──────────────────────────
■■SANS NewsBites Vol.17 No.09
（原版: 2022年 2月22日、25日）
──────────────────────────


━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃【3/14開催コース:お申込締切日迫る!】2022年3月開催 トレーニング
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【SANS Secure Japan 2022-Live Online】★日英同時通訳★
https://www.sans-japan.jp/events/sans_secure_japan_2022

※3/14開催コースのお申込締切日は、3/4（金）までとなります。
　ご検討中の方は、お早めにお申込みください。

〇開催日：2022年3月14日（月）～3月19日（土）　6日間
　SEC488 Cloud Security Essentials
　FOR578 Cyber Threat Intelligence
　※FOR578は、SANS Secure Singapore 2022との共同開催となります。

〇トレーニング価格　880,000円（税込 968,000円）

〇お申込みについて
　各コースページのお申込みボタンより、お1人様ずつお願いいたします
　https://www.sans-japan.jp/events/sans_secure_japan_2022

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━


◆CISA、サイバーセキュリティサービスとツールを無償提供　(2022.2.18)
米国サイバー・インフラ・セキュリティ庁（CISA）は、官民の無料サイバーセキュ
リティサービスのカタログを公開した。無料のサイバーセキュリティサービスとツ
ールのウェブページには、CISAが提供するサイバーセキュリティサービスや広く利
用されているオープンソースツール、サイバーセキュリティコミュニティ全体の公
私機関が提供する無料のツールやサービスが掲載されている。CISAは今後、さらに
多くのツールやサービスを追加していく予定としている。
-　https://www.cisa.gov/news/2022/02/18/cisa-launches-new-catalog-free-public-and-private-sector-cybersecurity-services
-　https://www.cisa.gov/free-cybersecurity-services-and-tools
-　https://www.theregister.com/2022/02/18/cisa_free_security/
-　https://www.zdnet.com/article/cisa-publishes-guide-with-free-cybersecurity-tools-resources-for-incident-response/

【編集者メモ】(Ullrich)
残念なことに特に政府の中には、ツールの品質ではなく政治的な理由でフリー/オ
ープンソースのツールを使うことに難色を示す組織がある。CISAのリストが、これ
らのツールにスポットライトを当て、それらを導入する際の「レイヤ8」問題を克
服してくれることを期待している。現在、リストはいくつかのベンダーに多少は支
配されているので、時間の経過とともにより多くのツールが追加されることを期待
したい。高品質リソースに対して幸先のよいスタートだろう。
【編集者メモ】(Orchilles)
このような素晴らしいツールの数々だが、これらを最も効率的に活用するためには
人材とプロセスが必要であることを忘れないことだ。
【編集者メモ】(Honan)
企業、特に中小企業にとって、ツールを探す際に参考となるありがたい資料である
。しかし、これはサイバーセキュリティの技術的な課題には役立つが、プロセスや
人材といった他の分野についてもさらなるリソースが提供されることを期待したい
。
【編集者メモ】(Neely)
このサイトでは、取り入れるべき基本的なセキュリティ対策、ローカルに導入でき
るツールへのリンク、CISAが提供するサイバー衛生を支援する無料サービスに関す
る情報などを掲載している。これらのサービスやツールを活用することで現在の機
能を強化し、状態への評価を確認することができ、今まで見過ごしてきた問題を発
見できる可能性がある。
【編集者メモ】(Spitzner)
最近のロシアの動きを受けて、セキュリティ専門家やリーダーは「何をすべきか？
」と問いかけている。ほとんどの場合セキュリティの観点からは、現在すでに行っ
ていることと何ら変わりはない。このCISAの出版物とツールのリリースは、「基本
に忠実に」という重要な教訓を同じく強調している。攻撃方法、防御方法ともに変
わっていない。変化したのは危機感である。
─────────────

◆CISA Insights、対外的な影響力行使に関する発表　(2022.2.19)
米国サイバー・インフラ・セキュリティ庁（CISA）は、CISA Insights文書「重要
インフラを対象とした海外影響力行使の準備と緩和」を発表した。この文書は「重
要インフラの所有者や運営者が、ソーシャルメディアやオンラインプラットフォー
ムを活用した影響力行使のリスクを確実に認識することが目的」としている。CISA
は、重要インフラ組織が情報環境を評価し、脆弱性の洗い出し、コミュニケーショ
ン・チャネルの強化、プロアクティブ・コミュニケーション、インシデント対応計
画の策定といった事項を確認することを推奨している。
-　https://www.cisa.gov/sites/default/files/publications/cisa_insight_mitigating_foreign_influence_508.pdf
-　https://www.bleepingcomputer.com/news/security/cisa-warns-of-hybrid-operations-threat-to-us-critical-infrastructure/
-　https://www.meritalk.com/articles/cisa-tells-ci-operators-shields-up-warns-of-state-sponsored-attacks/
-　https://www.hstoday.us/federal-pages/dhs/cisa-releases-new-insight-to-help-critical-infrastructure-owners-prepare-for-and-mitigate-foreign-influence-operations/
-　https://www.cisa.gov/shields-up

【編集者メモ】(Pescatore)
この3ページの短い記事には、大規模な重要インフラプロバイダー向けのニュース
は含まれていない。しかし水や電力事業を中心とした、州・地方公共団体や製造業
、運輸業などの小規模な民間企業にとっては、ソーシャルメディア上の誤報キャン
ペーンを監視し、そのリスクを最小限に抑える必要性を経営陣に伝えることが有効
かもしれない。
【編集者メモ】(Neely)
本書は、企業や従業員が、誤報、偽情報、悪意ある情報（MDM）キャンペーンに対
する防御を強化するために必要な行動をリストアップした読みやすい内容となって
いる。ここでは、MDMの定義が異なることに注意してほしい。
─────────────

◆下院委員会、データプライバシーのリスクと改革に関する公聴会を開催
　(2022.2.18)
米国下院行政委員会は先週の2022年2月16日、「ビッグデータ：官民におけるプラ
イバシーリスクと必要な改革」と題した公聴会を開催した。公聴会に出席した議員
たちからは、国家的なデータプライバシー法を支持する発言があり、その法律がど
のようなものであるかについては意見が分かれるとしている。
-　https://www.govtech.com/security/hearing-probes-aims-enforcement-of-a-u-s-digital-privacy-law
-　https://cha.house.gov/committee-activity/hearings/big-data-privacy-risks-and-needed-reforms-public-and-private-sectors

【編集者メモ】(Pescatore)
複数の州の個人情報保護法や規制に対応する必要がある企業は、当面の間、継続的
に対応することを計画してほしい。アメリカの個人情報保護法の草案から20年が経
過したと思われる現在も、ソーシャルメディアの「プラットフォーム」と呼ばれて
いるものについては、限定的な管理が行われているものの、国家的なプライバシー
に関する有意義な法律に対する障害は変わっていない。
【編集者メモ】(Neely)
国家的なプライバシー法が必要であるという認識は高まりつつあるが、施行場所は
どこか、どの連邦機関がこの法律を監督すべきか、プライバシー基準はどうあるべ
きか、これは州法を支援する枠組みなのか、それとも州法に取って代わることを意
図しているのかについては、まだ意見が分かれる。これらはまだ正しい方向に向か
った動きだが、連邦政府の努力は、独自の法律の制定を待ち望む州によって追い越
される可能性があり、サービスプロバイダーにとっては、複雑な要件を満たすため
に非常に興味深いものになるかもしれない。
─────────────

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃OUCH! 2月号「サイバーセキュリティのキャリアをスタートさせる」について
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
セキュリティの話題が報道などで話題に上らない日はないほど、セキュリテは身
近なトピックとなりましたが、あなたはサイバーセキュリティ分野でのキャリアを
考えたことはありますか。もしかすると、コンピュータサイエンスの学位が必要な
のではといった誤解があるかもしれません。
今月は普段の OUCH!とは違って、サイバーセキュリティ分野のキャリアに興味をお
持ちの方に向けてキャリアをスタートさせるための方法をいくつかご紹介します。
https://assets.contentstack.io/v3/assets/blt36c2e63521272fdc/blte47a8e2ec43d9ab5/61f71af5a96c4414ac4351e0/ouch!_february_2022_Japanese_anyone_can_start_a_career_in_cybersecurity.pdf
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

◆SANS Webcast:ウクライナで激化するロシアのサイバー攻撃-知っておくべきこと
、やるべきこととは! (2022.2.18)
このWebcastは、サイバーセキュリティの専門家であるRob Lee氏、Kevin Holvoet
氏、Jake Williams氏、Tim Conway氏が一堂に会し、現時点におけるロシア攻撃者
の能力、ウクライナへの重要インフラ攻撃、EUと米国へのサイバー攻撃波及の可能
性について議論している。また、組織のセキュリティを強化するために今すぐ実行
できるアクションについても焦点を当てている。
-　https://www.sans.org/webcasts/russian-cyber-attack-escalation-in-ukraine/
-　https://www.sans.org/blog/ukraine-russia-conflict-cyber-resource-center/

◆ウクライナのコンピュータがワイパー型マルウェアに感染　(2022.2.24)
ウクライナの数百台ものコンピュータがWindowsワイパー型マルウェアに感染して
いることが判明した。このマルウェアは、正規の開発者証明書で署名されているよ
うに見える。ワイパー型マルウェアは、ウクライナの端末に対する一連の分散型サ
ービス拒否攻撃やSMSスパム攻撃の直後に出現した。また、このマルウェアにラン
サムウェアが付随していたケースもあり、おとりやレッド・ヘリングで使用された
可能性がある。
-　https://www.theregister.com/2022/02/23/ukraine_wiper_malware/
-　https://www.scmagazine.com/analysis/apt/ukraine-organizations-hit-by-new-wiper-malware
-　https://www.scmagazine.com/analysis/cyberespionage/ransomware-may-have-been-a-decoy-to-launch-new-wiper-malware-seen-in-ukraine-cyberattacks
-　https://www.scmagazine.com/analysis/cyberespionage/analysis-shows-new-wiper-malware-in-ukraine-cyberattack-oddly-thorough
-　https://www.bleepingcomputer.com/news/security/ransomware-used-as-decoy-in-data-wiping-attacks-on-ukraine/

【編集者メモ】(Ullrich)
現在、これらの攻撃はウクライナのシステムを標的にしている。しかし、ウクライ
ナと関係がないからといって安心してはいけない。NotPetyaなどからも分かるよう
に、このようなマルウェアは簡単に流出するからだ。
【編集者メモ】(Neely)
ウクライナに対して、キネティック攻撃とサイバー攻撃の両方が仕掛けられている
ことには大して驚かない。このワイパーは、それを署名する証明書「Hermetica
Digital Ltd.」で発行されたことから「HermeticWiper」と名付けられた。なお、
リトアニアやラトビアでも発見されており、金融機関や政府の請負業者をターゲッ
トにしている。このランサムウェアの装いは、以前ウクライナを標的にしたWhisperGate
というワイパーを彷彿とさせる。それでも、ユーザーの意識向上、コンテンツのフ
ィルタリング、その他のランサムウェア対策は、侵入に成功する可能性を低減する
上で依然として有効である。
─────────────

◆非営利団体Cyber Coalition設立　(2022.2.23)
非営利団体Cyber Coalitionは、20団体以上集め「個々の強みを結集し、サイバー
エコシステム全体に対して積極的な行動を起こす」ことを目的としている。設立メ
ンバーには、CIS（Center for Internet Security）、フィッシング対策ワーキン
ググループ、クラウドセキュリティアライアンス、消費者レポートが含まれている
。
-　https://nonprofitcyber.files.wordpress.com/2022/02/nonprofit-cyber-pr-final-2.pdf
-　https://www.scmagazine.com/analysis/cloud-security/nearly-two-dozen-nonprofits-form-new-coalition-to-collaborate-amplify-good-cyber-advice

【編集者メモ】(Pescatore)
SANSは、この組織の一つである#ShareTheMicInCyberの創設者に2021年にSANS Difference
Makers賞を与え、Center for Internet Securityを長く支援してきた。サイバー
セキュリティの分野では、非営利団体からたくさんの有意義な進展がもたらされて
おり、今後の取組みのための戦力として機能することができるだろう。
【編集者メモ】(Neely)
この組織は、専門知識とリソースの素晴らしい集まりだ。そして、活用できる無料
サービスをまとめたものであり、CISAなどの他の機関が提供するリソースを補強す
るものである。はじめは提供されるサービスの認知度を高め、それをどのように活
用するかを考えることに重点を置いている。この組織の構成に興味がある方は、上
記リンク先のプレスリリース最後3ページ、各メンバーとその専門分野の掲載を見
てもらいたい。
─────────────

◆アイルランドの医療機関に対するランサムウェア攻撃、復旧費用が1億ユーロに
達する見通し　(2022.2.23)
昨年5月に発生したアイルランド衛生安全委員会事務局（HSE）に対するランサムウ
ェア攻撃への対応と復旧の費用は、現在4300万ユーロ（4800万米ドル）で、最終的
には1億ユーロ（1億1200万米ドル）に達する可能性があると、HSEの暫定CIOからの
レターに記されている。なお、この数字には、事件に関するPWCの報告書で推奨さ
れたセキュリティ対策の実施費用は含まれていない。
-　https://www.rte.ie/news/ireland/2022/0223/1282617-cyber-attack-cost/

【編集者メモ】(Orchilles)
ランサムウェア攻撃で発生する費用は、身代金の支払いそのものに限られないこと
は明白である（支払うことにした場合であるが）。ランサムウェア攻撃への対応と
復旧には、他にも多くの変動要因がありコストは指数関数的に増加する。NewsBites
読者の皆さんが、不可避の侵害が起こる前に、セキュリティ管理（人、プロセス、
技術）のテストや測定、改善への投資を既に行ってることを期待している。私たち
はこのような文化を「想定される侵害のもとでの運用」と呼んでいる。
【編集者メモ】(Neely)
この数字には、セキュリティの改善やダウンタイムに起因する人命の損失など、患
者にかかるコストは含まれていないことを忘れないように。復旧計画には、セキュ
リティ改善のための資金調達、復旧中の顧客ビジネスの不足または縮小が含まれて
いるかを確認してほしい。
【編集者メモ】(Spitzner)
皆さん、HSEは身代金を支払わずに復号化キーを無料で手に入れたことを覚えてお
いてほしい。ランサムウェアの最大のコストは身代金ではなく、機能しなくなるこ
とに対するコスト、評判に対するコスト、回復のためのコスト、弁護士費用などが
ある。身代金を支払った場合、その数値を指数関数的に増やして実質的なコストを
割り出すことはいつでもできる。ただし、そのコストは金銭的なものだけである。
人々の健康、仕事、家庭生活、精神状態へのコストはどうだろうか？
─────────────


━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃申込受付中のオンラインセミナー（無料） ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇3月10日(木)
　特権ID管理ソリューション「SecureCube Access Check」紹介セミナー
　～失敗しない製品選定の３つのポイントと導入効果～
　https://www.nri-secure.co.jp/seminar/2022/ac_id0310?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

〇3月22日(火)
　クラウド利用を加速させるOktaの実力とは！？
　～自社にとって最適なIDaaSの見つけ方～
　https://www.nri-secure.co.jp/seminar/2022/okta0322?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

〇3月23日(水)
　【リモートで体験】特権ID管理　SecureCube Access Check　ハンズオンセミナー
　https://www.nri-secure.co.jp/seminar/2022/ac_handson0323?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃動画　　　　　　　　　　　　　　　　　　　 ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇【30分でわかる】セキュリティガイドライン 簡単解説！～初心者編～
　https://www.secure-sketch.com/seminar/ondemand-groups-webinar-form-20211124?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

〇セキュリティ業務改善ウェビナー
　https://www.secure-sketch.com/seminar/ondemand-groups-webinar-form-20211020?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

〇GROUPSプラン アップデートウェビナー
　https://www.secure-sketch.com/seminar/ondemand-groups-webinar-form-20211208?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

＞＞その他、過去開催されたウェビナー
　https://www.nri-secure.co.jp/video?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃申込受付中の研修・トレーニング（有料） ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇3月、6月
　セキュアEggs
　https://www.nri-secure.co.jp/service/learning/secureeggs?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

〇5～7月、9～2023年3月　毎月開催
　CISSP CBKトレーニング
　https://www.nri-secure.co.jp/service/learning/cissp_training?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃ebook（お役立ち資料ダウンロード)　　　　　　　　 ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇NRI Secure Insight 2021　　　　　　　　　　　　　　　　　【New！】
　～企業における情報セキュリティ実態調査～
　https://www.nri-secure.co.jp/download/insight2021-report?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

〇経営層を納得させるセキュリティ予算獲得術
　https://www.nri-secure.co.jp/download/security-budget?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

〇グローバルなセキュリティ資格「CISSP」取得のためのガイドブック
　https://www.nri-secure.co.jp/download/cissp_domainguidebook2021?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

＞＞ダウンロード資料一覧
　https://www.nri-secure.co.jp/download?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃解説／コラム（NRIセキュア ブログ）　　　　　　　 ＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○サイバー攻撃への備え｜昨今の情勢を踏まえて企業が点検すべき７つのポイント
　https://www.nri-secure.co.jp/blog/call-to-attention-about-cybersecurity-risk-rapid-increasing?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

○日本発の宇宙産業育成を目指すSpace BDの挑戦を支える「ゼロトラスト」セキュリティ
　https://www.nri-secure.co.jp/blog/interview_spacebd?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

○「脆弱性」に打ち勝つためにセキュリティの専門家としてできること
　https://www.nri-secure.co.jp/blog/devsecops-interview?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

＞＞ブログ記事一覧
　https://www.nri-secure.co.jp/blog?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃お知らせ　　　　　　　　　　　　　　　　　　　　　＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○NRIセキュア、Space BD社のシステム構築をゼロトラストモデルを採用して支援
　https://www.nri-secure.co.jp/news/2022/0224?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

○NRIセキュア、「企業における情報セキュリティ実態調査2021」を実施
　～ゼロトラストセキュリティ関連のソリューション導入において、日本企業は米豪に後れ～
　https://www.nri-secure.co.jp/news/2022/0208?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

○NRIセキュア、サイバー・セキュリティ・コンサルティングの8分野でシェアNo.1を獲得
　https://www.nri-secure.co.jp/news/2022/0125?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

＞＞ニュース一覧
　https://www.nri-secure.co.jp/news?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃NRIセキュア メールマガジン 無料購読　　　　　　　　＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　セキュリティの最新情報やトレンド解説など、セキュリティ担当者やCISOの
　業務に役立つ情報を月に３～４回お届けします。
　https://www.nri-secure.co.jp/mail?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans

━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
◆┃無料でセキュリティを自己診断！ Secure SketCH 無料登録受付中＜NRIセキュア＞
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
〇30分でわかる！貴社に必要なセキュリティ対策
　https://www.secure-sketch.com?utm_source=sans&utm_medium=mail&utm_campaign=20220302sans


--

NRI Secure SANS NewsBites 日本版は、米国の情報セキュリティの専門機関である
SANS Instituteが配信するコンテ4ンツ (SANS NewsBites)をベースに、NRIセキュア
テクノロジーズが編集してお届けしています。 世界中でこの1週間に起こったセキ
ュリティのあらゆるトピックと専門家のコメントが掲載されています。原版は、お
よそ20万人のセキュリティのコミュニティに配信され、資料価値のあるニュースソ
ースとして活用されています。組織のセキュリティ管理に関する参考情報としてお
役立てください。掲載されている情報は、e-mailを介して自由に他の方に再送して
いただいて結構です。ただし、サイトへの掲載は禁じます。日本語版の無料購読を
希望される方は、弊社ホームページの以下のページよりお申込みください。
https://www.nri-secure.co.jp/news_letter

本ニュースレターは、メールマガジン配信を申し込まれた方、弊社からの情報を希
望された方、SANS関連のイベントに参加された方、その他イベント等において弊社
講演枠に登録された方に配信しています。
今後、配信をご希望されない方は会社名と御氏名を本文に明記のうえ、件名に【配
信不要】、配信先変更をご希望の方は【配信先変更希望】とご記入頂き、新旧のご
連絡先も記載のうえ、info@sans-japan.jp までご返信をお願い致します。なお、
情報の反映までにお時間を頂戴する場合がございます。