忙しい人のためのセキュリティ・インテリジェンス - 2021/02/08

#2021021st #202102 #忙しい人のためのセキュリティ・インテリジェンス_バックナンバー

今週のおすすめ/一言所管

浄水システムに不正侵入、苛性ソーダ濃度１００倍に設定　米フロリダ州　で、全PCがWin32のWIndows 7 で共通アカウントというのは驚きだが、公共部門の予算の無さはガチ。今後、どうするか見もの。

GoogleがOSV(Open Source Vulnerability) を公開。OSSの利用者が、どのOSSに影響をうけるのか自動的に把握・判断できるように支援する脆弱性データベース。日本だとVuls等があるが、情報量が多いと言うより、自動で脆弱性の修正状況のトラッキングとかポリシーとかがあると嬉しい

Microsoft #microsoft #ms

AzureAD #idp

新しいadministratorが追加

Authentication Policy Administrator

Domain Name Administrator

Checking out the new Azure AD Temporary Access Pass preview feature

Termporary Access Passという機能ができたみた。

読んで字の如しだが、一時的に今まで管理者が払い出せていたパスワードとどう違うのだろうか :eyes:

Defender #xdr #edr

Sentinel #siem

Compliance

他

AWS #aws

https://virtual.awsevents.com/media/1_cil9c9vx

https://virtual.awsevents.com/media/1_jjpozeyq

https://virtual.awsevents.com/media/1_ga0tv1ja

AWS CloudHSM Adds New Availability Zones

AWS CloudHSMが東京サポート

Amazon Timestream now offers cross table queries, query execution statistics, and more

Amazon Timestreamは時系列データベース

目的はアプリ監視、エッジワークロード（デバイス？）とかも？。

安いらしい。東京はまだない

Google

New research reveals who’s targeted by email attacks

日本は米国とイギリスについでフィッシング・マルウェアキャンペーンの対象になってた

日本の場合は、その送信元の78％が日本。ほー

短い期間のキャンペーンで、共通したテンプレを大量の相手にばらまく

「k-匿名性」で、攻撃対象になりがちなユーザー傾向を分析

他サービス漏洩で電子メールやその他の個人情報が漏洩すると、フィッシングやマルウェアの標的にされる確率が五倍

地理的要因あり

高年齢層がたーげっとになりがち

モバイルユーザーより、マルチデバイスユーザーのが多い

マルチデバイスがより裕福とみなされ、ターゲットにされてるのかも

Google Workspace Updates Weekly Recap - February 12, 2021

google groupのタイプをAPIでかえることで、security groupにできる

ラベルをつけられたり、外部グループを追加できなくすることができる

ラベルは消せない、って書いてあるけどほんまか？

google groupのメンバーシップに有効期限を設定できるように。

異動における引き継ぎとかに役立ちそう

トラスト/ガバナンス #trust

Digital signature deployment models for banking - Operating as an eIDAS Compliant Registration Authority Reduces Costs and Preserves Customer Ownership

電子的識別と電子署名のための技術的・法的枠組みをeIDASは提供する

金融サービスでは以下の商用利用が考えられる

Full Trust SP: 自前ホスト

Trust SP light: リモートシグネチャ as a service

署名SP: APIをつかってサービスを使う感じ。

金融サービスは署名SPとしてRA（registration Authrotiy)になる。そしてTSPのAPIを叩く。顧客とのpoint of contactになるため、法的責務もここに集約される

NIST IR-8344 Ontology for Authentication

NISTによるAuthenticationのオントロジーと分類体系

NIST SP-800-171 Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171

Contrlled Unclassified Information (CUI）のNon-Federatel agencyの取り扱いについてまとめあSP800-171の補完版

大きく３つの状況を想定

1. 情報がagencyのシステムに常在している場合

2. agencyが政府に変わって情報を収集・管理していない場合

3. CUI保護の要件がない場合（171がカバーしない.?）

なぜ「マイナンバー制度」はいまだに国民に理解されないのか　石井夏生利教授に聞く

住基ネットへの訴訟（合憲判断）や個人情報漏洩の不安をもとにした離脱から、マイナンバー制度設計は対応策を徹底

個人に関する情報を各期間で分散管理

マイナンバー利用可能な事務を限定

カード情報を限定（カードリーダーを使ったり、証明用と署名用でパスワードを分けたり）

が、やりすぎて、非常に使いにくい

マイナンバーカードについても、電子証明で本人認証させたいのかなど。スマホでもできるようになるので

［社説］許されぬリコール署名の不正

愛知県に提出された大村秀章知事の解職請求（リコール）の署名の83%に無効の疑いがあると県選挙管理委員会が発表

wow

マイナンバーカードの機能のスマートフォン搭載等に関する検討会（第4回

まとめ -> LayerX Labs Newsletter for Biz (2021/02/03-02/09)

デジタルIDには、信頼性を提供するという「トラストアンカー」としての役割だけでなく、それを活用するための「トラストサービス」としての役割が求められる。そこで民間デジタルIDとして、「各種法令に準拠したオンライン本人確認」「複数要素による安全な当人認証」および「法令に準拠した電子署名」を提供することによって、サービス事業者が容易に実装し、電子証明書というトラストサービスというトラストサービスを使えることを可能にする

組織が発行するデータの信頼性を確保する制度に関する検討会（第8回

eシールの定義

電子文書等の発行元の組織を示す

また、発行元を示した後に、文書等が改ざんされていないことを確認する仕組み

３つのレベルがあって、レベル２が技術レベルを担保できるもの。レベル３はトラスとアンカーとなりえるもの。レベル１はそれ以外。

ユースケース図

https://gyazo.com/6cfff561a6d550852529ceb78dea4b19

経済産業省奥家氏が語る「Society5.0」時代のセキュリティリスクと対策の今　前編・後編

前編, 後編

セキュリティが意味するところは、CIAを確保する情報セキュリティから、サイバー空間のサイバーセキュリティへ

２社間での相互信頼が、複雑するサプライチェーン構造によって成り立たなくなっている

「データの信頼性」が重要

Metiではそれを守るために「サイバーフィジカルセキュリティ対策フレームワーク（CPSP）」を策定

サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）のポイント

3層構造

サイバー空間におけるつながり: データの信頼性

フィジカル空間とサイバー空間のつながり: フィジカル <->サイバー間のデータ転写に関する信頼性

企業間のつながり: マネジメント（ISMSとか）を基盤に書く主体の信頼性

６つの構成要素

組織、人、モノ、データ、プロシージャ、システム

ブロックチェーン #blockchain

NIST IR-8301 Blockchain Networks: Token Design and Management Overview

トークン設計と管理に関する技術的概要のドキュメント

トークン、ウォレット、トランザクション、UI、プロトコルに関するフレームワークチックなドキュメント

脅威/脆弱性 #vulnerability #threat #security

https://www.bis.org/publ/bisbull37.htm

https://aws.amazon.com/blogs/security/how-to-approach-threat-modeling/

https://www.sans.org/reading-room/whitepapers/auditing/paper/849

https://us-cert.cisa.gov/ncas/alerts/aa21-008a

Microsoft Office Phishing Attack Hosted on Google Firebase

MicrosoftのOfficeにたいするフィッシングサイトがFirebaseでホスティングされてるって話

Googleサービスを使うことでドメインの正当性が高められる。AWSでも起きそう

How to Identify Vulnerable Third-Party Software

SaaS上のデータ侵害を検知するまでに平均で約200日

どうするか？

monitoringするだけでなく、セキュリティスコア（security rating）による継続的なリスクとイベントの監視が必要

以下のActive/Passsiveスキャニング

Injection Attacks, Broken Authentication, Sensitive Data Exposure, Security Misconfig, XSS, Insecure Deserialization, Using components with known vulnerabilities, etc.

自動化されたリスクアセスメント

On managing vulnerabilities in AI/ML systems

MLのアルゴリズムやモデルに対する脆弱性報告はあるものの、それを運用するメンツと管理方法について騙ったことはないよね、ちょっと思考実験しようか的論文

CERT（運用サイド）が著者

MLシステム運用者と脆弱性管理者の間のコミュニケーション領域（trading zone）を確立させることが目的

そのために、共通言語?（“boundary objects, value of item）にCVE-ID使おうぜ、というやつ

MLシステムそのものにCVE-IDをアサインされる状況を考える

発見、レポート受理、分析、協力、公開、対応というオペレーションに関するCVE-IDをもとにコミュニケーションしようというやつ

参考文献の「Enhanced Cyber Threat Model for Financial Services Sector (FSS) Institutions.」が気になる

Cyber Threat Hunting Workshop

Threat Hunting, Threat Intelligence, Honeypotのノウハウ p120越え

7割 Threat Hunting, 2割 Threat Intelligence, 1割 Honeypotみたいな配分

Proactiveなdefenseテクだが、その本質とは defenses that increase costs to cyberattackers by reducing costs to cyber-defenders. らしい

手法としては、High Impact ActivityをFrequentにチェックするところから開始

Threat Huntingのプロセス、成熟度、フレームワーク、種別、ユースケースが豊富に紹介されていて、勉強になる

A Framework for Cyber Threat Hunting

↑の補助資料。ベンダーの資料なので、conclusionは「うちの製品つかおうぜ！」

成熟度フレームワークはこちらのほうがわかりやすい

Damn Vulnerable GraphQL

脆弱なやられアプリ DamシリーズのGraphQL版

別に誰かがDamn Vulnerableの商標をとってるわけじゃないけど

PortSwigger - OAuth 2.0 authentication vulnerabilities

OAuth2.0の脆弱性シリーズ

金融 #financial

Tesla buys $1.5 billion in bitcoin, plans to accept it as payment

テスラが$1.5billion分のビットコインを購入

それに伴いBitcoinが500万超え

動き出す中銀デジタル通貨(上)　民間通貨との相互依存続く

CBDCは価値の貯蔵・移転をする決済手段である一方、物理的な外観をもつ通貨

通貨も社会のニーズや期待を反映し、設計変更や多様性が求められる

民間発行通貨 is ...?

行政/会社/団体

内閣官房 IT総合戦略室が「デジタル社会形成基本法案」「デジタル庁設置法案」「デジタル社会の形成を図るための関係法律の整備に関する法律案」を国会に提出

デジタル庁が立ち上がる今だからこそ、USDSのリクルーティングについて語ろう

いい話だった

アメリカにもデジタル庁っぽいのがある -> United States Digital Service (USDS)

その組織にエンジニアをリクルートした時の歴史とやり方:

シリコンバレーの会社を一社一社行脚して、healthcare.govの話をし、USDSの話をし、現在アメリカの様々な省庁が抱える様々な問題の話をし、そこで活動することの意義、人を救える、人の命を救える、そんな数々のプロジェクトを紹介し、「USDSに来て手伝ってくれ」というリクルーティング活動を丁寧に絶賛行っていました。

小さな成功の積み重ねと、トラブルを体験してそれを一つ一つ解決して成功に導いていくことで、デジタル庁という組織が強くなっていくと思うので。デジタル庁で働いてようと働いてなかろうと、国民みんなが暖かく見守り、できることを支援していくべきだと思います。失敗を恐れて、役に立たないけど安全パイなプロジェクトだけやってても、デジタル庁を作った意味はない

アメリカCIOのプレイブック

1. Understand what people need

2) Address the whole experience, from start to finish

3) Make it simple and intuitive

4) Build the service using agile and iterative practices

5) Structure budgets and contracts to support delivery

6) Assign one leader and hold that person accountable

7) Bring in experienced teams

8) Choose a modern technology stack

9) Deploy in a flexible hosting environment

10) Automate testing and deployments

11) Manage security and privacy through reusable processes