2022/8/17

【攻撃の傾向・手法】

・2要素認証を突破するサイバー攻撃に組織はどのように対応するべきか：半径300メートルのIT - ITmedia エンタープライズ

→従業員に対する、企業内ネットワークに侵入することを目的としたフィッシング攻撃の増加について。2要素認証の必要性と騙されてしまった従業員を批難しない文化（セキュリティ担当として、対策が足りない部分として受け止める姿勢を持つべしということかと思いますが）が重要、という部分については、概ね同意。

・#StopRansomware: Zeppelin Ransomware | CISA

→ランサムウェアを悪用する新手の組織に関する注意喚起。攻撃手法は従来の他の組織で使われてきたものと変わらないように見えます。

【セキュリティに関する考え方、マインドセット】

・NICTサイバーセキュリティ人材育成レポート「サイバーセキュリティ・トランスフォーメーション ビジネスリスクのニューノーマル」を公開｜2022年｜NICT-情報通信研究機構

→きちんと読めていませんが、社内説明用のネタに。

【コラム系】

・なぜサイバー攻撃は終焉しないのか？ 5つに大別される「攻撃主体」と6つの「目的」を解く (1/3)|EnterpriseZine（エンタープライズジン）

→技術情報の方が、セキュリティ担当者にとっては重要な情報であり、自らの組織を守るために必要だと思いますが。。攻撃者の分類と目的だけでは、対策を検討するには不十分かと思います。

2022/8/6

【攻撃の傾向・手法】

・Thousands of hackers flock to 'Dark Utilities' C2-as-a-Service

→C2もas a service化しているという話。引き続きIPアドレスの共有・遮断が有効かなと

・VirusTotal Reveals List of Most Mimicked Legitimate Apps

→偽アプリによる攻撃が増加傾向。

・GwisinLocker Ransomware Targets Linux Systems in South Korea - Infosecurity Magazine

→韓国でLinuxを狙ったランサムウェア攻撃が増加しているとのこと。Linuxに対応したアンチウィルスもまだそこまで多くない一方で、この頃Linuxを狙うランサムは増えている気がする。

・LockBit Ransomware Exploits Windows Defender to Sideload Cobalt Strike Payload - Infosecurity Magazine

→Defenderのコマンドラインツールの悪用が、cobaltstrike等の攻撃ツールのダウンロードに悪用されているという話。どのように対策するのだろうか。。

【当局関連の動き、法規則等】

・夏休みにおける情報セキュリティに関する注意喚起：IPA 独立行政法人 情報処理推進機構

→例年通り

【セキュリティに関する考え方、マインドセット】

・Stolen Data Gives Attackers Advantage Against Text-Based 2FA

→個人情報を入手した攻撃者からすると、電話番号を奪うことができるので、SMS認証はやはり危険という話。携帯電話会社の身元確認やSIMの変更プロセス次第な気もしますが。

・How to Resolve Permission Issues in CI/CD Pipelines

→DevOpsのプロセスを回す中でも、権限管理（開発資源やデータへのアクセス管理）に気を付けようという話。

【調査結果・ベンダーレポート】

・Proofpoint Blog 第15回「サイバー攻撃騒動の 1 年を『The Human Factor 2022 Report』で振り返る」 | ScanNetSecurity

・ランサムウェアの脅威が後退傾向--Trellixの脅威レポート - ZDNet Japan

・ランサムウェア攻撃、多要素認証に遭遇すると諦めるケースも - ZDNet Japan

→依然として二要素認証は不正アクセス対策に効くということ。

・ラック、ウクライナ情勢のサイバー動向をまとめたレポートを発行 - ZDNet Japan

・ソフトウェア脆弱性を正しく怖がるための「28の真実」：古い脆弱性に対応するだけでも被害は激減 - ＠IT

→時間がたっても高リスクな脆弱性は継続的に狙われるので、残さずに定期的なサイクルで当てていく必要がありますね。

【セキュリティ対策機器、ツールの紹介記事】

・NRIセキュア、クラウドメールによるファイル送信時のセキュリティを強化した「クリプト便 for m-FILTER@Cloud」を提供開始 - SecurityInsight | セキュリティインサイト

→別経路で送りたいけどZip化は嫌、という企業向け？対応できることは誤送信リスク（誤送信時にファイル削除することで情報漏洩を防ぐ）くらい？

・マルチテナントの経済性と厳格な機密要件を両立するMicrosoft Azureの「コンフィデンシャルVM」とは：Microsoft Azure最新機能フォローアップ（176） - ＠IT

・急速に注目集める「SBOM」、Microsoftが生成ツールをOSS化 その機能とは？：幅広いソフトウェアリポジトリに簡単に統合できる - ＠IT

【その他】

・ATT&CKは内容が濃過ぎる――無料で誰でもすぐ使える「ATT&CK Navigator」でサイバー攻撃の防御策、検知策を見てみた：MITRE ATT&CKで始める脅威ベースのセキュリティ対策入門（2） - ＠IT

・CREST Defensible Penetration Test Released

・読んでおきたい資料

speakerdeck.com

2022/8/1

【攻撃の傾向・手法】

・Emotet「第3波」が襲来、一段と増した厄介さにどう対処するか | 日経クロステック（xTECH）

・Hackers Use New Tactics as Microsoft Blocked Macros by Default

・Akamai stops record DDoS attack in Europe • The Register

・カウントダウンで恐怖心をあおりパスワードを入力させるフィッシング攻撃が登場 - ZDNet Japan

【調査結果・ベンダーレポート】

・ENISA THREAT LANDSCAPE FOR RANSOMWARE ATTACKSSecurity Affairs

【セキュリティ対策機器、ツールの紹介記事】

・新しい「Microsoft Defender」は、MacやAndroidにもセキュリティ対策を提供する | WIRED.jp

・[レポート] 「eBPFってなんだ？」というタイトルの New Relic のセッションを聴講しました #devio2022 | DevelopersIO

・ダークトレース、アタックサーフェス管理や脆弱性特定をAIで自動化する「Darktrace PREVENT」を提供 - ZDNet Japan

【コラム系】

・ATT&CKは内容が濃過ぎる――無料で誰でもすぐ使える「ATT&CK Navigator」でサイバー攻撃の防御策、検知策を見てみた：MITRE ATT&CKで始める脅威ベースのセキュリティ対策入門（2） - ＠IT

・防衛省が手本にした米セキュリティー基準の「SP800-171」、気になる5つの疑問 | 日経クロステック（xTECH）

2022/7/30

【攻撃の傾向・手法】

・マイクロソフトのマクロ悪用対策で攻撃減少、しかし代替手法が増加 - ZDNet Japan

・As Microsoft blocks Office macros, hackers find new attack vectors

【当局関連の動き、法規則等】

・サイバー政策動向を知ろう Watch! Cyber World vol.3 | 中国の法整備 - JPCERT/CC Eyes | JPCERTコーディネーションセンター公式ブログ

【技術関連】

・なりすましメール対策DMARCの標準的な設定方法とBIMIの活用、それを支えるVMCとは」 | ScanNetSecurity

【セキュリティに関する考え方、マインドセット】

・防衛省の新セキュリティー基準、「一般企業こそ注目すべきだ」と専門家が勧めるわけ | 日経クロステック（xTECH）

・NIST Supply Chain Security Guidelines: 10 Key Takeaways

【調査結果・ベンダーレポート】

・ガートナー、2022～2023年のサイバーセキュリティに関する8つの主要な仮説を発表 - SecurityInsight | セキュリティインサイト

・PマークやISMSを取得しているなら約七割が委託先のセキュリティチェックを省略 | ScanNetSecurity

【セキュリティ対策機器、ツールの紹介記事】

・Amazon Adds Malware Detection to GuardDuty TDR Service

【その他】

・中央ろうきん、NECの「Digital KYC」を導入--顔認証で本人確認をオンライン化 - ZDNet Japan

・GMOインターネットがグループ全社のコミュニケーションをSlackに集約した理由 | IT Leaders

2022/7/27

【攻撃の傾向・手法】

・OSを再インストールしてもストレージを交換しても感染しっぱなしになるUEFIルートキット「CosmicStrand」が登場、ASUSやGIGABYTEのマザーボードが被害に - GIGAZINE

・Bots for Stealing One-Time Passwords Simplify Fraud Schemes

・「多要素認証」を破る大規模フィッシング、1万社以上のMicrosoft 365利用企業を襲う | 日経クロステック（xTECH）

【技術関連】

・無知？ 怠慢？ 脆弱性を突かれた企業がセキュリティパッチを適用できなかった理由――パッチマネジメント自動化はどんな効果があるのか：こっそり始めるパッチマネジメント自動化入門（1） - ＠IT

・DevelopersIO 2022にて「OSSで始めるコンテナセキュリティ」というタイトルで登壇しました #devio2022 | DevelopersIO

【セキュリティに関する考え方、マインドセット】

・リクルートのSOCリーダーが語る「セキュリティ対策は“How”ではなく“What”から始めよ」 - ITmedia エンタープライズ

2022/7/27

【インシデント事例】

・水道給水管口径と水栓番号は個人情報に該当 ～ 水道局で不適切な取り扱い | ScanNetSecurity

【当局関連の動き、法規則等】

・総務省｜報道資料｜「クラウドサービスの利用・提供における適切な設定のためのガイドライン」（案）に対する意見募集及び取組事例の募集

【技術関連】

・Amazon S3の脆弱な利用によるセキュリティリスクと対策 - Flatt Security Blog

【セキュリティに関する考え方、マインドセット】

・米国では既に標準化の流れ、日本企業も対応を迫られる「SBOM」とは：OSSのサプライチェーン管理、取るべきアクションとは（3） - ＠IT

・変化の時代のセキュリティ対策で重要なのは、情報収集と分析、コミュニケーション、人材の確保――オリックス銀行 鈴木智之氏：ITmedia エグゼクティブセミナーリポート（1/2 ページ） - ITmedia エグゼクティブ

【調査結果・ベンダーレポート】

・https://www.jnsa.org/isepa/images/outputs/JTAGreport2022_trial.pdf

・医療業界を狙うランサムウェア攻撃、2倍近くに 身代金でデータが返ってきたのは2%のみ - ITmedia NEWS

【セキュリティ対策機器、ツールの紹介記事】

・Microsoft Adds Default Protection Against RDP Brute-Force Attacks in Windows 11

・Rubrikのランサムウェア復旧保証 | Rubrik

【コラム系】

・サイボウズ青野氏とさくら田中氏対談 禁断の「チェックシート問題」について - キーマンズネット

【その他】

2022/7/25

【脆弱性情報】

・Microsoft Windows において許可されていないアカウントに高権限動作を許可してしまう LSA サービスの権限処理不備の脆弱性（Scan Tech Report） | ScanNetSecurity

【セキュリティに関する考え方、マインドセット】

・攻撃者に先回りして潜んだ脆弱性を見つける「Web脆弱性診断ツール」の選び方：セキュリティ専門家の上野宣氏に聞く - キーマンズネット

【調査結果・ベンダーレポート】

・クラウドの「うっかり重大インシデント」を防止するCSPMの市場が急拡大 ITR調査：2020〜2025年度のCAGRは48.5％の見込み - ＠IT

・2021年度 国内情報セキュリティ市場調査 | NPO日本ネットワークセキュリティ協会

・チェック・ポイント、今年6月に最も活発だったマルウェアを発表 〜国内では引き続きEmotetが1位 - SecurityInsight | セキュリティインサイト

・サイバー攻撃、同じ企業が何度も被害に 「被害企業は簡単に食い物にできる餌食と見なされる」：この頃、セキュリティ界隈で - ITmedia NEWS

【セキュリティ対策機器、ツールの紹介記事】

・注目高まる「ベンダーリスクマネジメント」 SaaSベンダーこそAWSを活用すべき理由とは (1/3)|EnterpriseZine（エンタープライズジン）

・エンドポイント単位でアクセスを制御するマイクロセグメンテーションツール「Akamai Guardicore Segmentation」 | IT Leaders