CISA KEV カタログの1年:悪用された脆弱性の半分は Adobe/Apple/Cisco/Microsoft

Adobe, Apple, Cisco, Microsoft Flaws Make Up Half of KEV Catalog

2022/12/30 DarkReading — 2021年11月に、米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのが、活発に悪用されている脆弱性を、連邦政府機関や重要インフラ組織が特定/是正するための Known Exploited Vulnerabilities (KEV) カタログである。Grey Noise が発表した GreyNoise Mass Exploits Report によると、CISA は 2022年1月〜11月末に 58回の更新を行い、548件の新たな脆弱性をカタログに追加している。2021年11月/12月に追加された約300件の脆弱性を含めると、このカタログが始まってからの1年間で、CISA は約850件の脆弱性をリストアップしたことになる。

Continue reading “CISA KEV カタログの1年:悪用された脆弱性の半分は Adobe/Apple/Cisco/Microsoft”

MITRE の ATT&CK Framework:悪意の行動を分類する TTP の重要性とは?

MITRE ATT&CK Framework Explained: Why it Matters

2022/05/27 SecurityBoulevard — サイバー脅威は、より頻繁に、より密かに、より巧妙になっていることが、周知の事実になっている。さらに、IP アドレス/ドメイン/ファイルハッシュなどのマーカーを用いた IoC (indicator of compromise) 探索で、脅威を検出するという従来からリアクティブなアプローチは、急速に時代遅れになりつつある。攻撃者は容易に、それらのマーカーを変更して検出を回避するため、侵害が達成された後に、初めて脅威が検出されることも少なくはない。

Continue reading “MITRE の ATT&CK Framework:悪意の行動を分類する TTP の重要性とは?”

あなたが脆弱性を発見したとき:CVE 発行までの 4-Steps とは?

4 Steps to Getting CVEs Published

2022/04/19 SecurityBoulevard — あなたが、セキュリティ研究分野の新参者なら、最も苛立たしい問題の1つとして、脆弱性と CVE を公開するためのプロセスのナビゲーションがあるだろう。結局のところ、あなたは、新しく発見した脆弱性を世界と共有したいだけなのだが、それが厄介なのだ。

この業界を代表して申し上げると、私たちは皆、キャリアのどこかで、この困難な状況に直面したことがあるはずだと思う。研究者仲間を助けるリソースとして、私自身の個人的な経験 (そして正直なところ、多くの古き良き試行錯誤) に基づき、以下の CVE パブリッシング・ガイドをまとめてみた。このガイドにより、頭痛や推量が回避され、より簡単に CVE が公開されることを期待している。

Continue reading “あなたが脆弱性を発見したとき:CVE 発行までの 4-Steps とは?”

ゼロトラスト環境の実践:どのようにして人の信頼を構築していくべきか?

Building trust in a zero-trust environment

2022/03/14 HelpNetSecurity — 最近の MITRE と DTEX の調査では、インサイダー脅威に対する業界の長年の取り組みにもかかわらず、すべての悪意ある行動を発見するには、十分なデータも高度なシステムも存在しないことが明らかになっている。企業は、サイバー・セキュリティという企業文化を構築するために、ゼロトラスト・アーキテクチャに投資し、すべての攻撃表面を積極的にカバーし始めている。

Continue reading “ゼロトラスト環境の実践:どのようにして人の信頼を構築していくべきか?”

MITRE/CISA が発行した重視すべきハードウェア脆弱性リスト 2021 とは?

MITRE and CISA publish the 2021 list of most common hardware weaknesses

2021/10/30 SecurityAffairs — MITRE と CISA (Cybersecurity and Infrastructure Security Agency) が、2021 Common Weakness Enumeration (CWE) Most Important Hardware Weaknesses リストを発表した。

Continue reading “MITRE/CISA が発行した重視すべきハードウェア脆弱性リスト 2021 とは?”

CIS Control 07:脆弱性管理を継続して成功させるには?

CIS Control 07: Continuous Vulnerability Management

2021/10/06 StateOfSecurity — サイバー・セキュリティにおける脆弱性管理は、資産を保護するために重要な役割を果たす、従来からのテクノロジーのひとつだ。そして、適切な脆弱性管理プログラムは、一連のデータ漏洩を回避する上で重要な役割を果たしている。CIS (Center for Internet Security) Control 07 は、成功する脆弱性管理プログラムを確立するための、最低限の必要条件を提供していく。

Continue reading “CIS Control 07:脆弱性管理を継続して成功させるには?”

FBI 警告:この2年間の最凶脆弱性 Top-12

FBI reveals top targeted vulnerabilities of the last two years

2021/07/28 BleepingComputer — 本日に、米国と英国とオーストラリアのサイバー・セキュリティ機関が発表した、共同セキュリティ・アドバイザリでは、過去2年間で頻繁に標的とされた脆弱性の、Top-12 が明らかにされている。

Cybersecurity and Infrastructure Security Agency (CISA)
Australian Cyber Security Centre (ACSC)
United Kingdom’s National Cyber Security Centre (NCSC)
Federal Bureau of Investigation (FBI)

Continue reading “FBI 警告:この2年間の最凶脆弱性 Top-12”

脅威モデリングを自動化する時代へと突入する?

Threat Modeling in the Age of Automation

2021/07/16 SecurityBoulevard — サイバー・セキュリティの脅威は急速に増加しており、アプリケーションを構築する企業は、将来の攻撃に耐えるためのコアとなる脅威モデルを含めて、予防原則に基づくセキュリティ対策を検討するようになってきた。しかし、Security Compass の最近の調査によると、ソフトウェア開発の初期段階 (要件の収集/設計) において、脅威モデルを取り入れている企業はわずか 25% だった。さらに、開発したアプリケーションの 90% 以上において、脅威モデルを取り入れていると回答した企業は 10% 未満であり、脅威モデルの自動化や統合において半数以上の企業が課題を抱えていることが分かった。

Continue reading “脅威モデリングを自動化する時代へと突入する?”

MITRE の ATT&CK Framework に加わった D3FEND というキュリティ技術とは?

MITRE adds D3FEND defensive cybersecurity techniques to ATT&CK Framework

2021/06/23 SecurityAffairs — D3FEND は、MITRE Corporation が推進する新しいプロジェクトであり、ATT&CK フレームワークにサイバー・セキュリティ対策の、ナレッジ・グラフを追加することを目的としている。このプロジェクトは、今週に National Security Agency (NSA) が発表したものであり、脅威アクターが使用する技術に対して、防御的なサイバー・セキュリティ対策を記述するための、標準的なアプローチを提案している。

Continue reading “MITRE の ATT&CK Framework に加わった D3FEND というキュリティ技術とは?”