サイバー攻撃関連
今週のセキュリティニュース - 2022年9月16日
今週のセキュリティニュースへようこそ!
ここでは、国内・国外で過去数日間に起こったサイバーセキュリティ関連のニュースやレポートなど、知っておくべきことをお伝えします。 ぜひご覧ください。
国内
15人に1人が業務使用の端末で不正ログインを経験 - 三井住友海上火災保険調査
三井住友海上火災保険は、スマートフォン 、パソコンのサイバーセキュリティ等に関する調査の結果を発表しました。
これによると、「サイバーセキュリティ」を知っているとの回答は全体の5割弱に留まっており、年代別に見ると20代が32.7%、30代が36.6%と若い世代が低い傾向にあるとのことです。
また、15人に1人が業務使用のスマートフォン 、パソコンにおいて「インターネット上のサービスへの不正ログイン」を経験したと回答しています。
参照:三井住友海上火災保険株式会社「3割近くがサイバーセキュリティ対策せず、20代では4割超が未対策」
9月4日にSQLインジェクション攻撃が急増 - サイバーセキュリティクラウド調査
サイバーセキュリティクラウドは、自社製品で観測したサイバー攻撃ログを集約し、分析・算出したWebアプリケーションへのサイバー攻撃検知レポートを発表しました。
これによると、調査期間中、9月4日にSQLインジェクション攻撃件数が急増しており、通常約5%程度しか占めていない「難読化」が同日のみ約70%と突出して増えているとのことです。
難読化の目的としては、攻撃の検知や解析などを遅らせるためであると思われるとしています。
参照:サイバーセキュリティクラウド【サイバーセキュリティクラウド、昨今のサイバー攻撃情勢を承けて「サイバー攻撃検知レポート」を発表 〜ロシアからの攻撃も加わりSQLインジェクション攻撃が期間平均の3倍に〜】
国外
ホワイトハウス、連邦政府のソフトウェア使用に関する最低限のセキュリティ基準を設定
9/14、アメリカ行政管理予算局は、大統領令14028号「国家のサイバーセキュリティの向上」に基づき、連邦機関が一般的なサイバーセキュリティ慣行に則って構築されたソフトウェアを確実に利用できるようにするためのガイダンスを発行しました。
このガイダンスは、連邦政府機関に対し、アメリカ国立標準技術研究所(NIST)のガイドラインに準拠した第三者ソフトウェアを使用するよう求めるものです。連邦政府機関は、部局でそのソフトウェアを使用する前に、ソフトウェア製作者から自己証明書を取得することが義務付けられることになります。
参照:The White House Briefing Room「Enhancing the Security of the Software Supply Chain to Deliver a Secure Government Experience」
CISA、ランサムウェア報告に関するルールメイキングの情報提供依頼を開始
米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁(CISA)は、組織に72時間以内の重要なサイバーセキュリティインシデントの報告、およびランサムウェアの支払いから24時間以内の報告を義務付ける予定の報告要件に関する情報提供依頼(RFI)を公開しました。このRFIは、2022年サイバーインシデント報告法(CIRCIA)が3月に成立したことを受けたものです。
CISAは、規制案で使用される用語の定義と解釈、CIRCIAの下で要求される報告書の形式、方法、内容、提出手順、利用された脆弱性の説明を報告する要件を含む他のインシデント報告要件などの情報を一般の方々から広く意見を集め、24ヶ月以内にインシデントとランサムウェアの支払いデータを収集するための規制ルール化の道を追求することが求められています。
参照:Federal Register「Request for Information on the Cyber Incident Reporting for Critical Infrastructure Act of 2022」