はじめに カミナシでID管理・認証基盤を開発しているmanaty（@manaty0226）です。ラスベガスで開催されているAWS re:Invent 2024に初めて参加しています。今回はブレイクアウトセッションで開催された「Generative AI for security in the real world」を聴講したレポートをお届けします。 生成AIをどのようにセキュリティに利用するのか 彼らの主張の軸となっているのは、生成AIはセキュリティエンジニアを置き換えるものではなく、セキュリティエンジニアや開発者、テスターを面倒な仕事から解放し、生産性を向上してより能動的にセキュリティ対策をしていくことです。その上で、いくつかの具体的なユースケースに対して生成AIを使ったデモを見せながら、どのように生産性向上に寄与するのか説明されています。以下に記憶に残った2つのユースケースについて記載

11月26日、Sysdigが「26のAWSセキュリティベストプラクティス」と題した記事を公開した。この記事では、AWS環境で採用すべき主要なセキュリティベストプラクティスについて詳しく紹介されている。以下に、その内容を簡潔にまとめて紹介する。 11月26日、Sysdigが「26のAWSセキュリティベストプラクティス」と題した記事を公開した。この記事では、AWS環境で採用すべき主要なセキュリティベストプラクティスについて詳しく紹介されている。 以下に、その内容を簡潔にまとめて紹介する。 AWSセキュリティの基本 記事の冒頭では、AWSのセキュリティを強化するための基本的な概念が説明されている。特に「AWS共有責任モデル」に焦点を当てており、AWSが提供するインフラのセキュリティ管理と、顧客が自身のデータやアプリケーションを守る責任の分担が明確にされている。 26のAWSセキュリティベストプラ

Microsoftが新型クラウドPCを発表。OSは非搭載でセキュリティ万全？2024.11.24 10:0023,539 Kyle Barr - Gizmodo US ［原文］ （ そうこ ） Microsoftが、クラウド型のミニパソコン｢Windows 365 Link｣を発表。発売は2025年春予定。 OSはストリーミングでWindows 365 Linkは、ミニPC型端末。イメージとしてはAppleのMac miniが近いです。が、徹底的に異なるのはOS非搭載なこと。OSはクラウドにあり、ストリーミングして使用します。端末内でWebexのMicrosoft Teamsを走らせるものの、それ以外はすべてクラウド処理します。 2021年以来、クラウドPCを進めてきたMicrosoft。今回のWindows 365 Linkは一般消費者向けにも非常に手に取りやすい形になりました。 メリッ

KDDIとKDDI総合研究所は11月19日、新たなログイン認証技術「kCAPTCHA」（ケイキャプチャ）を開発したと発表した。既にauログイン認証に利用している。 絵合わせ画像を生成AIで生成することで、従来の「CAPTCHA」より視認性の高い認証画像を提示。検知プログラムも高度化し、従来の「CAPTCHA」製品では難しかった、生成AIを使った機械攻撃への対抗も可能にしたという。 従来の「CAPTCHA」では、サイバー攻撃への対策として、ロボットには解けないが人間に解ける問題を出す。「ゆがんだ文字を読み取る」「ある題材の描かれた画像を探す」などの問題が用いられるが、近年、AIを使った技術の進歩により機械の回答能力が向上しており、十分に不正なログインを防御できなくなっているという。 このため、認証時に出題する問題を複雑化し、機械では判別しにくい視認性の低い画像を表示するなどの対策が採られてい

10月23日、ISRGが「RustlsがOpenSSLやBoringSSLを凌駕する」という記事を公開した。この記事では、Rustlsのメモリ安全性とパフォーマンスに焦点を当て、TLSライブラリの進化について詳しく紹介されている。 10月23日、ISRGが「RustlsがOpenSSLやBoringSSLを凌駕する」という記事を公開した。この記事では、Rustlsのメモリ安全性とパフォーマンスに焦点を当て、TLSライブラリの進化について詳しく紹介されている。 以下に、その内容を紹介する。 Rustlsとは何か？ Rustlsは、Rust言語で書かれ、メモリ安全性に優れたTLS（Transport Layer Security）実装である。 Rustlsはすでにプロダクション環境に対応しており、さまざまなアプリケーションで利用されている。C APIとFIPSサポートも備えており、既存のプログ

コンピュータと人間を区別して不正を防ぐCAPTCHA認証を巡り、スイス・チューリヒ工科大学の研究者が、写真を使ったCAPTCHAをAIに解かせて100％突破することに成功したと発表した。「AIを使用すれば、高度な画像CAPTCHAも悪用できる」と指摘している。 今回の研究は米Googleが開発した「reCAPTCHA v2」を対象として、最先端の機械学習モデルでどれくらい効果的に突破できるかを調査した。過去の学術研究では成功率は68～71％にとどまっていた。 画像を使ったreCAPTCHA v2は、グリッド状に並べた複数の写真を表示して、例えば「自転車」「横断歩道」「階段」など特定の物体が写ったものをユーザーに選ばせる。この仕組みは今も多くのWebサイトで広く使われている。 実験には、AIでリアルタイムに物体を検出できる「YOLO」（You only look once）を使用。画像分類に

ガートナージャパン（以下、ガートナー）は2024年10月9日、「日本におけるセキュリティ（リスク管理、アプリ／データ、プライバシー）のハイプ・サイクル：2024年」を発表した。 ハイプ・サイクルは、イノベーションが「過度な期待」のピーク期（もてはやされる時期）を経て幻滅期を迎え、最終的に市場や分野でその重要性や役割が理解されるという段階で「進化」する共通のパターンを描いたものだ。 今回のハイプ・サイクルでは、法規制への対応も含めたリスクマネジメント、セキュアなアプリケーション／データの構築・運用、プライバシー対応を実現し、企業のビジネスやサービス、データを保護するテクノロジーや手法を取り上げている。 セキュリティのハイプサイクル2024年版が公開　新たに加わった項目は？ 今回発表されたハイプ・サイクルは以下の通りだ。 2024年版では「サイバーセキュリティの継続的なコンプライアンスの自動化

はじめに ソーシャル経済メディア「NewsPicks」SREチーム・新卒エンジニアの樋渡です。今回は、AWSサービスである「Lambda」「CloudFront」「S3」を用いて、弊社で使用している社内向けシステムの基盤を再構築し、開発者体験の向上やセキュリティ対策を行なったお話です。 お話の内容 弊社で使用している社内向けシステムの一つに「Watson」というシステムがあります。「Watson」とは簡単にいうと「NewsPicks」のユーザーIDをもとにユーザーごとの情報を検索・閲覧できるシステムで、お客様からの問い合わせ対応等に活用される重要なシステムです。「Watson」は構築されたのが８年前と歴史が古く、歴史が古い故に数々の問題を抱えていました。今回のお話では、歴史の古い社内システムのインフラとバックエンドを更改し抱えていた問題を解決したぜ！というお話となっています。 抱えていた課

10月6日、海外のテクノロジーメディア「Ars Technicha」が報じたところによると、数千台のLinuxシステムが数年にわたってステルス型のマルウェア「Perfctl」に感染した状態にあるという。 Perfctlは、2021年以降に確認され、20,000以上の一般的な設定ミスを悪用してインターネットに接続されたシステムに感染している。Aqua Securityによると、Perfctlは、Apache RocketMQの深刻な脆弱性（CVE-2023-33246）を利用し、多くのLinuxマシンに悪影響を与えている。この脆弱性の修正はすでに行われているが、適用されていないシステムが依然として危険にさらされている。 Perfctlの特徴 Perfctlは、Linuxの監視ツール「perf」とコマンドラインツールに使われる「ctl」という名称を組み合わせた名前を持つマルウェアである。これは

アメリカ運輸保安庁(TSA)は、パイロットや客室乗務員がオフの時でも保安検査をパスできる「KCM(Known Crewmember：既知の乗組員)」と呼ばれるプログラムを設けています。同様に、コックピットへの立ち入り時にもKCMと似たような「CASS(Cockpit Access Security System：コックピットアクセスセキュリティシステム)」という仕組みがあり、認定パイロットであると確認されるとコックピット内の補助席を利用することができます。このKCMとCASSが、SQLインジェクション攻撃で突破可能だったと指摘されています。 Bypassing airport security via SQL injection https://ian.sh/tsa Bypassing airport security via SQL injection | Hacker News htt

はじめに 初めまして、株式会社Techouseエンジニアインターンの sakaidubz と申します。本日は私の携わっているプロダクトであるクラウドハウス労務で利用している RLS (Row Level Security) の技術について紹介します。 Techouse では、重要技術として RLS を多用しています。 通常 PostgreSQL の運用時には利用しないものであるため Techouse の開発メンバーとしてジョインしたみなさんが手慣れるまでに少し苦労をされているようです。 そこでこの場を借りて解説してみようと思い立ちました。 クラウドハウス労務について RLS について紹介する前に、私が開発しているクラウドハウス労務について紹介します。 クラウドハウス労務は人事労務における複雑な業務の電子化を推進するセミオーダー型・クラウド業務支援サービスです。各種手続きや年末調整といった法

GitHubは米国時間 8月14日、「Copilot Autofix」の一般提供を「GitHub Advanced Security（GHAS）」で開始したと発表した。 ソフトウェアは、以前に比べて短期間で出荷され、新しい機能が早期に数多くリリースされるようになった。安全なコードの開発に多くの努力が向けられても、脆弱（ぜいじゃく）性は本番環境に紛れ込み、侵害の主な理由となり続けているとGitHubは述べる。さらに、多くの開発者は、セキュリティ要件を理解と実装が困難なものと捉えており、優れたセキュリティ上の成果を得るのは容易でなく、さらなる脆弱性が野に放たれるという結果的になっているという。 「コードスキャニングツールは、脆弱性を検出するが、根本的な問題を解決しない。修正にはセキュリティに関する専門知識と時間が必要で、2つの貴重なリソースが極めて不足している。言い換えれば、問題は脆弱性の検出

対象読者 様々なプロダクトへ AWS アカウントや環境を提供する SRE / CCoE チームを想定しています。 マルチAWSアカウント環境 SRE / CCoE は各プロダクトが安全かつ便利に AWS を利用できるよう、AWS アカウントの設定・払い出しや周辺コンポーネントの提供（踏み台・ID管理・ログ収集 etc...）を行います。 個別プロダクトの基盤設計や構築は行いません。 私の担当案件では 100 以上の AWS アカウントを提供しています。これでも多いとは言えず、例えば NTT ドコモでは 2,000 以上の AWS アカウントを管理[1]しているそうです。 セキュリティ対応方針 セキュリティグループの全開放や S3 バケットのパブリック公開など、AWS リソースの不適切な設定についての対応を考えます。 ゲート型 IAM ポリシーやサービスコントロールポリシー (SCP) で

🍪🍺 @unplannedsleep 国際犯罪の被害に遭いかけたので注意喚起です！ 海外サイト(WeWorkRemotely)で良さげな案件を探していて、出会ったクライアントとビデオ通話した後「早速今の実装見てみてほしい」という話になりました。もう遅いし明日にして今日は飲むか〜と思っていたら「すぐチェックしてほしい」という連絡が pic.twitter.com/bRhXJkFEGX 🍪🍺 @unplannedsleep しょうがないにゃあ…と思いつつまずは親の顔より見た setupTest.js を見るとそこには変わり果てた姿が…… 偶然昼までMarkdown書き物をしてたためVSCodeの折り返しを有効にしていたので気づきましたが、普段無効にしてるときだったらこんなふうに見えるので気づくのは難しそう pic.twitter.com/fbk3og3Dml

Secrets Manager Secrets Manager とは AWS Secrets Manager とは AWS Secrets Manager は、アプリケーション、サービス、および IT リソースへのアクセスを管理するのに役立ちます。 これだけではよくわからないと思うので、特徴について整理します。 Secrets Manager の機能 シークレットの保存と管理 Secrets Manager は、セキュリティが重要な情報を暗号化して保存し、必要に応じてアクセスを提供します。AWS KMS（Key Management Service）を使用してシークレットを暗号化することで、データの安全性を確保します。 自動ローテーション シークレットを定期的に変更することはセキュリティのベストプラクティスです。Secrets Manager は、特定のスケジュールに基づいてシークレットを

APIの開発は複雑でコストがかかる可能性があり、頻繁に更新されることからドキュメントを整備するのも難しい。APIの設計、開発、ドキュメントの整備、管理にまつわる課題と効率さの問題に対処するアプローチが、RESTful API Modeling Language（RAML：RESTful APIモデリング言語）だ。 RAMLコードを使えば、開発者はAPIの動作を説明する仕様を策定してからそのAPIをデプロイするまでのAPIライフサイクルを管理することができる。 RAMLとは RAMLは、RESTful APIを記述することを目的とするオープンソースの記述言語だ。2013年、米国のIT自動化および統合ベンダーであるMuleSoftを中心とする数社の企業によって作成されたRAMLはAPIの開発に大きな役割を果たしてきた。2018年、MuleSoftはSalesforceによって買収され、RAML

はじめに 本記事では無料で公開されている企業のエンジニア向け研修資料をまとめました。 近年では、多くの企業が新人向けの研修資料を公開しています。これらの資料は内容が充実しており、初心者から中級者まで幅広いレベルの学びを得ることができます。さらに、資料の作り方も参考になるため、勉強会で発表する人や企業の研修担当者にとっても貴重な情報源となっています。 本記事では様々な企業のエンジニア向け研修資料をまとめましたので、ぜひ参考にしてみてください！ 弊社Nucoでは、他にも様々なお役立ち記事を公開しています。よかったら、Organizationのページも覗いてみてください。 また、Nucoでは一緒に働く仲間も募集しています！興味をお持ちいただける方は、こちらまで。 この記事の主な対象者 有名企業の研修資料を幅広く確認したい方 エンジニアとして初級から中級レベルの方 独学で学んでいる方 今後研修資料

はじめに 初めまして！ソーシャル経済メディア「NewsPicks」SREチーム・新卒エンジニアの樋渡です。今回は「AWS Security Hub」と「Slack」を用いて、弊社で利用しているAWSリソースの監視運用を効率化したお話です。 お話の内容 年々増加するサイバー攻撃に対抗するため、セキュリティ対策は日々重要度が増してきています。 そこで弊社で利用しているAWSのリソースに対して、各種セキュリティイベントの収集ができるAWS Security Hubを利用することで、セキュリティ状態の可視化と迅速な対応がしやすい運用を行い、セキュリティ状態の現状把握から始めることにしました。特にNIST CSFの「検知」部分の運用について整備した内容となっています。 NIST Cyber Security Frameworkについて 皆さん、「NIST Cyber Security Framewo

Firebaseのセキュリティルールの設定を誤っていることが原因で数百のサイトが平文パスワードや機密情報を含む合計1億2500万件のレコードを公開してしまっているとセキュリティエンジニアの「Logykk」「mrbruh」「xyzeva」という3人がブログに投稿しました。 900 Sites, 125 million accounts, 1 vulnerability - env.fail https://env.fail/posts/firewreck-1/ セキュリティエンジニアの3人はChattr.aiというサービスでFirebaseの設定が間違っていることを発見しました。Chatter.aiではウェブサイト上の正規ルートで登録するとアカウントの権利が適切に制限されるものの、FirebaseのAPIを直接使用してアカウントを作成するとFirebase上のデータベース全てに対する権限が取

Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 川村インターナショナル 2024-05-01 07:30 「Linux」カーネル開発の動向を知りたければ、「Linux Kernel Mailing List」を購読するといい。Linuxカーネルの実状を深いレベルで知りたいが、細かな部分まですべて追跡したくはないという場合は、「Linux Weekly News」（LWN）を購読しよう。 だが、Linuxカーネルの現状に関する幅広い概要を手早く知りたいなら、筆者と同じことをするのがいいだろう。それは、Linuxカーネルの開発者でLWNの編集長であるJonathan Corbet氏が、Linuxの大規模カンファレンスで実施したLinuxカーネルの現状に関するプレゼンテーションを見ることだ。 シアトルで開催の「Open Source