stuartschechter.org 米国立標準技術研究所（NIST）の認証に関するガイドライン「NIST SP 800-63」が改訂され、「パスワードは「複雑」より「長い」が重要、定期的な変更を義務付けてはならない」というのがようやく周知された。 しかし、「複雑なパスワード」と「定期的なパスワードの変更」が長年推奨されてきたのか。この文章は、その原因を偉大な科学者たちが過ちを犯したことに理由を求めている。 その科学者とはロバート・モリスとケン・トンプソンの二人である。ケン・トンプソンについては説明は不要だろうが Unix の開発者ですね。ロバート・モリスは暗号学者で、Y Combinator の共同創業者であり「モリスワーム」の作者として知られるロバート・タッパン・モリスの父親である。 この二人が1979年に実際のユーザパスワードを調査して発表した Password Security:

セキュリティー投資で一番難しいのが投資額の設定だ。どれだけ投資しても、リスクを確実に防げるという保証はない。日本サイバーセキュリティ・イノベーション委員会（JCIC）の上杉謙二主任研究員は「防衛費を1兆円増やしてもリスクがどのくらい減るかは誰も算出できないのと同じ」とした上で、「攻撃者の意図（悪意）を数値化できなければ、必要な投資額も数値化できない」とその難しさを語る。 一方で上杉主任研究員は、「サイバー攻撃の被害に遭った場合でも、業界水準の対策をきちんと講じてきたと示せる投資額の目安は必要だ」と強調する。 1000億円企業なら5億円の投資を そこでJCICはセキュリティー投資額の目安として「連結売上高の0.5％以上」というシンプルなアプローチを推奨する。例えば連結売上高が1000億円の企業であれば、セキュリティー投資額の目安は年間5億円になる。 この投資額には人件費やアウトソース費用、セ

セキュリティ人材不足と増大する脅威対応を生成AI活用で解決へ、NTT Comが新ソリューション 2024.11.21 Updated by Naohisa Iwamoto on November 21, 2024, 06:25 am JST 生成AIの活用について、さまざまな議論や実践がなされてきている。そうした中で、セキュリティの運用支援のソリューションに組み込んだ活用法が登場した。NTTコミュニケーションズ（NTT Com）が開発した「AI Advisor」がそれだ。生成AIを活用した自然言語による問い合わせでセキュリティ運用を支援する。 ランサムウエアなどのサイバー攻撃は増加し続け、これに対する防御が不可欠になっている。NTT Com ビジネスソリューション本部 ソリューションサービス部 担当部長 エバンジェリスト 城 征司氏は、対策についての現状を以下のように説明する。「リスクへの

IEEEは2024年10月4日、プレス向けセミナーを開催し、情報セキュリティ大学院大学の大塚玲教授が「AI for Security」をテーマにサイバーセキュリティにおける生成AIの注目動向を解説した。 IEEEメンバーで情報セキュリティ大学院大学 教授の大塚玲氏。人工知能学会 安全性とセキュリティ研究会（SIG-SEC）主査、JNSA サイバーセキュリティ産学連携協議会 代表も務める 米国防省の研究部門で、インターネットの生みの親としても知られるDARPAは今年8月、ソフトウェア脆弱性の自動修正システム競技大会「AI Cyber Challenge」の準決勝を世界最高峰のセキュリティコンテスト「DEF CON 32」において開催した。 準決勝を勝ち抜いたのは7チーム。各チームにはそれぞれ200万ドルもの開発資金が与えられ、来年8月のDEF CON 33で行われる決勝戦に臨む。優勝賞金は4

Threat Huntingという概念をご存知でしょうか？ 一言で言えば、「高度な標的型攻撃を検知・対応するための方法論」ですが、2015年度ごろから米国のカンファレンス等でよく耳にする単語です。しかしながら、Threath Huntingについて体系的に学べる資料がないため、しばらくの間学んだことをまとめて、Threat Huntingへの理解を深めたいと思います。 第１回目は、UEBA製品で有名なSqrrl社の記事を元に、２種類のキーワードを取り上げます。 A Framework for Cyber Threat Hunting Part 1: The Pyramid of Pain Enterprise Detection & Response: The Pyramid of Pain キーワード１：IOC IOC（Indicator of Compromise）とは、以下のようにに

インターネットイニシアティブ（以下、IIJ）11月5日、「国内企業のゼロトラストに関する実態調査」の結果を発表した。 調査は、IIJのメールマガジンを用いて情報システム部門を対象に実施され、347件の回答があった。2024年7月24日～31日の調査。 ゼロトラストとは、「何も信頼せず、常に検証する」ことを前提に対策を講じるセキュリティの考え方。この考え方について「ゼロトラストを実現することは必要だと思うか？」という設問に対して、88％が「必要だと感じる」と回答し、多くの企業で必要性が認識されている結果となった。 「ゼロトラストを実現することは必要だと思うか？」　回答：347件 一方、米国のNIST（国立標準技術研究所）が定義する「ゼロトラストの7つの要素」への対応状況を尋ねた設問では、最も進んでいる対応は「多要素認証などセキュリティレベルの高い認証を実施している」で全体の58％、最も遅れて

エンドポイントセキュリティを中心に幅広い分野でマネージドサービスの立ち上げ・推進に従事。XDRスペシャリストとして企業のデジタル化に必要な新しいセキュリティの在り方を支援。また昨今では、ワークショップ“IIJ Sketch & Draw Workshop”を通じ、エバンジェリストとして、大手から中堅企業を中心に約50社以上にわたるセキュリティ戦略や投資、対策の見直しをサポート。 執筆・監修者ページ／掲載記事：5件 NIST（米国立標準技術研究所）が考案したサイバーセキュリティフレームワーク（以下、NIST CSF）の最新版となるバージョン2.0が、2024年2月に公開されました。初版のNIST CSF 1.0が公表されてから、約10年ぶりの大幅改訂です。NIST CSFはサイバーセキュリティの指針として広く利用されている国際標準的なフレームワーク。最新版が公開されたことで、今後のサイバーセ

NIST（米国国立標準技術研究所）が2024年2月下旬に「NIST Cybersecurity Framework 2.0（CSF 2.0）」を正式にリリースした。2014年にサイバーセキュリティ対策の検討／推進を行うフレームワークとしてCSF 1.0が公開されてから、およそ10年ぶりとなる大幅な改訂である。 NISTでは、CSF 2.0のドラフト（草案）段階でパブリックコメントを募集し、産業界や学術界も含むさまざまなセキュリティ関係者からのフィードバックを求めたが、そこにはデータ保護／バックアップ製品ベンダーのベリタステクノロジーズも参加し、提言を行っている。 現在では、データ保護／バックアップは重要なセキュリティ対策のひとつとなっている。ベリタスの提言内容とはどんなものだったのか、同社フィールドCISOのジョイ・パーサー氏に聞いた。 CSF 2.0アップデートの重要なポイントは2つ パ

Linux Daily Topics “ロシアのトロールどもに告ぐ⁠⁠、この変更が元に戻ることはない” ―Linus⁠⁠、ロシア系メンテナーの"追放"を認める 開発中の次期カーネル「Linux 6.12」の4本目のリリース候補版となる「Linux 6.12-rc4」は、スケジュール通りに10月20日に公開されたが、その前々日となる10月18日、カーネルメンテナーのGreg Kroah-Hartman（GKH）はいつもとは雰囲気が異なるパッチをカーネル開発者のメーリングリストに投稿した。 [PATCH] MAINTAINERS: Remove some entries due to various compliance requirements. -Greg Kroah-Hartman Remove some entries due to various compliance require

危機管理室の吉本です。 デジタルIDの認証に関するガイドラインであるNIST SP800-63-4のSecond Public Draft（第2次公開草案）が更新されていたので、変更箇所をまとめてみました。全体で467ページと相当なボリュームがあるので今回調べたのは、主に話題になっているSP800-63B-4のパスワード要件についてです。初期公開草案からなにが変更されているか知りたかったので調べたことをまとめます。 NIST SP800-63-4とは NIST SP 800-63-4は、アメリカ国立標準技術研究所（NIST）が提供する、認証やID管理に関する「デジタルアイデンティティガイドライン」の第4版を指します。 全体概要の文書と3つの関連文書に分かれており、下記のタイトル毎に策定されています。 SP 800-63-4：Digital Identity Guidelines（デジタルア

サイバー攻撃への備えとして国内外の企業で作成が始まったソフトウエアの部品表「SBOM（エスボム）」に運用面の課題が浮上した。部署や製品ごとに仕様が異なった場合、いざという時に役立たない可能性が出てきたためだ。NTTデータグループは全社のデータを一元管理して表記のばらつきを自動で検知する仕組みを導入するなど対策を急いでいる。エスボムはソフトを構成するプログラムの名称や更新状況、ライセンスなどの情

本稿では、RSA Conference等と並ぶ「世界最大級のサイバーセキュリティカンファレンス」の一つで、サイバーセキュリティ従事者が世界中から集結する一大イベントであるBlack Hatと、同時に開催されるDEF CONについて、NRIセキュアのコンサルタントとエンジニアによる現地レポートをお届けします。 ※Black Hat USA / DEF CON参加レポートにつきましては、UBセキュア社のブログもぜひご覧ください。（近日公開予定） Black Hat USA参加レポート Black Hat USAとは？ 毎年アメリカ、アジア、欧州、中東アフリカの4地域で開催されており、今回参加したのはその中でも最大規模となるBlack Hat USAになります。 Black Hat USAではサイバーセキュリティに関連する多様なコンテンツが扱われ、例えばサイバーセキュリティに関する最新の研究成果

「石破茂さん、相当いろんな筋を心から恨んでいたんだね」 おいなんだあの総務大臣に村上誠一郎さん抜擢って。 よりによって、安倍晋三さんが凶弾に斃れるにあたり「国賊」発言まで踏み込み顰蹙を買った人物を政権要職の総務大臣にあてる人事って、すごくすごいな（語彙力）って思うんですよ。 それに、概ね今回の石破人事は、早期に行われるであろう衆議院の解散総選挙に向けて、重厚感と爆発力とが兼ね備えられた、実にねっとりとした質感を抱かせる代物となっています。 農水族と地方自治と慶應人脈が目立つんですが、それ以上に「石破茂さん、いままで日陰者で自民党非主流派にいたために、相当いろんな筋を心から恨んでいたんだね」っていう感じの報復人事スペシャルといったところでしょうか。 というのも、旧石破派（水月会）の解体に繋がった有力な人物が、今回ことごとく組閣や党人事から見事に追い出されているのです。 村上誠一郎氏　©文藝春

訂正のお知らせ 本文中で、修正前は「パスワードポリシーに関するガイドライン『NIST Special Publication 800-63B』の改訂版」と記載していましたが、正しくは「『NIST Special Publication 800-63B-4』の第2版公開草案」の誤りでした。誤解を招く表現となっていたことをお詫び申し上げます。該当箇所を訂正しました（2024年9月30日15時20分更新）。 米国立標準技術研究所（NIST）は2024年8月21日（現地時間、以下同）、パスワードポリシーに関するガイドライン「NIST Special Publication 800-63B-4」について、第2版公開草案を発表した。 同草案では定期的なパスワードの変更や異なる文字タイプの混在（例えば数字、特殊文字、大文字小文字を組み合わせる）を義務付けるべきではないことが提案されている。 「パスワード

公開日：2024年9月25日 最終更新日：2024年10月1日 AIセーフティ・インスティテュート 独立行政法人情報処理推進機構 AIセーフティ・インスティテュート（AISI、所長：村上明子）は、AIセーフティ評価手法の一つであるレッドチーミング手法を解説する「AIセーフティに関するレッドチーミング手法ガイド」を公開しました。AIシステムの開発・提供管理者が本書を参照することで、AIシステムにおける弱点や対策の不備を攻撃者の視点から評価するためのレッドチーミング手法の基本的な考慮事項を理解することができ、それらの堅牢化につなげることができます。 AIセーフティに関するレッドチーミング手法ガイド（第1.00版）本編(PDF:3.1 MB) AIセーフティに関するレッドチーミング手法ガイド（第1.00版）概要説明資料(PDF:1.1 MB) AIシステムの開発・提供・利用が進み、イノベーション

音声放送チャンネル「海部 美知」の「【サイバー犯罪シリーズ】闇のツールTelegram、実は?(2024年9月25日放送）」。Voicy - 音声プラットフォーム