1.　概要

　2023年1月10日、Microsoftが月例のセキュリティ更新プログラムを公開しました。今回の更新プログラムでは、前月の約2倍である98件の脆弱性が修正されました。
　それらの脆弱性のうち、Windows Advanced Local Procedure Call（ALPC）の特権の昇格に関する脆弱性(CVE-2023-21674)について、既に悪用された実績があるとMicrosoftが公表しました。本脆弱性のCVSS v3スコアは8.8と危険度が高く、早急にセキュリティ更新プログラムを適用する必要があります。

2.　脆弱性情報

　Windows Advanced Local Procedure Call（ALPC）には権限昇格の脆弱性があります。ALPCとは、同一のシステム上で異なるプロセス間の通信を行う仕組み（LPC）を高速化したものです。ALPCはWindows OSが利用する内部的な仕組みで、詳細な仕様は公開されていません。
　本脆弱性の悪用により、攻撃者がブラウザのサンドボックスを回避し、SYSTEM権限で任意のコードを実行することが可能となります。
　※サンドボックス...システムリソースへのアクセスに制限が設けられ、隔離された領域。Chromiumでは、レンダラープロセスはサンドボックス化され、ブラウザプロセスから隔離されている。

　【図１】サンドボックス回避のイメージ

　① 攻撃者がブラウザを悪用して任意のコードを実行しようとした場合、通常はサンドボックス化されたプロセスで実行されるため、システムに影響を与えることはできません。
　② しかし、プロセス間通信の脆弱性を悪用することにより、攻撃者は特権プロセスでコードを実行することができます。
　③ 悪意のあるコードの実行により、システムに変更が加えられたり、機密情報にアクセスされたりする可能性があります。

3.　攻撃状況

　本脆弱性は、セキュリティ更新プログラムが公開された時点で、既に悪用された実績があると発表されました。このように、脆弱性が発見されてから修正されるまでのわずかな期間に、脆弱性を悪用して行われる攻撃を「ゼロデイ攻撃」と呼びます。

　◆ゼロデイ攻撃
　「ゼロデイ」とは、脆弱性が発見されてから、開発元によって修正プログラムや回避策が公開されるまでの期間を指します。この期間に脆弱性を悪用した攻撃が行われることがあり、これを「ゼロデイ攻撃」と呼びます。脆弱性の内容により攻撃手法や被害は様々で、事前の対策が限られているため、完全に防ぐことは困難です。可能な対策としては以下が挙げられます。

　【予防策】
・資産の把握、対応体制の整備
・ネットワークの監視および攻撃通信の遮断
・EDR等を用いたエンドポイントの監視、防御
・セキュリティのサポートが充実しているソフトウェアやバージョンを使用する

　【予防策】
・回避策や緩和策の実行
・脆弱性対象システムの一時的な使用停止
・修正プログラムの適用
・影響調査および原因の追究、対策の強化

　【図２】ゼロデイ攻撃のイメージ

4.　対策

　Windows 10、Windows 11、Windows Server 2022などを含む多数のWindowsシステムが本脆弱性の対象となっています。影響を受けるシステムの一覧はMicrosoftから公開されています。Microsoft UpdateやWindows Updateなどを用いて、セキュリティ更新プログラムを早急に適用してください。
　また、今回のセキュリティ更新プログラムはWindows8.1に適用される最後の更新プログラムとなります。Windows8.1のサポートは2023年1月10日を以て終了したため、ご使用の場合はアップグレードを推奨いたします。

5.　まとめ

　今回は、2023年1月10日に公表されたWindows Advanced Local Procedure Call（ALPC）の特権の昇格に関する脆弱性（CVE-2023-21674）について、脆弱性情報や攻撃状況、対策を紹介いたしました。すでに本脆弱性に対する攻撃が確認されており、脆弱性対象となる製品の種類が多いため、速やかに更新プログラムを適用することを推奨いたします。
　本脆弱性に限らず、安全なシステム運用のためには脆弱性への対応を続けていくことが必要です。ご使用のシステムのサポート情報や脆弱性情報を継続的に確認し、速やかに対策を実施することを推奨いたします。

6.　参考情報

・Microsoft
https://msrc-blog.microsoft.com/2023/01/10/202301-security-update/

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-21674

・Trend Micro
https://www.trendmicro.com/ja_jp/research/23/a/the-january-2023-security-update-review.html

・Chromium
https://chromium.googlesource.com/chromium/src/+/HEAD/docs/design/sandbox.md

・IPA
「情報セキュリティ10大脅威 2022」
https://www.ipa.go.jp/files/000096258.pdf

7.　e-Gateの監視サービスについて

　e-Gateのセキュリティ機器運用監視サービスでは、24時間365日、リアルタイムでセキュリティログの有人監視を行っております。サイバー攻撃への対策としてセキュリティ機器を導入する場合、それらの機器の運用監視を行い、通信が攻撃かどうかの分析、判断をして、セキュリティインシデント発生時に適切に対処できるようにすることが重要です。e-Gateのセキュリティ監視サービスをご活用いただきますと、迅速なセキュリティインシデント対応が可能となります。
　また、e-Gateの脆弱性診断サービスでは、お客様のシステムにて潜在する脆弱性を診断し、検出されたリスクへの対策をご提案させていただいております。
　監視サービスや脆弱性診断サービスをご活用いただきますと、セキュリティインシデントの発生を予防、また発生時にも迅速な対処が可能なため、対策コストや被害を抑えることができます。

　■　総合セキュリティサービス　「e-Gate」

　SSK（サービス＆セキュリティ株式会社）が40年以上に渡って築き上げてきた「IT運用のノウハウ」と最新のメソッドで構築した「次世代SOC "e-Gateセンター"」。この2つを融合させることによりお客様の情報セキュリティ全体をトータルにサポートするのがSSKの"e-Gate"サービスです。e-Gateセンターを核として人材・運用監視・対策支援という3つのサービスを軸に全方位のセキュリティサービスを展開しています。

【参考URL】
https://www.ssk-kan.co.jp/e-gate/

※本資料には弊社が管理しない第三者サイトへのリンクが含まれています。各サイトの掲げる使用条件に従ってご利用ください。
リンク先のコンテンツは予告なく、変更、削除される場合があります。

※掲載した会社名、システム名、製品名は一般に各社の登録商標または商標です。

≪お問合せ先≫

サービス＆セキュリティ株式会社
〒150-0011
東京都渋谷区東3丁目14番15号 MOビル2F
TEL 03-3499-2077
　　　　　　　FAX 03-5464-9977
　　　　　　　sales@ssk-kan.co.jp

先日行われた関西・東海地区の新年祝賀式に続き、2023年1月24日（火）にザ・キャピトルホテル東急にて、株式会社セキュアソフト（以下、SSI）及びサービス＆セキュリティ株式会社（以下、SSK）、AnyKan株式会社の関東地区在籍の社員を中心とした新年祝賀会が開催されました。

SSI、SSKの役員、各支社支社長並びに本社・東京支社の社員に加え、今春4月に入社予定の内定者を ご招待し、参加人数約300名の盛大な祝賀会となりました。

コロナ禍を経て3年ぶりの祝賀会開催にあたり、代表取締役社長 姜 昇旭より「挑戦した先に変化があり、新しい可能性を見出すことができる。2023年はひとりひとりが更に成長していくために勉強、育成、すべてにおいてチャレンジする1年にしましょう！」と参加者全員へ力強いメッセージが送られました。

関東地区祝賀会においても、来賓としてSSKテレビCMご出演の第65代横綱 貴乃花光司様をお迎えし、経験談を交えた貴重なご講演をいただきました。

また、勤続20年の社員へ会社の発展への感謝を込め、永年勤続表彰を行いました。歓談を楽しみながら豪華抽選会やじゃんけん大会も行い大変盛り上がった式典となりました。

社長挨拶

副社長挨拶

貴乃花光司様ご講演

永年勤続表彰

内定者紹介

鏡開き

2023年1月4日（水）に、びわ湖大津プリンスホテルにて、株式会社セキュアソフトとサービス＆セキュリティ株式会社（以下、SSK）の新年祝賀式及び祝賀パーティーが開催されました。

両社の役員、名古屋・大津・大阪・四日市・京都各支社在籍の社員に加え、今春4月に入社予定の内定者をご招待し、参加人数約400名の盛大な祝賀式及びパーティーとなりました。

コロナ禍を経て3年ぶりの開催となった今回の式典には、来賓としてSSKテレビCMご出演の第65代横綱 貴乃花光司様をお迎えし、経験談を交えた貴重なご講演をいただきました。

また、祝賀式にて勤続20年の社員に会社発展への感謝を込め、永年勤続表彰が行われ、パーティーではビンゴゲームやじゃんけん大会も行い大変盛り上がった式典となりました。

祝賀式：社長挨拶

祝賀式：貴乃花光司様ご講演

祝賀パーティー：内定者紹介

祝賀パーティー：鏡開き

祝賀パーティー：乾杯

祝賀パーティー：太鼓・和楽器演奏

本日(2023年1月16日)日本経済新聞朝刊6面に、弊社代表取締役社長 姜 昇旭と第65代横綱 貴乃花氏、東京大学名誉教授 伊藤元重氏との鼎談記事広告の後編が掲載されました。

「人を育てる経営」をテーマとした前編に引き続き、後編では昨年グループ会社サービス＆セキュリティ株式会社にて設置した「セキュリティ人材育成委員会」の設置経緯や人材育成計画について触れ、貴乃花氏、伊藤元重氏と意見を交わしながら経験に基づいた「人を生かす心構え」について熱く語り合いました。

是非ご覧いただきますようお願いいたします。

以下の画像をクリックしますと、PDFファイルにてご覧いただけます。

※2023年1月16日付日本経済新聞朝刊より許可を得て転載しております。

本日(2023年1月12日)日本経済新聞朝刊10面に、弊社代表取締役社長 姜 昇旭と第65代横綱 貴乃花氏、東京大学名誉教授 伊藤元重氏との鼎談記事広告が掲載されました。前後編に渡り「人を育てる経営」をテーマに意見を交わしております。

本日掲載の前編では「人材育成が安全・安心の土台」というタイトルで、人材不足が大きな課題となるIT及びセキュリティー分野における人材育成の姿勢と求められる人物像について熱く語り合いました。

是非ご覧いただきますようお願いいたします。

以下の画像をクリックしますと、PDFファイルにてご覧いただけます。

※2023年1月12日付日本経済新聞朝刊より許可を得て転載しております。

本日（2023年1月6日）日本経済新聞『ITトップメッセージ2023』に、弊社代表取締役社長 姜 昇旭より、グループ会社であるサービス＆セキュリティ株式会社代表としての『デジタル化社会の安心・安全、課題となるセキュリティ人材育成に取り組む』と題したメッセージが掲載されました。

セキュリティ対策に必要な人材不足が深刻化する昨今、その課題解決の為セキュリティ人材育成に注力し、みなさまの「安心・安全」を堅守する企業として更なる飛躍を目指す抱負を込めた新年のメッセージとなります。

是非ご覧いただきますようお願いいたします。

今後とも変わらぬご愛顧賜りますようお願い申し上げます。

謹賀新年

旧年中はひとかたならぬご高配を賜りまして誠にありがとうございました。

社会情勢の急激な変化とともに、サイバー攻撃とその被害の増加は著しい状況です。
この社会的問題に対して、弊社は次世代セキュリティアプライアンス「Sniper ONE」シリーズ及びセキュリティ運用監視、脆弱性診断等のサービスを企業、官公庁のお客様へ提供しております。
更に本年は弊社グループ会社サービス＆セキュリティ株式会社とともに、不足するセキュリティ専門人材の育成とご提供に注力し、社会の「安心・安全」に貢献して参る所存でございます。

本年も皆様のビジネスにおいてお力になれますようより一層精進して参りますので変わらぬご愛顧のほど宜しくお願い申し上げます。

末筆ながら皆様のご繁栄とご健勝を心よりお祈り申し上げます。

2023年1月4日
株式会社セキュアソフト
代表取締役社長 姜 昇旭