AppleやMicrosoftも狙われる？ OSS「偽ソースコード」による侵入の手口
関連キーワード OSS | JavaScript | オープンソース | 脆弱性対策 | アプリケーション開発 | セキュリティホール オープンソースソフトウェア（OSS）を悪用した攻撃は、想像以上に簡単に成功する可能性がある。セキュリティ研究者のアレックス・ビルサン氏は、オンラインメディア「Medium」への2021年2月10日（現地時間）の投稿で、新しい攻撃手法を発見したことを発表した。 併せて読みたいお薦め記事 OSS活用のヒント いまさら聞けない「OSS」はなぜ魅力的で、なぜ手を出しにくいのか？ アプリ開発に適したOSSローコードプラットフォーム3選 OSSベースのオブジェクト、ファイル、ブロックストレージを一挙に紹介 システム開発におけるセキュリティ問題 最も脆弱性が多い言語は？ OSSの脆弱性は増大傾向 サイバー犯罪者のトレンドはJavaScriptを悪用したスキミング 気にな
これからの開発者に意識してほしい、マルチクラウドセキュリティの要点
アプリケーション開発者自身でも手軽にIT環境を構築し、利用できるパブリッククラウド。しかし、手軽であるがゆえに、設計ミスや設定漏れなどに起因するセキュリティインシデントも起こりやすい。サービス間で機能や設定項目が異なるマルチクラウド環境になれば、この問題はますます複雑化するだろう。 これまであまりセキュリティを意識してこなかった開発者やエンジニアも、これからはセキュリティ意識を高め、対策の一翼を担う必要に迫られている。だが、マルチクラウド環境において網羅性のあるセキュリティ対策を実行するにはどうすればよいか、開発者の立場で特に注意すべき点とは何か、手がかりなしで考えることは難しい。 今回は、OCIを始めとするマルチクラウドを活用している野村総合研究所（NRI）において、クラウド利用時のセキュリティガイドライン策定を担当する佐古伸晃氏に、これからの開発者がセキュリティ対策において担う役割や、
グーグルがオープンソースの脆弱性を発見しやすくするツールを公開
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleは、オープンソースプロジェクトの脆弱性をトリアージする作業を支援し、メンテナーやオープンソースのコンシューマーを手助けするための脆弱性データベースを提供するサイトである「Open Source Vulnerability」（OSV）を立ち上げた（ここで言う「コンシューマー（consumer）」とは、あるオープンソースソフトウェアに依存する別のソフトウェアや、そのソフトウェアの開発者を指す）。 Googleによれば、オープンソースソフトウェアの利用者が、共通脆弱性識別子（CVE）のエントリーなどの脆弱性情報と、自分たちが利用しているパッケージのバージョンを対応付けるのは難しい作業だという。これは、既存の脆弱性情報の標準で使用さ
社内ITシステムのゼロトラスト対応に、リスクベース認証製品Silverfortが日本での販売を開始
社内ITシステムのゼロトラスト対応に、リスクベース認証製品Silverfortが日本での販売を開始：「エージェントレスで導入が容易」 ゼロトラストへの取り組みでは、多様な既存の社内ITシステムに対する認証を、統合的に強化する必要がある。エージェントレスでこれを容易に実現できるリスクベース認証基盤製品の「Silverfort」が、日本での販売を開始した。 ゼロトラストへの取り組みにおける難題に、オンプレミスにおける既存ITシステムの認証強化、そして多様な新旧システムへの統合的なアクセスポリシー管理と継続的な監視に基づく保護がある。こうした問題への対処を目的としたリスクベース認証基盤製品を提供するSilverfortが、日本における販売を開始した。Microsoftとのグローバルな協業関係を生かして、国内での浸透を図るという。 Silverfortは、認証クラウドではないため、ファイアウォール
ばらまき型メールから日本を守る、知られざる善意の50人
サイバー被害を減らしたい――。この思いの下、無償で日本のサイバーセキュリティーに貢献しているセキュリティー技術者50人ほどの集まりがあることはまだあまり知られていない。「ばらまきメール回収の会」である。 ばらまきメール（ばらまき型メール）とは、不特定多数に向けて同じ文面のなりすましメールを送り、マルウエアに感染させたりフィッシングサイトに誘導したりするサイバー攻撃だ。2014年ごろから発生するようになり、主にネットバンキングなどからの不正送金を働くマルウエアを広めている。 Emotetの脅威、再び ばらまき型メールで拡散されるマルウエアに今、日本政府も脅威を感じている。「Emotet（エモテット）だ」。国のサイバーセキュリティー戦略をかじ取りする内閣官房の内閣サイバーセキュリティセンター（NISC）が2020年7月21日に公表したばかりの「サイバーセキュリティ2020」にそれが表れている。
ULがIoT機器のセキュリティレベルを5段階でレーティング、短期間かつ安価に評価
ULがIoT機器のセキュリティレベルを5段階でレーティング、短期間かつ安価に評価：IoTセキュリティ（1/2 ページ） UL Japanは、開発した製品が米国や欧州のIoTセキュリティの法規制に準拠することを示す「IoTセキュリティレーティング」のサービスを日本国内向けに提供開始すると発表した。IEC 62443など従来のIoTセキュリティの国際標準に関する認証を取得するのと比べて、短期間で評価が完了するとともに、コストも大幅に少なくて済むことが特徴だ。 UL Japanは2020年7月16日、オンラインで会見を開き、主に一般消費者向けに開発した機器が米国や欧州のIoT（モノのインターネット）セキュリティの法規制に準拠することを示す「IoTセキュリティレーティング」のサービスを日本国内向けに提供開始すると発表した。IEC 62443など従来のIoTセキュリティの国際標準に関する認証を取得す
IoT機器のセキュリティレベルを無償で診断、CCDSがイスラエル企業と提携
IoTセキュリティプラットフォームを展開するイスラエルのVDOO Connected Trustは、日本法人のビドゥジャパン株式会社の設立を発表。併せて、重要生活機器連携セキュリティ協議会（CCDS）と、日本国内の消費者向けデバイスのセキュリティを促進で提携することも明らかにした。 IoT（モノのインターネット）セキュリティプラットフォームを展開するイスラエルのVDOO Connected Trust（以下、VDOO）は2020年6月19日、オンラインで会見を開き、日本法人のビドゥジャパン株式会社（東京都港区）の設立を発表した。併せて、重要生活機器連携セキュリティ協議会（CCDS）と、日本国内の消費者向けデバイスのセキュリティを促進するために提携することも明らかにした。 VDOOは、2017年に設立されたIoTセキュリティに特化した企業だ。米国Palo Alto Networksに買収され
AWSのCISOが考える、セキュリティチームが重視するべき10項目
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Amazon Web Services（AWS）の最高情報セキュリティ責任者（CISO）であり、セキュリティエンジニアリング担当プレジデントであるStephen Schmidt氏に、同氏の考えるセキュリティ部門が重視すべき10のポイントを聞いた。 1．正確なアカウント情報 Schmidt氏によれば、AWSは、例えば顧客のアカウントが外部から攻撃を受けている、設定ミスが見つかったなどのセキュリティ上の問題について、常に顧客に通知しているという。 そのためには、顧客と連絡を取れる状態が整っている必要があると同氏は言う。 「AWSと法人契約を結んでいる顧客の中には、サポートから連絡できる窓口が非常に整っており、しっかりした担当者や、オペレーシ
【セキュリティ ニュース】Kaspersky、一部脅威インテリジェンスをオープンに（1ページ目 / 全1ページ）：Security NEXT
Kasperskyは、同社が収集、分析した脅威情報をもとに、ファイルやIPアドレス、URLなどを分析できるポータルサイトを公開した。同社と契約がない場合も利用できるという。 ファイル、ファイルのハッシュ値、IPアドレス、URLについて、脅威であるか確認し、登録状況や拡散状況などを同社データベースと照らし合わして調査できるポータルサイト「Kaspersky Threat Intelligence Portal」をオープンしたもの。 従来契約者向けに提供していた一部機能を公開。企業やマネージドサービスプロバイダのインシデント担当者、SOCアナリストなどが調査に活用できる。 同社が2019年に実施した調査では、脅威インテリジェンスを利用している回答者は36％にとどまっており、金額の高さが導入障壁となっていたことから、一部機能をオープンにしたという。 URLやハッシュ、IPアドレスについては、1日
OSSのセキュリティをどう改善できるか、GitHubが他社と進める取り組みとは
GitHubは2019年11月14日（米国時間）、「GitHub Security Lab」を設立し、この組織が他の組織と共に、オープンソースソフトウェア（OSS）のセキュリティ確保を支援する活動を始めたことを発表した。この取り組みにはMozilla、Uber、LinkedIn、Google，Microsoftをはじめとした組織・企業が参加している。 以下では、この取り組みについて紹介する。 「OSSの利用が広がっているが、セキュリティは置き去りに」 GitHubのセキュリティ担当プロダクトマネージャー、ジェイミー・クール（Jamie Cool）氏によると、今回の取り組みはGitHubが従来力を入れてきたOSS支援の延長線上にある。製品やサービスの開発におけるOSSの活用が急速に広がっている。それにもかかわらず、OSSコードのセキュリティは後手に回っているのが現状で、OSSのメンテナーには
【セキュリティ ニュース】ログイン可能なIoT機器、半年でのべ505件に注意喚起 - NOTICE調査（1ページ目 / 全2ページ）：Security NEXT
総務省、情報通信研究機構（NICT）、ICT-ISACは、脆弱なIoT機器を検知し、ISP経由で注意喚起を行う取り組み「NOTICE」の実施状況を取りまとめた。 同取り組みは、容易に推測できるパスワードを利用し、サイバー攻撃に悪用されるおそれのあるインターネット上の脆弱なIoT機器について調査を実施しているもので、2月20日より実施している。 今回は2019年度第1四半期および第2四半期にあたる4月から9月までの実施状況を取りまとめたもので、ISP34社参加のもと、約1億IPアドレスについて調査を実施した。 外部よりIDやパスワードを入力できる状態だったIPアドレスは、第2四半期に約5万6000件を把握。前四半期の約4万2000件とあわせると、調査対象であるIPアドレスの約0.1％に相当する約9万8000件にのぼった。 そのうち、容易なパスワードを用いてログイン可能であるとして、第2四半期
TechCrunch | Startup and Technology News
Where Aytac Yilmaz lives in the Netherlands, the sun might not appear for days on end, which can really crimp the output of the country’s solar panels. Wind turbines might…
Google、プライバシーを保護しながらデータセットを解析する「Private Join and Compute」をオープンソース化
Google、プライバシーを保護しながらデータセットを解析する「Private Join and Compute」をオープンソース化 米Googleは6月19日（現地時間）、ユーザーのプライバシーとセキュリティを守る取り組みの一環として、MPC（マルチパーティーコンピューティング）ツール「Private Join and Compute」をGitHubでオープンソースで公開した。 MPCは、データを暗号化したまま処理する技術「秘密計算」の一種。複数のサーバに保存した暗号化済みのデータを、暗号化したまま処理できる。複数の企業が他の企業に自社の顧客データなどのコンフィデンシャルな情報を読み取れないようにしたまま、データを共同研究などに利用できる。 Googleは、「個人のプライバシーを保護しつつ、データから貴重な洞察を得るために絶えず新しい研究に投資している」という。同社は、このツールが公共政
怪しいサイトだなと思ったらwww.aguse.jpを使いましょう - いろいろやってみるにっき
東京マラソンですかそうですか(挨拶)。 下記の記事にインスパイアされたので、ちょっとaguseをお勧めしてみる。下記記事と同じ内容書いても仕方ないし。 ヤフーの広告でスパムが表示される！と話題なので「Google Chrome」と検索してみたら面白い事になった件 | Web論 なぜhao123に汚染されるのか - ex まずYahoo!でGoogle Chromeを検索してみた。ヤフーの広告でスパムが表示される！と話題なので「Google Chrome」と検索してみたら面白い事になった件 | Web論と同じ検索文字列「Google Chrome」でも「Chrome」だけでも同じ検索結果。 で、今回のお勧めaguseは無料のチェックツール。ウェブ調査、メールチェック、ゲートウェイがある。今回のメインはサイトのチェック。URLはhttp://www.aguse.jp/（aguse.jp: ウェ
使ってはいけないパスワードトップ10万が発表、第1位は？
National Cyber Security Centre (NCSC： 英国国家サイバーセキュリティセンター)は4月21日(米国時間)、「National Cyber Security Centre - Passwords, passwords everywhere」において、Troy Hunt氏と協力して、同氏が過去に漏洩したパスワードを収集しているWebサイト「Have I Been Pwned」のデータから使ってはいけないパスワードトップ10万を公開した。 データはPwnedPasswordTop100k.txtにおいてテキストファイルで公開されており、このファイルに使っているパスワードが含まれている場合は直ちにパスワードの変更を実施したほうがよいとされている。 National Cyber Security Centre - Passwords, passwords every
なぜ日本で「国による不正アクセス」が適法に？ アクティブサイバーディフェンスとは
情報通信研究機構（NICT）や情報処理推進機構（IPA）などは、国の予算で運営される法人のため、関連法による規定が存在する。 NICTの場合、高度化する国際的なサイバー攻撃への対処、特に増えるIoT機器のセキュリティやオリンピックの安全確保が急務とされ、昨年の5月、サイバーセキュリティ基本法改正に先んじて、国立研究開発法人情報通信機構法が改正された。 附則第8条（第1項）は、テレビの難視聴地域への衛星放送助成に関する業務を規定したもので、改正で追加された第2項以降第8項までは、脆弱性のある通信機器を調査して必要な通知と改善を促す業務についてを規定している。 総務省は、この業務について情報通信行政・郵政行政審議会の審議と答申を受け、1月25日に当該業務の認可を行った。今後は必要な省令整備とともに実際の業務に移る予定だ。 調査作業は5年間と期限付きだが、背景の1つにオリンピックがあるとすると、
チケット購入のアクセス「9割がbot」にびっくり “知恵比べ”の舞台裏
チケット購入のアクセスのうち、9割超がbotによるものだった――チケット販売サイト「e＋」（イープラス）が、アカマイ・テクノロジーズのbot検知システムを導入したところ、そんな実態が浮き彫りになった。イープラスは、チケット転売目的の買い占めと疑われるアクセスに悩まされてきた。異常なアクセス数は“botの仕業”と認識してはいたが、想定以上の割合に「大変驚いた」（イープラス）という。 botを駆使する何者かとの知恵比べ。その舞台裏を、アカマイ・テクノロジーズの中西一博さん（Web＆セキュリティマーケティング本部 プロダクト・マーケティング・マネジャー）に聞いた。 「botにビジネスが侵食されている」 「botにビジネスが侵食されている」（中西さん）――bot検知システムを導入する前、イープラスはそんな状況に見えたという。チケットが買い占められると、一般のユーザーが購入できない上、チケット販売を
気を付けろ！QRコードに脆弱性？ その深刻さと騙されないための対策（森井昌克） - エキスパート - Yahoo!ニュース
電子決済や広告などに広く利用されている「ＱＲコード」に、偽の情報を仕込むことができるセキュリティ上の弱点があることが、神戸大学のグループの研究でわかりました。この弱点を悪用すると、利用者を一定の割合で不正なサイトに誘導することも可能で、グループではセキュリティー対策の強化が必要だとしています。 出典:ＱＲコードにセキュリティー上の弱点 不正サイトに誘導も【NHK NEWS WEB】 この記事およびNHKでの2018年6月23日（土）午後6時のニュース映像の通りなのですが、開発者本人から説明し、その深刻さとどのように悪用されるのか、さらにQRコードを利用している一般の人がとるべき対策について解説します。 【7月3日付記】上記のNHK記事はすでに消去されています。ここにもNHK記事の概要があります。 一言でいうと、まったく同一のQRコードで、AというURL（ウエッブサイト）に飛ぶ時もあれば、B
関連組織間でサイバーセキュリティの脅威情報を共有できる基盤を開発
NEDO、日立製作所、日立システムズは、重要インフラ事業者が他企業や組織との間でサイバーセキュリティに関する脅威情報や対策方法を共有するための情報共有基盤を開発。これを実装したサービスを提供開始した。 新エネルギー・産業技術総合開発機構（NEDO）は2018年5月30日、日立製作所、日立システムズと共同で、重要インフラ事業者が他の企業や組織との間でサイバーセキュリティに関する脅威情報や対策方法を共有するための情報共有基盤を開発したと発表した。また、日立システムズは同日、同基盤を実装した「SHIELD 情報共有サービス」を提供開始した。 同基盤は、NEDOが管理法人を務める内閣府事業「戦略的イノベーション創造プログラム（SIP）／重要インフラ等におけるサイバーセキュリティの確保」において開発された。外部の情報機関からの提供や他の企業・組織が共有したサイバーセキュリティ情報を蓄積し、利用者が必
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GoogleがOSSの脆弱性DB「OSV」を開始、セキュリティリスク取りこぼしは減るか
