Tag: API

覚醒必須：API の脆弱性を先回りして特定する

Wake up! Identify API Vulnerabilities Proactively, From Production Back to Code

2021/07/23 TheHackerNews — 20年以上の歳月を経て、ようやく公知となった言葉は APIs are everywhere だ。2021年の調査では、すでに 73％ の企業が、50個以上の API を公開していると回答し、この数は常に増え続けている。いまや API は、ほぼ全ての業界で重要な役割を担っており、ビジネス戦略の最前線において、その重要性は着実に増している。これは驚くことではない。API は、異なるアプリケーションやデバイスをシームレスにつなぎ、これまでにないビジネスの相乗効果や効率化をもたらすからだ。しかし、他のソフトウェア・コンポーネントと同様に、API にも脆弱性がある。さらに、セキュリティの観点から厳密にテストされなければ、新たな攻撃の対象となり、これまでにないリスクに晒されることになる。とは言え、API の脆弱性の発見を待ってから、プロダクション環境に移行するとなると、大幅なビジネス上の遅延が発生する。

Continue reading “覚醒必須：API の脆弱性を先回りして特定する”

オンプレミスとクラウドの ID を効果的にブリッジするには

How to Bridge On-Premises and Cloud Identity

2021/07/15 DarkReading — 組織が管理すべき ID の数は膨大であり、気が遠くなるほどだ。場合によっては、何十万／何百万もの人々／デバイスが存在することもある。歴史的にみるとは、これらの ID は、ビジネスアプリケーションや、レガシーの ID インフラストラクチャ、そして特定のデータセンターにハードコードされた、いくつかの内部 ID サイロに分散していた。

Continue reading “オンプレミスとクラウドの ID を効果的にブリッジするには”

Kaseya VSA のパッチ 9.5.7a がリリースされた

Kaseya Releases Patches for Flaws Exploited in Widespread Ransomware Attack

2021/07/11 TheHackerNews — フロリダに本拠を置く Kaseya は、この日曜日に、同社の Virtual System Administrator (VSA) ソリューションにおける深刻な脆弱性に対処するための、緊急アップデートを提供した。この VSA ソリューションは、広範囲におよぶサプライチェーン・ランサムウェア攻撃の要素として、世界の 1,500社もの企業を標的にするきっかけとして使用された。このインシデントを受けて、同社はオンプレミス型 VSA の顧客に対して、パッチが提供されるまでサーバーを停止するよう呼びかけていた。それから約10日後に、同社は VSA Ver 9.5.7a (9.5.7.2994) を出荷し、以下の３つの新たなセキュリティ欠陥を修正した。

Continue reading “Kaseya VSA のパッチ 9.5.7a がリリースされた”

API ファースト時代のアプリケーション保護を再考する

Rethinking Application Security in the API-First Era

2021/07/01 TheHackerNews — API ファーストの時代において、アプリケーションの保護は困難な戦いである。開発が加速するにつれ、責任の所在が不明確になり、コントロール自体が困難になる。いまこそ、API ファースト時代の新たな優先順位や原則、そしてプロセスを反映したアプリケーション・セキュリティ戦略を再考する時だ。明日のアプリケーションを保護するには、今日のビジネ・スリスクを評価することから始まる。

Continue reading “API ファースト時代のアプリケーション保護を再考する”

Palo Alto Networks Cortex XSOAR の深刻な脆弱性 CVE-2021-3044 が FIX された

Palo Alto Networks fixes critical flaw (CVE-2021-3044) in Cortex XSOAR

2021/06/23 SecurityAffairs — Palo Alto Networks の研究者たちが、同社の Cortex XSOAR SOAR platform に影響をおよぼす欠陥を発見した。この不適切な認証の脆弱性 CVE-2021-3044 の CVSS スコアは 9.8 となっている。同社のセキュリティ・アドバイザリーには、「Palo Alto Networks Cortex XSOAR には不適切な認証の脆弱性があり、Cortex XSOAR サーバにネットワーク・アクセスした、リモートの非認証の攻撃者が、REST API を介して不正な操作を行うことができる。

Continue reading “Palo Alto Networks Cortex XSOAR の深刻な脆弱性 CVE-2021-3044 が FIX された”

DarkRadiation ランサムウェアは Linux と Docker インスタンスに感染していく？

Wormable DarkRadiation Ransomware Targets Linux and Docker Instances

2021/06/22 TheHackerNews — このランサムウェアは、すべてが Bash で実装されており、Linux や Docker クラウド・コンテナを標的とし、メッセージング・サービス Telegram を command-and-control (C2) 通信に利用している。Trend Micro の研究者たちは、先週に発表したレポートの中で、「このランサムウェアは、Bash スクリプトで書かれており、Red Hat/CentOS および Debian の Linux ディストリビューションをターゲットにしている。

Continue reading “DarkRadiation ランサムウェアは Linux と Docker インスタンスに感染していく？”

米大統領令 2021：クラウドとゼロトラストとサプライチェーン

Cybersecurity Executive Order 2021: What It Means for Cloud and SaaS Security

2021.06/14 TheHackerNews — 米国連邦政府の IT システムおよびサプライチェーンを標的とする悪意の行為者に対応するために、大統領は国家のサイバーセキュリティの向上に関する大統領令 (Executive Order on Improving the Nation’s Cybersecurity) を発表した。

Continue reading “米大統領令 2021：クラウドとゼロトラストとサプライチェーン”

GitHub の秘密のスキャンが PyPI や RubyGems の安全性を護る

GitHub now scans for accidentally-exposed PyPI, RubyGems secrets

2021/06/09 BleepingComputer — 最近の GitHub は、PyPI と RubyGems のレジストリにおける機密情報を含むリポジトリに対して、スキャン機能を拡張している。それにより、Ruby や Python の開発者が作成した、何百万ものアプリケーションの保護が実現される。つまり、開発者たちは、GitHub の公開リポジトリの中に、何らかの機密情報や認証情報を不用意にコミットしている可能性があるのだ。

Continue reading “GitHub の秘密のスキャンが PyPI や RubyGems の安全性を護る”