「ツールを使わなければならない」は誤解、SBOM導入で取り組むべき2つのこと
近年、様々な業界でSBOM（Software Bill of Materials、エスボム）を活用したリスク管理を義務付ける動きが広がっており、企業は対応を迫られている。順調にSBOM導入を進めている企業もある一方、足踏みしている企業には、どのような課題があるのだろうか。本稿では、企業におけるSBOM導入の課題とその解消法について考察する。さらに、これからSBOMを導入する企業に向けて、「しておかなければいけないこと」と「やらなくていいこと」を具体的に説明する。 SBOMを導入していない企業であっても、製品のセキュリティー脆弱性への対処やライセンス管理はしていたはずだ。SBOMの出現により、その手法が明確に定義され、ツールによる管理や運用が可能になったに過ぎない。にもかかわらず、多くの企業でSBOM導入が進んでいないのはなぜだろうか。 まず考えられる理由は「SBOMというもの」を新たに行お
生成AIのリスクに「生成AIで」どう対応する？ NECの取り組みから探る（ITmedia エンタープライズ） - Yahoo!ニュース
生成AIがもたらすリスクに生成AIで対応する――。そんな技術の研究開発を進めているNECが、その取り組みについて2024年9月18日、研究開発拠点がある神奈川県川崎市中原区のNEC玉川事業場で記者説明会を開いた。今回はその内容を取り上げ、生成AIがもたらすリスクに生成AIでどこまで対応できるのかについて考察したい。 【画像】NECのセキュリティ分野における研究開発【画像全5枚】 生成AIがもたらす「新たなセキュリティリスク」 「当社が価値創造を支える事業ブランドとして推進している『BluStellar』（ブルーステラ）では、生成AIとセキュリティをキーテクノロジーとして挙げ、両分野の研究開発に注力している。今回の説明会では、特にこの両分野を掛け合わせた『生成AI×セキュリティ』における研究開発の取り組みを紹介したい」 NEC セキュアシステムプラットフォーム研究所 所長の藤田範人氏は、説明
経産省の本気が見える「SBOM導入の手引きver2.0」、ソフト調達・取引の指針に
米国大統領令や日米豪印4カ国の枠組み「Quad（クアッド）」による共同原則、欧州サイバーレジリエンス法など、世界各国でSBOM（Software Bill of Materials、エスボム）対応の制度化が進む。日本もSBOMを国際標準戦略の一環と位置付け、普及を促進している。経済産業省は、2024年8月29日、「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」を更新し、ver2.0を公開した。産業界におけるSBOMのさらなる活用をめざした具体的な手法などを追加している。 SBOMとは、ソフトウエアの構成要素とそれらの関係性を把握する、ソフトウエア管理の手法のこと。経産省の手引きは、付録を含めると約160ページに上る。特にver2.0で加わった内容は専門的であり、SBOM初心者には難しく感じられるかもしれない。 しかし、ここまで具
生成AIサービス悪用が現実的な脅威に、プロンプトインジェクションで情報漏洩・侵入
生成AI（人工知能）を組み込んだシステムへの「プロンプトインジェクション」の脅威が迫っている。プロンプトインジェクションは、英語のinjection（注入・注射）になぞらえた大規模言語モデル（LLM）への攻撃手法だ。悪意あるプロンプトを「注入」、すなわち入力することにより、機密情報を盗んだり連係するシステムへ侵入したりする。 生成AIを社内システムや社外向けのサービスに組み込む企業が増加している。2023年の生成AIブーム初期から、API（アプリケーション・プログラミング・インターフェース）経由でLLMを使い、システムに対話機能を実装する企業が多く見られた。 現在では、こうした対話機能において企業固有の内容を回答できるようにするため、企業のデータベース（DB）の情報をLLMが参照できるようにするRAG（Retrieval Augmented Generation、検索拡張生成）を実装する事
広がるLLM活用、NISTのフレームワークがセキュリティーリスク管理の一助に
日々驚異的なスピードで進化し、企業での利用が進んでいる大規模言語モデル（LLM）。生成AI（人工知能）利用の勢いは止まらないとの調査もある。米Gartner（ガートナー）が2023年10月に発表した「生成AIのハイプ・サイクル：2023年」では、「2026年までに80%以上の企業が生成AIのAPI（アプリケーション・プログラミング・インターフェース）やモデルを使用して、生成AIに対応したアプリケーションを本稼働する」としている。 LLMの使い方を模索する企業が増えるのに伴い、LLMのセキュリティーリスクに関する研究も世界中で進んできた。その結果、LLMを組み込んだアプリやシステムには様々なリスクが内在することが判明している。どんなリスクがあり、どう対策すべきか見ていこう。 OWASPはLLMの10大リスクを説明 まずLLMのリスクには具体的などんなものがあるのか。リスクを体系的に整理したも
C／C++の脆弱性をLLMで検出 Googleが新研究開発プロジェクト「Naptime」を発表
Googleは2024年6月20日（現地時間）、脆弱（ぜいじゃく）性の検出に大規模言語モデル（LLM）を活用する新しい研究開発プロジェクト「Naptime（お昼寝タイム）」を発表した。 C／C++の脆弱性検出はLLMに任せて“お昼寝しよう” NaptimeはAIエージェントとターゲットコードベース間のインタラクションを中心に構築されたアーキテクチャだ。特にC／C++の高度なメモリ破壊およびバッファーオーバーフローの脆弱性を発見することに焦点を当てている。この2つの対象は従来の方法論では発見することが難しく、GoogleはLLMを利用することで検出効率を最大20倍まで改善できると説明している。 なお、プロジェクト名の由来は開発した成果物がセキュリティ担当者やIT担当者を支援し、定期的に昼寝ができるくらいにはなりたいという願掛けになっているという。 Naptimeのアーキテクチャはセキュリティ
MFAにパスキーを利用したAWSマネジメントコンソールのIAMユーザログインを試してみた | DevelopersIO
2024年6月、AWS マネジメントコンソール、IAMユーザでログインする際の多要素認証(MFA)にパスキーが利用可能となるアップデートがありました。 今回、MacOS Sonoma 14、Google Chrome (バージョン: 125)の環境で、iCloudキーチェーンと Chrome プロフィールのパスキーを試す機会がありましたので、紹介します。 パスキーの設定 IAMユーザの設定、「セキュリティ認証情報」の画面でMFAデバイスの割り当てを選択します。 パスキーの識別に利用するデバイス名を指定、MFAデバイスとして、「パスキーまたはセキュリティキー」を選択します。 作成するパスキーの種類を選択します。 「iCloudキーチェーン」と「Chromeプロフィール」それぞれ1つのパスキーを作成しました。 「iCloudキーチェーン」に保存するパスキーは、 複数デバイスで利用できる旨の案内
経産省の工場セキュリティガイドラインはなぜ別冊が必要だったのか
経済産業省は「工場システムにおける サイバー・フィジカル・セキュリティ対策ガイドライン」（以下、工場セキュリティガイドライン）を2022年11月に発表したのに続き、同ガイドラインの【別冊：スマート化を進める上でのポイント】（以下、別冊）を2024年4月に公開した。これらを策定した狙いはどこにあるのか、経済産業省 商務情報政策局 サイバーセキュリティ課 課長補佐の加藤優一氏に話を聞いた。 工場の他、宇宙や自動車、スマートホーム、ビルなどにガイドラインが MONOist サイバーセキュリティに対する経済産業省の政策の全体像を教えてください。 加藤氏 経済産業省では、産業界を代表する経営者や有識者らで構成される産業サイバーセキュリティ研究会での議論も踏まえ、サプライチェーン全体での対策強化、国際連携を意識した認証、評価制度の立ち上げ、政府全体でのサイバーセキュリティ対応体制の強化、新たな攻撃を防
脆弱性管理の｢トリアージ｣が抱える指標の課題
とはいえ、必ずしも依頼先が高度なセキュリティのノウハウを持っているとは限りません。パートナーの経験値を見極める必要もあるかもしれません。 海外のセキュリティ専門会社には、独自の知見で対処すべき脅威を分析し、情報を提供するサービスもあります。費用はかかりますが、こうした外部サービスをうまく利用するのも手です。またASMのサービスも、脆弱性の確認や把握をカバーします。経済産業省からもASMの導入ガイダンスが出ているので、脆弱性管理の選択肢の1つになるでしょう。 ――脆弱性情報や社内の状況をつねにキャッチアップすることも大切ですね。 トリアージをしても、優先順位を誤って攻撃を受けてしまっては意味がありません。悪用されない脆弱性をいくら対策しても仕方ないので、組織の状況に合わせた指標や方法でトリアージをする必要があります。また状況の変化も速いので、一度トリアージして終わりにせず、最新のサイバーセキ
脅威モデリングの極意 知っておくべき3つのフレームワークとその使いどころ
度重なるサイバー侵害のニュースが続くにもかかわらず、企業は自らのシステムに影響を与える可能性のある脅威の理解に依然として苦労している。 脅威と弱点が存在する可能性のある場所をより理解するために、セキュリティリーダーは脅威モデリングに注目すべきだ。これは、システム内において情報が露出しやすいポイントや、侵害に対する緩和策を特定するために使用されるリスク評価の一形態である。 脅威モデリングはシステムの設計をレビューし、脅威と緩和策をリストアップし、制御について検証し、システムの攻撃対象領域をマッピングするためのアーキテクチャレベルのプロセスである。これはアプリケーションやネットワーク、デバイス、コンテナ、ソフトウェア、ハードウェアなどのあらゆるシステムや要素に適用できる。 3つの脅威モデリングとその使いどころ、心構えを学び、組織を保護せよ ここでは、考慮すべき3つの脅威モデリングとその使用方法
GoogleがチャットAIのGeminiでマルウェアを分析し脅威レポートを要約するサイバーセキュリティツール「Google Threat Intelligence」を発表
2024年5月7日、Googleがサイバーセキュリティツールの「Google Threat Intelligence」を発表しました。Google Threat Intelligenceは、Googleが提供するサイバーセキュリティツールの「Mandiant」と「VirusTotal」をGoogleのネットワークおよびチャットAIの「Gemini」と統合したもので、使用することでより実用的な対策ができるようになるとのことです。 Introducing Google Threat Intelligence: Actionable threat intelligence at Google scale | Google Cloud Blog https://cloud.google.com/blog/products/identity-security/introducing-google-t
AIシステム開発で起こりがちな重大トラブルとそれを対策する方法とは？
AI技術が急速に発展し、さまざまな企業や団体がAI開発に取り組んでいます。テクノロジーメディアのReHackで主にAIとサイバーセキュリティの特集記事を担当するザック・エイモス氏によると、AIシステム開発中には組織全体まで影響が広がる重大な脅威が発生しうるとのことで、エイモス氏はその脅威と対策について解説しています。 How to secure AI system development | VentureBeat https://venturebeat.com/ai/how-to-secure-ai-system-development/ AIシステム開発において、サイバーセキュリティの側面から専門家が考慮すべき問題として、エイモス氏は「データセット・ポイズニング」と「プロンプト・インジェクション」の2点を挙げています。 データセット・ポイズニングとは、AIのトレーニング中、データセット
NIST、サイバーセキュリティフレームワーク（CSF）のバージョン2.0を発表
米国国立標準技術研究所（NIST）は2024年2月26日（米国時間）、サイバーセキュリティフレームワーク（CSF）の最新版となるバージョン2.0（以下、CSF 2.0）を発表した。 CSFは、サイバーセキュリティのリスクを軽減するためのガイダンス文書であり、国際的に広く使用されている。2014年に発表されたバージョン1.0（以下、CSF 1.0）、2018年に発表されたバージョン1.1（以下、CSF 1.1）は、日本語を含む13の言語に翻訳されている。 CSFは、米国の国家サイバーセキュリティ戦略（National Cybersecurity Strategy）を支援するものであり、CSF 1.0／1.1は、病院や発電所のような「重要インフラ」を担う組織向けに策定された。CSF 2.0は、あらゆる業種、規模の組織がサイバーセキュリティリスクを管理、軽減できるよう支援することを明確な目標とし
NIST サイバーセキュリティフレームワーク 2.0を解説｜約10年ぶりの大幅改訂、押さえるべき要点とは？
2024年2月26日、NIST（米国立標準技術研究所）は、「NIST サイバーセキュリティフレームワーク（NIST Cybersecurity Framework：NIST CSF）」のバージョン2.0を正式に公開した。2014年4月に初版であるNIST CSF 1.0が公表されて以来、約10年ぶりの大幅改訂である。 本記事では、NIST CSF 2.0における主な改訂のポイントと、特にインパクトの大きい6つ目の新機能「GV（統治）」について解説する。 はじめに 2020年代に入り、新たな生活様式の変化に起因する脅威の発生、世界各国での深刻かつ大規模なサイバー攻撃の急増、生成AIなど新技術の普及に伴うリスク増加など、セキュリティ脅威が多様化・複雑化している。そのような状況に合わせて、各国でサイバーセキュリティに関する法規制・号令の発出、ガイドラインなどが整備されてきた。 直近10年間の脅威
ソフトウェアを外部の攻撃から守るために SBOMを使った脆弱性管理の方法1章～3章までを解説
近年、ソフトウェアの脆弱性やマルウェアの台頭で、ソフトウェアのバージョン管理や脆弱性管理などの重要度が日に日に増しています。SBOMはソフトウェアの部品構成表ですが、構成情報の透明性を高めることでライセンス管理や脆弱性対応への活用が期待されます。 ここでは、経済産業省サイバーセキュリティ課の飯塚智氏が、三菱総研と日立ソリューションズとともに作った『ソフトウェア管理に向けたSBOMの導入に関する手引』の概要について、1章〜3章の「背景と目的」「SBOMの概要」「SBOM導入に関する基本指針・全体像」を中心に解説します。 SBOM導入手引きの前半の1章から3章までを解説 渡邊歩氏（以下、渡邊）：飯塚さん、ご講演をお願いいたします。 飯塚智氏（以下、飯塚）：みなさま、お忙しいところご参加いただきましてありがとうございます。あらためまして、私、経済産業省サイバーセキュリティ課の飯塚と申します。 本
知らないと損する「RASP」とは？ 「Webアプリの脆弱性対策＝WAF」はもう古い
関連キーワード アプリケーション | アプリケーション開発 | セキュリティ 「DevOps」（開発と運用の融合）にセキュリティを取り入れた「DevSecOps」をWebアプリケーション開発で実現するには、どうすればよいのでしょうか。そのためには、Webアプリケーションの開発段階から本番運用までの全ての過程でセキュリティ対策を実施することが必要です。 Webアプリケーションの開発およびテストの段階では、脆弱（ぜいじゃく）性検出を効率化する「IAST」（インタラクティブアプリケーションセキュリティテスト）や「SCA」（ソフトウェア構成分析）といったツールが活用できます。Webアプリケーションの本番運用段階では、どのようなツールがDevSecOpsの実現に役立つのでしょうか。本稿は、その代表例である「RASP」（ランタイムアプリケーションセルフプロテクション）について解説します。 Webアプリ
NEC、実行ファイルを静的解析するセキュリティ新技術を開発（ZDNET Japan） - Yahoo!ニュース
NECは2月7日、ソフトウェアのソースコードではなく実行ファイルのバイナリコードを静的解析するサイバーセキュリティ向けの新技術を発表した。脆弱（ぜいじゃく）性検査を40％効率化するという。 新技術は、ソフトウェアの実行形式となるバイナリコードを対象に静的解析を行う。特に、外部入力データのソフトウェア内部での処理を追跡し、コマンド実行処理など、機微な処理の制御に用いられている場合に「バックドアの疑いのある不審な実装」として検出する。 ソフトウェアの脆弱性検査は、ソースコードの静的解析を行うケースが多い。しかし、ソースコードが無い、入手できないといったソフトウェアの検査は専門家に依頼しなければ検査できなかった。新技術を利用すれば、ソースコードが無いソフトウェアでも静的解析を行える。例えば、ソフトウェアを利用する企業や組織などでは、導入前にソフトウェアの脆弱性リスクを把握できるようになり、サプラ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NICT、セキュリティ情報融合基盤「CURE」のカスタム通知機能「Watcher」を開発、自組織に向けられた攻撃を早期検知 
バイナリファイルからSBOMを作成し脆弱性情報と照合「SBOMスキャナ」発売 | ScanNetSecurity
欧州サイバーレジリエンス法（CRA）の既存標準規格へのマッピングが公開される【海の向こうの“セキュリティ”】
