A few weeks ago I wrote about Git’s help.autocorrect setting and the strange tale of the origin of it’s deciseconds value. It got me to thinking about other git config settings that most people likely don’t know about and which should probably be defaulted differently. In this post, I’ll go through some of the perhaps obscure Git config settings that I have personally globally enabled and go into

1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティの脆弱性調査で使われている LLM の活用事例について少し紹介します。 1. 始めに 免責事項 2. LLM の活用事例 SimonW「LLM」 3. Recon CewlAI Subwiz ffufai Crawl4AI Athena WARC-GPT 4. Browser Extension Nuclei AI Extension 5. Web Proxy Plugin Shift (Caido) Caido403Bypasser (Caido) BurpGPT (Burp Suite) Add: Montoya API (Burp Suite) Hackvertor 6. ChatGTP Plugin PentestGPT Bug Hunter GPT Bounty Plz 7. 講演動画 Bug Boun

We stand with the People of Palestine! We stand for Justice, Human Rights and Freedom!

2024年度リクルート エンジニアコース新人研修の講義資料です

何ヶ月か前、ある人にめちゃくちゃ怒られたことがあって、その時の映像が某国営放送で、この前の日曜日に放送された。 まあ、炎上するだろうなと１ヶ月前から憂鬱だったのだが、ネットを見ると予想以上に燃えまくっていた。特にコメントをするつもりはなかったが、知り合いからも、「かわんごさん（仮名）が正しいと僕は思っているから」というような、よくわからない励ましのメッセージがたくさん来るので、一言、ここで書いておこうと思う。 まず、あのシーンにおいて、どちらが正しいといったことはないと、僕は思っている。それぞれ違う考え方、違う感じ方を持つ別々の人間であるというだけの話だ。 事実としてあるのは、僕が「ある人」を不快にさせることを、「ある人」のテリトリーでやってしまったということだ。それについては全面的に僕の失敗であり落ち度だ。 そもそもあの場はなんだったのかというと、CGの世界でどういう技術が開発されようと

KENRO byGMO https://flatt.tech/kenro 開発者向けセキュリティ学習教材の選び方と活用アイディアを中心に、開発組織の中でセキュアコーディング研修の取り組み方についてまとめています。 公開の背景:https://blog.flatt.tech/entry/se…

はじめに こんにちは、ダイニーの ogino です。 この記事では GitHub の bug bounty で脆弱性を報告し、実際に報奨金を受け取った時の体験を共有します。 私は特にセキュリティの専門家ではなく、偶然に問題を見つけて初めて報告をしました。読者の方が同じようなチャンスに遭遇した時スムーズに行くように、海外からお金を受け取る上での意外なつまずきポイントや、実際に貰える金額などについて紹介します。 どんな問題を見つけたのか 今回見つけたのは、GitHub Copilot の VSCode 拡張機能に関する問題です。 この拡張機能のソースコードは本来公開されていないはずですが、TypeScript のソースマップによって元のコードが露出していました。 そもそも VSCode の拡張機能は .vsix という拡張子の付いたパッケージ形式で配布されます。これは実態としてはただの zip

ダイニーの urahiroshi です。 ダイニーはプロダクト・組織ともに拡大中です。プロダクトの利用が広がれば広がるほどセキュリティの重要度も増してきますが、ダイニーにはセキュリティの専門家がおらず、体系立ててセキュリティ対策を実施できていなかったという課題がありました。 この記事では、ダイニーのセキュリティ改善の取り組みを紹介していくことで、ダイニーのようにセキュリティの専門家がいないスタートアップでもセキュリティを改善していく動きができるように後押ししたいと考えています。 ステップ0. 方針の策定スタートアップの日々の開発業務において、プロダクトの改善やインシデント対策などについてはやりたいことが無数にあります。しかし、そういった目に見えて優先度が高いものを実施しているだけだと永遠にセキュリティ対策ができません。 そこで、まずセキュリティのリスクや優先度を見える化する動きを作り、継続

AWS WAF のBotControlルールにおいて、AIカテゴリに分類されるスパイクアクセスが発生。 動的生成される記事ページへのリクエストが、1時間あたり5万件、ピーク時には1分間に1500件記録されていました。 当サイトで公開中の5万件強の全記事数に匹敵するリクエストが発生した原因の調査と、実施した対策について紹介します CloudWatchメトリクス確認 原因を特定するため、AWS WAFのメトリクスを分析しました bot:category AI の 急増 AIカテゴリのリクエスト数が、1時間あたり5万件まで顕著に増加しました。 他のカテゴリ（search_engine: Google、Bing など、social_media: X、Facebook など）には大きな変動は見られませんでした。 LabelNamespace="awswaf:managed:aws:bot-contr

OWASP Saitamaでの講演スライドです。

こんにちは。テクノロジーマネジメント本部でプロダクトセキュリティエンジニアをしているsasakki-です。 2025年1月から、プロダクト全体のセキュリティ向上に責任を持つチームとして、PSIRT（Product Security Incident Response Team）を立ち上げました。 PSIRTの立ち上げ背景、目指している姿、そして具体的な取り組みについて紹介します。 立ち上げたばかりのチームですが、SmartHRのPSIRTについて知っていただけたら幸いです。 PSIRTとは はじめに、PSIRTとは何かと、SmartHRで採用した理由を簡単に紹介します。 PSIRTとは、組織が提供する製品の脆弱性に起因するリスクに対応するための組織を指します。そのコンセプトは、セキュリティに関する国際的フォーラムであるFIRST（Forum of Incident Response and

Docker コンテナのセキュリティDocker コンテナのセキュリティのトピックにおいては、Docker のベースイメージと潜在的なセキュリティ構成ミスに関連する Dockerfile のセキュリティから、ネットワークポート、ユーザー権限、Docker にマウントされたファイルシステムのアクセスなどに関連するランタイムの Docker コンテナのセキュリティに至るまで、セキュリティに対する懸念が生じています。この記事では、Docker イメージのビルド構築に関連する Docker コンテナのセキュリティに関する側面、Dockeｒ のベースイメージがもたらすセキュリティの脆弱性の数の削減、ならびに Dockerfile のベストプラクティスに焦点を当てていきます。 Docker のセキュリティとは何かDocker のセキュリティとは、Docker コンテナのビルド、ランタイム、オーケストレ

gcloud CLI にカレントプロジェクトをなるべく持たせないようにして暮らしている。 gcloud はデフォルトでカレントプロジェクトのリソースを操作する。操作するプロジェクトが 1 つなら良いけど、仕事でも遊びでもいくつもの GCP プロジェクトを扱っているので、うっかり異なるプロジェクトのリソースを操作してしまったり、意図しないプロジェクトに費用が計上されてしまうのが嫌だから。 カレントプロジェクトは設定しないようにして、gcloud を使う時は都度 --project=PROJECT_ID で渡すようにしている。 # カレントプロジェクトを確認するには以下のコマンドなど $ gcloud config get-value project $ gcloud config list # カレントプロジェクトの設定を消す $ gcloud config unset project ロー

PHPカンファレンス名古屋2025

https://jbug.connpass.com/event/342193/ 「jbug広島#15 「ド。」～文書の運用について～」にて発表した資料です。

ソフトウェア開発におけるコードレビューの位置づけは、曖昧にされがちだ。欠陥を見つけるためにやっているのだろうか。コード品質を高めたいのだろうか。いずれにしても、チームやプロジェクトで統一された目的がないこともめずらしくない。レビュアーはただ、眼の前にあるコードの中で気になった箇所にコメントしているだけになってはいないだろうか。 また、チームのバージョン管理ツールを観察すると、コードレビュー待ちの開発ブランチが多いこともめずらしくない。実装することにばかりに時間が割かれ、コードレビューは後回しになっているのだ。しかし、レビューを終えなければ、それらは統合ブランチにマージされない。そうして生存期間が長いブランチが多くなるほど、マージコンフリクトが起こりやすくなる。その対処に支払うコストもばかにはならないだろう。 本稿は、コードレビューに関する2つの論文を中心に、機能的なコードレビューのあり方に

セキュリティ担当者から見た re:Invent と AWS Security Hub / Impression of re:Invent and AWS Security Hub