印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 情報処理推進機構（IPA）は9月30日、IoT製品のセキュリティ適合性評価制度「セキュリティ要件適合評価及びラベリング制度」（JC-STAR）」の運用を2025年3月に開始すると発表した。2025年3月からまず「星1（レベル1）」の申請を受け付けることにしている。 JC-STARは、経済産業省が8月に公表した「IoT製品に対するセキュリティ適合性評価制度構築方針」に基づいて構築され、IPAが運用する。IoT製品共通で最低限の脅威に対応するための基準「星1（レベル1）」と、IoT製品の類型ごとの特徴に応じた基準「星2～4（レベル2～4）」の4つの適合基準が設定される。各レベルの内容は下記の通り。 星1（レベル1）：製品として共通して求めら

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 伊藤忠テクノソリューションズ（CTC）は8月13日、同社の業務委託先が受けたランサムウェア攻撃により、同社取引先および顧客の企業情報や個人情報が漏えいした可能性があると発表した。 CTCによると、同社の一部業務の委託先がランサムウェアによるサイバー攻撃を受け、委託業務で利用しているファイル共有サービスへの不正アクセスが判明した。このサービス上で閲覧や持ち出しの可能性があるファイルに、顧客を含む取引先の企業情報や個人情報が含まれていたという。 CTCは、取引先や関係者に謝罪するとともに、攻撃の影響があったPCのネットワークからの隔離や、不正アクセスがファイル共有サービスへのアクセス制限の実施を行ったと説明。現在は侵入経緯や情報流出の有無を

Don Reisinger （Special to ZDNET.com） 翻訳校正： 佐藤卓 吉武稔夫 （ガリレオ） 2024-05-08 09:42 セキュリティ研究者が、あらゆる仮想プライベートネットワーク（VPN）を無効にできる手法を明らかにした。しかも、このエクスプロイトは20年ほど前から野放しの状態で、悪意ある攻撃者からすでにその存在を知られている可能性があるという。 Leviathan Security Groupの研究者らは、VPNが使われたトラフィックを可視化する手法を発見した。攻撃者がこの手法を利用すれば、暗号化されていないトラフィックを盗聴し、価値あるデータをそのトラフィックから取り出すことが事実上可能になる。研究者はこのエクスプロイトを「TunnelVision」と名付けた上で、今のところこのトリックに引っかからないVPNは見つかっていないと指摘した。 VPNは、トラ

Jack Wallen （Special to ZDNET.com） 翻訳校正： 編集部 2024-04-10 07:30 「Linux」は長年にわたりクラウド上のサーバーに搭載されてきたが、クラウドが急激に拡大したこと、そしてLinuxがクラウド専用に設計されたものではないことを考慮すると、何かを変える必要があることは明らかだった。 その変化をもたらすのは、「Ingres」「PostgreSQL」「VoltDB」の開発に携わったMichael Stonebraker氏と、「Apache Spark」の生みの親でDatabriskの共同創設者／最高技術責任者（CTO）であるMatei Zaharia氏かもしれない。両氏はマサチューセッツ工科大学（MIT）のチームと協力して、「DBOS」（別名「DataBase OS」）という革新的なOSを開発した。 DBOSの開発は2022年に始まった。D

本記事の要点 BigLinuxは無料で提供されているため、必要な数のコンピューターにインストールできる。 大きくて美しく、現在使われている一般的なOSよりも多くの有用な機能を提供する。 もっと人気があってもいいはず。 筆者は利用可能なディストリビューションをすべて見てきたし、使ったことがあると思っていた。それでも毎日探し回って、手に入れるべき新しいディストリビューションを見つけようとしている。驚いたことに、今回出会った「Linux」ディストリビューションは、20年近く前からあるのに、ずっと知らなかった。 そのディストリビューションが「BigLinux」だ。ブラジルで開発されたLinuxディストリビューションであり（ブラジルポルトガル語にローカライズされ、英語をサポート）、元々「Kubuntu」をベースとしていたが、やがて「Deepin」ベースのOSに生まれ変わった。その後すぐに、より多くの

blendOSは、開発元が「あらゆるLinuxディストリビューションをシームレスにブレンドしたもの」だと表現しているように、イミュータブル（変更不可能）なLinuxディストリビューションであり、開発者のこの言葉をほぼ具現化する素晴らしい出来となっている。 blendOSは、他のさまざまなディストリビューションに搭載されているパッケージマネージャー（「Arch」の「pacman」や、「Ubuntu」の「apt」など）や、blendOS独自のパッケージマネージャー「blend」を搭載している。また、このOSの使いやすさを向上させるためのレイヤーとしてのコンテナーランタイムである「Podman」や、ユニバーサルパッケージマネージャーである「Flatpak」も搭載している。それだけではない。ウェブアプリをインストール（またはお気に入りのウェブアプリを追加するよう要求）できるようになる「blendO

「Mabox Linux」の概要 「Mabox Linux」はオープンソースの無料デスクトップOSであるため、自由にダウンロードし、何台にでもインストールできる。 ユーザーフレンドリーで見栄えがよく、動作は高速であり、信頼性も申し分ない。 メニューの表示にはマウスの右ボタンを使う必要があるため、若干の慣れが必要かもしれない。 筆者は2000年代の初め頃、ウィンドウマネージャーを次々に取り替え、評価していた。理想のデスクトップ環境を追い求めていたのだ。その過程でありとあらゆる「Linux」を試した結果、筆者は「Blackbox」というウィンドウマネージャーにしばらくの間落ち着くことになった。Blackboxはとてもシンプルなかたちに仕上げられており、その最小限度のインターフェースとフットプリントによって、筆者のコンピューターはさながらジェット燃料と魔法の力でパワーアップされているかのようだっ

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます セキュリティ企業のチェック・ポイント・ソフトウェア・テクノロジーズは、近年増加する「Linux」環境を狙うランサムウェアと、「Windows」環境を狙うランサムウェアの違いを分析した結果を発表した。Linux環境を狙うランサムウェアは、シンプルな構造であるが故に検出が困難だと指摘している。 同社によれば、Windowsを狙うランサムウェアは、確認可能な範囲では1989年に初めてサンプルが検出され、現在まで数多くのものが出現している。他方で、Linuxを狙う本格的なランサムウェアは、2015年に見つかった「Linux.Encoder.1」が最初だといい、2020年ごろから増加傾向にある。そこで同社は、Linuxに特化あるいはLinuxを含

企業セキュリティの歩き方 稼げるセキュリティ資格--資格試験勉強の注意点と複数資格を取得する際の考え方 - (page 2) 試験範囲の確認における注意（身近で聞いた実例） なぜ、こんなことをわざわざ述べるかというと、実際に筆者の身近な人がごく最近そのパターンに陥った例を聞いたからだ。それは、「Certified Information Systems Security Professional」（CISSP）を認定しているISC2が同じく運営する「Certified Cloud Security Professional）（CCSP）という資格の受験時に起きた。 この資格は、CISSPよりもクラウド分野に特化した資格で、クラウドサービスを安全に利用するために必要な知識を体系化したものだ。難易度はCISSPより少しやさしいとされているものの、クラウドに特化した特殊な内容も多く、領域が違う難

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます SCSKは9月29日、サイバーセキュリティ対策に特化した専門事業会社「SCSKセキュリティ」を設立し、10月1日から事業を開始すると発表した。新会社では、「プロダクト事業」と「サービス事業」を組み合わせ、企業のセキュリティ課題の解決を支援する。2030年までに1000億円の売り上げを目指す。 具体的には、同社グループの既存顧客に対してセキュアなシステムインテグレーション（SI）を提供することで、グループのセキュリティ事業の拡大を狙う。また、SCSKが提供するシステム構築やアプリケーション開発において、DevSecOpsやシフトレスをなどのシステム開発を実践する。 SCSKが提供する顧客常駐型サービスにもセキュリティ運用サービスのケイパビ

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftは米国時間9月18日、同社のAI研究者がクラウドストレージの設定を誤り、同社の内部情報が外部からアクセス可能な状態になっていたことを明らかにした。アクセス許可の範囲が広すぎる認証トークンを公開したことが原因だった。 この問題を発見したのはセキュリティ企業のWizで、Microsoftは6月22日に同社から報告を受けたという。この問題は、MicrosoftのAI研究者がGitHub上のオープンソースのAI学習モデルにコントリビュートする際に、アクセス許可の範囲が広すぎるAzureのSAS（Shared Access Signature）トークンを公開してしまったために発生した。 SASトークンは、Microsoftのクラ

クラウドストライクは9月13日、米CrowdStrikeがまとめた「2023年度版 Falcon OverWatch 脅威ハンティングレポート」に関する報道機関向け説明会を開催した。過去12カ月（2022年7月1日～2023年6月30日）に確認された世界的な傾向は、正規アカウントを悪用した対話型攻撃による侵入が62％増、クラウドインスタンスメタデータAPIを介して秘密鍵など認証関連データの収集を試みた攻撃は160％増、アイデンティティーを狙ったKerberoasting攻撃が583％増だった。 プリンシパルコンサルタントの鵜沢裕一氏は「脅威インテリジェンスを活用する日本企業は少ない。自社調査も有用だが、われわれのようなセキュリティベンダーは攻撃背景や対象などの情報も取得している」と調査結果や脅威インテリジェンスの活用を促した。 サイバー犯罪の増加報告は枚挙にいとまがなく、企業は強固なセキュ

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 本連載「企業セキュリティの歩き方」では、セキュリティ業界を取り巻く現状や課題、問題点をひもときながら、サイバーセキュリティを向上させていくための視点やヒントを提示する。 前回は、高いスキルを持つセキュリティ人材が日本全体でまれな存在となっていること、その結果として人材バブルの状態になっていることを述べた。一般的に日本経済の「失われた30年」では、日本人の給与がほぼ変わっておらず、個人消費も伸びていない。また、労働力人口も1990年代をピークに、1000万人以上も減少した。このことは、日本経済の基盤が確実に低下していることを如実に示している。 今回は、そのような日本経済において、今後も長期間にわたってセキュリティ人材が特別な待遇を受け続け

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 新たなテクノロジーが普及すると必ず、それをハッキングしようとする人間が出てくる。人工知能（AI）、特に生成型AIもその例外ではない。この問題に立ち向かうために、Googleはおよそ1年半前にAI専任の「レッドチーム」を立ち上げ、AIを攻撃目標に据えたハッキング手法について調査することにした。 同チームを率いるDaniel Fabian氏はThe Registerとのインタビューで「現実世界において、機械学習（ML）システムに狙いを定めている敵対者に関する脅威情報はそれほど多くない」と述べた。同氏のチームは既に、今日のAIシステムにおける最大級の脆弱性について指摘している。 Fabian氏の説明によると、MLシステムに対する最大級の脅威に

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 生成型の人工知能（AI）に対する当初の熱狂は、注意が必要という姿勢に変化しているようだ。組織は現在、こうしたツールの利用を禁止したり、禁止を検討したりするようになっている。 BlackBerryが6月と7月に実施した世界規模の調査によると、企業の75％は、「ChatGPT」をはじめとする生成型AIアプリケーションの職場における利用の禁止を指示、あるいは検討しているという。また、これら企業の61％はそうした対策が恒久的あるいは長期的なものだと答えている。この調査は、オーストラリアや日本、フランス、ドイツ、カナダ、オランダ、米国、英国などのIT関連の意思決定者2000人を対象に実施された。 回答者は禁止理由としてデータのセキュリティや、プラ

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 名古屋港のコンテナーターミナルで運用されている「名古屋港統一ターミナルシステム」（NUTS）システムが7月4日にランサムウェア攻撃を受けて、全ターミナルの作業が停止に追い込まれるなどの被害を受けたインシデントについて、同システムを管理する名古屋港運協会が26日、対応の経緯を明らかにした。 インシデントは、同4日午前6時半頃に発生。データセンター内のNUTSの全サーバーが暗号化された。協会は、愛知県警察やシステム保守会社らと連携して対応に当たり、同6日午後6時15分にターミナルの作業を再開させた。愛知県警やシステム保守会社の見解でインシデントは、ランサムウェアの感染が原因だと判明した。感染の経緯は、NUTSへリモート接続するための機器に存

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ガートナージャパンは7月20日、セキュリティインシデント対応に関する調査結果を発表した。従業員300人以上の日本企業でCSIRT（コンピューターセキュリティインシデント対応チーム）を設置しているのは56％だった。そのうち67％は、迅速なインシデント対応を実施することに「自信が無い」と回答している。 同社が2月に実施したこの調査（有効回答400社）では、CSIRTの設置率が56％と最も多く、CSIRTにある程度該当する機能を有する機能を持つ企業も24％に上った。CSIRTを設置しているとした56％の企業（223社）のうち、「インシデント対応ができる自信がない」との項目で「非常にそう思う」が14％、「ある程度そう思う」が53％だった。 調査

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 脅威ハンティングと防御策の組み合わせでリスクを軽減 前回の記事で紹介した通り、組織は脅威ハンティングを取り入れることで、潜在的な脅威を顕在化させて被害を未然に防ぐことができます。後編となる本稿では、より具体的な理解を得ていただくために脅威ハンティングサービスの実例を紹介します。 脅威ハンティングサービスは、単体でも侵害をより早期に「発見」することに貢献しますが、さらに「防御（Protection）」を目的とした対策と組み合わせることで、より効果的に組織のサイバーレジリエンス（障害などの問題に対するIT環境の回復力）を向上させることができます。 防御の例としては、アイデンティティーの管理、「Active Directory」のハードニング

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます メールセキュリティを手掛ける米Cofenseは3月7日、マルウェア「Emotet」の拡散を狙う攻撃メールが米国東部時間の同日午前8時（日本時間同日午後10時）頃から出回り始めたと報告した。マルウェア対策の検知を逃れると見られる新たな手法も確認されたという。 Cofenseによると、攻撃メールには、「INNVOICE」などの名前でパスワードがかけられていないZIPファイルが添付され、マクロを含むOfficeドキュメントが格納されている。 セキュリティ研究者グループのCryptolaemusがこのファイルを分析したところ、マクロを含むOfficeドキュメントのファイルサイズは500MBを超え、ユーザーがOfficeアプリケーションでマクロを