おはようございます、かーでぃです。
本記事は、様々なネットニュースサイトからセキュリティ記事を集めて提供している”セキュリティ関連ニュースRSS”から、気になったニュースをピックアップして紹介しています。
情シスさんやサイバーセキュリティを担当されている方、逆に私のようにセキュリティ商材を取り扱う営業の皆様などに活用頂けると幸いです。
サポート詐欺でPC遠隔操作、情報流出を調査 - 東北文化学園大
東北文化学園大学は、教員がサポート詐欺に遭ったことを明らかにした。影響など詳細について調査を進めている。
同大によれば、教員が業務で使用しているパソコンを利用している際、偽のセキュリティ警告画面にだまされるいわゆる「サポート詐欺」の被害に遭ったもの。
外部から端末を遠隔操作されたもので、端末内部に保存されていた個人情報の流出などが生じていないか調査を進めている。
先月は藤田医大で、同様のサポート詐欺がありましたが、この手のニュースも後を絶たないですね。
サポート詐欺とは、インターネットの閲覧中に突然「ウイルスに感染しました」といった偽の警告画面と警告音を出し、ユーザーの不安を煽って偽のサポート窓口に電話をかけさせ、有償サポートやセキュリティ対策の名目で金銭をだまし取る詐欺の手口です。
ランサムのように企業だけを狙うのではなく、個人も攻撃の対象となるので、家のパソコンだから大丈夫！というわけには行かないですし、逆に家のパソコンにEDRみたいな仕組みを入れるのはなかなか難しいと思うので、より注意深く対処する必要があります。
会社の情報を持ち出し禁止してる理由もここですよね。個人のPCから会社の情報があれば、そこから情報漏洩に繋がってしまいます。
ちょっとだけだから…と持ち出した結果、とんでもない被害に合うことも想像してみてみましょう。会社行けなくなっちゃうかもしれない💦
Metasploitの生みの親が語る AIで激変するサイバー脅威と防御側がやるべきこと
AIにより、サイバー攻撃はスピードと複雑さを帯びるようになった。急速に進化する脅威に対し、企業はどのように自社を守るべきなのか。ペネトレーションテスターとしての豊富な経験を持ち、現在はrunZeroのCEO（最高経営責任者）を務めるHDムーア（HD Moore）氏に話を聞いた。
ムーア氏は、現在広く利用されているペネトレーション（侵入）テストフレームワークのMetasploitを2003年に個人で開発し、オープンソースプロジェクトを立ち上げて推進した人物。
まず、「Metasploit」ってなんだっけ？というお話。
Metasploit（メタスプロイト）とは、システムやネットワークのセキュリティ上の弱点（脆弱性）をテストし、悪用可能かどうかを検証するための世界標準のペネトレーションテスト（侵入テスト）フレームワークです。
セキュリティ専門家やホワイトハッカーによって、実際の攻撃者の手法をシミュレートし、防御策が正しく機能しているか確認するために利用されます。
つまり、ペネトレーションテストを行うためのツール・フレームワークの１つのようです。
ムーア氏は、Metasploitやこのプロジェクトを獲得したRapid7の職務を離れた後、ペネトレーションテストを行うコンサルタントとして活動した、その中で、企業が自社のIT資産を十分に把握できていないことが大きな弱点だと痛感したという。
これはお客さんと対面で話していてもそう思う。ムーア氏の顧客層と私の顧客層は大きな差があると思うけど、「自社のIT資産を十分に把握してない」という課題はどこも一緒だと思うし、その課題が顕在化しておらず担当者がその課題を課題として認識してないことが問題だと思う。
日本は今年度末からSCS評価制度が始まります。個人的には、めちゃくちゃいいタイミングでスタートすると思っています。
ココとココが不足してるから…今年度はこっち、来年度はコレをやるロードマップを……なんて考える前に、まずは第三者の目から見て、どうなってるのか？をしっかりと確認していくべきだと考えてます。
As-IsとTo-Beをしっかりと認識し、その差をどうやって埋めるのか、いつ埋めるのか、どの順番で埋めるのか、といったことを考えロードマップを作りましょう！
と、ちょっと横道にそれてしまいました…💦
そこで、ムーア氏は新たな企業を立ち上げ、従来のスキャニングとは異なる手法で、社内の業務用端末、サーバ、ネットワーク機器、OT/IoT機器、サブネットなどのIT資産を発見・識別するツールの開発を始めた。当初の2年間は1人で開発、営業、顧客サポート、フィードバックを受けた製品の改善をこなした。これが現在のrunZeroのプロダクトになったという。
ここがこの記事の一番言いたかったところですね（笑
エージェントレスで、社内全体のIT資産を可視化するツール「runZero」を開発。エージェントレスなので、インストール作業が不要なのと…OSに左右されない（つまり、複合機などの資産も管理できる！）のが特徴のツールですね。
調べてみると、国内ではマクニカが対応してくれそうです。
--
セキュリティニュースの選定には、こちらのRSSを利用していますので、よかったらご利用ください。
https://script.google.com/macros/s/AKfycbzjvRpp8WisgfMKBpSH_Om97XMCO9grM-JpGPPZQoh0hzqMtqhHutmNifm1PlupILL_/exec
RSSについては、👇の記事をご参照ください。
[PR]「セキュリティ対策、できてますか？」に答える本/SCS評価制度で始める、取引先に説明できる備え
なかなかセキュリティ投資ができずに、むずむずしてる情シスの皆さん。今年度末からSCS評価制度が始まります。
これをやらされ感で進めるのと、利用してやろう！という気持ちで進めるのとでは、結果がかなり異なると考えています。
無論、利用してやろう！！と考えた方が良い結果につながります。
ということを書いてますので、キニナル方は是非🙌