ClickShareの脆弱性にはパッチが適用されているかもしれないが、はるかに大きな問題を覆い隠している
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并协助构建将网络安全置于首位的文化。无论您是应用程序安全经理、开发人员、首席信息安全官还是安全相关人员，我们都能帮助您降低与不安全代码相关的风险。
预约演示
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
马蒂亚斯是一位拥有15年以上软件安全实践经验的研究员兼开发者。他曾为Fortify Software、其创立的Sensei Security等企业开发解决方案。在职业生涯中，马蒂亚斯主导了多个应用安全研究项目，这些项目最终转化为商用产品，并获得了10余项专利。在离开办公桌时，马蒂亚斯担任高级应用安全培训课程讲师，并定期在RSA大会、黑帽大会、DefCon、BSIMM、OWASP应用安全大会、BruCon等全球性会议上发表演讲。
马蒂亚斯在根特大学获得计算机工程博士学位，期间学习了通过程序混淆技术隐藏应用程序内部运作机制的应用程序安全技术。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
请点击以下链接下载此资源的PDF文件。
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并协助构建将网络安全置于首位的文化。无论您是应用程序安全经理、开发人员、首席信息安全官还是安全相关人员，我们都能帮助您降低与不安全代码相关的风险。
显示报告预约演示
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
马蒂亚斯是一位拥有15年以上软件安全实践经验的研究员兼开发者。他曾为Fortify Software、其创立的Sensei Security等企业开发解决方案。在职业生涯中，马蒂亚斯主导了多个应用安全研究项目，这些项目最终转化为商用产品，并获得了10余项专利。在离开办公桌时，马蒂亚斯担任高级应用安全培训课程讲师，并定期在RSA大会、黑帽大会、DefCon、BSIMM、OWASP应用安全大会、BruCon等全球性会议上发表演讲。
马蒂亚斯在根特大学获得计算机工程博士学位，期间学习了通过程序混淆技术隐藏应用程序内部运作机制的应用程序安全技术。
この記事のバージョンが掲載されました DevOps.com。こちらでシンジケーション用に更新されており、脆弱性の課題へのインタラクティブなリンクも含まれています。
最近の記憶では、会議やカンファレンスで、誰かがプレゼンテーションテクノロジーに問題を抱えたことを覚えていると思います。このようなことは非常に頻繁に起こるため、少なくとも最初は、不格好な体験が期待されがちです。したがって、ClickShare のシームレスアプリがすぐにエンドユーザーに人気を博したのは当然のことです。彼らにとって、ClickShareアプリケーションを使用して、ノートパソコン、タブレット、またはスマートフォンから大画面や会議室のプロジェクターにプレゼンテーションをプッシュすることほど簡単なことはありません。ベルギーに拠点を置くデジタル・プロジェクションおよびイメージング・テクノロジーのサプライヤーであるBarcoは、そのように機能するようにオートメーション・プラットフォームを設計し、大企業もこのコンセプトを採用しました。フューチャー・リソース・コンサルティングは バルコのマーケットシェア カンファレンステクノロジーが 29% で、フォーチュン1,000企業全体の40％に統合されています。
エフセキュアの研究者がいるとき 12月に発表 一見無害に見える自動化プラットフォームにはセキュリティの脆弱性がたくさんあり、ビジネス界に衝撃を与えました。明らかになったセキュリティ上の欠陥は本質的に重大なものであり、さまざまな悪質な活動を可能にするおそれがあります。
研究者が実証した この脆弱性により、リモートユーザーがアクティブなプレゼンテーションを覗き見したり、安全なネットワークへのバックドアを作成したり、Barcoデバイスに接続しているすべてのユーザーに感染するスパイウェア配布サーバーを設定したりできる可能性があります。突然、企業は組織全体の会議室やオフィス内に直接設置されるという深刻なセキュリティ問題に直面しました。また、脆弱性の性質上、1 台のデバイスが侵害されただけで、ネットワーク全体の侵害につながる可能性がありました。
エフセキュアの関係者は報告書の中で、「攻撃者が1つのユニットへの侵入に成功すると、1つのユニット内でも家族間でも、どのユニットでも有効な暗号化画像を生成できるだけでなく、復号化も可能になる」と書いている。「さらに、このような攻撃者は、設定済みのWi-Fi PSKや証明書など、保存されている機密データにアクセスする可能性があります。」
Barcoの功績は、自社製品で見つかった脆弱性に対するパッチと修正を非常に積極的に発行してきたことです。セキュリティベンダー Tenable 最近リリースされた Barco を含む 8 つのプレゼンテーションツールの 15 件の脆弱性を示すレポート2 月の時点で、修正の導入に積極的に取り組んでいるのは Barco だけです。
Barcoの脆弱性の中にはハードウェアの変更が必要なものもありますが（企業がこの程度のセキュリティ対策を講じれば、導入は悪夢のようなものになります）、その多くはソフトウェアパッチで修正できます。これにより、ほとんどの企業ユーザーは、差し迫った問題を解決するための一見良い計画を立てることができますが、現在ではほとんど明らかになっていません。Barco の問題は、有名なハードウェアやソフトウェア製品の脆弱性への対処に関して言えば、氷山の一角にすぎません。
問題の根源
差し迫った問題が解決された今、深刻なセキュリティ上の欠陥を持つデバイスが世界中の何千もの会議室にどうして設置されたのか、そもそもなぜそれらのデバイスが設計やプログラミングがそれほど不十分だったのかを尋ねる必要があります。エフセキュアのチームがゼロデイ脆弱性やこれまで知られていなかった脆弱性を発見していたわけではありません。Barco 製品で発見された欠陥のうち 10 件は、よく知られた問題に関連するものでした。 一般的な脆弱性 コードインジェクション攻撃のように。ほとんどの場合、すでに一般的な脆弱性と暴露 (CVE) の識別が行われています。
では、数十年前のCVEはどのようにして現代のプレゼンテーションツールにコーディングされたり、組み込まれたりしたのでしょうか。考えられる唯一の答えは、開発者がそれらについて知らなかったか、Barco デバイスの設計時にセキュリティが優先されなかったということです。悲しいことに、これはよくある状況であり、Barco チームに限ったことではありません。
脆弱性を修正する最適なタイミングは、アプリケーションの開発中、つまりユーザーに送信されるずっと前です。最悪の (そして最も費用がかかる) のは、製品がデプロイされてから、または攻撃者に悪用された後です。これは難しい教訓になる可能性があり、Barco は、かつては侵入できなかった市場シェアがこのセキュリティ上の大失敗に続いて打撃を受けるため、この教訓を必ず学ぶでしょう。
セキュリティ修正を開発プロセスに戻すことは容易ではありませんが、プレゼンテーションツールのような一見シンプルなデバイスでさえ驚くほど複雑で、他のすべてにネットワーク接続されている今日の世界では必要です。このような環境では、セキュリティは組織のベストプラクティスにならなければなりません。企業がソーシャルメディア向けのアプリをプログラミングしているのか、スマートトースターを製造しているのかは関係ありません。組織のあらゆる面でセキュリティを考慮する必要があります。
DevSecOpsムーブメントの目標は、セキュリティのベストプラクティスを優先し、それを共通の責任とすることです。DevSecOpsムーブメントでは、開発、セキュリティ、運用の各チームが協力して、安全なソフトウェアと製品をコーディングしてデプロイします。そのためには、他のことと同じくらい、文化を変える必要があります。セキュリティ上の脆弱性がある実用的な製品を導入することは、本来の機能を果たせない製品を作ることと同じくらい、失敗に終わる、という考え方が必要です。
健全なDevSecOps環境では、ソフトウェアに触れる人は誰でもセキュリティを意識し、開発者は作業に悲惨なバグが入り込まないように適切なトレーニングを頻繁に受ける必要があります。Barco で働くチームがセキュリティを共通の責任と見なしていたら、数十年前の CVE を含むこのような大量の脆弱性がプレゼンテーションツールに組み込まれることはあり得ませんでした。
安全な進路
Barcoのデバイスを通じて世界中の何千もの企業ネットワークに既知のセキュリティ欠陥が展開された理由を説明しなければならないので、誰も次のBarcoになりたいとは思っていません。このような事態を避けるため、ソフトウェアやスマート・ハードウェアを開発している企業は、責任の共有と組織のベスト・プラクティスの両方として、直ちにセキュリティを優先すべきです。健全な DevSecOps プログラムの構築には時間がかかり、文化の変化も必要になる可能性もありますが、その成果は努力するだけの価値があります。堅牢な DevSecOps は、問題が発生するずっと前に脆弱性を打ち砕くことができます。
製品やソフトウェアを購入する企業にとって、DevSecOpsを採用している企業をサポートすることが最大の利益になります。そうすることで、そこから入手したデバイスやソフトウェアが、ますます熟練した攻撃者に悪用されるのを待っている時限爆弾にならないようにするのに大いに役立ちます。
をチェックしてください セキュア・コード・ウォリアー ブログページでは、DevSecOpsに関する詳細な情報や、セキュリティ上の欠陥や脆弱性による被害から組織や顧客を保護する方法を紹介しています。
Barco が経験したセキュリティバグを詳しく調べてみませんか?
これらのゲーム化されたチャレンジを次のデバイスでプレイしてください。
目录
马蒂亚斯·马杜博士是安全专家、研究员、首席技术官，以及安全代码战士的联合创始人。马蒂亚斯在根特大学以静态分析解决方案为核心，获得了应用安全领域的博士学位。此后他加入美国Fortify公司，并意识到仅检测代码问题而未协助开发者编写安全代码是远远不够的。这一认知促使他致力于开发能帮助开发者减轻安全负担、超越客户期望的产品。作为Team Awesome成员，当他不在办公桌前时，最享受在RSA大会、BlackHat、DefCon等技术会议上登台演讲的时刻。
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并协助构建将网络安全置于首位的文化。无论您是应用程序安全经理、开发人员、首席信息安全官还是安全相关人员，我们都能帮助您降低与不安全代码相关的风险。
预约演示[下载]开始所需的资源
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
OpenText 应用程序安全性的强大功能 + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
