ClickShareの脆弱性にはパッチが適用されているかもしれないが、はるかに大きな問題を覆い隠している
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。
マティアス・マドゥ博士は、セキュリティ専門家、研究者、CTO、セキュア・コード・ウォリアーの共同創設者です。Matias はゲント大学で静的分析ソリューションを中心にアプリケーションセキュリティの博士号を取得しました。その後、米国のFortifyに入社し、開発者が安全なコードを書くのを手伝わずに、コードの問題を検出するだけでは不十分であることに気づきました。これがきっかけで、開発者を支援し、セキュリティの負担を軽減し、顧客の期待を超える製品を開発するようになりました。Team Awesome の一員としてデスクにいないときは、RSA カンファレンス、BlackHat、DefCon などのカンファレンスでプレゼンテーションを行うステージでのプレゼンテーションを楽しんでいます。
Secure Code Warriorは、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする文化を築くお手伝いをします。アプリケーションセキュリティマネージャ、開発者、CISO、またはセキュリティ関係者のいずれであっても、安全でないコードに関連するリスクを軽減するお手伝いをします。
デモを予約
マティアス・マドゥ博士は、セキュリティ専門家、研究者、CTO、セキュア・コード・ウォリアーの共同創設者です。Matias はゲント大学で静的分析ソリューションを中心にアプリケーションセキュリティの博士号を取得しました。その後、米国のFortifyに入社し、開発者が安全なコードを書くのを手伝わずに、コードの問題を検出するだけでは不十分であることに気づきました。これがきっかけで、開発者を支援し、セキュリティの負担を軽減し、顧客の期待を超える製品を開発するようになりました。Team Awesome の一員としてデスクにいないときは、RSA カンファレンス、BlackHat、DefCon などのカンファレンスでプレゼンテーションを行うステージでのプレゼンテーションを楽しんでいます。
Matiasは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者および開発者です。フォーティファイ・ソフトウェアや自身の会社であるセンセイ・セキュリティなどの企業向けにソリューションを開発してきました。マティアスはキャリアを通じて、複数のアプリケーションセキュリティ研究プロジェクトを主導し、それが商用製品につながり、10件以上の特許を取得しています。デスクから離れているときには、マティアスは上級アプリケーション・セキュリティ・トレーニング・コースの講師を務め、RSA Conference、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどのグローバルカンファレンスで定期的に講演を行っています。
マティアスはゲント大学でコンピューター工学の博士号を取得し、そこでアプリケーションの内部動作を隠すためのプログラムの難読化によるアプリケーションセキュリティを学びました。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
以下のリンクをクリックして、このリソースのPDFをダウンロードしてください。
Secure Code Warriorは、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする文化を築くお手伝いをします。アプリケーションセキュリティマネージャ、開発者、CISO、またはセキュリティ関係者のいずれであっても、安全でないコードに関連するリスクを軽減するお手伝いをします。
レポートを表示デモを予約
マティアス・マドゥ博士は、セキュリティ専門家、研究者、CTO、セキュア・コード・ウォリアーの共同創設者です。Matias はゲント大学で静的分析ソリューションを中心にアプリケーションセキュリティの博士号を取得しました。その後、米国のFortifyに入社し、開発者が安全なコードを書くのを手伝わずに、コードの問題を検出するだけでは不十分であることに気づきました。これがきっかけで、開発者を支援し、セキュリティの負担を軽減し、顧客の期待を超える製品を開発するようになりました。Team Awesome の一員としてデスクにいないときは、RSA カンファレンス、BlackHat、DefCon などのカンファレンスでプレゼンテーションを行うステージでのプレゼンテーションを楽しんでいます。
Matiasは、15年以上のソフトウェアセキュリティの実務経験を持つ研究者および開発者です。フォーティファイ・ソフトウェアや自身の会社であるセンセイ・セキュリティなどの企業向けにソリューションを開発してきました。マティアスはキャリアを通じて、複数のアプリケーションセキュリティ研究プロジェクトを主導し、それが商用製品につながり、10件以上の特許を取得しています。デスクから離れているときには、マティアスは上級アプリケーション・セキュリティ・トレーニング・コースの講師を務め、RSA Conference、Black Hat、DefCon、BSIMM、OWASP AppSec、BruConなどのグローバルカンファレンスで定期的に講演を行っています。
マティアスはゲント大学でコンピューター工学の博士号を取得し、そこでアプリケーションの内部動作を隠すためのプログラムの難読化によるアプリケーションセキュリティを学びました。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
目次
マティアス・マドゥ博士は、セキュリティ専門家、研究者、CTO、セキュア・コード・ウォリアーの共同創設者です。Matias はゲント大学で静的分析ソリューションを中心にアプリケーションセキュリティの博士号を取得しました。その後、米国のFortifyに入社し、開発者が安全なコードを書くのを手伝わずに、コードの問題を検出するだけでは不十分であることに気づきました。これがきっかけで、開発者を支援し、セキュリティの負担を軽減し、顧客の期待を超える製品を開発するようになりました。Team Awesome の一員としてデスクにいないときは、RSA カンファレンス、BlackHat、DefCon などのカンファレンスでプレゼンテーションを行うステージでのプレゼンテーションを楽しんでいます。
Secure Code Warriorは、ソフトウェア開発ライフサイクル全体にわたってコードを保護し、サイバーセキュリティを最優先とする文化を築くお手伝いをします。アプリケーションセキュリティマネージャ、開発者、CISO、またはセキュリティ関係者のいずれであっても、安全でないコードに関連するリスクを軽減するお手伝いをします。
デモを予約[ダウンロード]始めるためのリソース
%20(1).avif)
.avif)
Threat Modeling with AI: Turning Every Developer into a Threat Modeler
Walk away better equipped to help developers combine threat modeling ideas and techniques with the AI tools they're already using to strengthen security, improve collaboration, and build more resilient software from the start.
