毎週チェックしているセキュリティ関連の情報について、記事にするほど書き足さないリンク集になるのでスクラップにしてみる。

チェックしているサイト

• JVN
• IPA
• JPCERTCC
• 総務省
• 経済産業省
• METI Journal
• 警察庁
• NIST
• 内閣サイバーセキュリティセンター(NISC)
• 日本ネットワークセキュリティ協会(JNSA)
• フィッシング対策協議会
• 個人情報保護委員会
• 日本クラウドセキュリティアライアンス (CSAジャパン)
• 日本スマートフォンセキュリティ協会 (JSSEC)
• 日本情報経済社会推進協会 (JIPDEC)
• Center for Internet Security (CIS)
• NICT
• Cygersecurity & Infrastructure Security Agency (CISA)
• ITmedia
• ZDnet
• piyolog
• Fox on Security
• トレンドマイクロセキュリティブログ
• Symantec Enterpirse Blogs
• TechCrunch (JP)

2021/01/17 - 2021/01/23

インシデント系

• DeNAの内部不正 当社元従業員による不正行為について
  ソフトバンクの話に続き、2021年始まって早々に2件目。

スタンダード/レポート系

IPA、JPCERT/CCが10-12月のレポートを出しています。
また、JSSECがAndroidのセキュアコーディングガイド(英語版)を公開しました。

• IPA ソフトウェア等の脆弱性関連情報に関する届出状況 2020年第4四半期（10月～12月）
• IPA 脆弱性対策情報データベースJVN iPediaの登録状況 2020年第4四半期（10月～12月）
• 情報セキュリティ安心相談窓口の相談状況 2020年第4四半期（10月～12月）
• JPCERT/CC インシデント報告対応レポート 2020年10月1日～2020年12月31日
• JPCERT/CC 活動四半期レポート 2020年10月1日～2020年12月31日
• Androidアプリのセキュア設計・セキュアコーディングガイド【2020年11月1日版】英語版

その他

• CISOハンドブック―業務執行のための情報セキュリティ実践ガイド発売
• NISC、アニメ「ラブライブ！サンシャイン!!」とコラボ
• トランプ氏、サイバー攻撃へのクラウド悪用を防ぐための大統領令に署名

ドコモ口座の件で容疑者の逮捕もこの週でした。

2021/01/24 - 2021/01/30

インシデント

• 三井住友銀の一部コードが流出
  三井住友銀、システムのコードが流出　顧客情報漏洩なし
  GitHub上に三井住友銀の一部コードが流出、「事実だがセキュリティーに影響せず」
  三井住友銀行などのソースコードが流出　“年収診断”したさにGitHubに公開か
  SMBCに続きNTTデータも被害を確認、広がるGitHub上のコード流出問題
• SolarWinds関連
  1年以上も検出できなかった「史上最大級の高度な攻撃」、同じ弱点は世界中に
  ロシアのSolarWinds報復対策
• 2020年後半に発生した不正送金関連
  「ドコモ口座」と銀行口座の連携、2月に再開へ　本人確認を強化
  （お知らせ）「ドコモ口座」における銀行口座の新規登録および銀行口座からのチャージ再開について

注意喚起

• 注意喚起: sudoの脆弱性（CVE-2021-3156）に関する注意喚起 (更新)

スタンダード/レポート

• 「サイバー情報共有イニシアティブ（J-CSIP） 運用状況 2020年10月～12月」を公開
• 情報セキュリティ10大脅威 2021
• 企業のネットワーク狙うランサムDDoS攻撃が大幅に増加--Neustar調査

2021/01/31 - 2021/02/06

インシデント

• 三井住友銀の一部コードが流出
  NECもソースコード流出を確認、GitHubで　三井住友銀、NTTデータに続き
  三井住友銀のソースコード流出、埼玉県は関係なし　県庁所在地が含まれていただけ　県が調査【追記あり】
  情報漏洩、多重委託に死角 三井住友銀、開発先からコード流出　技術者がサイトに投稿
  GitHubに関する対応とお願い

注意喚起

• sudo
  sudo にヒープベースのバッファオーバーフローの脆弱性
  Weekly Report: sudoにバッファオーバーフローの脆弱性
  sudoコマンドの脆弱性、「macOS」にも影響
• Salesforce
  「設定を見直して」　NISC、「Salesforce」利用企業に注意喚起　楽天やPayPayの情報流出を受け

スタンダード/レポート

• NIST SP 800-171 rev.2「非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護」の翻訳版
  *JPCERT/CC インターネット定点観測レポート 2020年10月1日～2020年12月31日
• NIST SP 800-172のFinalがリリース
• 2021/01 フィッシング報告状況（月次報告書）
• CIS Benchmarksのアップデート
  CIS Google Workspace Foundations Benchmark v1.0.0
  CIS Microsoft Intune for Windows 10 Release 2004 Benchmark v1.0.0
  CIS Microsoft Windows 10 Enterprise Release 20H2 Benchmark v1.10.0
  CIS Microsoft Azure Foundations Benchmark v1.3.0

その他

• 新型コロナ接触確認アプリ「COCOA」に不具合
  *特定個人情報保護評価指針の見直しについて

2021/02/07 - 2021/02/13

インシデント

• 三井住友銀の一部コードが流出した件の関連
  日本IT団体連盟がGitHubなどのクラウドサービス利用について意見を表明
• フロリダ州都市の水処理システムにハッカー侵入
  米国で発生した浄水システムの不正操作についてまとめてみた
  TeamViewerがインフラを脅かす
  水道局の水処理システムにハッカーが侵入し、飲料水の汚染試み　フロリダ州で
  フロリダ州都市の水処理システムにハッカー侵入--水酸化ナトリウム濃度を100倍以上に
  AA21-042A: Compromise of U.S. Water Treatment Facility
• freee、個人情報約3000件が閲覧可能な状態に　Salesforce製品の設定ミス
• 北朝鮮、仮想通貨3億ドル奪う　防衛企業にサイバー攻撃

注意喚起

• マイクロソフト公開の月例パッチ、すでに悪用されているものが含まれているため早急に適用を
  注意喚起: 2021年2月マイクロソフトセキュリティ更新プログラムに関する注意喚起 (公開)
  マイクロソフト、2月の月例パッチ公開--悪用された脆弱性も

スタンダード/レポート

• NISTが位置情報(GPS等だがPNTと呼ぶらしい)向けのサイバー攻撃対策のガイド最終版を公開
  NIST Finalizes Cybersecurity Guidance for Positioning, Navigation and Timing Systems
  Foundational PNT Profile: Applying the Cybersecurity Framework for the Responsible Use of Positioning, Navigation and Timing Services--NISTIR 8323
• Center for Internet Security (CIS) Releases New Elections Technology Cybersecurity Supply Chain Guide February 10, 2021

2021/02/14 - 2021/02/20

インシデント

• SolarWinds関連の続報
  マイクロソフト、SolarWinds問題の調査完了--Azureなどの一部コード盗難も被害は軽微

注意喚起

• ISC BIND 9の脆弱性に深刻度Highの脆弱性
  ISC BIND 9の脆弱性（CVE-2020-8625）に関する注意喚起

スタンダード/レポート

• コンピュータウイルス・不正アクセスの届出状況 2020年（1月～12月）
• 地域セキュリティコミュニティ【地域SECUNITY】形成・運営のためのプラクティス集（第1版）

その他

• ９つの標語に関するポスターと「みんなで叶えるためのサイバーセキュリティパンフレット」の公開