脆弱性と脅威
Microsoft Windows の AppXSvc において設定ファイルの操作時のハードリンク検証不備により任意のファイルが上書き可能となる脆弱性（Scan Tech Report）
Microsoft Windows に、サービス起動時に操作するファイルの検証不備に起因する、任意のファイルの書き換えが可能となる脆弱性が、報告されています。
2020.01.25（土）
Microsoft Windows に、サービス起動時に操作するファイルの検証不備に起因する、任意のファイルの書き換えが可能となる脆弱性が、報告されています。
ダークウェブへの入り口ともいえるTorブラウザ。オニオンルーターという追跡を困難にするしくみを利用したブラウザで、ブラック、ホワイトを問わずハッカー御用達ブラウザといってよい。そのTorが悪人によって汚染されていたらどうなるのか？
Farsight SecurityのCEO ポール・ビクシー氏が、DNS over HTTPS（DoH）について講演した。DoHは、いくつかのブラウザで実装が進み、試験運用などがスタートしているが、DNSの権威であるビクシー氏はどう考えているのだろうか。
2019 年は全体的なサイバー攻撃傾向として、サプライチェーンや取引先を通じたサイバー攻撃事案が多く確認されました。包括的なサイバーセキュリティ対策が世界的に求められていますが、その責任範囲を示すものが無い上、現実的な対応にも限界が見られました。
新年のお祭り気分がおさまった頃、大勢の科学ファン、SFファンが、その界隈の巨匠であるアイザック・アシモフの生誕100年に祝杯を上げた。
OpenBSD に、動的ライブラリの偽装により、管理者権限で任意のコードが実行可能となる脆弱性が報告されています。
Black Hat Europe
新年のお祭り気分がおさまった頃、大勢の科学ファン、SFファンが、その界隈の巨匠であるアイザック・アシモフの生誕100年に祝杯を上げた。
Black Hat Europe
いわゆるスマートトイが最も基本的なセキュリティ基準さえ満たしていないという事例は年々増えているようだ 。Which? は、今年のクリスマスプレゼントの中にあなたのお子さんとおしゃべりしようと目論む悪者が利用できそうな玩具をたくさん見つけた。
英国歳入関税庁（ HMRC ）によると、詐欺師たちは個人事業主をいい標的だと考えており、税金の還付を騙ってさまざまな詐欺を働いているという。
Microsoft Windows に、サービス起動時に操作するファイルの検証不備に起因する、任意のファイルの書き換えが可能となる脆弱性が、報告されています。
OpenBSD に、動的ライブラリの偽装により、管理者権限で任意のコードが実行可能となる脆弱性が報告されています。
Microsoft Windows に、IPv6 の機能を担う DLL である iphlpsvc.dll を起点として、任意のファイルが書き換え可能となる脆弱性が報告されています。
2019 年 10 月に、Elasticsearch のプラグインである Kibana で 2019 年 2 月に報告された脆弱性を悪用して、遠隔から任意のコードが実行可能となるエクスプロイトコードが公開されています。
![サイント岩井博樹の 2019 年全体総括 ほか [Scan PREMIUM Monthly Executive Summary]](/imgs/std_l/29868.png)
2019 年は全体的なサイバー攻撃傾向として、サプライチェーンや取引先を通じたサイバー攻撃事案が多く確認されました。包括的なサイバーセキュリティ対策が世界的に求められていますが、その責任範囲を示すものが無い上、現実的な対応にも限界が見られました。
ラジコン機器や金型などで知られる双葉電子工業のフィリピン子会社が、マルウェア感染により同社のPCからメールアドレスが窃取されたことを発表しました。Emotet （エモテット）に類似しているスパムメールを受信したことで、アンチウイルスソフトが検出したとのことです。
CrowdStrike 社は、中国の国家安全部職員やセキュリティ研究者、標的企業の関係者など多数の人物が関わった国家ぐるみのハッキングが、中国で開発中の航空機「 COMAC C919 」のために行われていたという実態を報告しました。
米国防総省はサプライチェーンに関連した脅威を重く受け止め、ペンタゴンの機密データを扱う請負業者向けに Cybersecurity Maturity Model Certification ( CMMC )を公開しました。複雑でクモの巣のようなサプライチェーンを隅々まで保護することを目的としています。
こんまりメソッドは5つのステップで考えるそうだ。後半は、前半と重複する話も含まれるけど、順を追っていこう。最後には、ラスボスが待っている。
こんまりメソッドの片付けの手法でセキュリティ対策を片付けて、セキュリティでときめくことはできないか、考えてみたよ。
これまでのお話で分かると思うけど、CSIRT体制構築は成熟期に向かう過渡期にあり、評価や話題性でみると終焉に向かいつつある。低コストで維持しやすい組織を目指した方がいい。
既に、CSIRT体制構築ブームに乗って、日本シーサート協議会に登録、あわよくばIT系のニュースで事例紹介されたい、なんてCSIRTゴールは飽きられ始めている。新鮮味が薄くなったんだ。ITに疎い経営者も少なくなった。
現在、そして将来迎えるであろう技術者の人材不足を企業はどう超えていけばいいのか。近畿大学工学部教授 電子情報工学科 学科長 就職指導委員会 委員長である竹田 史章 工学博士と、株式会社SHIFT SECURITY 代表取締役社長 松野 真一 氏との対談が行われた。
松野 真一 代表取締役社長が、サイバーセキュリティ及び技術者の人材育成をテーマに「サイバーセキュリティ最新動向と今、求められるセキュリティ人材確保論」と題し特別講演を行い、同社が取り組んでいるセキュリティ診断技術の標準化プロセスがつまびらかにされた。
サービスのミスマッチが発生する状況について、セキュリティ診断サービスの標準化に取り組む企業、株式会社SHIFT SECURITY 執行役員 松尾 雄一郎（文中敬称略）に話を聞いた
これまで「高度な職人技」とみなされてきた脆弱性診断。その診断業務の標準化を積極的に進める株式会社SHIFT SECURITYが、今回は脆弱性診断内製化をテーマに、セミナー「サイバーセキュリティアカデミー」を7月下旬都内で開催した。
ジャーカフ氏は、課題の根底に「ベンダーによって脅威インテリジェンスが指す意味が異なることがある」と述べる。日本企業が、脅威インテリジェンス活用のためにどのようなマインドセットの変化が必要か、ジャーカフ氏に聞いた。
本ブログ記事では、「サイバー犯罪者の混成部隊」を中国政府がどのように利用して、主要テクノロジーやインテリジェンスのギャップを埋め、軍民両用のタービンエンジンの生産を増強していたかについて紹介します。
SHAPを使用すると、モデルがどのように最終決定に至ったかに関する知見をより多く得ることができます。あるファイルの任意の特徴量に注目するのではなく、そのモデルが直感的で堅牢な特徴量を使用して予測を行っているという確信が得られます。
CrowdStrikeの最新レポートでは、モバイルデバイスを脅かすいくつかの脅威を詳細に分析し、組織が自社のデータとネットワークをモバイル脅威から守るための推奨事項を紹介しています。
千葉県富津市は1月17日、総務部防災安全課にて個人情報を含む可能性のあるUSBメモリの紛失が判明したと発表した。
SMBCグループでシステム構築や運用管理などを行う株式会社さくらケーシーエスは1月21日、同社が兵庫県から受託した「県税督促状」の印刷ミス分について不適切な廃棄処理が行われたことが判明したと発表した。
熊本県熊本市は1月17日、小学校の講師が児童の個人情報を保存したUSBメモリを紛失したことが判明したと発表した。
大阪市は1月20日、大阪市船場法人市税事務所にて作成したA法人の「修正通知書」の送付先を誤り法人情報が漏えいしたことが判明したと発表した。
ACCSによると、愛媛県警サイバー犯罪対策課と今治署は、「Share」を通じて、ゲームソフトおよび漫画作品を権利者に無断でアップロードし送信できる状態にしていた、広島県の自営業男性（47歳）を著作権法違反の疑いで松山地検今治支部に送致した。
ACCSによると、京都府警察・兵庫県警察共同捜査本部は、京都市内および神戸市内のゲームバー4店舗において、家庭用ゲームソフトを客に遊戯させて無断上映し、ゲームソフトメーカー各社の著作権を侵害していたとして著作権法違反の疑いで店舗経営者・店長4名を逮捕した。
11月29日から12月2日にかけて、一般社団法人日本ネットワークインフォメーションセンター（JPNIC）主催の「Internet Week 2016 ～見抜く力を！～」が、浅草橋のヒューリックホール＆カンファレンスで開催される。
BSAは、福岡地裁が福岡県内の20代男女に対して著作権法と商標法違反で有罪判決を下したと発表した。
IPAおよびJPCERT/CCは、「ソフトウェア等の脆弱性関連情報に関する届出状況[2019年第4四半期（10月～12月）]を発表した。
IPAは、2019年第4四半期（10月から12月）における「脆弱性対策情報データベース『JVN iPedia』の登録状況」を発表した。
IPAは、国内の産業用制御システム保有事業者のセキュリティ対策を促進することを目的に「産業用制御システムのセキュリティ10大脅威と対策」を発表した。
IPAは、2019年度上半期の「サイバーレスキュー隊（J-CRAT）活動状況」を発表した。
IPAおよびJPCERT/CCは、「ソフトウェア等の脆弱性関連情報に関する届出状況[2019年第4四半期（10月～12月）]を発表した。
JPCERT/CCは、2019年10月1日から12月31日までの四半期における「インシデント報告対応レポート」および「活動概要」を公開した。
JPCERT/CCは、「長期休暇に備えて 2019/12」として、冬の長期休暇期間におけるコンピュータセキュリティインシデント発生の予防および緊急時の対応に関して、要点をまとめ発表した。
JPCERT/CCは、「マルウエア Emotet の感染に関する注意喚起」を発表した。
警察庁は、同庁のセンサーに対するアクセス観測状況をまとめた「令和元年11月期観測資料」を「@police」において公開した。
警察庁は、「PHP-FPMの脆弱性（CVE-2019-11043）を標的としたアクセスの観測等について」とする注意喚起を「@police」において公開した。
警察庁は、「vBulletin の脆弱性（CVE-2019-16759）を標的としたアクセスの観測等について」とする注意喚起を「@police」において公開した。
警察庁は、「Elasticsearchの脆弱性を標的としたアクセスの増加等について」とする注意喚起を「@police」において公開した。
NISCは、政府のサイバーセキュリティに関する予算（令和2年度予算概算要求）について発表した。
NISCは、「小さな中小企業とNPO向け情報セキュリティハンドブック」を公開したと発表した。
NISCは、「APT10といわれるグループによるサイバー攻撃について」とする注意喚起を発表した。
NISCは、政府のサイバーセキュリティに関する予算（平成31年度予算概算要求）について発表した。
内閣サイバーセキュリティセンター（NISC：National center of Incident readiness and Strategy for Cybersecurity）特集をもっと見る
![[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ 画像](/imgs/p/sRyg1IyWe_nbMeR4tZhcHm8JOgc0BQQDAgEA/28068.jpg)
![[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像](/imgs/p/sRyg1IyWe_nbMeR4tZhcHm8JOgc0BQQDAgEA/27120.jpg)
