NRI Secure SANS NewsBites 日本版

Vol.14 No.39 2019年12月17日発行

──────────────────────────
■■SANS NewsBites Vol.14 No.39
(原版: 2019年 12月 10日、13日)
──────────────────────────

┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
 2┃0┃2┃0┃年┃1┃月┃東┃京┃開┃催┃
 ━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛
 S┃A┃N┃S┃ト┃レ┃ー┃ニ┃ン┃グ┃
 ━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛
 絶┃賛┃お┃申┃し┃込┃み┃受┃付┃中┃で┃す┃
 ━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛

【SANS Tokyo January 2020】全4コース実施予定
https://www.sans-japan.jp/sans_tokyo_january2020

開催日:2020/1/20(月)~2020/1/25(土)

SEC642:Advanced Web App Penetration Testing, Ethical Hacking, and Exploitation Techniques Style
FOR500:Windows Forensic Analysis (旧:FOR408)
FOR572:Advanced Network Forensics: Threat Hunting, Analysis, and Incident Response
ICS410:ICS/SCADA Security Essentials (5日間)

◆トレーニング費用(税抜)
  810,000円

◆お申込みについて
各コースページのお申込みボタンより、お1人様ずつお願いいたします。
https://www.sans-japan.jp/sans_tokyo_january2020

┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛
┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
 2┃0┃2┃0┃年┃3┃月┃東┃京┃開┃催┃
 ━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛
 S┃A┃N┃S┃ト┃レ┃ー┃ニ┃ン┃グ┃
 ━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛
 お┃申┃込┃み┃開┃始┃い┃た┃し┃ま┃し┃た┃
 ━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛

【SANS Secure Japan 2020】全10コース実施予定 ★早期割引 2020年1月17日まで★
https://www.sans-japan.jp/sans_secure_japan2020

開催日:2020/3/2(月)~2020/3/7(土)★早期割引 2020年1月17日まで★

SEC504:Hacker Tools, Techniques, Exploits and Incident Handling◆日本語◆
SEC511:Continuous Monitoring and Security Operations
SEC760:Advanced Exploit Development for Penetration Testers
FOR610:Reverse-Engineering Malware: Malware Analysis Tools and Techniques
SEC545:Cloud Security Architecture and Operations(5日間)

開催日:2020/3/9(月)~2020/3/14(土)★早期割引 2020年1月24日まで★

SEC401:Security Essential Bootcamp Style◆日本語◆
SEC501:Advanced Security Essentials - Enterprise Defender
SEC560:Network Penetration Testing and Ethical Hacking
FOR508:Advanced Incident Response, Threat Hunting, and Digital Forensics
SEC540:Cloud Security and DevOps Automation(5日間)

◆トレーニング費用(税抜)
早期割引価格(6日間コース):760,000円 通常価格:810,000円
早期割引価格(5日間コース):710,000円 通常価格:760,000円
早期割引価格(SEC760):830,000円 通常価格:880,000円


◆お申込みについて
各コースページのお申込みボタンより、お1人様ずつお願いいたします。
https://www.sans-japan.jp/sans_secure_japan2020

┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

◆ 4,400万件の窃取されたMicrosoftアカウントの認証情報が悪用されている
 (2019.12.9)
Microsoft社の技術者らは最近、犯罪者によって窃取されていることが判明している30億を超える認証情報を分析した。法執行機関や侵害されたアカウントの公開デ
ータベースの情報を活用し、Microsoft社のチームは、Microsoftサービスのうち4,400万のユーザーアカウントが既知の窃取された認証情報を再利用していることを特定した。これらのアカウントは、Microsoft社の消費者サービスや企業がMicrosoft Azureで使用する認証情報にまで及んでいることを明らかにした。

- https://www.infosecurity-magazine.com/news/microsoft-44-million-passwords/
- https://www.helpnetsecurity.com/2019/12/09/compromised-passwords-microsoft-accounts/

【編集者メモ】(Lee Neely)
認証情報の再利用およびユーザーによる不十分なパスワードの設定は、多要素認証の必要性を訴えている。IDPは、場所とデバイスの認識を設定して接続の水準を引
き上げたり、未知のデバイスや信頼できない環境からの認証を完全にブロックしたりできる。MFAを設定できないレガシープロトコルの使用は無効にするか、厳重に
制限しよう。


【編集者メモ】(William Hugh Murray)
再利用されたパスワードや詐欺などで手に入れたパスワードの再利用は既知の問題だが、それらの多くはユーザー側の問題の結果である。ユーザーは、Microsoft社などが提供している、パスワードマネージャーと強力な認証機構を使用するべきである。企業は、パスワードの設定を困難にする必要以上に複雑なパスワード規則を避け、ユーザーに強力な認証オプションを提供するべきだ。
────────────────

◆ 中国がMicrosoft社のような米国企業に打撃を与える可能性のある外国の技術を削除するよう政府機関に命じたと報じられている(2019.12.9)
中国共産党が、3年以内にすべての政府機関に外国のハードウェアとソフトウェアの削除を命じたことが明らかになった。システムおよびソフトウェアは、中国内で
提供される同等のものに置き換えられる予定である。この交換は、2,000万から3,000万台の機器を含み、2020年に開始される。政府機関は、2020年、2021年、2022年でそれぞれ30%、50%、20%の中間目標を達成する必要がある。中国は、英国の会社Canonical社の力を借りて、2013年にWindowsとiOSの代替品の構築を開始した。この動きは、HP、Dell、Microsoftなどの米国のプロバイダーに影響を与えている。中国の最新の政策は、貿易戦争中の米国のテクノロジー企業に対する最も直接的な
動きの1つと見なされる可能性がある。

- https://www.cnbc.com/2019/12/09/china-reportedly-orders-state-offices-to-remove-foreign-tech.html
- https://www.ft.com/content/b55fc6ee-1787-11ea-8d73-6303645ac406
- https://www.telegraph.co.uk/technology/2019/12/09/china-orders-officials-remove-foreign-tech-computers/
- https://www.zdnet.com/article/chinese-government-to-replace-foreign-hardware-and-software-within-three-years/
- https://techcrunch.com/2019/12/09/china-moves-to-ban-foreign-software-and-hardware-from-state-offices/

【編集者メモ】(John Pescatore)
残念ながら、こうしたタイプの貿易戦争のエスカレーションが長期化すると、セキュリティ製品やサービスの売買に影響を与える可能性が高まり続ける。Huawei社と
Kaspersky社は、セキュリティ製品の購入に対する米国の指令の影響を経験している。米国の大手セキュリティベンダーは、大規模な外国市場から同様の影響を受け
る可能性がある。企業の観点からすると、既存のベンダーが巻き込まれた場合のバックアップ計画を立てる必要性が出てくる。


【編集者メモ】(Lee Neely)
これは、セキュリティの強化や国産製品よりも、貿易戦争と経済制裁の脅威に動機付けられている。Lenovo社やHuawei社などの中国のベンダーでさえ、これらの制裁
の影響を強く受けている。企業は、代わりの発注先のリストを作成する際、特に発注先が海外にあり、そのような行為に影響を与える可能性がある場合、所在地を考
慮する必要がある。
────────────────

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃OUCH! 12月号「メッセージアタック」について
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
サイバー環境で私たちに攻撃をしてくるとき、電子メールや電話で騙そうとする
手口は色々なところで紹介がされているのでご存知かと思います。しかし、攻撃
者は常に新しい方法が使えないか試みており、最近はメッセンジャーなどを使っ
たものがあります。今月は、これらのテキストメッセージを使った攻撃を特定し
被害を未然に防ぐための簡単な手順について一般ユーザにも分かりやすく解説し
ます。社内のセキュリティ意識向上ツールとしてご利用ください。
https://www.sans.org/sites/default/files/2019-12/201912-OUCH-December-Japanese.pdf
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

◆ GDPR違反:ドイツのプライバシー規制当局が1&1 Telecom社に罰金を科す(2019.12.10)
1&1 Telecom社が、これまでに打ち出された最大級のGDPR罰金が科せられた。ドイツのプライバシー規制当局は、1&1 Telecom社が顧客のプライバシーデータを十分に保護していなかったと主張しており、DOBと顧客名のみを使って、顧客に関する広範な情報を取得できると主張した。1&1 Telecom社は、既存のセキュリティ要件がテスト時に実装され、現在の要件を満たすために保護が追加されたと主張している。1&1 Telecom社は罰金に対して控訴している。

- https://www.databreachtoday.com/gdpr-breach-german-privacy-regulator-fines-11-telecom-a-13482
- https://www.complianceweek.com/data-privacy/1-and-1-telecom-fined-106m-for-gdpr-violations-company-fights-back/28171.article
- https://securityboulevard.com/2019/12/11-telecom-gmbh-hit-by-almost-10-million-gdpr-fine-over-poor-security-at-call-centre/

【編集者メモ】(John Pescatore)
1&1は、名前と生年月日を入力するだけで、コールセンターへの認証を許可していたようだ。これは一種の皮肉で、私が彼らのウェブサイトに行って彼らが何をして
いるかを見ると、冒頭のスプラッシュ画面には次のように書かれている。(原文の英語翻訳)“Your privacy is very important to us! The protection of your personal data has top priority for 1&1”「私たちにとってプライバシーは非常に重要です!個人データの保護は1&1にとって最優先事項です。」1&1は問題を修正するために非常に迅速に協力しているようなので、これはダメージコントロールマーケティングの後かもしれない。
────────────────

◆ FBIはロシアのアプリが対敵情報活動の脅威となる可能性があると評価(2019.12.2)
FBIは、ロシア政府からのデバイスおよびユーザーデータへのアクセスを許可する法律上の制限があることにより、ロシアから配信されているモバイルアプリを「潜
在的な対敵情報活動の脅威」とみなしている。また、ロシアのソフトウェアがプリロードされた状態でデバイスを販売することを要求する新しいロシアの法律と相ま
っている。(NewsBites Volume XXI, Issue#92を参照:https://www.sans.org/newsletters/newsbites/xxi/92)これにより、監視とプライバシーの損失に関する懸念が生じている。

- https://www.cyberscoop.com/fbi-russian-apps-counterintelligence-faceapp-schumer/
- https://www.nydailynews.com/news/politics/ny-fbi-faceapp-counterintelligence-threat-russia-elections-20191202-t2kyyceuuzgzbhjoo5njx5vxnm-story.html
- https://fortune.com/2019/12/02/fbi-russia-apps-faceapp-counterintelligence-threat/
────────────────

◆ Googleが改善したパスワード侵害警告とリアルタイムフィッシング警告を搭載したChrome79をリリース(2019.12.11)
Googleは、パスワードとフィッシング保護のセキュリティを目的とした新機能が含まれている Chrome79の安定ビルドをリリースした。ユーザーが Webサイトに認証
情報を入力すると、Chromeブラウザーはそれらの資格情報が以前に侵害されていないかどうかを確認する。Chromeブラウザがチェックする侵害されたWebサイトのデータベースは、30分ごとに更新されるようになった。

- https://blog.google/products/chrome/better-password-protections
- https://www.techspot.com/news/83142-chrome-79-has-better-password-protection-real-time.html
────────────────

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■┃申込受付中の無料セミナー・イベント        <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇12月24日(火)、2020年1月30日(木)、2月26日(水)
 「貴社の情報資産がダークウェブに漏れていませんか?」
 ~脅威インテリジェンスサービスIntSightsでデジタルリスクを調査~
 
 https://www.nri-secure.co.jp/seminar/2019/threat-intelligence01?xmid=300&xlinkid=01

〇2020年1月16日(木)
 Web分離・無害化によるセキュリティ対策
 ~触って理解するMenlo Security~
 https://www.nri-secure.co.jp/seminar/2019/isolation04?xmid=300&xlinkid=02

〇2020年1月22日(水)、3月12日(木)
 特権ID管理ツールの導入検討支援セミナー
 ~成功の秘訣と導入効果~
 https://www.nri-secure.co.jp/seminar/2020/ac01?xmid=300&xlinkid=03

〇2020年1月23日(木)
 クラウド時代における社外とのデータ授受のあるべき姿
 ~ファイル転送・共有サービスの正しい選び方~
 https://www.nri-secure.co.jp/seminar/2020/file01?xmid=300&xlinkid=04

〇2020年1月28日(火)、2月25日(火)
 【事例で解説】マルチクラウド時代に必要な「CASB」とは
 ~CASBで安全なクラウドサービスの活用を実現~
 https://www.nri-secure.co.jp/seminar/2019/casb01?xmid=300&xlinkid=05

〇2020年2月13日(木)
 今後のサイバーセキュリティ対策の要諦
 ~情報セキュリティ実態調査2019からひもとく~
 https://www.nri-secure.co.jp/seminar/2019/insight01?xmid=300&xlinkid=06

〇2020年2月20日(木)
 【実機で体験】特権ID管理 SecureCube / Access Check ハンズオンセミナー
 https://www.nri-secure.co.jp/seminar/2019/hundson_ac01?xmid=300&xlinkid=07

〇2020年2月24日(月)~28日(金):出展
 RSA Conference 2020
 https://www.nri-secure.co.jp/news/2019/1213?xmid=300&xlinkid=08

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■┃申込受付中の有料研修               <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○2020年1月、2月、3月
 CISSP CBKトレーニング
 https://www.nri-secure.co.jp/service/learning/cissp_training?xmid=300&xlinkid=11

〇2020年2月
 セキュアEggs(基礎 / インシデント / Webアプリ / フォレンジック)
 https://www.nri-secure.co.jp/service/learning/secureeggs?xmid=300&xlinkid=12

〇2020年1月20日~25日
 SANS Tokyo January 2020
 <SEC642 / FOR500 / FOR572 / ICS410>
 https://www.sans-japan.jp/sans_tokyo_january2020?xmid=300&xlinkid=13

〇2020年3月2日~14日
 SANS Secure Japan 2020
 <SEC504 / SEC511 / SEC760 / FOR610 / SEC545 / SEC401 / SEC501 /SEC560 / FOR508 / SEC540>
 https://www.sans-japan.jp/sans_secure_japan2020?xmid=300&xlinkid=14

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃ebook(無料ダウンロード)  <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇NRI Secure Insight 2019 ~企業における情報セキュリティ実態調査~
 
https://www.secure-sketch.com/ebook-download/insight2019-report?xmid=300&xlinkid=15

〇生産性の高いセキュリティ
 - Secure SketCHを最大限に活用して、セキュリティ業務を「効率化」する手法 -
 
https://www.secure-sketch.com/ebook-download/efficient-security-operations?xmid=300&xlinkid=16

〇EDR導入ガイド
 - インシデント前提社会の最適解 -
 
https://www.secure-sketch.com/ebook-download/recommend-edr-use?xmid=300&xlinkid=17

>>ダウンロード資料一覧
 https://www.secure-sketch.com/ebook-download?xmid=300&xlinkid=18

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃コラム(Secure SketCH ブログ) <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇カリフォルニア州 消費者プライバシー法(CCPA)施行直前!|
 日本企業に求められる対応とは?
 
https://www.secure-sketch.com/blog/california-consumer-privacy-act?xmid=300&xlinkid=19

〇コーポレートガバナンスとセキュリティ経営
 
https://www.secure-sketch.com/blog/corporate-governance-and-security-management?xmid=300&xlinkid=20

〇【検証】PHPのコマンド実行の脆弱性を悪用する攻撃通信の検知
  (CVE-2019-11043)
 
https://www.secure-sketch.com/blog/verify-php-command-execution-vulnerability?xmid=300&xlinkid=21

>>ブログ記事一覧
 https://www.secure-sketch.com/blog?xmid=300&xlinkid=22

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃お知らせ                     <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇NRIセキュア、3年連続シェアNo.1を獲得
 ~ ITR調査「サイバー・セキュリティ・コンサルティング・サービス市場」~
 https://www.nri-secure.co.jp/news/2019/1205?xmid=300&xlinkid=23

〇NRIセキュア、日本で初めてコンテナオーケストレーションに特化した
 セキュリティ診断サービスを提供開始
 https://www.nri-secure.co.jp/news/2019/1121?xmid=300&xlinkid=23

〇「Vex」がWebアプリケーション脆弱性検査ツール市場で
 4年連続シェアNo.1を獲得
 https://www.nri-secure.co.jp/news/2019/1114?xmid=300&xlinkid=24

〇野村総合研究所、NRIセキュアとJCBが、“デジタルアイデンティティ”の
 最新動向レポートを共同で発行
 https://www.nri-secure.co.jp/news/2019/1105?xmid=300&xlinkid=25

>>ニュース一覧
 https://www.nri-secure.co.jp/news/?xmid=300&xlinkid=26

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃Secure SketCH 無料登録受付中 <NRIセキュア>
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○30分でわかる!貴社に必要なセキュリティ対策
 https://www.secure-sketch.com?xmid=300&xlinkid=29

〇Secure SketCHサービス紹介資料
 https://www.secure-sketch.com/ebook-download/secure_sketch_explanation-material?xmid=300&xlinkid=30

--

NRI Secure SANS NewsBites 日本版は、米国の情報セキュリティの専門機関であるSANS Instituteが配信するコンテンツ (SANS NewsBites)をベースに、NRIセキュアテクノロジーズが編集してお届けしています。 世界中でこの1週間に起こったセキュリティのあらゆるトピックと専門家のコメントが掲載されています。原版は、お
よそ20万人のセキュリティのコミュニティに配信され、資料価値のあるニュースソースとして活用されています。組織のセキュリティ管理に関する参考情報としてお役立てください。掲載されている情報は、e-mailを介して自由に他の方に再送していただいて結構です。ただし、サイトへの掲載は禁じます。日本語版の無料購読を
希望される方は、弊社ホームページの以下のページよりお申込みください。
https://www.nri-secure.co.jp/news_letter

本ニュースレターは、メールマガジン配信を申し込まれた方、弊社からの情報を希望された方、SANS関連のイベントに参加された方、その他イベント等において弊社
講演枠に登録された方に配信しています。今後、配信をご希望されない方は会社名と御氏名を本文に明記のうえ、件名に【配信不要】、配信先変更をご希望の方は【配信先変更希望】とご記入頂き、新旧のご連絡先も記載のうえ、info@sans-japan.jp までご返信をお願い致します。なお、
情報の反映までにお時間を頂戴する場合がございます。