興味を持った記事(2020年09月09日)

セキュリティ

• SASEの構成要素を寄せ集めた“なんちゃってSASE”が危険な理由：「SASE」普及期へ【後編】 - TechTargetジャパン セキュリティ
• Google Chrome M86以降では混在フォームで警告を表示（Google） | ScanNetSecurity
  • HTTPSサイト上にあってHTTPSを使わず送信される「混在フォーム」は、ユーザーのセキュリティやプライバシーのリスクとなり盗聴の可能性があるため、フォームの機密データが悪意のあるユーザーによって読み取られたり改ざんされる可能性がある。
  • Chrome M86以降では混在フォームでの自動入力が無効になり、ユーザーが混在フォームへの入力を始めるとテキストによる警告でフォームが安全でないことが通知、ユーザーが混在フォームを送信しようとすると潜在的なリスクを警告し、送信の確認画面がページ全体に表示されるようになる。
• Media Frameworkに「重大」な脆弱性　Androidの月例セキュリティ情報公開 - ITmedia エンタープライズ
• 「どんなときもWiFi」や「楽天モバイル」の通信障害はなぜ発生？　必要な対策は？　総務省が取りまとめ - ITmedia Mobile
• 途上国で人気の中国製低価格スマホ、不正ソフトウェアが勝手にデータ通信やサブスク契約
  • ムクロシさんのTecno W2は、ひそかにアプリをダウンロードし、勝手に有料サービスと契約しようとするマルウェア（不正に機器を動作させるソフトウェア）、xHelperおよびTriadaに感染していたのだ。
  • 「ムクロシさんが気づいたデータ通信は、プリインストールされていたマルウェアが有料サービスと契約させようとして行ったものです。契約させられていたら、データ通信量はあっという間に膨れ上がっていたでしょう」
  • Tecno W2のマルウェア感染は、南アフリカだけでなく、エチオピア、カメルーン、エジプト、ガーナ、インドネシア、ミャンマーでも確認された。
• マルウェア「Emotet」の新たな攻撃手法を確認、パスワード付きZIPファイルで検出回避 - INTERNET Watch
  • マルウェア「Emotet」の日本語メール集 - sugimuのブログ
  • Emotet は要するに何が問題なのか ? - あるもりすぶろぐ
  • JPCERT/CCが注意喚起　マルウェア「Emotet」の新たな手口とは - ITmedia エンタープライズ
  • Emotet は要するに何が問題なのか ? - あるもりすぶろぐ
• 第14回：セキュリティの転換期--IT担当者が目指すべき姿 - ZDNet Japan
• そろそろiOS 14がくる。iPhoneのアプデ方法をおさらいしましょう | ギズモード・ジャパン
• Android 11公開　Pixel、OnePlus、Xiaomi、OPPOの端末にロールアウト - ITmedia NEWS
• 「CSIRT」という言葉は忘れよう　研究家が語る理想のインシデント対応体制とは (1/2) - ITmedia エンタープライズ
• 【重要】WordPressのセキュリティ対策にはプラグインを導入しよう | 大阪のWEB制作会社ファーストネットジャパン
• 【セキュリティ ニュース】DoS/DDoS攻撃キャンペーンに警戒を - 各国機関が注意喚起（1ページ目 / 全1ページ）：Security NEXT
  • DDoS攻撃を示唆し仮想通貨による送金要求、複数確認（JPCERT/CC） | ScanNetSecurity
• 「急遽テレワーク導入」に落とし穴　国内約40社が被害「VPN不正アクセス事件」が他人事とは限らない理由 (1/3) - ITmedia ビジネスオンライン
• マイクロソフトが「SMB over QUIC」ファイル共有プロトコル実装中。VPNなしでもインターネット上で安全にファイルサーバへのアクセスを実現へ － Publickey
• 富山県警が医療機関とサイバー犯罪被害防止の協定結ぶ | 日刊警察
• Apple Watchの心電図機能はアプリとして認証　従来のままで販売可能 - ITmedia NEWS
  • Apple、Apple Watchの「家庭用心電計プログラム」と「家庭用心拍数モニタプログラム」が医療機器承認・認証を取得 | Watch | Macお宝鑑定団 blog（羅針盤）
  • Apple Watchの心電・心拍モニター機能が医療機器承認を取得 | 日経クロステック（xTECH）
• Windows 10、カスタムテーマ導入でアカウント盗難の恐れ 〜壁紙設定にユーザー名/パスワードが必要と騙る - PC Watch
  • 大まかな攻撃手順としては、テーマパックに「Pass-the-Hash」攻撃が仕組まれていた場合、デスクトップの壁紙設定を変更し、壁紙にリモート認証が必要なリソースのものを設定する。そのアクセスにWindowsユーザー名/パスワードを必要と騙り、ユーザーが入力したログイン名とパスワードのNTLMハッシュを送信/利用し、リモートシステムへのログインを自動的に試みる。その後、攻撃者はスクリプトを利用してパスワードをハッシュ解除することで、パスワードを可視化することができる流れ。
• 攻撃しながら考えるKubernetesのセキュリティ / Considering Kubernetes Security While Attacking - Speaker Deck
• 「ウイルスバスター ビジネスセキュリティ」などトレンドマイクロ3製品に複数の脆弱性 - 窓の杜
• 悪意あるサイトにこっそり誘導 クリックジャッキング | yamory Blog
• Microsoft、「Edge 88」で「Flash」を削除。旧「Edge」「IE」から削除するパッチも提供へ - 窓の杜
  • Microsoft、公式WebブラウザでのFlash終了について説明 - ITmedia NEWS
• 話題にならないけど一大事!?　無料でHTTPSが利用できる「Let’s Encrypt」で問題発生の可能性浮上 | ハーバー・ビジネス・オンライン
• Macアプリの安全を保証するAppleの「公証」悪用　増えるmacOS狙いのマルウェア (1/2) - ITmedia NEWS
• AssumeRoleで取得した一時クレデンシャルの情報を環境変数にセットしてもAWS認証が通らずハマった話 | Developers.IO
• 8月も4ブランドが上位を占める、特に偽Amazonが増加--フィッシング報告（フィッシング対策協議会） | ScanNetSecurity
• WordPress用プラグインFile Managerに脆弱性、バージョンアップを呼びかけ（JPCERT/CC） | ScanNetSecurity
• 「OWASPアプリケーションセキュリティ検証標準4.0」の日本語邦訳文書を公開（CSAJ） | ScanNetSecurity
• パルスセキュアのCEOに聞く、VPNの脆弱性問題と安全性向上の取り組み - ZDNet Japan
• マクドナルド モバイルオーダー 横取り?可能性の存在 - Togetter
• VPN機器を狙ったサイバー攻撃が継続中！セキュリティ事故を防ぐ3つのポイントとは | セキュリティ対策のラック
• 金正恩のサイバー強盗団、脱北者が全貌を激白：日経ビジネス電子版
• セキュリティの業務にこそ「心理的安全性」を ～ GMOペパボ 熊野多聞が語る “我が社の取締役に聞かせたくなる話” | ScanNetSecurity
  • セキュリティ対策室は、同社のサービス全てに横串を通したセキュリティ対策と運用管理を行う。業務は、8割がサービスやプロダクトのセキュリティを守ること、残り2割はEDR等が社内ネットワークの異常を検知した際など、必要に応じ情報システム部門のサポートを行うことだ。
• 【セキュリティ ニュース】Android向けショッピングアプリ「ヨドバシ」に脆弱性（1ページ目 / 全1ページ）：Security NEXT
• ツール、運用、組織体制、コスト──経営バランスの中で実現するセキュリティの難しさ｜セキュリティブログ
• サイバー救急センターレポート 第9号 ～テレワーク時代を生き抜くためのセキュリティ対策～ | セキュリティ対策のラック
• パルスセキュアのCEOに聞く、VPNの脆弱性問題と安全性向上の取り組み - ZDNet Japan
• 2020.9.4-5 カンファレンス開催 - Hardening 2020 Deep Digital Dependence | Web Application Security Forum
• Kyoko HANADA(花田 経子) on Twitter: "IT育児(若い人たちにITリテラシーを身につけさせること)は許容できるけど、IT介護(同僚や上司にツールの使い方を教えたりヘルプデスク的なことを業務じゃないのにやらされること)は許容できないですよね。 仕事に必要な知識ぐらい、人に頼らず自分で学んでくれないかな、って笑顔に貼り付けて生きてる" / Twitter
• 政府CIOの「デジタル・ガバメント推進標準ガイドライン実践ガイドブック」が とても良かったので紹介したい - Qiita

Chrome

• デスクトップ向け「Google Chrome 85」に5件の脆弱性 - 窓の杜
• Chrome Releases: Stable Channel Update for Desktop
  • This update includes 5 security fixes. Below, we highlight fixes that were contributed by external researchers. Please see the Chrome Security Page for more information.
• バージョン: 85.0.4183.83（Official Build） （64 ビット）
• バージョン: 85.0.4183.102（Official Build） （64 ビット）
• 【セキュリティ ニュース】Google、「Chrome 85」をリリース - 5件の脆弱性に対処（1ページ目 / 全1ページ）：Security NEXT
• Google Releases Security Updates for Chrome | CISA
• Chrome Releases: Stable Channel Update for Desktop
  • [$20000][1116304] High CVE-2020-6573: Use after free in video. Reported by Leecraso and Guang Gong of 360 Alpha Lab working with 360 BugCloud on 2020-08-14
  • [$10000][1102196] High CVE-2020-6574: Insufficient policy enforcement in installer. Reported by CodeColorist of Ant-Financial LightYear Labs on 2020-07-05
  • [$TBD][1081874] High CVE-2020-6575: Race in Mojo. Reported by Microsoft on 2020-05-12
  • [$TBD][1111737] High CVE-2020-6576: Use after free in offscreen canvas. Reported by Looben Yang on 2020-07-31
  • [$TBD][1122684] High CVE-2020-15959: Insufficient policy enforcement in networking. Reported by Eric Lawrence of Microsoft on 2020-08-27

Adobe

• Adobe Releases Security Updates | CISA
• 「Adobe InDesign」「Adobe Framemaker」に“Critical”な脆弱性 ～修正パッチが公開 - 窓の杜
• 【セキュリティ ニュース】「Adobe Experience Manager」に複数の深刻な脆弱性（1ページ目 / 全1ページ）：Security NEXT
• Security Update Available for Adobe InDesign | APSB20-52 : Adobe Security Bulletin
• Adobe Security Bulletin : Security Updates Available for Adobe Framemaker | APSB20-54
• Adobe Security Bulletin : Security updates available for Adobe Experience Manager | APSB20-56

MS

• Microsoft、月例セキュリティ更新プログラム公開　129件の脆弱性に対処 - ITmedia エンタープライズ
• 【セキュリティ ニュース】MS、9月の月例パッチで脆弱性129件を修正（1ページ目 / 全1ページ）：Security NEXT
• Microsoft、Intel CPUの脆弱性“MDS”を緩和するマイクロコード更新 ～「KB4558130」「KB4497165」を公開 - 窓の杜
• Microsoft Releases September 2020 Security Updates | CISA
• https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Sep
• Description of the security update for Microsoft Exchange Server 2019 and 2016: September 8, 2020
• Microsoft、2020年9月の更新を発表 ～Windows 10で修正された脆弱性は約70件 - 窓の杜

Zoom 5.2.3 (45120.0906)

• New updates for macOS – Zoom Help Center
• New updates for Windows – Zoom Help Center

Changes to existing features

• Disable telephone options for Webinar attendees
  • We have temporarily disabled the telephone options for webinar attendees in Zoom version 5.2.3 and plan to re-enable them in the next few weeks. In the meantime, attendees may connect to Webinar audio through the Zoom desktop client, web client, or mobile app. Webinar hosts and panelists can still join by telephone, as well as through computer audio.

Resolved Issues

• Minor bug fixes

Docomo

• ドコモ口座を悪用した不正送金についてまとめてみた - piyolog
• 「ドコモ口座」以外で金融機関からの不正引き出しは？　PayPayはあり、au PAYはなし - ケータイ Watch
  • 口座を登録する際には、金融機関側の認証も重要だ。本誌の調べでは、不正利用が発生した金融機関の口座を登録する際は「名前」「口座番号」「暗証番号」の3つだけで済む形だった。そのため、もし、フィッシング詐欺などでそれらの情報が他者に知られていると、ドコモ口座へ登録しやすい環境だった。ちなみにドコモ口座では口座名義と照合は行われる。
• 七十七銀行で不正利用が多発している件についての仮説
  • 口座番号と数字4桁の暗証番号でログインできてしまう
  • ここ突破されたらなんらかの情報が取られてしまうのでは？
  • （生年月日や電話番号が見れたらアウトだ
• 痛いニュース(ﾉ∀`) : 銀行口座から勝手に大金を引き落とされる被害続出。「ドコモ口座」名義の出金 - ライブドアブログ
• お知らせ｜ドコモ口座
• ドコモ口座の不正利用、「ドコモへの不正アクセスではない」 - ケータイ Watch
• 『ドコモ口座』の不正利用、誰が被害に遭う？→『ドコモ口座』を使ってない人(篠原修司) - 個人 - Yahoo!ニュース
• 「ドコモ口座」利用した不正使用、中国銀行、大垣共立銀行でも - ねとらぼ
• 続々連携がストップしているドコモ口座とWeb口振受付の問題について - novtanの日常
• 銀行口座から「ドコモコウザ」名義で身に覚えのない引き落としが何度も行われる事案が複数発生…いったい何が起こっているの？ - Togetter
• 銀行口座から「ドコモコウザ」名義で身に覚えのない引き落としが何度も行われる事案が複数発生…いったい何が起こっているの？ - Togetter
• Naomi Suzuki on Twitter: "@masanork @HiromitsuTakagi 通帳なしのWeb通帳口座の場合には、記帳済残高の代わりに手続き時の預金残高を使うようです。一部のクレカ会社も引き落とし口座の預金残高を本人確認に使用しており、フィッシングサイトもそれに対応して無力化しています。" / Twitter
• ドコモ口座、17行と連携中断　被害さらに広がるおそれ：朝日新聞デジタル
• 【更新】「ドコモ口座」を利用した当行口座の不正利用の発生について | 中国銀行からのお知らせ | 中国銀行
• 「ドコモ口座」で相次ぐ不正出金、なぜ地銀だけが狙われた？　専門家の見解は - ITmedia NEWS
• 「ドコモ口座」、１７行で不正利用　預金引き出し被害相次ぐ：時事ドットコム
• ドコモからのお知らせ : 一部銀行の口座情報を使用したドコモ口座の不正利用について | お知らせ | NTTドコモ
• 「ドコモ口座」（d払い）への当行口座の新規登録の一時停止について｜お知らせ｜大分銀行
• 「ドコモ口座」通じ不正引き出し 被害拡大で14行口座登録停止 | IT・ネット | NHKニュース

セミナー等

• CSIRT基礎講座 - 研修技術センター株式会社
• 参加登録 – 情報セキュリティワークショップin越後湯沢2020
• Security Online Day 2020

宇宙

• 2つの改良でより確実なサンプルリターンへ～再突入カプセルの仕組み【後編】～ (1/3) - MONOist（モノイスト）
• 「宇宙空間のサイバーセキュリティ向上を目指す」とアメリカが発表、危険なサイバー攻撃からシステムを守るため - GIGAZINE

鉄

• 五能線の深浦駅にて、12:57発の電車が5分早く出発してしまう→タクシーで隣の駅まで代行 現場にいた人のツイートをまとめました - Togetter

IT

• ソニー、FeliCaの次世代チップ開発 - PC Watch
• 【質問・疑問大募集！】ITの自動化による“真の恩恵”を受けるには(1) 自動化ソリューションの「真の恩恵」は、単なる時間短縮にあらず | マイナビニュース
• 昭和的な企業のペーパーレス化は、どんな物から手をつければ良いのでしょうか？に対するKurimoto Shingoさんの回答 - Quora
• vimやEmacsを「使いこなす」なんてやっていいのは20世紀までだろ - Togetter
• 『Microsoft Flight Simulator』現役プロパイロット達が行く難関空港着陸チャレンジ「趣味で飛ぶ時とプロとして飛ぶ時の判断の違いに気づきました」【特集】 | Game*Spark - 国内・海外ゲーム情報サイト
• 「今日は、なぜZoomが勝ったのだろ...」、@YasLovesTech さんからのスレッド - まとめbotのすまとめ
• AI処理にGPU以外の新たな選択肢　デスクトップサイズに収まるスパコン「ベクトルプロセッサ」とは - ITmedia NEWS
• 25年後に明かされた秘密。Windows 95には開発者たちの名前を見る裏技があった | ギズモード・ジャパン
• 機械学習で競馬の回収率100%超えを達成した話 - Qiita
• NintendoDS風のグラフィックをUnityで作る - Qiita
• えっ？CDNのキャッシュHIT率を高めるためにTTLを伸ばしているの？？マジで？ - Qiita
• こんにちは！　(hello again!)｜PostPet GO公式｜note

その他

• 『ポケモン』493匹が選べる！ 子供の感染予防に手洗いスタンプ｢Pokemon PON｣ | ギズモード・ジャパン
• 本物の「原子力電池」を作ってみた - ともにゃんBLOG@今井智大★宇宙と原子力
• 「この英語、訳せない！」そんな時どうする？　翻訳家・越前敏弥さんインタビュー｜好書好日
• あっという間の44分　錆びだらけでボロボロの1978年製「スーパーカブ」をレストアする動画が癒やされる - ねとらぼ
• 「悠仁さまのカメラ」はNikon Dfか。秋篠宮さまから撮影方法を教わる | ハフポスト
• 「爆発的な打撃力」で当たれば必ずホームランになるバットがついに発明される、その威力とは？ - GIGAZINE

朝から晩まで英語漬け ビジネスパーソンの英会話ハンドブック [音声DL付]