A new Google bug bounty program now covers Open Source projects
2022/08/30 SecurityAffairs — Google は、同社のプロジェクトをカバーしてきた Open Source Software Vulnerability Rewards Program (OSS VRP) の一環として、新たなバグバウンティ・プログラムを開始した。このプログラムでは、Google のプロジェクトに存在する脆弱性に対して、最大 $31,337 〜 最低 $100 の報酬額が支払われるという。
Continue reading “Google がバグバウンティを刷新：オープンソース・プロジェクトも取り込んでいく”Google Teams Up With GitHub for Supply Chain Security
2022/04/07 SecurityWeek — Google と GitHub が協力して、SolarWinds や Codecov に影響を与えたような、ソフトウェア・サプライチェーン攻撃に対抗するための、防御ソリューションを提供している。Google の Open Source Security Team の説明によると、SolarWinds の攻撃では、ハッカーがビルド・サーバーを制御し、ビルド・プラットフォームに悪意のアーティファクトを注入している。また、Codecov の攻撃では、脅威者は信頼できるビルド・サーバを迂回して、悪意のアーティファクトをアップロードしていた。
Continue reading “Google と GitHub が協力：ソフトウェアの真正性確保によりサプライチェーン攻撃に対抗”Secure Software Summit: The State of OSS Supply Chain Security
2022/03/17 SecurityBoulevard — Open Source Software (OSS) サプライチェーンが、サイバー攻撃にさらされている。最近の Log4Shell 脆弱性に見られるように、OSS のサプライチェーンは、セキュリティの弱点を突こうとする、攻撃者の焦点となりつつある。数多くの調査レポートにおいて、いわゆる次世代ソフトウェア・サプライチェーン攻撃の、過去 10年間での大幅な増加が示されている。これらの攻撃は、ソースコード／ビルドシステム／CI/CDツール／コードテスト・ツールといった、ソフトウェア・サプライチェーンの重要なリンクの侵害を狙ったものである。
Continue reading “Secure Software Summit：OSS サプライチェーン・セキュリティの現状について”Companies’ Code Leaking More Passwords and Secrets
2022/03/03 DarkReading — 今日の GitGuardian の新しいレポートによると、2021年に組織全般から流出したパスワード／AP Iキーなどの機密データは 600万件を超え、前年の２倍に増加したとのことです。このレポートでは、より多くのコードがリポジトリにプッシュされ、より優れた検出機能が利用できるようになったことが主要因である。
Continue reading “GitHub 調査：不適切なソースコード管理によりパスワードなどの機密情報が漏洩”Software Supply Chain Attacks Tripled in 2021: Study
2022/01/20 SecurityWeek — 2021年は、ソフトウェア・サプライチェーン攻撃の年だったと言えるだろう。SolarWinds が世界の目を見開かせ、脅威の大きさを明らかにした年だ。それ以外にも、Kaseya／Codecov／ua-parser-js／Log4j などの大規模な攻撃があった。いずれの場合も、攻撃者にとって魅力的なのは、分散したコードにおける１つの違反／危殆化／脆弱性が、数千人にもいたる犠牲者を出す可能性があることだ。
Continue reading “2021年はサプライチェーン攻撃の年：３倍増の件数と３つの大きな課題”Black Hat Keynote: Mobile Platforms ‘Actively Obstructing’ Zero-Day Malware Hunters
2021/08/04 SecurityWeek — 著名なセキュリティ専門家である Matt Tait は、水曜日に開催された Black Hat アニュアル・カンファレンスの冒頭で、急増するモバイル端末のゼロデイ攻撃やサプライチェーン攻撃に対処するため、プラットフォーム・ベンダーに対して、大幅な技術変更を要求した。Google Project Zero や、英国情報機関 GCHQ ににも、研究者として所属していた経験を持つ Tait は、現在進行中のゼロデイ攻撃に対応するために、モバイル・プラットフォームはデバイス上での観察能力 (on-device observability) の向上を、早急に実現する必要があると述べた。
Continue reading “Black Hat キーノート：モバイル上のゼロデイ・マルウェア駆逐が必須”New Google Scorecards Tool Scans Open-Source Software for More Security Risks
2021/07/02 TheHackerNews — Google がオープンソースとして主導する、リスクスコアを自動作成すセキュリティ・ツール Scorecards がアップデートされた。このバージョンでは、チェック機能が改善され、生成されたデータの分析機能が強化されている。この木曜日に Google の Open Source Security Team は、「今日、多くのソフトウェアがオープンソース・プロジェクトに依存しているため、依存関係が安全かどうかを判断するための、簡単な方法が必要とされている。
Continue reading “Google Scorecards は OSS のセキュリティリスクをスキャンする”NIST charts course towards more secure supply chains for government software
2021/06/22 DailySwig — UPDATED 米国の National Institute of Standards and Technology (NIST) は、急増するソフトウェア・サプライチェーン攻撃の脅威に対する連邦政府機関の防御力を強化するために、情報セキュリティ業界から提出された一連の提言をまとめた。
Continue reading “NIST が示す政府機関のためのセキュアなサプライチェーンとは？”Google Launches SLSA, a New Framework for Supply Chain Integrity
2021/06/18 DarkReading — 今週の Google だが、ソフトウェアのサプライチェーン全体を通して、ソフトウェア成果物の整合性を確保するための End-to-End フレームワークである、Supply chain Levels for Software Artifacts (SLSA) を発表した。Salsa と発音される SLSA は、Google 社内で採用されている Binary Authorization for Borg (BAB) という、コード・レビュー・プロセスから着想を得ている。
Continue reading “Google が立ち上げる SLSA はサプライチェーンの完全性を護る新たなフレームワークだ”Codecov ditches Bash Uploader for a NodeJS executable
2021/06/12 BleepingComputer — ソフトウェア・テストおよびコード・カバレッジを行う Codecov は、従来からの Bash Uploader に代わるクロス・プラットフォームのアップローダを発表した。この新しいアップローダは、Windows / Linux / macOS に対応した静的バイナリとして提供される。今回の発表は、改変された Codecov の Bash Uploader により顧客の CI/CD 環境から機密情報を収集するという、2ヶ月間に渡る Codecov サプライチェーン・インシデントを受けたものである。
Continue reading “Codecov サイバー侵害の後に Bash Uploader から NodeJS への乗り換えが完了”E-commerce giant suffers major data breach in Codecov incident
2021/05/21 BleepingComputer — 電子商取引プラットフォームの Mercari は、Codecov サプライ・チェーン攻撃により露呈した、大規模なデータ漏えいインシデントについて公表した。日本の上場企業である Mercari は、近年ではアメリカやイギリスでも事業を拡大しているオンライン・マーケット・プレイスだ。
Continue reading “メルカリも Codecov に関連するデータ侵害に遭っていた”Rapid7 Source Code Accessed in Supply Chain Attack
2021/05/14 DarkReading — Codecov への攻撃を調査した結果、侵入者がアクセス した Rapid7 のソースコード・リポジトリには、同社の認証情報や警告関連データなどが含まれていたと判明した。セキュリティ企業である Rapid7 は、Codecov サプライチェーン攻撃を調査したことで、攻撃者による不正アクセスが、自社にも及んでいたと認めている。
Continue reading “Codecov サプライチェーン攻撃により Rapid7 のソースコードがアクセスされた”
IoT OT Security News 