Ostorlab Nuggets 6月号 第5号

2021年6月号 第5号

ランチのナゲットはどうしますか。セキュアに、それともクリスピーに。

今月のメニューは、ヘルスケアとテクノロジーの課題をめぐる気軽な読み物、開発者とセキュリティ担当者向けのWebViewの対策、SSLピンニングの深掘り、そしてセキュリティと生産性のためのいくつかのツールの紹介です。締めくくりには、世界各国の料理をセレクトしてお届けします。

• インザワイルド：サプライチェーンからモバイルバンキング、Wordpressまで、現在進行中の侵害と攻撃
• ブログから：新たな攻撃、計装、開発者とセキュリティ担当者向けのWebView
• イベント：Black HatとSSTICの開催が発表、動画も公開中
• クラウド：Windows上のeBPFと、それを後押しする買収
• Webセキュリティ：セキュリティヘッダー、そしてさらに多くのセキュリティヘッダー
• ツール：実際に試して、気に入ったもの
• 生産性：新世代の並列化と便利なツール
• ズームイン：今月の読み物から見るヘルスケア、テクノロジー、セキュリティ
• プライバシーと政治：ポンジスキームとBitcoinがもたらす、法はあっても秩序なき世界
• おまけ：これが好き

インザワイルド

WordPress、サプライチェーン、ヘルスケア、モバイル...が侵害

• 現在進行中のサプライチェーン攻撃がまた一つ、security weekで報じられました。恐ろしい話ですが、侵害されたアプリの一覧をぜひ見てください
• アイルランドの医療サービスのコンピューターシステムに対するサイバー攻撃は、アイルランド国家に対するサイバー犯罪として最も重大なものとなる可能性があります（BBC）
• WordPressがまたニュースに：WordPressのXXEインジェクションの脆弱性により、攻撃者がホストのファイルをリモートから窃取できる可能性があります（The Daily Swig） そしてZeriodiumはさらに多くのエクスプロイトを求め、報奨金を3倍の300kに引き上げました（WordPress Tavern）
• Exim Mail Serverにおける複数のクリティカルな脆弱性（Qualys Community）
• タスクハイジャック、偽の通知、オーバーレイハイジャック、URLスキームハイジャックなど、マルウェアの攻撃パターンは多岐にわたり、アプリにはそれらに対する能動的な保護が必要です（blog nviso）

当社ブログから

デバッガーベースの計装とSSLピンニングの汎用バイパス

この記事では、SSLピンニングをバイパスする必要なしにバイパスする方法を取り上げます。分かりにくいでしょうか。理論を解説し、PythonでLLDBを使った完全なPoCを構築し、最後にそれをほかの便利なタスクへと拡張します。 記事を読む

WebViewについて知っておくべき5つのこと

この記事では、WebViewと、AndroidとiOSの両方でこのコンポーネントを使用する際に念頭に置くべきセキュリティ上の概念を取り上げます。デバッグや抽象ソケットの権限から、ファイルアクセスや同一オリジンポリシーまで、あまり知られていない攻撃ベクトルを解説します。 記事を読む

イベント

Black Hat（米国）とSSTIC（フランス）、予定を空けておこう

• Black Hat 2021（7月31日〜8月5日）は、Mandala bay / Las Vegasとオンラインで開催されます。登録とブリーフィングの情報はこちら
• フランス語を話すセキュリティ愛好家の皆さんへ：SSTICは2021年6月2日〜4日にレンヌ（フランス）で開催されます。プログラムはこちら
• それまでの間、Black Hat Asia 2020の動画40本すべてが公開中です（Black hat Youtube Channel）

クラウド

eBPF：セキュリティ、監視、プロファイリング...

eBPFがオブザーバビリティに革命をもたらし、プログラマブルネットワーク、システムコールのフィルタリングから、トレースや監視に至るまで、多くの用途への道を開いたことには目を見張るものがあります。

その採用は今やMicrosoftにまで広がり、eBPFをWindows 10とWindows Serverにもたらす新たなオープンソースプロジェクトが発表されました。

同様に、RelicはPixieプロジェクトを買収してオープンソース化し、Kubernetesの監視へのeBPFの幅広い活用を可能にしました。

類似のプロジェクトとしては、CilliumやHubbleがあります。

Webセキュリティ

ヘッダー、ヘッダー...頭痛の種

Timing-allow-originヘッダーやReferrer policyを聞いたことがあるでしょうか。Sec-Fetch-Modeはどうでしょう。ここ数年でセキュリティヘッダーにはかなりの追加があり、忘れられていたものが復活しつつあるようです。変化についていけない方のために、さまざまなHTTPヘッダーを改めて確認したり新たに知ったりし、それぞれをいつ使うべきかを理解するための一覧をまとめました。

• Webヘッダーの詳細。Webは進化していますが、常に正しい方向に向かっているかは分かりません
• 実際の本番Webサイトでtiming-allow-originが使われているのを見かけるようになりました。これが何で、何を防ぐのか知っていますか
• よく使われるヘッダーのおさらいには、こちらの記事をご覧ください。ただし残念ながら網羅的ではありません。CORSにはCross-Origin-Opener-PolicyやCross-Origin-Embedder-Policyなど、ほかにもかなり難解なヘッダーがあるからです

ツール

ATT&CK v9、カオステスト、LLDBスクリプティング

• MITREは、ATT&CKナレッジベースの新バージョン（v9）を公開しました。攻撃のテストに役立つツールを探しているなら、Red Canaryによるこちらのツールをご覧ください。同じカテゴリでは、Guardicoreによるguardicore/monkeyが、カオスエンジニアリングをセキュリティに持ち込もうとする興味深いツールです。
• 実際に試して非常に便利だと感じたツールが、Derek SelanderによるLLDBスクリプト集です。Facebook’s Chiselと組み合わせて使います。セキュリティに限らず、iOSアプリケーションの動的テストに非常に役立ちます。
• 最後に、フランス語を話す方は、素晴らしいNoLimitSecuの最新ポッドキャストをチェックしてみてください。この回については私たちが特によく知っていて、楽しんで使っているものです ;)。

生産性

新世代の並列化、ダッシュボード、README

Dask distributedは驚くべきエンジニアリングの成果で、わずかな労力で並列化をまったく新しいレベルに引き上げます。 Daskはデータサイエンスのコミュニティで非常に人気があり、動的なダッシュボードを作成できる使いやすいライブラリであるStreamlitも同様です。

そして、コードを共有してアプリを作ることにしたなら、READMEファイルを楽しく作成できるreadme.soの利用を検討してみてください。

ズームイン

ヘルスケア、テクノロジー、セキュリティ...大切なことのすべて（Anne）

健康こそすべてです。私も知っていますし、誰もが知っています。しかし、このパンデミックに突入して以来、世界は大きく揺さぶられました。システムのデジタル化は、ケアのプロセスの円滑化、診断の提供、治療の質において重要な役割を果たしています。ヘルステックは急成長しています。 そしてヘルステックと聞いて私が真っ先に思い浮かべるのは、セキュリティです。「私の健康のセキュリティに手を出さないで。」

先週のアイルランドのHSEにとって、その教訓はかなり痛いものでした。同国がこれまでに経験した最大規模と言われる攻撃を受けたのです。ケアの継続性を確保することで最悪の事態は免れたものの、診療予約のサービス、特にCOVID-19ワクチン接種の予約サービスが停止しました。

こちらの興味深いヘルスケアにおけるビッグデータ分析の研究をご覧ください。この論文は、ビッグデータのコンテンツ、ソース、テクノロジー、ツール、そしてヘルスケアの課題を概観しています。ストレージや処理の問題、スキル要件よりも先に、最初の課題として挙げられているのは何だと思いますか。プライバシーとセキュリティです。 誰がこうした機密情報にアクセスしているかは極めて重要ですが、それを管理するのは決して容易ではありません。現場では、UT Health AustinとUniversity of Texas at AustinのCIOであるAaron MiriがInfo Risk Todayのインタビューで説明しているように、IT部門は強固なIAMソリューションを導入しなければなりません。しかし、彼らのもう一つの課題は、リスクの重大性の尺度でさらに一段上にあります。生体医療機器をどう守るかです。 No Limit Secuは第316回をこのテーマに充てました。病院の生命維持に関わる機器が、保守されていないOSのまま、フラットなネットワークに接続されていると知るのは、なんと恐ろしいことでしょう。これにどう対処すればよいのでしょうか。新たな警鐘を待っているのでしょうか。

答えるのは難しいところです。私は深呼吸をして、自分にできることに立ち返ります。どうすれば健康でいられるのか。きっと私のスマートフォンが助けてくれるはずです。それこそがHarvard Business Reviewの問いです。「ヘルスアプリは本当に私たちを健康にするのか」。この記事は、消費者がmHealthを導入・利用することで実際に行動に具体的な変化が生まれ、それが結果として具体的なヘルスケアの成果に表れ得るという科学的なエビデンスを示しています。その直後、このレビューは、保険会社がこうしたデータを絶好の機会としてどう扱い得るかという問いを投げかけています…

Play ストアで「health」を検索。1,000件を超える結果の一覧を前に、一つを選ぶことができません。皆さんはどのmHealthを使っていますか。ぜひ教えてください。参考になるかもしれません。それまでの間、皆さんにただ一つのことを願います。ご健康を心よりお祈りしています。

プライバシーと政治

政府対サイバー犯罪、規制当局のやるべきことは多い

Biden大統領はサイバーセキュリティに関する大統領令に署名しました。これは連邦政府と取引するITサービスプロバイダーに影響と期限をもたらすものです。これを受けて、下院国土安全保障委員会の筆頭委員であるJohn Katko（R-NY）は、国土安全保障省のサイバー部門の予算を2022会計年度に25%増額し、約25億ドルとする予算案を提出したと報じられています。

大西洋の向こうでは、英国政府が、スマートデバイスの購入者が購入前に、製品が重要なセキュリティアップデートでどのくらいの期間サポートされるかを知ることができるようにする新たな法律を計画しています。計画中のSecure By Design法の対象に最近加えられた製品がスマートフォンです。 そして法律といえば、国際的なbitcoin取引のもう一つの例があります。ある訴訟により、Onecoin詐欺の「Cryptoqueen」が130億ドル相当の230k BTCを保有していることが明らかになりました。ポンジスキームとオフショア企業、これはハリウッド映画の気の利いたアイデアになりそうです....さて、シャーロック、この犯罪で得をするのは誰でしょう（Finance Feeds）

これが好き

テレビで Netflixで新シーズンが公開されました：Love Death + Robots。SFファンならぜひ。このシリーズは短編集で、中には特に心を打つ作品もあります。

ソファで（またはお好きな場所で） 誰もが膨大な量の情報を素早く記憶できるようになるという考えは魅力的ですが、それは本当でしょうか。Moonwalking with Einsteinでは、サイエンスライターのJoshua Foerが、記憶の仕組みと、なぜ一部の人々が驚くべき記憶力を持っているように見えるのかに関心を抱きます。

ラジオで Black Keysで原点回帰：Delta Kreamは、この有名なアメリカのバンドが若き日のアイドルたちをよみがえらせる、ブルースをめぐる心地よい旅です。

お問い合わせ

ご質問、コメント、フィードバックがあれば、ぜひメールでお寄せください。皆さんからのご連絡をお待ちしています。 このニュースレターが役に立ったと思ったら、遠慮なくシェアと購読をお願いします。

お元気で。 Anne