DevOps – IoT OT Security News

Codenotary SBOM Center のプレビューが公開：セキュアな SBOM の作成が可能に

Codenotary Previews Secure SBOM Creation Service

2023/04/27 DevOps — 今日、Codenotary が公開したのは、SBOM (Software Bills Of Materials) を作成／保管し、必要に応じて安全に共有するための、集中型リポジトリ・サービスのプレビューである。このサービスについて、Codenotary の CEO である Moshe Bar は、「SBOMCenter は、ソフトウェアのサプライチェーン保護の必要性の高まりにつれて頻繁になる SBOM の作成を、より簡単に運用するのに役立つ」と説明している。彼によると、現時点で無料トライアルとして提供されている SBOMCenter は、改ざんされていないことを保証する方法で、SBOM を作成／保存する機能を備えているという。

Kubernetes に関連するセキュリティ・ソフトウェアの調査：55% が OSS を利用

The pros and cons of using open-source Kubernetes security software

2022/11/21 HelpNetSecurity — Kubernetes のセキュリティ環境においても、オープンソース・ツールは重要な役割を担っている。ARMO の調査により、大半の企業がオープンソースの Kubernetes セキュリティ・ソフトウェアを使用していることが明らかになった。The State of Kubernetes Open Source Security 調査では回答者の 55％が、Kubernetes クラスタを安全に保つために、複数のオープンソース・ツールを使用していると回答している。ただし、この数値には、オープンソースのみを使用している場合と、オープンソースと独自ソリューションを混合して使用している場合が含まれている。

NSA と CISA のガイダンス：サプライチェーン攻撃から組織を守るために

NSA and CISA share tips to secure the software supply chain

2022/09/01 BleepingComputer — 今日、米国の NSA と CISA (Cybersecurity and Infrastructure Security Agency) は、ソフトウェア・サプライチェーンを保護するためのチップスを発表した。この指針は、米国の重要インフラと国家安全保障システムに対する脅威に対処する、官民パートナーシップである Enduring Security Framework (ESF) により、ソフトウェア開発者向けの推奨事例集として作成されたものだ。

GitLab の深刻な脆弱性 CVE-2022-2884 が FIX：認証済みの攻撃者による RCE

GitLab fixed a critical Remote Code Execution (RCE) bug in CE and EE releases

2022/08/23 SecurityAffairs — DevOps プラットフォームの GitLab は、GitLab Community Edition (CE) および Enterprise Edition (EE) に影響を及ぼす、深刻なリモートコード実行の脆弱性 CVE-2022-2884 (CVSS 9.9) を修正する、セキュリティ・アップデートをリリースした。攻撃者が認証されている場合には、GitHub の Import API を介して、この脆弱性の悪用が可能となる。

クラウド・セキュリティの調査：IT リーダーの 60%が安全性に自信を持てない

60% of IT leaders are not confident about their secure cloud access

2022/07/21 HelpNetSecurity — Ponemon Institute の調査で明らかになったのは、さまざまなクラウドの導入が進みつつあるにもかかわらず、IT／セキュリティリーダーの 60%が、自社のクラウド・アクセスの安全性に自信を持っていないことである。The Global Study on Zero Trust Security for the Cloud は、世界中の約 1,500人の IT意思決定者／セキュリティ専門家を対象に行われ、クラウド環境のセキュリティ確保における問題点と、ゼロトラストセキュリティの手法が、いかにデジタル・トランスフォーメーションを可能にするかが調査された。

GitLab に深刻なアカウント乗っ取りの脆弱性：管理者に推奨される対策とは？

Critical GitLab vulnerability lets attackers take over accounts

2022/04/01 BleepingComputer — GitLab は、ハードコードされたパスワードを使用するリモートの攻撃者に、ユーザー・アカウントの乗っ取りを許してしまう、深刻な脆弱性に対処した。この脆弱性 CVE-2022-1162 は、GitLab Community Edition (CE) と Enterprise Edition (EE) の双方に影響をおよぼす。具体的に言うと、GitLab CE/EE で OmniAuth ベースで登録を行う際の、誤って設定された静的なパスワードに起因している。

Salt Security の調査：API の広大な攻撃面積を保護するためには？

Salt Security Survey Surfaces API Security Weaknesses

2022/03/02 SecurityBoulevard — 今日、Salt Security が発表した、セキュリティ／アプリケーション／DevOps 関連の、250人以上の役員および専門家を対象とした調査によると、回答者の 95% が過去 12ヶ月間に API に関わるセキュリティ・インシデントを経験し、62% が API セキュリティの懸念からアプリケーションの展開を遅らせたと報告していることが判明した。

Gartner が提唱する Cloud Native APP Protection：クラウド・セキュリティの構成要素が変化していく

Cloud Native Application Protection Platform (CNAPP): An Evolving Approach to Cloud Security

2022/01/19 SecurityBoulevard — CISO と CIO は、開発と運用のライフサイクル全体にわたって、数多くのクラウド・セキュリティの課題に取り組んでいる。IDC Survey Report: State of Cloud Security 2021 によると、98％の企業が過去18カ月間に、何らかのクラウド関連のセキュリティ侵害を経験している。今日、それぞれの企業が、特定のリスクに対応する様々なツールを導入することで、これらのギャップを解消しようとしている。

DevOps 2021：サプライチェーンを Ephemerality 概念の導入で守る

All Day DevOps 2021: Securing the software supply chain with ephemerality and the least-privilege principle

2021/10/29 DailySwig — 1974年にコンピュータ科学者の Jerry Saltzer は、「すべてのプログラムとシステムにおける、すべての特権ユーザーは、必要な最小限の特権を用いて、仕事を完了すべきである」と述べた。半世紀近く経った今でも、ソフトウェア開発において最小特権の原則は最重要事項であると、VMware の CTO for Modern Application Platform である James Watters は、今年の All Day DevOps の参加者に向けて語った。

Palo Alto Networks のクラウド誤設定検出ツール：背景にある問題とは？

Palo Alto Networks Adds Cloud Misconfiguration Tool

2021/08/31 SecurityBoulevard — 今日、Palo Alto Networks は、Bridgecrew by Prisma Cloud の機能を拡張し、複数のクラウド間でのコンフィグレーション・ドリフトを検出するためのツールを発表した。Bridgecrew Drift Detection は、オープンソースの Yor Project をベースにし、IaC テンプレートに属性と所有権の詳細を自動的にタグ付けするとともに、クラウド・リソースに伝達される固有の ID を付与する。

クラウド・インフラの認証を再考：GitOps のすすめ

Rethinking Cloud Infrastructure Authentication

2021/08/30 SecurityBoulevard — 願わくば p4$$w0r9s を超えて、すべてのクラウド・インフラでセキュアなキーと多要素認証 (MFA) を使ってもらいたいものだ。しかし、それぞれの小さなノードや、ソフトウェア、サーバ、管理コンソールなどにアクセスできる人が、何人いるか把握されているだろうか？スクリプトが実行できるようにするために、どれだけのキーが散らばっているだろうか？信頼できる IP は何個あるだろうか？もし悪意のある人が、これらのうちの１つを手に入れたら、ネットワークがダウンする可能性があるのだろうか？誰かが退職したときに、変更しなければならないパスワードは何個あるのだろうか？

API とセキュリティ：新たな頭痛のタネと処方箋

APIs Create New Security Headaches

2021/08/24 SecurityBoulevard — API への移行とは、セキュリティ・チームにとって最大の頭痛のタネであると同時に、脅威を生み出す新たな遊び場でもある。その背景には、ソフトウェア開発を加速し、一刻も早くソフトウェアをリリースしたいと考える、組織のマインドセットがある。Baffle の VP of Products and Marketing である Harold Byun は、「このような環境では、シフトレフト・モデルが加速する中で、セキュリティの評価や見直しが回避される可能性が高い。

脅威モデリングを自動化する時代へと突入する？

Threat Modeling in the Age of Automation

2021/07/16 SecurityBoulevard — サイバー・セキュリティの脅威は急速に増加しており、アプリケーションを構築する企業は、将来の攻撃に耐えるためのコアとなる脅威モデルを含めて、予防原則に基づくセキュリティ対策を検討するようになってきた。しかし、Security Compass の最近の調査によると、ソフトウェア開発の初期段階 (要件の収集／設計) において、脅威モデルを取り入れている企業はわずか 25% だった。さらに、開発したアプリケーションの 90％以上において、脅威モデルを取り入れていると回答した企業は 10％未満であり、脅威モデルの自動化や統合において半数以上の企業が課題を抱えていることが分かった。