Cloud – tonde.org

楽天、ログイン通知メールの送信対象を全会員に。楽天G、自社サービスを自社所有のOne Cloudへ移管

楽天では楽天のサービスにログインした際に、ログイン日時等の情報をメールで知らせるログインアラート機能を全員に提供する方針だという。ヘルプ・問い合わせトップに記載された内容によると2023年1月以降、すべての楽天会員を対象に段階的に適用を開始するとしている（楽天ヘルプ・問い合わせ）。

この新しいログインアラート機能(ベータ版)では、普段利用していない環境から天IDを使ったログインが確認された場合、登録のメールアドレスにログイン通知メールを送信するもの。内容としてはログイン日時、IPアドレス、ログインの場所:国名（英表記）となるという。なお、楽天会員情報の管理画面からの設定可能なログインアラート機能に関しては2023年1月中旬頃に廃止される予定であるとしている。

これとは別の話題となるが、楽天関係なのでまとめて。日経クロステックの記事によれば、楽天グループが自社所有環境のプライベートクラウド「One Cloud」を拡充していく方針であるという。同社ではブリッククラウドで稼働させているシステムが多数あるが、今後は原則としてOne Cloudにまとめていくとしている。グループ全社の集約を進めてコスト効率を高めるほか、IT基盤のノウハウを蓄積し安定稼働やセキュリティー強化につなげるとしている（日経クロステック）。

すべて読む | セキュリティセクション | セキュリティ | クラウド |

LastPass にまた不正アクセス、今回は顧客情報の一部にもアクセスされた可能性

headless 曰く、

LastPass は 11 月 30 日、傘下の GoTo と共用しているサードパーティのクラウドストレージが不正アクセスを受けたと発表した (The LastPass Blog の記事、 Neowin の記事、 The Register の記事、 HackRead の記事)。

LastPass は 8 月にも開発環境が不正アクセスの被害にあっているが、開発環境に顧客のデータは含まれず、プロダクション環境とも物理的に分離しているので顧客のデータは安全だと説明していた。今回の不正アクセスは攻撃者が 8 月に入手した情報を用いており、顧客情報の特定の部分へアクセス可能だったとみられるという。ただし、LastPass では顧客のパスワード保管庫のマスターパスワードを保持していないため、パスワードは安全だとの説明を繰り返している。LastPass はクラウドストレージサービスでの通常とは異なる活動を検知後すぐにサイバーセキュリティ企業 Mandiant と協力して調査を開始し、捜査機関に通報したとのことだ。

すべて読む | ITセクション | セキュリティ | クラウド |

大手ECで使用中の入力フォームプログラムが改ざん、3800件以上のクレカ情報などが流出

東京港区のIT企業、ショーケースは25日、同社が提供する電子商取引（EC）サイト向け入力フォームのプログラムが外部から改ざんされ、少なくとも3800件以上のクレジットカード番号やセキュリティーコードが流出した可能性があることが分かった。同社の入力フォームはエービーシー・マートなど複数の企業に導入されているとのこと（ショーケースリリース[PDF]、NHK、共同通信）。

pongchang 曰く、

「エービーシー・マート」のサイトで、ことし7月24日から26日までに入力フォームを使った利用者のおよそ2300件のクレジットカードの番号やセキュリティコードなどが流失したおそれがあるとされていた。

入力フォームを提供していたショーケースの報道発表(2022年10月25日)によると、「2022年7月26日顧客から、「フォームアシスト」のソースコードに不審な記述がある旨の指摘を受け、直ちに、当社において運営するサービスのソースコードを調査いたしました。調査の結果、冒頭に記載しましたとおり、対象サービスにおいてシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ソースコードの書き換えがなされ、一部のお取引先様のウェブサイト等において入力された情報が外部へ流出した可能性があることが判明いたしました。」としている。

ABCマートも「既に弊社ではショーケース社のサービスの切り離しを行っております。また、第三者調査機関によるフォレンジック調査を実施し、当該サービス以外の理由による個人情報の漏えいが無いことおよび本サイトのプログラム改ざん、サイト実行環境への不正アクセスが存在しないことを確認いたしました。上記を踏まえ、本サイトでのクレジットカード決済機能は、本日2022年10月25日再開予定となりますが正式な日程につきましては、あらためまして本サイトにてご案内いたします。」としている。

NHKの報道では、「ユーキャン・富士フイルムイメージングシステムズ・出光クレジット」もこのショーケース社のフォームアシストの影響を受けたとしている。

ウクライナ政府のデータはAWSで保全されていた。4か月で1万TB超

実質的な戦争状態にあるロシアとウクライナ。そのロシアの攻撃直後から、ウクライナ政府が国家の活動継続に必要となるデータのクラウド移行を進めていたことが判明した。AWSが10日に公開したブログに経緯等が紹介されている（AWSのブログ、ITmedia）。

それによると、攻撃が開始された2月24日から米AWSと協力してデータの移転を始めていたという。6月10日までに移転されたデータは27省庁、18大学などのデータ計10PB（1万TB）以上に及ぶという。今後も増加する予定であるとしている。ウクライナでは政府などの所有する重要なデータは、国内サーバーに保存するよう法律で定めていた。しかし、ロシア側の攻撃が始まる約1週間ほど前に法律を改正。国家のデータ保全に向けて、クラウド移行を可能にしていたとしている。

すべて読む | ITセクション | 軍事 | セキュリティ | クラウド | 政治 | 政府 |

富士通の政府認定クラウドの不正アクセス問題、メール本文なども盗まれていた？

5月に富士通クラウドテクノロジーズの提供するCloudサービス「FJcloud-V」および「ニフクラ」において、不正アクセスがあったことが報告されていた。発表当時はサービス提供基盤で利用する一部のロードバランサ―に見つかった脆弱性が原因とされていたが、5月31日に以前の報告とは異なる問題が起きていたことが発表された（ニフクラリリース、ITmedia）。

新たに発見された問題は、脆弱性の見つかっていたロードバランサーを、復号後の通信パケットが通過していたことが確認されたという。復号された状態でロードバランサーを通過していたデータは、メール配信サービス、お客様からのお問合せやお申込みの各種受付システム、契約管理システムなどが含まれており、データの内容には、メール本文・メールアドレス・会社名・担当者名などが含まれている可能性があるとしている。

AWS Lambdaにおけるセキュリティリスクと対策

AWS Lambdaにおけるセキュリティリスクと対策
Transcript ɹ"84�-BNCEBʹ͓͚Δ� ɹɹɹɹɹɹηΩϡϦςΟϦεΫͱରࡦ גࣜձࣾ'MBUU�4FDVSJUZ� ৿Ԭ�༏ଠ��:VUB�.PSJPLB� !TDHBKHF�� 4FDVSJUZ�+"84��4FTTJPO�� ◦ ࢯ໊� ◦ ৿Ԭ�༏ଠ��:VUB�.PSJPLB� ◦ 4/4� ◦ NPSJPLB�� !TDHBKHF�� ◦ ॴଐ� ◦ גࣜձࣾ'MBUU�4FDVSJUZ� ◦ ϓϩϑΣογϣφϧαʔϏεࣄۀ෦� ◦ ৘ใՊֶઐ໳ֶߍ� ◦ ৘ใηΩϡϦςΟֶՊ ࣗݾ঺հ � �TFDKBXT��ɹ"84�-BNCEBʹ͓͚ΔηΩϡ...

富士通の政府認定クラウド”に不正アクセスが発生。認証情報など盗まれた可能性

政府のクラウドサービス認定制度に登録されている富士通クラウドサービスに、不正アクセスがあったことが報じられている。パブリッククラウド「ニフクラ」「FJcloud-V」を運営する富士通クラウドテクノロジーズが16日、不正アクセスを受けたことを発表した。ロードバランサーの脆弱性を突かれ、一部ユーザーのデータや認証情報を盗まれた可能性があるとしている（富士通クラウドテクノロジーズリリース、ITmedia）。

「パブリッククラウドのアカウント数多すぎ」で起こる混乱をどう防ぐ？　DeNAがフルクラウド化で直面した悩みと対策

「パブリッククラウドのアカウント数多すぎ」で起こる混乱をどう防ぐ？　DeNAがフルクラウド化で直面した悩みと対策
「パブリッククラウドのアカウント数多すぎ」で起こる混乱をどう防ぐ？　DeNAがフルクラウド化で直面した悩みと対策（1/3 ページ）提供しているサービス基盤などのフルクラウド化を実現したDeNA。一方で、パブリッククラウドのアカウント数が膨らみ、管理が煩雑になる事態にも直面した。同社の専門チームはこの危機をど...

オフライン時に検知率が大幅に低下する Microsoft Defender

Microsoft Defender は近年大幅に性能が向上しているが、オフライン時には検知率が大幅に低下するようだ (AV-Comparatives の記事、 Neowin の記事、 Windows Central の記事)。

AV-Comparatives の 3 月分テストで Microsoft Defender は最高評価の Advanced+ を得ているが、オフラインでの検知率は 60.3 % にとどまる。これはテスト対象となった 18 製品中 16 位の検知率であり、Microsoft Defender よりも低いのは Panda Free Antivirus (40.6 %) と Trend Micro Internet Security (36.1 %)のみ。逆にオンラインでの検知率は98.8%で、NortonLifeLock Norton 360 Deluxe (99.6 %) と Avast Free (99.5 %)、AVG Free (99.5 %)、McAfee Total Protection (99.3 %) に次ぐ 5 番目の検知率となっている。オンラインに比べてオフラインでの検知率が大幅に低いのはクラウド依存が強いことを示し、AV-Compratives はクラウドに接続できない場合に大幅に検知率が低下することをベンダーがユーザーに警告すべきだと述べている。

AV-Comparatives のトータルの評価は検知率ではなく、保護率と誤検知数により決定する。検知率はマルウェアを実行前に検知した割合を示すのに対し、保護率は最終的にシステムの変更を防いだ割合を示す。Microsoft Defender のオンラインでの保護率は 99.96 % で 11 位だが、100 % で 1 位タイの NortonLifeLock と Panda、98.61 % で最下位の Trend Micro を除き、15 製品が 99 % 台後半で並んでおり、大きな差はみられない。なお、Panda は誤検知数が 96 と多く、Trend Micro とともに最低評価の「Tested」となった。

“3大クラウド”での設定ミスランキング、トレンドマイクロが発表　中にはミス率98％のサービスも

“3大クラウド”での設定ミスランキング、トレンドマイクロが発表　中にはミス率98％のサービスも
いわゆる“3大クラウド”（AWS、Azure、GCP）が提供するサービスのうち、設定ミスが起きやすいのは？──トレンドマイクロがこんな調査結果を発表。設定ミスが起きやすい機能などを、クラウドサービスごとに割り出した。いわゆる“3大クラウド”（AWS、Azure、GCP）が提供するサービスのうち、設定ミスが起きやすいのは？──ト...

文科省が基幹システムをフルクラウド化、中央省庁で初　AzureとMicrosoft 365活用

文科省が基幹システムをフルクラウド化、中央省庁で初　AzureとMicrosoft 365活用
文科省が、基幹システムを「Microsoft Azure」と「Microsoft 365」でフルクラウド化し、1月から運用している。日本の中央省庁が基幹システムをフルクラウド化するのは初という。文部科学省は3月22日、基幹システム「文部科学省行政情報システム」をクラウドサービス「Microsoft Azure」と「Microsoft 365」を活用してフ...

サーバーレスのセキュリティリスク – AWS Lambdaにおける脆弱性攻撃と対策 – Flatt Security Blog

サーバーレスのセキュリティリスク - AWS Lambdaにおける脆弱性攻撃と対策 - Flatt Security Blog
はじめにこんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。本稿では、AWS Lambda で起こりうる脆弱性攻撃やリスク、セキュリティ対策を解説し、サーバーレスにおけるセキュリティリスクについて紹介します。はじめに AWS Lambda についてサーバーレスにおけるセキュリティリスク ...

これではデジタル植民地、デジタル庁は国民データを米国企業に委ねるのか

これではデジタル植民地、デジタル庁は国民データを米国企業に委ねるのか
「霞が関が米国のパブリッククラウドを使うのは駄目だが民間企業ならよいのでは、とおっしゃいますが、当の霞が関が国民のデータを米国クラウドに置こうとしています」つい最近、ある仕事をしていて、米国企業が運営するパプリッククラウドサービスに日本企業のデータを置くことの是非を巡って情報セキュリティーの専門...

クラウドを脅威から守る「Microsoft Defender for Cloud」、AWSに続いてGoogle Cloudもサポート。マルチクラウド対応を強化

クラウドを脅威から守る「Microsoft Defender for Cloud」、AWSに続いてGoogle Cloudもサポート。マルチクラウド対応を強化
クラウドを脅威から守る「Microsoft Defender for Cloud」、AWSに続いてGoogle Cloudもサポート。マルチクラウド対応を強化マイクロソフトは、ユーザーが利用しているクラウドのリソースを脅威から保護し、セキュリティの状況などを把握する「Microsoft Defender for Cloud」がGoogle Cloudのサポートを開始したことを...

Lambdaの落とし穴 – 脆弱なライブラリによる危険性とセキュリティ対策 – Flatt Security Blog

Lambdaの落とし穴 - 脆弱なライブラリによる危険性とセキュリティ対策 - Flatt Security Blog
はじめにこんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。本稿では、AWS Lambda で使用するサードパーティーライブラリに脆弱性がある場合の危険性やそのセキュリティ対策について紹介します。はじめに AWS Lambda について AWS Lambda Layers について AWS Lambda でセキュリテ...

VMware主要製品に「緊急」の脆弱性　ESXiやWorkstation、Cloud Foundation、NSXも対象

VMware主要製品に「緊急」の脆弱性　ESXiやWorkstation、Cloud Foundation、NSXも対象
Mwareの複数の製品に脆弱性が見つかった。総合して深刻度が「緊急」（Critical）に分類されるため、速やかにアップデートを適用してほしい。

NTTデータなど10社、AWSを活用して構築した金融機関のシステムのFISC安全対策基準対応リファレンスを公開

NTTデータなど10社、AWSを活用して構築した金融機関のシステムのFISC安全対策基準対応リファレンスを公開

政府、外交・防衛など国家機密の管理は国産プライベートクラウドを使用する方針へ

読売新聞の記事によると、政府はネット上で国家機密にあたるデータをやりとりする場合、日本企業のクラウドサービスを採用する方針を固めたとしている。政府はクラウド上で行政データをオンラインで共有する仕組みを進めている（読売新聞）。

日本では政府調達の対象になるクラウドサービスの認定制度「政府情報システムのためのセキュリティ評価制度」（ISMAP）が用意されている。ISMAPに登録されているリスト上では、AWSやGoogle系などを含む国内外の様々なクラウドサービスが提供されているが、重要度の高い国家機密に関しては国内企業系のサービスを使うことにしたという。これには機密情報の海外流出を防ぐとともに、日本企業の技術開発を後押しする目的があるという。

国内クラウドでの利用が想定されているのは、3段階の機密情報のうち、防衛装備や外交交渉の資料を含む最高レベルにあたる「機密性3」や、流出した場合国民の権利を侵害する恐れがある「機密性2」の一部があるという。NTTデータや富士通、NECのほか、新興企業の参画も念頭にある模様。4月にも公募を始め2022年度内に企業を選定、23年度の運用開始を目指すとしている。

【独自】国家機密の管理は国産クラウドで…技術開発を後押し、２３年度の運用目指す（読売新聞オンライン） – Yahoo!ニュース

【独自】国家機密の管理は国産クラウドで…技術開発を後押し、２３年度の運用目指す（読売新聞オンライン） - Yahoo!ニュース
政府は、行政データをオンラインで共有するため整備を進めている「政府クラウド」で、国家機密にあたるデータに限り日本企業のサービスを採用する方針を固めた。機密情報の海外流出を防ぐとともに、米巨大ＩＴ企業に先行された日本企業の技術開発を後押しする。２０２２年度に企業を選定し、２３年度の運用開始を目指す...

東急電鉄ら、乗車客のスマホからBluetooth信号を取得、混雑状況を可視化する実証実験

東急電鉄と阪急電鉄、東京工業大学は11日、乗客のスマートフォンのBluetooth信号を取得し、列車内の混雑状況を可視化する実証実験を1月から実施することを発表した。東京工業大学が開発した「列車内の混雑度解析技術」の精度を検証する目的だそうだ。混雑情報を可視化して乗車前の利用客にリアルタイムで提供することで混雑の分散を図る意図があるらしい（プレスリリース、TECH+）。

このシステムでは、乗車前の客のスマートフォンが発するBluetooth信号を駅に設置した「混雑解析装置」で取得、合わせて顔を識別できない「高速度カメラ」で撮影した混雑状況などのデータを組み合わせ、これらのデータをクラウド上に置かれたAIが混雑状況を解析するとしている。

スマートロックサービス「Qrio」でネットワーク障害。発生から4日が経過

ソニー子会社の「Qrio」が提供するスマートロックサービスで11月27日から障害が発生しているそうだ。このシステムはドアに設置し、モーターでカギを物理的に回して解施錠を行う「Qrio Lock」を用いたサービス。Qrio Lockは登録したスマートフォンを持って近づくと自動的に解錠し、ドアが閉まればオートロックをおこなうスマートロックシステム（Qrioリリース、ITmedia、Qrio Lockの公式動画、Qrio Lockのハンズフリー解錠って実際どういう仕組みで動いてるの？）。

同社ではQrio Lockをインターネット経由やスマートスピーカー経由で遠隔操作するためのユニット「Qrio Hub」をオプションとして提供していている。今回のシステム障害はこの「Qrio Hub」側で起きているという。リリースによればQrio Hubとサーバー間の通信エラーが発生し、Qrio Hubに対してネットからのリモート操作による解施錠とQrio Hubによる解施錠履歴更新ができない状態であるとしている。Qrio Lock単体で使える解施錠機能は従来通り利用できる。同社では調査及び復旧に向けた対応を行なっていくとしている（参考：「Qrio Smart Lock」は「Qrio Hub」を以て完成する!）。

MedPeer SREチームによるAWSアカウント運用効率化 / Improving efficiency of AWS account operations by MedPeer SRE team

MedPeer SREチームによるAWSアカウント運用効率化 / Improving efficiency of AWS account operations by MedPeer SRE team
Transcript SREチームによる AWSアカウント運用効率化メドピア株式会社侘美怜自己紹介名前侘美怜（たくみさとし）アカウント @reirei_As reireias 略歴 2013年富士ゼロックスに入社 BtoBのSaaSプロダクトの開発オンプレからAWSへの移行 2019年メドピアに入社 SREチーム所属たまにRailsエンジニアメドピア...

「ガバメントクラウド」に国産IaaSが不在だったワケ　さくら田中社長に聞く日本ベンダーの課題

「ガバメントクラウド」に国産IaaSが不在だったワケ　さくら田中社長に聞く日本ベンダーの課題
日本政府の共通クラウド基盤「ガバメントクラウド」。海外IaaSのみを採択したデジタル庁に対し「日本の産業を育成しないのか」といった声も出ている。なぜ国産IaaSはガバメントクラウドになれなかったのか、さくらインターネットの田中邦裕社長に見解を聞く。日本政府の共通クラウド基盤として、デジタル庁が進めている...

GitHub Actions: Secure cloud deployments with OpenID Connect | GitHub Changelog

GitHub Actions: Secure cloud deployments with OpenID Connect | GitHub Changelog
GitHub Actions now supports OpenID Connect (OIDC) for secure deployments to cloud, which uses short-lived tokens that are automatically rotated for each deployment. This enables: Seamless authentication between Cloud Providers and GitHub without the need for storing any long-lived cloud secrets i...