私のセキュリティ情報収集法を整理してみた（2021年版） - Fox on Security
新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増している気がしますので、今年は海外情報源から書きたいと思います。 昨年の記事では多くの海外サイトを紹介しましたが、試行錯誤の結果、まとめサイトでもある「morningstar SECURITY」や「DataBreaches.net」を押さえておけば、主要サイトが概ねカバーされると分かったので、今年は数を絞っています。 サイト キタきつね寸評 morningstar SECURITY 去年と変わりませんが、情報の更新頻度、そして関連ソースの網羅性という意味では、英語系のセキュリティニュースとしては最良の情報ソースの１つかと思います。私は「Daily Secur
私のセキュリティ情報収集法を整理してみた（2024年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2024年版）」を今年も公開します。 ■はじめに サイバー攻撃は国境を越えて発生するため、ランサムウェア、フィッシング、DDoS攻撃など、近年のサイバー脅威の常連となっている攻撃者（脅威アクター）が主に海外にいることを考えると、世界の脅威動向を理解することが年々重要になっています。 海外から日本の組織が受けるサイバー攻撃の多くでは、国際共同オペレーション等の一部のケースを除き、日本の警察が犯罪活動の協力者（出し子、買い子、送り子）を摘発することはあっても、サイバー攻撃の首謀者（コアメンバー）を逮捕するまで至るケースはほとんどありません。 誤解を恐れずに言えば、日本の組織は海外からの攻撃を受け続けているのに、海外で発生したインシデントや攻撃トレンドの把握が遅れ、対策が後手に回っているケースも多いように感じます。最
2021年12月10日、Javaベースのログ出力ライブラリ「Apache Log4j」の2.x系バージョン（以降はLog4j2と記載）で確認された深刻な脆弱性を修正したバージョンが公開されました。セキュリティ関係組織では過去話題になったHeartbleedやShellshockと同レベルの脆弱性とも評価しています。ここでは関連する情報をまとめます。 １．何が起きたの？ Javaベースのログ出力ライブラリLog4j2で深刻な脆弱性（CVE-2021-44228）を修正したバージョンが公開された。その後も修正が不完全であったことなどを理由に2件の脆弱性が修正された。 広く利用されているライブラリであるため影響を受ける対象が多く存在するとみられ、攻撃が容易であることから2014年のHeartbleed、Shellshock以来の危険性があるとみる向きもあり、The Apache Software
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
サイバー攻撃が高度化し被害が深刻化するにつれ、その防御には専門的なスキルが不可欠となっています。セキュリティ担当者の深い知識と豊富な実務経験が求められているのです。 そのスキルを証明するものにセキュリティ資格があります。セキュリティ資格の種類も多数あり、受験者の増加傾向も見られるようになってきました。これらセキュリティ資格には、どのような職種向けに、どのようなものがあるのでしょうか。また、取得することで、個人や企業にどのようなメリットがあるのでしょうか。 ここでは、主にセキュリティ資格の取得メリットと選択ポイントを2回に分けて紹介します。 セキュリティ資格は多くの種類があり、その数も増えつつあります。国が制度として実施しているものもあれば、ベンダーが展開しているセキュリティ資格もあります。中間に位置するものとして、団体が提供するセキュリティ資格もあります。 さらに、日本国内のみならず、海外
こんにちは。しなもんです。 今回は自分用のメモを兼ねて、無料で入手できるセキュリティ分野の定期発行物をまとめます。 注意点 日本の公的機関 海外の公的機関 日本の企業 海外の企業 週次まとめ 注意点 ・私が認知しているものに限るので、網羅性はあまりありません。 ・年次レポートだけを出している会社は挙げだすときりがないのでほとんど割愛しています。 ・海外の CERT 系は探せばもっといろいろあると思いますが、これもきりがないのでほぼ挙げていません。 ・リンクはなるべく記事の一覧ページにしていますが、ない場合は本記事執筆時点での最新版のページにしています。ご覧になった時点ではより新しい版が出ていることがあります。 日本の公的機関 情報セキュリティ白書 (IPA) www.ipa.go.jp 発行頻度：年次 各省庁などが発行している「なんとか白書」の情報セキュリティ版です。 インシデントの状況や
聞いてるポッドキャストでセキュリティ情報収集どうしているのかといった話題があった*1ので、いい機会だから自分の行っているセキュリティ関連の情報収集をまとめてみた。 前提 どんな人 セキュリティに興味あるWebアプリケーションエンジニア*2 興味の範囲 Webアプリケーションにまつわるセキュリティ全般 サービス開発・運用まわりに関するセキュリティ 知りたい情報 関係ありそうな脆弱性情報 興味範囲の最近の話題やトレンド その他セキュリティ関係で話題になっていそうなこと 話題やトレンドはキーワードを拾い後から調べられるように脳にインデックスを作っておくのが目的で、網羅や詳細に知ることはあまり意識していない。 情報ソース 前提に書いた知りたい情報を、各種サイト・ブログ、Twitter、Podcast から収集している。 Twitter は脆弱性情報などスピードが重要なものからトレンドまで幅広く知れ
PHPの脆弱性（CVE-2024-4577）を狙う攻撃について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
注釈：追記すべき情報がある場合には、その都度このページを更新する予定です。 概要 近年、インターネット境界に設置された装置の脆弱性の悪用を伴うネットワーク貫通型攻撃が脅威となっています。IPA は、昨年8月に公開した「インターネット境界に設置された装置に対するサイバー攻撃について ～ネットワーク貫通型攻撃に注意しましょう～」脚注1、今年4月に公開した「アタックサーフェスの Operational Relay Box 化を伴うネットワーク貫通型攻撃について ～Adobe ColdFusion の脆弱性（CVE-2023-29300）を狙う攻撃～」脚注2 で注意を呼び掛けています。 そのような中、IPA では、The PHP Group が提供する PHP の脆弱性 (CVE-2024-4577) を悪用した攻撃による被害を確認しています。具体的には、国内の複数組織においてこの脆弱性が悪用され
はじめに 研究開発第二部リードセキュリティエンジニアの一瀬です。セキュリティエンジニア同士の会話では、「"シサ"が最近またレポート出していて…」とか「"アイピーエー"から注意喚起出てたね」といった、初学者には謎の単語がたくさん出てきます。本記事では、そういった会話に出てくる単語のうち、国内外のセキュリティ関連の主な組織についてまとめました。セキュリティに興味があれば、ここに挙げた組織と、その組織が関わる政策や活動について、事前に抑えておいて損はありません。これからセキュリティを学ぼうという方の参考になれば幸いです。 なお、記載した情報はすべて執筆時点 (2023 年 6 月) のものです。 【2023/06/30 追記】NISC および ENISA の日本語名称を修正、CISA の読み方について修正・追記、NCSC について追記しました。 はじめに 中央省庁 内閣サイバーセキュリティセンタ
freee株式会社は、2020年12月1日（火）から、原則としてメールによるパスワード付きファイルの受信を廃止させていただきます。パートナー及びお取引先の皆様にはご理解とご協力のほどよろしくお願いいたします。 ■方針決定の背景 パスワード付きファイルはメール受信時のマルウェア検査を迂回させるため、結果的にパスワード無しのファイルと比較して社内のセキュリティリスクを増大させています。 また、最近のマルウェアの大半を占めるというemotetの拡散（※1）を、いわゆるPPAP（※2）と呼ばれているものをはじめとしたパスワード付きファイルを送受信する運用が助長させていると考えられており、米国CISAでもパスワード付きファイルの受信をブロックすることをemotet感染の緩和策として提示しています（※3）。 こうした背景を踏まえ、お客様の大切なデータをお預かりする当社としては更なるセキュリティ向上のた
--------------------------------------------------------------------- ■（緊急）米国国土安全保障省によるDNS設定の改ざんに関する緊急指令の公開について 株式会社日本レジストリサービス（JPRS） 初版作成 2019/01/28（Mon） --------------------------------------------------------------------- ▼概要 2019年1月22日、米国国土安全保障省（DHS）のサイバーセキュリティ・イン フラストラクチャセキュリティ庁（CISA）が「Mitigate DNS Infrastructure Tampering（参考訳：DNSインフラストラクチャ改ざんの軽減）」という緊急 指令（Emergency Directive 19-01）を公開しました。 本
多くのIT管理者は、まだ“仮想化”に慎重 ― ＠IT
メディア 記事一覧 オルタナティブ・ブログ 用語辞典 ITmedia エンタープライズ Expired：掲載期限切れです » ページトップへ 検索 注目のテーマ 人気記事ランキング Microsoft、VBScriptの段階的な廃止のスケジュールを公開 「君が欲しい」と言わせるIT部門の資格 年収アップ、転職のコツも解説 生成AIの悪用が本格化する具体的なタイミングはいつか？ IBMが指摘 VMware、Workstation Pro 17とFusion Pro 13の個人利用を無償化 その狙いを探る 「アダルトビデオが無料です」――IE標的のトロイの木馬に要注意 Microsoftのセキュリティ大変革 有識者たちはこれをどう評価しているのか？ Microsoftがセキュリティ大変革に“本腰” 報酬体系を変更して6つの領域を強化 ドローンいらず？ 飛行動画作成できる「Google Eart
Osumi, Yusuke @ozuma5119 Threat Intelligence, Cyber Security Researcher, PenTester. CISSP,CISA https://t.co/8kTFSGuuoZ Osumi, Yusuke @ozuma5119 イオンカードさん、この注意喚起は大間違いです。 ドメインは「始まっている」ではなく「終わっている」部分を見ないと意味がありません。 https://aeon .co .jp .example. com/ のようなまぎらわしいドメインこそが、一番詐欺に使われます。出す前に、社内のエンジニアのレビューを受けましょう。 pic.twitter.com/hLVrhHisPH 2021-06-07 14:59:35
Mozilla Foundationは6月18日（現地時間）、Webブラウザ「Firefox」のセキュリティアップデート「Firefox 67.0.3」と「Firefox ESR 60.7.1」をリリースした。危険度が最高の「Critical」の重大な脆弱性に対処する。この脆弱性を悪用した攻撃を既に確認したとしている。 この脆弱性を悪用されると、ユーザーが悪意あるWebページにアクセスすると攻撃者にPCを乗っ取られる恐れがある。米国土安全保障省も公式サイトでアップデートを呼び掛けている。 MozillaはSecurity Advisoryで「Array.popの問題により、JavaScriptを操作する際に脆弱性が発生する可能性がある。この脆弱性を悪用するとシステムのクラッシュが可能。既にこの脆弱性を悪用する標的型攻撃を確認している」と説明している。 この脆弱性は、米GoogleのGoog
2015年頃に脅威インテリジェンスという概念に出会ってから、色々調べて、講演・ブログで調査結果や自分の考えを公開してきましたが、一度その内容を体系的な資料として整理したいと考え、『脅威インテリジェンスの教科書』という形で執筆・整理したので、公開します。 脅威インテリジェンスの教科書 from Tomohisa Ishikawa, CISSP, CSSLP, CISA, CISM, CFE www.slideshare.net 先日公開した金融ISACの講演では、時間制約上、概要しかお話しできませんでした。それぞれの内容について、より詳細が知りたいという方は上記資料をご覧ください。 www.scientia-security.org なにかのご参考になれば幸いです。
ドメインコントローラーがのっとられる脆弱性 Zerologon（CVE-2020-1472）についてまとめてみた - piyolog
2020年8月に修正された脆弱性 CVE-2020-1472はドメインコントローラーが使用するNetlogon リモートプロトコルに欠陥が見つかったもので、その内容からZerologonとも呼称されています。Microsoftをはじめ、セキュリティ組織は深刻な脆弱性であることから早急な対応を行う様呼び掛けています。ここでは関連する情報をまとめます。 Zerologonって何？ Windows が実装する Netlogon リモートプロトコル （MS-NRPC）に発見された脆弱性の名前。 脆弱性悪用を通じてパスワードが変更されドメイン管理者権限の取得が行われる恐れあり。 9月11日に技術情報と実証コードが公開され、9月24日には攻撃に悪用されたとMicrosoftが注意喚起。 8月12日に脆弱性に対応するセキュリティ更新プログラムが公開済。非Winデバイス互換性への考慮から2段階に分け対応が
スマートビエラのCM放送拒否が大きな話題を呼んでいる。 スマートビエラはパナソニックが四月に発売した、「スマートテレビ」であり、音声によるコンテンツ検索や、視聴者を認識してコンテンツをレコメンドする機能、さらにレコメンドするコンテンツはテレビ放送だけではなくyoutubeなどのネット動画も対象になるなど、「テレビの未来」を彷彿とさせる製品となっている。 この意欲的な製品のCMが却下されたことで、ネットを中心に「利権問題」「テレビの古い体質」「テレビ局は時代の流れを理解出来ていない」などの声が目立つ。しかし、一方でテレビ業界はテレビ放送とインターネット、スマートデバイスと連動させることを可能にする「ハイブリッドキャスト」等の取り組みにも力を入れており、「スマートビエラ」のコンセプトを否定しているとは考えにくいのも事実だ。ましてや4Kより更に解像度の高くなる8Kの規格では広大な解像度をテレビコ
xzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094) - SIOS SECURITY BLOG
03/29/2024にxzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094)が公開されました。Fedora Linux 40beta, Fedora rawhide, Debian unstable等の一部のOpenSSHにも使われており、バックドアを利用してログインが出来る状態だったという話も出ています。ソフトウェアサプライチェーン攻撃の一つとも捉えられており、いずれSBOMと関係する話として取り上げられると思います。 （SBOMの話、VEXの話はこちら）。 今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。 【04/01/2024 09:45更新】情報が纏まっているサイトを更新しました。また、piyologさんからリンクを貼っていただいていたので、こちらも載せています。その他、「xz –version」を実行するのもだめという話
NISCと気象庁が使用していたメール関連機器へのサイバー攻撃についてまとめてみた - piyolog
2023年8月4日、内閣サイバーセキュリティセンター(NISC)と気象庁はそれぞれ電子メール関連のシステム・機器から不正通信の痕跡が確認され、メールデータの一部が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。 政府組織に対しゼロデイ攻撃 NISCと気象庁及び気象研究所、国立科学博物館、教職員支援機構が各々運用を行っていた電子メール関連システム・機器に脆弱性が存在しており、その脆弱性に関連した不正通信が確認された。 今回確認された不正通信により、メールデータの一部が外部に流出した可能性がある。両組織ではメールアドレス等の個人情報が漏えいした可能性を排除できないとして個人情報保護委員会に報告した他、対象者にも個別に連絡を行う。公表時点では流出可能性のある情報の悪用は確認されていないが、NISCでは約5,000件の個人情報が対象に含まれており、流出可能性のある事案が
2021年7月2日、米フロリダ州のIT企業のKaseyaは同社のRMM（リモート監視・管理）製品である「Kaseya VSA」をオンプレミスで利用している顧客に対してサイバー攻撃が発生していると公表しました。同製品を運用する顧客の多くはMSP事業者で、MSPサービスを利用する多数の中小企業などに影響が及びました。ここでは関連する情報をまとめます。 1．最大1500組織にランサムウエアの影響か Kaseya VSAの未修正の脆弱性が悪用され、VSAのシステム管理対象の端末に対してランサムウエアに感染するPowerShellスクリプトが配られ実行された。 Kaseya VSAはマネージドサービスプロバイダーに導入されるケースが多く、MSP事業者が攻撃を受けたことによりサービスを利用する多数の組織に被害が及んだ。一方で、Kaseyaが把握している当該事案のターゲットとなったMSP事業者数は50～
VMware ESXiを狙ったランサムウエアキャンペーンESXiArgsについてまとめてみた - piyolog
2023年2月3日（現地時間）、フランスのナショナルサートCERT-FRは、VMware ESXiを狙った脆弱性悪用のキャンペーンが確認されているとして注意を呼び掛けています。ここでは関連する情報をまとめます。 何が起きたの？ ⚠️Alerte CERT-FR⚠️ CERTFR-2023-ALE-015 : Campagne d’exploitation d’une vulnérabilité affectant VMware ESXi (03 février 2023). https://t.co/KN6GDUdXcL— CERT-FR (@CERT_FR) 2023年2月3日 2月4日未明よりVMware ESXiを狙ったサイバー攻撃が発生しているとCERT-FRをはじめ複数のセキュリティ研究者などから報告があがっており、被害に遭ったとみられるホスト数が増加傾向にあることから攻撃が続い
Zoom、Cisco WebEX、TeamsをCASBでセキュリティで比較。結局Zoomは何が駄目?（大元隆志） - エキスパート - Yahoo!ニュース
未だに多くの人が関心を寄せるZoomのセキュリティ。Zoomのようなクラウドサービス導入を検討する際にリスクアセスメントを迅速に行うCASBというツールが有るので、CASBを用いて比較を行った。 ■多くの企業がクラウドのセキュリティ評価に課題を抱えている 新型コロナウィルスによる「緊急事態宣言」発令によって多くの企業が急速にテレワーク環境の整備に追われている。テレワーク実現にあたって直ぐに利用を開始できるクラウドサービスの利用を検討する企業が多い。こういったクラウドサービスの利用に伴い情報システム部門を悩ませているのが「クラウドサービスのセキュリティ評価」だ。クラウドサービスは各クラウドサービス事業者が構築したシステムをサービスとして利用することになるため、セキュリティのレベルは各社統一されておらず、自社のセキュリティ基準を満たしているかを判断することが求められる。 こういったクラウドサー
2020年12月13日、IT管理ソフトやリモート監視ツールの開発を行うSolarWindsは同社が開発するOrion Platformにバックドアが含まれていたことを公表しました。同社の製品は米国の多数の政府機関、企業で導入されていたため影響範囲が広く、またFireEyeが12月8日に発表した不正アクセス事案との関連があったことから米国を中心に大きな注目を浴びる事案となっています。ここでは関連する情報をまとめます。 １．何が起きたの？ FireEyeが受けた不正アクセスの手口が明らかになり、米政府機関など多数の組織にも影響が及ぶキャンペーンであったことが判明。 SolarWinds社Orion Platformの正規のアップデートを通じてバックドアが仕込まれた。資格情報窃取による侵害の手口が報告されている。 2020年3月からバックドアを使ったキャンペーンが開始され、アジアを含む世界中の組
2020年危険なソフトウェアの脆弱性トップ25が発表
United States Computer Emergency Readiness Team (US-CERT)は8月20日(米国時間)、「2020 CWE Top 25 Most Dangerous Software Weaknesses｜CISA」において、アメリカ合衆国国土安全保障省システムエンジニアリングおよび開発機関（HSSEDI: Homeland Security Systems Engineering and Development Institute）から、2020年Common Weakness Enumeration (CWE：共通脆弱性タイプ一覧)におけるソフトウェアに深刻な被害をもたらすおそれがある脆弱性トップ25が発表されたと伝えた。攻撃者はこうした脆弱性を悪用して影響を受けるシステムを制御したり、機密情報を窃取したり、サービス妨害攻撃(DoS: Denial
Ajax in Action
News April 08, 2024 08 Apr'24 Worlds toughest core Java interview question The trickiest Java interview question ever asked? In five words or less, explain the red 'x' the Eclipse IDE displays at the end of the provided Java code snippet. March 04, 2024 04 Mar'24 Best crash course to learn Jenkins from scratch Need to learn Jenkins CI fast? This Jenkins tutorial will quickly get you up to speed on
2020年 東京都知事選 ※ここは公式サイトではありません。 2020年6月21日設置 2021年5月19日追記： ドメイン失効が近づいてきたので、まだリンクが付いている政治家の方の投稿などをリストにしました。 2020tochijisen.tokyo にリンクしている政治家・政党・公的機関など Contact Osumi, Yusuke / CISSP,CISA mail: ozuma5119@gmail.com PGP: keybase.io Twitter: https://twitter.com/ozuma5119 ひとことで（読むのがダルい人用） 以下のいずれかがベターです。 管理組織のサブドメインで運用しましょう。(例：senkyo2020.metro.tokyo.lg.jp など) 現在のWebページのサブディレクトリで運用しましょう。(例：https://www.senky
日テレ、「放送終了直後」から。見逃し番組の無料視聴サービス開始（大元隆志） - エキスパート - Yahoo!ニュース
2014年1月11日から放送が開始された、日本テレビの「戦力外捜査官」。見た人は居るだろうか?見ていなかった人は、また来週･･･となるのが今までのテレビだった。 しかし、戦力外捜査官は違う。テレビ局自らが、番組放送直後から「見逃し番組の無料視聴サービス」を開始したからだ。下記サイトにアクセスすると先日放送された戦力外捜査官の第一話を次回放送日、1月18日20時59分まで閲覧することが可能だ。また、視聴コンテンツを簡単に「シェア」しやすい配慮がなされているのも特徴だ。 ・日テレいつでもどこでもキャンペーン 視聴環境はパソコン、スマートデバイスで視聴することができる。 ・パソコン OS Microsoft Windows Vista／7／8、Mac OS 10.7／10.8 プレイヤー：Flash Player 最新版 ・スマートデバイス OS Android 2.3 以降、iOS 5.x 以
ホンダを狙ったサイバー攻撃。ADのドメインコントローラーの脆弱性が利用された可能性も。（大元隆志） - エキスパート - Yahoo!ニュース
2020年6月上旬、ホンダがサイバー攻撃を受け、一部の業務を停止する事態となった。ホンダの攻撃に利用されたとされるSNAKEと呼ばれるランサムウェアを用いた攻撃が、Fresenius Group、Enel Groupにも利用されていることから、新たな攻撃トレンドとして関心が高まっている。 ■ホンダを狙った巧妙な手口 これまでに報道された内容から、今回ホンダに加えられたサイバー攻撃はSNAKE(EKANS)と呼ばれるランサムウェアであったとされている。今回ホンダで実行されたと推測されているSNAKEはパソコンに感染すると、以下の動作を実行する。 ・一般ユーザのパソコンで実行された時の動作 1) Snakeが起動 2) EKANSというミューテックスをシステムに登録 ※既に登録されてい場合は動作停止 3) MDS[.]HONDA[.]COMの名前解決を求めるDNSクエリーを実行 ※名前解決出来
オープンソースの安全性を高める「アルファ-オメガプロジェクト」、OpenSSFが開始。マイクロソフトとGoogleがプロジェクトリーダーに
オープンソースの安全性を高める「アルファ-オメガプロジェクト」、OpenSSFが開始。マイクロソフトとGoogleがプロジェクトリーダーに Linux Foundation傘下のOpen Security Software Foundation（OpenSSF）は、オープンソースソフトウェアのサプライチェーン問題を改善し安全性を高めるための大規模なプロジェクト「Alpha-Omega Project」（アルファ-オメガプロジェクト）の開始を発表しました。 マイクロソフトとGoogleはこのプロジェクトのために共同で500万ドル（1ドル115円換算で5億7500万円）を拠出し、専門家を派遣してプロジェクトをリードするなど、積極的な役割を果たしています。 In The News: OpenSSF Announces The Alpha-Omega Project to Improve Soft
Zoomを安全に利用する4つのポイント。Zoom爆弾や情報漏えいへ対処する。（大元隆志） - エキスパート - Yahoo!ニュース
セキュリティの不備が相次いで指摘されるZoomを安全に利用するには?（写真:ペイレスイメージズ/アフロイメージマート） 新型コロナウィルスの感染拡大を受けて、ビデオ会議を提供するクラウドサービス「Zoom」の利用者が急増している。一方で、利用者が急増した反動で「安全面」への指摘も急増している。この一週間だけに限定しても様々な問題点が指摘された。本記事では、相次いで指摘されたZoomのセキュリティ不備に対して、いかに対応すべきかを記載する。 ■相次ぐZoomの安全面への指摘 Zoomに関する主要なセキュリティ上の指摘は以下の四点が有る。 1) 暗号化に関する懸念 Zoom社は当初Zoomにおける通信は「エンドツーエンドの暗号化によって保護されている」と謳っていたが、セキュリティ業界からZoomの暗号化はエンドツーエンドの暗号化ではないのではないか?との指摘を受けた。「エンドツーエンドの暗号化
【セキュリティ ニュース】「Emotet」対策でパスワード付きzip添付ファイルのブロックを推奨 - 米政府（1ページ目 / 全3ページ）：Security NEXT
2月より一時活動の収束が見られたものの、7月より活動を再開したマルウェア「Emotet」。国内外で被害が拡大しており、米政府機関や米MS-ISACが注意を呼びかけている。 「Emotet」は、感染端末より受信メールなどの情報を窃取。返信に見せかけた偽メールによって受信者を信頼させ、添付ファイルを開かせることで感染を広げている。国内セキュリティ機関も繰り返し注意喚起を行ってきた。 こうした「Emotet」の活動は、国内にとどまるものではなく、海外でも7月から同様の被害が広がっており、米国をはじめ、カナダ、フランス、イタリア、オランダ、ニュージーランドなどで被害が確認されている。 米国土安全保障省のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）によれば、7月以降、米連邦政府、行政機関などを保護する同庁の侵入検知システムにおいて、「Emotet」に関する感染活動として約1万6
アメリカ最大の石油パイプライン運営企業・Colonial Pipelineや、世界最大の食肉業者・JBSなど、日常生活に深く関わる企業がランサムウェア攻撃の対象となる事件が多発しています。そんな中、アメリカ合衆国国土安全保障省のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)がランサムウェア対策ツール「Ransomware Readiness Assessment (RRA)」を2021年6月30日にリリースしたので、実際に使ってみました。 CISA’s CSET Tool Sets Sights on Ransomware Threat | CISA https://us-cert.cisa.gov/ncas/current-activity/2021/06/30/cisas-cset-tool-sets-sights-ransomware-threat Releas
ファシリテーター - Wikipedia
ファシリテーター（英語: facilitator）とは、グループや組織がより協力し、共通の目的を理解し、目的達成のための計画立案を支援する人のことである。ファシリテーターは活動の中で、参加者の様々な意見や考えを公平に扱い、特定の側に立つことはなく[1]、また、自身がイメージする意図や落とし所に参加者たちを誘導しないよう、2つの意味で中立の立場を保つ[2]。狭義には会議や議論の際に、司会を行い場を促進する人を指す。 ファシリテーターの手法には、グループが行動するための確かな基盤を持てるように、前から存在していた、あるいは、会議の中で現れた意見の相違について、合意に達するよう支援をしようとするものもある。 概要[編集] ファシリテーションは幅広い分野で応用されており、利用される分野によって若干とらえ方が異なるが、最も狭義には、「会議を効果的に行うための働きかけ」を意味する[3]。円滑に会議を運
Storm-0558による複数の問題を悪用したMicrosoft クラウドサービスへの不正アクセスについてまとめてみた - piyolog
2023年7月11日、Microsoftは中国を拠点に活動をしている脅威アクターより政府機関を含む複数の組織の電子メールアカウントなどに対し不正アクセスが行われていたと公表しました。ここでは関連する情報をまとめます。 利用組織から不審なログ報告受け発覚 Microsoftが今回明らかにしたのは同社のクラウドサービスであるExchange Online（OWA）およびOutlook.comへの不正アクセス事案。同社のサービスを利用する政府機関を含む約25の組織の電子メールデータおよびこれら組織関連とみられる少数の個人アカウントへ第三者がアクセスを行っていた。米国では10のアカウントが不正アクセスの被害に遭ったとされ、米国国務省、米国商務省の長官、駐中国大使、国務省次官補（東アジア担当）らが含まれており、9つのアカウントは東アジア、太平洋地域を担当する職員のものであり、約6万通のメールが流出し
“エンブレム佐野”は二極化する日本社会の象徴だ｜May_Romaコラム (1/2ページ) - デイリーニュースオンライン
エンブレム佐野の件がまだまだ燃えております。そろそろ鎮火するかと思いましたが、ネットの暇な人々が熱心に発掘作業をしているので、「女は黒タイツをはくべき」という手紙を女性に渡したとかいう変態をしのぐ、今年最大の炎上ネタに昇華する可能性があります。 今回の件で、ネット民を中心に大炎上している理由は、そもそもオリンピックのロゴが、大福の包み紙みたいでイモ臭いというのもありますが、デザインや広告業界という、最もリベラルで、時代の最先端を行っているはずの業界でも、「えこひいき」と「縁故主義」が当たり前で、お友達でグルグル仕事を回している、チンカスの様な縁故村社会だったことばがバレてしまったためでしょう。 お友達ならコピペだろうが、盗作だろうが、小学生の落書き並みのキャラだろうが、なんでもいいのです。 Oxford Dictionariesによる「えこひいき」と「縁故主義」の定義 「えこひいき」（Fa
日本公認会計士協会
「ONE-MINUTE MESSAGE TO FUTURE YOUNG PROFESSIONS!」を英文サイトに掲載しました
Apache HTTP Server の深刻な脆弱性CVE-2021-41773とCVE-2021-42013についてまとめてみた - piyolog
2021年10月4日（現地時間）、Apache HTTP Serverの深刻な脆弱性を修正したバージョンが公開されました。同ソフトウエアの開発を行うThe Apache Software Foundationは既に脆弱性を悪用する活動を確認していると報告しています。ここでは関連する情報をまとめます。 何が起きたの？ Webサーバーソフトウエア「Apache HTTP Server」の特定バージョン（2.4.49）において、深刻な脆弱性（CVE-2021-41773）を修正したバージョン（2.4.50）が公開された。また、修正前より悪用する動きがThe Apache Software Foundationによって確認されていた。 脆弱性の修正が行われた2日後、修正方法が不十分で継続して攻撃が可能であったこと、さらに再度脆弱性の影響が評価された結果深刻度が最高となり、修正版（2.4.51）がリ
全世界を揺るがした「Log4j」のようなオープンソースソフトウェアを無償でメンテし続けるという難題を解決すべくGoogleが立ちあがる
オープンソースソフトウェアはソースコードを無償で一般公開しているため、ソフトウェアを販売して売上を確保することが難しく、開発者が「どこから収益を確保するか」は非常に重要な問題となります。そんなオープンソースソフトウェアの開発や保守(メンテナンス)に携わるエンジニアをサポートするための取り組みを、Googleが発表しました。 Making Open Source software safer and more secure https://blog.google/technology/safety-security/making-open-source-software-safer-and-more-secure/ オープンソースソフトウェアは登場と共に拡大を続けており、オープンソースソフトウェアの開発者は10兆円以上の価値をもたらしているという指摘もあるほどテクノロジー業界に多大な貢献を果
無償のランサムウェア被害復旧ツールを当局がGitHubで公開、裁判所システムなど全世界で3800台以上のサーバーが被害を受けた大規模攻撃に終止符か
アメリカのサイバーセキュリティ・社会基盤安全保障庁(CISA)が2023年2月8日に、ランサムウェア「ESXiArgs」の被害を受けた仮想マシンの復元用ツール「ESXiArgs-Recover」をリリースしました。ESXiArgsは2月上旬から世界的に猛威を振るっており、フロリダ州の裁判所システムなどを含む3800台以上のサーバーが被害を受けたと報告されています。 ESXiArgs Ransomware Virtual Machine Recovery Guidance | CISA https://www.cisa.gov/uscert/ncas/alerts/aa23-039a CISA releases recovery script for ESXiArgs ransomware victims https://www.bleepingcomputer.com/news/secur
攻撃発生中のExchange Serverの脆弱性 ProxyLogonなどについてまとめてみた - piyolog
2021年3月2日、MicrosoftはExchange Serverの定例外のセキュリティ更新プログラムを公開し、今回修正された複数の脆弱性は既に悪用する動きが確認されているとして、早急な対応を呼び掛けています。また米CISAが脆弱性に対して緊急指令を発令し、侵害の兆候を優先した対応を推奨しています。ここでは関連する情報をまとめます。 1. どんな脆弱性なのか教えて Microsoft Exchange ServerでProxyLogonと呼称された深刻な脆弱性を含む7件が確認された。影響はサポート対象製品全て。悪用された場合、サーバー上で任意のコード実行が行われる恐れがある。 修正以前から4件の脆弱性の悪用が確認されている。攻撃を受けていた場合、メールのデータ窃取の被害が報告されている。複数の攻撃者による悪用が報告されている。 早急な脆弱性修正が強く推奨されている他、サーバーが第三者か
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Log4jの深刻な脆弱性CVE-2021-44228についてまとめてみた - piyolog
XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
セキュリティ資格一覧｜セキュリティ資格の解説とその取得メリット・選択ポイント（上）
無料で読めるセキュリティ定期発行物のまとめ - 午前７時のしなもんぶろぐ
自分の行っているセキュリティ関連の情報収集 - ドキュメントを見たほうが早い
セキュリティエンジニアを目指す人に知っておいてほしい組織 - FFRIエンジニアブログ
freee、メールによるパスワード付きファイルの受信を廃止 | プレスリリース | フリー株式会社
（緊急）米国国土安全保障省によるDNS設定の改ざんに関する緊急指令の公開について
「このままだと攻撃者の思う壺」イオンカードで不正利用の注意喚起のはずが…大間違いだった
Firefoxに危険度最高の脆弱性、既に攻撃を確認 Mozillaはアップデート呼び掛け
『脅威インテリジェンスの教科書』を公開しました！ - セキュリティコンサルタントの日誌から
スマートビエラはなぜ、CMを拒否されたのか?（大元隆志） - エキスパート - Yahoo!ニュース
多数の組織がランサムウエアに感染したサプライチェーン攻撃についてまとめてみた - piyolog
SolarWindsのサプライチェーン攻撃についてまとめてみた - piyolog
主に東京都選挙管理委員会の方へ：政府・地方公共団体はドメインをどう取るべきか
「全ての組織が実行するべき」とされる政府公式ランサムウェア対策ツールを使ってみた