00:08
こんにちは、超実践AI論の大地です。 今回は、アプリやサイトのライブラリは、適切にアップデートしないとセキュリティの穴になる、というテーマでお話しします。
ウェブアプリやサイトは、ライブラリといういくつものプログラムを組み合わせて作ります。 このライブラリは日々アップデートされ、新しいバージョンが公開されていきます。
アップデートの理由には、機能の追加や改善のほかに、脆弱性対策があります。 脆弱性とは、セキュリティ上の弱点のことです。
ライブラリを作った時は気づかなかった不具合や、セキュリティの穴が後から見つかり、攻撃の入り口になる、これが脆弱性です。
脆弱性が見つかったら、ライブラリの開発者は、すぐにその修正バージョンをリリースします。
ですが、修正バージョンがリリースされても、利用者側がツールをアップデートしなければ、アプリの中に脆弱性が残ったままになります。
そしてこの脆弱性を攻撃され、ウイルス感染や情報漏洩といった、セキュリティ事故につながるのがよくあるパターンです。
なので、僕たちがアプリやウェブサイトで使っているライブラリで脆弱性が見つかったら、なるべく早くアップデートしなければなりません。
でも、普通、アプリやウェブサイトで使っているライブラリは数十個にもなり、手動でバージョンアップ情報をすべてチェックし、更新していくのは現実的ではありません。
そこで役立つのが、GitHubで無料で使える、Dependabot Alertという機能です。
設定はワンクリックででき、プロジェクト内のツールやライブラリを常に監視し、脆弱性が見つかったらGitHub上でアラートを出してくれます。
アラートが出たら、そのリンクをCodexやCloud CodeなどのAIに渡せば適切に対応してくれます。
Dependabotが出すアラートは、その脆弱性の深刻度によって、Critical、High、Moderate、Lowの4段階に分類されます。
一方で、ライブラリに新しいバージョンが出たら即座に更新するのも、実は危険な運用です。
なぜなら、ライブラリの運営元が乗っ取られていて、その新しいバージョンにウイルスや脆弱性が仕込まれているパターンがあるからです。
なので僕は、使っているライブラリに新しいバージョンが出ても、公開後24時間以上経ってから更新するようにしています。
24時間もあれば、運営が乗っ取りの事実を公表したり、対策を講じる時間があるからです。
これらを踏まえ、僕のライブラリのアップデートは、基本的に新しいバージョンが出てから24時間後以降にし、
Dependabotアラートの深刻度がCriticalやすでに悪用を確認されている脆弱性の場合は即座に更新するようにしています。
今話した、ライブラリ更新は基本リリース後24時間以上経ってから、
ただし深刻度がCriticalやすでに攻撃を確認されている脆弱性は即座に更新するといった運用も、
Cloud CodeやCodexに頼めば適切に設定してくれます。
ぜひあなたも、まずはアプリやウェブサイトのDependabotアラートをオンにして、
使っているライブラリに脆弱性が見つかったら、すぐに気づける体制を作りましょう。
Dependabotアラートの設定ができたら、リリース後24時間経ってからのアップデートや、
Criticalやすでに攻撃が確認された脆弱性の即時更新といった、
もう一段上のセキュリティ対策にもチャレンジしてみてください。
03:01
概要欄にも今回の内容を解説した記事を貼っておきます。
最後に一つお知らせです。
伝票作成、受発注管理、請求書などの業務はAIで自動化してコストを削減できます。
僕が現場の課題を聞き、システム開発から運用まで対応可能です。
相談は無料なので、概要欄のリンクからお問い合わせください。
それでは今日はこの辺で。
