脆弱性診断について詳しくご紹介

「LANSCOPE プロフェッショナルサービス」は、最新の攻撃手法と最適な対応策を探求するセキュリティプロフェッショナルチームがサービスを提供しています。

資料をダウンロードする《無料》

中小企業の情シス1,000人に聞いた

「クラウドサービスのセキュリティ対策」
実態調査結果を発表！

急増中のクラウド経由の情報漏洩にどう対策している？クラウドサービスを利⽤している企業様の対策状況や課題を調査しました。

資料をダウンロードする《無料》

トピックス

JPCERTコーディネーションセンター（JPCERT/CC）は、2023年3月7日より、マルウェア「Emotet」を感染させるメールが再び出回っており、新たな手法も確認されているとして、注意を呼びかけました。

Emotetが活動再開、OnteNote形式悪用などの新たな手法

JPCERT/CCが公開した新たな手法のうち、「Zip形式のアーカイブファイル」を使用した手法では、展開すると500MBを超えるdocファイルとなります。ファイルサイズを大きくすることで、マルウェア対策製品による検出の回避を狙ったものと見られています^[1] 。
また「OneNoteファイル」を悪用する手法では、メール受信者がファイルを開くと、ドキュメントに制限がかけられているなどとして、ボタンをダブルクリックするよう促すアラート画面のような画像が表示されます。ボタンの背後にスクリプトが配置されており、誤って指示に従ってしまうとEmotetに感染するおそれがある攻撃も確認されているとしています^[2]。
同センターでは調査を進めるとともに、引き続き警戒するよう注意を呼びかけています。

主なマルウェア・不正アクセス関連

CISA、米金融機関の破綻に便乗した詐欺へ注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、3月に入り、同国内において相次いで複数の金融機関が破綻した問題を受け、これらの問題に便乗した詐欺へ警戒するよう呼びかけました。自然災害や事故、イベントなどの多くの人々が興味を持つ話題は、フィッシング攻撃や詐欺行為に悪用されることが多いことから、注意が必要としています^[3]。

主要なOS、ミドルウェアにおけるインシデント

該当する製品を利用されている場合は、システムへの影響などに鑑み、対策などを速やかに実施することが推奨されています。

Fortinet 製 FortiOS および FortiProxy の脆弱性対策について(CVE-2023-25610)

Fortinet社より、「FortiOS/FortiProxyの管理インターフェイスでのヒープバッファアンダーフローの脆弱性」が公開されました。本脆弱性が悪用されると、認証されていない攻撃者が、特別に細工されたリクエストを介して、デバイスで任意のコードを実行したり、GUIでDoSを実行したりできる可能性があるとして、注意を呼びかけています^[4]。

複数のAdobe製品に関するセキュリティアップデートについて

Adobe社より、複数のAdobe製品に関するセキュリティアップデートが公開されました。今回修正された脆弱性のうち、Adobe ColdFusionにおけるアクセス制限不備の脆弱性（CVE-2023-26360）を悪用した攻撃に関する報告がすでに確認されているとして注意を呼びかけています^[5]。

その他、政府・業界動向など

「EmoCheck v2.4.0」リリース – 進化したEmotetに対応

JPCERT/CCは、Windows端末におけるEmotetの感染状況をチェックできるソフトウェア「EmoCheck v2.4.0」をリリースしました^[6]。3月より活動を再開したEmotetでは、従来バージョンで検出できないケースが確認されていましたが、一部の検知機能のロジックを改善することで対応を可能としています。

情報セキュリティ10大脅威2023

IPAより「情報セキュリティ10大脅威 2023」が発表されました^[7]。組織におけるサイバーセキュリティ脅威の1位は「ランサムウェア被害」、続く2位は「サプライチェーンの弱点を悪用した攻撃」となりました。2022年には、さまざまな企業、自治体の情報漏洩やサイバー攻撃のニュースが報道され、ランサムウェアでは複数の企業や病院、学校での被害も大きく報じられました。同機構では、本書を読み進めることで、各脅威が自組織にどのように影響するか確認しながら、様々な脅威と対策を網羅的に把握できるとしています。

サイバーセキュリティ経営ガイドライン Ver3.0 *

経済産業省は、IPAとともに、サイバー攻撃から企業を守る観点から、経営者がサイバーセキュリティ対策において認識すべき内容をまとめた「サイバーセキュリティ経営ガイドラインVer3.0」を公開しました^[8]。前回から5年ぶりの改訂となっており、多様化および巧妙化するサイバー攻撃に対し、経営者がリーダーシップを発揮して対応していくために必要になる情報を改訂したとしています。
*本ガイドラインは2022年10月～12月の期間、パブリックコメントの募集がありました。MOTEXからも複数の意見を提出しています。

中小企業向けECサイトのセキュリティガイドライン

IPAは、「ECサイト構築・運用セキュリティガイドライン」を公開しました^[9]。eコマースサイトの構築、運営時に必要とされるセキュリティ対策を取りまとめた中小企業向けのガイドラインなっており、新規にeコマースサイトを立ち上げる場合はもちろん、すでに運用中の企業なども対象とし、経営者も含め、セキュリティ対策に取り組むよう求める内容としています。

最後に

本記事は、2023年3月に報道されたセキュリティニュースをもとに、特に注目するセキュリティ情報を掲載しています。
注目するセキュリティニュースをまとめて掲載することで、読者の皆さまがよりセキュリティに興味を持ち、日々の対策にご活用いただくきっかけとなれば幸いです。

脆弱性診断について詳しくご紹介

「LANSCOPE プロフェッショナルサービス」は、最新の攻撃手法と最適な対応策を探求するセキュリティプロフェッショナルチームがサービスを提供しています。

資料をダウンロードする《無料》

中小企業の情シス1,000人に聞いた

「クラウドサービスのセキュリティ対策」
実態調査結果を発表！

急増中のクラウド経由の情報漏洩にどう対策している？クラウドサービスを利⽤している企業様の対策状況や課題を調査しました。

資料をダウンロードする《無料》