(Last Updated On: 2021年6月17日) CWE-20とは何か？と聞かれて即答できる開発者は多くないと思います。そもそもCWEとは何か？もあまり知られていないかも知れません。 実はCWE-20 不適切な入力バリデーション はソフトウェアセキュリティで最も重要な脆弱性とされています、CWEのみでなく情報セキュリティ標準的に情報セキュリティ関連法的にも。 ※ CWE: Common Weakness Enumeration (共通脆弱性タイプ) CWEは脆弱性識別子のCVEで有名なMITRE（米国でのIPAの様な組織）が管理するソフトウエア脆弱性パターンを列挙したドキュメント／データベースです。日本語名の通り、よくある共通のソフトウェア脆弱性を集めた物がCWEです。 CWE-20の解説 – CWE/SANS Top 25 Monster Mitigation M1 実は態々私

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? このエントリーは、Engineering Manager Advent Calendarの25日目、最終日の記事です。 はじめに 拙著「エンジニアリング組織論への招待」では、ソフトウェア自体の構造とソフトウェアを作り上げる組織の構造が似てしまうという「コンウェイの法則」についてたびたび引用しました。 この「コンウェイの法則」は、ある一定規模の組織で働いたことのあるエンジニアであれば、実感を持って捉えることができるのでしょう。 しかし、何故、どのような力が働いて、「組織構造」と「ソフトウェアの構造」が似通ってきてしまうのかと問われると説明

サマリ 正社員0で業務委託のみの10人程度の小さな開発チームは結構安定していい感じに運営できるみたい。 チームが小さい間は現実的な選択肢としてありえる。 前置き これから、僕がCTOをやっているAIトラベルという会社で、うまいことエンジニアチームを回せるようになってきたぜ！みたいなことを書くのですが、決して僕個人のエンジニアのキャリアの中でエンジニア組織をうまく回せてきたわけではありません。 いくつかの開発組織を経験して、直接僕が原因であったわけではない（と信じたい）ですが、開発チームがうまく機能しておらず、どんどん人が減っていく状態をエンジニアの立場から見てきました。そして自分に力がなく、それを改善することは出来なかった苦い思い出もあります。 そういう悲しい経験も踏まえて、エンジニアチームをどう運営していけば、小さいチームでも着実にプロダクトを育てていけるのかをいろいろ考えてきたので、少

今回は、Webサイト改ざん検知の状況とさまざまな製品について紹介します。マルウェアなどの原因にもなり得るWebサイト改ざんですが、きちんとした対応を行うことで多くのケースは防げます。改ざん検知サービスを比較している方は、ぜひ参考にしてください。 サイバー攻撃による被害の中でも、Webサイト改ざんの被害は後を絶ちません。Webサイト改ざんが始まった当初は、Web画面の見た目を変えるものでした。しかし近年は見た目を変えないため、閲覧者が気づかずにマルウェアをダウンロードすることが頻繁に発生します。 こうなってしまうと、ビジネス的なインパクトは避けられません。そのため、Webサイトの改ざんをいち早く検知し被害を最小限に抑えることは、Webサイトを運営するうえで欠かせなくなっています。 本記事ではWeb改ざん検知の概要や手法について解説し、おすすめの改ざん検知サービスを紹介します。本記事で紹介して

ソフトウェア開発者のバイブルだが・・・誰にも読まれていない 人月の神話【20周年増訂 新装版】 こんにちは、元SE（システムエンジニア）の田中です。新卒でSEになった2000年当時に「バイブル（聖書）」として読むことを勧められた一冊が、この「人月の神話」です。 だれにも読まれないバイブル 本書は、素晴らしい名著です。1975年に発刊され、すでに40年が経過しています。そんなにも長い期間「バイブル」として増刷され続けている本書について、著者であるフレデリック・P・ブルックス氏はこんな言葉を残しています。 この本は「ソフトウェア工学のバイブル」と呼ばれている。なぜなら、誰もがこの本を読んでいるが、誰もこの本で述べていることを実践しないからである。 出所：wikipedia はっはっは、と声をあげて笑うべきところでしょうが、残念ながら、現実はもっと残酷です。正確には、「誰もがこの本を買っているが

まじめに読まれない”40年前に書かれた古文書” 人月の神話【20周年増訂 新装版】 本日は、田山花袋の蒲団と同じくらい、知られているけど読まれていない名著「人月の神話」についてご紹介します。 人月の神話とは？ 人月の神話というのは、ソフトウェア開発の”単位”である「人月」という概念が、神話に過ぎない（つまり、意味をなさない）という悲しい真実を軸に、ソフトウェア開発が如何に困難を伴うものであるかを説いた名著です。一言でいえば、10人月の仕事＝1人で10か月かかる仕事は、「人月という単位が絶対であれば”10人で1ヶ月”でできるハズ」だが、そんなことは起こりえない、というお話です。そして、この状況を打破し、遅延したプロジェクトに100人投入して一瞬でシステムを完成させるような「魔法の道具（＝狼男に決定打を与える”銀の弾”）」は存在しない*と結論付けられます。 本書は、1975年（40年前！）に初

CodiadはPHP製のWeb IDEです。 Webブラウザベースで開発を行う時代が本格化しています。サーバのファイルを直接触るのではなく、ローカルの開発環境として考えてみると面白そうです。今回はCodiadを紹介します。 セットアップです。PHPファイルを配置するだけです。 先ほど決めたID/パスワードでログインします。 ログインしました。左上がファイルブラウザ、左下がプロジェクト一覧、そして右側がファイルのエディター部になります。 PHPのコードを編集しています。ハイライト処理も拡張子によって自動で適用されます。 HTMLは開くタグを書くと自動的に閉じタグが追加される便利機能もあります。 ファイルの拡張子によって自動的にアイコンが付加されます。 スプリットビュー。 設定は右側に隠れています。 設定項目。テーマ機能もあります。 対応拡張子一覧。結構多いです。 CodiadはPHPで作られ

1月14日にコミュニティが主催し都内で行われたイベント「Innovation Sprint 2011」は、アジャイル開発手法の1つとしてもっともよく使われている「スクラム」の生みの親と言える2人、野中郁次郎氏とジェフ・サザーランド氏がそれぞれ基調講演を行いました。しかもサザーランド氏と野中氏が会うのは今回が初めてということで、アジャイル開発の歴史に残るイベントになりました。 野中氏の基調講演に続き、サザーランド氏の基調講演の内容を紹介しましょう。 （本記事は「スクラムの生みの親が語る、スクラムとはなにか？ たえず不安定で、自己組織化し、全員が多能工である ～ Innovation Sprint 2011（前編）」の続きです） なぜソフトウェアのプロジェクトは失敗するのだろう？ Chairman,the Scrum Training Institute ジェフ・サザーランド氏。 なぜソフトウ

3. 光が足りないところでの撮影方法 日常的なスナップ写真を撮るときに、わざわざ照明器具をセットする人はいないでしょう。しかし、安易にフラッシュを使うと写真が白く飛んでしまったり、どこかイマイチな写真になりがちです。とはいえ、光が足りない場所での撮影は、対策をしなければ見られないほどの暗い写真になってしまいます。 プロのカメラマンは、光が足りない状況でもベストショットを撮るために、カメラをどう設定すればいいかを知っています。あなたも参考にしてみましょう。上の動画は、カメラの設定を変えるとどういう効果があるかを解説しています。ここでは要約だけを解説しましょう。 設定に関わるのは「絞り」、「シャッタースピード」、「ISO」です。大半のカメラでは、ISOの設定が行えます。ISOとは光に対する感度のことで、数字が高くなれば感度も上がります。ISOを高くするとノイズやブレが出やすくなるので、通常は低

Bertaはデザインの自由度が高いCMSです。データベースを使わないCMSになっています。 なんか凄いソフトウェア…。BertaはCMSですが、自由度が非常に高く、コンテンツの配置が自由にできてしまいます。その自由度の高さも相まって、デザインや写真家の方が数多く使っているようです。 まずログインします。 サイトをセットアップします。 セクションを作ります。これがメニューになります。チュートリアルのヘルプ付きで分かりやすいです。 セクションを作ったら、その内容を編集します。 これがページです。ほぼ何もありません。ここから自由にコンテンツを配置していきます。 配置する場所はX/Y軸ともに自由です。 ファイルを貼付けたりテキストを入れたりできます。 例えばこんな画像を。場所は自由に設定できます。 実際にBertaを使ったWebサイトです。ポートフォリオ的なサイトでしょうか。 こういった写真系のサ

ソフトウェア開発プロジェクトでは、顧客への定期的な進捗報告を行うために、当然のことだが進捗を管理しなければいけない。中規模以上のプロジェクトではプロジェクトはいくつかのチームに分かれていて、さらにチームごとに担当する会社が異なることもある。ありがちな事だが、チーム別にプロジェクト内の進捗会議を行うようになってくると、これが壮大なムダになっていく。 チームリーダーはソフトウェア開発プロジェクトのボトルネック ソフトウェア開発プロジェクトは、ウォーターフォール形式であれアジャイル開発プロセス型であれ、膨大なコミュニケーションと意思決定を行うことで進んでいく。ソフトウェアの仕様や構成について決定するのは、たいていはチームリーダーの仕事だ。また、各開発担当者の仕事の結果が正しいのかをレビューやインスペクションによって判定するのもチームリーダーの仕事であることが多い。そして、チームリーダーはチームメ

訪れたユーザーがページのどこをどう見て、どのように移動し、どのあたりで詰まるのか、そういった各種行動を把握するためにユーザーのデスクトップ自体をリアルタイムにリモートデスクトップっぽく見ることを可能にするというのがこの「SiteSupport」です。 SiteSupport - Remote Desktop for Web Apps http://sitesupport.com/ ブラウザのセッションを共有し、特別なソフトウェアをインストールする必要性は一切無し。JavaScriptのウィジェットをサイトに設置すればユーザーのデスクトップをリモートで見せてもらう仕組みを簡単に導入することが可能であり、APIが提供されているので自分の好きなようにカスタマイズすることも可能、全部のコネクションはSSL経由であるためセキュリティも万全です。 実際にどのような感じで動作するかというのは以下のムービ