はじめに NIST(National Institute of Standards and Technology、米国立標準技術研究所)のサイバーセキュリティフレームワーク(以下、CSF)は、組織がサイバーセキュリティリスクを適切に管理するための手引きとなるベストプラクティスを提供しています。 2024年2月に発表されたCSF バージョン2(以下、CSF 2.0)では、バージョン1.1(以下、CSF 1.1)から重要な改定が行われました。これまで「国家や経済の重要なインフラに対するサイバーセキュリティ」を目的としていたものから、「全ての規模・全てのセクターの組織で利用される目的」にその対象を拡大しました。 今回、PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました。以下よりダウンロードいただけます。 グローバルにビジネスを展開する組織は、最新の
情報処理推進機構(IPA)とJPCERTコーディネーションセンター(JPCERT/CC)は4月5日、NECプラットフォームズ(東京都千代田区)のWi-Fiルーター「Aterm」シリーズの59製品で脆弱(ぜいじゃく)性が判明したと公表した。対象となる製品を使用している場合、設定の変更や買い替えなどの必要があるとしている。 NECは、悪意のある第三者によって任意のコマンド実行や装置名などの装置情報が読み取られるなど、ユーザーの意図しない現象を引き起こす可能性があるとしている。 同社は対象製品として、WG1800HP4、WG1200HS3、WG1900HP2などを挙げており、記載のない機種については問題はないという。これらのモデルを使用している場合、Atermサポートデスクサイトに掲載の情報を参考に、管理者パスワードや暗号化キーの変更、設定の変更などの対処をする必要がある。
モニクル社内3分LTで発表しました。技術職以外の人向けに話したので、抽象度高めにしてあります。
米ホワイトハウス国家サイバー局長室(The White House Office of the National Cyber Director:ONCD)は、2024年2月26日(米国時間)、サイバー空間における攻撃対象領域(アタックサーフェス)を積極的に削減するよう技術コミュニティーに呼びかける報告書を発表した。 ONCDは、IT企業がメモリ安全なプログラミング言語を採用することで、あらゆる種類の脆弱(ぜいじゃく)性がデジタルエコシステムに侵入するのを防ぐことができると述べている。ONCDはまた、サイバーセキュリティの品質を測定するより優れた診断の開発を可能にするために、ソフトウェアの測定可能性の問題に取り組むことを奨励している。 関連記事 Google、「メモリ安全性」に関する見解と対策をまとめたホワイトペーパーを公開 Googleは、「セキュアバイデザイン:メモリ安全性に関するGoo
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」(シームレス)を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: @shiropen2 米Google DeepMindなどに所属する研究者らが発表した論文「Stealing Part of a Production Language Model」は、米OpenAIのGPT-4や米GoogleのPaLM-2などのクローズドな大規模言語モデル(LLM)から、モデルの一部を盗み出す攻撃を提案した研究報告である。言語モデルのAPIへのクエリを通じて、低コストでモデルの内部構造に関する情報を抽出することに成功した。 GPT-4やPaLM-2などの最先端AIモデルは、APIを通じて一般ユーザーに提供されているが、内部構造や学習に使用され
■ Claude 3に例の「読了目安2時間」記事を解説させてみた Anthropicの先日出たばかりのClaude 3(Opus)が、ChatGPTのGPT-4を超えてきたと聞いて、自分の原稿を解説させてみたところ、確かに革新的な進歩が見られる。もはや内容を「理解」しているようにしか見えない。GPT-4では、昨年11月に試した時には、そうは見えず、優れた文章読解補助ツールという感じでしかなかった。 一昨年のCafe JILIS「高木浩光さんに訊く、個人データ保護の真髄 ——いま解き明かされる半世紀の経緯と混乱」は、発表した当時、長すぎて読めないから誰か要約してという悲鳴があがっていた。その後、ChatGPTの登場で、その要約能力に期待されたが、冒頭のところしか要約してくれなかったり、薄い論点リストが出てくるだけで、その期待に応えられるものではなかった。 もっとも、GPT-4でも、質問力があ
関連キーワード VPN | ネットワーク・セキュリティ | 在宅勤務 エンドユーザーはインターネットを利用する際、VPN(仮想プライベートネットワーク)を用いることでその接続の安全性を保てる。企業のネットワークチームは、従業員がリモートアクセスをするための手段としてVPNを重宝している。 VPNにはさまざまな選択肢がある。中には暗号化方式が古く、安全でないものもある。主要な5つのVPNを解説する。 主要な5つのVPNの特徴とは 1.L2TP/IPsec 併せて読みたいお薦め記事 連載:VPN徹底解説 前編:いまさら聞けない「VPN」の基礎知識 暗号化が必要になった理由は? VPNの新しい姿とは 「無料VPN」を好むZ世代はクールじゃない? 有料VPN世代との違い アラブ諸国で「VPN」が使い倒されていた“意外な理由” 「L2TP/IPsec」は、「Layer 2 Tunneling Pro
文部科学省は「教育情報セキュリティポリシーに関するガイドライン」を改訂し、新たに「暗号化消去」という用語を追加した。記録媒体を含む情報機器を廃棄する場合やリースの返却をする際にデータを復元できなくする手法だ。 時間がかからず媒体の再利用が可能 従来は記録装置の物理的な破壊やデータ消去ソフトウエアによる上書き消去といった手法を列挙していた。暗号化消去とは、記録媒体にデータを書き込む時点で暗号化して記録しておき、データの抹消が必要になった際に復号に用いる鍵を抹消することでデータの復号を不可能にする手法だ。記録媒体の一部領域のデータを抹消する場合にも利用できる。 通常の消去(上書き消去)とは何が違うのか。実は現在の記録媒体は容量が大きいため、通常の消去作業には膨大な時間がかかる。1テラバイト(TB)のHDD(ハード・ディスク・ドライブ)を1回上書きするのに数時間かかるとされる。確実に消去するため
SPF レコードで許可されている IPアドレスの実態がクラウドやプロキシ等の共用サービスのものであるケースは多く、それらの IPアドレスが第三者によって利用できる可能性があることを悪用し、SPF 認証を pass、結果的に DMARC 認証まで pass して詐称メールを送信できてしまうことを指摘した論文が公開されています。 この論文では、上記のような SPF の脆弱な展開に対する攻撃手法を BreakSPF と呼び、関連するプロトコルや基盤の実装に対する分析と共に、その内容が体系的にまとめられています。 本記事では、その論文を参照しながら、簡単に概要をまとめておきます。 補足事項 (2024/3/5) 本記事につきまして、(当サイトとしては) 多くのアクセスいただいているようで (ちょっとビビってま) す。まことに大変ありがたいことに色々とシェアいただいたりしたようです。 そこで、記事の
Ivantiデバイスに関する深い知識を持つUNC5325とは何者か? Mandiantは、2023年12月上旬に「Ivanti Connect Secure」と「Ivanti Policy Secure VPN」に見つかった脆弱(ぜいじゃく)性を狙ったゼロデイ攻撃を継続的に調査しており、今回の発表はそこから新たに明らかになったものとなる。 発表時点で判明している内容は以下の通りだ。 Ivantiデバイスのゼロデイ脆弱性を悪用したサイバー攻撃は、米国の防衛産業基盤部門など、さまざまな業種の数千ものデバイスに影響を及ぼしている可能性が高い UNC5325は中国によるサイバースパイ活動の可能性がある UNC5325が使ったマルウェアの一部には中国のサイバースパイ「UNC3886」によって使用されたマルウェアと重複するコードがある。なお、MandiantはUNC3886を「VMware ESXi」
2024年2月20日、日本を含む複数の司法機関の共同捜査により、Lockbitランサムグループの関係者2名の逮捕とリークサイトなどのインフラのテイクダウンが行われました。ここでは関連する情報をまとめます。 共同捜査の成果 Lockbitランサムグループに対して10か国の法執行機関が参加した共同捜査はEUROPOLなどが調整を行っていたもので、作戦名はOperation Cronos。フランスからの要請を受け開始された。EUROPOLや英国NCA、米国司法省などが共同捜査に関連した情報について公表を行っており、そこではこの捜査を通じた主な成果として次の5つが上げられている。 Lockbit関係者の摘発や起訴 フランス司法機関の要請を受け、ポーランド、ウクライナの両国において関係者2名が逮捕された。またフランスおよび米国司法機関より、3件の国際逮捕状および5件の起訴状の発行が行われた。米国はL
セキュリティチームでリーダーを務めている藤田です。普段はプロダクトセキュリティの施策を中心に担当しています。 この投稿は、現在進行中の案件に関するものですが、世間で DMARC への対応が話題になっているにも関わらず、業務分担が進んでいる組織や複数のサービスで会社共通のドメインを用いてメールを送信しているような場合になぜ対応が進まないのか、それに対し私たちがどのようにアプローチしているかを示すものです。まだ完璧とはいえる状況ではありませんが、ある程度目処が見えてきたため、ノウハウを共有します。 タイトルの通り技術的なトピックも取り扱いますが、社内での調整や進め方を中心に解説しています。 ステークホルダーが多く、調整に苦労している方や、DMARC 対応を始めたもののレポートの分析に着手できていない方が一歩を踏み出すための助力となれば幸いです。 結論 外部の分析サービスに頼ることなく、AWS
米UIUC(イリノイ大学アーバナ・シャンペーン校)に所属する研究者らが発表した論文「LLM Agents can Autonomously Hack Websites」は、大規模言語モデル(LLM)を用いたAIエージェントに、自律的にWebサイトをハッキングさせる攻撃手法を提案した研究報告である。LLMエージェントがWebサイトに存在する脆弱性を事前に知らなくても、自動検知してのハッキングが可能となる。 ▲自律型LLMエージェントを使ったWebサイトのハッキングの模式図 keyboard_arrow_down 研究内容 keyboard_arrow_down 研究結果 Webサイトを自律的にハッキングするようLLMエージェントを活用するには、エージェントのセットアップと、目標に向けてのプロンプトによる指示という2つのステップが必要である。エージェントによるハッキングでは、関数呼び出し、文書
企業「ChatGPTは使っちゃダメ」→じゃあ自分のスマホで使おう──時代はBYODから「BYOAI」へ:事例で学ぶAIガバナンス(1/3 ページ) 会社はChatGPTを禁止しているが、自分のスマートフォンからChatGPT(しかも有料契約している高性能版)にアクセスして、使ってしまえば良いではないか――。生成AIのビジネス活用が進む中で、そんな発想が生まれつつある。 サイバーセキュリティ企業の米BlackBerryが2023年8月に発表した調査結果によると、職場でChatGPTやその他の生成AIサービスの禁止を実施、検討している企業の割合は、世界全体で75%に達するそうだ。調査後にはChatGPT、生成AI全般への注目度がさらに高まっていることを考えると、この割合はその後さらに上昇している可能性が高い。 従業員が、社内の機密情報をChatGPTなどを入力した場合、それらの情報が外部サーバ
この記事は新野淳一氏のブログ「Publickey」に掲載された「マイクロソフト、次期「Windows Server 2025」で無停止でOSアップデートを実現する「ホットパッチ機能」を全エディションで提供。Azure Arc経由での月額サービスの見通し」(2024年2月7日掲載)を、ITmedia NEWS編集部で一部編集し、転載したものです。 米Microsoftは、次期Windows Serverとなる「Windows Server 2025」で、OSや実行中のワークロードを停止することなく自動的にOSのアップデートを行える「ホットパッチ機能」を、全エディションで提供することを明らかにしています。 これまでこの機能はWindows Serverの一部のエディションでのみ提供されていました。 ホットパッチ機能が次期Windows Serverで提供されることは、2023年11月に開催され
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く