Informational

アドバイザリーID : cisco-sa-20131229-der-spiegel

初公開日 : 2013-12-29 19:17

最終更新日 : 2014-03-13 18:56

バージョン 2.0 : Final

回避策 : No Workarounds available

Cisco バグ ID :

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

2013年12月29日、ドイツの新聞出版 Der Spiegelは、米国国家安全保障局(NSA)から漏洩した文書を参照して、ネットワークデバイスの「ソフトウェアインプラント」について言及した記事を公開しました。シスコは、この記事で言及されている多くのテクノロジー企業の1つです。

http://www.spiegel.de/international/world/catalog-reveals-nsa-has-back-doors-for-numerous-devices-a-940994.html

2013年12月30日、Cisco Product Security Incident Response Team(PSIRT)は、一部のCisco PIXおよびCisco ASAプラットフォームでインプラントが作成された疑いを調査するためにインシデントを開始しました。

シスコは、米国政府およびドイツの報道機関であるDer Spiegel社から、これらの申し立てに関する追加情報を正式に要請しました。これ以上の詳細は、明らかにされていない。

Cisco PSIRTは、Cisco ASAプラットフォームの包括的な評価を主導し、世界中の同社のエンジニアリング、サポート、およびサプライチェーン組織と密接に連携しました。Cisco PIXプラットフォームが サポート終了に達したため、Cisco ASAプラットフォームが最も重視されました。

調査(PSIRT-1384943056)では、シスコの開発およびサプライチェーンの手順、ASAおよびPIXプラットフォームに関するカスタマーサポートデータの履歴、および世界各地のさまざまな実稼働ネットワークに設置されているデバイスの運用データを確認しました。

Cisco ASAプラットフォームのBIOS、オペレーティングシステム、およびアプリケーションに焦点を当てた、さまざまなテストシナリオの作成と実装には、業界の内部および外部の専門家からのアドバイスが使用されました。世界中のシスコの専門家が、Cisco ASAファミリの既存のすべてのモデルに対してテストを実施しました。

BIOS、OS、アプリケーションの手順の不規則性や改ざんを示す証拠はありませんでした。その結果、Cisco PSIRTはこの調査を終了しました。

追加情報

次のステップ：

シスコは、お客様がCisco ASAプラットフォームの整合性チェックを実行できるようにする機能の開発を続けています。完了すると、これらの機能は通常のシスコ製品リリースプロセスの一部としてCisco ASAソフトウェアに統合されます。

お客様に対するシスコの継続的な取り組みの一環として、すべての製品は定期的なペネトレーションテストとセキュリティ評価の対象となります。テストを通じて発見された情報は、シスコの セキュリティ脆弱性ポリシーに従って伝達されます。これらの脆弱性は、社内テストの一環として発見されたり、お客様やその他の外部関係者からシスコに報告されたりする可能性があります。

シスコでは、次のようなセキュリティと業界のベストプラクティスを推奨しています。

- 継続的なパッチ管理により、不具合とソフトウェアの脆弱性に対応

- ネットワークデバイスの管理資格情報と物理アクセスの保護。

- ネットワークテレメトリの広範なネットワークモニタリングと分析を実施します。

セキュリティのベストプラクティスに関するお客様の追加情報については、 https://sec.cloudapps.cisco.com/security/center/intelliPapers.x?i=55を参照してください。

シスコの セキュアな開発ライフサイクルと業界をリードする サプライチェーンの運用に関する追加情報もご覧いただけます。

ネットワーク管理の実践を通じて疑わしいアクティビティや悪意のあるアクティビティを確認したお客様は、通常のサポートプログラムに参加し、Cisco PSIRTにエスカレーションすることをお勧めします。Cisco PSIRTを使用する手順については、シスコのパブリックセキュリティ脆弱性ポリシー を参照してください。

シスコのセキュリティ手順

シスコ製品のセキュリティの脆弱性に関するレポート、セキュリティ障害に対する支援、およびシスコからのセキュリティ情報を受信するための登録に関するすべての情報は、シスコのワールドワイド ウェブサイト https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html から入手できます。この情報には、シスコのセキュリティ通知に関して、報道機関が問い合せる場合の説明も含まれています。すべての Cisco セキュリティ アドバイザリは、 http://www.cisco.com/go/psirt から入手できます。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131229-der-spiegel

改訂履歴

バージョン

説明

セクション

日付

Revision 2.0

Cisco PSIRT調査の終了。

2014年3月13日

リビジョン 1.2

Cisco Responseセクションを更新し、この記事が特定の脆弱性について説明または開示していないことを明確にしました。

2013年12月30日

リビジョン 1.1

影響を受けたと疑われるシスコのプラットフォームに関するより詳細な情報が開示されたため、対応を更新。

2013年12月30日

リビジョン 1.0

初回公開リリース

2013年12月29日

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。