2022/10/5 セキュリティ関連Twitterメモ
ゼロトラストは理念が悪いとは思いませんが、命名は正直失敗だと思ってます。 知らない人が名前だけ聞いたときに想像するものと、本来意味するものとの間にギャップがありすぎる気がします。
— しなもん (@am7cinnamon) Sep 19, 2022
無条件には信頼しない＝都度検証を行うことが本質なのだから、私は「いつでもだれでも検証」 (に相当する英語) くらいでいいんじゃないかと思っています。 まあカッコ悪いから流行らないでしょうけど……
— しなもん (@am7cinnamon) Sep 19, 2022
ランサムウェア「LockerGoga」、サイバー犯罪者逮捕後に復号ツール公開 | TECH+（テックプラス） https://t.co/v4Kw6hFAp8
— 辻 伸弘 (nobuhiro tsuji) (@ntsuji) Sep 20, 2022
DNS takeovers are cool. https://t.co/m1pVGOojMP
— m0z (@LooseSecurity) Sep 20, 2022
今年3月、自動車サイバーセキュリティエンジニアリング監査（CS監査）のガイドライン「ISO/PAS 5112」が発行されました。本記事では、ISO/PAS 5112について、筆者がよく頂く質問を中心にQ&A形式で解説していきます！#OTA #ISOSAE21434 #UNR155 https://t.co/zbpN49cYfr
— NRIセキュア 公式 (@NRIST) Sep 21, 2022
/1 How do Apple Pay and Google Pay handle sensitive card info? The diagram below shows the differences. Both approaches are very secure, but the implementations are different. To understand the difference, we break down the process into two flows. https://t.co/3jWwXmALBA
— Alex Xu (@alexxubyte) Sep 21, 2022
回数の問題じゃない気がするなあ。パスワードとMFAを同時にではなくて、順番に聞いてるから問題があるんじゃなかったっけ。 パスワード+パスコード的なMFA を同時入力するフォームじゃないとダメって誰かまとめてくれてた気がする。 https://t.co/WYVyFeDdwo
— defenceability (@defenceability) Sep 21, 2022
防衛省のサイバーセキュリティ調達基準の元となったNIST SP 800-171とは？～日本企業が取り組むべき対策を解説～ https://t.co/65tU2eNTuY あとでよむ
— にゃん☆たく (@taku888infinity) Sep 22, 2022
UK Police arrests teen believed to be behind Uber, Rockstar hacks https://t.co/qGkBSo137Q
— Masafumi Negishi (@MasafumiNegishi) Sep 24, 2022
Steal WiFi Login for Enterprise Networks https://t.co/VKUPtvFKGB
— Clandestine (@akaclandestine) Sep 24, 2022
September 26, 2022 Okta Japan株式会社 顧客IDに対する攻撃動向を考察する2022年版レポート「2022 State of Secure Identity Report」を公開 https://t.co/b2pfiEfxf6
— Autumn Good (@autumn_good_35) Sep 26, 2022
Sophos Firewallに認証前RCEの脆弱性 CVE-2022-3236 が報告されCISAのKEVカタログにも載りました。南アジアの特定組織への攻撃で悪用されたとのこと。 https://t.co/fjGUJ3W6YW 同製品は国内外で多くの利用があります。デフォルトで自動更新が有効とのことですが念のためバージョン確認を推奨します https://t.co/ozqAWp73m0
— nekono_nanomotoni (@nekono_naha) Sep 26, 2022
マルウエア対策の常識が崩れる https://t.co/qIsnZq5dzA 『VirusTotalは、アクセス数が上位1000番までのドメインを「正規のドメイン」と認定し、そのうちのどの程度がマルウエアの配布に使われたのかを調べた』 ちょっと朝からびっくりして目が覚めた。そんな決め方ある！？
— にゃん☆たく (@taku888infinity) Sep 26, 2022
欧州委、デジタル製品のサイバーセキュリティー対応を義務付ける法案発表(EU) | ビジネス短信 https://t.co/ZeEq068K4Q
— 辻 伸弘 (nobuhiro tsuji) (@ntsuji) Sep 27, 2022
Threat Report: Illuminating Volume Shadow Deletion https://t.co/H2Lr4g9LIB
— Takahiro Haruyama (@cci_forensics) Sep 28, 2022
極めて高度なAV/EDRの検出回避が得意で攻撃者がCobaltStrikeからの乗り換え始めてた商用ExploitToolのBrute Ratelですが、悪用されてもLicenseをBANするから大丈夫と開発元は言ってましたがLicenseチェック機構が削除されたクラック版が出回ってるのが発見されたようです???? https://t.co/xuDfR34qQO
— nekono_nanomotoni (@nekono_naha) Sep 28, 2022
MS Exchange Serverで認証"後"RCEのゼロデイが見つかり悪用も相当数報告されているようです。 https://t.co/yv3shETpA0 ESはCritical脆弱性が相次ぎ2年前から台数はかなり減りましたが未だ20万台以上あります。WebShell置かれるのでパッチだけでは駄目です。利用者は情報収集を初めてましょう?? https://t.co/L0GmRcjoaA
— nekono_nanomotoni (@nekono_naha) Sep 29, 2022
Tomcatに、誤ったクライアントにレスポンスを返すというダイナミックな脆弱性が発覚しました。 Spring Boot 2.6系は、最新の2.6.12は大丈夫。2.7.0以上も大丈夫です。 https://t.co/Iyla29rFwP https://t.co/M95rtIMe5m
— Masatoshi Tada?? (@suke_masa) Sep 30, 2022
The #LOLBAS project's website now provides automatically updated feeds containing all entries part of the project! ?? .JSON file with the project's data set as data objects ?? .CSV file with the project's data set, broken down by command Check it out! ?? https://t.co/mDyGq8ECoJ https://t.co/cxXVMc4ckc
— Wietze (@Wietze) Oct 3, 2022
議員事務所にサイバー攻撃か、メアド1千件流出 警視庁に被害届：朝日新聞デジタル https://t.co/8wMAGT6L2Z #立憲
— piyokango (@piyokango) Oct 4, 2022
Zero Trust User Access Credit: https://t.co/BabCxuiRDP #infosec #cybersecurity #pentesting #oscp #informationsecurity #hacking #DataSecurity #CyberSec #Hackers #tools #bugbountytips #Linux #websecurity #Network #NetworkSecurity #cybersecurityawareness https://t.co/eAcGw0p2AP
— Shubham Sharma (@Shubham_pen) Oct 4, 2022
巧妙化が進むショートカット悪用の手口 https://t.co/aGnbo0dYOg ふぇー
— にゃん☆たく (@taku888infinity) Oct 4, 2022
