Microsoftは4月4日(米国時間)、「Improving the Windows 10 update experience with control, quality and transparency｜Windows Experience Blog」において、2019年5月のWindowsアップデートから、最大35日間(1度に7日間、最大5回)アップデートを停止することを選択可能になると伝えた。 Improving the Windows 10 update experience with control, quality and transparency｜Windows Experience Blog Windowsアップデートは重要な脆弱性の修正を含むことが多く、セキュリティの観点からすれば公開されたら直ちに適用することが望まれる。しかし、2018年10月のWindowsアップデ

eSecurity Planetは3月28日(米国時間)、「IT Security Vulnerability Roundup – March 2019」において、2019年3月に公開された情報のうち、特にCVSSスコア(Common Vulnerability Scoring System：共通脆弱性評価システム)が9.8以上のもの14個を紹介した。 IPAによると、 CVSSは「情報システムの脆弱性に対するオープンで汎用的な評価手法であり、ベンダーに依存しない共通の評価方法を提供している」という。CVSSは、3つの基準で脆弱性を評価し、脆弱性の深刻度を0(低)～10.0(高)の数値で表す。CVSSv3.0においては基本値が9.0～10.0の場合、深刻度が「緊急」とされている。 紹介されている14個の脆弱性は次のとおり。 Moodleのサーバサイドリクエスト偽造の脆弱性 (CVE-201

FireEyeは3月26日(米国時間)、「WinRAR Zero-day Abused in Multiple Campaigns ≪ WinRAR Zero-day Abused in Multiple Campaigns｜FireEye Inc」において、先日発見されたWinRARの脆弱性を悪用した複数のキャンペーンが確認されたと伝えた。 WinRARは人気の高いアーカイブ・ソフトウェアで、世界中で広く利用されている。すでに脆弱性を修正したバージョン 5.70が公開されている。 WinRAR Zero-day Abused in Multiple Campaigns ≪ WinRAR Zero-day Abused in Multiple Campaigns｜FireEye 記事では、WinRARは脆弱性が修正されたバージョンが提供されているが、自動アップデート機能がないため、多くのユ

United States Computer Emergency Readiness Team (US-CERT)は3月27日(米国時間)、「Cisco Releases Security Updates for Multiple Products｜US-CERT」において、シスコシステムズの複数の製品に脆弱師が存在すると伝えた。 これら脆弱性を悪用されると、遠隔から攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性があるとされており注意が必要。脆弱性の情報をまとめたWebページには次のページからたどることができる。 Cisco Security - Cisco Security Advisories and Alerts Cisco Security - Cisco Security Advisories and Alerts 今回指摘されている脆弱性は以下のとおり。主にネッ

BetaNewsは3月21日(米国時間)、「Windows 10 October 2018 Update finally starts to roll out to all」において、一旦停止されていたWindows 10 2018年10月のアップデートの提供が再開されたようだと伝えた。 Microsoftは3月21日(米国時間)、Windows 10 2018年10月10日の更新プログラムに関するWebページ「Get the Windows 10 October 2018 Update - Windows support - Microsoft」を更新している。 Windows 10 2018年10月のアップデートが適用されたWindows 10のバージョン表示 Microsoftは2018年10月に実施したWindowsアップデートを一時的に中断していた。その理由はこのアップデートを適

横浜市とNTT、NTTデータ、クニエは3月18日、2018年7月に締結した包括連携協定に基づき、「RPAの有効性検証に関する共同実験」を実施したと発表した。 今回、月報作成やデータの収集・入力など定型的な7業務の一部(事務作業)において、所管部署の職員がRPAソリューション「WinActor」によりシナリオを作成し、作業の自動化を試行した。 RPAを適用した7つの業務　資料：RPA の有効性検証に関する共同実験報告書 RPA 試験導入結果（各業務個別の実験結果）　資料：RPA の有効性検証に関する共同実験報告書 実験の結果、RPAを試験導入した事務で、平均84.9%、最大99.1%の作業時間削減効果を確認したという。「作業時間削減効果」は、市職員が作業を実施した場合(導入前)に作業開始から完了するまでに要する時間を試算したうえで、対象の事務作業にRPAを試験導入した際の市職員の作業時間を同

少し前のデータですが、米国でセキュリティカンファレンス「Black Hat USA 2016」が開催され、そこで、297個のUSBメモリを大学内にばらまいて、何個開封されるかを実験したElie Bursztein氏が発表をされました。 発表の原文は、Elie氏のブログに公開されています。 Elie氏が大学キャンパスにばらまいたUSBメモリは、ラベルも何も付いていないもの、鍵束付きのもの、鍵束と返却先名札（名前とメールアドレスが書いてある）付きのもの、「Confidential（機密）」と書かれたラベル付きのもの、「Final Exam Solutions（期末試験の解答）」ラベル付きのものの5種類だったそうです。USBメモリの中にはマルウェアが仕込まれており、開封するとどのファイルがいつどこで開封したかがわかる仕組みになっていたそうです。 ばらまいた場所は以下の図に示された場所です。 資料

今年も経済産業省の後援の下、情報セキュリティ事故対応アワードを開催しました。 昨年のアワードでは、例えインシデントが起きてしまっても、その後の対応次第では世間の評判を高められることを明確に示すことができました。そうした流れを汲んでか、「2018年は全体的にインシデント対応の質が高い1年だった」と審査員は振り返ります。 今回は32件がノミネート。そのなかから、特に素晴らしかった4組織を表彰いたしました。 (主催：情報セキュリティ事故対応アワード実行委員会 / 後援：経済産業省 ロゴデザイン：カミジョウヒロ) 審査委員 徳丸 浩 氏 … EGセキュアソリューションズ株式会社代表 京セラコミュニケーションシステム技術顧問 独立行政法人情報処理推進機構（IPA）非常勤研究員 技術士（情報工学部門） 北河 拓士 氏 …NTTコミュニケーションズ株式会社 経営企画部マネージドセキュリティサービス推進室

北九州市と日立製作所(以下、日立)は2月27日、「地方公共団体事務の利便性向上に係るパブリッククラウド利用の検討及び事務アプリケーション共同利用化に向けた実証実験」を、F/S(feasibility study:実現の可能性を探る調査)として、共同で開始することを発表した。実証期間は2019年3月1日～3月31日。 LGWANとインターネットにまたがるパブリッククラウド、庁内システムの安全な接続・利用を検証 この実証は、北九州市の「パブリッククラウド利用検討プロジェクト」と「文書事務見直しプロジェクト」のふたつのプロジェクトを推進するもの。具体的には、北九州市のLGWAN接続系業務システム環境と、アマゾン ウェブ サービス(AWS)のIaaSやPaaS環境へのセキュアな接続とその有効性の検証を行う。 同実証では、「LGWANとインターネットにまたがるパブリッククラウド、庁内システムの安全な

NECは、実践的なサイバーセキュリティ人材の育成・発掘に向け、NECグループ社員約1300人を対象としたセキュリティ技術力を競うオンラインコンテスト「NECセキュリティスキルチャレンジ」を2月1日から14日まで開催すると発表した。 同コンテストは、セキュリティに関する知識・スキルを駆使し、隠された答えを見つけ出す競技「CTF(Capture The Flag)形式」で実施する。今回で4年目の開催となる。 出題される問題はセキュリティ事業の中核となる高度な技術者やセキュリティ業務に携わるNECグループ社員が毎年新規に作成しており、100問から構成される。 また、出題される問題は、NPO日本ネットワークセキュリティ協会、IPAが定めるセキュリティ人材別に必要なスキルセットとひもづけられてお、受講者のスキルレベルを正確に把握することが可能となっている。 NECセキュリティスキルチャレンジの様子(

Check Point Software Technologiesは1月14日(米国時間)、「December 2018’s Most Wanted Malware: Where there’s SmokeLoader, there’s Fire｜Check Point Software Blog」において、2018年12月のマルウェアランキングを発表した。 2018年通年で見ると仮想通貨マイニングマルウェアが減っているが、12月はランキングのトップ4が仮想通貨マイニングマルウェアであり、中でもCoinhiveは前月に引き続き1位を維持して全体の12%をキープした。

KDDIは12月25日、九州大学大学院工学研究院 塚原健一教授を研究責任者とする7機関が参画する共同研究開発チームにて、内閣府の戦略的イノベーション創造プログラム(SIP)第2期の課題の1つ「国家レジリエンス (防災・減災) の強化」のうち「市町村災害対応統合システム」の開発に対して提案を行い、採択されたと発表した。 今回の研究開発では、災害時の避難判断や日常時の訓練実施に関わる課題を抜本的に解決するため、最先端のAIやIoT技術を取り入れ、避難判断に必要となる「情報の欠落ゼロ」「避難勧告等の発令の出し遅れゼロ」、地区単位などの小エリア発令による「住民の逃げ遅れゼロ」、意志決定・対応能力向上のための訓練体制の構築による「市町村が対応できないがゼロ」の4つのゼロを可能とする統合システムを開発し、国内すべての市町村へ実装することにより、地域住民の「犠牲者ゼロ」の実現を目指すという。 市町村災害

United States Computer Emergency Readiness Team (US-CERT)は12月12日(米国時間)、「Google Releases Security Updates for Chrome｜US-CERT」において、Google Chromeについて、脆弱性が修正された Version 71.0.3578.98 Windows版、Mac版、Linux版がリリースされたと伝えた。 対象の脆弱性を悪用されると、攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性がある。 脆弱性に関する情報は次のページに掲載されている。ただし、本稿執筆時点では、アップデートが行われるまでは脆弱性に関する情報の公開は制限した状態に置かれるとのことで、詳しい内容は公開されていない。 Chrome Releases: Stable Channel Update fo

Arbor Networksは11月21日(米国時間)、「Mirai: Not Just For IoT Anymore」において、IoTデバイスではなくLinuxサーバを標的としたMiraiの亜種と見られるマルウェアが拡散していることが発見されたと伝えた。 LinuxサーバはIoTデバイスよりもコンピュータリソースが強力でより太いネットワーク帯域が利用できる状況にあることが多く、IoTデバイスを対象としていたMiraiよりも少ない台数への感染で大規模なDDoS攻撃を実施できる可能性がある。 MiraiはLinuxを搭載したIoTデバイスを主な標的としたマルウェアで、大規模なボットネットを構築していた。このボットネットを用いたDDoS攻撃は世界中のインターネットに影響を与え、一部の地域のインターネットが一時的に利用できないといった状況を引き起こしたこともある。 少ない数のIPから感染のため

fossBytesに10月24日(米国時間)に掲載された記事「After File Deletion, Windows 10 October Update Has Font Issues Too」が、2018年10月のWindows 10アップデート（Windows 10 October 2018 Update Ver.1809）にはまだ問題があるようだと伝えた。複数のユーザーが10月のアップデートを適用した後、フォント表示が視認できないほど崩れたり、表示されなくなるしていると報告しているという。 記事で紹介している投稿は次のとおり。 Please help me, everything in windows 10 is "Shattered" or fonts are just scrambled : Windows10 1809 breaks system-wide font subs

FireEyeは9月13日(現地時間)、「APT10 Targeting Japanese Corporations Using Updated TTPs ≪ APT10 Targeting Japanese Corporations Using Updated TTPs｜FireEye Inc」において、ATP10と呼ばれる中国のサイバースパイ集団による日本のメディアを標的としたサイバー攻撃を検出したと説明した。最終的にバックドアを仕込むためのマクロを含んだMicrosoft Wordドキュメントが添付されたメールの形で侵入を試みるとしており、注意が必要。 バックドアの感染につながるマクロを含んだMicrosoft Wordドキュメントは次のファイル名で送られてくるとされている。 自民党海洋総合戦略小委員会が政府に提言申し入れ.doc グテマラ大使講演会案内状.doc 米国接近に揺れる北

CrowdStrike Japanは、サプライチェーン攻撃に関する調査を発表。日本では、サプライチェーン攻撃に対する包括的な対応策を行っている企業が37%に留まり、調査対象となった国のなかで、最も低いことがわかった。 これは、世界8カ国（米国、カナダ、メキシコ、英国、ドイツ、オーストラリア、日本、シンガポール）のセキュリティ担当者1300人を対象に行った調査で、日本からは100人が回答している。 オーストラリアと結んで、ビデオ会議で会見に参加したCrowdStrike, Technology Strategy担当バイスプレジテントのMichael Sentonas（マイケル・セントナス）氏は、「サプライチェーン攻撃とは、第三者組織を介した攻撃であり、あらかじめ感染しているハードやソフトを活用して攻撃したり、取引先を踏み台にして攻撃を行うといったものである。攻撃者は、周辺に存在するビジネスパ

NECは6月26日、なりすましメール詐欺などの対策となる送信ドメイン認証(DMARC)に対応した統合型システム「Application Platform for なりすましメール対策」を同日より販売開始した。 新製品は米Cloudmark社のメールセキュリティソフトウェア「Cloudmark Security Platform for Email」をアプライアンス化したもので、メール通信経路の暗号化技術(STARTTLS)に加え、複数の送信ドメイン認証技術(SPF/DKIM/DMARC)にも対応したメール送信が可能。 なりすましメール対策として普及している送信ドメインの相互認証技術としてSPFやDKIMがあるが、メールサーバの設定やメールの配送経路によっては正しいメールが受信側で判断できず、意図しない認証結果になるなどの問題があったという。 新システムは、SPF/DKIM両認証技術の結果を

悪質なメール開発は「オリジナル」からの「模倣」へ 今回は、メールを利用するみなさんをいつも悩ませる「迷惑メール(スパムメール)」「フィッシングメール」について触れていきます。 これらに対しては、新しいものが確認されればそれを追いかけ中身の調査を行い、危険性があることを確認されれば注意喚起などを繰り返している状況です。現在はそれらのメールにマルウェアを添付する、もしくはマルウェアをダウンロードするリンクを組み込むといった悪質なメールも多く見られるようになりました。 今年4月に確認されたものでは、大手メーカーらが実際に配信するメール本文などを模倣し、そこに偽の請求書を添付するものや偽URLを記載して不特定多数に送り付けています。 そして、受信したユーザーに対してその添付されたファイルを開かせてマルウェアに感染させる、もしくはフィッシングサイトや誘導するといった手口で国内ユーザーをターゲットにし

Sucuriは2018年6月21日(米国時間)、「Why You Should Care about Website Security on Your Small Site」において、大規模サイトと同様に、小規模サイトに対してもサイバー攻撃は実施されるとして、小規模サイトにおいても適切な対処を取っておく必要性を強調した。 Sucuriは、Webサイトの運用者は、攻撃者が攻撃によって得ることができる価値から狙うWebサイト判断していると考えるかもしれないが、実際にはそんなことはないと説明。攻撃に悪用できる脆弱性を発見するためのプロセスの多くのフェーズが自動化されており、Webサイトの大小に関係なく攻撃が実施されるとしている。 Sucuriではこうした攻撃に対処するためにできる対策として、次の方法を紹介している。 利用しているソフトウェアをすべて最新版にアップグレードし続ける CAPTCHAを