MITRE – IoT OT Security News

CISA の Decider というツール：観測された脅威の結果と MITRE ATT&CK をマッピング

CISA releases free ‘Decider’ tool to help with MITRE ATT&CK mapping

2023/03/02 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、セキュリティ・アナリストなどの防御側が、MITRE ATT&CK マッピング・レポートを迅速に作成するための、オープンソース・ツール Decider をリリースした。MITRE ATT&CK フレームワークは、サイバー攻撃の観測に基づき、敵対者の戦術や技術を特定／追跡するための標準であり、それに応じて防御側のセキュリティ態勢を調整するためのものだ。共通の基準を持つ組織は、新たに発見／出現した包括的で正確な情報を迅速に共有し、その攻撃を阻止するためのアクションを実施できる。

OpenSSH の二重解放の脆弱性 CVE-2023-25136 などが FIX

OpenSSH Releases Patch for New Pre-Auth Double Free Vulnerability

2023/02/06 TheHackerNews — OpenSSH のメンテナたちは、OpenSSH サーバ (sshd) に存在するメモリ破壊の脆弱性を含む、多数のセキュリティ・バグに対処する OpenSdSH 9.2 をリリースした。対処された脆弱性のうち、OpenSSH 9.1 で発生した未認証の二重解放の脆弱性は、CVE-2023-25136 として追跡されている。2023年2月2日に OpenSSH が公開したリリース・ノートでは、「この脆弱性の悪用は不可能だと思われる。chroot(2) の対象となる非特権事前認証プロセスで発生し、さらに大半の主要プラットフォームでサンドボックス化されている」と説明されている。

MITRE が CREF Navigator を発表：レジリエンス・システムの設計をサポート

MITRE Releases Tool to Design Cyber-Resilient Systems

2023/02/03 DarkReading — サイバー攻撃は増加傾向にあり、企業のセキュリティ担当者は、ますます拡大／複雑化する攻撃対象領域を保護する必要に迫られている。そして、多くの企業にとっての関心事は、攻撃の防止から回復力へと焦点を移している。つまり、攻撃を受けても重要なビジネス機能を維持し、ダウンタイムから迅速に回復することである。そのため、MITRE は、サイバー・レジリエンス・システムを設計するエンジニアのための、可視化ツール Cyber Resiliency Engineering Framework (CREF) Navigator を無償でリリースした。

AWS Elastic IP transfer を悪用する新たな攻撃ベクター：Mitiga が警告

Organizations Warned of New Attack Vector in Amazon Web Services

2022/12/20 InfoSecurity — Amazon Web Services (AWS) に新たに導入された機能を悪用するセキュリティ脅威が、Mitiga の研究者たちにより発見された。この攻撃は、2022年10月に発表された AWS の Amazon Virtual Private Cloud 機能である、Elastic IP transfer を悪用するものだ。この機能は、ある AWS アカウントから別のアカウントへの、Elastic IP アドレスの移行を容易にするものである。したがって、IP の乗っ取りに成功した脅威アクターは、他者における信頼と信用の持ち方に応じて、幅広い攻撃を仕掛けることが可能になる。

サイバー侵害の手口を分析：33% の証明書アクセスや 35% の Cobalt Strike 利用など

33% of attacks in the cloud leverage credential access

2022/11/30 HelpNetSecurity — Elastic Security Labs が発表した 2022 Elastic Global Threat Report は、サイバー・セキュリティ脅威の進化と、クラウド／エンドポイントに関連する攻撃の高度化について詳述するものだ。クラウド上の攻撃の 33 %は、クレデンシャル・アクセスを利用している。言い換えるならば、クラウド環境のセキュリティを、ユーザーが過大評価していることになる。その結果として、適切な設定や保護を行われないケースが多発している。

Microsoft の脆弱性情報戦略：ゼロデイを防ぎながらノイズを増やさない方法とは？

Microsoft: We Don’t Want to Zero-Day Our Customers

2022/08/12 DarkReading — BLACK HAT USA — Microsoft のセキュリティ担当幹部は、同社の脆弱性開示ポリシーについて、セキュリティ・チームが十分な情報に基づき、パッチ適用を決定するために必要なものであり、また、パッチを素早くリバース・エンジニアリングして悪用する、脅威アクターからの攻撃を受けるリスクはないと述べた。

MITRE が 2022年版 CWE Top-25 をリリース：NVD と CISA のデータを活用

Mitre shared 2022 CWE Top 25 most dangerous software weaknesses

2022/06/29 SecurityAffairs — MITRE が、2022年版の CWE Top-25 をリリースした。2022年において、最も危険な弱点 Top-25 を集めたリストは、組織が内部インフラを評価し、その攻撃対象領域を特定するのに役立てられる。組織のインフラ内に、これらの脆弱性が存在すると、潜在的に広範な攻撃にさらされる可能性がある。

Center for Internet Security が提供する実証済みの防御ガイダンスとは？

Cyber defense: Prioritized by real-world threat data

2022/04/12 HelpNetSecurity — サイバー・セキュリティ侵害の影響は、あらゆる企業にとって痛手であり、一部の企業にとっては壊滅的なものとなる。マルウェア／ランサムウェア／Web アプリ・ハッキング／インサイダー権限の悪用／標的型攻撃という、今日の環境で見られる５大脅威はどれも深刻であり、長期間にわたる金銭的／風評的な損害をもたらす可能性を持つ。IBM の 2021 Cost of a Data Breach Report によると、金銭的コストに関しては平均で $4.24 million が費やされている。そして風評被害だが、定量化が難しく、克服するのに何年もかかる可能性がある。