Sec Tool – Page 3 – IoT OT Security News

CVSS4.0 の変更点：攻撃の複雑さと要件のパラメータについて詳述する

Does CVSS 4.0 solve the exploitability problem?

2024/01/31 HelpNetSecurity — 脆弱性スコアリングシステム CVSS の最新版である、CVSS 4.0 が登場した。2015年の CVSS 3.0 のリリースから長い時を経て、2023年11月から、CVSS 4.0 が正式に稼動している。CVSS 3.0 を基に構築された CVSS 4.0 では、脆弱性のスコアリング／認識／分類方法などが改善されている。

CISA の Secure-by-Design 第一弾：安全な Web 管理インターフェイスのために

CISA Debuts ‘Secure by Design’ Alert Series

2023/11/30 SecurityWeek — 11月21日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、セキュリティが未実装のソフトウェア開発ライフサイクルがもたらす被害を強調するための、新たなタイプの警告を導入した。この Secure by Design (SbD) アラートは、脅威に対する防御や対応について詳述するものではなく、ベンダーの意思決定を示すものであり、それにより世界的な規模で被害を減らすことを目的とする、情報を提供するものである。

CVSS 4.0：パッチの優先順位つけに多様なコンテキストを提供

CVSS 4.0 Offers Significantly More Patching Context

2023/11/08 DarkReading — 先週にリリースされた Common Vulnerability Scoring System の最新版である CVSS 4.0 により、それぞれの組織は、セキュリティ・バグが特定の環境にもたらす可能性のあるリスクを、より適切に評価／管理できるようになるはずだ。しかし、CVSS 4.0 が本当に役に立つかどうかは、CVSS 4.0に含まれる新しいメトリクスの全てを使用して、よりスマートな脆弱性の優先順位付けに必要な、コンテキストを構築する意欲と能力にかかっている。

CVSS 4.0 を FIRST が正式発表：何が変わり何が加わるのか？

New CVSS 4.0 vulnerability severity rating standard released

2023/11/01 BleepingComputer — FIRST (The Forum of Incident Response and Security Teams) は、これまでのメジャー・バージョンである CVSS v3.0 から８年を経て、CVSS v4.0 を正式にリリースした。これが、次世代の標準 CVSS (Common Vulnerability Scoring System) となる。CVSS は、ソフトウェアの脆弱性の深刻度を評価するための、標準化されたフレームワークである。そこでは、機密性／完全性／可用性／悪用可能性／要求権限への影響に基づき、数値スコアまたは定性的な表現 (低／中／高／重大など) が割り当てられ、より深刻な脆弱性に対して高いスコアが与えられる。

CVSS と CISA KEV だけに頼らない脆弱性管理：EPSS という新たな指標が登場

Relying on CVSS alone is risky for vulnerability management

2023/07/31 HelpNetSecurity — Rezilion によると、脆弱性の優先順位付けを CVSS のみに依存する管理の手法は、最善ではないことが判明しているようだ。実際のところ、それぞれの脆弱性のリスクを評価するために、CVSS の深刻度スコアのみに依存することは、脆弱性をランダムに選択して修復することに変わりないという。よりスケーラブルで効果的な優先順位の決定戦略を可能にするためには、さらなるコンテキストが必要となる。このコンテキストには、標的環境の内部的な情報源 (資産に関する重要性／緩和策／到達可能性) だけでなく、外部的な情報源も必要になる。

CVSS Version 4.0 が公開：CVSS 3.1 に対する批判への対処が目的

New CVSS Version Unveiled Amid Rising Cyber Threats

2023/07/13 InfoSecurity — CVSS (Common Vulnerability Scoring System) の新バージョンである CVSS 4.0 が、Forum of Incident Response and Security Teams (FIRST) により 2023年7月13日に公開された。CVSSは、コンピュータ・システムのセキュリティ脆弱性の深刻度を評価するためのオープンな業界標準であり、組織における脆弱性管理プロセスの優先順位付けを支援するものだ。CVSS は、脆弱性の主要な特徴を捉え、その深刻度を示す数値スコアを作成する方法を提供している。

Security-by-Design と Security-by-Default の原則：政府の調達力を用いて普及させる – CISA

CISA Introduces Secure-by-design and Secure-by-default Development Principles

2023/04/14 SecurityWeek — CISA は、サイバー・セキュリティ製品を開発する際の、Security-by-Design および Security-by-Default の原則を公表した。2023年3月1日に発表された、Pillar Three of the National Cybersecurity Strategy published の三本目の柱は、Shape market forces to drive security and resilience (セキュリティとレジリエンスを推進するために市場の力を形作る) と題されている。このセクションの中では、２つのポイントが明確にされている。第一に、セキュリティの責任を、セキュリティ製品の使用から開発へとシフトさせることである。第二に、このシフトを促すために、連邦政府の調達力を利用することである。

Cobalt Strike のクラック版を潰せ：Microsoft と Fortra が取り締まりを発表

Microsoft and Fortra crack down on malicious Cobalt Strike servers

2023/04/06 BleepingComputer — Microsoft／Fortra／Health-ISAC (Health Information Sharing and Analysis Center) の三者は、サイバー犯罪者が使用する主要ハッキングツールである、Cobalt Strike のクラック・コピーをホストするサーバに対する、広範な法的取り締まりを発表した。Microsoft の Digital Crimes Unit (DCU) の Amy Hogan-Burney は、「世界中でホストされている Cobalt Strike のクラックされたレガシー・コピーを取り締まるには、粘り強く取り組む必要がある。Fortra のセキュリティ・ツールの、正当な利用を保護するための重要な行動である。Microsoft も同様に、自社の製品／サービスの正当な利用を守るために尽力している」と述べている。

Microsoft Defender の Linux 機能が強化：侵害されたエンドポイントの隔離が可能に

Microsoft Defender can now isolate compromised Linux endpoints

2023/01/31 BleepingComputer — 今日、Microsoft が発表したのは、Linux に搭載された Microsoft Defender for Endpoint (MDE) への、デバイス分離サポートの追加である。エンタープライズ管理者たちは、Microsoft 365 Defender ポータルまたは、API リクエストを用いて、パブリック・プレビューの一部として登録された Linux マシンを、手動で隔離することができる。この隔離が行われると、脅威アクターによる侵入済みシステムへの接続が不能になる。したがって、攻撃者によるコントロールは遮断され、データ盗難などの悪意のアクティビティは阻止される。

SaaS Shadow IT をゼロにしたい：非侵入型ディスカバリー・ツールの無償版とは？

Eliminating SaaS Shadow IT is Now Available via a Self-Service Product, Free of Charge

2023/01/28 TheHackerNews — SaaS (Software as a Service) の利用が急成長しており、その勢いに衰えは見えない。分散型で使い易いという特性は、従業員の生産性を高める上で有益だが、セキュリティや IT に関する多くの課題も生じさせている。組織のデータへのアクセスを許可された、すべての SaaS アプリケーションを追跡することは困難な作業である。また、SaaS アプリケーションがもたらすリスクについて、理解することも同様に重要だが、目に見えないものを保護することは困難である。

ChatGPT でセキュリティを強化：2023年を変えていく３つの視点とは？

3 Ways ChatGPT Will Change Infosec in 2023

2023/01/28 DarkReading — 2022年11月30日に OpenAI が、ChatGPT をテスト用に公開した直後から、世界中に嵐を巻き起こった。AI や ML の「革新」に満足できなかった業界にとって、この反応は非常に重要なものだった。情報セキュリティにとって AI が、まさに革命的なものであることが、ようやく明らかになった瞬間だと、私は捉えているが、その可能性に期待してきた多くの人々も同様だと思う。

Web ブラウザのセキュリティ：体系化された５本の柱で分解／整理してみよう

The Definitive Browser Security Checklist

2023/01/25 TheHackerNews — セキュリティ関係者は、現代の企業環境におけるブラウザの重要な役割と、その管理／保護の再評価が必要であることを認識するようになった。少し前までは、エンドポイント／ネットワーク／クラウドの各ソリューションのパッチワークで Web ベースのリスクに対応していたが、これらのソリューションが提供する部分的な保護では、もはや不十分であることが明らかになった。そのため、多くのセキュリティ・チームが、ブラウザのセキュリティ上の課題に対する答えとして、専用に構築されたブラウザ・セキュリティ・プラットフォームという、新たなカテゴリーに注目するようになってきた。

ダークウェブの監視が重要：Verizon DBI が示すインサイダー・リスク軽減のヒントとは？

Hunting Insider Threats on the Dark Web

2023/01/24 DarkReading — インサイダーによる脅威は、深刻な問題であり、拡大している問題でもある。最近の Verizon の調査によると、悪意の従業員がインシデントの 20% に関連しており、内部関係者が関与する攻撃は外部関係者によるが攻撃の 10倍ほどになる。また、ProofPoint のデータによると、パンデミックによるリモートワークでリスクが高まり、過去２年間においてはインサイダーによる攻撃の増加が示されている。

Java と .NET のデベロッパー：大量の脆弱性に対峙する理由を解明

Java, .NET Developers Prone to More Frequent Vulnerabilities

2023/01/16 DarkReading — Java と .NET で書かれたアプリケーションの約 75％が、OWASP Top-10 に含まれる脆弱性を、少なくとも１つは持っていることが判明した。ソフトウェア・テスト会社である Veracode が、約76万件のアプリケーションを分析した結果として、上記の２つのプログラミング・エコシステムを使用したアプリケーションの 20% ほどは、少なくとも１つの深刻な脆弱性を抱えていることも明らかになった。

Red Hat がマルウェア検知サービスを発表：IBM X-Force との連携で安全を担保

Red Hat Announces General Availability of Malware Detection Service

2023/01/11 SecurityWeek — 2023年1月10日に Red Hat は、Red Hat Enterprise Linux (RHEL) システム向けのマルウェア検出サービスの、一般提供を開始したことを発表した。IBM X-Force との提携で生まれた Insights サービスは、既知の Linux マルウェアに関連する 180 以上のシグネチャのデータベースを使用し、RHEL システム内のマルウェアをスキャンするものだ。

GitHub に追加された脆弱性スキャン：1.2k のリポジトリで２万件の脆弱性を発見

GitHub makes it easier to scan your code for vulnerabilities

2023/01/09 BleepingComputer — GitHub が新たに導入したオプションは、”default setup” と呼ばれるリポジトリのコード・スキャンを設定するものであり、開発者が数回クリックするだけで自動的にコードがスキャンされるという。GitHub のコード・スキャンを支える CodeQL コード解析エンジンは、多くの言語とコンパイラをサポートしているが、この新しいオプションは Python／JavaScript／Rubyのリポジトリに対してのみ表示される。Product Marketing Manager である Walker Chabbott によると、GitHub は今後６ヶ月間において、より多くの言語へのサポート拡大に取り組んでいくとのことだ。

Identity Tools の用法とコスト：統合できない企業は無駄なコストを費やす

Enterprises waste money on identity tools they don’t use

2022/12/27 HelpNetSecurity — One Identity によると、複数の ID ツールに対する企業の誤った投資により、現在の脅威の状況に対する不十分な防御が生じているようだ。96%の企業が複数の ID 管理ツールを使用しており、41%はアクセス権を管理するために、少なくとも 25種類のシステムを導入していると報告されている。その一方で、70%の企業が、積極的に使用していない ID ツールのために、費用を支払っていると報告している。このように、複数の異なる ID ツールに投資することが、全体的なセキュリティ態勢に直接的な影響を及ぼしている。

2023年のサイバー攻撃を予測：テクノロジーとリカバリーが交差していく

Modern technology and cyber recovery will intersect in the next generation of attacks

2022/12/27 HelpNetSecurity — Experian によると、企業／個人で使用されえる技術が進化し続ける中、サイバー犯罪者たちもイノベーションを活用し、次世代型の攻撃を仕掛けているという。2023年のハッカーたちは、メタバース／宇宙／人工知能などの革新的な技術を取り込んだ、攻撃方法を開拓するための探索を進めてくるだろう。Experian の最新レポートでは、サイバー犯罪者が潜む場所や、攻撃の方法について、企業の理解を促すための、いくつかの予測について概説している。

VirusTotal チートシートが登場：より具体的なデータ検索が可能に

VirusTotal cheat sheet makes it easy to search for specific results

2022/12/20 BleepingComputer — VirusTotal が公開したチートシートは、このマルウェアの情報プラットフォーム上でクエリを作成するものであり、より具体的な検索結果を、研究者たちは得られるようになる。このチートシートは、検索結果の絞り込みに役立つファイル検索修飾子を、どのように組み合わせれば、特定のデータを検出できるのかを示している。

WAF に JSON を投げ込む攻撃手法：バイパスが可能になるという Claroty の調査

Researchers Detail New Attack Method to Bypass Popular Web Application Firewalls

2022/12/10 TheHackerNews — さまざまなベンダーの Web Application Firewalls (WAF) を回避したシステムへの侵入により、企業や顧客の機密情報へのアクセスを、脅威アクターに許す可能性のある、新たな攻撃方法が発見された。WAF は重要な防衛線であり、Web アプリケーションとの間で HTTP (S) トラフィックをフィルタリング／監視／ブロックし、CSRF／XSS／SQL インジェクション／ファイル・インクルードなどの攻撃からシステムを保護するものだ。

Black Hat 2022：自社育成の Machine Learning で SOC の手法を転換

SOC Turns to Homegrown Machine Learning to Catch Cyber-Intruders

2022/12/03 DarkReading — フランスの銀行に所属する情報セキュリティ・チームが、ログデータを学習させた自社開発の機械学習モデルを用いて、ルールベースのセキュリティ・アプライアンスでは捕捉できなかった。３種類の新しいデータ流出パターンを検出できることを発見した。

SBOM 要件の延期を米議会に提出：防衛産業の団体が４つの理由を詳述

Industry Coalition Urges Congress to Hold off on SBOMs Requirements for Defense Contractors

2022/12/02 infoSecurity — サイバー・セキュリティ業界団体の連合は米国議会に対して、防衛請負業者に対する Software Bill of Materials (SBOM) 要件を延期するよう求める、公開書簡を発表した。この書簡は、National Defense Authorization Act for Fiscal Year 2023 の第 4543条に関するものであり、米国防総省が請負業者に対して SBOM 要件を定めるよう求めるものだ。

Microsoft Defender for Endpoint の保護機能を強化：すべての企業ユーザーが利用可能に

Microsoft Defender boosts default protection for all enterprise users

2022/11/29 BleepingComputer — Microsoft は、同社のエンドポイント・セキュリティ・プラットフォームである Defender for Endpoint を導入している全てのデバイスで、ビルトイン保護機能が利用可能になることを発表した。このデフォルト設定を適用すると、ランサムウェア攻撃を含む、高度な脅威や新たな脅威に対して、企業のエンドポイント保護を強化できる。Microsoft は、「この保護機能では、まずはテナントの改ざん防止機能をオンにする。その後に、その他のデフォルト設定も導入する予定だ」と説明している。

CISA のインフラ回復計画のフレームワーク IRPF：地域社会を守るために

CISA Updates Infrastructure Resilience Planning Framework

2022/11/23 SecurityWeek — 今週に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Infrastructure Resilience Planning Framework (IRPF) に対して、新しいツールとガイダンスを追加することを発表した。2021年に初版がリリースされた IRPF (PDF) は、進化する脅威に直面する SLTT (State／Local／Tribal／Territorial) 団体を対象とし、重要インフラの安全性と回復力を計画に含めようとするものだ。なお、IRPF は、あらゆる組織の回復力を改善する計画に、利用することが可能である。

Nighthawk というレッドチームツール：Cobalt Strike のように悪用される可能性

Experts Warn Threat Actors May Abuse Red Team Tool Nighthawk

2022/11/22 InfoSecurity — Nighthawk と名付けられた、新たなレッドチーム・ツールが、脅威アクターにより間もなく悪用される可能性があると、セキュリティ研究者たちが警告している。このツールは、2021年後半に MDSec 社により開発されている。そして、Cobalt Strike や Brute Ratel のように、合法的な使用を目的として商業的に配布される RAT (Remote Access Trojan) として機能する、高度な C2 フレームワークと表現するのが適切だろう。しかし、これまでの２つのツールと同様に、悪意の人々に直ちに利用される可能性があると、Proofpoint は最新レポートの中で警告している。

Cobalt Strike のハッキング・バージョンは 34 種類：YARA ルールで排除を目指す Google

Google Identifies 34 Cracked Versions of Popular Cobalt Strike Hacking Toolkit in the Wild

2022/11/21 TheHackerNews — 先週に Google Cloud は、Cobalt Strike には 34 種類のハッキングされたバージョンが存在、野放し状態で悪用されていることを明らかにした。その中で、最も古いものは、2012年11月にリリースされたバージョンだという。GCTI (Google Cloud Threat Intelligence) チームの調査結果によると、Cobalt Strike は 1.44 から 4.7 までのバージョンがあり、合計で 275 種類のユニークな JAR ファイルが存在するようだ。そして、最新のバージョンは 4.7.2 だ。

CISA が SSVC を公開：パッチの優先順位とディシジョン・ツリー・モデル

CISA Releases Decision Tree Model to Help Companies Prioritize Vulnerability Patching

2022/11/11 SecurityWeek — 11月10日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、脆弱性パッチの優先順位を付ける組織が、ディシジョン・ツリー・モデルを用いる際に役立つ SSVC (Stakeholder-Specific Vulnerability Categorization) ガイドを公開した。SSVC システムは、CISA とカーネギーメロン大学の Software Engineering Institute (SEI) が 2019年に作成したものだ。翌年である 2022年に CISA は、政府機関や重要インフラ組織に関連するセキュリティ欠陥に対して、独自にカスタマイズした SSVC デジション・ツリーを作成している。

OWASP API Top 10 [+] に注目：Shadow API を狙う 50億のリクエストなどの脅威

Shadow APIs hit with 5 billion malicious requests

2022/10/07 HelpNetSecurity — Cequence Security は、”API Protection Report: Shadow APIs and API Abuse Explode” と題した、2022年上半期のレポートを発表した。調査結果の主なものは、一般的に Shadow API と呼ばれる、未知かつ管理／保護されていない API を対象とした、約50億 (31％) の悪質なトランザクションに関するものであり、この分野における最大の脅威になっているという。

OCFS でセキュリティ・アラートを正規化：AWS と Splunk が Black Hat で発表

New Cross-Industry Group Launches Open Cybersecurity Framework

2022/08/12 DarkReading — BLACK HAT USA – LAS VEGAS — Amazon Web Services (AWS) と Splunk は、各種の監視システムにおけるセキュリティ・アラートの標準化を推進するために、18種類のシステムおよびセキュリティ・ベンダーによる、業界としての取り組みを主導していく。その目的は、セキュリティ・チームのためにあり、セキュリティ・データを迅速に取り込み分析するための、ベンダーにとらわれない簡素化された分類法を提供することにある。

SBoM 支持の CISA／OpenSSF／OWASP：ソフトウェア・サプライチェーンのリスクを軽減

Gathering Momentum: 3 Steps Forward to Expand SBoM Use

2022/06/06 DarkReading — IT 環境における Software Bills of Materials (SBoM) の普及を求める声は大きくなっているが、アプリケーション・ポートフォリオで使用されている、ソフトウェア・コンポーネントの追跡のために SBoM を一貫して導入している組織は、相対的に少ないという現実がある。

Google Cloud の Assured OSS サービス：審査済みの Open Source コンポーネントを提供

Google Cloud Aims to Share Its Vetted Open Source Ecosystem

2022/05/18 DarkReading — Google によるセキュリティ対策の恩恵を望む開発者は、Google の開発者がセキュリティ問題を検証し、パッチ適用を把握している、オープンソース・コンポーネントを利用するサービスを、まもなくサブスクライブできるようになる。この Assured Open Source Software (OSS) と名付けられたサービスは、頻繁なスキャンとコード解析により作成されたメタデータで補強される、新たな Supply chain Levels for Software Artifacts (SLSA) フレームワークに準拠する。したがって、Google の署名を受けた、オープンソース・パッケージのバージョンが提供されることになる。

IT ヘルプ・デスクの調査：65％のチームが持続不可能なストレスを訴えている

65% of IT help desk teams report unsustainable levels of stress

2022/05/18 HelpNetSecurity — これまでの２年間において、IT 部門はビジネスの最前線に立ち、組織はデジタル・トランスフォーメーションを迅速に導入し、完全なリモートワークや分散型労働の実現を支援してきた。その一方で、Splashtop のレポートによると、米国内の IT ヘルプデスク・チームの 65％において、持続不可能なレベルのストレスを訴えるメンバーが増加しているようだ。さらに、回答者の 94% が、これまでの 12カ月間における自社のヘルプデスク部門が、雇用問題／人材確保問題／スキル不足の影響を受けたと回答している。その結果として、回答者の 67% が IT サポート目標の維持に問題があると報告している。

SaaS-to-SaaS サプライチェーンの時代：保護すべき対象がズレ始める時代

The SaaS-to-SaaS supply chain is a wild, wild mess

2022/05/12 HelpNetSecurity — クラウドへの移行と IT の民主化により、ビジネス・ワークフローのデジタル化と自動化のための統合が進み、相互に接続されたビジネス・アプリのネットワークが拡大し続けている。デジタル・トランスフォーメーション時代の従業員たちは、生産性を高めるために、SaaS アプリや、Workato／Zapier などの no／low code プラットフォーム、サードパーティ・アプリを独自に採用／接続している。

ソーシャル・エンジニアリング対策：What You Need to Know to Stay Resilient を読もう

[White Paper] Social Engineering: What You Need to Know to Stay Resilient

2022/05/11 TheHackerNews — セキュリティ・チームや IT チームは、組織におけるデジタル防御線の最も弱い部分である従業員たちが、侵入者により包囲されているため、夜も眠れず寝不足に陥っている。ソーシャル・エンジニアリングは、人間の感情を利用して、最小限の計画や専門知識で何十億ドルもの損害を与えるものだ。サイバー犯罪者たちは、技術的なハッキング戦術に頼るよりも、人を操る方が簡単だと考えている。最近の調査では、攻撃の 98% でソーシャル・エンジニアリングが利用されていることが明らかになっている。

CISO として考えるべき脅威検知の視点：７つの質問を用意してみた

7 threat detection challenges CISOs face and what they can do about it

2022/05/05 HelpNetSecurity — セキュリティ運用 (SecOps) チームは、新たな攻撃やマルウェアの亜種の氾濫に、さらされ続けている。最近の AV-TEST 調査によると、2021年だけで 1億7000万以上の新しいマルウェア亜種が存在している。その結果として、CISO とチームが、これらの新たな脅威を特定し、阻止するための負担は、かつてないほど高まっている。しかし、それを行おうとすると、スキル不足／データの相関関係の特定 (手作業)／誤検出の追及／長時間の調査といった、さまざまな課題に直面する。この記事では、CISO が直面している脅威検知プログラムの課題を探り、セキュリティ運用を改善するためのヒントを紹介したいと思う。

NIST のサプライチェーン・リスク対策：Cybersecurity Supply Chain Risk Management がリリース

NIST Releases Updated Cybersecurity Guidance for Managing Supply Chain Risks

2022/05/04 TheHackerNews — 木曜日に National Institute of Standards and Technology (NIST) は、魅力的な攻撃経路としてサプライチェーンが浮上していることから、そのリスクを管理するための最新のサイバー・セキュリティ・ガイダンスを発表した。NIST は声明において、「ユーザー組織に対して推奨されるのは、利用を検討している完成品としての製品の脆弱性だけではなく、他で開発された可能性のあるコンポーネントの脆弱性についても、考える必要があるという点だ。また、それらのコンポーネントが、手元に到達するまでの道のりについても、考慮する必要がある」と述べている。

Google の SMTP Relay サービスを悪用するフィッシング：DMARC プロトコルでの防御が必須

Phishers exploit Google’s SMTP Relay service to deliver spoofed emails

2022/05/03 HelpNetSecurity — フィッシング詐欺師たちが、Google の SMTP Relay サービスの欠陥を悪用し、人気ブランドになりすます悪質なメールを送信している。Avanan のリサーチャーである Jeremy Fuchs によると、2022年4月から、この SMTP Relay サービスを悪用する脅威アクターが大量に発生し、他の Gmail テナントになりすますという攻撃に至っているとのことだ。

OpenSSF の新プロジェクトが実用段階に：OSS リポジトリから悪意のパッケージを探し出す

New OpenSSF Project Hunts for Malicious Packages in Open Source Repositories

2022/04/29 SecurityWeek — Open Source Security Foundation (OpenSSF) が発表した新しいプロジェクトとは、オープンソース・リポジトリ内の悪意のパッケージの特定を、支援することを目的とするものだ。OpenSSF によると、この Package Analysis プロジェクトは、オープンソース・パッケージの挙動と機能 (アクセスするファイル／サポートするコマンド／接続する IP など) を特定し、疑わしい活動を明らかにし、変更を追跡することを目的としている。

JPCERT の EmoCheck が Emotet 64-bit に対応：簡単な操作でマルウェアを検出

EmoCheck now detects new 64-bit versions of Emotet malware

2022/04/28 BleepingComputer — 今月から感染が検出され始めたマルウェア Emotet の、64 Bit 版を検出するユーティリティ EmoCheck の新バージョンが、JPCERT からリリースされた。Emotet は、Word・Excel 文書／Windows ショートカット／ISO ファイル／パスワードで保護されたZIPファイルなどの、悪意の添付ファイルを含んだフィッシング・メールを介して、最も活発に配布されているマルウェアの１つである。これらのフィッシング・メールは、返信用チェーンメール／出荷通知／税務書類／会計報告書／ホリデーパーティ招待状などによりユーザーを騙し、ファイルを開かせるための独創的な誘い文句を使用している。

CISA が編纂するリスト：サイバー・セキュリティのための無償ツール／サービス

CISA compiles list of free cybersecurity tools and services

2022/02/19 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃からの防御を強化し、組織のセキュリティ能力を高めるための、無料のサイバー・セキュリティ・サービス／ツールのリストを公開した。このリストは、包括的なものではなく、また、変化にも対応できるものだが、サイバー・セキュリティ・プログラムのための、基本的なセキュリティ対策と組み合わせることで、企業のサイバー・セキュリティ・リスク管理を成熟させることを目的としている。

OWASP ModSecurity Core Rule Set サンドボックスが登場：新たな CVE の研究が効率化される

OWASP ModSecurity Core Rule Set sandbox launched to help security researchers test new CVEs

2021/12/10 DailySwig — OWASP ModSecurity Core Rule Set に対してペイロード・テストを行うセキュリティ研究者たちが、プロジェクト・メンテナがリリースした新しいサンドボックスを使えるようになったという朗報である。この Core Rule Set (CRS) とは、ModSecurity および、互換性のある Web Application Firewalls (WAF) で使用するための、一般的な攻撃検知ルールのセットである。その目的は、OWASP Top Ten を含む広範な攻撃から、Webアプリケーションを保護することにある。

OWASP API Top-10： API を脅かす脆弱性を分析して対策を講じる

A guide to the OWASP API top ten

2021/10/19 SecurityBoulevard — OWASP Top-10 や、Web Application 脆弱性 Top-10 について聞いたことがあると思う。OWASP は、API を脅かす脆弱性の Top-10 も定期的に選出しており、それは OWASP API Top-10 と呼ばれている。

現在の API Top-10 は、Broken Object Level Authorization／Broken User Authentication／Excessive Data Exposure／Lack of Resources & Rate Limiting／Broken Function Level Authorization／Mass Assignment／Security Misconfiguration／Injection／Improper Assets Management／Insufficient Logging & Monitoring の順になっている。

OWASP Top-10 2021 Draft：Web アプリへの脅威をカテゴライズ

OWASP shakes up web app threat categories with release of draft Top 10

2021/09/09 DailySwig — Open Web Application Security Project (OWASP) は、2021年の Top-10 リストのドラフトを発表し、現代の脅威の分類方法を一新した。9月8日の発表で OWASPは、ピア・レビュー／コメント／翻訳・改善の提案を目的とする、Top 10 Web Application Security Threats for 2021 のドラフトを公開したと述べている。

OWASP Top 10 脆弱性に対抗するための Top 10 Tips とは？

Top 10 Tips to Protect Against OWASP Top 10 Vulnerabilities

2021/07/20 SecurityBoulevard — OWASP (Open Web Application Security Project) Top 10 脆弱性は、Web アプリケーションにおいて最も頻繁に生じるセキュリティ脆弱性 10 項目のリストである。このリストは３～４年ごとに更新され、前回の更新は2017年となっている。最新の 2020年版リストで取り上げられている脆弱性は、以下の通りである。

・インジェクション
・破壊された認証
・機密データの露出
・XML External Entities (XXE)
・アクセス・コントロールの失敗
・セキュリティ設定ミス
・クロス・サイト・スクリプティング(XSS)
・安全でないデシリアライゼーション
・脆弱性が指摘されているコンポーネントの使用
・不十分なロギングとモニタリング