ClickShareの脆弱性にはパッチが適用されているかもしれないが、はるかに大きな問題を覆い隠している
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
Secure Code Warrior는 소프트웨어 개발 라이프사이클 전반에 걸쳐 코드를 보호하고 사이버보안을 최우선으로 하는 문화를 구축하는 데 도움을 드립니다. 애플리케이션 보안 관리자, 개발자, CISO 또는 보안 담당자이든, 안전하지 않은 코드와 관련된 위험을 줄이는 데 도움을 드립니다.
데모 예약
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
마티아스는 15년 이상의 소프트웨어 보안 실무 경험을 가진 연구자이자 개발자입니다. 포티파이 소프트웨어(Fortify Software)와 자신의 회사인 센세이 시큐리티(Sensei Security) 등 기업을 대상으로 솔루션을 개발해 왔습니다. 마티아스는 경력 전반에 걸쳐 여러 애플리케이션 보안 연구 프로젝트를 주도했으며, 이는 상용 제품으로 이어져 10건 이상의 특허를 취득했습니다.업무 외 시간에는 마티아스는 고급 애플리케이션 보안 교육 과정의 강사로 활동하며, RSA 컨퍼런스, 블랙햇, 디프콘, BSIMM, OWASP 앱섹, 브루콘 등 글로벌 컨퍼런스에서 정기적으로 발표를 진행하고 있습니다.
마티아스는 겐트 대학교에서 컴퓨터 공학 박사 학위를 취득했으며, 그곳에서 애플리케이션의 내부 동작을 숨기기 위한 프로그램 난독화를 통한 애플리케이션 보안을 연구했습니다.
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
아래 링크를 클릭하여 이 자료의 PDF를 다운로드하십시오.
Secure Code Warrior는 소프트웨어 개발 라이프사이클 전반에 걸쳐 코드를 보호하고 사이버보안을 최우선으로 하는 문화를 구축하는 데 도움을 드립니다. 애플리케이션 보안 관리자, 개발자, CISO 또는 보안 담당자이든, 안전하지 않은 코드와 관련된 위험을 줄이는 데 도움을 드립니다.
보고서 표시데모 예약
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
마티아스는 15년 이상의 소프트웨어 보안 실무 경험을 가진 연구자이자 개발자입니다. 포티파이 소프트웨어(Fortify Software)와 자신의 회사인 센세이 시큐리티(Sensei Security) 등 기업을 대상으로 솔루션을 개발해 왔습니다. 마티아스는 경력 전반에 걸쳐 여러 애플리케이션 보안 연구 프로젝트를 주도했으며, 이는 상용 제품으로 이어져 10건 이상의 특허를 취득했습니다.업무 외 시간에는 마티아스는 고급 애플리케이션 보안 교육 과정의 강사로 활동하며, RSA 컨퍼런스, 블랙햇, 디프콘, BSIMM, OWASP 앱섹, 브루콘 등 글로벌 컨퍼런스에서 정기적으로 발표를 진행하고 있습니다.
마티아스는 겐트 대학교에서 컴퓨터 공학 박사 학위를 취득했으며, 그곳에서 애플리케이션의 내부 동작을 숨기기 위한 프로그램 난독화를 통한 애플리케이션 보안을 연구했습니다.
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
목차
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
Secure Code Warrior는 소프트웨어 개발 라이프사이클 전반에 걸쳐 코드를 보호하고 사이버보안을 최우선으로 하는 문화를 구축하는 데 도움을 드립니다. 애플리케이션 보안 관리자, 개발자, CISO 또는 보안 담당자이든, 안전하지 않은 코드와 관련된 위험을 줄이는 데 도움을 드립니다.
데모 예약[다운로드]
%20(1).avif)
.avif)
