CISAがガイドラインを公開【後編】
SMSを使うのはNG? iPhoneとAndroid端末でできるスパイ対策
中国系犯罪集団によるスパイ攻撃が活発化している。それを受け、米国のCISAがモバイル通信のガイドラインを公開した。iPhoneとAndroid搭載端末で実践すべき対策とは。(2025/2/6)
二極化するAI規制【後編】
トランプ大統領のAI規制緩和は“最悪の事態”を招く? セキュリティ専門家の予測とは
米国のバイデン前大統領が署名していたAIの安全性に関する大統領令を、トランプ新大統領が撤回した。AI規制強化が進むEUとは対照的な動きに、一部の専門家は懸念を示す。どのような懸念があるのか。(2025/2/3)
Cybersecurity Dive:
約1万4000台のデバイスが脆弱 攻撃者がIvanti Connect Secureにバックドアを設置
The Shadowserver Foundationによると、スキャンによって、バックドアが新たに設置されたVPN製品Ivanti Connect Secureが379台見つかったことが明らかになった。これに加えて、多数の脆弱なデバイスがインターネットにさらされている。(2025/1/31)
Cybersecurity Dive:
中国のハッカーが米国財務省を攻撃 BeyondTrust製品の2つの脆弱性を悪用か
アクセス管理ソリューションを提供するBeyondTrustへの攻撃により財務省からデータが盗まれた。同攻撃には、国家から支援を受けているハッカーが関与しているという。(2025/1/31)
CISAがガイドラインを公開【前編】
スマホの“盗聴”を防ぐには「あのメッセージアプリ」を使うべし
中国系犯罪集団によるスパイ攻撃の活発化を受け、米国のCISAは具体的な対抗策をまとめた。中心になるのは「6つポイント」だ。CISAのガイドラインを紹介する。(2025/1/28)
Cybersecurity Dive:
重要インフラ組織のサイバー防御に進展 効果を上げるCISAの脆弱性スキャンプログラム
CISAは同機関の脆弱性スキャンプログラムに参加した重要インフラを担う組織の数が、2022年以降で約2倍になったと発表した。この取り組みは着々と成果を上げているようだ。(2025/1/23)
「米難民申請アプリ」ダウン トランプ大統領就任直後「入国予約は無効」移民ら国境で号泣
トランプ米大統領の1月20日の就任直後、米国で難民申請用のスマホアプリが突然ダウンしたことがわかった。(2025/1/22)
DOGE.GOVのWebサイト立ち上げ 「カボス」のロゴは数時間後に変更
トランプ米大統領が設立の大統領令に署名したUS DOGE Service(通称DOGE)のWebサイトDOGE.GOVが公開された。当初はDogecoinのロゴに似た画像が表示されていたが、数時間後に変更された。DOGEのトップにはイーロン・マスク氏が就任する見込みだ。(2025/1/22)
Cybersecurity Dive:
狙われるIvanti製VPN 約900件のインスタンスがゼロデイを未修正
The Shadowserver Foundationは、VPN製品「Ivanti Connect Secure」にはゼロデイ脆弱性が存在し、約900件のインスタンスが未修正で、攻撃の危険性があると指摘した。(2025/1/22)
Cybersecurity Dive:
CISOに責任を押し付けるのはやめよう セキュリティの“優先順位”を上げるには
企業はサイバーセキュリティをビジネスリスクとして捉えず、その責任をIT部門やCISO(最高情報セキュリティ責任者)になすりつけている。では企業がセキュリティの優先順位を上げるにはどうすればいいのか。(2025/1/22)
Cybersecurity Dive:
BeyondTrust製品に複数の脆弱性 12月に起きたサイバー攻撃との関連は?
BeyondTrustは2024年12月、攻撃者が侵害されたAPIキーを利用して、限られた数のリモートサポート用のSaaS型インスタンスにアクセスしたと警告した。Censysによると同製品に関連する8600件以上のインスタンスが依然として露出しているという。(2025/1/18)
Cybersecurity Dive:
スマホを盗聴から守るためにやっておきたい“8つの約束事”
CISAは「iOS」や「Android」をOSとして備えたデバイスのユーザー向けに、通信の傍受や改ざんを防ぐための8つのベストプラクティスを発表した。あなたはいくつ実施できているだろうか。(2025/1/18)
ランサムウェア攻撃の“今”を知る【中編】
ランサムウェア集団に身代金33億円を支払った企業の“悲惨な末路”
2024年も業界を問わず、ランサムウェア攻撃が相次いだ。攻撃を受けたある医療ベンダーは約33億円の身代金を支払ったという。その企業はどのような結末を迎えたのか。(2025/1/15)
セキュリティニュースアラート:
Google Chromeにリモートコード実行が可能な深刻な脆弱性 迅速なアップデートを
Chromeに深刻な脆弱性が見つかった。これを悪用するとリモートの攻撃者によって任意のコードを実行されるリスクがある。影響を受けるバージョンを利用している場合、迅速にアップデートを適用することが推奨される。(2025/1/10)
中国系ハッカー集団によるサイバー攻撃を受け:
「SMSは認証に使わないで」 米CISA、モバイル通信を保護する8つのベストプラクティスを公開
米CISAは「Mobile Communications Best Practice Guidance」を公開した。米国の商用通信インフラに対する中国政府系ハッカー集団のサイバースパイ活動が確認されたことに対応して作成されたものだ。(2024/12/26)
Cybersecurity Dive:
Snowflake、2025年後半までに単一要素認証の段階的廃止を発表 MFA義務化へ
Snowflakeはパスワードを使用した単一要素認証によるアクセスをブロックする方針を明らかにした。2025年11月までに多要素認証の導入を義務化するという。(2024/12/25)
今のゼロトラストにはバックアップ戦略が足りない 考え方をアップデートしよう
ゼロトラストセキュリティの構築は企業の喫緊の課題となっています。本稿はゼロトラストにおける5つの原則にデータバックアップやリカバリーシステムをどのように組み込めばいいかを解説します。(2024/12/27)
ゼロデイ攻撃は増加傾向に
パッチ公開後“2年以内”にも要注意 悪用されるIT製品の脆弱性とは
IT製品の脆弱性は、ランサムウェアなどの攻撃の入り口として悪用される。特に、パッチが未提供の「ゼロデイ脆弱性」が危険だが、注意が必要なのはそれだけではない。(2024/12/23)
セキュリティニュースアラート:
curlに認証情報漏えいの可能性がある脆弱性 直ちに対応を
cURLプロジェクトはcurlに認証情報漏えいの脆弱性「CVE-2024-11053」が存在すると発表した。この脆弱性は.netrcファイルとHTTPリダイレクトの併用により発生する。(2024/12/17)
Cybersecurity Dive:
ホリデーシーズンはビジネスメール詐欺が増加 注意すべき文面は?
ホリデーシーズンには支払いを不正に奪取しようとするビジネスメール詐欺(BEC)が増加する恐れがある。では、どのような文面に注意すればいいのだろうか。(2024/12/14)
Cybersecurity Dive:
ランサムウェアが虎視眈々と狙う、組織の“あるタイミング”とは?
ランサムウェアはITセキュリティ担当者が少ない夜間や週末に狙うことが分かっている。Semperisの調査によると、回答者の3分の2が、組織に隙ができる"あるタイミング"を突かれてランサムウェア被害に遭ったと回答したという。(2024/12/14)
海外医療技術トレンド(114):
第2次トランプ政権で米国の医療IoT/OTセキュリティ規制はどうなるのか
米国会計検査院(GAO)は、IoTやOTのサイバーセキュリティに関する報告書および勧告を通じて、保健福祉省や食品医薬品局による取り組みの改善状況をチェックしている。2025年から第2次トランプ政権が始まるが、GAOの勧告も併せて米国の医療IoT/OTセキュリティ規制の動向に注目が集まる。(2024/12/13)
セキュリティニュースアラート:
人材不足を突く攻撃者の“新戦術”とは? 2025年の脅威トレンドをソフォスが予測
ソフォスは2025年のサイバーセキュリティ予測を発表した。攻撃者はリソース不足のセキュリティ担当者たちを狙った“新戦術”を駆使する可能性があるという。これに対して企業がすべき対策とは。(2024/12/12)
セキュリティニュースアラート:
TP-Link製の複数ルーターに深刻な脆弱性 対象製品とユーザーへの影響は?
TP-Link製ルーターに影響する脆弱性CVE-2024-53375が見つかった。この脆弱性を悪用するとリモートコード実行が可能になるため、早急に対処が必要だ。影響を受けるルーター製品を確認してほしい。(2024/12/6)
ゼロデイ脆弱性を悪用した攻撃が増加:
2023年に最も頻繁に悪用された脆弱性トップ15 米CISAが発表 ソフトウェアベンダー、エンドユーザーができることは?
CISAは、2023年に日常的に悪用された脆弱性トップ15をまとめた「2023 Top Routinely Exploited Vulnerabilities」を発表した。ソフトウェアベンダーやエンドユーザー向けの緩和策を紹介している。(2024/12/4)
セキュリティニュースアラート:
無償で使える脆弱性対応プラットフォーム「Intel」が登場 その性能とは?
Intruder Systemsは無償の脆弱性インテリジェンスプラットフォーム「Intel」を公開した。過去24時間の脆弱性情報を分析し、セキュリティチームが迅速に対応できるよう支援する。(2024/11/28)
Cybersecurity Dive:
Palo Alto Networks製品「Expedition」の脆弱性で悪用を確認 アップデートできない場合の回避策は
CISAはPalo Alto Networksの移行ツールである「Expedition」に関連した2件の脆弱性が攻撃者によって積極的に悪用されていると警告した。ユーザーは直ちにアップデートを適用することが推奨されている。(2024/11/28)
Cybersecurity Dive:
Microsoftが脆弱性の開示方法を刷新 CSAFに沿って脆弱性対応を効率化
Microsoftは「共通セキュリティ勧告フレームワーク」(CSAF)に沿って、脆弱性の開示方法を刷新すると発表した。これによって顧客の脆弱性対応の効率化と修復はどう変わるのだろうか。(2024/11/28)
Cybersecurity Dive:
米連邦政府 米国の電気通信ネットワークに対する中国のスパイ活動を発見
FBIとCISAは、中国国家に関連した悪質なスパイ活動を観測した。影響は広範囲に及び、機密性の高い通話記録や裁判所命令をはじめとする情報の窃盗も含まれると警告している。(2024/11/27)
Cybersecurity Dive:
Citrix Session Recordingに重大な脆弱性 研究者とCitrixで食い違う主張
watchTowrのセキュリティ研究者たちはCitrix Session Recordingの脆弱性を発見した。研究者らは攻撃者が認証なしでアクセスできると主張しているが、Citrixはこの主張に異議を唱えている。(2024/11/27)
Cybersecurity Dive:
パッチ適用も効果なし? Veeam製品を悪用したランサムウェア亜種を確認
複数のランサムウェアの亜種がVeeam製品の重大な脆弱性を標的にしており、悪用のリスクが高まっている。共通脆弱性評価システム(CVSS)における同脆弱性のスコアは9.8だ。Veeamによるパッチ適用も効果が薄い可能性もある。(2024/11/23)
セキュリティニュースアラート:
3万1770件の中から選んだ「最も危険なソフトウェア脆弱性トップ25」とは?
米国CISAとHSSEDIは「2024 CWE Top 25 Most Dangerous Software Weaknesses」を発表した。2024年版では3万1770件の中から、最も重大な25項目の脆弱性を選定している。(2024/11/22)
ランサムウェア被害対応の専門家とpiyokango氏が議論:
増える標的型ランサムウェア被害、現場支援から見えてきた実態と、脆弱性対応が「限界」の理由
ランサムウェア感染をはじめとするサイバー攻撃に日頃からどう備えておくべきなのか。年間数百件の相談に対応してきたYONAの三国貴正氏や、セキュリティブログ「piyolog」で知られるpiyokango氏が、現実的で実効性のあるインシデント対応をどう進めるべきか、語り合った。(2024/11/22)
セキュリティニュースアラート:
2023年に日常的に悪用された脆弱性トップ15が公開 懐かしのあの脆弱性も
CISAは2023年に日常的に悪用されている脆弱性トップ15をまとめたアドバイザリーを公開した。企業はソフトウェアの迅速な更新と脆弱性の排除を促進する対策が求められている。(2024/11/15)
Cybersecurity Dive:
CiscoのVPN製品にDoS攻撃を引き起こす脆弱性 積極的な悪用を確認済み
CiscoのVPN製品にDoS攻撃を引き起こす脆弱性が見つかった。既にこの脆弱性は積極的に悪用されていることが分かっている。この他のVPN製品についても脆弱性を狙った攻撃が増加しており注意が必要だ。(2024/11/11)
Cybersecurity Dive:
Fortinetが重大なゼロデイ脆弱性「CVE-2024-47575」を公開 顧客に警告
Fortinetはネットワークおよびセキュリティ管理ツール「FortiManager」のゼロデイ脆弱性が広く悪用されているとし、顧客に注意を促している。(2024/11/10)
半径300メートルのIT:
知っているようで意外と知らない? “脆弱性管理”の解像度を上げよう
脆弱性管理の重要性については皆さん理解しているかと思いますが、これをどう進めればいいのか高い解像度を持って実行できている企業は多くない気がします。こうした中、待望のドキュメントが登場したので紹介します。(2024/11/5)
半径300メートルのIT:
半数以上が「最新のパッチを適用済み」なのに、サイバー被害に遭うワケ
サイバー攻撃の被害を防ぐには一にも二にも最新のパッチ適用が重要です。ただ、最近のサイバー攻撃者の気になる動きから、これだけでは攻撃を防げない実態が見えてきました。(2024/10/29)
Cybersecurity Dive:
アカウントを奪われたら“打つ手なし”? イランの攻撃者の“巧妙すぎる手口”
FBIやCISAらはイランのサイバー攻撃者の攻撃手法について注意喚起を促した。攻撃者らはブルートフォース手法を使ってユーザーのサービスアカウントを窃取した後、正規のユーザーがアクセスできないような巧妙な仕掛けを施すという。(2024/10/27)
Cybersecurity Dive:
CISAらが製品セキュリティガイド案を公開 メモリ安全性の高い言語の使用を呼びかけ
FBIやCISAはテクノロジー分野向けの製品セキュリティガイド案を発表し、製品の耐性を高めるためにソフトウェア業界が取るべき措置に関するパブリックコメントを求めている。ただ、これを実現するには幾つかのハードルがあるようだ。(2024/10/27)
セキュリティニュースアラート:
FortiManagerに未公開の重大な脆弱性 一部の顧客に先行警告か
Help Net Securityは、FortinetがFortiManagerの重大な脆弱性に対するパッチをリリースしたことを報じた。この脆弱性は中国の脅威アクターによって既に悪用されている。Fortinetは一部の顧客に非公開で通知し、緩和策を提示している。(2024/10/24)
Cybersecurity Dive:
Ivanti CSAに3件のゼロデイ脆弱性 リモートコード実行が可能になるため注意
Ivantiのインターネットアプライアンス「Ivanti Cloud Service Appliance」に3件のゼロデイ脆弱性が見つかった。これらを悪用すると、攻撃者は管理者権限を得て制限を回避したり、リモートでコードを実行したりできる。(2024/10/20)
セキュリティニュースアラート:
Fortinet製品の重大な脆弱性 約8万7000件のIPアドレスに影響
CyberScoopはFortinet製品の脆弱性(CVE-2024-23113)が数万のIPアドレスに影響を与えていると報じた。この脆弱性はリモートコード実行のリスクを持ち、深刻度「緊急」に分類されている。(2024/10/17)
Cybersecurity Dive:
州のCISOは最小限の資金で、増大する脅威環境に立ち向かっている
DeloitteとNASCIOによる報告は、州が国家支援や犯罪者による脅威グループと戦うための十分なリソースを持っていないことを警告している。州のCISOが置かれている厳しい現状とは。(2024/10/14)
Cybersecurity Dive:
CrowdStrikeは反省を生かせるか? 大変革「レジリエント・バイ・デザイン」の中身
CrowdStrikeは2024年の夏に不具合のあるソフトウェアアップデートが原因で発生した史上最大規模の世界的なIT障害を受けて、セキュリティ変革フレームワーク「レジリエント・バイ・デザイン」を発表した。3本柱で構成されるその中身とは。(2024/10/13)
Cybersecurity Dive:
企業がOSSメンテナーに“ただ乗り” この風潮はいつ是正されるのか?
オープンソースソフトウェアの開発者と企業をはじめとしたソフトウェアユーザーとの間には、依然として格差が存在している。ソフトウェアユーザーが高いセキュリティ基準を求める一方で必要な投資をしないため、この風潮は変わっていない。(2024/10/12)
セキュリティニュースアラート:
OTセキュリティ対策の6つの原則とは? 米当局や豪当局が共同作成
CISAは国際的なパートナーと共同で「OTサイバーセキュリティの原則」をリリースした。ガイダンスでは安全性とセキュリティが確保されたOT環境を構築し、維持するための6つの原則が紹介されている。(2024/10/4)
単なる「技術屋のドキュメント」ではない:
SBOMの本質を大阪大学 猪俣教授が語る――「うちのソフトは大丈夫なんです」とユーザーにどう証明する?
大阪大学 情報セキュリティ本部 猪俣敦夫教授がベリサーブのプレスセミナーに「ソフトウェアの視える化により変革する社会システムとどう付き合うべきか」と題して講演した。SBOMは単なる「技術屋のドキュメント」を超え、それによって企業や組織が評価されるべきものではないかと考えているという。(2024/10/1)
全てのネットワーク事業者に求められるアクションとは:
インターネット基幹技術「BGP」のセキュリティ強化へ 米ホワイトハウスがロードマップを公開
米ホワイトハウスは、インターネットの基幹技術「BGP」のセキュリティを強化するためのロードマップを発表した。ロードマップでは、ネットワーク事業者や企業ネットワークを運用する事業体に求められるアクションも列挙されている。(2024/9/25)
人気連載まとめ読み! @IT eBook(122):
「このままゼロトラストへ進んでいいの?」と迷う企業やこれから入門する企業も必見、ゼロトラストの本質、始め方/進め方が分かる無料の電子書籍
人気連載を1冊にまとめてダウンロードできる@ITの電子書籍。第122弾は、連載『働き方改革時代の「ゼロトラスト」セキュリティ』。ゼロトラストへの移行を既に進めている企業はもちろん、これから始める企業も入門書として参考になるはずです。(2024/9/24)