情報処理推進機構(IPA)は11月28日、7テーマ、22種類からなる情報セキュリティ・モラルに関する指導者向け教材を公開した。
この教材は、「小学校低学年」「小学校高学年」「中学生・高校生」「保護者・一般」の対象者別に、「SNSとのつきあい方」「知っておきたい情報セキュリティ」など、7つのテーマで構成されている。教材の主な特徴としては、「①講義要領やパワーポイントのノート機能を充実させ、事象や用語に精通していない指導者でも講義が可能なこと」「② 受講対象者の理解度に合わせた単語や表現を用いていること」「③ 対象、テーマ、実施時間に合わせ、22種類の資料を組み合わせて使用することが可能なこと」が挙げられている。
教材は、Webサイトに公開されている。
(川原 龍人/びぎねっと)
[関連リンク]
アナウンス
Stack Overflowは11月26日(現地時間)、ソースコードのコピー＆ペーストについての脆弱性の拡散について注意喚起を発表した。
同社の研究によると、内容を理解せずにソースコードをコピー＆ペーストする行為は、脆弱性を含むソースコードを拡散することにつながるとしている。同社は、プログラムのコードは脆弱性を含んでいる可能性があることを認識し、ソースコードの内容を理解してから活用するように呼び掛けている。
また、同社はC++サンプルソースコードに多い脆弱性として、返り値チェックの欠落、引数データのチェック漏れなどがあるとしている。
(川原 龍人/びぎねっと)
[関連リンク]
記事本文
エフセキュアは11月22日(現地時間)、同社の検知および対応技術として使用されている分散型人工知能 (AI) メカニズムをさらに推進するためのリサーチプロジェクト「Project Blackfin」を始動させたと発表した。このプロジェクトは、AIとサイバーセキュリティの研究者、数学者、データサイエンティスト、マシンラーニングのエキスパート、エンジニアなどで構成されるチームによる、適応型の自律AIモデルを作成することを目的とした取り組みとなる。
このプロジェクトの目的として、個々のホストで実行されるインテリジェントエージェントを開発することが挙げられている。エージェントは、ローカルホストおよびネットワークから観察した内容に基づいてシステムを保護することを学習し、様々な組織や業界で学習した観察および緊急行動によって、さらに強化されることになる。また、エージェントは、完全なデータセットの共有なしに、広大な情報ネットワークの可視性と洞察のメリットを活用することができるようになるとしている。
プロジェクトでは、構想を最大限に実現するには数年を要すると予想しているが、エフセキュアでは既にProject Blackfinを通じて開発されたODI (オンデバイスインテリジェンス) メカニズムを同社の侵害検知ソリューションに実装しているという。また、Project Blackfinの研究の潜在的な用途は、企業のセキュリティソリューションやサイバーセキュリティ業界だけに留まるものではなく、コンピュータネットワークや送電網、自動運転車などのシステムの全体的な健全性、効率、有用性を監視するAIエージェントとしての活躍も視野に入れているという。
(川原 龍人/びぎねっと)
[関連リンク]
Project Blackfin
US-CERTは10月30日(現地時間)、MS-ISAC（Multi-State Information Sharing and Analysis Center）が2019年および2020年にサポートが終了するソフトウェアの一覧を公開したと発表した。
今回発表されたリストには、アドビシステムズ、チェック・ポイント・ソフトウェア・テクノロジーズ、シスコシステムズ、IBM、オラクル、マイクロソフト、トレンドマイクロ、ヴイエムウェアなど、数多くの幅広いベンダーの製品が掲載されている。。
サポートが終了したソフトウェアは、それ以降はアップデートが提供されることがなくなるため、セキュリティ上大きな問題を生じる原因となる。ユーザは、サポートが終了した場合、サポートが提供されている新しいバージョンにアップグレードすることが強く推奨される。
(川原 龍人/びぎねっと)
[関連リンク]
アナウンス
発表されたリスト(pdf)
The OpenBSD Projectは4月22日（現地時間）、OpenSSHの最新版、「OpenSSH 8.1」をリリースした。
OpenSSHは、フリーなSSHプロトコルの実装。OpenBSDだけでなく、LinuxやMac OS Xなどでも広く利用されている。OpenSSH 8.1では、sshコマンドの「ProxyCommand」設定で「%n」をリモートホスト名として展開できるようになったほか、ssh-keygenコマンドで秘密鍵から公開鍵を作成する際に「-v」（verboseフラグ）が利用できるようになった。そのほか、複数のバグフィクス、セキュリティ向上が図られており、ユーザはアップデートが推奨される。
OpenSSHは、BSDライセンスの下で公開されており、OpenSSHのWebサイトから無償でダウンロード・利用できる。
(川原 龍人/びぎねっと)
[関連リンク]
OpenSSH 日本語サイト
プレスリリース
JPCERTは7月30日(現地時間)、マルウェアの設定情報を抽出する「MalConfScan」を発表した。
毎日、数多くのマルウェアが発見されているものの、その多くは過去に確認されているものの亜種であり、コードはほとんど変わっていない。そのため、多くの場合は設定情報だけ抽出できればマルウェア分析は完了する。「MalConfScan」はこの作業をサポートするツール。The Volatility Frameworkのプラグインとして作成されており、マルウェアはパッキングされているため、設定情報を抽出する際にアンパックすることから始める必要がある。MalConfScanは、メモリにロードされているアンパックされた状態の実行ファイルから設定情報を抽出するため、パックされたマルウェアでも分析できる。
2019年7月30日現在、malconfscanは25種類のマルウェア分析に対応しており、本体はGitHubに公開されている。
(川原 龍人/びぎねっと)
カスペルスキーは8月1日、法人向けセキュリティ製品「Kaspersky Endpoint Security for Windows」最新版（バージョン11.1.1）を提供開始した。
「Kaspersky Endpoint Security for Linux」は、機械学習を取り入れた高度な保護テクノロジーとクラウドベースの脅威情報を活用し、Linux OSが稼働するサーバおよびワークステーションを最新の脅威から保護する。「Windows Subsystem for Linux」のスキャン機能を備えているほか、警察庁が指定した危険サイトのブロック機能、アダプティブアノマリーコントロールやAMSI保護プロバイダーなど、次世代セキュリティ技術を利用した保護機能が追加されている。
また、新たにWebコンソールを搭載し、Webブラウザを通してエンドポイントのセキュリティ設定と管理を行うことができるようになった。視認性を重視したデザインの採用およびタブレット端末などのタッチスクリーンにも対応し、より容易な管理が可能になる。
(川原 龍人/びぎねっと)
US-CERTは6月5日(現地時間)、Ciscoの複数の製品に脆弱性が存在すると発表した。
発表された脆弱性の中には、悪用されるとリモートからシステムの制御権が不正に乗っ取られる危険もあり、システム管理者は早急に対応する必要がある。
発表された脆弱性は以下の通り。
〇Industrial Network Director Remote Code Execution Vulnerability cisco-sa-20190605-ind-rce
〇Unified Communications Manager IM&P Service, Cisco TelePresence VCS, and Cisco Expressway Series Denial of Service Vulnerability cisco-sa-20190605-cucm-imp-dos
〇Webex Meetings Server Information Disclosure Vulnerability cisco-sa-20190605-webexmeetings-id
〇TelePresence Video Communication Server and Cisco Expressway Series Server-Side Request Forgery Vulnerability cisco-sa-20190605-vcs
〇Unified Computing System BIOS Signature Bypass Vulnerability cisco-sa-20190605-ucs-biossig-bypass
〇IOS XR Software Secure Shell Authentication Vulnerability cisco-sa-20190605-iosxr-ssh
〇Industrial Network Director Stored Cross-Site Scripting Vulnerability cisco-sa-20190605-ind-xss
〇Industrial Network Director Cross-Site Request Forgery Vulnerability cisco-sa-20190605-ind-csrf
〇Enterprise Chat and Email Cross-Site Scripting Vulnerability cisco-sa-20190605-ece-xss
(川原 龍人/びぎねっと)
[関連リンク]
US-CERTによる注意喚起
Linus Henze氏は 2月3日(現地時間)、Mac OSに存在するゼロディ脆弱性を突いてパスワードを不正に取得するアプリケーション「KeySteal」に関する動画をYoutubeに公開した。
動画では、KeyStealがMac OS上でパスワードを入力せずにキーチェインアクセスに記録されたパスワードを表示している場面が公開されている。なお、以前もMac OSではゼロディ脆弱性が見つかったことがあるが、今回の脆弱性は以前発見されたものとは異なるとしている。
「キーチェインアクセス」は、パスワードを統合的に管理する技術。この技術に直接アクセスできることは、パスワードの漏えいにつながるため注意が必要。
(川原 龍人/びぎねっと)
[関連リンク]
(Youtube動画)
富士通は12月26日、NTTドコモの個人情報など重要なデータを取り扱う業務のPCログインシステムにおいて、手のひら静脈認証装置「FUJITSU 生体認証 PalmSecure-F Light」を提供開始したと発表した。
NTTドコモは従来、業務システムへのPCのログイン時にICカードおよび指紋認証による本人認証を行っていたが、個人情報など重要なデータを取り扱う部門において、よりセキュリティの高い認証方式として、新たに手のひら静脈認証センサーを選定し、運用を開始した。「PalmSecure-F Light」は、本人拒否率0.01%（リトライ1回）、他人受入率0.00001%以下という高い認証精度と合わせて、省スペース型の外付け認証装置。同製品を運用する認証システムと組み合わせることにより、既存のActiveDirectoryサーバや業務アプリケーションサーバとは独立した認証サーバを導入することで、既存のシステムに大きな影響を与えることなく、短期間でのシステム構築を実現したという。
手のひら静脈は体内情報であるため、指紋や顔などの体表情報に比べて偽造が困難という特徴がある。また、太い幹線の血管を認証に用いるため、指の静脈に比べて寒さの影響を受けにくく、安定した認証が行えるという。また、手のひら静脈認証は、センサーに触れることなく認証できるため、衛生的であるとともに、指紋のように表面の摩耗や乾燥などにより登録・照合を行えないということがないというメリットもあるという。
（川原 龍人/びぎねっと）
［関連リンク］
プレスリリース
カテゴリー
Powered by Wordpress
