数百万の制御システムに影響も、組み込みTCP/IPスタック「NicheStack」に脆弱性
数百万の制御システムに影響も、組み込みTCP/IPスタック「NicheStack」に脆弱性：IoTセキュリティ JFrogのセキュリティリサーチチームとForescout Research Labsは、制御システムに広く利用されているTCP/IPネットワークスタック「NicheStack」に14件の脆弱性を発見したと発表。リモートでのコード実行、サービス拒否、情報漏えい、TCPスプーフィング、DNSキャッシュポイズニングなどのサイバー攻撃につながる可能性がある。 JFrogのセキュリティリサーチチーム（旧Vdoo）とForescout Research Labsは2021年8月3日（現地時間）、工場や発電所、水処理プラントなどの制御システムに広く利用されているTCP/IPネットワークスタック「NicheStack」に14件の脆弱性を発見したと発表した。これらの脆弱性により、NicheSta
Wi-Fiチップに2つの脆弱性発見、影響受けるデバイス多数
Vdooは6月2日(米国時間)、「Realtek Critical Wi-Fi Vulnerabilities Discovered」において、Realtek RTL8170C Wi-Fiモジュールに2つの脆弱性が存在すると伝えた。RTL8170C Wi-Fiモジュールを搭載しているすべてのデバイスが影響を受けるとされている。 攻撃者がこの脆弱性の悪用に成功した場合、RTL8170C Wi-Fiモジュールの制御権が乗っ取られ、このモジュールを使用しているオペレーティングシステムなどにroot権限でアクセスされる危険性がある。 Realtek Critical Wi-Fi Vulnerabilities Discovered Realtek RTL8170C Wi-FiモジュールはCortex M3プロセッサをベースに開発されたWi-Fiモジュールで、次のようなさまざまな分野の機器で使われて
IoT／OTシステムへの攻撃を3社に1社が経験、半数近くが対策不十分を認識
IoT／OTシステムへの攻撃を3社に1社が経験、半数近くが対策不十分を認識：IoTセキュリティ（1/2 ページ） IDC Japanが国内企業のIoT／OTセキュリティ対策実態調査の結果について説明。IoT／OTシステムに関わるセキュリティ事件／事故を経験した企業が36.4％に上る一方で、半数近くの47.7％がセキュリティ対策状況が不十分と認識しつつも、「予算の確保」や「導入効果の測定が困難」を理由に対応を進められていない状況も浮き彫りになった。 IDC Japanは2021年4月27日、オンラインで会見を開き、2020年に続き2回目となる国内企業のIoT（モノのインターネット）／OT（制御技術）セキュリティ対策実態調査の結果について説明した。IoT／OTシステムに関わるセキュリティ事件／事故を経験した企業が36.4％に上る一方で、半数近くの47.7％がセキュリティ対策状況について不十分と
ラズベリーパイを使ったIoTシステムに脆弱性があると指摘があったためセキュリティ対策を施した話 - West Gate Laboratory
概要 先日のブログで記事を書いた、ラズベリーパイを使って作ったIoTシステムに「脆弱性がある」と指摘を受けたので、素人ながら調べつつ最低限のセキュリティ対策を施した話。 westgate-lab.hatenablog.com （ちなみに、上の記事ははてなブログの週間ランキング２位になってしまった） 今週のはてなブログランキング〔2020年2月第1週〕 - 週刊はてなブログ 背景 先日上記のブログ記事を公開したところ、「システムに脆弱性がある」という指摘を多々頂いた。システムというのは、「ラズベリーパイでインターホンを監視して、呼出音を検知したら条件に応じて解錠ボタンを押す」というものである。 もともとは、予定された配達か否かで2通りの解錠方法を考えていた。 予定された配達の場合（廃止済み） 予定していなかった配達の場合（現行版は常にこれ） 受けた指摘は主に2つ。 もともと予定された配達時間
Wi-FiとHIDキーボードエミュレータを搭載し、接続したMacやPCをリモートから操作できるBadUSBケーブル「O.MG Cable」のUSB-CとMicroUSB版が発売開始。
Wi-FiとHIDキーボードエミュレータを搭載し、接続したMacやPCをリモートから操作できるBadUSBケーブル「O.MG Cable」のUSB-CとMicroUSB版の販売が開始されたそうです。詳細は以下から。 O.MG Cableはアメリカのセキュリティ研究者Mike Groverさんが開発したBadUSBケーブルで、USB-A端子内にWi-FiモジュールとHIDキーボードエミュレータが内蔵されており、攻撃対象のMacやPCに接続させることで攻撃者はリモートから仮想キーボードを操り、偽造されたロックスクリーン(LockScream)などからパスワードを盗み取る事ができますが、このO.MG CableのUSB-CとMicroUSB版が新たに発売されたそうです。 O.MG Cable is available now from Hak5 You asked us to tell you
Philips製スマートライト「Hue」経由で不正アクセスに成功 IoTデバイスの闇とは
セキュリティ企業Check Point Software Technologiesは2020年2月5日、スマートライトの脆弱（ぜいじゃく）性を突き、コントローラーを介して企業や家庭のネットワークにランサムウェアなどのマルウェアを仕込む実証について発表した。 Check PointはIoT（Internet of Things）のネットワークを悪用した攻撃の脅威を報じる目的で、Philipsが提供するスマートライト「Hue」に着目。既知の脆弱性（CVE-2020-6007）を悪用して短距離無線通信技術のZigBee経由で不正アクセスしたライトから、ネットワークに侵入した。 ZigBeeでコントロールするスマート照明のセキュリティ問題については、2017年に発表された論文で、Hueを制御して不正なファームウェアをインストールし、周辺のライトのネットワークに増殖させる方法が指摘されていた。今回C
Trend Microがスマート工場に見せかけたハニーポットを設置、どのような脅威があったのか
Trend Microは2020年1月21日（米国時間）、外部からはスマート工場に見えるようなハニーポットを構築した調査の結果を発表した。製造施設に対してどのような攻撃があるのか、攻撃者はどの程度の知識を持ち、どの程度巧妙な手口を使うのかを把握することが目的だ。 この調査は同社が手掛けた最もリアルなハニーポットを使っており、サイバー犯罪者の攻撃を誘うと同時に、攻撃行動を完全に監視できるという。 ハニーポットは実際のシステムに見えるように設計した。構成要素としてスマート工場が当然備えているはずのマシン制御用ハードウェアを含んでいる。プログラマブルロジックコントローラー（PLC）、ヒューマンマシンインタフェース（HMI）、産業制御システム（ICS）などだ。 こういったハードウェアが欠けていると、高度な知識を持った攻撃者であれば、ハニーポットだと分かってしまうからだ。PLCなどには実際の工場で用
ラズパイでやらなければいけない４つのセキュリティ対策！ - Qiita
この記事はRaspberry_Pi - ラズパイでやらなければいけない４つのセキュリティ対策！の再投稿です。 はじめに ラズパイは低価格で高スペックで出来ることも多いのですが、セキュリティ面を何も気にせずデフォルトで利用するのはかなり危ないです！ というのも、ラズパイを使う以上はおそらくインターネットに接続することになると思うのですが、ラズパイはrootユーザーの名前とパスワードが公開されているので、インターネットに接続した段階で、猛烈なアタックを受けます。 なので 新規ユーザーの作成 SSHで公開鍵認証 ポート番号等の設定変更 piユーザーの削除 を行っていきます 参考：5ステップで完了！ラズベリーパイ(B+)のセキュリティ設定まとめ！ 前提条件！ 参考：Raspberry PiにSSHで公開鍵認証を使いたい！ まずはルートユーザーでログインします。 ラズパイの設定が終わっていない方はこ
IoTセキュリティチェックリスト
いわゆる IoT や IoT デバイスと呼ばれている、物理的な実体をもつ物の状態に関する情報を収集したり、収集された情報などをもとに物の状態を変える制御を行うための分散システムは近年、注目されており、今後も増加傾向が続くとされています。 そのような IoT デバイスは、常時ネットワークに接続されており、多数の同じIoTデバイスがネットワーク上に接続されているケースが多く、個々のIoTデバイスのセキュリティ管理の徹底が難しいことが多いと考えられます。また、IoT デバイスの中には、新機能の作り込みに注意を奪われるあまり、セキュリティ的な耐性に関する設計が忘れ去られているものが少なくありません。 利用者においても、IoTデバイスを使ってシステムを構築する際に、必要なセキュリティ的耐性を備えていることを確認した上で、システムを構成する製品を選定することが重要になります。不適切な製品を選べば、サイ
NASA、サイバー攻撃で機密データ流出 侵入口は無許可接続の「Raspberry Pi」
米航空宇宙局（NASA）のジェット推進研究所（JPL）の研究データが昨年、サイバー攻撃により盗まれていたことが、米連邦政府の監察総監室（OIG）が6月18日付で公開した報告書（リンク先はPDF）で明らかになった。 2018年4月にJPLのネットワークに侵入した攻撃者が約10カ月の間ネットワーク内の多数の脆弱性を利用して行動範囲を広げ、火星科学研究探査機のデータを含む約500MBの機密データを盗んだ。深宇宙通信情報網DSN（ディープスペースネットワーク）のデータにもアクセスした痕跡があるため、JPLのネットワークからDSNの宇宙飛行関連システムを切断したという。 攻撃者の侵入口はJPLのネットワークに無許可で接続していたRaspberry Pi端末だった。本来ならば最高情報責任者室（OCIO）がネットワークに接続するすべての端末を管理しているはずだが、正常に機能していなかった。管理者の1人は
スマートロックに締め出され、東京で朝までスマホも財布もなしでサバイバルした話
スマートロックに締め出され、東京で朝までスマホも財布もなしでサバイバルした話2019.06.19 19:00183,268 amito 財布もスマホもない、あなたならどうします？ スマートホームデバイス、けっこう増えてきましたね。夫婦2人暮らしの我が家も積極的に導入していて、エアコンやテレビはAlexaで操作できるようになりました。 そして先日引越しをしたので、このタイミングでスマートロックを取りつけたんです。めちゃめちゃ便利でした。工事不要でサムターン（鍵の内側のつまみ）にかぶせるだけ。解錠も施錠もスマホでできますし、何より鍵を持ち歩く必要がなくなったのがすっごく快適なんです。 そのスマートロックに締め出されました。 金曜日の21時ごろでした。粗大ゴミを出しに2人で同時に外のゴミ置場に向かいました。｢このへんでいいかな？｣とゴミの置き場所を相談していると玄関の方で｢ウィーーーン…ガチャン
IoTセキュリティの強い味方はハンドブックの形で現れる
IoTセキュリティの強い味方はハンドブックの形で現れる：宮田健の「セキュリティの道も一歩から」（38）（1/2 ページ） 「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届け！ 今回は、内閣サイバーセキュリティセンターが先ごろ発行した「情報セキュリティハンドブック」を紹介します。 サイバーセキュリティというものは難しいもの。これまで生きてきて学校でも教えてもらえなかったし、ましてや会社組織の中でもアレはダメ、コレはダメと言われるだけでなんでダメなのかは誰も教えてくれません。そのくせ最近は「とにかくアップデートしましょう！ それで機能不具合が出るかもしれませんけど」なんてことを言い出します。機能不具合が出るかも？ 今動いているものに手を加えるだなんてとんでもない！
元妻が住む家のエアコンを遠隔操作で嫌がらせ、商品レビューで告白 スマートホームの注意点とは？
家電への不正アクセスといえば、2016年10月に起きた大規模なDDoS攻撃を思い浮かべる方もいるでしょう。TwitterやSpotifyといったサービスが利用できなくなるなど、史上最悪規模といわれた事件です。 パスワードが工場出荷時のままなど、セキュリティ対策が十分にとられていないIoTデバイスが大量に悪意のあるソフトウェア「Mirai」に感染し、DoS攻撃の踏み台に使われました。しかし今回は気付かないうちに実行される、個別の攻撃についての危険性について考えます。 離婚した元妻の自宅エアコンをスマホから不正操作する元夫 以前、海外のオンライン通販サイトのカスタマーレビュー欄に驚くべき内容が投稿され、波紋が広がりました。対象となった製品は家庭で使われるエアコン制御用のIoTデバイスです。ネットワークに接続できるため、家庭内だけではなく外出先からスマホでエアコンの操作、室温の監視ができます。
【セキュリティ ニュース】IoTセキュリティ対策の進捗状況と今後の課題を取りまとめ - 総務省（1ページ目 / 全2ページ）：Security NEXT
総務省は、IoTにおけるセリュリティ対策の進捗状況と今後の取り組みについて取りまとめた。 さまざまな機器がインターネットへ接続される「IoT」において、セキュリティの確保が社会における重要な課題であるとして、同省では2017年10月に「IoTセキュリティ総合対策」を公開。その後の進捗状況や今後求められる取り組みを「IoTセキュリティ総合対策プログレスレポート2019」として、取りまとめた。 「IoTセキュリティ総合対策」では、IoTが社会基盤となると、セキュリティ対策が不十分な場合、広範囲でリスクが顕在化するおそれがあり、部分最適では不十分で、全体最適の総合的なセキュリティ対策が必要であると指摘。 内閣サイバーセキュリティセンターが公表した「安全なIoTシステムのためのセキュリティに関する一般的枠組み」を踏まえ、課題を「脆弱性対策の体制整備」「研究開発の推進」「企業などのセキュリティ対策」
クラウドでOSSの脆弱性を管理、IoTデバイス向けセキュリティサービス
日本システムウエアは2019年4月9日、トレンドマイクロが提供するIoT（モノのインターネット）機器向けのセキュリティソリューション「Trend Micro IoT Security（TMIS）」を活用した、IoTデバイス用セキュリティソリューション「Toami Edge Security」の提供を開始した。 同サービスではセキュリティ管理対象のIoTデバイスにソフトウェアエージェントを組み込み、トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network」と連携させる。これにより、同ネットワークに蓄積したセキュリティデータをさまざまなリスク検知に活用できる。 リスクに対する防御や堅牢（けんろう）性を高めるシステム保護機能も備えた。ネットワークレピュテーションでは、接続先の安全性をTrend Micro Smart Protec
ICチップにクライアント証明書を書き込むIoTセキュリティサービス
GMOグローバルサインとBig Good Intelligent Systemは、IoTデバイスのセキュリティサービス「G-Shield」を開発した。ICチップの汎用的なメモリ空間とは物理的に隔離された領域に、GMOグローバルサインが発行するクライアント証明書を書き込める。 GMOグローバルサインは2019年3月15日、Big Good Intelligent Systemと共同で、IoT（モノのインターネット）デバイスのセキュリティサービス「G-Shield（ジーシールド）」を開発し、提供を開始した。 G-Shieldは、ICチップの汎用的なメモリ空間とは物理的に隔離された領域（トラストゾーン）に、GMOグローバルサインが発行するクライアント証明書を書き込めるサービスだ。ICチップを搭載するIoT製品のシリアル番号とひも付けたクライアント証明書を書き込むことで、「その製品が本当に製造元の
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
TechCrunch