Others

Spring FrameworkとSpring Cloud Functionの脆弱性: 知っておくべきこと

トピック: Attacks and Threat Actors 2022年4月4日、Vishal Khandelwal Barracuda Web Application Firewallのハードウェアおよび仮想アプライアンス、Barracuda CloudGen WAF on AWS、Azure、GCP、Barracuda WAF-as-a-Service、Barracuda Load Balancer ADCは、Spring Framework（Spring4Shell）およびSpring Cloud Functionリモートコード実行（RCE）の脆弱性の影響を受けません。今後も引き続き更新を行いますので、このページをご覧いただき、これらの脆弱性の最新情報をご確認ください。 脆弱性の詳細 本ブログでは、最近発見されたSpring Framework (CVE-2022-22965 & CVE-2022-22950) および Spring Cloud Function (CVE-2022-22963) の脆弱性についての最新情報を提供します。 これら３つの脆弱性( CVE-2022-22965, CVE-2022-22950, CVE-2022-22963 )をすべてSpring4Shellと呼ぶのは誤りです。Spring4ShellはCVE-2022-22965を指します。また、Spring4ShellはLog4jの脆弱性とは無関係であることに注意してください。 CVE-2022-22963｜CVSS スコア: 9.8｜ベンダー重要度: 致命的｜RCE この脆弱性は2022年3月29日に報告されたもので、Spring Frameworkに含まれないSpring Cloud Functionのみに影響するものです。Springはすでに新しいバージョンをリリースして対処しています。 この脆弱性は、ルーティング機能を利用して、特別に細工された Spring Expression Language (SpEL) をルーティング式として提供し、ローカルリソースにアクセスして RCE を実行するものです。spring.cloud.function.routing-expression という特定の HTTP リクエストヘッダを使用します。 Barracuda Web Application Firewall、WAF-as-a-Service、およびLoadBalancer ADCは、この脆弱性の影響を受けません。 CVE-2022-22965｜CVSS スコア: 9.8｜ベンダー重要度: 致命的｜RCE｜Spring4Shell この脆弱性は、JDK 9+で動作するSpring MVCおよびSpring WebFluxアプリケーションに影響を及ぼします。本稿執筆時点では、公開されている悪用方法はTomcat内でWARファイルを配置したアプリケーションにのみ影響し、JARファイルを配置したSpring Boot実行ファイルの場合には影響はありません。ただし、Tomcatの外での配置については、今後の取り組み次第で悪用されるようになるかもしれません。これはRCE脆弱性であり、CVE-2010-1622に対して設定された保護機能をバイパスしているように見えます。 シグネチャを手動で設定する手順は、キャンパスドキュメントで更新しています。 Barracuda...

海外ブログ 2022.04.19

スピアフィッシングレポート：ソーシャルエンジニアリングと複雑化する攻撃

2022年3月16日、Anne Campbell サイバー犯罪者による中小企業の従業員へのソーシャルエンジニアリング攻撃が高まる中、あらゆる規模の組織がスピアフィッシング攻撃に備える必要があります。 2021年1月から2021年12月にかけて、バラクーダの研究者は、数千の組織のメールボックスに影響を与える数百万件のスピアフィッシングおよびソーシャルエンジニアリング攻撃を分析しました。この分析結果は、新しいレポート「スピアフィッシング: 主要な攻撃と攻撃トレンドVol.7 – 最新のソーシャルエンジニアリングの戦術と複雑化する攻撃に関する見解」として発表されています。この詳細なレポートでは、スピアフィッシングの現在の傾向、標的となりやすい企業、攻撃者が被害者の防御をすり抜けるために用いている新たな手口、侵入に成功しているアカウント数について取り上げています。 最新のレポートはこちらから無料でダウンロードください 主な調査結果の詳細 アカウントの侵害を成功させて、さらに大きな被害を与える可能性を増やそうと試みるこれらの攻撃がどのように進化し、サイバー犯罪者がどのように中小企業を標的にしているかについて、重要なポイントがバラクーダの調査で明らかになっています。以下は、その分析から得られた重要な結果の一部です： 従業員100人未満の中小企業の平均的な従業員は、大企業の従業員よりも350%多くソーシャルエンジニアリング攻撃を受けることになる 会話乗っ取りは2021年に約270%増加 ソーシャルエンジニアリング攻撃の51%はフィッシング フィッシング攻撃の57%に利用され、最もなりすまされているブランドはMicrosoft 2021年、5組織に1組織のアカウントが侵害された サイバー犯罪者は2021年に約50万件のMicrosoft Office 365アカウントを侵害した 不正アクセスされたアカウントへの悪質なログインの3件に1件はナイジェリアからによるもの サイバー犯罪者は12,000の漏洩したアカウントから300万通のメッセージを送信した 上記に関する最新の詳しい情報や、現在の攻撃トレンドに関する新たな洞察、スピアフィッシング攻撃からビジネスを守るためのベストプラクティスを知りたい方は「スピアフィッシング: 主要な攻撃と攻撃トレンドVol.7 – 最新のソーシャルエンジニアリングの戦術と複雑化する攻撃に関する見解」をダウンロードしてご覧ください。 こちらから無料でダウンロードください 原文はこちら： Spear-phishing report: Social engineering and growing complexity of attacks March 16, 2022 Anne Campbell https://blog.barracuda.com/2022/03/16/spear-phishing-report-social-engineering-and-growing-complexity-of-attacks/

海外ブログ 2022.04.11

World Backup Day (世界バックアップデー）ランサムウェアは…

トピック: World Backup Day 2022年3月30日、Christine Barry …いたるところにあります。 サイバー犯罪の中で、より恐ろしいトレンドのひとつがランサムウェアです。サイバー犯罪者は、電子メールの添付ファイルやリンクのかたちで送った悪意のあるソフトウェアを使用してネットワークを感染させ、身代金を支払うまで電子メールやデータ、その他の重要なファイルをロックします。今なお進化しつつあるこうした巧妙な攻撃は、被害が大きく、コストもかかります。日常業務に支障をきたし、混乱を招き、ダウンタイムから身代金の支払い、復旧費用、その他の予算外の予期せぬ出費に至るまで大きな経済的損失をもたらします。被害に遭ったあなたは、復号ツールを入手するために身代金を支払うか否かを選択しなければなりません。誰もこのような経験はしたくないはずです。 最近の手口はいっそう巧妙となり、二重の脅迫スキームを作り出しています。まず、攻撃に先立ってリサーチをして、身代金の要求額を決めます。被害者から機密データを盗み出し、そのデータを他の犯罪者に公開したり売却したりしないことを約束する代わりに、身代金の支払いを要求します。犯罪者が必ず約束を守るわけではありません。被害者が身代金を支払ったとしても、数カ月後に再び連絡を受け、盗まれたデータを秘密にするために再度の支払いを要求されることもあります。あるいは、身代金を受け取っても結局はデータを売り払うランサムウェア犯罪者もいます。 これは、どれくらい大きな問題なのでしょうか。わかりやすい数字を紹介しましょう。 2021年のランサムウェア攻撃は前年比64％増加 FBIのインターネット犯罪苦情センターは、2021年1月から7月31日までに2,084件のランサムウェアの苦情を報告 1件あたりの平均身代金要求額は1,000万ドル以上 米国財務省金融犯罪取締ネットワークによると、2021年上半期のランサムウェア関連活動は5億9000万ドルで、2020年全体の報告数を上回った 74％の組織が、過去1年間に少なくとも1回のランサムウェア攻撃の被害を受けたと回答 ランサムウェアは全データ侵害の10%に含まれる どのような対策があるか ランサムウェアに対する最善の防御策は、電子メール、ウェブ、アプリケーション、ネットワークの包括的な保護を含む強固なセキュリティ・インフラストラクチャです。ユーザーは最後の防衛線であり、ほとんどの場合、最も弱いリンクであるため、ユーザー研修やセキュリティ意識の継続的な強化が必要です。これなくして、セキュリティ戦略は完成しないのです。 ランサムウェアからの回復が早い企業は、強固なデータ保護と災害復旧計画を実施していることが、調査により繰り返し示されています。それはつまり、最低でも3-2-1ルールに従うことを意味します。データのコピーは3部（オリジナルを含む）、データのバックアップコピー2部を2カ所に保管し、そのうち1部はオフサイトで保管することです。しかし、データのバックアップとその保管場所以外にも考慮すべきことがあります。 バックアップ戦略を見直す、あるいは新たに構築する場合、考慮すべき点をここにいくつか挙げましょう。 データかシステム状態か　データだけをバックアップした場合、OSやドメイン、アプリケーションなどの復元に必要なものはそろっていますか。データのバックアップだけなら、実行に時間がかからず、バックアップストレージのスペースの節約にはなりますが、OSとアプリケーションを手動で再インストールしなければならない場合があります。  アプリケーションの役割は何か　アプリケーションはどのような役割を担っているでしょうか。オンプレミスで複数のアプリケーションサーバーを走らせている場合、すべてのサーバーをバックアップするか、組織で重要な機能を実行しているサーバーだけをバックアップするかを選択する必要があります。アプリケーションは動的なデータを生成しているのか、それとも単純な静的構成で、頻繁でないバックアップで保護できるのか。アプリケーションのドキュメンテーション、バージョン、パッチレベル、その他復元に必要なデータは必ず保管してください。 リスク許容度はどの程度か　あなたの会社は、攻撃を受けてから通常業務を再開するまでにどれくらいの時間、オフライン状態でいられるでしょうか。許容できる最大の時間が復旧時間目標（RTO）であり、これは災害復旧計画を提案する際に経営陣と上級役員が決定または合意すべきものです。この話をするときは、失っても構わないデータの量を示す復旧時点目標（RPO）と混同しないように注意してください。 たとえば、あなたの会社の一般向けホームページの復旧時間目標は1時間に設定されているかもしれません。これは、あなたの事業が継続中であることを一般に知らせることが重要だからです。同じホームページの復旧時点目標は72時間以上かもしれません。データが簡単に再作成できるからかもしれないし、あるいはそれほど価値がないからかもしれません。この場合、システム管理者は、数日前のバックアップデータからできるだけ早く復旧させることになります。このようにシナリオを掘り下げておくことは、データ保護計画を確定し、周囲の賛同を得るのに役立ちます。 次なるステップは何か 上記のように、データ保護を実施している企業でも、ランサムウェア攻撃を受ければデータを失う可能性があります。包括的なセキュリティはかつてないほど重要です。それでも、ランサムウェア攻撃から回復する最良の手段は、データのバックアップをとっておくことにつきます。World Backup Day（世界バックアップデー）は、災害復旧戦略を再確認し、見つかった穴を塞ぐ計画を立てることを促す日です。 World Backup Dayの詳細については、こちらの公式サイトをご覧ください。 バラクーダがランサムウェアから保護する方法については、こちらの企業向けランサムウェアサイトを参照してください。 原文はこちら： World Backup Day — Ransomeware… March 30, 2022  Christine Barry https://blog.barracuda.com/2022/03/30/world-backup-day-ransomware/

海外ブログ 2022.04.11

World Backup Day(世界バックアップデー)に何をするべきか

トピック： Attacks and Threat Actors, World Backup Day 2022年3月17日、Phil Muncaster もし、すべてを失ったら？ 3月31日は、マルウェアやハードウェアの故障、人為的なミスなどからのデータ保護の必要性を喚起する「World Backup Day」（世界バックアップデー）です。 データは、あっけなく、簡単に、そして何の前触れもなく失われ、アクセス不能になる可能性があります。これは、簡単なことですが、意外と見落とされがちなことです。データの重要性にもかかわらず、多くの企業は包括的なバックアップ戦略を持っていません。これは、以下のような人間的な要因に起因しています。 大災害は “自分には絶対に起こらない “という思い込み 復旧時間目標、復旧ポイント目標への無関心 重要なデータのオンサイトコピーを完全なバックアップ方法だと思っている バックアップシステムの「BCP訓練」等のテストの未実施 OS、SaaSデータ、その他のミッションクリティカルデータを保護できない不完全なバックアップ戦略 データバックアップよりも、セキュリティやその他の技術、ITに関する取り組みを優先させる このようなバックアップの失敗は、一つでもあれば痛みを伴い、それが重なればビジネスにとって致命的なものとなりかねません。もし、これらの要因のいずれかがあなたのビジネスに存在するのであれば、すぐに対処すべきです。 World Backup Dayの意義 包括的なバックアップとデータ保護戦略を策定した企業でも、その計画を展開し、十分にテストしていなければ、脆弱なままです。多くの人は、毎日がバックアップデーであるべきだと知っていますが、毎年恒例のWorld Backup Dayは、このトピックに関する会話のきっかけとして効果的です。データ・バックアップの重要性の伝達へのサポートが必要な場合は、World Backup Dayのウェブサイトをご覧ください。友人、家族、同僚を説得するためのリソースが用意されています。 バラクーダがお手伝いできること World Backup Dayでは、データバックアップを「安全な場所」へ保管される「すべての重要ファイルの2番目のコピー」と捉えていますが、バラクーダはこれについてデータ保護の観点からアプローチしています。完全なセキュリティソリューションには複数の防御層があり、最新かつ包括的で、アクセス可能なデータバックアップもこれに含まれます。Barracuda Backupは、複数の導入オプションがある簡単で費用対効果の高いバックアップソリューションです。弊社のコーポレートサイトで詳細を確認し、30日間の無料トライアルを注文するには、こちらをクリックしてください。 原文はこちら： World Backup Day – What would you do … March 22, 2022 Christine Barry https://blog.barracuda.com/2022/03/25/world-backup-day-what-would-you-do/

海外ブログ 2022.03.31

サイバー犯罪者の専門化が進み、Webアプリケーション攻撃が急増

トピック： Attacks and Threat Actors 2022年3月17日、Phil Muncaster 脅威アクターがより賢く、より組織化され、より機知に富んできていることに私たちは既に気付いています。APIベースの脅威からDDoS攻撃に至るまで、Webアプリケーションの攻撃はその数と精巧さを増し続けています。デジタルトランスフォーメーションに真剣に取り組む企業にとって、これらの攻撃に真っ向から取り組むことは優先事項でなければなりません。 実際、Webアプリ層で深刻な違反や障害が発生すると、企業が収益や顧客ロイヤルティを高めるためにますます依存している種類のプロジェクトが頓挫してしまう可能性があります。そろそろ正念場を迎える時期です。 さらに賢くなるDDoS攻撃者 DDoS攻撃は、何年も前から私たちの身近に存在しています。しかし、参入障壁はかつてないほど低くなっています。実際、英国家犯罪対策庁のデータによると、「as-a-service」ツールのおかげで、わずか9歳の子どもでもこうした攻撃を展開することが可能になっています。現在Webアプリケーションへの攻撃は、DDoSキャンペーン全体の急増に大きく寄与しています。 これらの攻撃は実行速度が遅い反面、組織が検知することが難しく、ネットワーク層への攻撃と比較して、より多くのリソースを必要とします。また、脅威アクターは、身代金を要求する直接攻撃や、ランサムウェアの被害者に金銭を支払わせることを目的とした「三重の脅迫メール」など、さまざまな方法を駆使しています。これにより、中堅企業の一部のセキュリティリーダーたちのDDoSリスクに対する計算が狂ってしまう可能性があります。 Webアプリケーション攻撃 Webアプリケーションは、有益な顧客データや内部データへの直接的な経路となり得るため、それ自体が脅威アクターの主要な標的なのです。「アクセス制御の不備」と「インジェクション攻撃」が最も多い原因となっており、2021年にはこれらの攻撃の過半数を占めています。 アクセス制御の不備は、OWASPアプリケーションセキュリティリスクの上位10位に選ばれています。これには「予測可能なリソース位置」の違反が含まれ、攻撃者はファイルディレクトリの一般的な名前を推測もしくは総当たり攻撃で見つけることができるため、機密情報にアクセスできる可能性があります。インジェクション攻撃には、SQLインジェクションなどがあります。すべての組織は、これらの脅威に注意する必要があります。Webアプリケーションが顧客や従業員にとって重要な役割を担っていない業界は一つもありません。 精査されるAPI また、新しいレポートでは、APIに対する脅威が増大していることが明らかになっています。より多くの企業がWebアプリケーション、データ、デバイスを社内や外部のシステムと接続し、より優れたユーザ体験を実現するために、デジタルエンタープライズの中心的な役割を担うようになっています。この調査では、95％の組織が過去12カ月間にAPIのセキュリティインシデントを経験し、12％が月平均500件以上の攻撃に悩まされていたことが明らかになりました。 回答者の最大の懸念は、古いAPIのリスク（43％）、次いでインシデントがアカウント乗っ取りにつながる可能性（22％）でした。技術革新が進むにつれ、セキュリティチームは、「ゾンビ」APIのようなセキュリティが不十分な過去の技術について忘れてはなりません。このようなIT環境の一角を可視化することと、不正なデータアクセスの経路としてますますAPIの重要性が高まっていることを理解することは同じくらい重要です。Gartner社の予測によると、2022年までにAPIがデータ侵害の主な攻撃ベクタになるとのことです。 気を配るべき理由 ウクライナにおけるサイバー戦争が激化する中、すべての組織は、攻撃者が攻撃してくるであろうセキュリティチェーンの最も弱い部分の強化に取り組まなければなりません。この紛争がロシアとウクライナの西側同盟国との間の広範なオンライン上の戦いに波及しないとしても、企業はWebアプリケーションのリスク軽減に注力すべきです。特にデジタル事業への投資が拡大するほど、その重要性は高まります。 実践するにあたり検討すべき事項： 攻撃ベクタとしてのAPIにもっと注意を払い、どこに防御のギャップがあるかを理解し、Webアプリケーションのファイアウォールやその他のツールでAPIを保護すること 三重の脅迫メールという新たな脅威やDDoSランサム攻撃の急増など、変化するDDoSの力学を理解すること。組織は、このような攻撃がWebアプリ層に与える影響を軽減するために、専門家と提携すべき アプリケーションやAPIの開発プロセスにセキュリティを組み込むとともに、これらの環境を第三者による攻撃から保護するために、より懸命に取り組むこと 重大なインシデントが発生すれば、新しいアプリケーションの運用開始が遅れる可能性があるため、積極的に行動することが大切です。これは、新しい顧客体験によって市場の需要に迅速に対応する企業の能力の中核となるものです。この文脈でのセキュリティは、「あったらいいな」ではなく、デジタルイノベーションと成功の必須条件として、すべてのプロジェクトに組み込まれるべきものです。 アプリケーションを保護するシンプルなプラットフォーム 原文はこちら： Web application attacks surge as cybercriminals continue to professionalize March 17, 2022 Phil Muncaster https://blog.barracuda.com/2022/03/17/web-application-attacks-surge-as-cybercriminals-continue-to-professionalize/

Blog 2022.03.25

サイバーセキュリティ脅威に関する注意喚起：世界的な紛争激化に伴う、脅威アクティビティ活性化の可能性

トピック：Attacks and Threat Actors 2022年2月24日、Daniel Park ロシアとウクライナの緊張が高まる中、脅威アクターはウクライナ政府と他のウクライナ組織の両方を標的にしています。DoS攻撃によりウクライナ国防省と軍部のウェブサイトがダウンしました。また、ウクライナの大手銀行であるPrivatBankとOschadbankに対しても、同様の攻撃が展開されました。現在のところセキュリティの専門家はこれらの攻撃にロシアが関わっていることを確認していませんが、ウクライナはロシア国家の脅威アクターが関与していると確信しています。 技術的な詳細と追加情報 どんな脅威か？ DoS攻撃は、攻撃者がサービス、ウェブサイト、もしくはデバイスを使用不可能な状態にすることに成功した場合に発生します。今回のケースでは、Webサイトに対して、クラッシュするほどトラフィックを殺到させることでこの攻撃を展開しました。これによって、ウクライナの銀行のウェブサイトは使用不能となり、銀行のすべての活動や顧客に直接影響を与えています。 注目する理由 ある国が他の国に対してサイバー攻撃を行うことは、関係する国のサイバーリスクを高めるだけでなく、世界のサイバーリスクにも影響を与えることになります。今回事例として挙げた攻撃は高度なものではなく、軽減することも困難ではありませんでしたが、脅威アクターは以前から、より巧妙で潜在的な被害が大きい攻撃に向けた土台をつくるために、陽動作戦としてこれらの攻撃を利用してきました。したがって、特に2020年と2021年に起きたSolarWindsやパイプラインに対するサイバー攻撃にロシアが関与していると考えられていることも鑑みて、ユーザーは警戒を怠らず、今後の動向にも細心の注意を払う必要があります。 エクスポージャのリスク 現時点で組織が警戒したり、パッチを適用したりする必要のあるアクティブな脅威はありませんが、現況下でそのような事態になる可能性は常に存在します。ジョンズ・ホプキンズ情報セキュリティ研究所が作成したツール「サイバー攻撃予測指数（CAPI）」において、今の状況は最大スコアである25がスコア付けされています。この状況が進むにつれて新たな脆弱性や攻撃が発生する可能性がありますので、新しい脅威に目を光らせておくことが重要です。Barracudaは今後も不審な動きがないかを監視し続けていきます。 対処方法 この状況に関連するニュース、特にどういったタイプの攻撃が起こる可能性があるかを注視しておくことをBarracudaは推奨します。組織で使用していた製品が脆弱性にさらされた場合パッチが適用されるように、必ずアップデートを行ってください。さらに、国外からの不審なトラフィックに常に注意を払っておいてください。Barracudaはこのような状況を注意深く監視し、潜在的な脅威に関する情報を共有していく予定です。   参照資料 対処方法をより詳しく知りたい方は、以下のリンク先をご参照ください。 https://hub.jhu.edu/2022/02/15/russia-ukraine-maxes-out-cyber-attack-predictive-index/ https://fortune.com/2022/02/16/ukraine-russia-cyberattack-banks-crisis/ https://fortune.com/2022/02/15/markets-rally-russia-troops-ukraine-ruble-bitcoin-stocks/ https://cyberheatmap.isi.jhu.edu/ https://fortune.com/2022/02/15/russia-duma-putin-ukraine-donetsk-luhansk-donbas-recognition-georgia-south-ossetia/   この投稿は、弊社の Barracuda Managed XDRチームが発行した脅威に関する注意喚起に基づいています。   原文はこちら：Cybersecurity Threat Advisory: Heightened threat activity expected as global conflicts surgeFebruary 24, 2022 Daniel Parkhttps://blog.barracuda.com/2022/02/24/cybersecurity-threat-advisory-heightened-threat-activity-expected-as-global-conflicts-surge/

海外ブログ 2022.03.08

フィッシング詐欺はWeb3時代にも続く

2022年2月22日、Mike Vizard ブロックチェーン技術を採用し、分散型ネットワーク上で共有・アクセス可能なデータの不変インスタンスを作成するWeb3技術の台頭が最近話題になっています。Web 2.0技術を利用して構築された中央集権型サービスにも、少数の極めて大規模なエンティティによって制御されている中央集権型クラウドサービスにも依存することなく、データをより安全にすることを目的としています。 それは立派な試みである一方で、Web3プラットフォームは依然として、さまざまな種類のクレデンシャルを使用してアクセスされています。そのため、現在 Web2.0 プラットフォームを悩ませているのと同じように、フィッシング攻撃の対象となる可能性があります。例えば、マイクロソフトは、Web3プラットフォームへのアクセスに依存する暗号鍵が、デジタルウォレットソフトウェアになりすまし、被害者のデバイスにマルウェアを展開し、正規のスマートコントラクトのフロントエンドにタイポスクワッティングを行い、不正なデジタルトークンを製造し、ユーザーが謎のトークンが何であるかを調べて、認証情報を盗まれるエアドロップ詐欺に利用できることを説明した警告を発表しています。 これらのいわゆる「アイスフィッシング」技術は、何らかの方法でエンドユーザーを騙し、サイバー犯罪者にトークンの制御を密かに与えるような取引にサインさせるものです。 Web3の研究開発には、既に数十億円が注ぎ込まれています。Web3という言葉は2014年にポルカドットの創業者でイーサリアムの共同創業者であるギャビン・ウッドが作った造語です。その中核となるWeb3は、中央当局を介さないデジタル資産のあらゆる交換を表します。デジタル資産の交換を管理するエンティティは、分散型自律組織（DAO）と呼ばれます。既存のWeb2.0の枠組みに取って代わるというよりも、中央集権的なインターネットサービスに依存する必要性が少なくなる中で、ユーザーや組織が取引だけでなくデータもよりコントロールできるような別の枠組みを横に重ねていくことが、その核となる考え方です。 ブロックチェーンプラットフォームは、分散型台帳を使用してネットワークの各メンバーに全く同じデータのコピーを提供するため、分散化が可能になります。ある台帳が何らかの形で改ざんされたり、破損したりすると、ネットワーク上の他の台帳から自動的に拒否されます。ネットワーク上のすべてのエンティティは、台帳に格納されたデータの共有リアルタイムビューにアクセスすることができます。 分散化の大きなメリットの一つは、システム停止や障害に繋がりかねない特定のプラットフォームへの依存を減らすことです。また、リソースの配分を最適化することでより良いパフォーマンスと一貫性を実現し、全体的により安全なアプリケーション体験を可能にします。しかし、克服すべき課題も残されています。例えば、ブロックチェーンプラットフォームは大量のエネルギーを消費するため、分散化へのアプローチは、気候変動政策や要件に沿ったものである必要があります。 また、様々な違法行為の資金源として使用されるため、法執行機関による金銭的な支払いの追跡が非常に困難になっています。サイバー犯罪者が身代金の支払いを暗号通貨で行うよう要求するのはこういった背景があるからです。 どのようなプラットフォームであっても、サイバー犯罪者は認証情報を侵害するためにあらゆるフィッシング攻撃の技術を用いてきます。どんなに優れたプラットフォームであっても、完璧なセキュリティはありえないということを覚えておいてください。 原文はこちら：Phishing scams continue into the Web3 eraFebruary 22, 2022 Mike Vizardhttps://blog.barracuda.com/2022/02/22/phishing-scams-continue-into-the-web3-era/

海外ブログ 2022.03.07

進化を遂げるメールの脅威

トピック：Advanced Threat Protection、 Attacks and Threat Actors 2022年2月14日、Christine Barry １日に送信されるメールの数は、2024年には3,620億通近くに達すると予測されています。この数字には消費者向けのメッセージだけでなく、スパムや勝手に送られてくるマーケティングも含まれていますが、メールの利用が世界中で毎年持続的に増加していることを表しています。全米経済研究所は、コロナ禍でリモートワークへ働き方がシフトした後、職場におけるメッセージが5%増加したことを確認しました。SlackやMicrosoft Teamsのようなメッセージアプリケーションの利用が増えても、メールは企業や個人にとって極めて重要なコミュニケーション手段であることに変わりはありません。 そのメッセージの量と、「疑わしいメッセージ」のクリック率が高いことが、メールが依然として第一の脅威ベクタである理由です。サイバー攻撃の90%以上は、ユーザの認証情報を盗んだり、ネットワークにマルウェアを感染させたりすることを目的としたメールから始まります。サイバー犯罪者がメール攻撃を好むのは、それが有効だからです。 現代のメール脅威における課題 Nishant Tanejahは最近Tracy Holtzと共に、現代のメール脅威から身を守るための課題について議論しました。Nishantはメールセキュリティの専門家であり、現在BarracudaのProduct MarketingでSenior Directorを務めています。TracyはTech Data社の北米事業におけるセキュリティソリューションのVice Presidentです。The Holtz StoryのEpisode 16では以下の内容をお聞きいただけます： いかにしてメール脅威が量的攻撃からソーシャルエンジニアリングなどの高度な攻撃へと進化したか 犯罪者がメールを利用してアプリケーションやデータを攻撃する理由 13種類のメール脅威が企業に毎年何十億ドルもの損害を与えている理由 ダークウェブやソーシャルメディアなど、ネット上の情報がメール攻撃をどう変えたか なぜサイバー犯罪者はサプライチェーンと中小企業（SME）を狙うのか 社内の高価値な個人ターゲットの特定 意識改革、トレーニング、実践を通じてもたらす人間の行動変化 メール利用の増加とクラウドベースの高生産性プラットフォーム メールセキュリティプログラムと組織におけるベストプラクティスの構築 リアルなメール攻撃シミュレーション作成 Barracudaのメール攻撃スキャナでリスクとエクスポージャを特定 Office 365のネイティブなセキュリティを理解し、追加プロテクションを評価する Barracudaが攻撃を識別し、受信トレイを保護する方法 メールセキュリティにおけるAI、機械学習、API統合の役割 Barracudaのアイデンティティグラフが高度なメール脅威からユーザを保護する方法   エピソードページには主なテーマのタイムスタンプ付きの番組解説があります。 Barracudaはゲートウェイから受信トレイ、メールユーザまで、複数レイヤのセキュリティで毎日10億通以上のメッセージを保護しています。Barracuda Email Protectionや無料のBarracuda Email Threat Scannerについて詳しい情報を知りたい方は、ぜひ弊社のWebサイトをご覧ください。   原文はこちら：How email threats are evolvingFebruary 14, 2022 Christine Barryhttps://blog.barracuda.com/2022/02/14/how-email-threats-are-evolving/

Blog 2022.03.01

2022年版ランサムウェア：予測と対策

2022年2月10日、Tony Burgess あらゆる業界や規模の組織にとって、ランサムウェアは最大のサイバー脅威であることに以前変わりはありません。そしてその技巧は進化し続け、要求する身代金も数千ドルではなく数百万ドルにまで上っています。 もちろんランサムウェアだけが脅威なわけではありません。APIベースのアプリケーションの脅威、高度な第5世代ボットなどとともに、ソフトウェアサプライチェーンへの攻撃も増加しています。 先見の明が身を守る 今後何が起こるのかといった予測やその対策について、弊社は2022年2月16日にライブウェビナーを開催しました。このセミナーでは、過去1年間に発生したランサムウェアの全容と、2022年に予想されるランサムウェアの動向について解説しました。さらに、ライブイベントに参加された方は、2月末に公開される弊社の新たなレポート「Threat Spotlight：あなたのビジネスを守るために」にいち早くアクセスすることができるようになっています。このレポートでは過去1年間の主な脅威の傾向と、それが示唆する今年の脅威について解説しています。 さらにこのセッションでは、最も進化した巧妙なサイバー脅威から組織を保護するための最新の戦略やテクノロジについて深く掘り下げた話が繰り広げられました。講演者の一人は、ランサムウェアのインシデント対応の経験が豊富なBarracuda Security Platform Engineers ManagerのMerium Khalidであり、最新の複数段階のランサムウェア攻撃の実例と、Barracuda SKOUTのような高度な拡張検出・応答（XDR）プラットフォームを搭載した外部のセキュリティ運用センターの使用における潜在的なメリットを説明しました。 仕事に最適なツール このパネルディスカッションにはBarracuda CTOのFleming ShiとSenior Product Marketing ManagerのStasia Hurleyも参加しました。ランサムウェアの傾向と、いかに最新のそうした脅威がメール、ネットワーク、アプリケーション、データ保護など複数の方面で脆弱性を悪用するかという点に焦点を当てて解説しました。効果的なランサムウェアへのセキュリティインフラには以下のものが必要です： Barracuda Email Protectionのように、AIや機械学習を利用して、高度で発見が困難なフィッシング攻撃を検知する最新のメールセキュリティ Barracuda Cloud Application Protectionのような、高度なボット検出、サプライチェーン攻撃防御など、強力で多機能なWebアプリケーションやAPIセキュリティ Barracuda CloudGen WANやBarracuda CloudGen Accessのような、高度なネットワークセキュリティ、SD-WAN機能、ゼロトラストアクセス制御を組み合わせたSASE (Secure Access Service Edge)ソリューション Barracuda Cloud-to-Cloud Backupのような、バックアップを見つけて感染するように設計された最新のランサムウェアから能動的に保護する高度なクラウドベースのデータ保護   2022年2月16日に開催されたWebinarのオンデマンド視聴はこちら（英語）：   原文はこちら：Ransomware 2022: What to expect, how to fight backFebruary 10, 2022 Tony Burgesshttps://blog.barracuda.com/2022/02/10/ransomware-2022-what-to-expect-how-to-fight-back/

Blog 2022.02.28

内部脅威の理解と対策

トピック：Attacks and Threat Actors 2022年2月4日、Tony Burgess 「内部脅威」という言葉を聞くと、不満を抱えた社員が鬱憤を晴らすためにシステムを破壊したり、会社に危害を加えたりすることをすぐに思い浮かべる人が多いと思います。そのような悪意のある内部関係者は、内部脅威における問題の重要な要素であることは間違いありません。しかしセキュリティの観点からは、こうした内部脅威がどのように構成されているかをより広く包括的に理解する必要があります。内部脅威の種類を明確に把握することで、その脅威に対してより効果的な戦略を立案し、実行することができます。 悪意のある内部関係者 まず、悪意のある内部関係者について詳しく見ていきましょう。確かにこれには、会社に恨みを抱いている人たちも含まれます。例えば、従業員が昇進を見送られたと感じたりした場合です。 このように憤りを感じた従業員が会社に損害を与えるような行動を自ら意図的に取ることもありますが、外部の脅威者からランサムウェア攻撃やその他の脅威を行うため助けを求められることもあります。実際、2021年から2022年初頭にかけてHitachi IDが収集したデータによると、調査対象の経営者の65%が、自身もしくは自身の企業に勤める従業員がランサムウェア攻撃の計画支援を持ちかけられたことがあると回答しています。特にコロナ禍に入って以降、定期的に行われている調査でこの数字は右肩上がりになっています。 従業員がソーシャルメディアで不満をこぼした場合、外部のハッカーから接触される可能性が特に高いと推定してよいでしょう。つまり、不満を持つ従業員が高度な技術を使ったサイバー攻撃を遂行するために特別な技術やノウハウを熟知している必要はないということです。 また、自分のキャリアアップのために常にチャンスを伺っている野心的な従業員が情報を盗んだり、他の従業員のプロジェクトを妨害したりする場合もあります。 最後に、悪意のある内部関係者は産業スパイに加担し、単に金銭的な理由で競合他社に機密情報を売り渡すこともあります。自分自身でそうしたスパイ行為を始めることもあれば、競合他社からのオファーに応じる場合もあります。 ずさんな内部関係者 他には、内部関係者の過失もあります。この中には、気が散ってしまったことが理由でセキュリティ手順やポリシーに違反してしまうことや、セキュリティプロトコルについて従業員が訓練を受けていないこと、セキュリティ手順を不要と考える、もしくはあまりに面倒くさいと思って無視してしまうケースが含まれます。 侵害された内部関係者 最後になりますが、実に重大なのは内部関係者への侵害です。多くの場合、こうした従業員というのはフィッシング詐欺の被害に遭い、自分のコンピュータにマルウェアをダウンロードしたり、知らないうちに攻撃者にアクセス情報を渡してしまっています。このような従業員が騙されたことに気づかない場合、そのネットワークアカウントやコンピュータは、外部の悪意あるハッカーにとってネットワーク内の足がかりになる可能性があります。 このようなハッカーは時間をかけて好きなように行動することができます。デバイスをボットネットに追加してDDoS攻撃に利用することもできます。暗号通貨を盗み出すことにも使うかもしれません。しかし最も一般的なのは、このデバイスを本拠地として企業ネットワークを探索することです。他のデバイスやアカウントに移動し、認証情報を取得してアクセス権限を増やし、貴重なデータを見つけて盗み出したり、身代金を要求したり、重要なシステムにアクセスして破壊工作を行うこともあります。 内部脅威への対策 ここまでは内部脅威の種類とその動機について考察してきました。では次に、内部脅威の数を減らし、残っているものを検知してブロックするために実施可能なあらゆる対策をみていきましょう。 従業員の不満を解消する 誰かの「不満を解消する」とは私のお気に入りの言葉の一つです。今回の対策といった意味合いでは、人事や経営のベストプラクティスを実行することで、それができるようになります。会社にとって脅威となりうる悪意のある内部関係者の数を減らすために、昇進・昇給の決定における透明性と公平性、明確で誠実な経営陣とのコミュニケーションなどは大きな役割を果たすことができます。 人事部とIT部の足並みを揃える また、人事部とIT部が、悪意のある内部脅威の可能性について緊密に連絡を取り合い、定期的にミーティングを開いて情報交換を行うことも非常に有効です。最近懲戒処分を受けた従業員や昇給・昇進を見送られたと思っているような従業員のリストを人事部が準備することで、IT部がそうした従業員のオンラインでの行動をより注視し、彼らのデバイスやアカウントに特別なポリシーを適用する可能性を高めることができます。 同様に、IT部は、通常とは異なる時間にログインやバッジングを行ったり、自分の役割に関係のないデータにアクセスしたりする従業員や、その他の疑わしい行動を検知する方法を確立し、さらなる措置が必要とされる場合に備えてそのリストを人事部と共有する必要があります。 とにかく訓練あるのみ セキュリティ意識向上トレーニングといえば、ひと昔前は年2回退屈なビデオを見て試験に合格するというプログラムでしたが、その時と比較すると Barracuda Security Awareness Trainingのようなものにかなり進化を遂げました。今はとても簡単な手法がとられています。フィッシング攻撃のシミュレーションを利用することで常に脆弱性を測定し、トレーニングを最も必要とする従業員を特定することや、その従業員向けの個別トレーニング教材とプログラムを提供することが可能となっています。 会社がゲーミフィケーションの手法を用いて、フィッシングの類似体験の特定と報告を最もちゃんとこなした人に賞を授与するといった機会を毎月もしくは四半期ごとに行うことで、ひねくれた態度の従業員でさえも積極的に参加しエンゲージメントを高めることができるでしょう。強力で効果的なトレーニングプランは、ずさんな、もしくは侵害された内部関係者の脅威を軽減する唯一にして最良の方法です。 信頼しつつ、きちんと確かめる 冷戦時代の核軍備管理取引と同様、「信頼しつつ、きちんと確かめる」は、「信じるな」のうわべの表現だと言えましょう。そしてアクセスコントロールに関して言えば、絶対に信頼すべきではありません。 シングルサインオン（SSO）、ロールベースの権限、多要素認証（MFA）は、効果的で安全なアクセス制御のための黄金ルールとして長い間利用されてきました。しかし結局のところ、こうした対策はあまりに信頼しすぎてしまうのが問題です。一旦正しい認証情報が提示されれば、すべてあなたの思う通りに操作できるようになり、あなたが本人であることにも、あなたがやりたいように行動することにも何の疑いももたなくなってしまうのです。 つまり、悪意のある内部関係者は自由に悪さをすることができますし、侵害された（もしくはログイン時に侵害されてしまった）内部関係者であれば、知らず知らずのうちに脅威アクターをネットワークに取り込んでいることになるのです。 現在、Barracuda CloudGen AccessなどのZTNA（Zero Trust Network Access）ソリューションは、そのような信頼の必要性を排除しています。ZTNAは、入口でIDを確認する用心棒の役割を果たすというよりも、専門の監視チームのような役割を担っています。ZTNAは各ユーザの行動を監視・分析することで、漏えいなどの有害事象につながる前に、異常な行動やリスクのある行動を特定するのに役立ちます。 最後のまとめ 内部脅威の心配がなくなることはないでしょうが、満足度を高める文化や管理手法を確立し、リスクの高い個人を対象としたセキュリティ意識トレーニングを継続的に実施し、最新のZTNAアクセスコントロールソリューションを導入すれば、あらゆる種類の内部脅威からのリスクをかなり軽減することができるでしょう。 当社レポート「自宅のデバイスを保護し、リモートワークの生産性を上げる5つのステップ」もぜひご覧ください   原文はこちら： Understand and combat insider threats February 4, 2022 Tony Burgess https://blog.barracuda.com/2022/02/04/understand-and-combat-insider-threats/

海外ブログ 2022.02.21