認証に電話網を使うのはそろそろやめよう
こんにちは、Azure Identity サポート チームの 高田 です。 本記事は、2020 年 11 月 10 日に米国の Microsoft Entra (Azure AD) Blog で公開された It’s Time to Hang Up on Phone Transports for Authentication の抄訳です。新着記事ではありませんが、以前より繰り返し様々な記事で参照されており、多くのお客様にとって有用であるため抄訳しました。ご不明点等ございましたらサポート チームまでお問い合わせください。 以前のブログ パスワードで攻撃は防げない - Your Pa$$word doesn’t matter では、パスワードに潜む脆弱性を明らかにしました。加えて、「でもパスワード以外の他の認証方法も侵害される可能性あるでしょ」という無数の DM や E メールに対する答えとして
マイクロソフトの最新レポートは盛りだくさんで勉強になる｜一田和樹のメモ帳
マイクロソフトは2022年11月4日に「Microsoft Digital Defense Report 2022」（https://www.microsoft.com/en-us/security/business/microsoft-digital-defense-report-2022）を公開し、11月7日には抄訳の日本語訳の「独裁的指導者の攻撃性の増加に伴い、国家支援型のサイバー攻撃がより大胆に」（https://news.microsoft.com/ja-jp/2022/11/07/221107-microsoft-digital-defense-report-2022-ukraine/）を公開した。2022年に起こった主要なサイバーセキュリティ5つのポイントについてまとめている。 ピックアップされた5つのポイント ・サイバー犯罪の状況（The State of Cybercri
Microsoftの設定ミスで2.4TBもの機密データが公開されていた、111カ国の6万5000もの企業が影響を受けた可能性
Microsoftのクラウド用オブジェクトストレージサービスであるAzure Blob Storageの構成に設定ミスが存在し、合計2.4TBに及ぶMicrosoftの顧客の機密データが公開状態となっていたことが判明しました。問題を発見したセキュリティ企業のSOCRadarによると、公開されていたデータにはユーザー情報や業務に関するファイルが含まれており、111カ国の6万5000もの企業が影響を受けたとのことです。 Sensitive Data of 65,000+ Entities in 111 Countries Leaked due to a Single Misconfigured Data Bucket https://socradar.io/sensitive-data-of-65000-entities-in-111-countries-leaked-due-to-a-sin
Microsoft Teams のデスクトップアプリが認証トークンを平文で保存する問題、修正予定なし | スラド セキュリティ
Microsoft Teams のデスクトップアプリが認証トークンを平文で保存していることが Vectra の調べにより判明したのだが、報告を受けた Microsoft では修正の必要な問題ではないと回答しているそうだ (Vectra のブログ記事、 Ars Technica の記事、 Dark Reading の記事、 VentureBeat の記事)。 Microsoft Teams のデスクトップアプリ (Windows / Mac / Linux) は Electron ベースのウェブアプリケーションだ。しかし、標準状態のElectronでは、通常のウェブブラウザーで利用可能なファイルをセキュアに保持する仕組みなどが利用できない。Microsoft Teams アプリでは認証トークンが特別な権限なく読み取り可能な場所に平文で保存されているため、ローカルやリモートの攻撃者は容易に認証
Microsoft Teamsの認証トークンが平文で保存されていることからアカウント乗っ取りの危険性があると研究者が警告
オンラインビデオ会議ツール「Microsoft Teams」のデスクトップアプリで、認証トークンや多要素認証(MFA)をオンにしたユーザーアカウントに攻撃者がアクセスできる深刻なセキュリティ脆弱(ぜいじゃく)性があることが分かりました。 Undermining Microsoft Teams Security by Mining Tokens https://www.vectra.ai/blogpost/undermining-microsoft-teams-security-by-mining-tokens Microsoft Teams stores auth tokens as cleartext in Windows, Linux, Macs https://www.bleepingcomputer.com/news/security/microsoft-teams-stores-
Microsoft Teams stores auth tokens as cleartext in Windows, Linux, Macs
HomeNewsSecurityMicrosoft Teams stores auth tokens as cleartext in Windows, Linux, Macs Microsoft Teams stores auth tokens as cleartext in Windows, Linux, Macs Security analysts have found a severe security vulnerability in the desktop app for Microsoft Teams that gives threat actors access to authentication tokens and accounts with multi-factor authentication (MFA) turned on. Microsoft Teams is a
ネットワーク上のマクロ入りExcelが全力でブロックされるようになったらしい
リンク 窓の杜 ダウンロードしたVBAマクロは既定でブロックへ ～「Microsoft Office」攻撃への対策を強化／警告のメッセージバーは赤色へ変更、ボタンだけでは有効化不能に 米Microsoftは2月7日（現地時間）、インターネットから入手したVBA（Visual Basic for Applications）マクロを既定でブロックする方針を明らかにした。「Microsoft Office」を狙う攻撃からユーザーを保護するためであるという。 26 users 71 リンク 窓の杜 Microsoft、ダウンロードしたVBAマクロを既定でブロックする方針を一時撤回か／「Microsoft 365 管理センター」で最新チャネルのロールバックを通知 米Microsoftは7月7日（現地時間）、ダウンロードしたVBAマクロを既定でブロックする変更をロールバックし、「Microsoft O
プッシュ通知を出しまくってユーザーのうっかりミスを待つ多要素認証攻撃が続発中
通常のID＋パスワードの認証にくわえて、SMSやワンタイムパスワード、プッシュ通知など別個の認証をさらに要求する「多要素認証(2段階認証とも)」は、パスワードの盗難などによるアカウント詐取を未然に防いでくれるため、金融機関をはじめとするさまざまなITサービスで急速に普及が進んでいます。そんな多要素認証について、「プッシュ通知を出しまくってユーザーのうっかりミスを待つ」という新たな攻撃手法が「Microsoft Office 365」で続発していると報告されています。 Current MFA Fatigue Attack Campaign Targeting Microsoft Office 365 Users - GoSecure https://www.gosecure.net/blog/2022/02/14/current-mfa-fatigue-attack-campaign-tar
VSCodeのGitHubリポジトリに対する不正なPushアクセス
はじめにMicrosoftは脆弱性の診断行為をセーフハーバーにより許可しています。 本記事は、そのセーフハーバーを遵守した上で発見/報告した脆弱性を解説したものであり、無許可の脆弱性診断行為を推奨する事を意図したものではありません。 Microsoftが運営/提供するサービスに脆弱性を発見した場合は、Microsoft Bug Bounty Programへ報告してください。 要約VSCodeのIssue管理機能に脆弱性が存在し、不適切な正規表現、認証の欠如、コマンドインジェクションを組み合わせることによりVSCodeのGitHubリポジトリに対する不正な書き込みが可能だった。 発見のきっかけ電車に乗っている際にふと思い立ってmicrosoft/vscodeを眺めていた所、CI用のスクリプトが別のリポジトリ(microsoft/vscode-github-triage-actions)にま
Microsoft 365/Azureで不正侵入と隠匿活動を確認、チェックを
United States Computer Emergency Readiness Team (US-CERT)は1月8日(米国時間)、「CISA Releases New Alert on Post-Compromise Threat Activity in Microsoft Cloud Environments and Tools to Help Detect This Activity ｜CISA」において、Microsoft 365 (M365)およびMicrosoft Azure環境で侵害されたアプリケーションを利用した持続的標的型攻撃(APT: Advanced Persistent Threat)が行われていることを確認したと伝えた。 CISA（Cybersecurity and Infrastructure Security Agency ）はこの新しい脅威に対して新し
セキュリティ製品／サービスを「Microsoft Defender」ブランドに統一
セキュリティ製品／サービスを「Microsoft Defender」ブランドに統一：Microsoft Azure最新機能フォローアップ（122） Microsoftは2020年9月に開催した仮想カンファレンス「Ignite 2020」で、Microsoft AzureとMicrosoft 365（旧称、Office 365）の“Threat Protection”や“Advanced Threat Protection（ATP）”として知られる一連のサービスの名称変更を発表しました。以前の名称から大きく変更されることになるため、今後、順次行われることになるであろう管理UIへの反映や、オンラインまたはオフラインのドキュメントの参照の際には注意してください。 Microsoft Azure最新機能フォローアップ 「Threat Protection」の大幅なサービス名変更を実施 Micros
Microsoft、TLS 1.0/1.1廃止日一覧を公開
TLS 1.0およびTLS 1.1はセキュリティ上、脆弱であると考えられており、多くのベンダが使用停止を進めている。Microsoftも同社のサービスやプロダクトにおいてTLS 1.0および1.1の使用停止を進めている。しかし、この作業は一度に進められているのではなく、サービスやプロダクトごとに個別に進められている。どのサービスでいつ利用できなくなるのか、まとまった情報は公開されていない。 Microsoftはこのほど「TLS 1.0 and 1.1 deprecation - Microsoft Tech Community - 1620264」において、同社のサービスおよびプロダクトにおけるTLS 1.0/1.1サポート廃止のタイムラインを簡単にまとめた情報を公開した。どのサービスがいつサポート廃止となるかを確認できる。 掲載されている主な情報は次のとおり。
マイクロソフト、Linux用のマルウェア対策ソフト「Microsoft Defender ATP for Linux」正式版リリース
マイクロソフト、Linux用のマルウェア対策ソフト「Microsoft Defender ATP for Linux」正式版リリース マイクロソフトはLinux用のマルウェア対策ソフト「Microsoft Defender ATP for Linux」の正式版リリースを発表しました。 Today we're also excited to announce general availability of Microsoft Defender ATP for #Linux! Customers now get a truly unified security experience for the full spectrum of mobile, desktop, and server platforms. https://t.co/JUeXVgrIO0 #mdatp #linuxsecuri
攻撃シミュレーション トレーニングの使用を開始する - Microsoft Defender for Office 365
ヒント Microsoft Defender XDR for Office 365 プラン 2 の機能を無料で試すことができることをご存知でしたか? Microsoft Defender ポータル試用版ハブで、90 日間の Defender for Office 365 試用版を使用します。 こちらからサインアップできるユーザーと試用版の使用条件の詳細について参照してください。 Microsoft Defender for Office 365 プラン 2 (アドオン ライセンスまたは Microsoft 365 E5 などのサブスクリプションに含まれる) を持つ組織では、Microsoft Defender ポータルの攻撃シミュレーション トレーニングを使用して、 で現実的な攻撃シナリオを実行できますorganization。 これらのシミュレートされた攻撃は、実際の攻撃が収益に影響を与
「データセンターから生きて出ることはない」Azure廃棄ディスクの行方を追ってみた
はじめに 堀ノ内さんのアドベントカレンダー記事で触れられていた「廃棄ディスク問題」が気になって自分でも調査＋問い合わせしたくなっちゃった佐藤です。 堀ノ内さんのアドベントカレンダー記事では最近話題になった「神奈川のデータ漏洩問題」に触れて、MicrosoftのHPなどからMicrosoftのデータ破棄の考え・人的リスクに対する対応などがまとめられています。 そこで、私も公式ドキュメントからわかることを先にまとめて、それをよんで分からなかったことをcloud.config Divの神田君に協力していただいてMicrosoftに問い合わせてみたので、その結果を紹介します。 公式ドキュメントの記述 「azure データ破棄」と調べると一番上に出てくる公式ドキュメントでは、Azureインフラストラクチャのコンプライアンスは以下のように書いてあります。 > Azure インフラストラクチャは、ISO
Microsoft、マルウェア対策ソフト「Defender」を2020年にLinuxでも利用可能にする方針 | スラド Linux
taraiok曰く、 MicrosoftがWindows向けに提供しているセキュリティ機能「Defender」のLinux版が今後提供される予定だという（ZDNet、FOSSBYTES、Slashdot）。 MicrosoftのコーポレートバイスプレジデントであるRob Lefferts氏が述べたもの。すでにMac向けに「Microsoft Defender ATP for Mac」がアナウンスされているが（過去記事、Linux版については2020年に利用可能になるという。 なおTechSpotの10月の記事によると、DefenderはAV-Comparativeによって行ったテストで、オンライン保護率99.96％を達成。トップ10入りに成功したとしている。具体的には8位でAviraと同率だった。
)
セキュリティに関する 10 の鉄則
このブラウザーはサポートされなくなりました。 Microsoft Edge にアップグレードすると、最新の機能、セキュリティ更新プログラム、およびテクニカル サポートを利用できます。 Microsoft Security Response Center では、毎年何千ものセキュリティ レポートを調査しています。この中には、当社のいずれかの製品の問題に起因する真のセキュリティの甘さを指摘するレポートもあります。このような場合、我々はこのエラーを修正するための修正プログラムをできるだけ迅速に作成します (「Microsoft Security Response Center を巡るツアー」を参照)。また、単に製品の使い方の間違いが原因となって発生する問題がレポートされているケースもあります。しかし、ほとんどがその中間に位置します。つまり、真のセキュリティ問題を論じているものの、製品の問題が原因
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
個人向け「Microsoft Defender」提供開始。iPhone・Macも保護
/blog/2021/12/microsofts-response-to-cve-2021-44228-apache-log4j2-jp/
ドライブの暗号化技術「BitLocker」で情報流出リスクに備えを ～Microsoftが呼びかけ／Windows 10の場合“Pro”以上のエディションで無償利用できる
