Posts

PALLET X

「2019年03月号」企業向けの仮想通貨ウォレットPALLET Xが日本登場!増加するIoTデバイスへの脅威も徹底分析!

ホームページ
ブログ
ツイッター
profile

【情報】 最新Web脆弱性トレンドレポートのEDB-Report(5月)がリリースされました。

ペンタセキュリティのR&Dセンターのデータセキュリティチームの
専門性と経験による情報解析、EDB-Report 5月号をリリース

5月の最新Web脆弱性トレンド情報

2018年5月に公開されたExploit‐DBの脆弱性報告件数は、95件でした。そして、最も多くの脆弱性が公開された攻撃はSQLインジェクション(SQL Injection)です。特に、EasyService Billing, MySQL BlobUploaderから各5個の脆弱性が公開されました。ここで、注目すべき脆弱性は、”EasyService Billing”と”MySQL Blob Uploader”脆弱性です。当脆弱性は、SQLインジェクション(SQL Injection)とクロスサイトスクリプティング(Cross‐Site Scripting)が複合的に修行されるMultiple Vulnerabilitiesです。当脆弱性を予防するためには最新パッチやセキュアコーディングがお薦めです。しかし、完璧なセキュアコーディングが不可能なため、持続的なセキュリティのためにはウェブアプリケーションファイアウォールを活用した深層防御(Defense indepth)の具現を考慮しなければなりません。

最新Web脆弱性トレンドレポート:EDB-Report

ペンタセキュリティが毎月(年12回)提供しているExploit-DBのWeb脆弱性項目をもとにしたトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性について、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

EDB-Reportは、各脆弱性を対象とし危険度および影響度を分析し、特定のWebアプリケーションにおけるDependency(依存度)まで提示しているため、専門的知識を持っていない一般のお客様でも脆弱性のトレンド情報を理解することができます。


profile

ペンタセキュリティ, 韓国仮想通貨取引所に論理演算分析エンジン搭載WAFの「WAPPLES(ワッフル)」を提供

ペンタセキュリティ,

韓国仮想通貨取引所に論理演算分析エンジン搭載WAFの「WAPPLES(ワッフル)」を提供

仮想通貨取引所をターゲットとするサイバー攻撃急増に伴い、Webセキュリティシステム構築が不可欠に

データ暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が11月14日からブロックチェーンプラットフォームの専門企業である「CERTON」が運営する仮想通貨取引所の「コインリンク(www.coinlink.co.kr)」に、自社開発の論理演算分析エンジンを搭載したWebアプリケーションファイアウォールの「WAPPLES(ワッフル)」を提供することを明らかにしました。

 

現在運営されている多数の仮想通貨取引所は、その規模が小さい場合が多く、セキュリティシステムがまだ構築されていないため、セキュリティが確保できていないところが多いです。しかし、世界的に仮想通貨市場がすでに急成長し、拡大の一路にあり、一日あたり取引される金額が約1000億円となるなど、市場拡大により、これをターゲットにするサイバー攻撃が国内外を問わず急速に増加しています。

 

日本では、2017年上半期に個人の仮想通貨口座をハッキングした事件が33件発生し、これによって、約7650万円の仮想通貨が盗まれた事件がありました。(※1) これだけではなく、韓国最大規模の仮想通貨取引所である「Bithumb」では、職員のPCがハッキングされ、約3万人分の顧客情報が流出される事件(※2)があり、香港の仮想通貨取引所である「BITFINEX」もハッキングで約6500万ドルのビットコインを盗まれた事件がありました。(※3) このように、仮想通貨取引所をターゲットにしたサイバー攻撃の増加につれ、多数の仮想貨幣取引所はセキュリティの重要性を認知し、本格的にセキュリティシステムを構築し始めました。

 

「コインリンク」も、このような個人情報流出やハッキング脅威などの様々なサイバー攻撃に対応するため、セキュリティ専門企業との業務協約を締結し、ユーザーが安全に利用できる仮想通貨取引所の構築に勤しむ中、ペンタセキュリティの「WAPPLES(ワッフル)」をコインリンクに導入することで、高レベルのセキュリティシステムを構築できるようになりました。

 

今回「コインリンク」に導入されたペンタセキュリティの「WAPPLES(ワッフル)」は、国内およびアジア∙パシフィック地域1位のWebアプリケーションファイアウォールで、独自の技術力で開発された論理演算分析エンジン(COCEP)を搭載しており、まだ知られていない攻撃まで遮断し、誤検知率を低くしたのが特長です。そして、総26個のセキュリティポリシーがサイバー攻撃自体の特性を把握して対応するため、誤検知がほとんど発生しないのも特長で、1日約数千億円まで取引される仮想通貨取引所には最も適合した製品です。

 

ペンタセキュリティCSOのDSKimは、「国内だけでなく、全世界的に多数の仮想貨幣取引所がハッキングのターゲットになる今、さらに高レベルのセキュリティを持たなければならない。セキュリティシステム構築に投資しない仮想通貨取引所は、長期的な観点から見ると淘汰されるしかない。」とし、「ペンタセキュリティの金融機関の受注レファレンスを基盤にして、Webセキュリティとデータ暗号を適用すると、仮想貨幣取引所を利用する顧客らが情報漏洩や資産損失に対する憂慮なく、安全な取引できる環境を確保することができる。」と言及しました。

 

※1出典:毎日新聞、”仮想通貨不正アクセス送金33伴 被害7650万円 1~7月”、2017年09月07日
※2出典:Business Insider、”世界最大規模のビットコイン取引所がハッキングに、韓国Bithumb”、2017年07月06日
※3出典:日本経済新聞、”ハッキング、香港でビットコイン65億円盗難”、2016年08月03日

WAPPLES(ワップル)

WAPPLESは, 世界各国170,000のWebサイトを保護している信頼のソリューションであり、ペンタセキュリティが独自開発し4ヶ国特許を取得した検知エンジンを搭載し、セキュリティ専門家に頼らなくても使える知能型WAFです。

 


 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

profile

ペンタセキュリティ、WebアプリケーションファイアウォールWAPPLESとの相互運用のため、HPE Securityとパートナーシップ

 

WebアプリケーションファイアウォールWAPPLESとの相互運用のため、

HPE Securityとパートナーシップ

 

HPE Securityソリューションの需要が高いアジア・パシフィック地域のIT市場攻略本格化


データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は、02月06日Hewlett Packard Enterprise が提供するパートナープログラム、HPE Security Technology Alliances Partner(以下TAP)登録により、ペンタセキュリティのWebアプリケーションファイアフォールのWAPPLES(ワップル)とHPESecurity ArcSightとの相互運用が可能になることを明らかにしました。

 

最近、アジア・パシフィック地域の多くのArcSightの顧客からペンタセキュリティのWebアプリケーションファイアフォールのWAPPLESを使用し、両製品を統合し、活用しようとするニーズが高まっていました。これにより、両製品の相互運用のため、HPE Securityとのパートナーシップを進めることになりました。HPE Securityのパートナー制度であるTAPは、HPEセキュリティソリューションやパートナー製品間の相互運用性に基盤した標準をサポートします。パートナーシップを通じて、脅威検知および対応速度を高め、精巧な脅威の範囲や程度評価機能を向上させることで、顧客にはより優秀なセキュリティを安定的に提供すことができます。

 

これに対して、韓国HPEソフトウェア事業部を統括するイ・テヨン専務は、「パートナー社に必要なリソースを提供し、相互運用可能な認証された共同ソリューションを提供することで、HPE TAPプログラムは、顧客がサイバー犯罪の主な攻撃方法として、ますます高度化されるアプリケーションのセキュリティ脅威を迅速に検知して対応できるようにサポートする。」と言及しました。

 

加えて、WebアプリケーションファイアウォールのWAPPLESは、論理演算検知エンジン(COCEP™)を活用して、シグネチャのアップデートがなくても攻撃対応ができ、他社製品に比べて低い誤探率が特長で、2015アジア∙パシフィック地域のマーケットシェア1位に選ばれました。また、ペンタセキュリティは、2016アジア∙パシフィック地域最高のセキュリティベンダーとして選定され、ブランドや製品に対してグローバル競争力を認められており、HPE Securityとのパートナーシップを通じて、一層高いシナジーを得ることを期待しています。

 

ペンタセキュリティのCTOのDSKimは、「HPE Arcsightプラットフォームとの技術連携を通じて、アジア・パシフィック地域の市場支配力をより強化する計画だ。」とし、「アジア・パシフィック地域だけではなく、世界的にペンタセキュリティのソリューションの相互運用性を高めるため、持続的にグローバル企業とのパートナーシップを進んでいく予定だ。」と言及しました。

 

HPESecurityのセキュリティ情報・イベント管理(SIEM)(Security Information&Event Management)プラットフォームである「HPE ArcSight」は、多様なセキュリティ機器からのさまざまなログを収集・保存する機能を保持しています。同ソリューションは、システムログ(syslog)、DB、ファイルなどのログ形式に関係なく、データを収集・保存でき、高度の相関関係解析機能を含んでいて、グローバル市場、特にアジア∙パシフィック市場で需要が高まっています。

 

WAPPLES(ワップル)

WAPPLESは, 世界各国170,000のWebサイトを保護している信頼のソリューションであり、ペンタセキュリティが独自開発し4ヶ国特許を取得した検知エンジンを搭載し、セキュリティ専門家に頼らなくても使える知能型WAFです。


 


本件に関するお問い合わせ

ペンタセキュリティシステムズ株式会社

E-mail : japan@pentasecurity.com

TEL : 03-5361-8201

 

profile

【情報】最新Web脆弱性トレンドレポートのEDB-Report(9月)がリリースされました。

 

ペンタセキュリティのR&Dセンターのデータセキュリティチームの
専門性と経験による情報解析、EDB-Report 9月号をリリース

最新のWeb脆弱性のトレンドを解りやすく
>>>>>Exploit-DBのWeb脆弱性を解析した毎月のトレンドレポート

EDB-Reportは、ペンタセキュリティが提供している3種類のセキュリティ情報レポートのうち、毎月発行されるトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性の項目をもとにした解析を提供し、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

EDB-Reportは、各脆弱性を対象とし危険度および影響度を分析し、特定のWebアプリケーションにおけるDependency(依存度)まで提示しているため、専門的知識を持っていない一般のお客様でも脆弱性のトレンド情報を理解することができます。

 

最新Web脆弱性トレンドレポート:EDB-Report

ペンタセキュリティが毎月(年12回)提供しているExploit-DBのWeb脆弱性項目をもとにしたトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性について、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

hack-813290_1280

【コラム】 ハッカーの6つの行動パターン

Key Conductorsコラム

このコラムは、ペンタセキュリティからIT情報サイトであるキーマンズネットへ寄稿しているコラムです。
主に情報セキュリティ・データ暗号化・Webセキュリティに関するものを解説いたします。

「ハッカー」は、何のためにWebサイトをハッキングしているのでしょうか。

その昔、インターネットが普及していなかった頃のハッカーは、自己顕示欲が強く自分の能力を見せつけるためにWebサイトをハッキングしていたものでした。しかし、社会がWebでつながっていると言っても過言ではない現代のハッキングは、より巧妙に行われ、その被害も膨大になってきています。

技術の進歩により我々の日常生活は便利かつ多様な側面を持つようになりましたが、その技術進歩には裏面も存在します。例えば、ネットバンキングは過去15年の間、関連技術を基盤として進化し、一度のクリックで金融取引ができる便利な世の中を作り上げました。しかし、この利便性の裏には個人情報および銀行取引情報といった重要な情報がネットを介し流れることになります。その重要な情報を欲しがっているのが「ハッカー」です。

ハッカーが欲しがる情報と、その情報を手に入れるための行動には幾つかのパターンがあるのです。今回はそれらのパターンを紹介します。

1.脆弱性スキャン

脆弱性スキャンはその名前からも分かる通り、システムの内部の脆弱性を探るために用いられる手法です。自社システムのセキュリティホールを洗い出し弱い部分を改善、自社のセキュリティを強固にしていくための行為でもあります。しかし、ハッカーらは同手法を用いて、標的のシステムに侵入するための脆弱性を見つけ出すのです。
ハッカーにとっての脆弱性スキャンは、本格的なハッキングを行うための情報収集およびシステムの脆弱性を下調べする行為であり、次の攻撃を行うためのゲートウェイのようなものなのです。

2.サーバー運用妨害

サーバー運用妨害は、Webサイトへのアクセスをブロックし、通常のサービスができないように妨害することです。サーバー運用妨害攻撃で最も知られているのは、分散型サービス拒否攻撃(Distributed Denial of Service attack:DDoS)が挙げられます。
DDoS攻撃を行うためにハッカーが「ボットネット(botnet)」と呼ばれるゾンビコンピュータのネットワークを介しPC端末を制御下に置き、そのボットネットがまるでゾンビ集団のように継続的にWebサイトに負荷をかけることで、サービスをダウンさせます。

3.金銭的損害

ハッカーにより行われる攻撃の中で被害側としては大打撃をうけるパターンが、この金銭的損害です。前述のようにネットの普及によりオンライン化された各種サービスは利便性をもたらしましたが、金銭的被害を及ぼすためのハッカーの狙いにもなります。

4.個人情報漏洩

前述の金銭的損害とともにこの個人情報漏洩はネット世界の課題でもあり、社会全般の問題としても議論されています。個人情報を手に入れたハッカーは、別人へのなりすまし、管理者権限を取得し更なる攻撃を仕掛けたり、奪取した情報を売り捌いたりしています。この前のアシュレイ・マディソンのハッキング事件は記憶に新しいかと思いますが、不倫サイトであるアシュレイ・マディソンの会員情報をWeb上に露出させ、非常に大きな波紋と混乱を引き起こしました。

5.Webサイト改ざん

Webサイトに対し、悪意を持って別の内容で置き換えることをWebサイト改ざんといいます。攻撃後はWebサイトを確認すれば、改ざんされた箇所がすぐ把握できるため、ニュースと同時に人々から「興味を持ってもらえる」攻撃として非常に効果の高い手法と言えます。
政治的な理念により選挙などで有力な候補者のWebサイトを改ざんするという事例が多発しています。この手のハッカーは、自己顕示欲が強い傾向があります。昨今アメリカでは、このようなハッキング行為に対し、処罰するというよりは「倫理的なハッカー」になってもらうよう、若者への「教育」を奨励している傾向にあります。

6.任意コード実行

システム上意図していなかったコードが実行されれば、それは要注意です。ハッカーは、悪意のあるコードを挿入し、コマンドを実行することで標的のシステムを制御し出します。ハッカーは、任意のコードを実行するために前述の1.脆弱性スキャンのように下調べを行い、そのシステムにて最もセキュリティ的に弱い部分を狙い打ちします。次の攻撃のための第一歩になるわけです。
このように、時代の流れと技術の進歩とともに、世の中の必要悪として「ハッカー」と「ハッキング」という言葉は誕生しました。サイバー上の戦いは、非常に恐ろしいものです。しかしながら、このような時代になったからといって、怯えるばかりでは何も解決できません。自社システムの脆弱性を洗い出し、その弱いところを補完できるセキュリティソリューションを検討することが重要です。
このようなコラムを介し、微力ながらもセキュリティにおいての知識や心構えなどを共有できればと思います。Webサイトを保護し不正アクセスを遮断するためには、その専用のセキュリティ対策としてWebアプリケーションファイアウォール(WAF)の導入をオススメします。もし宜しければ下記リンクもご参照下さい。

キーマンズネットに寄稿しているペンタセキュリティの他のコラムは、こちらより閲覧できます。

profile

【情報】最新Web脆弱性トレンドレポートのEDB-Report(8月)がリリースされました。

 

ペンタセキュリティのR&Dセンターのデータセキュリティチームの
専門性と経験による情報解析、EDB-Report 8月号をリリース

最新のWeb脆弱性のトレンドを解りやすく
>>>>>Exploit-DBのWeb脆弱性を解析した毎月のトレンドレポート

EDB-Reportは、ペンタセキュリティが提供している3種類のセキュリティ情報レポートのうち、毎月発行されるトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性の項目をもとにした解析を提供し、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

EDB-Reportは、各脆弱性を対象とし危険度および影響度を分析し、特定のWebアプリケーションにおけるDependency(依存度)まで提示しているため、専門的知識を持っていない一般のお客様でも脆弱性のトレンド情報を理解することができます。

 

最新Web脆弱性トレンドレポート:EDB-Report

ペンタセキュリティが毎月(年12回)提供しているExploit-DBのWeb脆弱性項目をもとにしたトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性について、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

 

profile

【情報】最新Web脆弱性トレンドレポートのEDB-Report(7月)がリリースされました。

 

ペンタセキュリティのR&Dセンターのデータセキュリティチームの
専門性と経験による情報解析、EDB-Report 7月号をリリース

最新のWeb脆弱性のトレンドを解りやすく
>>>>>Exploit-DBのWeb脆弱性を解析した毎月のトレンドレポート

EDB-Reportは、ペンタセキュリティが提供している3種類のセキュリティ情報レポートのうち、毎月発行されるトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性の項目をもとにした解析を提供し、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

EDB-Reportは、各脆弱性を対象とし危険度および影響度を分析し、特定のWebアプリケーションにおけるDependency(依存度)まで提示しているため、専門的知識を持っていない一般のお客様でも脆弱性のトレンド情報を理解することができます。

 

 

最新Web脆弱性トレンドレポート:EDB-Report

ペンタセキュリティが毎月(年12回)提供しているExploit-DBのWeb脆弱性項目をもとにしたトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性について、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

【情報】最新Web脆弱性トレンドレポートのEDB-Report(6月)がリリースされました。

ペンタセキュリティのR&Dセンターのデータセキュリティチームの
専門性と経験による情報解析、EDB-Report 6月号をリリース

最新のWeb脆弱性のトレンドを解りやすく
>>>>>Exploit-DBのWeb脆弱性を解析した毎月のトレンドレポート

EDB-Reportは、ペンタセキュリティが提供している3種類のセキュリティ情報レポートのうち、毎月発行されるトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性の項目をもとにした解析を提供し、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

EDB-Reportは、各脆弱性を対象とし危険度および影響度を分析し、特定のWebアプリケーションにおけるDependency(依存度)まで提示しているため、専門的知識を持っていない一般のお客様でも脆弱性のトレンド情報を理解することができます。

 

最新Web脆弱性トレンドレポート:EDB-Report

ペンタセキュリティが毎月(年12回)提供しているExploit-DBのWeb脆弱性項目をもとにしたトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関連のオプーン情報であるExploit-DBより公開されているWeb脆弱性について、ペンタセキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活かし作成されています。

 

ペンタセキュリティ、 2015年下半期の「Web脅威動向解析報告書」公開

 

ペンタセキュリティ、 2015年下半期の「Web脅威動向解析報告書」公開

脆弱性情報を通じたWebサイト攻撃および管理者権限取得をターゲットにした攻撃急増
暗号プラットフォームとWebセキュリティ企業のペンタセキュリティシステムズ株式会社 (日本法人代表取締役社長 陳貞喜、http://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が2015年下半期に収集された情報を基にした「Web脅威動向分析報告書(Web Application Threat Report)」を公開しました。2010年から年2回(上半期/下半期)に公開している「Web脅威動向分析報告書」は、探知ログに対する統計情報の提供に同意した約1,000台のWAPPLES(ワップル)から収集された統計情報を分析した結果を基にして作成されるもので、実際のWeb環境で収集された情報を基にしています。本レポートにより、ペンタセキュリティのWebアプリケーションファイアウォールであるWAPPLESを利用している顧客は効果的にセキュリティ脅威トレンドを把握して攻撃に迅速に備えることができます。

2015年下半期のWeb脅威動向では、脆弱性スキャンを目的にした攻撃が最も多く発生し、攻撃危険度が「深刻」と現れた攻撃が多かったです。特に脆弱性関連情報を通じたWebサイト攻撃や管理者の権限取得をターゲットにした攻撃が頻繁に現れました。このような攻撃は、同年上半期にも約4億万件の攻撃探知件数を記録して1位を占めた攻撃類型です。

また、OWASP(Open Web Application Security Project) Top 10 attacksを基準としてはA1に該当するセキュリティ危険であるInjection攻撃が31%を占めながら最も高い順位を記録しました。当攻撃は、比較的に簡単に攻撃を試みることができるが、攻撃の難易度に比べては技術的な影響度が深刻であり、必ず対応が求められます。Injection攻撃に次いで26%を占めて、2位を記録した攻撃はSecurity Misconfiguration(不適切なセキュリティの設定)で、当攻撃はシステムに対する権限を攻撃者が持つことが可能なので、システム全体がハッキングされる危険がある攻撃です。

今回の下半期Web脅威動向分析報告書からはこのような攻撃動向情報とともにWAPPLESが探知した‘Black List Top 30’情報も一緒に提供されます。

ペンタセキュリティの最高技術責任者であるDS Kimは、「このようなWebサイト攻撃および管理者権限取得をターゲットにした攻撃が成功する場合、Webサイトの脆弱性が露出されることと共に機密情報が流出されたりWebサーバが動作不能状態になる可能性がある。」とし、「各種の攻撃を予防するため、サーバおよびセキュリティ担当者は強力なアクセス制御を通じて、権限管理レベルを管理し、事前にWebアプリケーションファイアウォールソリューションを構築して、Web攻撃脅に備えなければならない。」と述べました。

ICS-Report

 

Webアプリケーション脅威解析報告書:ICS-Report
ペンタセキュリティが年2回(上半期/下半期)発行されるトレンドレポートです。本レポートより全世界のWAPPLESから収集された検知ログの統計情報をもとに解析された実運用上の脅威の情報を確認することができます。

 

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201