Unattended API challenge: How we’re losing track and can we get full visibility
2023/05/09 HelpNetSecurity — かつてないスピードで、API が開発／導入される現代の企業において、API スプロール (氾濫) の問題が広まり始めている。Postman の 2022 State of the API Report では、「回答者の 89％が、組織の API への時間とリソースの投資は、今後 12ヶ月間で増加するか、変わらないだろうと答えている」と指摘されている。つまり、API の開発／展開が進むだろうと、それぞれの組織は自信を持っているのだ。
Continue reading “API の氾濫という深刻な問題：過去のインシデントを学習して将来を見据える”Researchers Discover 3 Vulnerabilities in Microsoft Azure API Management Service
2023/05/04 TheHackerNews — Microsoft Azure API Management サービスにおいて、機密情報やバックエンド・サービスへのアクセスを試みる脅威アクターに、悪用される可能性のある３つの新たな脆弱性が公開された。イスラエルのクラウド・セキュリティ企業 Ermetic によると、そこに含まれるのは、２つの SSRF (Server-Side Request Forgery) の欠陥と、API Management 開発者ポータルにおける無制限ファイル・アップロード機能の欠陥である。
Continue reading “Microsoft Azure の API Management の脆弱性が FIX：SSRF などに対応 – Ermetic”Why Shadow APIs are More Dangerous than You Think
2023/04/13 TheHackerNews — シャドー API は、悪意の動作を隠蔽し、データ損失を引き起こす可能性があるため、あらゆる規模の組織にとって、リスクを高めるものになっている。シャドー API とは、公式に文書化／サポートされていない API のことだが、この言葉を知らない人も多いだろう。残念なことだが、運用チームやセキュリティ・チームの誰もが知らない API が、プロダクション環境に存在することが一般的である。企業は何千もの API を管理しているが、その多くは API ゲートウェイや Web アプリケーション・ファイアウォールなどのプロキシを経由していない。つまり、大半の API は監視／監査されない、最も脆弱な存在なのだ。
Continue reading “Shadow API の調査：監視／監査されない最も脆弱な存在について考える”Fortinet fixes critical RCE flaws in FortiNAC and FortiWeb
2023/02/17 BleepingComputer — Fortinet の FortiNAC／FortiWeb に対するセキュリティ・アップデートが公開された。そこで対処された２つの深刻な脆弱性は、認証されていない攻撃者による任意のコード／コマンド実行にいたる可能性のあるものだ。１つ目は、FortiNAC に影響を及ぼす脆弱性 CVE-2022-39952 であり、CVSS 値は 9.8 (Critical) である。FortiNAC は、ネットワーク・アクセス制御ソリューションであり、リアルタイムでのネットワークの可視化／セキュリティ・ポリシーの適用／脅威の検知と緩和を支援するものだ。
Continue reading “Fortinet FortiNAC／FortiWeb の深刻な脆弱性が FIX：緩和策や回避策は存在しない”Over 85% of Attacks Hide in Encrypted Channels
2022/12/15 InfoSecurity — Zscaler の最新レポートによると、これまでの１年間におけるサイバー攻撃の大部分は、セキュリティ・チームによる検出を回避するために TLS/SSL 暗号化を使用しているという。セキュリティ・ベンダーである Zscaler は、2021年10月〜2022年9月においてブロックされた 240億件の脅威を分析し、その結果を 2022 State of Encrypted Attacks Report として提供している。
Researchers Detail New Attack Method to Bypass Popular Web Application Firewalls
2022/12/10 TheHackerNews — さまざまなベンダーの Web Application Firewalls (WAF) を回避したシステムへの侵入により、企業や顧客の機密情報へのアクセスを、脅威アクターに許す可能性のある、新たな攻撃方法が発見された。WAF は重要な防衛線であり、Web アプリケーションとの間で HTTP (S) トラフィックをフィルタリング／監視／ブロックし、CSRF／XSS／SQL インジェクション／ファイル・インクルードなどの攻撃からシステムを保護するものだ。
Continue reading “WAF に JSON を投げ込む攻撃手法：バイパスが可能になるという Claroty の調査”Transforming SQL Queries Bypasses WAF Security
2022/05/13 DarkReading — BLACK HAT ASIA 2022 – ある大学研究者のチームが基本的な機械学習を用いて、一般的な WAF には悪意のものとして検出されずに、攻撃者のペイロードを配信するパターンを特定したと、シンガポールで開催中の Black Hat Asia で発表した。中国浙江大学の研究者は、一般的な SQL を用いて、Web アプリケーションのデータベースを標的とした、インジェクション攻撃を変換する一般的な方法に着手した。
Continue reading “BLACK HAT ASIA 2022 での発表：SQL クエリーの変換により WAF バイパスが可能になる”Attacks abusing programming APIs grew over 600% in 2021
2022/03/02 BleepingComputer — セキュリティ・アナリストは、この１年間において API 攻撃が急増しているが、ほとんどの企業は、この問題に取り組むには適切ち言えない慣行をとっていると警告している。Salt Security は、2021年の API 攻撃トラフィックが 681% 増加し、API トラフィック全体は 321% 増加したと、具体的に報告している。一連の統計は、この業界が API ソリューションを採用するにつれて、それらに対する攻撃が不均衡に増加している現実を浮き立たせている。
Continue reading “API セキュリティ調査 2021：攻撃トラフィック量は 600% 増という驚異的な伸び”OWASP ModSecurity Core Rule Set sandbox launched to help security researchers test new CVEs
2021/12/10 DailySwig — OWASP ModSecurity Core Rule Set に対してペイロード・テストを行うセキュリティ研究者たちが、プロジェクト・メンテナがリリースした新しいサンドボックスを使えるようになったという朗報である。この Core Rule Set (CRS) とは、ModSecurity および、互換性のある Web Application Firewalls (WAF) で使用するための、一般的な攻撃検知ルールのセットである。その目的は、OWASP Top Ten を含む広範な攻撃から、Webアプリケーションを保護することにある。
Continue reading “OWASP ModSecurity Core Rule Set サンドボックスが登場：新たな CVE の研究が効率化される”Why ‘Role’ Permissions Are So Dangerous To Your Cloud Environment
2021/09/17 SecurityBoulevard — クラウドを利用する企業が直面するものに、過剰なパーミッションの適切な抑制という、重要な課題がある。クラウドでの運用には、俊敏性と柔軟性が求められる。しかし、この問題は、そのメリットによりセキュリティを犠牲にされることが多く、また、クラウド上には不要で過剰なパーミッションが蔓延していることである。このウェビナーでは、クラウドにおける過剰なパーミッションの問題と、それをコントロールする方法について説明していく。
Continue reading “クラウド環境の危険性：Role パーミッションについて再考しよう”Fortinet delays patching zero-day allowing remote server takeover
2021/08/17 BleepingComputer — Fortinet は、FortiWeb WAF (Web Application Firewal) で見つかった、ゼロデイのコマンド・インジェクションの脆弱性に対するパッチ・リリースを、8月末まで延期した。この脆弱性が悪用されると、認証された攻撃者が SAML サーバーの設定ページを介して、基盤となるシステムの root ユーザーとして、任意のコマンドを実行することができる。このバグを悪用するためには、攻撃者は対象となる FortiWeb デバイスの管理インターフェースに認証される必要があるが、たとえば認証バイパス (CVE-2020-29015) などの脆弱性と連鎖させることで、脆弱なサーバーを完全に制御することができる。
Continue reading “Fortinet ゼロデイ・リモート脆弱性：パッチ・リリースは８月末に延期”Bot protection now generally available in Azure Web Application Firewall
2021/08/01 BleepingComputer — Microsoft は、WAF (Web Application Firewall) のボット防止機能が、今週から Azure Application Gateway で提供開始されたと発表した。Azure WAF (Web Application Firewall) は、ボット攻撃やエクスプロイトのほか、クロスサイト・スクリプティング、SQL インジェクション、不正な認証、セキュリティの誤設定などの、一般的な Web の脆弱性から Web アプリケーションを保護するためにデザインされた、クラウド・ネイティブ・サービスである。Azure WAF は、Microsoft の Azure Application Gateway、Azure Front Door、Azure Content Delivery Network (CDN) などのサービスを利用することで、ワンクリックで数分以内に導入が可能だ。
Continue reading “Microsoft Azure WAF のボット防止機能がスタート”API Attack Traffic Grew 300+% In the Last Six Months
2021/07/30 SecurityBoulevard — Salt Labs が発表したレポートにより、過去６ヶ月間における AP 攻撃が。かつてないほど急増していることが明らかになった。月間の API コールレートは 141％ 増加し、悪意のトラフィックは 348％ と大幅に増加した。今回の調査結果は、Salt Security の顧客データのみをベースにしているが、クラウド・ネイティブの脆弱性が広まっていることが浮き彫りとなり、また、より強固なサイバー・セキュリティ対応が、IT 業界全体にとって必要なことが明確化している。
Continue reading “API 攻撃のトラフィックが６ヶ月で 300+% も増大している”Top 10 Tips to Protect Against OWASP Top 10 Vulnerabilities
2021/07/20 SecurityBoulevard — OWASP (Open Web Application Security Project) Top 10 脆弱性は、Web アプリケーションにおいて最も頻繁に生じるセキュリティ脆弱性 10 項目のリストである。このリストは３～４年ごとに更新され、前回の更新は2017年となっている。最新の 2020年版リストで取り上げられている脆弱性は、以下の通りである。
・インジェクション
・破壊された認証
・機密データの露出
・XML External Entities (XXE)
・アクセス・コントロールの失敗
・セキュリティ設定ミス
・クロス・サイト・スクリプティング(XSS)
・安全でないデシリアライゼーション
・脆弱性が指摘されているコンポーネントの使用
・不十分なロギングとモニタリング
Flaws in FortiWeb WAF expose Fortinet devices to remote hack
2021/06/25 SecurityAffairs — 先日に Fortinet は、FortiWeb web application firewall (WAF) に深刻度の高い脆弱性 CVE-2021-22123 があり、認証済みのリモート攻撃者が SAML サーバの設定ページを介して、任意のコマンドを実行できるという問題に対処した。FortiWeb firewall 管理インターフェイスの脆弱性は、Positive Technologies の Andrey Medov により発見された。
Continue reading “FortiWeb WAF にリモートからの OS コマンド・インジェクションの脆弱性が”
IoT OT Security News 