情報収集 - 2020/09/22
今週のおすすめ
Microsoft > Ignite > キーノート
金融 >マルチステークホルダー時代のガバナンス
インシデント > ゆうちょ銀の海外送金に資金洗浄疑い インシデント
twitter: SBI証券から出金された先のゆうちょ口座のkyc方法について,
インシデント> 客の使い回しパスワード悪用か SBI証券の1億円流出
Verify Identity, Verify Device Health, Verify Access
各種動画のまとめ
Global Admin減らして、permanent global admin減らそうね って話
Verifiable Credential（information 3rd party can validate cryptographically）とDIDの話
MCASと条件付きアクセスのコラボ
Hybrid JoinのPCでもYubikeyベースのMFAができるようになった（build 2020から）
WorkdayなどのHRサービス -> AADへのプロビジョニングは前からできていた
Azure AD <-> AADCの双方向同期もできるようになった？去年はまだ片方向だけだった
external identitiesのやつ
Azure AD B2Cとどうちがうの？って思ってたけど理解した
external identitiesをホストするテナントのsharepointも共有できるんだ。すごい
Microsoft Flowと呼ばれていたサービス連携ツールをベースに、ユーザーの操作を記録し再現するRPA機能を追加
自動化シナリオをマウス操作で作成編集できるビジュアルデザイナーを搭載。シナリオ実行時のエラーハンドリングやデバッグのためのスクリーンキャプチャなども可能
新しい用語がうまれたXDR -> XExtended detectionand response
deliver intelligent, automated, and integrated secuirty across domains to help defenders connect seemingly disparate alerts and get ahead of attacks
このXDR製品のブランドがMicrosoft Defenderになるみたい
おもに、Microsoft 365 DefenderとAzure Defender。
以下のリブランディング
MTP -> Microsoft 365 Defender
MDATP -> Microsoft Defender for Endpoint
O365 ATP -> Microsoft Defender for O365
Azure ATP -> Microsoft Defender for Identity
MDATP for iOSがpreview化
MDATP for AndroidがGA化
MDATP for Macで脅威・脆弱性管理がPreview!
これはでかい。MDATP for Macがソフトウェアインベントリを作ってくれて、CVEにヒットしていればSecurity Recommendationとして押してくれるやつ。
Jamfにまだアドバンテージがあるとはいえ、これはでかい。少なくともパッチ周りはJamfは機能的にも最近でたばかりなので、Microsoftも勝てる分野のはず。個人的にはJamfはデバイス管理に集中すべきで、脅威・脆弱性管理機能であるMDATP -> インベントリ・デプロイ機能のJamfに流す、というのは全然アリなシナリオ
ひゃっほい
https://gyazo.com/5587b1e946840bd986b4c63c8fd313e5
Sentinelの新機能 がめじろおし
UEBA機能
Threat Intelligenceソースの追加（RiskIQ, ThreatConnect, ThreatQuotient, EcleticIQ)
RiskIQはAzure Logic Apps Connectorつき
ウォッチリスト機能
外部ソースのチェックができるみたい...が、どの様な挙動になるかはわからない。気になる
Build-Your Own Machine Learningで、自社のユニークケースに向けたMLモデルを作れるようになった。
アラートを上げる際に優先度を高めるべきアカウント（Cレベル、Administratorレベル）を指定できるように
具体的にはそれらアカウントで起きた場合のアラート似タグが付く（可視性の向上）
また、それにより、Defender O365の脅威検索機能で、Priority Accountにヒットした脅威にやはりタグがつく
検索性も向上する
baselineの変更をCSVを比較できるようになった
まだ、ken5scalのテナントには来てない模様
前からなかったっけ？って思ったけど、Terranova Securityというところとパートナーシップ組んだ、という話
cloudtrailで分析しなくてよくなった。嬉しい。1年間履歴が残る
assume roleしたentityだけじゃなくてAPI呼び出し、session情報も分析内容にふくまれる。便利
iptablesではipやポートはできるけど、egress通信をAWSエンドポイントだけに許可したり、特定ウェブサイトを遮断シたい場合
HTTPSはSslPeekAndSpliceでTLSからSNI（Server Name Indication）を取得すれば、HTTPSを終端させなくてもおｋ
pythonやcURL, OpenSSL, wgetなどのクライアントバージョン縛りあり
TLS1.3ではSNIも暗号化するオプションがあるので注意
昨年、無料で、アカウント登録なし、共有期間を設定できる、という謳い文句だったFirefox Sendがマルウェア配送に使われたという事案から停止していたが、そのまま終了。Notesは知らなかった
個人的に「リスクより、スピードを優先させよう」という判断にする場合のリスクは年々上がっていると思う。もちろん、Firefoxという著名企業がだしたこともあるだろうが、「機能的に便利」は誰にでもあてはまる
yet another kyc problem
横断侵害を防ぐためのGPO設定。基本Audit系なのでログ収集・ログ保存・ログ分析とセットで考える必要あがある
ちなみにActive Directoryやめたからといってlateral movementはなくならないぞ。Active Directoryの仕組みを使ったlateral movementがなくなるだけ。
行政プラットフォームと接続する公的個人認証サービス
また、身元確認の必要な企業向けサービスにもするっぽい
自前で開発するんじゃなくて、NRIのサービスを組み込むっぽい
Yahooとの統合で、どんな扱いになるのかな？
preemptという条件付きアクセスサービスなどの「ゼロトラスト」サービスを提供するスタートアップを買収
preemptの画像を見ると、各種IdPとの連携はできてそうなので、足りないのはエンドポイントのデータだったのかも
CloudStrikeが欲しかったのは条件付きアクセス機能で、上場といけいけな売上で潤沢にたまったキャッシュで買収？
まあ、たいていこういう発表は発表のまま終わる
Netskopeはaccess brokerとしていまいちなので、cloudstrikeあるいはoktaが作るか、買うか
メルセデスの親会社 ダイムラーがIdentity とデータPlatformを構築中。
1つ目: 車間でpreferences設定を交換できるWelcome Homeサービスを中国のブロチェ「Onthology」とやっている。実装自体は51 nodeというドイツの会社
2つ目: エンタープライズ向けウオレット。スマコ？で同意書のや締結を自動化する。Spherityというスタートアップが担当
レッジャーは、Indy, Sovrin, Quorum, Etherumに対応してるっぽい
3つ目: 車自体をWalletにする。車そのものIdentity。レンタカー会社向け（当面は）
脆弱性
↑の記事だと、Winサーバーだけっぽくみえるけど、前提としてはドメコン配下のwinサーバー
パッチ & パッチ & パッチ
今後Winサーバー前提のソリューションはパッチに対するアップデートポリシーは確認すべき
団体
BC官民推進会合は、ポストコロナ、ウィズコロナの社会課題の解決手段として、ブロックチェーンの有用性を官民共同で検討するとともに、地方自治体と協力することにより、スマートシティ、スーパーシティを含む実装に向けた提案につなげることを目指します。
新経連はブロックチェーンを活用したデジタル変革と社会経済の発展に向けて官民の架け橋となれるよう、今後も積極的に政策提言活動を行ってまいります。
金融アンバンドリングと、協業などにおよぶマルチステークホルダーガバナンス、ブロックチェーン
インシデント
一部の取引に所在を確認できない外国人の口座が使われており、口座開設の容易さといった在留外国人にとっての利便性の高さが疑われる原因
今回の金融商品取引業者と銀行間 で発生した問題に関わっているかは不明
SBI証券で使われた偽造5口座について。いずれも顔写真なしの本人確認書類一点と郵送による確認(②のウ)だった。並べてみたところ筆跡が酷似していた。
旧本人確認手法っぽい。これは銀行全体にチェック指示がとぶかもわからんね
被害にあった6人は、ログインと取引で同じパスワードを使っていたという。
こういう場合って、銀行が悪いのか、証券が悪いのか、ユーザーが悪いのか（契約の問題はおいといて）
無制限にサブドメでサイトを作れたため、それを悪用したフィッシングサイトが大量に作られた -> レジストリにドメインを制限された
イベント/勉強会/発表資料
AWS SSM Agent + Docker
情報収集ナレッジ