攻撃発生中のExchange Serverの脆弱性 ProxyLogonなどについてまとめてみた - piyolog
2021年3月2日、MicrosoftはExchange Serverの定例外のセキュリティ更新プログラムを公開し、今回修正された複数の脆弱性は既に悪用する動きが確認されているとして、早急な対応を呼び掛けています。また米CISAが脆弱性に対して緊急指令を発令し、侵害の兆候を優先した対応を推奨しています。ここでは関連する情報をまとめます。 1. どんな脆弱性なのか教えて Microsoft Exchange ServerでProxyLogonと呼称された深刻な脆弱性を含む7件が確認された。影響はサポート対象製品全て。悪用された場合、サーバー上で任意のコード実行が行われる恐れがある。 修正以前から4件の脆弱性の悪用が確認されている。攻撃を受けていた場合、メールのデータ窃取の被害が報告されている。複数の攻撃者による悪用が報告されている。 早急な脆弱性修正が強く推奨されている他、サーバーが第三者か
英ケンブリッジ大学コンピュータ研究所は11月1日（現地時間）、「Trojan Source：Invisible Vulnerabilities」（リンク先はPDF）という論文を公開した。Trojan Sourceは、「人間のコードレビュアーには見えないターゲットを絞った脆弱性を作成するためのクールな新トリック」という。 研究者のロス・アンダーソン氏は、「Unicodeの方向性オーバーライド文字を使って、コードを別のロジックのアナグラムとして表示するこの攻撃は、C、C++、C＃、JavaScript、Java、Rust、Go、Pythonに対して機能することを確認しており、他のほとんどの言語に対しても機能すると思われる」と説明する。 「人間が見るのと異なるロジックをコンパイラに示せるように、ソースコードファイルのエンコーディングを操作する方法を発見した」。コメントや文字列に埋め込まれた制御文
攻撃者に狙われるVPN。FBI/CISA、VPNからSSE/SASEへの移行を推奨するガイダンス公開（大元隆志） - エキスパート - Yahoo!ニュース
一週間を始めるにあたって、押さえておきたい先週(2024/06/17 - 2024/06/23)気になったセキュリティニュースのまとめです。セキュリティニュースは毎日多数の情報が溢れかえっており「重要なニュース」を探すことが大変です。海外の報道を中心にCISO視点で重要なインシデント、法案や規制に関して「これを知っておけば、最低限、恥はかかない」をコンセプトに、コンパクトにまとめることを心がけています。 ■FBI/CISA、VPNからSSE/SASEへの移行を推奨米国CISAやFBI等が共同で、VPNをSSEやSASEに置き換えることを推奨するガイダンスを公表しました。背景にはCISAが公表している「既知の悪用された脆弱性(KEV)」にVPNに起因するものが22件にのぼり、国家の関与が疑われる高度な技術力を持ったサイバー攻撃グループがVPNを標的に選定する傾向があること、更にはVPNが一度
楽天情報漏えい、SalesforceのExperience Cloudの設定不備が原因か?（大元隆志） - エキスパート - Yahoo!ニュース
楽天、楽天カード、楽天Edyは12月25日、利用中のクラウド型営業管理システムに不正アクセスを受け、保管していた個人情報など最大148万6291件が流出した可能性があると発表した。 楽天の情報漏えいと同日に、Salesforce社が同社製品利用顧客による「設定ミス」が発生したことを発表した。楽天の発表には「クラウド型営業管理システム」としか記載されていないが、一部報道では既に「Salesforce社のサービスだった」との指摘があり、Salesforce社が同日に発表した「お客様」は「楽天」ではないかと推測される。 ■SalesforceのExperience Cloudの設定不備が原因か? 今回情報漏えいが発生したと推測されるのは、Salesforce社のExperience Cloudというサービスだが、このExperience Cloudとは、企業と顧客を結ぶコミュニテイサイトを構築す
皆さん今日は。Twitter界の電波ババアと呼ばれているMay_Romaです。この度はDMMニュース様に連載をもたせて頂くことになりましたが、最初DMM様よりお話を頂いた際には熟女SMモノへの出演依頼だと思い込み、どんな奴隷豚をムチでビシビシしばけるのかと、ワクワクドキドキしていたワタクシです。 しかしDMMニュース様というのは、そういう方向のモノではないそうでして、その代わりに、「2020年までに日本がぶっ壊さないといけないもの」ということで、読者の皆さんを文字でビシビシハアハアさせることとなりました。 さて、今回ぶった切るのは「ネオナチ女性閣僚」であります。「ネオナチ女性閣僚」とは最近我が母国の安倍政権の第二次安倍改造内閣で、閣僚に任命された、女性閣僚のことです。安倍首相は「女性の活用」をアピールするために、5名の女性閣僚を誕生させました。党三役の政調会長を加えれば、6名となるのです。
iPhone市場に見え始めた「人気の陰り」が意味する「スマホ市場の飽和」（大元隆志） - エキスパート - Yahoo!ニュース
■5Sのゴールド/シルバーモデルは売り切れ続出 2013年9月20日に発売されたiPhone5S/5C。日米中の報道を見ていても、iPhone5Sのゴールド、シルバーは早々に売り切れたと伝えられている。この売れ行きをみて、アップルの担当者は「信じられない需要だ」とAllThingsDに語った。 “Demand for the new iPhones has been incredible, and we are currently sold out or have limited supply of certain iPhone 5s models in some stores,” 出典:Apple: Demand for New iPhones Has Been “Incredible” ■iPhoneブランドに陰りを感じているアナリスト達 では、「iPhone5S/5Cはどれ位売れるの
相次ぐOffice365のサービス障害。巨大プラットフォームに依存するリスク。（大元隆志） - エキスパート - Yahoo!ニュース
日本国内でも多くの企業が利用しているマイクロソフト社が提供するOffice365。先月は大規模なサービス障害が発生し、テレビでも放送される事態となった。免許制の事業である通信キャリアのサービス障害がテレビ報道されるのは当然だが、一企業が提供するクラウドサービスのサービス障害をNHK等が報道する事態になるというのは非常にレアなケースである。このことから、Office365の障害がどれだけ国内企業へ影響をもたらすか、影響の大きさをうかがい知ることが出来る。 ■Office365等のサービス障害の確認方法 Office365のサービス障害が発生した時に、以外と知られていなかったのが、Office365のサービス障害のステータスを確認する方法だ。通常であれば、Office365の管理コンソールから確認可能だが、サービス障害時にOffice365自体にログイン出来なくなることも多々ある。そのため、マ
AWS環境でDDoS攻撃を受けた時の対処をCloudFormationで自動化する（EC2編） - ISID テックブログ
Xイノベーション本部 ソフトウェアデザインセンター セキュリティグループの福山です。 先日、米政府（米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）や米連邦捜査局（FBI）、 MS-ISAC（Multi-State ISAC）の共同）から、DDoS攻撃に対するガイダンス「Understanding and Responding to Distributed Denial-of-Service Attacks」が公開されました。 業務でAWSに触れる機会が多いので、この機会にAWSにおけるDDoS攻撃対策を調査したいと思いました。 そこで今回は、AWS WAF、GuardDutyを有効活用できていないAWS上のWebアプリケーションに対してDDoS攻撃を受けた際に、対策となるリソースを追加するためのCloudFormationテンプレートや後続作業を調査しましたので、紹介
ランサムウェアやビジネスメール詐欺（BEC：Business Email Compromise）など、サイバー攻撃は手を替え品を替え、企業に襲い来る。一方で、クラウドの広がりやテレワークの推進など、企業を取り巻く技術的・社会的な環境も変化している。こうした中で、企業はどのようにセキュリティを考えるべきか。キヤノンマーケティングジャパン セキュリティソリューション企画部 部長 石川 滋人氏がファシリテータとなり、Webセキュリティの専門家であるEGセキュアソリューションズ 代表取締役 徳丸 浩氏、総務省の最高情報セキュリティアドバイザー（CISA）を務めるS&J 代表取締役社長 三輪 信雄氏のお二人に、企業を取り巻くセキュリティの現状と課題について語ってもらった。 「セキュリティ至上主義」の考え方は改める時期にきている 石川氏：まずは、現在の企業・組織が置かれているセキュリティ状況について、
Welcome to the 2023 Common Weakness Enumeration (CWE™) Top 25 Most Dangerous Software Weaknesses list (CWE™ Top 25). This list demonstrates the currently most common and impactful software weaknesses. Often easy to find and exploit, these can lead to exploitable vulnerabilities that allow adversaries to completely take over a system, steal data, or prevent applications from working. CWEs are becom
キャリアって何だ？ 自分らしい強みを活かし、蓄積することで、到達するありたい姿 Will：何がしたいのか Can：何ができるのか Must：何を求められているのか スキルの寿命は短くなり、キャリアの形成期間は長期化の傾向にある。 自らのキャリアアンカーを知る 長期的な方向性の道しるべとして「キャリアアンカー」を活用する。 エドガー・H・シャイン（Edgar Henry Schein）博士によって提唱されたキャリア理論 築き上げてきたキャリアに基づいた、生涯にわたってぶれない自己欲求・または自己が望む価値観 まずは「セルフアセスメント（40問）」を実施し自分のタイプを把握しておく 8つの分類（専門・職能別 / 全般管理 / 保障・安定 / 起業家的創造性 / 自律と独立 / 社会への貢献 / ワークライフバランス / 純粋なチャレンジ） ※注意：8つの分類とは違うキャリアアンカーを持つ人もい
米国当局、UPSをインターネットから外すよう呼びかけ
米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)とアメリカ合衆国エネルギー省(DOE: United States Department of Energy)は3月29日(米国時間)、「CISA INSIGHTS - Mitigating Attacks Against Uninterruptible Power Supply Devices」において、無停電電源装置(UPS: Uninterruptible Power Supply)の管理インタフェースをインターネット接続から外すように呼びかけを行った。 最近のUPSはネットワークから利用するための管理インタフェースを備えている。しかし、これがサイバー攻撃の標的になっているという。標準のユーザー名および
Netflixは少なくとも5年以内に日本で支配的な存在とはならない（大元隆志） - 個人 - Yahoo!ニュース
米動画配信サービス大手のNetflixが日本に上陸するかもしれない、ということでメディア関係者の間で話題だ。東芝が国内初のNetflixボタン搭載のテレビを発売したこともあって、一部ではNetflix上陸によって「テレビ局の猶予はあと5年だ」という極論まで目にするようになった(勿論、記事を読ませるのが目的であり、本気でそう考えているわけではないと思うが)。 NetflixがIT活用力と戦略に長けた企業であり優れた企業で有ることに異論は無いが、少なくともあと5年間で日本のテレビ放送を揺るがす存在になるかと言われると、そうは思わない。そもそも、日本と米国では「テレビ」を取り巻く環境が全く異なるからだ。この違いをNetflixの歩みを見ながら、筆者の自論を説明しよう。 1.630万人の顧客基盤からスタート Netflixはもともと、1997年にオンラインDVDレンタルとして創業した。その後200
米バイデン政権、「Log4j」問題などを受けGAFAやOpenSSFなどを招いたOSSセキュリティ会議開催 米連邦政府は1月13日（現地時間）、Apple、Google、Amazonなどいわゆるビッグテックとオープンソースソフトウェア（OSS）組織のトップを招いたサイバーセキュリティ会議を開催した。2021年12月に発見されたLog4jの脆弱性を契機に緊急で開催が決まったものだ。 参加企業および組織は、Akamai、Amazon、Apache Software Foundation、Apple、Cloudflare、Meta（旧Facebook）、GitHub、Google、IBM、Linux Foundation、Open Source Security Foundation、Microsoft、Oracle、RedHat、VMWare。OracleはLog4jライブラリが実行されるJa
ゼロからはじめる実践 Kubernetes セキュリティ(1) Kubernetesのセキュリティ対策の第一歩とは？
本連載では、エンタープライズシステムでコンテナ／Kubernetesを活用した業務システムを開発・運用するエンジニアに向けて、知っておくべきKubernetesセキュリティの基礎知識、Microsoftが提供するパブリッククラウド「Azure」を使ったクラウドにおけるKubernetesのセキュリティ対策のポイントや注意点といった実践的なノウハウを紹介します。 コンテナ／Kubernetes環境に求められるセキュリティとは？ 今日、オンプレミスの環境で運用されていた業務システムの多くが、クラウドへの移行を進めています。クラウドを活用することで、高い拡張性を持つセキュアなシステムを短期間で開発できます。加えて、コンテナベースのクラウドネイティブ・アプリケーションにモダナイズすることで、変化の激しいビジネス環境に追随できるだけでなく、最新技術を起点としてこれまでになかったビジネスモデルを構築し
T-Mobile is raising prices on several of its plans 2024-05-22 15:25 EST by Daniela T-Mobile has begun notifying customers that it's hiking their rates by as much as $5 per line per month. Customers with a legacy Simple Choice, ONE, or Magenta plan will likely experience price increases. The increased price applies to each line, meaning that if you have four lines, you could potentially see a month
Zoomと同名の2001年に開発されたPC高速化ツール「Zoom」が「怪しいZoom」と報道される（大元隆志） - エキスパート - Yahoo!ニュース
ヤフトピを眺めていると「怪しいZoom」という見出しが目についた。しかし、情報の早い海外のセキュリティ系ニュースサイトやセキュリティ研究者達は1つも話題にしておらず、騒いでいるのは日本だけ。違和感を感じたので筆者も実際に問題のアプリケーションをダウンロードし調査したところ、2001年にリリースされた同名のPC高速化ツールであることがわかった。 アプリ自体は無害であり、開発元とされるウェブサイトへの訪問のみ問題があることがわかった。 ■Bingで「Zoom ダウンロード」と検索してみた 筆者が目にした記事にはこのような記載があった。 なお、検索サイト「Bing」で「Zoom ダウンロード」と検索すると、正規サイトよりも非正規サイトが検索結果の上位に表示されている（24日12時30分現在）。グーグル、ヤフーでは正規サイトが一番上に表示された。 出典:J-CASTニュース:「怪しいZoom」に注
MS365のMFAが効かない基本認証。基本認証を無効化していないMS365が狙われている。（大元隆志） - エキスパート - Yahoo!ニュース
MS365でMFAの効かないIMAP等がパスワードスプレー攻撃で狙われている（写真:Panther Media/アフロイメージマート） 三菱電機が契約しているMS365に不正アクセスが発生した。このニュースを見て「我社のMS365はMFA(多要素認証)を利用しているから大丈夫」と思った人も少なくないだろう。しかしMS365に対する不正アクセスの多くはMFAをバイパスするIMAP等が狙われている。 ■基本認証と先進認証 MS365には大きく分けて二種類の認証方式が存在し、先進認証と基本認証と呼ばれている。主にMS365にアクセスするクライアントによって使い分けられる。 ・先進認証 IE/Chrome/Safariなどのウェブブラウザから、MS365にアクセスする場合や、先進認証対応のMS365アプリからアクセスする場合に利用される認証方法。MFA等が利用出来る。 ・基本認証(レガシー認証)
QNAP Systems（以下、QNAP）は2022年4月19日（現地時間）、同社のブログでUPnP（Universal Plug and Play）によるポート開放の危険性について指摘した。 同社は、QNAP製NASを利用する際に推奨する接続方法を示すとともに、どうしてもNASをインターネットに直接接続する必要がある場合の代替策についても解説している。 サイバー攻撃を受ける危険も セキュアなNAS運用を実現する8つのルール UPnPは主にLANでデバイス間通信を実現するために利用されるプロトコルだ。簡単な初期設定だけで、対象ネットワーク内にある他のデバイスとの通信を実現できる。その利便性からデフォルトで同プロトコルが有効になっているデバイスも多い。 しかしQNAPはUPnPが安全ではないプロトコルだと説明し、その理由としてUDPマルチキャストを使用している点、暗号化や認証機能を持たない点
2021年5月7日、米国の石油パイプライン企業Colonial Pipelineはランサムウエアによる影響をうけ業務全体を一時停止する措置を講じたことを発表しました。停止された輸送サービスは12日に再開され、15日までに供給網全体が復旧されました。ここでは関連する情報をまとめます。 予防的措置でパイプライン全停止（2021/5/7） 被害に遭ったのはメキシコ湾岸の精製業者から米国南東から北東(NY港、NY空港まで)にかけ約8,850㎞のパイプラインを運用する会社。ガソリン、ディーゼル、ジェット燃料など1日に250万バレル（米東海岸で消費される半分近くのシェア 約45%）を輸送している。 サイバー攻撃は米国時間で5月6日に始まり、ランサムウエアによりColonial Pipeline社内の一部のITシステムが影響を受けた。同社が攻撃事実に気づいたのは7日。わずか2時間で100GB近いデータ窃
日本とアメリカの当局が「中国政府のハッカーによってCisco製ルーターなどのネットワークにバックドアが仕掛けられている」と警告
アメリカの連邦捜査局(FBI)、国家安全保障局(NSA)、サイバーセキュリティ・社会基盤安全保障庁(CISA)および日本の内閣サイバーセキュリティセンター(NISC)と警察庁が合同で、中国政府により支援されているハッカー集団「BlackTech(ブラックテック)」によるサイバー攻撃についての注意喚起を発表しました。 People's Republic of China-Linked Cyber Actors Hide in Router Firmware | CISA https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-270a 中国を背景とするサイバー攻撃グループ BlackTech によるサイバー攻撃について（注意喚起） (PDFファイル)https://www.nisc.go.jp/pdf/press/2023
米連邦捜査局（FBI）の公式アカウントから11月12日午後から不審なメールが10万人以上に届き、セキュリティ組織がそれはフェイクだと警告した。FBIもこの問題を認識している。攻撃したと名乗るPompompurinは「脆弱性を指摘するのが目的」と語った。 米連邦捜査局（FBI）は11月13日（現地時間）、公式メールアカウントが乗っ取られ、偽の電子メールを配信した事件を認識していると発表した。現在調査中で、これ以上の情報は提供できないとしている。侵入されたメールサーバは問題発見後すぐにオフラインにしたという。 この件については、スパム情報収集の非営利組織Spamhausが同日「FBIおよびDHSから“恐ろしい”メールが送信されている。実際にFBIとDHSのインフラから送信されているが、われわれの調査によると、これらのメールは偽物だ。これらの偽警告メールは、ARINデータベースから取得されたアド
既知の悪用された脆弱性一覧 CISA KEVカタログCISA KEVカタログの概要と公開された背景、SSVCと呼ばれる優先順位付けのフレームワークの概要と実運用時の課題について紹介します。
こんにちは、セキュリティエンジニアの岩田です。今回は「擬似サイバー攻撃演習」と銘打って行った社内の演習についてご紹介します。 擬似サイバー攻撃演習とは? 実際のサイバー攻撃をシミュレーションして実施することで、現在行なっているセキュリティ対策が有効に機能しているかを検証するための演習です。「レッドチーム演習」や「脅威ベースのペネトレーションテスト(TLPT)」などと呼ばれるものと同様の試みですが、誰にでもより直感的に内容が伝わるようにこの名称にしました。 今回は2要素認証を回避するフィッシング攻撃によって実環境のID管理サービス(IDaaS)のアカウントを乗っ取って侵入し、機密情報を盗み出す攻撃シナリオで演習を行いました。 具体的には、攻撃者がフィッシングメールをユーザーに送ってフィッシングサイトに誘導し、ユーザーからのフィッシングサイトへのリクエスト内容をそのまま実際のサイトに転送するこ
豪Atlassianは6月2日（米西海岸時間）、同社のコラボレーションツール「Confluence」に関する一部製品で、遠隔地から任意のコードを認証不要で実行できてしまう脆弱性が見つかったと発表した。深刻度は同社基準の最高値である「Critical」で、修正プログラムは未公開。 CVE識別番号はCVE-2022-26134。Atlassianによると、ユーザー企業側のサーバで同サービスをホストする「Confluence Server」のバージョン 7.18.0で脆弱性の悪用を確認した他、IaaS上で管理するための「Confluence Data Center」バージョン7.4.0以降にも影響があるとしている。 修正プログラムは未公開だが、ユーザー側でできる一時的な対応として同社は、（1）Confluence ServerやConfluence Data Centerのインスタンスをインター
Adobe Creative Cloudユーザー、750万件のデータが誤って公開される（大元隆志） - エキスパート - Yahoo!ニュース
Adobe Creative Cloudユーザー750万件の、eメールアドレス、アカウント情報、使用しているアドビ製品情報が、誤って公開されていたことが、Comparitech社とセキュリテイ研究者Bob Diachenko氏の調査で分かった。Diachenko氏はこの問題をAdobe社に報告し、Adobe社は既に問題を修正済み。 原因は、誤って構成されていた、Elasticsearchサーバー。クレジットカード番号やパスワード等の機密性の高い情報は含まれていなかったが、eメールアドレスや、利用製品の情報が含まれていたため、アドビ製品ユーザを対象とした高度なフィッシングキャンペーンに利用される恐れがあった。 ■問題発覚のタイムライン ・2019年10月19日 Diachenko氏が公開されているElasticsearchサーバー上のデータを発見し、アドビに問題を通知。 公開されていたデータ
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ソースコードに脆弱性を潜ませられるUnicode悪用攻撃法「Trojan Source」を研究者が発表
May_Romaの【自民党ネオナチ女性閣僚】打倒宣言！ - DMMニュース
終わる「セキュリティ至上主義」、拡がる「セキュリティ格差社会」 徳丸浩氏×三輪信雄氏×石川滋人氏 対談｜ビジネス+IT
CWE -2009 CWE/SANS Top 25 Most Dangerous Programming Errors
サイバーセキュリティ領域で生き抜くためのキャリア論 - Qiita
米バイデン政権、「Log4j」問題などを受けGAFAやOpenSSFなどを招いたOSSセキュリティ会議開催
SpeedGuide - Broadband, Wireless, Network Security
QNAP「お願いだからUPnPを使わないで」リスクを低減する8つの接続ルール提示
米石油パイプライン企業へのサイバー攻撃についてまとめてみた - piyolog
FBIのメールアカウントが乗っ取られ、フェイクメールを大量配信（原因発表）
Webセキュリティはどこから手をつければよいのか？ | yamory Blog
同僚に2要素認証を回避するフィッシング攻撃(の演習)をしてみた - SmartHR Tech Blog
「Confluence」に“最高レベル”のゼロデイ脆弱性 遠隔地から任意のコードを実行される恐れ