インタビュー
[Black Hat USA 2019] 量子コンピュータによる暗号危殆化 ~ 耐量子計算機暗号 ( PQC:Post Quantum Cryptograph ) 証明書とは?
2019年8月にラスベガスで開催された世界最大級のサイバーセキュリティ国際会議 Black Hat USA 2019 の現地取材レポートをお届けします
インタビュー
[Black Hat USA 2018] 「日本はプライムターゲット」Cybereason CISO 独占インタビュー
インタビュー
[Black Hat USA 2018] 今年の Black Hat USA 会場で会った意外な人物
インタビュー
[Black Hat USA 2015] “無名”の日本のサイバーセキュリティ製品が Black Hat に挑戦するまで
インタビュー
[DEF CON 23] 米で相次ぐサイバー攻撃、ソーシャルエンジニアリングはどう悪用されるのか~クリス・ハドナジー インタビュー
インタビュー
[DEF CON 23] 正しい標的型攻撃メール訓練の運用法、ソーシャルエンジニアリングの国際的権威クリス・ハドナジーに聞く
インタビュー
[Black Hat USA 2014 レポート][Black Hat USA 2014 レポート] デロイト トーマツ のサイバーセキュリティチームの実態(1)デロイト アルゼンチンチームの新人育成と海外展開
インタビュー
[Black Hat USA 2014 レポート] Imperva が提唱する包括的なデータセキュリティ(Impreva)
インタビュー
[Black Hat USA 2014 レポート] デロイト トーマツ のサイバーセキュリティチームの実態(2)監査法人がサイバーリスクに取り組む理由
インタビュー
[DEF CON 22 レポート] ソーシャルエンジニアリングの第一人者 Chris Hadnagy 氏インタビュー (1) 目的と歴史
インタビュー
[Black Hat USA 2014 レポート] 高度なサイバー脅威への警鐘の役割を担う(RSA)
インタビュー
[Black Hat USA 2014 レポート] 可視化と分析に取り組む“赤い箱”(WatchGuard)
講演レポート
[Black Hat USA 2014 レポート] MDM=Mobile Device Mismanagement? ~MDM 製品のペネトレーションテスト結果(NTT Com Security)
インタビュー
[Black Hat USA 2014 レポート] 標的型攻撃実証ツールをBlack Hat USA 2014で公開、マクニカネットワークス セキュリティ研究センター 凌研究員
マクニカネットワークスの凌 翔太 氏は、ランサムウェアのシミュレーションが可能な「 Shinolocker 」と制御システム向けのマルウェアを模した「 ShinoICS 」を、神戸デジタル・ラボは、WordPress に特化したハニーポット「 OTAKU-BOT 」を紹介した。
カンファレンスというイメージを持っているかもしれないが、実はそれだけではない。会場の半分以上はイベント会場になっているのだ。さまざまなワークショップや CTF、物販やカラオケなんかもある。ワークショップはその場で飛び入りで参加できるものがほとんどだ。
CGC は用意されたプログラムの脆弱性を探し、それを修正するためのパッチを書く、そして敵チームのプログラムを攻撃するための攻撃コードを書き攻撃を行うという一連の行動をすべて自動化されたプログラムによって行うというものだ。
「それよりも、地に足の着いた投稿の方がよっぽど信頼できて面白いと思います。『Network Defense』と『Malware』のカテゴリは、いずれも、ただ「解析してみました」、ただ「作ってみました」ぐらいのレベルでは基本的に通りません。」
本年の Black Hat USA 2015 の BUSINESS HALL で、日本の企業 PFU の北米支社が、標的型攻撃対策製品の展示を行った。日本では、主にスキャナの成功で知られている企業だが、北米市場にいったいどんなセキュリティ製品を提供しているのか。
「報告」は大切な効果測定要素です。理想的なのは、フィッシングと察知し、開封前にその存在を報告する従業員です。反対に「開封しなかったが報告を怠った」「開封したが報告した」「開封してなおかつ報告を怠った」これらの従業員すべてに改善の余地があります。
こうした「帯に短しタスキに長し」を解消するのが「angr」だ。angrは、静的解析と動的シンボリック実行解析を組み合わせたオープンソースのフレームワークで、バイナリローダ、静的解析ルーティン、シンボリック実行エンジンの3つのコンポーネントで構成される。
フィッシング攻撃は大幅な増加傾向にあり、規模の大きい攻撃では、「ビッシング」用のコールセンターを設立する例があります。フィッシングメールとビッシングを組み合わせる手法もあります。メールを送った直後に電話で連絡し、確認依頼をすると効果があるのです。
「毎年、世界中の優秀なハッカーが集まるDEF CONで、本当に頭脳明晰な人々を充分に魅了できる、そんなバッヂを作成するのが私の任務だ。それは簡単に解ける謎であってはならない」と Ryan 氏は語った。
実験の中で、彼らは「本来の標的(人型)の隣にある標的」のほぼ中央に当たるよう、照準を調整することにも成功している。
Black Hat では、本年から企業展示スペースである「ビジネスホール」に、「Career Zone」と呼ぶ、就転職に関する面談を行うことができるコーナーを新たに開設した。
米ラスベガスで開催されている Black Hat USA 2015 で 8 月 5 日、3人の研究チームによる、 Square リーダーの脆弱性の研究とデモ「MOBILE POINT OF SCAM: ATTACKING THE SQUARE READER」が発表された。
NRIセキュアテクノロジーズ株式会社は、ラスベガスで開催されている 「Black Hat USA 2015」に出展し、SOCを含めたグローバルに展開しているセキュリティサービスを紹介している。
ラスベガスで開催されている「Black Hat USA 2015」のキーノートには、弁護士のジェニファー・グラニック氏が登壇した。Black Hat および Def Con の創立者であるジェフ・モス氏によれば、グラニック氏は「ハッカーが最初に連絡する弁護士」だという。
2015 年 8 月 5 日、ラスベガスで開催された Black Hat USA 2015 にて、同カンファレンス創立者のジェフ・モス氏が、基調講演を行う弁護士のジェニファー・グラニック氏の紹介をかねた開会挨拶を行った。
ひとつ思ったのは、IoT で我々が想定していなかったものがネットにつながっ て、いままで ICT 業界ではなかったひとたちが ICT 業界に入ってくるなかで、 我々のようなIT屋さん、セキュリティ屋さんが考えなかったような事象という のが起こってきてるんだなと。
端的に言えば、セキュリティに精通した専門家たちが『最も大きな脅威だ』と見なすものに対して、多くの大企業では時間、予算、そして人材リソースを費やしていないということが、その調査で示されている。
トレーニングはまずチーム作りに時間を費やします。チームで情報交換や役割分担をしながら情報入手を試みるからです。トレーニングは連続4日間、午前9時から午後6時まで講義が行われ、受講者全員に夜の宿題が課されます。
「セキュリティカンファレンスでは派手な研究発表が採択される傾向があると思っていて、メディア受けするというのは確かにカンファレンスとしては重要なのかもしれませんが、これは変えていく必要があると思っています。」
「スマートメーターの実機のフラッシュメモリや PROM (Programmable ROM) からデータを抜いて解析し、機能を推定したという発表です。リバースエンジニアリングの詳しいやり方を説明したり、その実演もありました。」
情報セキュリティ国際会議 Black Hat の唯一にして初のアジア人レビューボードメンバーとして論文審査を行う株式会社FFRI の鵜飼裕司氏に10月中旬にオランダで開催された Black Hat Europe 2014 の発表から見えるこれからのセキュリティ動向について聞いた。