IoT機器向けのセキュリティベンチマークが登場
2つの重要なIoT機能（Bluetoothとセキュリティ）の消費電力について、Embedded Microprocessor Benchmark Consortium（EEMBC）から新たなベンチマークが発表された。 2つの重要なIoT機能（Bluetoothとセキュリティ）の消費電力について、新たなベンチマークが発表された。発表したのは、組み込み向けベンチマークテストの作成を手掛ける業界団体EEMBC（Embedded Microprocessor Benchmark Consortium）だ。EEMBCは、メンバー向けに、IoTセキュリティのベンチマーク「SecureMark」の詳細を作成しているさなかである。Bluetoothのベンチマークについては約1カ月後のリリースを予定している。 SecureMarkは、TLS（Transport Layer Security）1.2ハンドシェ
1枚の写真から顔認識システムでSNSのアカウントを探し当てて追跡するツールが開発される
by moggs oceanlane セキュリティ企業のTrustwaveが、ソーシャルメディアネットワークのアカウントを追跡する「Social Mapper」を開発したと発表しています。Social Mapperは入力した顔写真から顔認識機能を使ってオンライン上にアップされている写真を検索してアカウントを特定するというオープンソースのツールとなっています。 Mapping Social Media with Facial Recognition: A New Tool for Penetration Testers and Red Teamers https://www.trustwave.com/Resources/SpiderLabs-Blog/Mapping-Social-Media-with-Facial-Recognition--A-New-Tool-for-Penetrati
脆弱性管理プラットフォーム “NIRVANA改弐” を開発 | NICT-情報通信研究機構
国産脆弱性スキャナ「Vuls」と連動する脆弱性管理プラットフォーム「NIRVANA改弐」を開発 企業などの組織内で運用中のサーバ機器に対する脆弱性スキャンの結果をリアルタイムに可視化 脆弱性対応状況の全体俯瞰や能動的な脆弱性検知を可能にし、組織のセキュリティを向上 NICTサイバーセキュリティ研究室は、国産オープンソースソフトウェア（OSS）の脆弱性スキャナ「Vuls」（バルス）と連動する、脆弱性管理プラットフォーム「NIRVANA改弐」（ニルヴァーナ・カイ・ニ）を開発しました。 NIRVANA改弐は、Vulsによる組織内のサーバ機器に対する脆弱性スキャンの結果をリアルタイムに可視化することで、脆弱性対応状況の全体俯瞰や脆弱性の詳細情報へのアクセスを容易にします。また、影響範囲の広い脆弱性が公表された場合には、組織内の緊急フルスキャンを行うことで、脆弱性を保有するサーバ機器を能動的に検知で
グーグル、セキュリティキー「Titan Security Key」を発売へ
Googleが、8万5000人以上いる従業員の中に2017年初め以来アカウントをハッキングされた者は誰もいないと明かしたが、それはすべて、同社がテストしていた初期バージョンのセキュリティキーのおかげだった。 そして今回、そのセキュリティキー「Titan Security Key」の最新バージョンを世界中の人が利用できるようになる。 セキュリティキーは、多要素認証（複数の方法によってログインの権限を持つユーザーであることを証明すること）を通じてセキュリティを強化してくれる。パスワードはオンラインで盗めるかもしれないが、ユーザーが持っている物理的なセキュリティキーを盗むのはもっと困難なことが多い。 Googleは以前からセキュリティキーを支持し、「Advanced Protection Program」の要件に加え、「最もフィッシングされにくい最強の認証要素」と宣伝していた。 同社のアイデンテ
「顔認識防止グラス」「指紋復元妨害シール」――機械を“だます”技術 国立情報学研究所開発
「かけるだけで顔認識できなくなるサングラス」「指に転写するだけで指紋を盗めなくなるシール」――このように機械を“だます”技術を、国立情報学研究所（NII）が開発している。 これらは、情報セキュリティや匿名化技術などを研究しているNIIの越前研究室が開発。NIIが研究成果を一般向けに公開するイベント「国立情報学研究所 オープンハウス 2018」（6月22～23日）で披露した。 顔認識防止グラス「プライバシーバイザー」 スマートフォンの普及でカメラがより身近になったことで、他人の写真に意図せず映り込んでしまい、ネット上に掲載された結果、顔認識によって自動で個人が特定されてしまう――。そんなプライバシーの侵害が社会問題になっているとして、越前研究室は「顔認識を“撮影される側”で防止する新技術」を世界で初めて開発したという。 「プライバシーバイザー」と名付けられた顔認識防止グラスは、既に第2弾まで
コンピュータソフトウェア協会、「PSIRT Services Framework 1.0 Draft」の日本語版を公開
コンピュータソフトウェア協会、「PSIRT Services Framework 1.0 Draft」の日本語版を公開：CSIRTとは異なる「PSIRT」 コンピュータソフトウェア協会は、ソフトウェア製品やサービスの脆弱（ぜいじゃく）性管理のノウハウである「PSIRT Services Framework 1.0 Draft」の日本語翻訳文書を公開した。企業などが自社の製品やサービスに関する脆弱性やインシデントへの対応、品質の管理や向上を目的とした組織を設置する際に参考になるノウハウを提供する。 コンピュータソフトウェア協会（CSAJ）は2018年7月19日、ソフトウェア製品やサービスの脆弱性（ぜいじゃく）管理のノウハウである「PSIRT Services Framework Version 1.0 Draft 日本語抄訳」を公開した。Software ISACに参画するサイボウズ、トレン
ネットから隔離されたPCのデータを「電線」から盗み出す方法が登場
by Ash Edmonds コンピューターからデータを盗まれないようにするためのセキュリティ手法の1つとして、コンピューターそのものをインターネットやローカルネットワークに接続せず隔離するエアギャップ(物理的遮断)があります。エアギャップされたコンピューターはネットワークにつながっていないので安全なように思えますが、なんと「電線を伝わる電流の変動からエアギャップされたコンピューターのデータを盗むことが可能」と主張する研究論文が発表されています。 Hacker Can Steal Data from Air-Gapped Computers through Power Lines https://thehackernews.com/2018/04/hacking-airgap-computers.html (PDFファイル)PowerHammer:Exfiltrating Data fro
Wi-Fiセキュリティの新規格「WPA3」が登場、WPA2の脆弱性にも対応しハッキングが困難に
Wi-Fiに関する規格を策定するWi-Fi Allianceが、アメリカ時間の2018年6月25日にWi-Fiセキュリティの新規格「WPA3」を発表しました。2018年現在、幅広く使用されているWPA2では、パスワードなしでWi-Fiトラフィックを傍受できる「KRACK」と呼ばれる脆弱性などの問題を抱えていましたが、WPA3では大幅にセキュリティが向上し、これらの問題が全て解決できるとのことです。 Wi-Fi Alliance® introduces Wi-Fi CERTIFIED WPA3™ security | Wi-Fi Alliance https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-introduces-wi-fi-certified-wpa3-security WPA3 Standard Officially
ssl-cert-check - SSL/TLS証明書の期限切れをチェック MOONGIFT
SSL/TLSの更新をついつい忘れてしまったりしないでしょうか（筆者はよくあります）。ドメインの更新を忘れると大変なことになりますが、SSL/TLSは後からでも対応できるので対応がおざなりになりがちです。 そこで使ってみたいのがssl-cert-checkです。証明書の期限をチェックして、切れそうであればメールで通知してくれます。 ssl-cert-checkの使い方 ssl-cert-checkは証明書の入ったディレクトリを指定して実行します。 $ sudo ./ssl-cert-check -d /path/to/cers/live/ Host Status Expires Days ----------------------------------------------- ------------ ------------ ---- FILE:/path/to/cers/live
ランサムウェア「Thanatos」に暗号化されたファイルを無料で復旧する「ThanatosDecryptor」
ランサムウェアはコンピューター内に保存されているファイルを読み取れない状態に暗号化して、仮想通貨などによる身代金の支払と引き換えに攻撃者がファイルの復旧を行う身代金要求型のマルウェアとして知られています。ランサムウェアの「Thanatos」は暗号化プロセスに問題があり、ファイルを復旧できない問題がありました。シスコのセキュリティ部門であるTalosはThanatosの暗号化プロセスを解明したとのことで、Thanatosで暗号化されたファイルを復旧するツール「ThanatosDecryptor」をGitHubに公開しています。 Cisco's Talos Intelligence Group Blog: Files Cannot Be Decrypted? Challenge Accepted. Talos Releases ThanatosDecryptor https://blog.ta
CSPVR - Content Security Policyのチェックツール
Content Security Policyは外部コンテンツの不用意な読み込みを防止することで、XSSなどを防いでくれる仕組みです。何も設定しなくともWebブラウザは動作しますが、サイトをセキュアにするためには設定した方が良いでしょう。 そんなContent Security Policyをチェック、レポートしてくれるのがCSPVRです。 CSPVRの使い方 ログインしました。 過去に行われたレポートが閲覧できます。 レポートです。読み込まれないコンテンツや不備について指摘してくれます。 リクエスト情報も確認できます。 CSPVRは敢えて設定しなくとも通常であればWebページの表示に問題はありません。しかし外部のJavaScriptファイルなどを読み込んでいる場合には、それ以外のコンテンツを読み込まないように設定が必要でしょう。また、問題が起こってからでは遅いので、あらかじめ設定しておく
KDDI総合研究所や横浜国立大学ら、Web媒介型サイバー攻撃対策の実証実験として「タチコマSA」を無償配布
KDDI総合研究所や横浜国立大学ら、Web媒介型サイバー攻撃対策の実証実験として「タチコマSA」を無償配布：「攻殻機動隊 REALIZE PROJECT」と連携 KDDI総合研究所などは、一般ユーザーを対象にWeb媒介型攻撃対策ソフト「タチコマSA」を無償配布して、ユーザー参加型の実証実験を始める。機械学習を駆使して、攻撃を検知する手法も検討する。 KDDI総合研究所、セキュアブレイン、横浜国立大学、神戸大学、構造計画研究所、金沢大学、岡山大学、情報通信研究機構（NICT）は2018年6月1日、NICTの委託研究「Web媒介型攻撃対策技術の実用化に向けた研究開発」（略称「WarpDrive：Web-based Attack Response with Practical and Deployable Research InitiatiVE」）で、ユーザー参加型の実証実験を開始すると発表した
Chromeのセキュリティ強化する、おすすめ拡張機能4つ | ライフハッカー・ジャパン
Google Chromeには、危険なWebサイトを警告したり、フィッシング詐欺を取り除いたりしてくれるセキュリティが付いていますが、さらに安全にブラウジングするための対策をするに越したことはありません。 Microsoftが、Chromeブラウザを使用する「Windows」ユーザー向けの拡張機能「Windows Defender」をリリースしました。基本的には、Chromeと同じようにリアルタイムで保護をするものですが、Chromeはフィッシング詐欺の87％しかブロックしない一方で、この拡張機能は99％をブロックするとMicrosoftは主張しています。これは聞き捨てなりません。しかし、この言葉が少々疑わしいのは、「Windows Defender」がWindows自体の素晴らしいセキュリティツールではないからです。 ありがたいことに、ブラウザを安全に保ち、フィッシング詐欺や悪質なWeb
日本企業にも影響必須か NIST「SP800-171」ルールのチェックポイント
日本企業にも影響必須か NIST「SP800-171」ルールのチェックポイント：イベントレポートアーカイブ（1/2 ページ） EMCジャパン RSA事業本部は4月12日、サイバーレジリエンシーをテーマにしたラウンドテーブルを開催。NIST（米国国立標準技術研究所）が策定した「SP800-171」におけるインシデントレスポンス対応を中心に、最近のサイバーセキュリティ戦略やガイドラインの動向、実施する上でのポイントを解説した。本稿ではその内容をレポートする。 「サイバーレジリエンシー」とは何か サイバーレジリエンシーとは、企業がサイバー攻撃などによってビジネスを停止せざるを得ない事態に陥ったときに迅速に回復し事業継続する力やその取り組みのことを指す。 これまでの事業継続の取り組みとしてはBCP（事業継続計画：Business continuity planning）やDR（災害復旧：Disas
Windows 10の「Device Guard」、信頼できるコードだけ実行してウイルス感染を防ぐ
出典：日経NETWORK 2017年6月号 pp.50-51 （記事は執筆時の情報に基づいており、現在では異なる場合があります） 相次ぐウイルス被害。新種が次々と作られる現状では、シグネチャ（ブラックリスト）ベースのウイルス対策製品で100％検知することは難しい。そこで、信頼できるコードだけを実行することでウイルス感染を防ぐのが、Windows 10の「Device Guard」だ。 Device Guardでは、信頼された開発者の署名が付与されたコードや、「コードの整合性▼ポリシー」と呼ばれるホワイトリストで許可されたコードだけが実行される。コードの整合性ポリシーは、管理者が事前に配布しておく。 署名などによる検証機能は従来のWindowsでも実装されていた。だが、コードのチェックはWindows上で行われ、なおかつチェックに利用するデータもWindows上にあるため、ウイルスなどにより
IoT機器をサイバー攻撃から守る軽量改ざん検知技術、4キロバイトで実装可能
NECは、工作機械などのIoT機器をサイバー攻撃から守る、軽量の改ざん検知技術を開発した。改ざん検知を4キロバイトの実行コードで実装できるアーキテクチャと、検査領域を絞った検知技術で、機器の動作を遅延させることなく瞬時に改ざん検知する。 NECは2018年4月2日、IoT（モノのインターネット）機器をサイバー攻撃から守る4キロバイトの軽量改ざん検知技術を開発したと発表した。 新たに開発したのは、4キロバイトの実行コードで改ざん検知を軽量実装できるアーキテクチャだ。メモリ上に保護領域を構築する「TrustZone」の機能を、IoT機器向けプロセッサ「ARM Cortex-M」に実装。この保護領域により、改ざん検知機能を保護するための実行コードを追加しなくても、改ざん検知機能自体への攻撃や無効化を防ぐことができる。改ざんの監視には、実行コードのみとするシンプルな方式を採用しているため、1メガバ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://jp.techcrunch.com/2018/07/20/2018-07-19-puresec-exits-stealth-to-secure-serverless-code/
カスペルスキー、ゲーム形式のサイバー攻撃対策演習に「石油ガス版」を追加
新セキュリティ規格「WPA3」は、わたしたちの通信をいかに守ってくれるのか？
TechCrunch | Startup and Technology News