福岡ゆるっとIT交流会 vol.9「セキュリティの話を聞こう」 2019/01/25 さくらインターネット株式会社 さくらインターネット研究所 上級研究員 松本亮介 / まつもとりー / @matsumotory

2018/08/03 Security JAWS 【第10回】勉強会での、安東・徳田の講演資料になります

1. 概要 JPCERT/CCでは、Web サイトに対する被害の報告を複数受けています。特に、Web サイトの改ざんや、情報窃取などの被害が発生した場合は、サービスの停止や顧客への補償など、事業に直結する影響を受ける可能性があります。そのため、Web サイトへのサイバー攻撃に備えて、自身が運営するWeb サイトに対して定期的な点検を行うことを推奨いたします。 図1. Web サイト改ざん件数の推移 ( JPCERT/CC インシデント報告対応レポートhttps://www.jpcert.or.jp/ir/report.htmlより) 2．Web サイトへのサイバー攻撃の事例 以下は、JPCERT/CCが確認した、代表的な Web サイトへの攻撃です。 (1)　CMS で構築した Web サイトへの侵入と改ざん 図2. 「CMS で構築した Web サイトへの侵入と改ざん」の例 2018年3

2. 自己紹介 伊藤彰嗣（@springmoon6） サイボウズ株式会社品質保証部セキュリティチーム所属 サイボウズの CSIRT (Cy-SIRT) で事務局を担当 2 https://owaspappsecapac2014.sched.org/speaker/ akitsugu_ito#.Va9YSnkViAg https://plus.google.com/1141190861078066 12904/posts/ZFt2KVhYPLY 3. Web アプリ開発とOWASP プロジェクト 3 要件定義 設計・開発 テスト 運用・保守 ① 要件定義 Web システム / Web アプリケーションセキュリティ要件書 ② 設計・開発 OWASP Proactive Controls OWASP ASVS OWASP Cheat Sheet Series ③ テスト OWASP Zed

サイトリライアビリティエンジニアリング（SRE）とは、Googleで培われたシステム管理とサービス運用の方法論です。GoogleのSREチームの主要メンバーによって書かれた本書は、ソフトウェアのライフサイクル全体にコミットすることで世界最大規模のソフトウェアシステムがどのように構築、導入、監視、維持されているのかを解説します。 はじめにリスク管理やサービスレベル目標、リリースエンジニアリングなどSREの行動の基礎となる原則について解説し、次にインシデント管理や障害の根本原因分析、SRE内でのソフトウェア開発など大規模分散コンピューティングシステムを構築し運用するSREの実践について詳述します。さらにSREのトレーニングやコミュニケーションなどの管理について紹介します。 急速にスケールするサービスを高い信頼性で運用する方法を解説する本書はエンジニア必携の一冊です。 本書への推薦の言葉 監訳者

学生限定イベント「ISUCON 夏期講習 2017」を開催いたしましたのでスライドなど共有します。 当日は、優勝・優勝・出題・３位・優勝・準優勝というISUCON戦歴をもつ最強講師、面白法人カヤックのfujiwaraさんお越しいただきました。 ISUCON夏期講習お待たせしました。最強講師 fujiwara組長にお越しいただけることとなりました！学生の皆さま、これはチャンスです！是非ご参加くださいませ(締め切りが早いのでご注意ください) #isucon https://t.co/xEcThfqoc5 — ISUCON公式 (@isucon_official) 2017年7月27日 ISUCON = Iikanjini Speed Up CONtest だと知って驚く方が毎年一定数いらっしゃいます。 当日は講義編と実践編の二部構成で「わかる！ISUCON！」と言い切りたいレベルで大変よくわか

CDNが単一障害点にならないようにするために ヌーラボでは 2010 年 Cacoo の商用サービスの開始に合わせて AWS における運用を開始しました。当時、運用環境として AWS を採択する決め手の一つになったのが CloudFront でした。その後も着々とエッジロケーションは増え、独自ドメインのサポートなど魅力的な機能も提供され、今ではヌーラボの全サービスの静的ファイルの配信で利用している、無くてはならないサービスとなっています。 その魅力の反面、CloudFront の障害は、アプリケーションそのものに問題がなくても、以下のような表示が崩れた画面が表示されて、ユーザが全くサービスを使えなくなるという、その影響が非常に大きいものです。また障害の原因が DNS やネットワークの経路における問題といった、私たちが直接解決しにくい領域にあることもしばしばです。 ただ、どんな事情であれ、障

これまでPublickeyではデータベースのスケーラビリティに関するさまざまなトピックを取り上げてきました。クラウド時代にはスケーラブルなデータベースのニーズがこれまでになく高まっているためです。 この記事では、これまで取り上げてきたデータベースのスケーラビリティに関する技術を少しまとめて紹介しようと思います。 従来のリレーショナルを拡張 従来のリレーショナルデータベースに対して、技術的工夫を凝らすことでスケーラブルなデータベースを実現しようというアプローチにも、さまざまなものがあります。 データベース研究者の大御所、マイケル・ストーンブレイカー氏は、リレーショナルデータベースは決して遅くないと主張。リレーショナルデータベースが遅い原因はロック、ラッチ、リソース管理にあるとして、それらを極力排除した「VoltDB」を開発しています。 NoSQLを上回る性能のVoltDB、そのアーキテクチャ

SmokePingはネットワーク監視システム。Pingの遅延速度などをグラフ化する。 SmokePingはPerl製のオープンソース・ソフトウェア。ネットワークは目に見えないため、トラブルがあった時の原因究明に時間を要する場合が多い。目に見える断線とかであれば良いが、見た目は普通なのになぜか繋がらないといった場合が多い。 グラフ そんな時にはネットワーク調査用のツールが多々使われるが、Webベースで調査やレポートを提供してくれるのがSmokePingだ。 SmokePingはMRTGやRRDtoolの開発者でも知られるTobi Oetikerが開発しているネットワーク管理用ソフトウェアで、ネットワークの遅延を中心として計測し、グラフ化する。分散した測定に対応しマスター/スレイブによる測定を行う。全ての結果はグラフで表示されるようになっている Webベースのtraceroute 最新版ではS

「障害が発生しても止まらないシステムを実現したい」「災害に備えたリアルタイムの遠隔バックアップやシステムの二重化を行いたい」「大容量データをバックアップしたい」---震災以来、これらはシステムにとっての大きな課題となっている。 これらを実現するHA（高可用性）システムは、無償で利用できるオープンソースソフトウエア（OSS）で実現できる。そのためのOSS群が「Linux-HAクラスタスタック」である。 Linux-HAクラスタスタックは、仮想化環境やクラウド環境で使うこともできる。今回を含めて5回にわたって、Linux-HAクラスタスタックおよびこれを構成するソフトウエアの概要を紹介する。 HAクラスタの仕組み サーバーハードウエアの故障やメンテナンス、ソフトウエアの動作障害については、2台のサーバーを用意して、Linux-HAクラスタスタックのHeartbeatとPacemakerなどのク

フィンランドのベンチャー企業Kisco Labsは5月24日、オープンソースのWeb解析ツール「Snowfinch」を発表した。「Ruby on Rails」と「MongoDB」をベースとしたもので、リアルタイムでのWebトラフィック分析が可能という。 Snowfinchは「過去のデータではなく、現在起こっていることを分析する」ことを目的とするのが特徴。ダッシュボードにあるテキスト入力スペースにURLを入力して追跡するWebサイトを指定すると、アクティブビジター、その日のページビュー、その日のユニークビジターの3つのデータを、数値とチャートにより表示する。データは1秒おきに更新される。 クエリベースおよびリファラベースの2種類のセンサーによるモニタリングも可能。クエリベースはキャンペーン測定などに適しており、リファラベースはソーシャルメディアからのトラフィック測定などに適しているという。

mod_sendmailはメール送信（sendmail）機能をApacheモジュールとして提供するライブラリ。 mod_sendmailはApache用のオープンソース・ソフトウェア。Webサービスを開発するには幾つかの技術を組み合わせる必要がある。扱いやすさで言うと、HTML/JavaScript/CSS/サーバサイドの言語は問題ないだろう。若干面倒になるのがデータベースとメールだ。 LDAP認証例 メールは特に面倒くさい。ユーザ登録などでよく使われるがデータベースにトランザクションをしつつメールを送信して無事送信できればコミットをする。プロトコルが違う部分は実装がしづらくなる。だがmod_sendmailはその面倒さを解消してくれそうだ。 mod_sendmailはメール送信にRESTfulなインタフェースを提供してくれるApacheモジュールだ。この手のライブラリは元々あったのでは、

仕事でちょっくら12台のHDDを使ったRAIDアレイを組むんだけど、その折にちょうどTwitterで「RAID-1+0にしないとRAID-6とか怖くて使えませんよ！」というウソ八百な内容のWebページのURLを見掛けたので、いいかげんそのような迷信が消え去ってもよかろうと思って書くことにした。 1重ミラー設定のRAID-1+0は安全性においてRAID-6に劣る。ただし、正しく運用されている場合に限る。*1 知っている人はずっと前から知っている事実ではあるんだけど、某巨大SIerなんかでも高い方が安全に決まってる的な残念な脳味噌の持ち主がいっぱいいて「いやあデータの安全性を考えるとRAID-1+0」とか考えもなしにクチにし、そっちの方がディスクがいっぱい売れて嬉しいストレージベンダーもニコニコしながら否定せず売りつけて去っていくといううわなにをす(ry まあそんな感じで。ちなみに正しくない運

4月11日から米サンタクララで行われた「MySQL Conference & Expo 2011」。このイベントでDeNAの松信嘉範（まつのぶよしのり）氏が、同社の大規模なMySQLの運用を支えている技術とツールについてのセッション「Automated, Non-Stop MySQL Operations and Failover」を行いました。 プレゼンテーションの中で、社内で利用しているフェイルオーバーの自動化ツールをオープンソース化することにも触れています（英語のドキュメントも作成中とのこと）。 MySQLの大規模運用における自動フェイルオーバーは、特にクラウドでのMySQLの利用が増えるにつれてニーズが高まる分野と思われます。セッションのスライドが公開されていますので、そのポイントを紹介していきます。 自動化されたノンストップなMySQLの運用 ソーシャルゲームでは高可用性が強く求

SnappyはGoogle製の高速なデータ圧縮/解凍ライブラリ。 SnappyはC++製のオープンソース・ソフトウェア。巨大なファイルを送信する場合、圧縮して送るのがマナーだ。数GBのファイルであっても圧縮すれば半分くらいになる可能性がある。送信元、送信先双方にとって嬉しい仕組みだ。 逆にサイズの小さいものはあまり圧縮を意識されることが少ない。だがちりも積もれば山となる、特にデータの送受信量がとても多いGoogleではそう感じられるだろう。圧縮率は高くないが、とにかく高速な圧縮/解凍ライブラリがSnappyだ。 Snappyはデータの圧縮/解凍ライブラリだ。とは言っても圧縮率は高くない。zlibに比べて20〜100%も大きいらしい。だがSnappyの目的は高い圧縮率にある訳ではなく、その高速さだ。圧縮の場合で250MB/s、解凍の場合で500MB/sという高速処理ができるようになっている。