サイバーセキュリティの近未来｜NSA 2023 Cybersecurity Year in Reviewから読み解く今後の動向
2023年12月19日、NSA（National Security Agency：アメリカ国家安全保障局）が「NSA 2023 Cybersecurity Year in Review[i]」を公開しました。この資料では、NSAの2023年のサイバーセキュリティに関連する取り組みや成果を紹介しています。 NSA自身の１年の成果報告書のような位置づけの資料ですが、この内容を読み取ることで、世界でも最先端のサイバーセキュリティ技術を有するアメリカが、現在どこで戦っていて、どのような未来に注目しているのかなどの貴重な情報が得られます。本ブログでは、このレポートの内容から気になるポイントをいくつかピックアップしてご紹介しつつ、個人的な感想も交えながら、そこから読み取れるサイバーセキュリティ業界の動向について解説します。
Javaで書いた4行のコード、依存関係をたどると51万行に――超複雑化するソフトウェア構成、SBOMで探るには
＠IT編集部は2022年8月22日、デジタルイベント「＠IT ソフトウェア品質向上セミナー」を開催した。基調講演では、「SBOMによるサプライチェーン攻撃対策～自社ソフトウェアのリスク、把握していますか？～」と題して、JFrog Japanの横田紋奈氏（デベロッパーアドボケイト兼Java女子部・JJUG運営）が、企業におけるオープンソースソフトウェア（OSS）の使用に潜むリスクにはどのようなものがあり、それにどう対処していけばよいかについて解説した。 ソフトウェアのセキュリティで注目されるソフトウェアサプライチェーン攻撃 SBOMとソフトウェアサプライチェーンの話題の前に、横田氏はDevSecOpsとは何かから話を始めた。DevOpsは、開発者と運用者が協力してサービスを改善していくもの。ユーザーからのフィードバックなどを受けて取り組みを繰り返し、改善を継続する。そのための考え方であり、組
日本の実情が反映された新国際標準「X.1060」とは何か 編纂者がセキュリティの変遷から紐解く
そもそも「X.1060」と「ITU-T」とは何か 2021年6月末、ITU-T（国際電気通信連合の電気通信部門）にて、国際勧告X.1060が承認されました。 タイトルは、『Framework for the creation and operation of a cyber defence centre』であり、日本語訳するならば「サイバーディフェンスセンターを構築・運用するためのフレームワーク」といったところでしょうか。「サイバーディフェンスセンター」と言われてしまうと何か身構えてしまいます。 そこで本連載では、日本でどのように解釈すればよいのかを紐解き、より良いセキュリティ対策を実現するための組織作りに役立ててもらえればと思います。 まずは、ITU-Tがどのような組織か紹介します。ITU-Tは国際連合の専門機関の1つで、国際電気通信連合の「ITU（International Telec
「権限要求多すぎ」──セブン-イレブンのTwitterキャンペーンに批判相次ぐ→中止に なぜこうなったかは「確認中」
セブン-イレブン・ジャパンが7月11日に始めたTwitterキャンペーンが波紋を呼んでいる。社名にちなんだ「セブン-イレブンの日」として無料クーポンをプレゼントする企画だったが、応募のためには個人のTwitterアカウントと外部アプリを連携させる必要があった。その際に要求される権限が不適切ではないかという声が上がり、同社は12日午後11時にキャンペーンの新規応募を中止した。 要求の中には「他のアカウントをフォロー、フォロー解除する」「他のアカウントをミュート、ブロック、報告する」「このアカウントでダイレクトメッセージを送信、確認、管理、削除する」など、アカウント情報を閲覧する以上の権限が含まれていた。 この要求を許可すると、セブン-イレブンが管理するサードパーティーアプリからツイートやフォロー、いいね、RT、プロフィール変更などの操作が可能となってしまう。これに対し、立命館大学の上原哲太郎
中古のAmazon Echoを調べたら、そもそもみんな個人情報を消してなかったし、リセットしても個人情報を復元できてしまった
中古のAmazon Echoを調べたら、そもそもみんな個人情報を消してなかったし、リセットしても個人情報を復元できてしまった2021.07.08 21:0069,067 Lucas Ropek - Gizmodo US ［原文］ （ mayumine ） 中古品を売る、譲渡する時には改めて気をつけましょう。 Amazon Echo等のIoTデバイスは、一般家庭にも普及し、新しいデバイスもどんどん登場するので、使わなくなった中古デバイスをメルカリ等でリセールするのは当たり前になってきました。アマゾンは製品の利用後、個人情報の消去のためにデバイスを工場出荷時状態までリセットしてから、他者への販売や譲渡することを推奨しています。 しかしデバイスを単純にリセットしただけでは、そのデータがこの世界から抹消されるわけではありません。その端末を再販することで、その古い個人情報が蘇ってしまう可能性も仮説上
声を出さずに「助けて」と伝える世界共通サイン、憶えておくといつか助けられたり誰かを助けることができるかもしれない
リンク Wikipedia Signal for Help The Signal for Help (or the Violence at Home Signal for Help) is a single-handed gesture that can be used by an individual to alert others that they feel threatened and need help over a video call, or in-person. It was originally created as a tool to comb 1073 ゆずみかん🇫🇷パリでフリーランサー @yuzumikan4791 世界中で使える”助けて“のハンドサイン。HelpのHと、MeのMの形。 家庭内暴力など、声をあげて助けを呼べない場面で使うことが可能です。 国際女性
ブラウザの追跡ブロック機能を回避する「CNAMEクローキング」を行うサービス・企業のリストが公開中
プライバシーへの懸念からウェブサイトや広告配信においてCookieの利用が制限されていく中で、Cookieを使わずにユーザーを追跡する手法を利用したケースが増加しています。このような手法の1つであり、検出・ブロックが難しいとされる「CNAMEクローキング」を行う企業・サービスのリストを、広告ブロッカーを開発するAdGuardが発表しました。 AdGuard names 6,000+ web trackers that use CNAME chicanery: Feel free to feed them into your browser's filter • The Register https://www.theregister.com/2021/03/04/adguard_cname_tracker/ Ad-Blocker Company Releases List of 6K Tr
Googleに騙されてはいけない：FLoCは邪悪なアイデアである | p2ptk[.]org
Electronic Frontier Foundation サードパーティクッキーは死につつある。そしてGoogleはその代替手段を作ろうとしている。 ご承知の通り、クッキーの死を嘆く必要など微塵もない。サードパーティクッキーは20年以上に渡り、ウェブ上の不気味で胡散臭い、数十億ドル規模の広告監視産業の要であった。だが、その基盤に暗雲が立ち込めるようになったことで、最大手のプレイヤーはなんとか窮地を脱しようとしている。 Googleは、サードパーティクッキーを新たなターゲティング広告テクノロジーにリプレイスするべく奔走している。その提案のいくつかは、Googleが従来の監視ビジネスモデルへの批判から正しい教訓を学んでいないことを露わにしている。本稿では、おそらく最も野心的で、最も有害な影響を及ぼしうる提案の1つであるFLoCに焦点を当てる。 FLoCは、サードパーティトラッカーが行ってい
![Googleに騙されてはいけない：FLoCは邪悪なアイデアである | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/f02299819b2ed0ae3fcca408d7dbad468b2d27a2/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2021%2F03%2F5109080982_5e16ca6a30_e.jpg)
Googleが導入予定の「FLoC」は最悪なものだと電子フロンティア財団が指摘
Googleは2022年までにCookieを使った広告配信を終了させ、新たな仕組みをGoogle Chromeに導入する予定です。その仕組みとして検討中のアイデアの1つに「FLoC」と呼ばれるものがありますが、電子フロンティア財団(EFF)はFLoCについて「最悪のアイデア」「実行しないで欲しい」と述べています。 Google’s FLoC Is a Terrible Idea | Electronic Frontier Foundation https://www.eff.org/deeplinks/2021/03/googles-floc-terrible-idea 2018年にEUの新データ保護規則「GDPR」が施行されて以降、SafariやFirefoxがサードパーティーCookieをブロックし、Googleも2020年に「2年以内にChromeでサードパーティーCookieのサポ
TechCrunch
Hyde Park Venture Partners is known for having visibility into more than 90% of mid-continent startups and being early backers of companies like ShipBob, FourKites, G2, LogicGate and Dentologie. When Joanna Strober was around 47, she stopped sleeping. While losing sleep is a common symptom of perimenopause, she first had to go to multiple providers, including driving 45 minutes out of San Fra
Brian Tracy - copy-paste-shell
Don't Copy Paste Into A ShellWhen you see a shell command on the Internet, do not copy it into your terminal. Modern JavaScript Clipboard APIs allow a website to trivially overwrite what you put inside your clipboard, without the user's confirmation or permission. Here is an example of how easy it is to perform this attack. Imagine that the red text below is a shell command you want to use. Below
Zero Touch Productionとは何か
GoogleのSREとSecurityによるBuilding Secure Reliable Systems という本の中で「Zero Touch Production (ZTP) 」という考え方が紹介されていた．これはインフラの権限管理やインフラの構築そのものの指針となる概念であり，自分がそうあるべきだとずっと思ってきた考え方でもある．これはどのような考え方なのか?をこれまでの歴史を踏まえて具体的なツールや事例とともにまとめておく． Zero Touch Production Building Secure Reliable Systems においてZero Touch Production (ZTP) は以下のように定義されている． The SRE organization at Google is working to build upon the concept of least
日本のDX促進の突破口となれるか？ DevSecOpsを一括でカバーするGitLabの魅力
ソフトウェアの開発プロジェクトにおいて、ライフサイクルのすべての情報やタスクを管理するのに欠かせないリポジトリ管理。バージョン管理システムGitを使ったリポジトリサービスはいろいろ登場しているが、最近、注目を集めているのが「GitLab」である。今年3月に日本法人 GitLab合同会社を設立。なぜこのタイミングで日本に進出したのか。またGitLabとはどのようなソリューションなのか。そのコンセプトや活用するメリット、さらにはGitHubとの違いなどについて、カントリーマネージャー（日本担当）の村上督氏、シニア・ソリューション・アーキテクトの伊藤俊廷氏にお話を伺った。 GitLab 日本担当カントリーマネージャー 村上督（むらかみ ただし）氏 Citrix SystemsやAcronisなどの企業で経営幹部を務めるなど、テクノロジー分野に25年従事。複雑な販売情勢下におけるダイレクト販売や、
Google、VPNに代わる企業向け「BeyondCorp Remote Access」公開
新型コロナウイルス対策でリモートワークに急遽対応する必要が生じている企業向けに、GoogleがVPNに代わるより導入が簡易でセキュアなリモートから「信頼できないネットワーク」を通じて社内イントラにアクセスするためのクラウドソリューション「BeyondCorp Remote Access」を公開した。 米Googleは4月20日（現地時間）、新型コロナウイルス感染症対策で企業が従業員のリモートワーク化を進める中、リモートからイントラネット内のWebアプリに安全にアクセスするためのシステム「BeyondCorp Remote Access」のGoogle Cloudユーザーへの提供を開始したと発表した。 Google Cloudのコンテキストアウェア アクセス ソリューションを使用すると、ほぼすべての組織で有効にできる。 BeyondCorp Remote Accessは、VPNを使わずに従業
Zoomのセキュリティとプライバシーへの影響
シュナイアーのブログより。 Zoomは、今日のCOVID-19の世界で選ばれるビデオ会議プラットフォームになってから、ここ数週間で使用が急増しています。(私の大学、ハーバード大学は、すべてのクラスでこれを使用しています。ボリス・ジョンソンは、Zoomで内閣の閣議を開催しました。) 同じ期間に、同社は、お粗末なプライバシーとお粗末なセキュリティの両方を抱えていることが明らかになりました。ここでの私の目標は、すべての問題をまとめ、解決策と回避策について話すことです。 一般的に、Zoomの問題は、(1) 不適切なプライバシー慣行、(2) 不適切なセキュリティ慣行、(3) 不適切なユーザー設定という3つの大きなバケットに分類されます。 最初にプライバシーです。Zoomは個人的な利益のためにユーザーをスパイします。誰もが注意を払い始めてから、これは幾分か整理したようですが、それでもまだあります。 同
Security and Privacy Implications of Zoom - Schneier on Security
Security and Privacy Implications of Zoom Over the past few weeks, Zoom’s use has exploded since it became the video conferencing platform of choice in today’s COVID-19 world. (My own university, Harvard, uses it for all of its classes. Boris Johnson had a cabinet meeting over Zoom.) Over that same period, the company has been exposed for having both lousy privacy and lousy security. My goal here
パスワードで攻撃は防げない - Your Pa$$word doesn't matter
こんにちは、Azure Identity サポートチームの鈴木です。 本記事は Your Pa$$word doesn’t matter を意訳したものになります。ご不明点等ございましたらご連絡ください。 セキュリティに関して組織の方針を決定できる方との会話の中で 「これまでに漏洩したことがあるパスワードは絶対に再度使用するな」「長いパスワードを使用したほうがいい」「パスワードよりも長いパスフレーズを使えばいい」などなどの話題がでます。実はこれらは、これまでの研究結果と異なっており、マイクロソフトが毎日何億ものパスワードベースの攻撃を防いでいる状況から見ますと正しくありません。多要素認証 (MFA) や脅威の検出の仕組みなど本当に価値のあるものにではなく、パスワード規則に着目しても、気晴らし程度の効果しかありません。 ここでは、パスワードの構成や長さに関しては（ほとんど）意味がないというこ
Better than Zoom: Try these free software tools for staying in touch — Free Software Foundation — Working together for free software
You are here: Home › Blogs › Community › Better than Zoom: Try these free software tools for staying in touch The COVID-19 pandemic has caused an enormous amount of changes in how people work, play, and communicate. By now, many of us have settled into the routine of using remote communication or videoconferencing tools to keep in touch with our friends and family. In the last few weeks we've also
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブロックチェーンを用いたマイクロソフトの「分散型ID」が、実装に向け動き始めた
Macのマイクが利用中になるとディスプレイ上に通知してくれるオープンソースのユーティリティ「Micro Sniff」がリリース。
