ゼロトラストを誤解してほしくない--提唱者が説く正しい定義
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 近年のサイバーセキュリティトレンドに「ゼロトラスト」がある。その提唱者で知られるJohn Kindervag氏は、「誤解されている」と警鐘を鳴らす。同氏がゼロトラスト本来の定義を説明した。 ゼロトラストは、Kindervag氏が2010年に当時在籍したForrester Researchで提唱した。そのコンセプトは「信用せず常に検証する」というもので、同氏はゼロトラスト本来の定義を「守るべき資産（データや情報など）を脅威による侵害から守るための『戦略』である」と述べる。提唱から15年近くが経過し、「現在では米国大統領令で推進されるなど、各国の政府レベルでも重要な『戦略』として認知されるまでになった」とした。 現在のサイバーセキュリティ市
LastPassに再びハッキング被害--機密情報にアクセスできるマスターパスワードが窃取
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます LastPassによると、ハッカーが同社の上級エンジニアの自宅コンピューターを攻撃して、機密情報を含む企業データベースや情報へのアクセスに必要なマスターパスワードを窃取したという。 同社は、2022年8月にハッキング被害に遭ったことを最初に公表したとき、攻撃者が開発環境にアクセスして、LastPassのソースコードの一部と独自の技術情報を盗んだと述べた。 LastPassは当時、攻撃者が顧客データや暗号化された機密情報の保管庫にアクセスした証拠はないと語っていたが、12月には、暗号化されたデータと暗号化されていないデータの両方を含む保管庫データ（顧客に関する情報を含む）がハッカーに盗まれたことを明かした。 同社は今回、攻撃者が最初の攻撃
実際に悪用される脆弱性はわずか？--研究者が調査
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 脆弱性の悪用について状況を明らかにすることが強く求められている中、先週発表された新しい調査結果でその一端が明らかになった。過去10年間に発見されたすべてのセキュリティ脆弱性のうち、実際にどれほど悪用されたのかが判明した。 バージニア工科大学の研究者らによるこの調査では、2009～2018年の間に発見された合計7万6000件の脆弱性のうち、実際に悪用されたのはわずか4183件だったことが分かった。調査はこの種のものとしてはこれまでで最も広範なものだと考えられている。 さらに、パブリックウェブサイトでの概念実証（PoC）エクスプロイトコードの公開とそれを悪用する試みが開始されることとの間に相関関係がないようだということも明らかになった。 研
米国家安全保障局、リバースエンジニアリングツール「GHIDRA」を公開へ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 米国家安全保障局（NSA）は3月初旬にサンフランシスコで開催されるセキュリティカンファレンスRSA Conferenceで、リバースエンジニアリングツールを披露する。その後、オープンソースソフトウェアとして公開される予定だという。 公開されるのは「GHIDRA」という名前の逆アセンブラだ。逆アセンブラとは、実行ファイルからアセンブリ言語を生成して、人間による解析を手助けするソフトウェアのことである。 NSAは2000年代の初めにGHIDRAを開発し、数年前から、さまざまなマルウェアや疑わしいソフトウェアの内部の仕組みを調べるサイバーチームを擁するほかの米政府機関と同ソフトウェアを共有している。 GHIDRAの存在は国家機密というわけでは
「Kubernetes」に深刻な脆弱性
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2018-12-04 10:36 「Kubernetes」に初めて深刻な脆弱性が発見された。Kubernetesは最も人気のあるクラウドコンテナオーケストレーションシステムであるがゆえに、この日がくるのは時間の問題だったと言える。「CVE-2018-1002105」という脆弱性識別番号を割り当てられ、Kubernetesの権限昇格に関する脆弱性とも称されているこの脆弱性は深刻なものであり、共通脆弱性評価システム（CVSS）による深刻度は9.8（最大値は10.0）となっている。 特殊な細工が施されたネットワークリクエストを用いれば、誰でもKubernetes APIサーバ経由でバックエンドサーバとのコネクションを確立できる。そして、いったんコネクションを確立すれば、攻撃者はそ
米国版GDPR制定の動きにIT企業が「ノー」--米議会で今、話し合われていること
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 米議会の議員らは、上院商務・科学・運輸委員会の開催に先立つ米国時間9月26日、同国の連邦プライバシー関連法の在り方について、大手IT企業6社を招いた公聴会を実施した。この公聴会の場で企業の代表者らは、欧州のプライバシー保護法のような規制を米国に持ち込むべきではないと主張した。 データ関連のプライバシー法案はまだ策定中の段階だが、その内容はIT企業にとって好ましくないものになると複数の議員が示唆している。 データの乱用にまつわる大衆の懸念が大きく高まるなか、連邦レベルでのデータ関連のプライバシー法を制定する動きが活発化してきている。州法レベルでは既に、データ関連のプライバシー保護法を可決しているところもあり、カリフォルニア州の「Consu
セキュリティ人材で大切な資質とは--育成ブームに「苦言」
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます サイバーセキュリティの重要性が増す中で世界的にセキュリティ人材の不足が叫ばれ、人材育成がブームの様相を見せる。こうした状況に専門家がセキュリティ人材に求められる資質を説くとともに、育成ブームに苦言も呈している。 セキュリティテストなどのオープンソースコミュニティー「Institute for Security and Open Methodologies（ISECOM）」の共同創設者でマネージングディレクターを務めるPete Herzog氏は、7月に米Cylanceが運営するブログに投稿したエントリで、「本当に動物が好きでなければ、動物を管理する仕事をすべきではない。これはサイバーセキュリティにも当てはまる」と言及している。 同氏は、以
BroadcomがCA Technologiesを買収へ--約2兆円
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 半導体大手のBroadcomは米国時間7月11日、企業向けソフトウェアを手掛けるCA Technologiesを189億ドル（約2兆1200億円）で買収すると発表した。ソフトウェア分野への拡大を図る動きとなる。 Broadcomによると、CAの買収によってエンタープライズ分野で規模を拡大し、インフラ技術に重点を置く企業となることを目指すという。 CAはメインフレームソフトウェア企業から、DevOpsやセキュリティ、アプリケーション開発に注力する企業へと転換してきた。 Broadcomは、CA株の11日の終値に20％上乗せし、1株あたり44.50ドル（約4990円）をCAの株主に支払う。 Broadcomは、Qualcommの買収に乗り出
CPUの脆弱性、Linux関係者らの見方や対応
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2018-01-05 14:57 Linuxは、プロセッサの脆弱性「Meltdown」「Spectre」の影響を緩和することはできるものの、Linux開発者たちがこの一件について不満を抱いていないわけではないだろう。Linuxカーネルの生みの親であるLinus Torvalds氏もLinuxカーネルのメーリングリスト（LKML）で以下のように述べている。 私は、Intel社内の人物が時間をかけて、自社CPUを厳しい目で精査する必要があると考えている。そして、すべてが設計通りに動作しているといった広報用の文章を作文するのではなく、問題があるという事実を実際に認める必要があるとも考えている。..またこのことは、問題を軽減するためのこれらパッチが「すべてのCPUがガラクタというわ
セールスフォース「レッドチーム」メンバーを解雇--DEF CON講演が原因？
Zack Whittaker （ZDNET.com） 翻訳校正： 矢倉美登里 吉武稔夫 （ガリレオ） 2017-08-10 12:14 クラウドプロバイダ大手のSalesforceは、オフェンシブセキュリティ担当ディレクターと上級職員1人を、7月にラスベガスで開催されたセキュリティカンファレンス「DEF CON」の講演直後に解雇した。 サンフランシスコを拠点とするオフェンシブセキュリティ担当ディレクターのJosh Schwartz氏と、オーストラリアのシドニーで働くシニアオフェンシブセキュリティエンジニアのJohn Cramb氏は、Salesforceのセキュリティで「レッドチーム」のメンバーだった。レッドチームというのは、サイバー攻撃に対する態勢と防御をテストするため、企業に対して社内から攻撃を仕掛けるチームのことだ。 解雇の現場を目撃したという数人のうちの1人によると、2人は「ステージ
NSAから流出のバックドア「DOUBLEPULSAR」、世界で感染急増
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 「Shadow Brokers」を名乗るハッカー集団が米国家安全保障局（NSA）のハッキングツールを公開した問題で、「DOUBLEPULSAR」と呼ばれる新たなバックドアの大量感染が報告されている。感染規模は観測によって異なるが、数万台から十数万台に達するもようだ。 この問題では、米国時間4月14日にShadow BrokersがNSAの開発によるとされる多数のハッキングツールを公開した。幾つかツールではWindowsの脆弱性を悪用することが判明し、Microsoftが更新プログラムで対応した。Shadow Brokersは、「Fuzzbunch」と呼ばれる脆弱性検証ツールも公開していた。 Fuzzbunchについて調査したセキュリティ
女性がサイバーセキュリティの現場から取り残されてきた理由
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 前回は、日本のサイバーセキュリティ人材が不足している現状と、それに対する官民の取り組みについて説明しました。今回は、先日3月8日のInternational Women's Day（国際女性デー）も受け、サイバーセキュリティにおける女性の活躍を中心に、日本の文化的側面を鑑みた人材育成に必要な要素について考えたいと思います。 世界中で気運が高まるサイバーセキュリティにおける女性の活躍 今後の日本のサイバーセキュリティの人材育成と確保に関する議論で、必ずや取り上げられるようになるのが、女性の活躍です。ITのユーザーの半数が女性である以上、ユーザーの懸念・関心に十分に応えていくためには、IT・サイバーセキュリティの供給側でも女性が活躍する必要
IBM、業界初の汎用量子コンピュータのクラウドサービス「IBM Q」を発表
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます IBMは3月6日、業界初の商用利用可能な汎用量子コンピューティングシステム「IBM Q」を発表した。同社のクラウドサービスとして提供されるもので、併せてロードマップやAPIなども公開している。 IBM Qは、従来型のコンピューティングシステムでは難しい複雑かつ指数関数的に拡大するような問題に対処する目的で設計された。量子コンピュータの処理能力は、量子ビットの数や量子演算の品質、量子ビットの接続性、並列処理などを含む「量子体積」で表され、同社は商用では最大となる50量子ビットのシステムを今後数年間で構築する計画を掲げる。 同社はまず化学分野での活用を見込み、既にさまざまな分子における実証実験を進めているという。将来はより複雑な分子構造に対
主要Linuxディストリビューションに深刻な脆弱性--Enterキーを押し続けるだけで悪用可能
主要なLinuxディストリビューションの「Linux Unified Key Setup-on-disk-format」（LUKS）に、セキュリティホールが存在することが明らかになった。LUKSはLinuxで使われているハードディスク暗号化のための標準的な仕組みだ。LUKSは多くの場合、「cryptsetup」というユーティリティを使用してセットアップされている。この脆弱性はcryptsetupに存在するもので、かなり深刻度が高く、影響を受けるLinuxディストリビューションには、「Debian」、「Ubuntu」、「Fedora」、「Red Hat Enterpise Linux」（RHEL）、「SUSE Linux Enterprise Server」（SLES）が含まれる。 セキュリティレポートCVE-2016-4484には、このセキュリティホールを利用すると、攻撃者は「対象システム
HTTP/2プロトコルに複数のセキュリティ問題--Black Hatでレポート公開
Charlie Osborne （Special to ZDNET.com） 翻訳校正： 編集部 2016-08-05 10:28 新しいプロトコルであるHTTP/2に、数千万のウェブサイトを攻撃のリスクに晒す可能性がある複数のセキュリティ問題が発見された。 サイバーセキュリティ会社Impervaは米国時間8月3日、Black Hat USAでウェブや通信システムで使用されるHTTPの最新バージョンであるHTTP/2に関連して、複数の重大なセキュリティホールが存在すると報告するレポートを公開した。 このレポート「HTTP/2: In-depth analysis of the top four flaws of the next generation web protocol」は、HTTP/2に関連する4つの脆弱性と攻撃手法について説明したものだ。現在、HTTP/2の導入数は着実に増加して
インテル、サイバーセキュリティ事業の売却を検討か
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Intelがサイバーセキュリティ事業の売却を検討しているという。成立すれば、大型取引になると英Financial Times（FT）などが報じている。Intelは4月にリストラを発表しており、立て直しの一環と見ることができそうだ。 Intelのセキュリティ事業Intel Securityは、同社が2011年に約77億ドルで買収したMcAfeeを土台としたもの。データ保護、エンドポイント保護、ネットワーク保護、セキュリティ管理などの分野で製品を展開している。McAfeeブランドは2014年に廃止している。 最初に報じたFTの報道（現地時間6月26日付）によると、IntelはIntel Securityの売却について金融機関と話を進めている
「情報セキュリティ人材が足りない」は本当か
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 「情報セキュリティの技術者が足りない」という話をニュースでよく耳にします。国内では、例えばサイバーセキュリティ基本法に絡んだ話や、さまざまな情報セキュリティ事件や事故などの際、はたまた2020年に開催される予定の東京五輪に関連した話といった具合です。 そして「情報セキュリティの技術者を志す若者が少ない」といった話も、同じくこの業界界隈にいると今に始まったことではないのですが、昨今の話題の1つとなっています。それに関連して、昔に比べると学生や若い技術者、また女性の技術者向けのセキュリティイベントやコンテストなどが数多く開催されるようになったり、例えば「攻殻機動隊」とのコラボレーションのようなメディアミックスが実現したりするなど、状況を打開
グーグルのProject Zero、トレンドマイクロのパスワード管理ツールの脆弱性を報告
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Trend Microのパスワード管理ツール「Password Manager」に、遠隔地からのコード実行を許す脆弱性が存在していたことをGoogleのセキュリティチーム「Project Zero」が明らかにした。このツールは、同社のウイルス対策ソフトウェアをインストールした際に、デフォルトでインストールされるようにもなっている。 この脆弱性を発見したのは、Project ZeroのTavis Ormandy氏だ。Password ManagerはJavaScriptとNode.jsを用いて構築されており、ローカル環境上でウェブサーバを起動し、APIコマンドを受け付けるようになっているものの、その際にはホワイトリストや、同一オリジンポリ
パスワード認証は限界か？ 誤解と攻撃の現状--HASHコンサルティング徳丸浩氏
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 「限界に達した、今ある認証 知らぬ間に直面している「危機と限界」を検証する」と題された「ZDNet Japan 認証セキュリティセミナー」が9月16日に開催された。セミナーでは、長く主流であり続けたユーザーID＋パスワードという認証方式では十分なセキュリティが担保できなくなっている状況を再確認。今後採用すべき新たな認証方式や現場で気づかうべきことについて多くの情報が提供された。 なぜパスワードが利用され続けてきたか 基調講演に登壇したのは、HASHコンサルティングの代表取締役社長である徳丸浩氏だ。講演タイトルは「パスワード認証をとりまく現状と今後の対応について」。この講演では、セミナーの根幹である「パスワード認証は限界にきている」という
たった一行のコードが招いた大混乱--英航空管制システムに起きた障害の原因が明らかに
Zack Whittaker （ZDNET.com） 翻訳校正： 川村インターナショナル 2015-02-19 06:30 比較的平穏な金曜日（英国時間2014年12月12日）の午後、英国の領空が1時間近くにわたって混乱状態に陥った。 航空管制システムの不具合だ。上空では多数の飛行機が旋回し、地上ではさらに多くの飛行機が離陸を中止してゲートで待機した。膨大な数の乗客が辛抱強く最新のニュースを待っていた。 何が起きたのか。たった1行の不適切なコードが原因で、重要な飛行計画システムがオフラインになったのだ。 航空管制システムの問題は、（どんな交通手段でも同じだと思うが）ごく小さな障害が大幅な遅延を引き起こすことがある、ということだ。飛行機の場合、それは何日分ものバックログやそのほかのさまざまな問題につながることもある。そのような事態になれば、英国の主要なハブ空港が通常のスケジュールに戻るまでに
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
