ゼロデイ攻撃

通信販売サイトのセキュリティインシデント対応に関する次の記述を読んで，設問1〜4に答えよ。 R社は，文房具やオフィス家具を製造し，店舗及び通信販売サイトで販売している。通信販売サイトでの購入には会員登録が必要である。通信販売サイトはECサイト用CMS（Content Management System）を利用して構築している。通信販売サイトの管理及び運用は，R社システム部門の運用担当者が実施していて，通信販売サイトに関する会員からの問合せは，システム部門のサポート担当者が対応している。 〔通信販売サイトの不正アクセス対策〕 通信販売サイトはR社のデータセンタに設置されたルータ，レイヤ2スイッチ…

今年もIPAから「情報セキュリティ10大脅威 2023」が公開されました。 （詳細は以下リンクから） 情報セキュリティ10大脅威 2023：IPA 独立行政法人 情報処理推進機構 以下の表を俯瞰してみると、上位に大きな変動はないものの、COVID-19によって変化したテレワーク等働き方の隙を狙う攻撃が4位にランクインしており、攻撃者は常に新たな攻撃の糸口を探していることが伺えます。 また、2位にサプライチェーンの弱点を悪用した攻撃が前年順位を上回ってランクインしており、2022年3月1日にトヨタ自動車のサプライチェーンに連なる小島プレス工業がマルウェア被害を受け、トヨタの14工場の28ラインが…

スマートなタイトルが思いつきませんでした。X（クロス）イノベーション本部 ソフトウェアデザインセンター セキュリティグループの耿です。 インターネットにWebアプリケーションを公開すると、さまざまなHTTPリクエストを受けることになります。中にはアプリケーションを利用する目的ではない、 情報収集や脆弱性を突いて攻撃を狙うリクエストも多数含まれています。攻撃への根本対策はWebアプリケーションレベルで行うべきですが、対策漏れやゼロデイ攻撃に対してはWAFの利用も効果的です。 AWS WAFにはAWSマネージドルールが多数用意されており、簡単に導入し多層防御を実現できます。この記事ではAWS WA…

病院のSEとして10年以上働いている@whitefox21seです。 ▼Twitterで最新記事やアクセスランキングをツイートしてます。こちらもよろしくお願いします！Follow @whitefox21se 2023年3月7日、Emotet（エモテット）のメール配布がJPCERTによって確認されました。昨年11月以降は鳴りを潜めていましたが、世界中を震撼させた脅威が再びその牙をむこうとしています。私が勤務する病院にも実際にウイルスメールが届きましたので、それを晒し上げ、緊急警報として記事を起こすことにします。 ▼JPCERTの警告文書がこちら マルウェアEmotetの感染再拡大に関する注意喚起

出やすい問題 テクノロジ系・PDCAサイクルのどれに該当するか。 ・バイオメトリクス認証はどれか ・情報セキュリティのリスク対応について(回避・低減・移転・受容のどれに当たるか) ・情報セキュリティマネジメント機密性・完全性・可用性について ・通信プロトコルについて(POP・SMTPなど)について ・情報セキュリティポリシについて ・OSSについて ・マルウェアに関して ・データベース正規化について ・共通鍵・公開鍵暗号方式について ・表計算ソフト計算式の複写について ・システム稼働率の計算 ・リスクアセスメントに入るのは(リスク特定・分析・評価・対応) ・ワンタイムパスワードについて ・基数…

【図表】 出典: https://www.ipa.go.jp/security/vuln/10threats2023.html 【概要】■情報セキュリティ10大脅威 2023 前年順位 個人 順位変動 順位 順位変動 組織 前年順位 1位 フィッシングによる個人情報等の詐取 ⇔ 1位 ⇔ ランサムウェアによる被害 1位 2位 ネット上の誹謗・中傷・デマ ⇔ 2位 ↑ サプライチェーンの弱点を悪用した攻撃 3位 3位 メールやSMS等を使った脅迫・詐欺の手口による金銭要求 ⇔ 3位 ↓ 標的型攻撃による機密情報の窃取 2位 4位 クレジットカード情報の不正利用 ⇔ 4位 ↑ 内部不正による情報漏…

【概要】■2022年の組織における10大脅威（カッコ内は前回順位）1位：ランサムウェアによる被害（1） 2位：サプライチェーンの弱点を悪用した攻撃（3） 3位：標的型攻撃による機密情報の窃取（2） 4位：内部不正による情報漏えい（5） 5位：テレワークなどのニューノーマルな働き方を狙った攻撃（4） 6位：修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）（7） 7位：ビジネスメール詐欺による金銭被害（8） 8位：脆弱性対策情報の公開に伴う悪用増加（6） 9位：不注意による情報漏洩などの被害（10） 10位：犯罪のビジネス化（アンダーグラウンドサービス）（圏外） ■2022年の個人における10大脅…

【図表】 出典: https://www.ipa.go.jp/security/vuln/10threats2023.html 【概要】 前年順位 個人 順位変動 順位 順位変動 組織 前年順位 1位 フィッシングによる個人情報等の詐取 ⇔ 1位 ⇔ ランサムウェアによる被害 1位 2位 ネット上の誹謗・中傷・デマ ⇔ 2位 ↑ サプライチェーンの弱点を悪用した攻撃 3位 3位 メールやSMS等を使った脅迫・詐欺の手口による金銭要求 ⇔ 3位 ↓ 標的型攻撃による機密情報の窃取 2位 4位 クレジットカード情報の不正利用 ⇔ 4位 ↑ 内部不正による情報漏えい 5位 5位 スマホ決済の不正利用…

2023.1.30 セキュリティ関連知識の保管庫（ナレッジベース）【極意続編】 位置づけ ガイドブック『中小企業向けサイバーセキュリティ対策の極意』の続編のために要約した次世代IT技術、サイバーセキュリティ対策関連の知識の保管庫（ナレッジベース）です。 国際標準、NISC,METI,IPA等の政府関連機関が提供するフレームワーク・ガイドライン等の最新版をベースとして、実践的な情報への道しるべとなる情報を提供します。 具体的な対策の実施の際には、ページ内に記載の【参照資料】のリンク先をご確認ください。 目次 目次.1.サイバーセキュリティを取り巻く背景 （目的：クラウドワークロードの複雑化、サプ…

オープンソースのCypherockがセキュリティを確保する方法 【Cypherock X1を割引価格で購入できます】 「オープンソース技術」は。技術革新を促進し、アプリケーションのセキュリティを維持し、開発者コミュニティからの関心を集め、あらゆる技術の発展を実現させてきました。 Web3ウォレットの分野では、「検証可能であること」が必須であるため、オープンソースであることは特に重要な部分となります。 一方、オープンソースであることは、ソフトウェアにおける恩恵は大きいですが、セキュリティ上の懸念が発生するという側面もあります。特に暗号資産ウォレットに関しては、機密情報が危険にさらされる可能性があ…

■仮想通貨 / 暗号資産関係のマルウェア・サイバー攻撃 malware-log.hatenablog.com■仮想通貨 / 暗号資産の動向 security-log.hatenablog.com【目次】 概要 【インシデントまとめ】 記事 概要 【インシデントまとめ】 ■2014年 ◆インシデント: マウントゴックス / MtGox (まとめ) https://incidents.hatenablog.com/entry/MtGox ■2018年 ◆インシデント: コインチェック (まとめ) https://incidents.hatenablog.com/entry/Coin_Check ■…

【目次】 概要 【別名】 【辞書】 【概要】 記事 【ニュース】 【ブログ】 【資料】 【図表】 関連情報 【関連まとめ記事】 概要 【別名】 組織名 命名組織・使用組織 APT5 Mandiant UNC2630 FireEye Manganese Microsoft Keyhole Panda CrowdStrike TEMP.Bottle iSight Bronze Fleetwood Secureworks DPD Palo Alto Poisoned Flight Kaspersky TG-2754 SCWX CTU 【辞書】 ◆APT5 (FireEye) https://www.…