なぜ、SSL-VPN製品の脆弱性は放置されるのか ～“サプライチェーン”攻撃という言葉の陰で見過ごされている攻撃原因について～ - JPCERT/CC Eyes

Top > “インシデント”の一覧 > なぜ、SSL-VPN製品の脆弱性は放置されるのか ～“サプライチェーン”攻撃という言葉の陰で見過ごされている攻撃原因について～ サイバーセキュリティを取り巻く「用語」は元々英語由来のものが多く、翻訳することで元々のニュアンスが消えてしまう場合や、そのまま「カタカナ語」として使われ、意味が伝わりにくい場合もあります。特に、新たな攻撃手法やリスクについて、行政やセキュリティ専門組織、メディアを通じた情報発信において多用される「キーワード」の意味が正しく伝わらなければ、見当違いな対策につながってしまう恐れがあります。 今回は「サプライチェーン攻撃」として取り上げられることがある、大企業の下請企業が侵入型ランサムウェア攻撃被害に遭うケースを「大企業のサプライチェーン」の観点ではなく、主な侵入原因であるSSL-VPN製品の脆弱性放置の問題というインシデント対応

[mohritaroh]

“国内で広く使われている「サプライチェーン攻撃」に対応する用語は「Supply Chain Attack」ではなく、「Island Hopping Attack」の方なのかもしれません”

[ockeghem]

半田病院のケースがこれだね>『SIerはシステム導入のみを担当しており…運用保守ベンダがいても主にハードウェアトラブル等の対応が主たる契約内容であり、脆弱性の修正対応は明示的に契約内容に入っていない』

[takuya_1st]

アプライアンスでやらずにLinuxでソフトウエア構成すれば良いんだけど、セキュリティ監査が不寛容で該当製品以外許してくれない

[bluescreen]

"これまであまり直視されてこなかった「責任と負担」の課題に取り組まなくてはなりません。"　ユーザがちゃんとパッチあてればいいじゃないと考えていたけど、現実はそう単純じゃないということね。

[s_nagano]

“ユーザー組織と直接の契約関係にないことが多く、脆弱性などの重要な情報を直接ユーザー組織に伝える連絡ルートを有していない”

[hidehara]

セキュリティ機器の販売商流に着目した投稿。この視点、本当に大事だと思います。機材かったらOKと大半の人は思っちゃってるし、ものの売り買いまでをがんばる営業も多いし。買ったら最後に手放すまで！

[havanap]

誰がこれをサプライチェーン攻撃って言い始めたの

[defiant]

おすすめ👍:

[thesecret3]

クラウドにあげようね。

[nmcli]

企業が無知なだけ

[hobbiel55]

"ユーザー、ベンダー、誰か1組織に対応コストを負担させることは難しく、行政や業界など社会全体での問題への取り組みが必要になります。"

[csal8040]

“サイバーセキュリティを取り巻く「用語」は元々英語由来のものが多く、翻訳することで元々のニュアンスが消えてしまう場合や、そのまま「カタカナ語」として使われ、意味が伝わりにくい場合もあります。特に、新た