LastPass のシステムで発生した不正侵入:4日間にわたる不正アクセスが判明

Hackers Had Access to LastPass’s Development Systems for Four Days

2022/09/17 TheHackerNews — パスワード管理ソリューションの LastPass は、2022年8月に発生したセキュリティ・インシデントの詳細を公開し、脅威者が 8月の4日間にわたり、同社のシステムに不正にアクセスしていたことを明らかにした。LastPass の CEO である Karim Toubba は、9月15日に公開されたアップデートで、「観測されたタイムラインを超える脅威者の活動の証拠はない。また、このインシデントにおいて、脅威者が顧客データ/暗号化パスワード保管庫へアクセスした形跡もない」と付け加えている。

Continue reading “LastPass のシステムで発生した不正侵入:4日間にわたる不正アクセスが判明”

NSA と CISA のガイダンス:サプライチェーン攻撃から組織を守るために

NSA and CISA share tips to secure the software supply chain

2022/09/01 BleepingComputer — 今日、米国の NSA と CISA (Cybersecurity and Infrastructure Security Agency) は、ソフトウェア・サプライチェーンを保護するためのチップスを発表した。この指針は、米国の重要インフラと国家安全保障シdesuステムに対する脅威に対処する、官民パートナーシップである Enduring Security Framework (ESF) により、ソフトウェア開発者向けの推奨事例集として作成されたものだ。

Continue reading “NSA と CISA のガイダンス:サプライチェーン攻撃から組織を守るために”

ゼロトラスト戦略の急速な拡大:地域と分野での取り組みをデータで参照

The factors driving today’s accelerated zero trust adoption

2022/08/18 HelpNetSecurity — Okta の 2022 State of Zero Trust Security Report により、ビジネスにおける重要かつ必須の事項はバズワードからゼロトラストへと、急速に変化していることが判明した。現時点において 97% の企業が、ゼロトラスト・イニシアチブを実施しているか、あるいは、今後の 12~18カ月以内に実施するとしており、2018年の 16% から上昇し、過去4年間で 500%以上の増加となっている。

Continue reading “ゼロトラスト戦略の急速な拡大:地域と分野での取り組みをデータで参照”

Amazon Ring for Android の脆弱性が FIX:画像の不正アクセスから機械学習への連鎖

Amazon fixes Ring Android app flaw exposing camera recordings

2022/08/18 BleepingComputer — Amazon は、Amazon Ring for Android において、侵害に成功したハッカーが、ユーザーの保存したカメラ録画をダウンロードできるという、深刻度の高い脆弱性を修正した。この脆弱性は、アプリケーション。セキュリティテスト会社である Checkmarx のセキュリティ研究者が発見し、2022年5月1日にアマゾンに開示し、5月27日に修正されたものである。

Continue reading “Amazon Ring for Android の脆弱性が FIX:画像の不正アクセスから機械学習への連鎖”

Cookie セッション・ハイジャックの脅威:ZTNA/MFA ツールの大半は無力化される

Many ZTNA, MFA Tools Offer Little Protection Against Cookie Session Hijacking Attacks

2022/09/11 DarkReading — 組織において、内部ネットワークからインターネット・トラフィックを分離するためにディプロイされるツールの多く (多要素認証/ZTNA/SSO/ID プロバイダー・サービスなど) は、Cookie の盗難/再利用および、セッション ハイジャック攻撃からの保護にはほとんど効果がない。 今週にイスラエルの新興企業 Mesh Security の研究者たちが発表したところによると、これらの技術やサービスには、適切な Cookie セッション検証メカニズムがないことが多いという、したがって、これらの技術やサービスを、攻撃者は比較的容易に迂回できるという現実がある。

Continue reading “Cookie セッション・ハイジャックの脅威:ZTNA/MFA ツールの大半は無力化される”

クラウド・セキュリティの調査:IT リーダーの 60%が安全性に自信を持てない

60% of IT leaders are not confident about their secure cloud access

2022/07/21 HelpNetSecurity — Ponemon Institute の調査で明らかになったのは、さまざまなクラウドの導入が進みつつあるにもかかわらず、IT/セキュリティリーダーの 60%が、自社のクラウド・アクセスの安全性に自信を持っていないことである。The Global Study on Zero Trust Security for the Cloud は、世界中の約 1,500人の IT意思決定者/セキュリティ専門家を対象に行われ、クラウド環境のセキュリティ確保における問題点と、ゼロトラストセキュリティの手法が、いかにデジタル・トランスフォーメーションを可能にするかが調査された。

Continue reading “クラウド・セキュリティの調査:IT リーダーの 60%が安全性に自信を持てない”

Google Calendar に新たなブロック機能:フィッシング防止のために設定

Google Calendar provides new way to block invitation phishing

2022/07/20 BleepingComputer — 今日の Google Workspace チームの発表によると、Google カレンダーの招待状スパムをブロックする新しい方法が、従来からの G Suite Basic および Business ユーザーを含む、すべてのユーザーに対して提供が開始されたようだ。

Continue reading “Google Calendar に新たなブロック機能:フィッシング防止のために設定”

リモート・ファーストの世界とランサムウェア:VPN 依存からの脱却は不可欠?

Mitigate Ransomware in a Remote-First World

2022/06/21 TheHackerNews — ランサムウェアは、長年にわたって、サイバー・セキュリティ・チームにとって悩みの種として存在している。リモート・ワークやハイブリッド・ワークへの移行に伴い、この陰湿な脅威は、あらゆる組織にとってさらに大きな課題となっている。2021年は、多種多様な攻撃/多大な金銭的/経済的影響/組織側の多様な防御方法といった、ランサムウェアのケース・スタディの年となった。これらの攻撃から得られた教訓は、ランサムウェアのリスクを軽減するための、今後のセキュリティ戦略に活かせるものだと捉えるべきだ。組織は進化し続けるため、セキュリティ戦略も進化すべきなのだ。

Continue reading “リモート・ファーストの世界とランサムウェア:VPN 依存からの脱却は不可欠?”

SaaS-to-SaaS サプライチェーンの時代:保護すべき対象がズレ始める時代

The SaaS-to-SaaS supply chain is a wild, wild mess

2022/05/12 HelpNetSecurity — クラウドへの移行と IT の民主化により、ビジネス・ワークフローのデジタル化と自動化のための統合が進み、相互に接続されたビジネス・アプリのネットワークが拡大し続けている。デジタル・トランスフォーメーション時代の従業員たちは、生産性を高めるために、SaaS アプリや、Workato/Zapier などの no/low code プラットフォーム、サードパーティ・アプリを独自に採用/接続している。

Continue reading “SaaS-to-SaaS サプライチェーンの時代:保護すべき対象がズレ始める時代”

6000人を対象にセキュリティ調査:人為的なリスクが最大の痛みを伴うという結論

Human activated risk still a pain point for organizations

2022/04/11 HelpNetSecurity — 広範囲に及ぶ業種の IT セキュリティ・リーダー 600人を対象に、脅威が高まる環境下という前提で、それぞれの組織のセキュリティ態勢について、匿名での調査が実施された。Egress の調査レポートによると、IT リーダーの 56% の回答として、セキュリティ攻撃に対して非技術系の従業員は、ある程度は備えている、あるいは、まったく備えていない、ことが明らかになった。さらに、回答者の 77% が、パンデミックが引き起こしたリモート化により、セキュリティ侵害が増加したと回答しており、組織には大きなリスクが存在し続けていることが判明した。

Continue reading “6000人を対象にセキュリティ調査:人為的なリスクが最大の痛みを伴うという結論”

ゼロトラスト環境の実践:どのようにして人の信頼を構築していくべきか?

Building trust in a zero-trust environment

2022/03/14 HelpNetSecurity — 最近の MITRE と DTEX の調査では、インサイダー脅威に対する業界の長年の取り組みにもかかわらず、すべての悪意ある行動を発見するには、十分なデータも高度なシステムも存在しないことが明らかになっている。企業は、サイバー・セキュリティという企業文化を構築するために、ゼロトラスト・アーキテクチャに投資し、すべての攻撃表面を積極的にカバーし始めている。

Continue reading “ゼロトラスト環境の実践:どのようにして人の信頼を構築していくべきか?”

ストレージ・セキュリティの再考:3つの問題点と6つのヒント

Cybersecurity and Your Storage System

2022/02/08 SecurityBoulevard — ストレージは、すべての組織のインフラに不可欠な要素である。その一方で、サイバーセキュリティは、すべての組織の戦略に欠かせない要素である。しかし、この2つが結びつくことは、ほとんどない。そして、ストレージにおけるセキュリティの欠如は、企業を危険にさらしている。

Continue reading “ストレージ・セキュリティの再考:3つの問題点と6つのヒント”

多要素認証 (MFA) の第2ラウンド:脅威アクターはリバースプロキシ・キットで対抗

MFA adoption pushes phishing actors to reverse-proxy solutions

2022/02/03 BleepingComputer — オンライン・アカウントへの多要素認証 (MFA) の導入が進むにつれて、フィッシング詐欺師たちは悪質な活動を継続するために、より洗練されたソリューション (特にリバースプロキシ・ツール) を利用するようになっている。COVID-19 の大流行は、人々の働き方を大きく変え、自宅での仕事を可能にし、場合によっては望ましいことを証明した。

Continue reading “多要素認証 (MFA) の第2ラウンド:脅威アクターはリバースプロキシ・キットで対抗”

ゼロトラストと Log4Shell:どのように考えれば攻撃を防げるのか?

How would zero trust prevent a Log4Shell attack?

2022/01/27 HelpNetSecurity — どのようなリモートコード実行の攻撃であっても、一見すると些細に思える解決策がある。それは、インバウンド・トラフィックが、サーバーの脆弱性を引き起こすパターンと、一致しないようにすることだ。言うのは簡単だが、実行するのは困難である。致命的な深刻さを持つ Log4j の脆弱性を誘発する可能性のあるトラフィック・パターンには、ほぼ無限のバリエーションがある。

Continue reading “ゼロトラストと Log4Shell:どのように考えれば攻撃を防げるのか?”

ホワイトハウスから連邦政府組織への要求:ゼロトラスト・モデルを2年で採用せよ

White House wants US govt to use a Zero Trust security model

2022/01/26 BleepingComputer — 新たに発表された連邦政府の戦略では、米国政府が今後2年以内に「ゼロトラスト」のセキュリティ・モデルを採用し、連邦政府機関全体のサイバー・セキュリティの防御力を高めることが求められている。この戦略は、今日に Office of Management and Budget (OMB) が発表したものであり、米国の行政府全体で大統領のビジョンの実施を監督していくとされる。今日の発表は、米国の大統領令 (EO) 14028に促されたものであり、また、2021年9月に発表されたドラフトに続くものとなる。

Continue reading “ホワイトハウスから連邦政府組織への要求:ゼロトラスト・モデルを2年で採用せよ”

データ・プロテクション:データの発見/分類/保護とコンテキストを考える

Data Protection: What Needs to Be Protected?

2022/01/03 SecurityIntelligence — あなたの組織のデータは、どこあるのだろうか?グローバルなデータセンター/PC/モバイルアプリなど、あらゆる場所にデータは散らばっている。では、そのすべてを保護するには、どうすればよいのだろう?すべてのデータを暗号化することは不可能だろう。膨大な予算と時間が必要になる。最も厳しい規制でさえ、そこまでのデータ保護を要求していない。たとえば、GDPR は主に個人を特定できる情報 (PII : Personal Identifiable Information) に焦点を当てるが、データ侵害から知的財産を保護することも必要だ。

Continue reading “データ・プロテクション:データの発見/分類/保護とコンテキストを考える”

ゼロトラストを成功させる秘訣:従業員を信頼することから考えるべきだ

Zero Trust Shouldn’t Mean Zero Trust in Employees

2021/12/21 DarkReading — この2年間におけるデータ漏洩インシデントを見ると、ゼロトラストの宣伝が熱を帯びている現状も不思議ではない。データ漏洩の主な原因は、依然としてヒューマン・エラーであり、Tessian の調査によると 12ヶ月間で200万通の悪意の電子メールが、安全を約束するはずの防御機能を回避している。

Continue reading “ゼロトラストを成功させる秘訣:従業員を信頼することから考えるべきだ”

ナショナル・セキュリティを改善する大統領令:2021年11月までの進捗を評価してみる

Update on the Executive Order on Improving the Nation’s Cybersecurity

2021/12/09 SecurityBoulevard — サイバー・セキュリティに関する新たな大統領令は、いつも前向きな行動と期限が決められている。バイデン政権は、SolarWinds や Colonial Pipeline への攻撃を受けて、国家のサイバー・セキュリティを向上させるための EO (Executive Order) を発表した。その主な内容は、連邦政府機関全体での MFA/ZeroTrust/EDR の実施を呼びかけるものだった。また、Cyber Safety Review Board も設立された。

Continue reading “ナショナル・セキュリティを改善する大統領令:2021年11月までの進捗を評価してみる”

Cisco 調査レポート:レガシー・インフラのセキュリティ課題を明らかにする

Cisco Survey Surfaces Legacy Infrastructure Security Challenges

2021/12/07 SecurityBoulevard — Cisco の委託を受けて YouGov が実施した、5,123人の IT/Security/Privacy の専門家を対象とするグローバル調査 (Global Cisco Study Identifies Top Security Practices to Detect Threats and Ensure Business Resiliency) によると、39% の組織が古いと思われるセキュリティ技術に依存していることが判明した。

Continue reading “Cisco 調査レポート:レガシー・インフラのセキュリティ課題を明らかにする”

AWS re:Invent カンファレンス:Aviatrix が提供する Cloud Management Platform とは?

Aviatrix Adds Security Capabilities to Cloud Management Platform

2021/11/30 SecurityBoulevard — AWS re:Invent カンファレンスにおいて Aviatrix は、クラウド・サービス・プロバイダーが提供する複数の Software-Defined Networking サービスを、IT チームが管理するためのデータ・プレーンに、セキュリティ機能を追加したことを発表した。Aviatrix の VP of Product Marketing である Bryan Ashley は、ThreatIQ with ThreatGuard のセキュリティ機能が組み込まれたことで、すべてのネットワーク・ノードにおいて、トラフィックの検査とポリシーの適用が可能になったと述べている。

Continue reading “AWS re:Invent カンファレンス:Aviatrix が提供する Cloud Management Platform とは?”

ゼロトラストにおける5つの迷信を検証していく

Debunking Five Myths About Zero-Trust

2021/11/05 SecurityBoulevard — セキュリティ業界では、何年も前からゼロトラストという言葉が使われている。ゼロトラストはセキュリティ業界の最新バズワードだと、多くの人々が捉えているかもしれないが、実際には何年も前から存在している概念である。

Continue reading “ゼロトラストにおける5つの迷信を検証していく”

脅威に対する認識の欠如がリモートワークのリスクを生み出す

Lack of Threat Awareness Creates Hybrid Work Risks

2021/11/01 SecurityBoulevard — ほとんどの米国人は、サイバー・セキュリティの脅威に気づいておらず、また、サイバー・セキュリティに関心を持つ人は増えてあひても、10人に6人近くが IT 部門の承認を得ていないソフトウェア/アプリ/クラウドストレージをダウンロード/インストールしたことがあるといいう。

Continue reading “脅威に対する認識の欠如がリモートワークのリスクを生み出す”

ゼロトラスト・アーキテクチャ:必要なものから当前のものへ

Zero Trust Architecture – No Longer A ‘Nice to Have’

2021.09/21 CyberSecurityIntelligence — 米国 National Institute of Standards and Technology (NIST) が、先日に発表した Special Publication (SP 800-207) は、サイバー・セキュリティのベスト・プラクティスにおける当たり前の事柄を変えた。強制力はないが、経済面でのセキュリティを高める上で、この連邦機関の役割は過小評価できない。

Continue reading “ゼロトラスト・アーキテクチャ:必要なものから当前のものへ”

クラウド環境の危険性:Role パーミッションについて再考しよう

Why ‘Role’ Permissions Are So Dangerous To Your Cloud Environment

2021/09/17 SecurityBoulevard — クラウドを利用する企業が直面するものに、過剰なパーミッションの適切な抑制という、重要な課題がある。クラウドでの運用には、俊敏性と柔軟性が求められる。しかし、この問題は、そのメリットによりセキュリティを犠牲にされることが多く、また、クラウド上には不要で過剰なパーミッションが蔓延していることである。このウェビナーでは、クラウドにおける過剰なパーミッションの問題と、それをコントロールする方法について説明していく。

Continue reading “クラウド環境の危険性:Role パーミッションについて再考しよう”

可視化の重要性:インフラ・セキュリティにおいて最初に必要なものとは?

Infrastructure, Security, and the Need for Visibility

2021/09/17 DarkReading — 米国をはじめとする政府機関は、国が関与したと思われる不正侵入事件や、犯罪者が関与したと思われるランサムウェア事件が頻発していることから、重要インフラのネットワーク・セキュリティを強化しようとしている。2020年に発生した SolarWinds や Microsoft への攻撃や、最近発生した Colonial Pipeline でのランサムウェア事件などは、経済的に重要な企業のセキュリティ態勢に対する、潜在的かつ広範な脆弱性や弱点があることを示している。

Continue reading “可視化の重要性:インフラ・セキュリティにおいて最初に必要なものとは?”

ネットワーク境界が消えた世界:どのようにセキュリティを確保するのか?

Securing Networks in a Perimeterless World

2021/09/07 SecurityBoulevard — 従来から、ネットワークには境界線があると理解されているが、それは死んだと言っても過言ではない。かつてファイアウォールは、サイバー・セキュリティの頂点だと考えられていた。ネットワークの周囲に、十分な強度のファイアウォールを設置すれば、内部の全てが安全になると考えられていた。

Continue reading “ネットワーク境界が消えた世界:どのようにセキュリティを確保するのか?”

セキュリティを押しつけるな!ネットワークさんが怒ってます!

Don’t Leave Security to the Network

2021/08/27 SecurityBoulevard — これまでのエンタープライズ・ネットワークのセキュリティ・モデルには、未来がない。現在、ネットワークは継続的な攻撃を受けており、従来のセキュリティ・モデルは無防備であることが証明されている。Colonial Pipeline や、Kaseya、アイルランドのヘルスケアシステム、北ヨーロッパの鉄道切符販売機へのランサムウェア攻撃は、巨大な氷山の一角に過ぎない。最近のある推計によると、昨年、私たちが知っているだけで 65,000件の攻撃があったとされるが、この問題の本当の規模については、推測する以外に為す術がない。不安を抱える企業には、株主や顧客に知られたくないと思う攻撃が、報告された数だけあるのだ。

Continue reading “セキュリティを押しつけるな!ネットワークさんが怒ってます!”

ゼロトラストを API セキュリティに適用するには

Adopting Zero-Trust for API Security

2021/08/18 SecurityBoulevard — ゼロトラスト・アーキテクチャは、データ/クラウド/アプリケーションなどの、ネットワーク・インフラ内におけるあらゆる資産に採用されてい。そして今、開発者の間では、ゼロトラストが API のセキュリティ・アプローチとして有効であるとの見方が広がっている。

Continue reading “ゼロトラストを API セキュリティに適用するには”

API ファースト時代のアプリケーション保護を再考する

Rethinking Application Security in the API-First Era

2021/07/01 TheHackerNews — API ファーストの時代において、アプリケーションの保護は困難な戦いである。開発が加速するにつれ、責任の所在が不明確になり、コントロール自体が困難になる。いまこそ、API ファースト時代の新たな優先順位や原則、そしてプロセスを反映したアプリケーション・セキュリティ戦略を再考する時だ。明日のアプリケーションを保護するには、今日のビジネ・スリスクを評価することから始まる。

Continue reading “API ファースト時代のアプリケーション保護を再考する”

クリティカルなインフラに欠落しているクリティカルな何かとは?

Critical Infrastructure is Missing Something Critical

2021/06/22 SecurityBoulevard — 今回の Colonial Pipeline への攻撃は、重要インフラが強固なセキュリティを必要としていることを、改めて認識させるものだった。この攻撃は、重要インフラへのサイバー攻撃による最近の被害例の一つだが、この現象は新しいものではなく、また米国に限ったものでもない。あらゆる国々の安全を保障する、重要インフラは不可欠なものであり、特に国家が関与する行為者やテロリスト・グループの主たる標的となり得る。

Continue reading “クリティカルなインフラに欠落しているクリティカルな何かとは?”

米大統領令 2021:クラウドとゼロトラストとサプライチェーン

Cybersecurity Executive Order 2021: What It Means for Cloud and SaaS Security

2021.06/14 TheHackerNews — 米国連邦政府の IT システムおよびサプライチェーンを標的とする悪意の行為者に対応するために、大統領は国家のサイバーセキュリティの向上に関する大統領令 (Executive Order on Improving the Nation’s Cybersecurity) を発表した。

Continue reading “米大統領令 2021:クラウドとゼロトラストとサプライチェーン”

Pulse Secure のゼロデイを悪用したニューヨーク都市交通局への侵入

China-linked attackers breached Metropolitan Transportation Authority (MTA) using Pulse Secure zero-day

2021/06/04 SecurityAffairs — 中国由来と推測される脅威アクターたちが、Pulse Secure のゼロデイを悪用して、ニューヨーク市の都市交通局 (Metropolitan Transportation Authority : MTA) のネットワークに侵入した。この侵入は 4月に発生しているが、攻撃者たちは MTA の列車制御システムへのアクセスに失敗しており、被害は発生しなかったとされる。

Continue reading “Pulse Secure のゼロデイを悪用したニューヨーク都市交通局への侵入”

ゼロトラスト・アーキテクチャへと向かうデータ保護のポリシー

View: An emerging security paradigm for the post pandemic world

2021/04/17 EconomicTimes — サイバー攻撃の危険性が高まる中、引き続き最重要課題となっているのがデータ・セキュリティである。従来からのデータ保護技術は、「Trust but verify:信ぜよ、されど確認せよ」戦略の下で、機能しているように見える。

Continue reading “ゼロトラスト・アーキテクチャへと向かうデータ保護のポリシー”

ホワイトハウスが懸念するサイバー攻撃と物理的な影響

White House Highly Concerned about Critical Control System Cybersecurity – Four Quotes and Recommendations

2021/04/14 OTORIO — 先日に発生したフロリダ州の水処理システムに対する攻撃および、制御システムに物理的な影響を与えるサイバー攻撃の懸念、SolarWinds などを介したサプライ・チェーン攻撃の増加などを受けて、ホワイトハウスが開始した新たな試みは、重要産業をサイバー・セキュリティ侵害から守るためのものである。

Continue reading “ホワイトハウスが懸念するサイバー攻撃と物理的な影響”