RDS – IoT OT Security News

AWS 環境で注意すべき５種類の脆弱性：利用者側の責任範囲とは？

5 Impactful AWS Vulnerabilities You’re Responsible For

2025/03/31 TheHackerNews — AWS を利用していると、自分のクラウドのセキュリティは対処済みだと考えがちだが、それは危険な誤解である。AWS は、自社インフラのセキュリティは確保しているが、クラウド環境内のセキュリティは、利用者自身の手に委ねられている。AWS のセキュリティ体制を建物の保護に例えてみよう。AWS は、強固な壁と頑丈な屋根を提供してくれる。しかし、鍵の管理／警報システムの設置／貴重品の管理などは、顧客の責任となるというわけだ。

R プログラミング言語の脆弱性 CVE-2024-27322：サプライチェーン攻撃につながる恐れ

New R Programming Vulnerability Exposes Projects to Supply Chain Attacks

2024/04/29 TheHackerNews — プログラミング言語 R に新たに発見されたセキュリティ脆弱性 CVE-2024-27322 は、攻撃者が作成した悪意のRDS (R Data Serialization) ファイルを、読み込んで参照するとコードが実行され、侵害にいたるというものだ。この脆弱性について、AI アプリケーション・セキュリティ企業 Hidden Layer は、「R-lang における Promise オブジェクトの使用と遅延評価に起因する」と、The Hacker News に共有したレポートで述べている。

AWS Elastic IP transfer を悪用する新たな攻撃ベクター：Mitiga が警告

Organizations Warned of New Attack Vector in Amazon Web Services

2022/12/20 InfoSecurity — Amazon Web Services (AWS) に新たに導入された機能を悪用するセキュリティ脅威が、Mitiga の研究者たちにより発見された。この攻撃は、2022年10月に発表された AWS の Amazon Virtual Private Cloud 機能である、Elastic IP transfer を悪用するものだ。この機能は、ある AWS アカウントから別のアカウントへの、Elastic IP アドレスの移行を容易にするものである。したがって、IP の乗っ取りに成功した脅威アクターは、他者における信頼と信用の持ち方に応じて、幅広い攻撃を仕掛けることが可能になる。

Amazon RDS スナップショットの問題：意図しない共有により PII が漏洩

Thousands of Amazon RDS Snapshots Are Leaking Corporate PII

2022/11/17 DarkReading — Amazon のクラウドベース・データバックアップ・サービスを介して、毎月のように何十万ものデータベースが不注意により公開されている。このような状況を悪用する脅威アクターたちは、個人を特定できる情報 (PII : Personally Identifiable Information) にアクセスし、恐喝やランサムウェアといった脅威のアクティビティに利用されることが、研究者たちにより判明した。

AWS と顧客の責任分担モデル：14項目の Shared Responsibility を表にしてみた

SBN What is the AWS Shared Responsibility Model?

2021/12/02 SecurityBoulevard — 多くのクラウド・プロバイダーと同様に、AWS は責任共有モデル (Shared Responsibility Model) を基に運営されている。AWS は ‘of’ the cloud のセキュリティに責任を持ち、AWSの顧客は ‘in’ the cloud のセキュリティに責任を持つ。AWS は、顧客の重要な情報やアプリケーションを保護するために、プラットフォームのセキュリティを優先しており、インフラのセキュリティに責任を持つ。