ぼくの備忘録

セキュリティに関するニュースで気になったものを、個人的なメモと共に残していきます。

2021年2月1日-4日

インシデント事例

 ・バンダイグループお客様相談センターに不正アクセスクラウド型営業管理システムのセキュリティ設定不備を突く

https://scan.netsecurity.ne.jp/article/2021/02/01/45128.html

・2020年9月からのゆうちょ銀行のインシデントを検証、ガバナンスの現状と課題

https://scan.netsecurity.ne.jp/article/2021/02/02/45138.html

「営業部門の所管部署のみが、決済事業者の接続承認基準への適合性の有無を判断していたこと」「即時振替サービス導入時に新商品等審査を実施しておらず、本人確認の認証セキュリティを含めたリスクの評価及び管理を行っていなかったこと」

→デジタル戦略を営業だけが推し進め、セキュリティやリスク管理担当が絡めていなかった体勢のようですね。

・JP改革実行委員会からの検証結果の報告について

https://www.japanpost.jp/pressrelease/jpn/2021/20210129163086.html

→報告書を読むと、ガバナンスの話から組織風土まで言及されていて、非常に興味深い内容でした。

 

【攻撃の傾向・手法、攻撃組織の動向】

・3重脅迫(RDDoS攻撃)がやってくる

https://foxsecurity.hatenablog.com/entry/2021/02/02/090000

 ・就職希望です!」「研究成果を見て!」――巨大IT企業も狙われる、北朝鮮の巧妙な“攻撃”手口

https://www.itmedia.co.jp/business/articles/2102/04/news016.html

 

脆弱性情報】

 ・SolarWinds製ソフトウェアの欠陥を利用したアメリカ政府への新たなハッキングの痕跡が見つかる

https://gigazine.net/news/20210203-hacker-solarwinds-bug/

・SolarWinds製品に新たに3つの脆弱性、アップデートを

https://www.itmedia.co.jp/enterprise/articles/2102/04/news132.html

 

【その他】

・Top 6 MITRE ATT&CK Techniques Identified in 2020, Defense Evasion Tactics Prevail

https://www.recordedfuture.com/top-2020-mitre-techniques/

Githubが危険ではなくセキュリティ設計が大事--業界団体が声明

https://japan.zdnet.com/article/35165948/ 

・オフラインやクローズド環境でのマルウェア感染事例と対策

https://is702.jp/special/3805/partner/101_g/

クラウドWAFでの攻撃検知は約10秒に1回--CSC調査

https://japan.zdnet.com/article/35166017/

【一言】