Year: 2014

2014 年マイクロソフトのセキュリティ情報まとめ

皆さん、こんにちは!今年最後の月例セキュリティ情報の公開が終わりましたので、簡単ではありますが振り返りをしたいと思います。 概要2014 年の対応実績は、以下の通りです。2013 年は 106 件のセキュリティ情報を公開し、333 件の脆弱性の対処を行っていることから、比較するとセキュリティ情報の公開数は減少しましたが、脆弱性の対処数は、若干増えています。 85 件のセキュリティ情報を公開 (MS14-001 〜 MS14-085) 341 件の一意の脆弱性 (CVE) を対処 定例外のリリースとして以下の 2 つを公開 5 月に MS14-021 (Internet Explorer) 11 月に MS14-068 (Kerberos) 月別の傾向セキュリティ情報は、毎月 1 回、第 2 火曜日 (米国日付) に公開されます。これは、IT 管理者が、事前に人員確保やインストール準備を行えるようにするためにこのように決められています。 2014 年の月別の公開数を見てみると、月 7 件前後の公開が多く見られました (図 1)。なお、公開時点で脆弱性の悪用が確認されていたセキュリティ情報の数を “Yes (赤)” としていますが、計 18 件のセキュリティ情報 (脆弱性数は 20 件) が該当しました。これらは、すべて限定的な標的型攻撃での悪用でした。過去の公開時点で脆弱性の悪用が確認されていたセキュリティ情報の数と比較すると、2013 年は 11 件、2012 年は …

2014 年マイクロソフトのセキュリティ情報まとめ Read More »

December 2014 Updates

Today, as part of Update Tuesday, we released seven security updates – three rated Critical and four rated Important in severity, to address 24 unique Common Vulnerabilities and Exposures (CVEs) in Microsoft Windows, Internet Explorer (IE), Office and Exchange. We encourage you to apply all of these updates. For more information about this month’s security …

December 2014 Updates Read More »

2014 年 12 月のマイクロソフト ワンポイント セキュリティ ~ビデオで簡単に解説 ~

皆さん、こんにちは!先ほど 12 月のマイクロソフト ワンポイント セキュリティ情報を公開しました。本日 12 月 10 日に公開した新規 7 件 (緊急 3 件、重要 4 件) のセキュリティ更新プログラムの適用優先度、既知の問題、回避策や再起動の有無など、セキュリティ情報について知っておきたい情報を凝縮してお伝えしています。今月のセキュリティ更新プログラム適用前の概要把握のために是非ご視聴ください。 ※ ご利用のブラウザーにより、ビデオが表示されない場合は、「今月のマイクロソフト ワンポイント セキュリティ情報」からご視聴ください。

2014 年 12 月のセキュリティ情報 (月例) – MS14-075、MS14-080 ~ MS14-085

2014 年 12 月 10 日 (日本時間)、マイクロソフトは計 7 件 (緊急 3 件、重要 4 件) の新規セキュリティ情報を公開しました。そして、新規セキュリティ情報を公開すると共に、既存のセキュリティ アドバイザリ 2 件の更新、および、既存のセキュリティ情報 2 件の更新を行いました。 お客様は、できるだけ早期に、今月公開のセキュリティ更新プログラムを適用するようお願いします。企業のお客様で適用に優先付けが必要な場合は、緊急の次のセキュリティ情報 MS14-080 (Internet Explorer)、および、MS14-081 (Word および Office Web Apps) のセキュリティ更新プログラムを優先的に適用することを推奨いたします。その他のセキュリティ情報の適用優先度は次の表を参照してください。 ■ セキュリティ情報・セキュリティ アドバイザリに関する主な注意点 MS14-075 (Exchange): 11 月に公開を見合わせた Exchange Server のセキュリティ情報 (セキュリティ情報 12) を MS14-075 として公開しました。  MS14-084 (VBScript): Internet Explorer がインストールされていないか、Internet Explorer 8 以前がインストールされているコンピューターは、CVE-2014-6363 (VBScript のメモリ破損の脆弱性) …

2014 年 12 月のセキュリティ情報 (月例) – MS14-075、MS14-080 ~ MS14-085 Read More »

2014 年 12 月 10 日のセキュリティ リリース予定 (月例)

2014 年 12 月の月例セキュリティ リリースの事前通知を公開しました。 2014 年 12 月 10 日に公開を予定している新規月例セキュリティ情報は、合計 7 件 (緊急 3 件、重要 4 件) です。なお、最新のセキュリティ情報の概要を動画と音声でお伝えするストリーミング ビデオ (Web キャスト) の「今月のマイクロソフト ワンポイント セキュリティ」も同日午後に公開する予定です。 公開予定のセキュリティ情報の詳細は、以下の事前通知のサイトをご覧ください。 https://technet.microsoft.com/ja-jp/library/security/bulletin/ms14-dec   セキュリティ情報 ID 総合的な深刻度 脆弱性の影響 再起動の必要性 影響を受けるソフトウェア* セキュリティ情報  1 重要 特権の昇格 再起動が必要な場合あり Microsoft Exchange Server 2007、Exchange Server 2010、および Exchange Server 2013 セキュリティ情報  2 緊急 リモートでコードが実行される 要再起動 サポートされているすべてのリリースの Microsoft …

2014 年 12 月 10 日のセキュリティ リリース予定 (月例) Read More »

Advance Notification Service for the December 2014 Security Bulletin Release

Today, we provide advance notification for the release of seven Security Bulletins. Three of these updates are rated Critical and four are rated as Important in severity. These updates are for Microsoft Windows, Internet Explorer (IE), Office and Exchange. As per our monthly process, we’ve scheduled the Security Bulletin release for the second Tuesday of …

Advance Notification Service for the December 2014 Security Bulletin Release Read More »

クラウド サービスの障害モデリング

本記事は、Cyber Trust ブログ “Fault Modeling for Cloud Services” (2012 年 10 月 11 日公開) を翻訳した記事です。 過去数週間に渡り、サービス停止の原因と関連する緩和策の戦略 (英語) および、クラウド サービス障害に備える重要性について投稿しました。今回は、障害によどみなく確実に対応するクラウド サービスを設計および構築するためにマイクロソフトが採用している方法の 1 つをご紹介します。この概念は目新しいものではありませんが、プロバイダーにとっても、お客様にとっても、一考の余地があるのではないかと考えています。 セキュリティ関連の問題を評価する際は、脅威のモデリングが設計プロセスの重要な手順になります。同様に、信頼できるクラウド サービスの設計プロセスでは障害のモデリングが重要です。障害のモデリングとは、サービスの相互作用点や依存関係を特定し、サービスを効率的に監視して問題を速やかに検出するためにはどこに投資すべきかをエンジニアリング チームが見極められるようにすることです。さらに、こうしたモデリングは、エンジニアリング チームを、障害に耐えるまたは障害を軽減するサービスの能力を高める効率的な対処メカニズムに導きます。 障害モデルの構築の主要なステップは次のとおりです。 コンポーネントのインベントリを作成する。インベントリには、Web サーバーでホストされるユーザー インターフェイス コンポーネント、リモート データ センターでホストされるデータベース、モデル化しているこのサービスが依存する外部サービスを含め、サービスが使用するすべてのコンポーネントが含まれます。 ユーザーのシナリオを作成する。シナリオでは、ユーザーがサービスを操作する可能性のある方法をすべて説明します。たとえば、オンライン ビデオ サービスの場合は、ログイン、ビデオ ライブラリの閲覧、ビデオの選択および視聴、視聴後のビデオの評価などについて説明します。 コンポーネントとシナリオを含むマトリックスを構築し、コンポーネントの利用を各シナリオにマッピングする。ユーザーのシナリオをコンポーネント インベントリにマッピングすると、各シナリオでどのコンポーネントにアクセスするかを特定し、依存関係や障害ポイントになりうる箇所を特定できます。  障害を処理するメカニズムを定義する。依存関係ごとに障害を処理するメカニズム (対処戦略) を定義しておけば、障害が起きたときにソフトウェアによって何らかの合理的な処置が確実に実行されます。「合理的」の意味は、サービスの機能や対処戦略で対応する障害の種類によって異なります。たとえば、自動車購入サービスのアーキテクトが、各車種の型式やモデル別の評価を示すアプリケーションを設計するとします。こうした購入サービスは、車種の比較評価を実施する別のサービスに依存することがあります。この場合、評価サービスが故障あるいは利用不能になったときの購入サービスの対処戦略は、車種のリストを一切表示しないのではなく、参考となる評価はなしに車種のリストを表示することであると思われます。つまり、特定の障害が起きても、サービスによって、顧客の立場から見た合理的な成果がもたらされるようにします。   サービスの信頼性に関する最近のホワイトペーパーをダウンロードして、これらの信頼性のトピックの詳細を確認することをお勧めします。   デビッド・ビルズ、信頼できるコンピューティング、信頼性主任ストラテジスト  

Security Bulletin MS14-068 released

Today, we released an out-of-band security update to address a vulnerability in Kerberos which could allow Elevation of Privilege. This update is for all supported versions of Windows Server and includes a defense-in-depth update for all supported versions of Windows. We strongly encourage customers to apply this update as soon as possible by following the …

Security Bulletin MS14-068 released Read More »

Additional information about CVE-2014-6324

Today Microsoft released update MS14-068 to address CVE-2014-6324, a Windows Kerberos implementation elevation of privilege vulnerability that is being exploited in-the-wild in limited, targeted attacks. The goal of this blog post is to provide additional information about the vulnerability, update priority, and detection guidance for defenders. Microsoft recommends customers apply this update to their domain …

Additional information about CVE-2014-6324 Read More »

Out-of-band release for Security Bulletin MS14-068

On Tuesday, November 18, 2014, at approximately 10 a.m. PST, we will release an out-of-band security update to address a vulnerability in Windows. We strongly encourage customers to apply this update as soon as possible, following the directions in the security bulletin. More information about this bulletin can be found at Microsoft’s Bulletin Summary page. Tracey …

Out-of-band release for Security Bulletin MS14-068 Read More »