株式会社ソフテックは、2022年4月1日に株式会社サイバーセキュリティクラウドに吸収合併されました。詳しくはこちら。

SIDfm ブログ

  • 脆弱性情報 /
  • 脆弱性の管理の方法、プロセスの自動化 /
  • パッチ対応の自動化、SOAR

SIDfm ブログ

SIDfm は、1999年に日本で初めて脆弱性情報提供サービスを開始して以来、その脆弱性内容の充実化を図り、さらに「脆弱性管理と対策」ツールを提供する、日本を代表する「総合脆弱性ソリューション」サービスの一つとなりました。このブログは、日々、脆弱性を調査・評価を行っているアナリストや、脆弱性の管理ツールの開発者が発信するブログです。

SIDfmサービスの体系図

【最新記事】


2021年12月15日

Apache Log4j CVE-2021-44228 (Log4Shell) の影響有無リスト

各ベンダの製品について Apache Log4j の CVE-2021-44228 (Log4Shell) の影響を受けるかどうかを調査した結果をお伝えします。


2021年12月7日

Amazon Inspector v2 を利用した脆弱性管理 - 自動ディスカバリ・継続的スキャンなど便利な新機能多数 -

AWS re:Invent 2021 で発表された新しい Amazon Inspector について EC2 インスタンスの脆弱性管理に関する機能に焦点を当て、Amazon Inspector の有効化から画面の使用方法、抑制ルール、Amazon Inspector スコア、スキャンのタイミング等をお伝えいたします。


2021年11月30日

CISAの「既知の悪用された脆弱性カタログ」とは

米国の国土安全保障省 (DHS) サイバーセキュリティ・インフラセキュリティ庁 (CISA) は2021年11月3日、拘束力のある運用指令 22-01 (以下、BOD 22-01 とします。) を発令し、組織内部の脆弱性管理手順の見直しを求めると共に、 「既知の悪用された脆弱性のカタログ (Catalog of Known Exploited Vulnerabilities) 」(以下、KEVs とします。) への対応も要求しました。このブログ記事では、KVEs が制定された背景と、BOD 22-01 によって米国の連邦政府機関の脆弱性対応の方針がどのように変更されるのかについて、お伝えいたします。


2021年11月11日

Microsoft Exchange Server のゼロデイ脆弱性 (CVE-2021-42321) が2021年11月のセキュリティ更新プログラムで修正

マイクロソフト社の2021年11月分のセキュリティ更新プログラムで修正された Microsoft Exchange Server のゼロデイ脆弱性 (CVE-2021-42321) と、Microsoft Exchange Server の過去の脆弱性について、マイクロソフト社のアドバイザリなどを元に、どのような対応を行えばよいのかお伝えします。


2021年10月28日

マイクロソフト社の2021年10月のセキュリティ更新プログラムで修正された Win32k のゼロデイ脆弱性 [CVE-2021-40449]

Apache HTTP Server 2.4.49, 2.4.50 に任意のコードを実行される脆弱性 [CVE-2021-41773, CVE-2021-42013] について説明します。


2021年10月7日

Apache HTTP Server 2.4.49, 2.4.50 に任意のコードを実行される脆弱性 [CVE-2021-41773, CVE-2021-42013]

Apache HTTP Server 2.4.49, 2.4.50 に任意のコードを実行される脆弱性 [CVE-2021-41773, CVE-2021-42013] について説明します。


2021年10月6日

AWS Systems Manager のパッチマネージャーを利用した OS パッケージの更新 (Amazon Linux 2 編)

Amazon Web Services (AWS) Systems Manager (旧称 SSM) にはパッチマネージャーと呼ばれる機能があり、これを利用することで管理対象インスタンスへ一貫したポリシーを持って OS パッケージ更新を自動化できます。 非常に便利な機能なのですが、やや取っ付き難いところもあるので、つまづきやすいポイントを中心に、使用方法を簡単にご説明したいと思います。


2021年9月2日

Microsoft Exchange Server の脆弱性「ProxyShell」とは

ProxyShell」とは、DEVCORE に所属する Orange Tsai 氏によって発見された Microsoft Exchange Server に存在する複数の脆弱性で、 これらの脆弱性を組み合わせて利用されることによって、 Microsoft Exchange Server が動作するシステムは、リモートから認証無しに PowerShell コマンドを実行される可能性があります。


2021年8月2日

Windows ホストに NTLM 認証の試行を強制する「PetitPotam」とは

「PetitPotam」とは、フランスのセキュリティ研究者 Gilles Lionel (topotam) 氏によって公開された、 MS-EFSRPC を利用して Windows ホスト (Active Directory ドメインコントローラを含む) に特定のサーバへの NTLM 認証の試行を強制する手法です。 この手法と Active Directory 証明書サービス (以下、AD CS とします) に存在する NTLM リレー攻撃を許す問題を組み合わせることで、ドメインコントローラの管理者権限を奪われる可能性があります。


2021年7月1日

Windows の印刷スプーラのゼロデイ脆弱性「PrintNightmare」とは

「PrintNightmare」とは、中国のセキュリティ企業 Sangfor に所属する Zhiniang Peng 氏と Xuefeng Li 氏によって公開された、Windows の印刷スプーラサービスに存在する脆弱性です。この脆弱性によって、標的ホストへ RPC リクエストを送信可能なリモートの攻撃者が、標的とは別のホストに配置した悪意のある DLL を標的ホストへダウンロードし、SYSTEM 権限で実行する可能性があります。


2021年6月29日

AWS Systems Manager の Ansible Playbook 実行機能を利用したパッチ適用

このエントリでは、Amazon Web Services (AWS) Systems Manager (旧称 SSM) の Ansible Playbook 実行機能を利用して、 AWS EC2 インスタンス (Amazon Linux 2 AMI/Ubuntu 20.04 LTS) のパッケージを更新する方法をご紹介します。


2021年5月28日

IEEE802.11 の仕様や実装に起因する問題「FragAttacks」とは

「FragAttacks」とは、2021年5月に公表された無線LANの仕様や実装に関する一連の脆弱性の総称です。 「FragAttacks」の脆弱性は、無線LAN規格 IEEE802.11の仕様やその実装に起因し、規格に準拠する様々な無線LAN機器 (アクセスポイント、スマートフォン、PC) に影響します。


2021年5月10日

2021年4月 Pulse Connect Secure, Microsoft Exchange Server における「重大な脆弱性」について

2021年4月に SIDfm 脆弱性情報データベースへ登録された脆弱性は、CVE の件数で 801 件、SIDfm コンテンツ件数で 279 件 (緊急 15 件) でした。 これらの脆弱性の中で、特に危険度が高いとされている Pulse Connect Secure と Microsoft Exchange Server の脆弱性についてご紹介します。


2020年11月27日

逼迫する人材。セキュリティ運用の自動化は待った無し!
- SOAR ツールとしての SIDfmVM -

サイバー攻撃から組織を守るために脆弱性管理の持続的な実施が求められていることは、改めて言及するまでもないことです。 しかしながら、管理下にあるプロダクトやアプリケーションは構成が複雑化し、デバイスの数も増大する中で、検出された大量の未対応脆弱性情報の確認、対応作業に追われ、現場は疲弊しています。既に属人的な方法ではセキュリティ運用は困難であり、予防的で継続監視のもとで限られたリソースによる統合された(半)自動的な対応アプローチが必須となります。
SIDfm VM は、脆弱性管理の分野でいち早く SOAR の機能を提供しています。


2020年5月28日

繰り返し悪用された脆弱性トップ10

米国の国土安全保障省 (DHS) サイバーセキュリティ・インフラセキュリティ庁 (CISA) と連邦捜査局 (FBI) は2020年5月12日、 共同で「常に悪用された脆弱性トップ10」と題されたガイダンス を公開しました。 そのガイダンスの中で触れられている脆弱性とその傾向をご紹介します。


2020年4月23日

Ansible を利用したシステム構成情報の自動取得

脆弱性への速やかな対応を阻む要因にはどのようなものがあるでしょうか? そのひとつに、各サーバやサービスで利用しているシステム構成情報の把握があります。各サーバの管理者にメールや電話で聞き取り調査を行い、その結果を元に Excel で構成管理を行うことは、工数のみならず速度の面からも現実的ではなくなりつつあります。 脆弱性への速やかな対応には自動化が必要です。


2020年4月7日

Zoom に資格情報を不正に取得されるなど複数の脆弱性

新型コロナウイルスの流行によって、ビデオ会議サービスの需要が高まっています。 その中でも Zoom は注目を集めているサービスの一つですが、 ユーザの急増と共に、セキュリティやプライバシーの面からも専門家による様々なチェックを受けるようになりました。


2020年3月27日

三菱電機㈱への不正アクセス事件から見る、SIDfm SRI 指標の有用性

三菱電機株式会社から2020年1月20日に公表された不正アクセスでは、侵入にウイルス対策ソフトウェアの脆弱性が利用されました。 悪用されたと報道されている脆弱性について、CVSS 評価値と SRI (SIDfm 独自指標) 評価値でどのような違いがあったのか。 その差異をご紹介します。


2020年3月25日

簡単にできる! SIDfm VM を利用した脆弱性対策とその運用

脆弱性管理を行いたいが、どのように始めればよいのかわからない。 導入までの敷居が高そう。そのような疑問をお持ちではありませんか? SIDfm VM を利用すれば、簡単に脆弱性管理が始められます。 このエントリでは、SIDfm VM の導入と SIDfm VM を利用した脆弱性管理とその運用手順を簡単にご説明します。


2020年3月18日

脆弱性管理という文脈における「ソフトウェア製品の把握」の難しさ

脆弱性の管理を行うにあたって、自社のシステムで使用しているソフトウェア製品を把握するということ(ソフトウェア資産管理)は基本であり、非常に重要です。 Linux/Unix などのサーバ環境では使用しているソフトウェア製品のリストを作成すること自体に難しさがありますが、脆弱性という他の情報とのマッチングを行うという観点においても独特の難しさがあります。


2020年3月18日

アメリカの電力網に対する脆弱性を突いたサイバー攻撃

北米電力信頼性評議が公開したアメリカの一部の電力網に対するサイバー攻撃を紹介します。


2020年3月14日

脆弱性の「情報」をベースにした「脆弱性管理」の重要性

脆弱性の「情報」をベースにした「脆弱性管理」が、なぜ情報セキュリティ対策として有効なのか、他のセキュリティ対策の具体的な問題点を挙げ、説明します。


2020年3月14日

ソフトウェアの脆弱性が、なぜ脅威(リスク)なのか?

ソフトウェアの脆弱性とは何か、どういう脅威があるのか、不具合情報(バグ)との違いの説明を交えて脆弱性管理の必要性を説明します。


2020年3月1日

セキュリティ管理者も必見 - 脆弱性管理の実際のプロセス -

当然のものとして曖昧にされている、『コンピュータソフトウェアにおける脆弱性管理』とは実際にどのようなプロセスなのかということを説明します。


2020年2月28日

「政府機関等の対策基準策定のためのガイドライン」に適合する脆弱性管理・運用ツール SIDfm VM

SIDfm VM は、2020年10月から運用開始予定のクラウド上の「政府共通プラットフォーム」に採用されました Amazon Web Services(AWS)にも、簡単にすぐに導入できます。SIDfm VM は、AWS 上で政府統一基準などに沿った「純国産」の脆弱性セキュリティ対策に準拠するツールとして使用できるだけでなく、パッチ対応等の「運用の自動化」も支援する機能を備えています。


2020年2月27日

国連のサーバ 42 台が侵害される - Microsoft SharePoint の脆弱性を悪用 -

The New Humanitarian は 2020年1月29日、国際連合からリークされた内部機密文書を元にサーバの侵害についての調査報告 を公開しました。その報告を元に、判明している過程や被害の状況をご紹介します。


2020年2月23日

脆弱性の「管理単位」を CVE ID ベースで行うと不合理な点とは?

脆弱性対策を行う「管理単位」を CVE ID ベースで行うと、その作業量は非常に多くなるという話をします。一方、SIDfm 脆弱性データベースを使うと、ソフトウェアベンダーが提供する「パッチ」に基づいた情報が管理単位となるため、結果的に現場SEの対策のための工数が大幅に縮減されます。


2020年2月21日

SIDfm vs. JVN iPedia  -- 脆弱性の影響範囲に見る両者の「違い」 --

SIDfmJVN iPedia は、脆弱性情報の提供の観点では同様の機能を持ちますが、脆弱性の影響範囲の記載には次のような違いが存在します...


もっと見る

SIDfmセミナーご案内

  • システム管理者・運用者必見

    【SIDfmを活用した対策】

    脆弱性の情報収集から対策すべきポイントを特定、優先順位づけ、そして対策後の管理など、専門家が脆弱性対策の全体像を整理し事例などを交えて解説します。

    お申込みはこちらへ
最新の記事

脆弱性と対策のことなら

SIDfm

  • お問い合わせ

    SIDfm 各種サービスの使用法や購入において気になる点などお気軽にお問い合わせ下さい。

    お問い合わせ
  • 無料でトライアル

    SIDfm の VM、RA、Biz を実際に無料で使ってみてください。

    無料で試してみる