ランサム被害の徳島・半田病院、報告書とベンダーの言い分から見える根深い問題
ランサムウエア（身代金要求型ウイルス）攻撃の被害を2021年10月に受けた徳島県のつるぎ町立半田病院は2022年6月7日、経緯などをまとめた有識者会議による調査報告書をつるぎ町議会に提示した。 既報の通り、ランサムウエアの感染経路は米Fortinet（フォーティネット）製のVPN（仮想私設網）装置経由である可能性が高いことを、今回の調査報告書も指摘した。VPN装置の脆弱性を放置していただけでなく、病院内LANも「閉域網だから安全」という誤解のもと、マルウエア（悪意のあるプログラム）対策ソフトの稼働を止めるなどリスクの高い設定で運用していたと明らかにした。 ランサムウエア攻撃に遭った徳島・半田病院、被害後に分かった課題とは 調査報告書は半田病院のサイバーセキュリティーに関する知識不足を指摘する一方で、顧客を支援する提案をしてこなかったベンダーの不作為を強く批判した。ただ、とりわけ強く批判され
パスワードマネージャのLastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表。パスワードレスの時代にパスワードマネージャの存在意義はどうなるのか？
パスワードマネージャのLastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表。パスワードレスの時代にパスワードマネージャの存在意義はどうなるのか？ LastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表しました。 Passwordless is possible. Introducing Passwordless login by LastPass. The first password manager committed to a FIDO-supported #Passwordless future. Learn more: https://t.co/8UKhZPrkcZ pic.twitter.com/Nzk3F7payK — LastPass (@LastPass) June 6, 2022 We’ve joined
TP-Link製Bluetooth機器でMACアドレスが重複 「他社も同様」と説明 BUFFALO、IODATAは否定
MACアドレスが重複しているBluetoothレシーバーがあった――そんな投稿がTwitterで話題になった。投稿によると、中国ネットワーク機器メーカーのTP-Linkが販売するBluetoothレシーバーにおいて、原則同じものは存在しないはずのMACアドレスが重複しており、2台同時に使用できないという。事実関係をTP-Link日本法人に尋ねた。 話題になったのは同社のBluetoothアダプター「UB500」。PCのUSBポートに挿入することで、Bluetooth通信機能を付加する製品だ。TP-Linkによると、同製品でMACアドレスが共有されているのはミスではなく仕様という。MACアドレスはネットワーク機器に振り分けられる識別番号。原則として全ての機器に異なる番号が割り振られる。 複数の個体でMACアドレスが重複している理由についてTP-Linkは「ほとんどのユーザー環境でユーザー1人
ドコモとソフトバンク、パスワードをハッシュ化せず保持 「パスワードを忘れた」からユーザーへ開示【追記あり】
ドコモとソフトバンク、パスワードをハッシュ化せず保持 「パスワードを忘れた」からユーザーへ開示【追記あり】 LINEMOがパスワードを平文保持している――そんな報告がTwitterで上げられている。ITmedia NEWS編集部で確認したところ、LINEMOの他にドコモとahamo、ソフトバンク、Y!mobileの会員サービスでも、ユーザーに対してパスワードを平文で提示する機能を持っていることが分かった。事業者側によるパスワードの平文保持は、不正アクセスなどで情報漏えいが起きた際のリスクになる可能性がある。 【編集履歴：2022年3月16日午後2時 ドコモへの追加取材に伴い、タイトルとドコモ引用部の記述を変更し、追記を行いました】 【編集履歴：2022年3月16日午後7時30分 ソフトバンクへの追加取材に伴い、ソフトバンク引用部の記述を変更し、追記を行いました】
セキュリティツールの評価は難しい - knqyf263's blog
前から思ってたことをちょっと書かずにいられなくなったのでポエムを書きました。 背景 問題 検知している方が正しいように見えがち 条件を揃えるのが難しい 環境の再現が難しい 検知数が多い方が良さそうに見える 正解かどうかの判断が難しい カバー範囲の正確な見極めが難しい 検知されないほうが嬉しい まとめ 背景 お前誰だよってなるかもしれないので書いておくと、Trivyという脆弱性スキャナーのメンテナをやっています。 github.com とある有名な方による以下のツイートがありました。 I just discovered, during @cloudflare #SecurityWeek no less, that Trivy (the vuln scanner) doesn't detect known issues in Alpine images. Including a critica
セキュリティ担当者に感情論を持ってくる奴は全員爆発しろ
私は出先部署のセキュリティ担当者だ。大学の専攻は異なるが、本来業務に上乗せでやらされている。ここ10年、誰かがやらないといけないことだからやってきた。 やりたくてやってる訳じゃない。100%ただの善意、ボランティアである。 これまで色々なことがあった。 1)お局対応 「都度アップデートなんて面倒臭いからやりたくない」「貴方が定期的にやれば良いじゃない」 →いつ使用システムのアプデが発生するかなんて誰にも分からない。お前が使うタイミングに合わせてアプデしろとか私はお前の奴隷じゃない。そもそも部署が違う。爆発しろ。 2)馬鹿対応 「私は貴方より役職が上だから貴方の言うことなんて聞く必要無い。アップデートなんて不要でしょ。」 →論外。爆発しろ。 3)上司対応 「増田君、パソコン好きだったよね。これもあれもチャチャっとやっちゃってよ。」 →「好きではありません。システム使わないと仕事が終わらないか
ダークネットで観測できる面白パケットいろいろ - ラック・セキュリティごった煮ブログ
始めまして。デジタルペンテストサービス部の北川です。 筆者の自宅ではダークネット観測装置という名のただのtcpdumpがずっと動いてるだけのRaspberry Piがあります。 パケットをどんどん記録していくのは良いのですが、どんなパケットが来ているか全然見てなかったので、ご紹介したいと思います。 ダークネットとは ダークネットとは、インターネット上で到達可能かつ未使用のIPアドレス空間のことです。ダークネットを観測することにより、インターネット上で行われているポートスキャンなどの活動を見ることができます *1。 ダークネット観測といっても、ブラックホールセンサ、低インタラクションセンサ、高インタラクションセンサといくつか種類があり、筆者は一番運用が簡単なブラックホールセンサを運用しています。 ブラックホールセンサは、受信したパケットに対して一切応答を返さない種類になります。 そのため、外
Tomohisa Ishikawa, CISSP, CSSLP, CISA, CISM, CFE
Tomohisa graduated in March 2009 from International Christian University with a Bachelor's of Arts in Computer Science. Also, he has won 1st prize and 2nd prize in various English Parliamentary Debate Competition. After graduation, Tomohisa works as a Security Consultant for Nomura Research Institute (seconded to NRI SecureTechnologies). He is specialized in penetration testing, red team operation
ゼロトラストという戦術の使い方 | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製
最高裁無罪判決のご報告｜モロ
こんにちは。モロ（@moro_is）です。 4年近く続いておりましたコインハイブに関する裁判について、昨日、最高裁にて「無罪」の判決を賜りました。 地裁、高裁と繰り返しになってしまいますが、非常に多くの方のご助力あってこそ勝ち取れた判決と感じております。 多大なるご支援、心からありがとうございました。 判決について 専門外となってしまうためあまり難しいことはいえませんが、地裁に続き、 ウェブサイトの運営者が閲覧を通じて利益を得る仕組みは、ウェブサイトによる情報の流通にとって重要である というクリエイターの目線に立った一文を添えていただけたことを非常に嬉しく思います。 また、無罪であったとはいえ私の方にも反省する点は多く、今後はよりユーザーの目線に立った制作者たるよう、肝に銘じて精進いたします。 若輩者ではございますが、引き続き何卒よろしくお願いいたします。 無罪のびろーんについて 「無罪」
#WizardBible 事件から考えるサイバーセキュリティ - ただのにっき(2022-01-03)
■ #WizardBible 事件から考えるサイバーセキュリティ 年末年始休暇でやりたかったこと第2弾。年末2日寝込んでいたのもあって、けっきょく2つしか消化できなかったよ、トホホ。それにしても、ものすごく久しぶりに読書記録をつけてる気がする*1。 ご存じ「Wizard Bible事件」「Coinhive事件」「アラートループ事件」からなる、近年のサイバーセキュリティ3大冤罪事件をまとめた本である。出版にあたってクラウドファンディングが行われたんだけど、たしかそれを知ったときには目標を達成していた覚えがある。とにかく業界の注目度はめちゃくちゃ高いので、さもありなんという。 それぞれの事件はわりと熱心に追っていたし、約3年前のイベントにも参加していたから全体像は把握していたものの、本書はそれに加えて当事者への詳細なインタビューと、この手の刑事事件に巻き込まれてしまったときの対処法まで詳しく書
【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました | DevelopersIO
AWSチームのすずきです。 2021年12月11日、 AWS の Managed Ruleとして提供されている AWSManagedRulesKnownBadInputsRuleSetに新しい保護ルール「Log4JRCE」が追加されました。 Apache Log4j2 Issue (CVE-2021-44228) Log4j の脆弱性(CVE-2021-44228)対策として、AWS WAFの有効性を確かめる機会がありましたので、紹介させていただきます。 AWS Managed Rule Known bad inputs 新しいルール 「Log4JRCE」 が追加されました。 試してみた WAF(ACLs)設定 AWSManagedRulesKnownBadInputsRuleSet のみ設定した WebACLを用意しました。 BadInputsRuleSetのバージョンはデフォルト、検証
スイーツパラダイス(スイパラ)利用者のクレカ情報が不正利用されている疑惑。FGO、原神、にじさんじ、まどか、第五人格などとのコラボ期間中
むぎ @tr_mugi クレカ不正利用されたんですが、スイパラさんクレカ情報漏れてたりしません？それ以外考えられないんですが、、、、、、、、、、そのほかはいつも利用してるところしかないので、、、 2021-12-06 23:22:22 むぎ @tr_mugi やっぱりスイパラに問い合わせます……1人の声じゃどうにもならないと思うんですが、カード会社には被害額の四万払ってくださいとか言われてしまったので、悔しすぎるので問い合わせるだけ問い合わせます。もし最近クレカの不正利用に遭われた方いらっしゃいましたら、教えていただけますと幸いです。 2021-12-09 21:46:35 八尋 @yhr__k 昨日クレジットカードの不正利用あって、Twitterでスイパラ通販利用した方が何人か不正利用のツイートされてたから念のためとりあえず問い合わせ送ってみたら早速電話きて、そういったことは今のところは
Androidで緊急通報ができなかったのはMicrosoft Teamsのせい
Android端末の一部環境で救急車を呼ぶ緊急通報ができない問題が存在した一件で、GoogleのPixelコミュニティチームにより、Microsoft Teamsがインストールされた端末で特定の条件を満たしたときに問題が発生することが判明しました。 Google confirms Android bug that prevents emergency calling - 9to5Google https://9to5google.com/2021/12/08/android-emergency-calling-bug/ Microsoft Teams is the reason some Android users can't dial 911 https://www.androidpolice.com/google-finally-knows-which-app-to-blame-for
Django 4.0 released
Posted by Mariusz Felisiak on December 7, 2021 The Django team is happy to announce the release of Django 4.0. The release notes cover the abundance of new features in detail, but a few highlights are: The new RedisCache backend provides built-in support for caching with Redis. To ease customization of Forms, Formsets, and ErrorList they are now rendered using the template engine. The Python stand
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
VPN装置やファイアウォールを無料でクラウド化！ より使いやすく進化した「Cloudflare Zero Trust」【イニシャルB】
ハッキング大会で「Firefox」が致命的脆弱性の合わせ技で陥落、開発チームが即座に修正／「Firefox 100.0.2」「Firefox ESR 91.9.1」「Thunderbird 91.9.1」などへの更新を
【特集】 在宅ワークでデスクトップとノートを併用するため、辿り着いた結論は宅内リモートデスクトップだった
「結局アマゾンか」 デジタル庁、クラウドで米2社選定 もがくデジタル庁（4） - 日本経済新聞
