Zero Trust – IoT OT Security News

LastPass のシステムで発生した不正侵入：４日間にわたる不正アクセスが判明

Hackers Had Access to LastPass’s Development Systems for Four Days

2022/09/17 TheHackerNews — パスワード管理ソリューションの LastPass は、2022年8月に発生したセキュリティ・インシデントの詳細を公開し、脅威者が 8月の4日間にわたり、同社のシステムに不正にアクセスしていたことを明らかにした。LastPass の CEO である Karim Toubba は、9月15日に公開されたアップデートで、「観測されたタイムラインを超える脅威者の活動の証拠はない。また、このインシデントにおいて、脅威者が顧客データ／暗号化パスワード保管庫へアクセスした形跡もない」と付け加えている。

NSA と CISA のガイダンス：サプライチェーン攻撃から組織を守るために

NSA and CISA share tips to secure the software supply chain

2022/09/01 BleepingComputer — 今日、米国の NSA と CISA (Cybersecurity and Infrastructure Security Agency) は、ソフトウェア・サプライチェーンを保護するためのチップスを発表した。この指針は、米国の重要インフラと国家安全保障シdesuステムに対する脅威に対処する、官民パートナーシップである Enduring Security Framework (ESF) により、ソフトウェア開発者向けの推奨事例集として作成されたものだ。

ゼロトラスト戦略の急速な拡大：地域と分野での取り組みをデータで参照

The factors driving today’s accelerated zero trust adoption

2022/08/18 HelpNetSecurity — Okta の 2022 State of Zero Trust Security Report により、ビジネスにおける重要かつ必須の事項はバズワードからゼロトラストへと、急速に変化していることが判明した。現時点において 97％の企業が、ゼロトラスト・イニシアチブを実施しているか、あるいは、今後の 12～18カ月以内に実施するとしており、2018年の 16％から上昇し、過去４年間で 500％以上の増加となっている。

Amazon Ring for Android の脆弱性が FIX：画像の不正アクセスから機械学習への連鎖

Amazon fixes Ring Android app flaw exposing camera recordings

2022/08/18 BleepingComputer — Amazon は、Amazon Ring for Android において、侵害に成功したハッカーが、ユーザーの保存したカメラ録画をダウンロードできるという、深刻度の高い脆弱性を修正した。この脆弱性は、アプリケーション。セキュリティテスト会社である Checkmarx のセキュリティ研究者が発見し、2022年5月1日にアマゾンに開示し、5月27日に修正されたものである。

Cookie セッション・ハイジャックの脅威：ZTNA／MFA ツールの大半は無力化される

Many ZTNA, MFA Tools Offer Little Protection Against Cookie Session Hijacking Attacks

2022/09/11 DarkReading — 組織において、内部ネットワークからインターネット・トラフィックを分離するためにディプロイされるツールの多く (多要素認証／ZTNA／SSO／ID プロバイダー・サービスなど) は、Cookie の盗難／再利用および、セッションハイジャック攻撃からの保護にはほとんど効果がない。今週にイスラエルの新興企業 Mesh Security の研究者たちが発表したところによると、これらの技術やサービスには、適切な Cookie セッション検証メカニズムがないことが多いという、したがって、これらの技術やサービスを、攻撃者は比較的容易に迂回できるという現実がある。

クラウド・セキュリティの調査：IT リーダーの 60%が安全性に自信を持てない

60% of IT leaders are not confident about their secure cloud access

2022/07/21 HelpNetSecurity — Ponemon Institute の調査で明らかになったのは、さまざまなクラウドの導入が進みつつあるにもかかわらず、IT／セキュリティリーダーの 60%が、自社のクラウド・アクセスの安全性に自信を持っていないことである。The Global Study on Zero Trust Security for the Cloud は、世界中の約 1,500人の IT意思決定者／セキュリティ専門家を対象に行われ、クラウド環境のセキュリティ確保における問題点と、ゼロトラストセキュリティの手法が、いかにデジタル・トランスフォーメーションを可能にするかが調査された。

Google Calendar に新たなブロック機能：フィッシング防止のために設定

Google Calendar provides new way to block invitation phishing

2022/07/20 BleepingComputer — 今日の Google Workspace チームの発表によると、Google カレンダーの招待状スパムをブロックする新しい方法が、従来からの G Suite Basic および Business ユーザーを含む、すべてのユーザーに対して提供が開始されたようだ。

リモート・ファーストの世界とランサムウェア：VPN 依存からの脱却は不可欠？

Mitigate Ransomware in a Remote-First World

2022/06/21 TheHackerNews — ランサムウェアは、長年にわたって、サイバー・セキュリティ・チームにとって悩みの種として存在している。リモート・ワークやハイブリッド・ワークへの移行に伴い、この陰湿な脅威は、あらゆる組織にとってさらに大きな課題となっている。2021年は、多種多様な攻撃／多大な金銭的／経済的影響／組織側の多様な防御方法といった、ランサムウェアのケース・スタディの年となった。これらの攻撃から得られた教訓は、ランサムウェアのリスクを軽減するための、今後のセキュリティ戦略に活かせるものだと捉えるべきだ。組織は進化し続けるため、セキュリティ戦略も進化すべきなのだ。

SaaS-to-SaaS サプライチェーンの時代：保護すべき対象がズレ始める時代

The SaaS-to-SaaS supply chain is a wild, wild mess

2022/05/12 HelpNetSecurity — クラウドへの移行と IT の民主化により、ビジネス・ワークフローのデジタル化と自動化のための統合が進み、相互に接続されたビジネス・アプリのネットワークが拡大し続けている。デジタル・トランスフォーメーション時代の従業員たちは、生産性を高めるために、SaaS アプリや、Workato／Zapier などの no／low code プラットフォーム、サードパーティ・アプリを独自に採用／接続している。

6000人を対象にセキュリティ調査：人為的なリスクが最大の痛みを伴うという結論

Human activated risk still a pain point for organizations

2022/04/11 HelpNetSecurity — 広範囲に及ぶ業種の IT セキュリティ・リーダー 600人を対象に、脅威が高まる環境下という前提で、それぞれの組織のセキュリティ態勢について、匿名での調査が実施された。Egress の調査レポートによると、IT リーダーの 56% の回答として、セキュリティ攻撃に対して非技術系の従業員は、ある程度は備えている、あるいは、まったく備えていない、ことが明らかになった。さらに、回答者の 77％が、パンデミックが引き起こしたリモート化により、セキュリティ侵害が増加したと回答しており、組織には大きなリスクが存在し続けていることが判明した。

ゼロトラスト環境の実践：どのようにして人の信頼を構築していくべきか？

Building trust in a zero-trust environment

2022/03/14 HelpNetSecurity — 最近の MITRE と DTEX の調査では、インサイダー脅威に対する業界の長年の取り組みにもかかわらず、すべての悪意ある行動を発見するには、十分なデータも高度なシステムも存在しないことが明らかになっている。企業は、サイバー・セキュリティという企業文化を構築するために、ゼロトラスト・アーキテクチャに投資し、すべての攻撃表面を積極的にカバーし始めている。

ストレージ・セキュリティの再考：３つの問題点と６つのヒント

Cybersecurity and Your Storage System

2022/02/08 SecurityBoulevard — ストレージは、すべての組織のインフラに不可欠な要素である。その一方で、サイバーセキュリティは、すべての組織の戦略に欠かせない要素である。しかし、この２つが結びつくことは、ほとんどない。そして、ストレージにおけるセキュリティの欠如は、企業を危険にさらしている。

多要素認証 (MFA) の第２ラウンド：脅威アクターはリバースプロキシ・キットで対抗

MFA adoption pushes phishing actors to reverse-proxy solutions

2022/02/03 BleepingComputer — オンライン・アカウントへの多要素認証 (MFA) の導入が進むにつれて、フィッシング詐欺師たちは悪質な活動を継続するために、より洗練されたソリューション (特にリバースプロキシ・ツール) を利用するようになっている。COVID-19 の大流行は、人々の働き方を大きく変え、自宅での仕事を可能にし、場合によっては望ましいことを証明した。

ゼロトラストと Log4Shell：どのように考えれば攻撃を防げるのか？

How would zero trust prevent a Log4Shell attack?

2022/01/27 HelpNetSecurity — どのようなリモートコード実行の攻撃であっても、一見すると些細に思える解決策がある。それは、インバウンド・トラフィックが、サーバーの脆弱性を引き起こすパターンと、一致しないようにすることだ。言うのは簡単だが、実行するのは困難である。致命的な深刻さを持つ Log4j の脆弱性を誘発する可能性のあるトラフィック・パターンには、ほぼ無限のバリエーションがある。

ホワイトハウスから連邦政府組織への要求：ゼロトラスト・モデルを２年で採用せよ

White House wants US govt to use a Zero Trust security model

2022/01/26 BleepingComputer — 新たに発表された連邦政府の戦略では、米国政府が今後２年以内に「ゼロトラスト」のセキュリティ・モデルを採用し、連邦政府機関全体のサイバー・セキュリティの防御力を高めることが求められている。この戦略は、今日に Office of Management and Budget (OMB) が発表したものであり、米国の行政府全体で大統領のビジョンの実施を監督していくとされる。今日の発表は、米国の大統領令 (EO) 14028に促されたものであり、また、2021年9月に発表されたドラフトに続くものとなる。

データ・プロテクション：データの発見／分類／保護とコンテキストを考える

Data Protection: What Needs to Be Protected?

2022/01/03 SecurityIntelligence — あなたの組織のデータは、どこあるのだろうか？グローバルなデータセンター／PC／モバイルアプリなど、あらゆる場所にデータは散らばっている。では、そのすべてを保護するには、どうすればよいのだろう？すべてのデータを暗号化することは不可能だろう。膨大な予算と時間が必要になる。最も厳しい規制でさえ、そこまでのデータ保護を要求していない。たとえば、GDPR は主に個人を特定できる情報 (PII : Personal Identifiable Information) に焦点を当てるが、データ侵害から知的財産を保護することも必要だ。

ゼロトラストを成功させる秘訣：従業員を信頼することから考えるべきだ

Zero Trust Shouldn’t Mean Zero Trust in Employees

2021/12/21 DarkReading — この２年間におけるデータ漏洩インシデントを見ると、ゼロトラストの宣伝が熱を帯びている現状も不思議ではない。データ漏洩の主な原因は、依然としてヒューマン・エラーであり、Tessian の調査によると 12ヶ月間で200万通の悪意の電子メールが、安全を約束するはずの防御機能を回避している。

ナショナル・セキュリティを改善する大統領令：2021年11月までの進捗を評価してみる

Update on the Executive Order on Improving the Nation’s Cybersecurity

2021/12/09 SecurityBoulevard — サイバー・セキュリティに関する新たな大統領令は、いつも前向きな行動と期限が決められている。バイデン政権は、SolarWinds や Colonial Pipeline への攻撃を受けて、国家のサイバー・セキュリティを向上させるための EO (Executive Order) を発表した。その主な内容は、連邦政府機関全体での MFA／ZeroTrust／EDR の実施を呼びかけるものだった。また、Cyber Safety Review Board も設立された。

Cisco 調査レポート：レガシー・インフラのセキュリティ課題を明らかにする

Cisco Survey Surfaces Legacy Infrastructure Security Challenges

2021/12/07 SecurityBoulevard — Cisco の委託を受けて YouGov が実施した、5,123人の IT／Security／Privacy の専門家を対象とするグローバル調査 (Global Cisco Study Identifies Top Security Practices to Detect Threats and Ensure Business Resiliency) によると、39% の組織が古いと思われるセキュリティ技術に依存していることが判明した。

AWS re:Invent カンファレンス：Aviatrix が提供する Cloud Management Platform とは？

Aviatrix Adds Security Capabilities to Cloud Management Platform

2021/11/30 SecurityBoulevard — AWS re:Invent カンファレンスにおいて Aviatrix は、クラウド・サービス・プロバイダーが提供する複数の Software-Defined Networking サービスを、IT チームが管理するためのデータ・プレーンに、セキュリティ機能を追加したことを発表した。Aviatrix の VP of Product Marketing である Bryan Ashley は、ThreatIQ with ThreatGuard のセキュリティ機能が組み込まれたことで、すべてのネットワーク・ノードにおいて、トラフィックの検査とポリシーの適用が可能になったと述べている。

ゼロトラストにおける５つの迷信を検証していく

Debunking Five Myths About Zero-Trust

2021/11/05 SecurityBoulevard — セキュリティ業界では、何年も前からゼロトラストという言葉が使われている。ゼロトラストはセキュリティ業界の最新バズワードだと、多くの人々が捉えているかもしれないが、実際には何年も前から存在している概念である。

脅威に対する認識の欠如がリモートワークのリスクを生み出す

Lack of Threat Awareness Creates Hybrid Work Risks

2021/11/01 SecurityBoulevard — ほとんどの米国人は、サイバー・セキュリティの脅威に気づいておらず、また、サイバー・セキュリティに関心を持つ人は増えてあひても、10人に6人近くが IT 部門の承認を得ていないソフトウェア／アプリ／クラウドストレージをダウンロード／インストールしたことがあるといいう。

ゼロトラスト・アーキテクチャ：必要なものから当前のものへ

Zero Trust Architecture – No Longer A ‘Nice to Have’

2021.09/21 CyberSecurityIntelligence — 米国 National Institute of Standards and Technology (NIST) が、先日に発表した Special Publication (SP 800-207) は、サイバー・セキュリティのベスト・プラクティスにおける当たり前の事柄を変えた。強制力はないが、経済面でのセキュリティを高める上で、この連邦機関の役割は過小評価できない。

クラウド環境の危険性：Role パーミッションについて再考しよう

Why ‘Role’ Permissions Are So Dangerous To Your Cloud Environment

2021/09/17 SecurityBoulevard — クラウドを利用する企業が直面するものに、過剰なパーミッションの適切な抑制という、重要な課題がある。クラウドでの運用には、俊敏性と柔軟性が求められる。しかし、この問題は、そのメリットによりセキュリティを犠牲にされることが多く、また、クラウド上には不要で過剰なパーミッションが蔓延していることである。このウェビナーでは、クラウドにおける過剰なパーミッションの問題と、それをコントロールする方法について説明していく。

可視化の重要性：インフラ・セキュリティにおいて最初に必要なものとは？

Infrastructure, Security, and the Need for Visibility

2021/09/17 DarkReading — 米国をはじめとする政府機関は、国が関与したと思われる不正侵入事件や、犯罪者が関与したと思われるランサムウェア事件が頻発していることから、重要インフラのネットワーク・セキュリティを強化しようとしている。2020年に発生した SolarWinds や Microsoft への攻撃や、最近発生した Colonial Pipeline でのランサムウェア事件などは、経済的に重要な企業のセキュリティ態勢に対する、潜在的かつ広範な脆弱性や弱点があることを示している。

ネットワーク境界が消えた世界：どのようにセキュリティを確保するのか？

Securing Networks in a Perimeterless World

2021/09/07 SecurityBoulevard — 従来から、ネットワークには境界線があると理解されているが、それは死んだと言っても過言ではない。かつてファイアウォールは、サイバー・セキュリティの頂点だと考えられていた。ネットワークの周囲に、十分な強度のファイアウォールを設置すれば、内部の全てが安全になると考えられていた。

セキュリティを押しつけるな！ネットワークさんが怒ってます！

Don’t Leave Security to the Network

2021/08/27 SecurityBoulevard — これまでのエンタープライズ・ネットワークのセキュリティ・モデルには、未来がない。現在、ネットワークは継続的な攻撃を受けており、従来のセキュリティ・モデルは無防備であることが証明されている。Colonial Pipeline や、Kaseya、アイルランドのヘルスケアシステム、北ヨーロッパの鉄道切符販売機へのランサムウェア攻撃は、巨大な氷山の一角に過ぎない。最近のある推計によると、昨年、私たちが知っているだけで 65,000件の攻撃があったとされるが、この問題の本当の規模については、推測する以外に為す術がない。不安を抱える企業には、株主や顧客に知られたくないと思う攻撃が、報告された数だけあるのだ。

Tag: Zero Trust