【読売新聞】　富士通は９日、社内の業務用パソコンがマルウェア（悪意あるプログラム）に感染し、個人情報や顧客の業務に関する情報が流出した可能性があると発表した。流出件数や顧客の業種などは明らかにしていない。９日時点で悪用された事例は確

JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は4月5日、「JVN#82074338: NEC Atermシリーズにおける複数の脆弱性」において、NECの無線LANルータAtermシリーズに複数の脆弱性が存在するとして、注意を呼びかけた。これら脆弱性を悪用されると、遠隔から攻撃者に任意のコマンドを実行される可能性があり注意が必要。 JVN#82074338: NEC Atermシリーズにおける複数の脆弱性 脆弱性に関する情報 脆弱性に関する情報は次のページにまとまっている。 NV24-001: セキュリティ情報 | NEC 公開された脆弱性(CVE)の情報は次のとおり。 CVE-2024-28005 - 攻撃者がTelnetでログインした場合、機器の設定を変

米国国立標準技術研究所(NIST: National Institute of Standards and Technology)は12月15日(米国時間)、「NIST Retires SHA-1 Cryptographic Algorithm｜NIST」において、暗号アルゴリズム「SHA-1」を廃止すると伝えた。SHA-1の暗号ハッシュ関数はすでに脆弱と評価されており米国政府機関での利用廃止が発表されている。 電子情報を保護するために初期に広く使われた手法の一つであるSHA-1アルゴリズムは、耐用年数が終了しているとして廃止が決定されている。SHA-1がまだ使用されているという現状から、より安全性の高い新しいアルゴリズムに置き換えることが推奨されている。 SHA-1という名称は「Secure Hash Algorithm」の頭文字からきており、1995年から連邦情報処理規格(FIPS:

Spring BootによるAPIバックエンド構築実践ガイド 第2版 何千人もの開発者が、InfoQのミニブック「Practical Guide to Building an API Back End with Spring Boot」から、Spring Bootを使ったREST API構築の基礎を学んだ。この本では、出版時に新しくリリースされたバージョンである Spring Boot 2 を使用している。しかし、Spring Boot3が最近リリースされ、重要な変...

セキュリティ技術センターの宇井です。 今回はメールでファイルを共有する際によく用いられているパスワード付きzipの問題について取り上げていきたいと思います。 ファイルを共有する際にパスワード付きzipファイルをメールで送信し、あとからメールでパスワードを送信するという方法は現在もよくつかわれている方法なのではないでしょうか。実際に私もこの方法でファイルを共有したこともありますし、周りで使っている人を今もよく見かけます。しかしこの方法はセキュリティ面で多くの問題があります。 皮肉をこめてかPPAPと呼ばれることがあります。(ピ〇太郎のことではありません。)

長年にわたり、テレワークを行う際の最も一般的なリモートアクセス手段として、「VPN」が利用されてきました。昨今、テレワークの需要が急増するにつれ、多くの企業がVPNゲートウェイ(社内にVPN接続するための機器)の性能限界に悩まされています。 また、VPNゲートウェイの脆弱性を悪用したサイバー攻撃も絶えず、VPNゲートウェイ経由で攻撃者に侵入されてしまい、大きなセキュリティインシデントに発展してしまった事例が多々見受けられます。このような状況から、今後のテレワークセキュリティについて不安を抱える企業は多いのではないでしょうか？ 本記事では、従来のVPNモデルが抱える課題、およびその課題を解決する新たなリモートアクセス手段、ゼロトラストネットワークアクセス（ZTNA）について解説します。 従来のリモートアクセスにおける課題 最近はAWS等のパブリッククラウド上で自社システムを運用する企業が増え

ゼロトラストネットワークとは、ファイアウォールやVPNに代表される従来型のセキュリティ（境界防御モデル）が通用しなくなった現状を踏まえ、すべてのトラフィックを信頼しないことを前提とし、検証することで脅威を防ぐというアプローチです。近年、クラウドサービスやモバイルの普及により、セキュリティで守るべき内外の境界があいまいになってきたことにより、強く注目を集めています。本書は、ゼロトラストネットワークの概念と実装するために必要な知識が学べる解説書です。基本的な概念の説明に始まり、デバイス、ユーザー、アプリケーション、トラフィックの信頼を実際にどのように確立していくかについて、詳しく紐解いていきます。また、Googleのゼロトラストモデル「BeyondCorp」を含む2つの詳細なケーススタディも収録しており、実装に役立つ知識を深めることができます。 はじめに 1章　ゼロトラストの基礎 1.1　ゼロ

Wi-Fiセキュリティプロトコル「WPA3」に複数の脆弱（ぜいじゃく）性があり、これらを悪用した「効率的で低コスト」な攻撃により、無線ネットワークのパスワードが盗まれる恐れがあることが明らかになった。 これを受け、スロバキアのセキュリティ企業ESETが2019年4月11日（現地時間）、公式ブログに解説記事を掲載した。以下、主な内容を紹介する。 WPA3は、無線LANの業界団体Wi-Fi Allianceが2018年6月に発表したプロトコル。Wi-Fiセキュリティの向上が図られており、デバイス間の安全な鍵確立プロトコルであるSAE（Simultaneous Authentication of Equals）によるハンドシェイク（通称：Dragonfly）を利用している。 これにより、第三者がパスワードを推測する可能性を大幅に引き下げることができた。さらにユーザーの指定したパスワードが一般的に

2017年10月16日、WPA2のプロトコルに欠陥が確認され盗聴や改ざんの恐れがあるとして脆弱性情報が公開されました。発見者によりこの脆弱性は「KRACKs」と呼称されています。ここでは脆弱性の関連情報をまとめます。 脆弱性タイムライン 日時 出来事 2017年5月19日 Vanhoef氏が研究論文を提出。 2017年7月14日頃 Vanhoef氏が脆弱性の実験をした製品開発ベンダへ連絡。 その後 Vanhoef氏が影響範囲の広さを認識し、CERT/CCと協力し脆弱性情報を開示。 2017年8月24日 ラスベガスで開催されたBlackhatでVanhoef氏が関連研究を発表。 2017年8月28日 CERT/CCから複数の開発ベンダ*1に通知。 2017年10月6日 BlackhatのTwitterアカウントがWPA2をテーマとした発表があるとツイート。 2017年10月16日 SNSなど

Googleのクラウドは間違いなく世界最大規模のコンピュータシステムです。膨大なハードウェアとソフトウェアから構成されるこの巨大なシステムを、同社はどうやってセキュアに保っているのか。そのことを解説したホワイトペーパー「Google Infrastructure Security Design Overview」が公開されました。 ホワイトペーパーには、Googleのデータセンターを構成するデバイスの1つ1つにまで独自のセキュリティチップを組み込んで正規のデバイスかどうかを相互に認証するという物理レベルのセキュリティから、何層のものロードバランサーからの情報を集約してDos攻撃を検知すると、その通信を破棄するといったDoS対策。 そしてマシンも従業員もサービスも包括するグローバルな名前空間など、きわめて広範かつ綿密なセキュリティ施策が説明されています。 クラウドがいかに高度なセキュリティで

セキュリティ人材は、どうやって育てていけばよいのか。取材から分かった育成モデルは、知識習得と実務経験を繰り返してスパイラル型にスキルを向上させていくものだ（図3）。 前提条件として、開発や運用の知識と経験が必要となる。「セキュリティ人材は『実際の業務フローやコストを考慮して落としどころを見つける』という思考法が必要。開発や運用の現場を知らないと、非現実的なセキュリティ対策をやろうとしてしまう」（リクルートテクノロジーズ ITソリューション統括部 サイバーセキュリティエンジニアリング部 シニアマネジャーの鴨志田 昭輝氏）。一定の実務経験を積んだ若手、中堅の人材のうち、セキュリティに興味や関心がある人材が、セキュリティ人材としてのキャリアを積むのが一般的だ。 セキュリティ人材は、身に付けたセキュリティスキルに応じて2段階ある。 第1段階は、自身の業務に関連する基礎的なセキュリティ知識を身に付け

ほとんどのLinuxアプリケーションに使われているGNU Cライブラリの「glibc」に深刻な脆弱性が見つかり、米GoogleとRed Hatの研究者が開発したパッチが2月16日に公開された。 脆弱性は2008年5月にリリースされたglibc 2.9以降のバージョンに存在する。Googleによると、glibcで「getaddrinfo()」ライブラリ機能が使われた際に、スタックベースのバッファオーバーフローの脆弱性が誘発されることが判明。この機能を使っているソフトウェアは、攻撃者が制御するドメイン名やDNSサーバ、あるいは中間者攻撃を通じて脆弱性を悪用される恐れがあるという。 Googleの研究者は、先にこの問題を発見していたRed Hatの研究者と共同で調査を進め、脆弱性を突くコードの開発に成功したとしている。パッチの公開に合わせて、攻撃には利用できないコンセプト実証コードも公開した。こ

悪用された場合、攻撃者がゲスト仮想マシン（VM）から抜け出してホストシステムにアクセスし、任意のコードを実行できてしまう恐れがある。ホストシステムの他に、そのホスト上で実行されている他の全てのVMにアクセスできてしまう可能性もあるという。 この脆弱性は幅広い仮想プラットフォームに影響が及び、デフォルトの設定に対して攻撃が通用し、任意のコードを実行される恐れがあるという点で、過去に見つかった他のVMエスケープの脆弱性とは異なるとCrowdStrikeは指摘。悪用されれば企業などの知的財産や個人情報といった情報の流出につながりかねないと警告している。 脆弱性はハイパーバイザーのコードベースに存在することから、ホストOS（Linux、Windows、Mac OS）に関係なく影響を受ける。また、ゲストOSにも左右されない。 影響を受けることが確認されているベンダーはQEMU、Xen Project

情報処理推進機構(IPA)とJPCERTコーディネーションセンターは4月9日、ファイル圧縮・展開を行うフリーソフト「Lhaplus」に脆弱性があるとして最新版へのアップデートを呼びかけた。 確認された脆弱性は、展開するファイル名の処理に起因するディレクトリ・トラバーサルの脆弱性と、任意のコードを実行される脆弱性。 ディレクトリ・トラバーサルの脆弱性では、名前を細工されたファイルを展開することで、特定のファイルを作成されたり、既存のファイルを上書きされる恐れがある。もう一方の脆弱性も、細工されたファイルの展開で任意のコードを実行される恐れがある。 影響を受けるバージョンは1.59とそれ以前のバージョンで、現在、最新バージョンでは1.72が公開されている。