! Identify API Vulnerabilities Proactively, From Production Back to Code
2021/07/23 TheHackerNews — 20年以上の歳月を経て、ようやく公知となった言葉は APIs are everywhere だ。2021年の調査では、すでに 73％ の企業が、50個以上の API を公開していると回答し、この数は常に増え続けている。いまや API は、ほぼ全ての業界で重要な役割を担っており、ビジネス戦略の最前線において、その重要性は着実に増している。これは驚くことではない。API は、異なるアプリケーションやデバイスをシームレスにつなぎ、これまでにないビジネスの相乗効果や効率化をもたらすからだ。しかし、他のソフトウェア・コンポーネントと同様に、API にも脆弱性がある。さらに、セキュリティの観点から厳密にテストされなければ、新たな攻撃の対象となり、これまでにないリスクに晒されることになる。とは言え、API の脆弱性の発見を待ってから、プロダクション環境に移行するとなると、大幅なビジネス上の遅延が発生する。
Continue reading “覚醒必須：API の脆弱性を先回りして特定する”Despite Pen Testing Efforts, Stubborn Vulnerabilities Persist
2021/07/14 SecurityBoulevard — エンタープライズ・ソフトウェアの脆弱性対策に携わるセキュリティ専門家にとって、同じ種類の脆弱性に対してパッチや緩和策を繰り返すのは、まるで「聖濁節」のように思えることがある。クラウドソースのペネトレーション・テストを提供する、Cobalt が発表したレポートによると、この既視感は決して気のせいではないようだ。Cobalt のデータベースによると、ソフトウェアの脆弱性の中で最も一般的な５つのカテゴリーは、この３年間に渡ってほぼ同じであることが分かった。
Continue reading “ペンテストを頑張っても同じ脆弱性が再発するのは何故だろう？”The White House: No Company Is Safe From Being Targeted By Ransomware
2021/06/04 OTORIO — 米国 National Security Council の Top Cyber Official である Anne Neuberge が、6月3日に発信した書簡には、疑問の余地がない。つまり、 企業の規模や所在地に関わらず、ランサムウェアに狙われないケースはあり得ない。 あらゆる企業は、ランサムウェアに積極的に対応しなければならない。
Continue reading “ホワイトハウスの警告：企業はランサムウェアに積極的に対応すべき”Cobalt Strike Becomes a Preferred Hacking Tool by Cybercrime, APT Groups
2021/05/19 DarkReading — RSA CONFERENCE 2021 – オープンソース・ハッキング・プラットフォームである Metasploit は、ネットワーク・テストに必要なツールであると同時に、サイバー犯罪者たちによる悪用に不安を抱く人々から、20年近くにわたり熱狂と不満の声を集めてきた。いまもなお、Metasploit は善良なハッカーと悪質なハッカーから人気を得ているが、レッドチームのツールである Cobalt Strike も、攻撃において重要な役割を果たすようになってきた。
Continue reading “Cobalt Strike はハッカー御用達のツールになってしまったのか？”
IoT OT Security News 