サイバー攻撃が発生！ 「いつ、誰が、何を、どのように対応すべきか」を事前に整理せよ 「プレイブック」のすすめ：ニューノーマル時代のセキュリティ（1/2 ページ） 「東京オリンピック・パラリンピック競技大会に向けて、企業のサイバーセキュリティ対策は何を実施すべきか」を調査するために、筆者は過去大会の開催国に何度か足を運び、複数の企業にインタビューを行った。 結果として、セキュリティ機能の採用状況は、日本企業と大きな違いは認められなかったが、セキュリティ対策での「回復力」の位置付けについて、日本企業とのギャップを強く感じた。 例えば、インタビュー先企業が未導入であるセキュリティ機能を挙げて「採用を検討しなかったか？」と尋ねると、「検討していない」と回答があり、その理由に「全てのサイバー攻撃を防御することは不可能なのだから、これ以上の投資は現時点で不要だ。有事の対処方法が十分に確立できていれば、
wp-file-managerの脆弱性を突いた任意のコードの実行の概要簡単に Web サイトを構築できる CMS として非常に有名な WordPress ですが、その脆弱性の多さでも有名です。 今回はその一例である 2020年9月1日に公表された「wp-file-manager」というWordPress のプラグインの脆弱性 (CVE 2020-25213) を使って、任意の Linux コマンド実行する webshell 攻撃を実演します。 この脆弱性は PoC (Proof of Concept: 攻撃のサンプルコード) が github 等に公開されており、簡単に攻撃が可能です。 本脆弱性の概要としては、認証無しに任意のファイルを配置できてしまうものですが、その結果、webshell として機能する PHP ファイルを作成することで、Linux 上で色々な操作が出来てしまいます。 以
FaaS（ファンクション・アズ・ア・サービス）に代表されるサーバーレス環境の利用が増えている。サーバーレスとはサーバーの管理が不要なサービスのことで、サーバーはクラウドサービス事業者が管理する。利用者はサーバーの管理から解放され、システムなどの開発に集中できる。 一方で、サーバーレス環境ではオンプレミス環境やIaaS（インフラストラクチャー・アズ・ア・サービス）とは異なるセキュリティー対策が必要になる。利用者がサーバーを管理するオンプレミスやIaaSでは、セキュリティー対策ソフトをサーバーにインストールしてサイバー攻撃を防ぐ。しかしサーバーレス環境では利用者がサーバーにソフトウエアをインストールできない。PaaS（プラットフォーム・アズ・ア・サービス）やCaaS（コンテナ・アズ・ア・サービス）でも同様だ。 FaaSやPaaS、CaaSといった環境で利用できるセキュリティー製品として、RAS
Microsoftは2021年2月11日（現地時間）、サイバー攻撃でWebシェルが使われるケースが増えていると公式ブログで報告した。『Microsoft 365 Defender』のデータによると、2020年8月から2021年1月末までの期間においてWebシェルが使われた脅威の件数は月平均14万件に到達しており、前年の7万7000件のほぼ2倍に達しているという。 Webシェルとは？ サイバー攻撃にはどう利用されるか ユーザーが何らかの方法で任意のコマンドをサーバ実行するためにWebサーバにインストールして使うソフトウェアやその仕組みを「Webシェル」と呼ぶ。 Webシェルは特定のソフトウェアを指すのではなく、PHPやASPのようなプログラミング言語の実行環境を指す。そうしたプログラミング言語にはシステムの任意のコマンドを実行するために幾つかの手段が用意されている。 攻撃者はさまざまな方法で
Microsoftによると、VS Codeを使用しているユーザーの数は現時点で1400万人に達しており（Statistaによると世界中には約2400万人の開発者がいるという）、2020年にはプロフェッショナルの開発者という枠を超えてユーザー層が多様化したとともに、新型コロナウイルス感染症（COVID-19）のパンデミックに起因するリモート開発のニーズを受け、そのユーザー数は500万人増加したという。同社は2020年6月に、VS Codeのユーザー数が1100万人だと述べていた。この成功は、「GitHub」や「Electron」「Chromium」「JavaScript」「TypeScript」（同社が生み出したスーパーセット版JavaScript）の上に築かれたと言ってもよいだろう。 Microsoftで開発者部門のコーポレートバイスプレジデントを務めるJulia Liuson氏によると、
Fossbytesは2月12日(米国時間)、「Your Browser's Favicons Could Be Used To Track You Online: Here&s How」において、トラッカーがファビコン（Favicon）を使うことでユーザーをトラッキング可能だと伝えた。Jonas Strehle氏の次のドキュメントを引用する形で伝えている。 supercookie • workwise 概念実証のコードも含めた説明は次のページにまとまっている。 GitHub - jonasstrehle/supercookie: ⚠️ Browser fingerprinting via favicon! supercookie • workwise ファビコンは16x16または32x32のサイズで提供されることが多いアイコン。Webページごとに提供可能であり、通常はWebブラウザのタブに
Malwarebytesは2月5日(米国時間)、これまで数年間にわたってバーコードスキャナとして機能していたアプリが、1度のアップデートでマルウェアへ豹変したと伝えた。該当するアプリはすでにGoogle Playストアから削除されているが、1000万人以上のユーザーが使用していると見られており、依然として注意が必要だ。Malwarebytesは、対象のスキャナをインストールしてしまったユーザーは自発的にアンインストールする必要があるとし、アプリを特定するために提供元、アプリ名、MD5、パッケージ名を公表していた。 Malwarebytesがこのサイバーインシデントを発表した段階では詳細はわかっていなかったが、新しい動きがあった。マルウェアをアップロードしたと考えられていた提供元から、マルウェアに豹変したバージョンのアップロードは行っていないという連絡があったという。マルウェアになってしまっ
大手テック企業にハッキングしまくり、合法的に13万ドルを稼いだ男2021.02.15 16:0013,477 Lucas Ropek - Gizmodo US ［原文］ （ scheme_a ） GitHub関連の問題は、日本だけじゃなかった ? ルーマニアのサイバーセキュリティ研究者、Alex Birsan氏は、数々の大手IT企業のシステムにハッキングを行い、最近13万ドル (約1360万円) を稼ぎました。もちろん合法的にです。 彼は実に斬新なサプライチェーン・アタックを用いることで、Tesla、Netflix、Microsoft、Apple、Paypal、Uber、Yelp、などなど、名だたるIT企業30社以上のシステムに侵入したのです。その中で彼は各社のシステムの脆弱性を報告し、そういった企業が支払うバグバウンティーを受け取りました。これは、企業のオンラインセキュリティシステムの脆
2021年2月5日、フロリダ州オールズマー市の水処理施設に何者かが遠隔でアクセスし、上水に含まれる水酸化ナトリウムの量を基準値の約100倍に設定するという事件が発生。幸い早期に発覚し被害者はいなかったものの、国家安全保障上の問題だとしてFBIやシークレットサービスなどが調査に乗り出していました。調査が進んだ2021年2月11日、ハッカーはファイアウォールを設定していないPCに侵入し、PCにインストールされていた遠隔操作ソフト「Team Viewer」を利用していたことが明らかになったと報じられました。 Hack exposes vulnerability of cash-strapped US water plants https://apnews.com/article/water-utilities-florida-coronavirus-pandemic-utilities-882a
高度にデジタル化された社会においてハッキングは大きな脅威となっており、2020年にはアメリカ政府機関への大規模なハッキング被害が判明したほか、水道システムがハッキングされて基準値の100倍もの有害物質が水道水に混入されかける事件も発生しました。そんな中、サイバーセキュリティ研究者のAlex Birsan氏が、ソフトウェアの「パッケージ」を利用して名だたる大企業にハッキングを仕掛ける方法について解説しています。 Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies | by Alex Birsan | Feb, 2021 | Medium https://medium.com/@alex.birsan/dependency-confusion-4a5d60fec610 An
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleは、オープンソースプロジェクトの脆弱性をトリアージする作業を支援し、メンテナーやオープンソースのコンシューマーを手助けするための脆弱性データベースを提供するサイトである「Open Source Vulnerability」（OSV）を立ち上げた（ここで言う「コンシューマー（consumer）」とは、あるオープンソースソフトウェアに依存する別のソフトウェアや、そのソフトウェアの開発者を指す）。 Googleによれば、オープンソースソフトウェアの利用者が、共通脆弱性識別子（CVE）のエントリーなどの脆弱性情報と、自分たちが利用しているパッケージのバージョンを対応付けるのは難しい作業だという。これは、既存の脆弱性情報の標準で使用さ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
