ClickShareの脆弱性にはパッチが適用されているかもしれないが、はるかに大きな問題を覆い隠している
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und mehr als 10 Patente angemeldet.Wenn er nicht an seinem Schreibtisch sitzt, unterrichtet Matias Fortgeschrittenenkurse zum Thema Anwendungssicherheit und hält regelmäßig Vorträge auf globalen Konferenzen wie der RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matthias promovierte an der Universität Gent in Informatik und lernte dort Anwendungssicherheit durch Programmverschleierung, um die interne Funktionsweise von Anwendungen zu verbergen.
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
Klicken Sie auf den folgenden Link, um die PDF-Datei dieser Ressource herunterzuladen.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenデモを予約
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und mehr als 10 Patente angemeldet.Wenn er nicht an seinem Schreibtisch sitzt, unterrichtet Matias Fortgeschrittenenkurse zum Thema Anwendungssicherheit und hält regelmäßig Vorträge auf globalen Konferenzen wie der RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matthias promovierte an der Universität Gent in Informatik und lernte dort Anwendungssicherheit durch Programmverschleierung, um die interne Funktionsweise von Anwendungen zu verbergen.
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
目次
Dr. Matias Madu ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit mit Schwerpunkt auf statischen Analyselösungen.Anschließend trat er in die Dienste von Fortify in den USA ein und erkannte, dass es nicht ausreicht, nur Code-Probleme zu erkennen, ohne Entwicklern dabei zu helfen, sicheren Code zu schreiben. Dies war der Auslöser dafür, dass er begann, Entwickler zu unterstützen, die Sicherheitslast zu verringern und Produkte zu entwickeln, die die Erwartungen der Kunden übertreffen. Wenn er nicht als Mitglied von Team Awesome an seinem Schreibtisch sitzt, hält er gerne Präsentationen auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約[ダウンロード]Ressourcen für den Einstieg
Themen und Inhalte der Secure-Code-Schulung
Unsere branchenführenden Inhalte werden unter Berücksichtigung der Aufgaben unserer Kunden ständig weiterentwickelt, um mit der sich ständig verändernden Softwareentwicklungsumgebung Schritt zu halten. Sie decken alle Themen von KI bis hin zu XQuery-Injection ab und sind für verschiedene Aufgabenbereiche konzipiert, von Architekten und Ingenieuren bis hin zu Produktmanagern und Qualitätssicherungsfachleuten. Werfen Sie einen Blick auf die Inhalte unseres Content-Katalogs, sortiert nach Themen und Aufgabenbereichen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen für den Einstieg
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
「Cybermon 2025 Beat the Boss」 kann nun das ganze Jahr über bei SCW gespielt werden. Führen Sie anspruchsvolle AI/LLM-Sicherheitsherausforderungen ein, um die sichere AI-Entwicklung in großem Maßstab zu stärken.
Erläuterung des Cyber-Resilience-Gesetzes: Bedeutung für die Entwicklung sicherer Software
Erfahren Sie, was das EU-Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams auf Secure-by-Design-Praktiken, Schwachstellenprävention und die Kompetenzentwicklung von Entwicklern vorbereiten können.
Enabler 1: Definierte und messbare Erfolgskriterien
Enabler 1 ist der erste Teil der zehnteiligen Reihe „Enablers of Success“ und zeigt, wie sichere Programmierung mit geschäftlichen Ergebnissen wie Risikominderung und Geschwindigkeit verknüpft werden kann, um Programme langfristig zu optimieren.
