気になるセキュリティ関連ニュース (2016/12/12)

iPadなどのロックを外せる脆弱性が発見される。よくこんなの見つけるなーという印象。

Gigazine - iOS 10.1.1のアクティベーションロックをバッファオーバーフロー攻撃で突破する方法が見つかる
http://gigazine.net/news/20161205-buffer-overflow-exploit-bypass-activation-lock-ios/




サイバー攻撃の傾向やそれに対する対応に関するレポート。

McAfee Labs 2017年の脅威予測
http://www.mcafee.com/jp/resources/reports/rp-threats-predictions-2017.pdf

私が気になった部分を抜粋

• 解決が難しいセキュリティの課題
  
  • 可視化強化
    
    • 保護の重点がIT資産からデータ資産に移っている
    • 全ての資産を管理するのではなく、リスクを管理する方向に切り替えている
    • 対応としてはデータ分類と使用監視、取り扱いポリシー設定だがリアルタイムに脅威に対応するのはかなり大変
  • 認証情報保護
    
    • アカウントの振る舞いから不正なアクセスを検知するには大量のコンテキスト情報が必要でさらにプライバシーや倫理・法律上の問題がある。
      
  • 分散データ保護
    
    • 取引先へもデータは送信されることがあるが、データ漏洩の原因の70%はこのデータ送信に起因している
    • 送信前に暗号化することで、保護責任を取引先に委ねることができるが信用範囲は限定的になってしまう
    • 信用範囲を拡大するためには送信先でのデータ再利用を管理する必要がある
• クラウドの脅威、法規制、ベンダーの対応
  • 自社で全てのレイヤの安全性を確認する必要があるプライベートクラウドより専門家が管理してくれるパブリッククラウドのほうが安全
  • クラウドでの許容範囲を明確にする必要がある。
  • パスワードやユーザが最大の弱点
    (他のサービスと類似したパスワードを使うため類推しやすい）
  • クラウドサービスの認証と社内認証システムの連携は簡単ではない
  • 企業とプロバイダの責任所掌があいまいな部分が狙われる可能性がある
  • クラウドに対する攻撃は身代金を要求するDoS攻撃が主流になる
• IoTの脅威、法規制、ベンダーの対応
  
  • IoTデバイスの管理・統制やセキュリティ対策が必要となり、そのためのサービスが提供される
• 2017年の脅威予測
  • 2017年の後半はランサムウェアの勢いが低下する
  • ハードウェアやファームウェアに対する高度な攻撃が増える
  • IoTマルウェアがホームネットワークでバックドアを開く
  • 機械学習がソーシャルエンジニアリングによる攻撃を加速化させる
    → 攻撃対象の選択で機械学習が利用される。
    （攻撃に使うメールのやりとりではない？）
  • 広告戦争の産物がマルウェアの配信を促進する
    → 広告ブロック機能を回避する技術を利用して、Malwareが配布される心配がある
  • ハクティビストがプライバシーの問題を暴露する
    → ハクティビストとは政治的・社会的な目的のためクラッキングを行う人のこと
  • 取締機関の閉鎖作戦でサイバー犯罪が減少する
    → サイト閉鎖などインフラの破壊・押収でサイバー犯罪を減少させる
  • 脅威インテリジェンスの共有が大きく前進する
    → ツールやプロセスの自動化により攻撃の情報などが広く共有され、対策がとれるようになる
  • サイバースパイ活動: 業界と取締機関が連携する
    → 各国政府によるサイバースパイ活動は今後も出てくる
  • ネットワーク機器の脆弱性を使った攻撃が出てくる可能性がある
  • 物理的セキュリティとサイバーセキュリティが連携する
    → 監視カメラ・  ドアロック制御システムなどとITセキュリティは独立していたがハッキング対策のため連携していく必要がある