ご挨拶 毎々お世話になっております、LayerXから三井物産デジタル・アセットマネジメント（以下、MDM）に出向中の片桐（@akinama3）と申します。 普段は象のアイコンで活動しつつ、ねぎしを世の中に広める仕事をしています。 MDMの概要については、昨日@peroyuki_ がご紹介しているので、ぜひご覧ください。 tech.layerx.co.jp さて、世の中には「銀の弾丸」と思しきデジタル化のバズワードが溢れかえっておりますが、 実際には「業務とはなにか」をひたすら考えぬき、徹底的にSaaSを活用したり泥臭く自分でシステムを作ったりして改善するしか幸せになる道はありません。 というわけで、MDMで徹底的に拘って取り組んだ社内業務効率化の事例として、「意思決定機関である稟議」と「稟議に基づく業務の自動執行」について、ご紹介したいと思います。 実はこのときの実装経験がMDMで進めてい

新しい技術などが登場していく中で、それに伴う新しい用語なども次々に登場しています。 ビジネスシーンなどで登場することも多いので、常にチェックしておかなくてはいけないでしょう。 今回は、新しい用語の1つであるFedRAMPについて解説します。 FedRAMPとは? クラウドサービスについての説明で、FedRAMPという言葉を耳にすることがあります。 これは、どのような意味があるのでしょうか? FedRAMPは、米国政府でのクラウドサービスの調達基準のことであり、Federal Risk and Authorization Management Programの略です。 2011年に、クラウドサービスとそれに伴う商品のセキュリティについて、そのコントロールと評価に関しての標準アプローチとして制定されたものです。 これは米国政府全体のプログラムとなっていて、FedRAMPの認証を受けて登録してあ

Mercari Advent Calendar 2020 の15日目は、メルカリ Product Security チームの Gloria Chow がお送りします。 こんにちは、Product Securityチームの@gloriaです。以前、オープンソースとして公開しているTestdeckという、マイクロサービスの自動化テストのための社内ツールについて記事を書きました。 今回は、2020年のAdvent Calendarの記事として、DevSecOpsについてお話をしたいと思います。近年、耳にする機会の多い話題の一つなので既にご存じの方もいらっしゃるかもしれませんが、DevSecOpsの基本的なコンセプト、注目されている理由、よくあるチャレンジとメルカリにおけるDevSecOpsの実践事例を紹介したいと思います。 DevSecOpsとは? DevSecOps以前から提唱されているDev

コンピューティング あらゆるワークロードに対応した VM により、構築、リリース、スケーリングを迅速に実行

みんな大好き、伊藤春香（はあちゅう）さんから大量の発信者情報開示請求が各接続プロバイダさんに流れて行っていることが確認されました。しかしながら、誠に遺憾なことに、私には発信者情報開示請求が届いておりません。何ということでしょう。悲しみに包まれております。 私は全部実名で書いているので掲示板を利用する必要もないだけなんですが、どうも周辺から聞くに「これだけ大量にある侮辱で発信者情報開示請求が通れば、一件ぐらいは山本一郎の手によるものに違いない」と思っていたのだそうです。残念でした、私はまったく書いていません。何で私が匿名で掲示板に感想を書く必要があると思っているのかさっぱり分かりませんが、ただ、発信者情報開示請求が着弾をしている人にとってはびっくりですよね。法的措置童貞はいきなりテレサ文書がプロバイダから送られてきたら勃つものも勃たず、思わず伊藤さんに謝罪のメールでも送ってしまいかねないので

2020年7月現在、転職活動をしています。お気軽にお問い合わせください。 https://docs.google.com/forms/d/e/1FAIpQLSfNuWiDVcCCZ58XjPn2nZIqtYOHo0XAuTMgIZisSYLbfiIcnA/viewform https://twitter.com/bulkneets/status/1279236615546654720 いわゆる履歴書や職務経歴書 要するに mala とは何者なのか？ プログラマ、デザイナー、ライブドアの残党 専門領域はWebに関わること全般 セキュリティエンジニアとして認識されることを本人は嫌っていますが、そのように認識されることも多いようです 説明が面倒くさい時に自分からsecurity researcherを名乗ることはたまにあります 実績は CVEや、善行からリンクされているページを見てください。 実

サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず

一年半ぐらい前にアプリケーションエンジニアからSREにコンバートした筆者が、いま役に立ってるなぁっていう本を紹介します。アプリケーションコードを書いてるときは下のレイヤの技術に興味なかったんですが、改めて勉強してみると楽しいです。 コンピュータシステム クラウド全盛とはいえ、コンピュータの仕組みはおさえておくと役立ちます。コレ系の本はわりと小難しいものが多いですが、個人的に楽しく読めた本を紹介します。 Raspberry Piで学ぶコンピュータアーキテクチャ Raspberry Piと銘打たれてますが、コンピュータアーキテクチャの歴史的な背景も踏まえて解説されています。プロセッサ・メモリ・ストレージ・ネットワーク・OS・プログラミングなど、コンピュータ単体の基本的な知識を学べます。　歴史をあわせて知ることができるため、知的好奇心がおおいに刺激され、楽しく読むことができます。この本が難しく感

送信元表記が送信者IDのケース SMSのメッセージを受信した際に表示される送信元には、電話番号の代わりに任意の英数字も表記できる。この英数字の送信元表記を「送信者ID（Sender ID）」という。JC3の図では 通信事業者Ａ が送信者IDに当たる。 なお送信者IDの利用可否は受信側の通信事業者の対応状況によって異なる。Twilioの販売パートナーであるKWCの説明によると、日本国内ではNTT DOCOMOとSoftBankが送信者IDに対応し、KDDIは対応していないとのこと²。私はKDDIの回線を所有していないため、受信側がKDDIの電話番号を使用している場合の挙動は検証できていない。 まずはiOSの公式メッセージアプリに届いていたAmazonからのメッセージのスレッドで偽装を試みる。送信者IDは Amazon となっているため、TwilioでSMSを送信する際のFromの値に Ama

ユーザー企業ではユーザーとビジネスを守る（Protect）ため、様々なリスク管理を実施しています。それ自体の変化はありませんが、業務システムやサービスをホスティングする環境が多様化するかたわら、新しいリスクが生まれてきているのも事実です。 本講義では、ビジネスを継続成長させていく中で、経営的なお話、新し…

コンビニやレンタルショップなど、さまざまな店で買い物をするとポイントがたまるポイントカード最大手の一つ「Tカード」を展開する会社が、氏名や電話番号といった会員情報のほか、購入履歴やレンタルビデオのタイトルなどを、裁判所の令状なしに捜査当局へ提供していることが20日、内部資料や捜査関係者への取材で分かった。「T会員規約」に当局への情報提供を明記せず、当局も情報を得たことを本人に知られないよう、保秘を徹底していた。 Tカードの会員数は日本の人口の半数を超える約6700万人で、提携先は多業種に広がる。

エグゼクティブサマリ 聖教新聞社が運営する通販サイト「SOKAオンラインストア」から2,481件のクレジットカード情報が漏洩した。リリースによると、漏洩に使われた手口は従来とは異なるもので、改正割賦販売法の実務上のガイドラインである「クレジットカード情報非保持化」では対策できないものであった。 はじめに 今年の9月4日に聖教新聞社の通販サイトSOKAオンラインストアからクレジットカード情報漏洩の可能性がリリースされました。以下は聖教新聞社から運営委託されているトランスコスモス株式会社のリリースです。 「ＳＯＫＡオンラインストア」の件 このたび、弊社が聖教新聞社様より運営を委託されている「ＳＯＫＡオンラインストア」において、クレジットカード情報を入力して商品をご注文いただいた一部のお客さまのクレジットカード情報が、第三者によって不正に取得された可能性があることが発覚い たしました。 http

アカマイ・テクノロジーズは8月23日、同社のbot検知システムをチケット販売サイト運営会社のイープラスに導入した結果、悪質なbotによるアクセスのブロックに成功し、チケット買い占め問題を改善できたと発表した。チケット購入のアクセスのうち9割超がbotだったという。 チケット販売サイト「e+」（イープラス）を運営するイープラスは、以前からチケットの転売目的と疑われるWebサイトへのアクセスに悩まされていた。これまで、難読文字や図形問題をユーザーに解かせる方法などを検討してきたが、難読文字は自動解析で突破されるためほぼ効果がなく、図形問題を提供する外部サービスも止まることがあったりと、期待する効果は得られなかった。 そこで、同社はキー入力やマウスの動きなどの振る舞いを機械学習してbotを検知・制御できるアカマイの「Bot Manager Premier」（BMP）を導入。BMPで、ある先行販売

表題の通り、お恥ずかしい限りではありますが、人生ではじめて警察（神奈川県警！）のお世話になる運びとなりました。 罪状としては「不正指令電磁的記録 取得・保管罪」、通称ウイルス罪とのことで、まさに青天の霹靂の思いです。 以下ではこの度起こったことを可能な範囲でありのまま共有できればと思います。 この記事の目的まず、この記事を公開した目的は「他のクリエイターの人に同じ経験をして欲しくない」という一点に尽きます。 手前味噌ではありますが、私はこれまで多くの尊敬するクリエイターの方々と同じように「良いクリエイターであろう」と腐心し、できうるかぎりの努力をしてきたつもりです。 今回の件に関しても決して私利私欲のためではなく、あくまでユーザーのためにできることを、と模索した結果でした。 それがこのような形で取り沙汰されることとなり、残念という他ありません。 忸怩たる思いではありますが、この件から何かし

Turbolinksアレルギー患者に捧げるTurbo & Stimulusでの時短実装術 / Kaigi on Rails 2023

私が知る限り、もっとも人心掌握に秀でたマネジャーの一人は、あるSIerのMさんだ。 といっても、Mさんは特に人望があるわけでも、人徳が高いわけでもない。 そういった定性的な話ではない。もっと実務的なのだ。 実は、彼が人心掌握に優れていると判断する理由は、「人を動かすこと」の巧みさゆえである。 私が言わない方がいい、彼に言ってもらおう 私がMさんの人心掌握術の巧みさを知ったのは、「情報セキュリティ対策プロジェクト」の時だった。 ご存じの方も多いと思うが、セキュリティ対策はさまざまな日常の手続きを煩雑化することがある。 例えばお客さんとの情報のやり取りに関する制限がかかったり、記録をつけなければならなかったりなどだ。 Mさんの部下も例外ではなかった。 現在進行中のプロジェクトの情報のやり取りに問題がある、とセキュリティ監査で指摘され、その改善策として上から提示されたルールが、かなり煩雑なものだ