不正アクセス急増とAI報道への距離感
こんばんは、Replay.fm 第110回です。
こんばんは、あ、110回。
110回。
節目の回。
110回。
でもないか。
笑い
あの、次が、あの、あれじゃない?
ポッキーの日リーチなんじゃない?110回。
確かにね。
ポッキーの日リーチ?ポッ…まあね。
ポッキー&プリッツの日か。
うーん、リーチ…リーチっていうのもね、ちょっとどうなんだかあるけど、まあまあまあ。
1桁リーチ。あと1桁。
今、10月23日に収録してるけど、読む前に言うなよって感じだけど、もう、今なんか、毎日いろいろ起きすぎて、
これを聞いてる人からしたら、そんなこともあったなって気持ちになる、情報をお届けすることが、確定してるなって気持ちで、
今日の放送ってきてるわ。
なるほどね。
10月23日なんですけど、ちょっとね、今週は遅めの収録ですけど。
いやー、疲れましたね。
うーん、同業者のみなさん本当にお疲れ様ですね。
まあ多分、その、様々あると思うんだけど、会社によって。
その、なんか、まあ聞いてる人の中にいるかわからんけど、なんか事故っちゃいましたっていう会社もきっとあると思うし、
いたくさきが事故っちゃいましたみたいなパターンも多分あると思うし、
まだ何にもないけど、何にもないなりに忙しいみたいなところも多分あると思うし、
なんか、まあ様々多分あると思うけど、まあ何せお疲れ様ですっていう感じですね。
そうだね。
守る側のセキュリティは割に合うのか
なんかさ、その、ちょこちょこ直近、なんか別に今この状況だからってわけじゃなく、
あの、自然発生的にこのタイミングでその、なんかセキュリティに関する個人のね、なんかアウトプットとか、
その、ああこういう考え持ってるなーみたいな、ブログいたしたいなーみたいな気持ちがあるんだけどさ。
いやー。
今この状況だとさ、その、出しづらいんだよね、なんか。
それもあるけど、なんか普通に書いてる暇がないですね。
あー。
書いてる暇作るんすよ。
あ、そうなんだ。
うん、いやわかんない。
その、今僕たちはさ、一応その、なんていうか、毎日4,5時間残業しなきゃいけないとかそういう状況ではないんだからさ。
まあね、それはそうだけどさ。
プリベット時間を使って。
まあね。
いいんだけど、なんかその考えても嫌だし、その、なんか、なんかそのポエミ、ポエミな気持ちもあるから、それを投稿した後に、
あの、万が一、その、うちがやられた時に、なんかその。
まあね、気は使うよね。
そうそうそう。
それはわかる。
だからなんかすごい、なんか難しい立場なんだなってすごいしみしみ。
そうだね、だからなんかさ、その、最終的に何も言えなくなるんだよね。
そうだよね。
うん。
だからなんか、まあ今は多分もうこのまま控えるかもしれないけど、強い気持ちでちょっと。
うん。
気持ちと状況が落ち着いたら、あの、ポエミを、ポエ、ポエっていきたいなって気持ちはありますけど、はい。
なんかポエリタイシリーズで言うと、なんかその、こう、もはやこうなってしまった中で守る側にいるのって割に合わないよねみたいなことを言ってる人がなんかいて。
へえ。
どういう意味?
結構前なんだけど。
まあちょっとその人のその文脈とかは全部は組んでないからわかんないけど、まあそのセキュリティを仕事にするっていう文脈だけで見てもさ、その、例えばだけどベンダーで診断してますっていう人と、なんかそのイ
ンハウスでセキュリティやってますっていうのって言うと、なんか大雑把に言えば守る側攻撃する側みたいな話になるじゃん。
そうだね。
うん。
まあ別にトータルでセキュリティに貢献してるよっていうのは別に変わりはないんだけれども、なんか。
まあレッドブルー的な。
そうそうそうそう。
うん。
なんか守る側ってあまりにも割に合わないよねっていう。
まあそういう解釈を俺はしたんだけど。
うんうんうん。
うん。
割に合わないのか本当にっていう。
なんか。
ちょっとなんかポエリタイけど、なんか。
ああそうなんや。
まあいいかなと思って、なんか何もしてない。
まあどこをLINEにするかだと、別にこの状況になる前からその別に割に合わないのは一緒なのではって思っちゃうけど。
まあね。
その非対処性っていうのはもう、なんかなんだっけ、本名前忘れてたけど。
その情報セキュリティの歴史みたいな本を読んだ時に思ったけど、たぶんこのソフトウェアというものが生まれたからずっと変わってない構造な気は。
まあね。
個人的にはしてる。
まあね。
なんで、個人的にネガティブにそう思ってるというよりかはもう割り切ってる気は、気持ちはあるんですけど。
だからその上でどうするのっていう。
なんか、まあしょうがないよね。
いや。
はい。
まあね、でも割に合わなくても必要な仕事ではあるしね。
うん。
うん。
割に合わねえもん、なんかその主語、主語をどうするかっていうのは。
うん。
個人的になんか、まあ、いやまあね、割に、まあね、割に合わないっていう見方自体は全然なんかわかるけど、なんか。
うん。
うん。
まあじゃあ割に合わなかったらやんないのかっていうとそういうわけではないしなって思うし、ちょっとなんかなんとも言えん感情でなんか見てたんだけどそれは。
うんうん。
まあいいね、なんかポエ、ポエミ案件としてはちょうどいい題材考えていいね。
ね。
まあでもなんか多分自分の中でこうぐるぐる考えて結論が出たら多分もう終わっちゃうから、何も書かずに終わるような気がするんだけど。
いつかこの場でポエってくれるの待つよじゃあ。
いやもう今ポエったからいいよ。
消化した。
うん。
なんかもうクロードとかに書かせるよ。
やりましょうか。
こういうテーマでポエっといてって。
消化のインターネットに投稿しといてって。
やだなあ。
やりましょう。
はい。
NRAセキュアの記事と攻撃傾向
今日はここぐらい、まあ鮮度はどうかというのを置いといて。
お便りは?
お便りはないです。
お便りないです。
GoogleホームXでお待ちしてます。
あのお便り送る暇もないでしょう。
知らんけど。
いや違う違う。
送ってくれた人から暇って言いたいわけじゃないから送ってきてほしいんですけど。
まあまあまあ。
毎回あるわけではないんでね。
じゃあ上から順に行きますけど。
一つ目で不正アクセスが相次ぐ今、ケイソーが担当部門と確認した4つのこと。
独自観測で見えた攻撃の児童化というエナライセキュアの記事ですね。
で、これ系の記事来週にも多分2つ3つぐらいあるんで。
なんかその限りに。
僕が観測者側だとその限りというかこれ系の初めての記事なっていう感じで。
何を初めてかって言ってるかというとその不正アクセスラッシュでどうやら増えてそうって話を前回もしたし。
もう世の中も気づいてる中でこの背後に結局何がいるんだっけっていう話があって。
まあ割とタイミング的にもうAIの児童化でしょうみたいな論調がかなり強い一方で。
別に何かエビデンスはないっていう認識を僕はしていて。
なんで結構その専門ベンダーの観測とかリサーチ待ちなところがあったんですけど。
まあそのうち1ノブゼムっていう感じだなと思ってますって感じですね。
で、タイトルにある経営層が担当部門と確認した4つのことみたいな部分はスタンダードでもうやるべきですよねって話なんで。
カツイズツーとしてそのNRAセキュアで観測してる範囲で見えてる攻撃の傾向みたいなのをまとめてくれていて。
具体的には3万件ぐらいAPIを狙う攻撃が3万件検知してますよみたいな。
物量で言うとそれぐらい検知してて、そのうち8割ぐらいはSQLインジェクション関連ですっていうのを書いていて。
分析していて、また物によってはアカウント作成してそれ使ってログインして探索してみたいなものとか。
そういう割と意図というかある程度セマティックを解釈して動くような攻撃も観測してますというのが書いてあります。
これさ、でもさ、この10月2日から8日の間に観測されたものだけ開けてるけどさ、
その前と比べたらどうなんですかが分かんないよね、これだと。
別に実は前から変わってませんとか普通にありそうじゃない。
確かに。
なんでそこを比較で出さないんだろうね。
なんでだろうね。
あとはAI活用の痕跡みたいなのは、
AIの指示とか作業途中の成果物っぽい名前とか内容のマークダウンとかが攻撃の痕跡が見つかったりはしていて、
状況証拠としてはほぼ黒っぽいんだけど、一方で決定的な証拠って意味だとまだ分からんっていう。
なんかでもこのAI使ってるの使ってないのみたいな議論って意味あんの?
使ってないわけないじゃん。
そうだよね。
個人的にはあんまないと思ってる。
みんなやたらここを気にするけどさ、
アホほどどうでもいいっていうか別に使ってないわけないのに何の意味のある議論なのかな。
確かにね、言われてみればそうだね。
なんていうか理由を見出したいんじゃない?みんな。
なんでこんなことになったのっていう。
僕らはさ、継続的にいろいろ状況を把握し、そもそも知識もあるからそう思えるけど、
そうじゃない人たちからしたらなんだこの悪いお祭りはっていう。
AIを使って効率化しているとか、技術のないハッカーがAIでめちゃくちゃ成功を上げてるとか、
そんな感じで妄想を膨らませてるっていう感じなんじゃない?
これはもうほぼ雑談ですけど。
なんで個人的にはAI、傾向を見るというか、
実際裏取りしてAIいますねとか直近だとちょこちょこ出てるけど、
ハーネスで効率的に作られた汎用的なペンテストツールを使ってるらしいみたいなのが出てきたところで、
予測はできてたけど逆に言えば、
例えばめちゃくちゃ高度な国際的な脅威アクターが片っ端からやりに来てるわけじゃない。
であれば、めちゃくちゃ高度なスペアフィッシングを自社に仕掛けられる可能性とかっていうよりかは、
見える面、ネットワーク上露出している面を機械的かつAIを使って触られるに留まるから、
じゃあそのラインをまずは満たそうねみたいな考え方でいきましょうっていう、
そういう意思決定には使えるかなと思うんだけど、
一方でよく見かけるのはAIだみたいになって、
そこに対して、AIはこんな高度な動きをしてくるんで、
こういう高度な対策が必要でしょうみたいな言ってるメディアとか、
メディアに出てくる見たことない会社の見たことない専門家とか言ってるのを見ると、
それに踊らされるのはちょっと気をつけた方がいいかなって気持ちではいるって感じかな。
最初に言ってるけど、やるべきことは全然今のところ変わってないというか防御感とか。
そうだね。
多分スピード感しか変わってないから。
結構、まあわからんけど、
要するにこの記事がどうこうっていう話では全然ないけど、
煽られずに進める企業の防御
なんかそれを世の中の今の論調みたいに対して、
いや、わからんなという感じはあるね。
わかるよ。
あんま世の論調にモノモノさないまんとして自称して生きてるけど、
ここ2,3日ぐらいはちょっと燃えるニュースが多いなって気持ちにはなるわ。
燃えるっていうか、
これに踊らされてほしくないなって気持ちが強いかなって。
一番不幸なのってそれに踊らされて、
焦って不必要で高価なソリューション入れるとか、
めちゃくちゃ高いコンサルでどうにかしようとするとか、
一番最悪なのは、
例えば金払って、
特定のそういうベンダーがいるって言ったわけじゃないけど、
仮にそういうベンダーがいるんだとしたら、
この状況に対して直しますみたいな、
やばいとこ見つけますみたいなコンサルにお金払って、
大丈夫でしたって言われて安心してやられるみたいなのが最悪なシーンだと思うから、
例えばだけど、
あんま横丸くも近道はないと思うし、
だからこの記事も多分書いてある、
これをやるべきだよねってことはそれこそまさに書いてあるけど、
なかなかね、
踊らせてほしくないなっていう気持ちは強いかな。
だからもう一方で、
インハウスでセキュリティーチーム作ってないところはさ、
あるいは別にセキュリティーチームじゃなくてもいいけど、
それやる人がいないところはさ、
どうしたらいいんだろうね。
きついと思うね。
きついよね。
だからセキュリティーチームが必要なんですとは言わないし、
別にそういう話をしたいわけじゃないんだけど、
ぶっちゃけ別にセキュリティーチームがいても、
今バタバタしてるやん。
そうだね。
いなかったらいないとこどうしてんのかなってちょっと思っちゃうんだよな。
なんか、
だいぶ前にちょろっと話した、
セキュリティーチームいるのかいらないのか、
違うわ。
ゼロからセキュリティ始めたいですって相談を受けたらどう答えるかっぽい妄想をして、
仕立ためてるものがあるんだけど、
それを書きながら思ったのは、
こういう時代になった時にやっぱチームがないと、
結構事業前に進めるときのバッファーがなくなるというか、
本業に影響出るよねっていうのが個人的な結論な気がする。
だからチームなくても多分対応できるんだけど、
やっぱ専任チームがない分、書道が遅れるっていう単純なリスクもあるし、
書道じゃ遅れないためにリサーチコストとか、
人でも多分専門家じゃないなら2倍3倍の人数集めなきゃいけないかもしれないし、
でもその人たちは本業のための開発とか業務をやっていて、
そこの調整ももしかしたら大変かもしれないし、
でももうやらないって選択肢がなくなってしまってるから、
だからもう本業ブレーキかけてやりましょうにしかならないけど、
チームがあったら、チームがあっても本業ブレーキかけなきゃいけないケースは全然あるけど、
とはいえ会社の対応するセクションとして存在してると一旦そこに預けて、
そこからじゃあ必要な資源だけを別のチームから拝借して進むっていうのができるから、
やっぱなんかヘルシーだなとはすごい思うんだよね。
あと書道が遅れるにも多分いろいろあってさ、
普段からセキュリティのことしか考えてない人間がいると、
やっぱそのスピードを上げるで済む部分も多分にあると思ってて、
その優先順位を組み替えるはどうしても今この状況だとあるんだけど、
そのセキュリティの中だけで見てもね、
なんかでもなんかどこがダメなんだろう、
この記事で言ってるようなところとかもさ、
これゼロからやるんだと多分だいぶしんどいと思ってて、
そうだね。
ある程度普段のその動きがあるからこそ、
なんかここを早くやりましょうっていうのができるものだと思ってて。
間違いないね、そうだよね。
確かにね、だからセキュリティチームがないって仮にそんなことはありえないけど、
じゃあ1000人チーム、1000人の人3人採用すぐにできて、
チームできましたよ、挑んで、
やったときにもともとセキュリティチームがあったとこと同じ動きができるかというと全くできない。
できないできない。
何も把握してないですけどっていう、
何からやりましょう、何からやるべきかを整理しましょうだし、
スタート地点もね、
多分自ずとスタート地点も後ろになっちゃうと思う、手前になっちゃうと思うんだよね、やっぱその、
個人的にはなんか。
そうだね。
まあそれでもやんないよりは絶対いいと思うけど、
なんか本当に何もないのである。
でもなんかその、それがベストな選択肢なのかはもはやわからんよなとは思うな、
その状態になったときにその、
なんていうか、コンサル入れるみたいなのがもしかしたら正解かもしんないし、
そうだね。
なんか採用でもたつくぐらいだったらなんか、
そういうとこ使った方がいいんじゃないみたいな話とかも、
まあないことはないような気もするし、
わからんけれどもなんか。
漏えいへの慣れと企業への影響
あとはその、この波を乗り越えたときに、
その収録前にもちらっと話したけど、
これってもう多分続いていく前提の中で、
なんかスポットで今時点のスナップショット撮って、
うん、いったん大丈夫って言って、
じゃあまた事業に前向きにいけるかで言うと、
まあこれはもう多分継続して大丈夫なことを点検し続けて維持しなきゃいけないっていうのがあるから。
感覚的にはなんかコロナなんだよな、なんか。
うーん、まあコロナ、まあそうかもね。
うーん、ちょっとなんか世界が、
まあ別に、なんだろう、まあわからん、ゆるやかに変わってたものが、
実際はゆるやかに変わってて、なんか急に変わったように感じてるだけなのかもしれないし、
ちょっとそういう、そこのなんか議論は別にどうでもいいんだけど、
なんか、その、もう前の世界には戻れないっていう意味だとちょっと、
なんか、コロナに近い気がするね。
そうかもね。
なんかもしくは、わかんないけど、
なんか、年中流行ってる病がバッと思いつかないけど、
インフルエンザが通年の病気かつ、ある日突然感染率が爆発的に増えたみたいな感じかな。
うーん、コロナやん。
コロナか。
いや、なんかコロナってその、
あの、なぜか今落ち着いたじゃん。
だからなんかその。
落ち着いてはいないんじゃない?なんかでも論調が落ち着いただけて、
だからそれも含めてコロナじゃないの。
その、さっき収録前に話したやけどさ、
多分いつか、この状況が仮にずっと続いたとしても、
みんな慣れていくよねって話が多分あって。
まあそうか。
別にコロナがどんだけ流行ってようが流行ってなかろうが別にみんな、
コロナあったね、そんなことも今もあるよねみたいな感じで多分、
存在に慣れていくというか。
なるほどね。
うーん。
これもそうなるんじゃないの?知らんけど。
なんか、もうてっきり見ないもんな。
感染者数とかももはや、
基本的にはもうディニフルの方が多いなって感じがする。
だからなんか、5000万件漏洩しましたみたいな。
まあ漏れるよねって。
まあよくある話やね。
今更何?って感じになってくるんじゃない?
でもなんか。
別にね、氏名、年齢、住所、電話番号、メールアドレスが、
まあ漏れるよねって言って。
もうそんなもんだよって。
もう何回漏れたかわかんないしって。
みんなになってくるかもしんない。
これさ、なんかもうちょっとどんどん話広がっちゃうけどさ、
消費者はどういう感覚に陥ってるんだろうね?
なんかちょっとまひっちゃいそうじゃない?ここまで行くと。
いやー、まひるし、慣れるし、なんか。
なんかそうなるとさ、あんましたくない妄想なんだけど、
今までだったら、
なんか5000万件漏らしましたとかあったら、
普通に信用失って強豪達に行くとか、
サービスの競争力が落ちるとか、
レピテーションリスクみたいなのがあったんだけど、
レピテーションリスクとかサービス違反みたいなリスクが、
仮想的に下がる世界線あんのかなっていうのを結構、
ちょっと真面目に。
なんか結構、なんかでもちゃんと調べないとわかんないけど、
漏洩事故で実際に客離れを起こしましたっていうのって、
実はそんなにないんじゃない?
なんかコードコブぐらいじゃない?
コードコブはみんな使わなくなったよなと思うけど、
なんか今パッと思いついた範囲で。
今日とかでも佐川が5000万件漏らしましたってなったけど、
じゃあみんなじゃあそれで佐川使わなくなるかっていうと、
多分使うじゃん。
市場の特性にもよるんじゃない?
下線市場だったらきっと。
そうだね。
結局例えば大和もこれやってたし、
佐川も今日やってるけど、
今日だっけ?
佐川はもともと漏らしてたやつの件数が欠けてたんかな?
ちょっとわからんけど、
多分今日だよね、あれもね。
なんかね、もともとニュースは出てて、
別件か続報かはちょっと把握してない。
ね、把握してないわ。
俺らもちょっと慣れつつあるから、
なんかもはやあれなんだけど。
もう追えないんだよ。
だから徹底になったときに、
じゃあ佐川使わないとやめますかって言うと、
別に多分やめないよねっていうのは、
なんとなく感覚としてはあるし、
だから漏らしていいんですよって話は全然ないんだけど、
漏らすよりも漏れないほうが絶対いいと思うんだけど、
でもなんていうか、
そもそも個人情報の漏えいによって、
そういうめちゃくちゃネガティブな事象が
会社とか企業組織に発生しますっていうのが、
本当なのかなみたいなのはちょっとわかんないね。
タイムズとかはでも、
免許証が漏れましたっていう人には、
1人当たり3000円出しますよっていうのを
一切するから、
そこは割とダイレクトに財務的な影響があるよね。
それでなんか、
なんていうか、
財務的に健全性を欠いて潰れちゃうみたいなことは、
もしかしたらあるのかもしれないし、
わかんないけれども。
具体的にパッと出てこないのが申し訳ないけど、
割とサイバー攻撃怖いですよ系のレポートあるじゃん。
経営者向けのとか。
そういうのをいろいろ見てると、
潰れるとこまで追い詰めれるケースはレアだけど、
やっぱ一時的に凹むよねっていう傾向はあるんじゃないかなって気はするけどね。
全く凹まない。
凹む理由はインシデントレスポンスの費用とか、
サービス自体がダウンして売上を起損するとか、
客万円とかいろんな要因があるから、
客万円だけで売上3割減りましたとか、
そういう話では全然ないんだけど。
あとはサービス業態もそうだね。
インフラだともう選択肢がないみたいな話とか。
いろんな要因が絡んでは確かにいそうだなと思うけど。
要素の一つとしてはあるんじゃないかなって思ってるけどね。
ないわけはないけど。
コードコブはユーザー側の利差しが高いサービスだからっていうのもあっただろうね。
みんな使わなくなっちゃったよね。
でもまだ残ってるからさ、それでも。
買収されたのかな。
あんま分かってないんだけど。
そんな感じだったんだと思った記憶あるが。
マネーフォームもさ別に、
この先はどうなるか分かんないけど、まだ残ってるしさ。
違うわ、セントリーの持ち物だったのを別の会社が買収したんだ。
確か解約まではいかないのかな。
だから2Cか2Bかもあるだろうなとは、それこそ。
2Cが多いから今やっぱ結構ニュースになりやすいってなるから。
なんかそうだね、業態とかビジネスまでによって色々変わりそうだね。
じゃあ2Cサービスだったら貰わせてもいいやと。
なるのかどうかで言うと。
まあでも、
あれだね、
ここ半年に1回やられてるなってところがもし出てきたら、
それはもうダメかもね。
繰り返しのはそうだね。
さすがに見てないから、
そこまでは貧乏かもね、会社側は少なくとも。
あとなんかやりすぎるともはや行政処分とかになってすんのかな。
でもそういう話は出てるよね。
その要は規制の強化をしようよっていう話は出てるじゃん。
それで言うと。
まあそうなるよね、こんだけ連発すると。
きちいね。
いろいろ考えさせるね。
もうだいぶ記事の話は忘れてしまったが。
まあまあ観測の一端という感じで、来週もいっぱいあるんでちょっとお楽しみにぐらいのテンションで読むといいかなって。
なんかすごい雑になっちゃったけど。
結構こういう資料本当にありがたいと思ってます。
ありがとうございます。
GitHub Evergreenによるリポジトリ整理
じゃあ次はちょっとだけ、いいですね。
いい味変の記事として紹介ですが、
GitHub のチェンジログではなくブログのほうで、
Staying Evergreen, How We Automated Secure Accessand Report Hygiene in a Shared Worldっていう記事ですね。
なんかたまに出る僕の好きなGitHub社内の改善系の話なんですけど、
EvergreenっていうGitHubアップをGitHub内で使ってまして、
Evergreenは別に誰でも使えるものではないのかな?
OSSなのか?そういうのではないですね。
多分紹介って感じなんですけど、
これ何かっていうと、
GitHub内でGitHubを使ってるんですけど、
GitHubのオーガニゼーションのリポジトリのうち、
古いものとかを自動でアーカイブしたりとか、
あとはコラボレーターとかのレビューをして、
アクセスがしばらくないけど残っちゃってるとか、
そういうものがあったら自動で警告したり削除したりするっていうのをやってくれるGitHubアップだよって話ですね。
これだけ言っちゃうとすごいシンプルな話になるんだけど、
前提が結構面白くて、
GitHubって会社の歴史もそうだし、サービスの規模的にも、
やっぱりリポジトリの数が半端ないですと。
別の似たような記事でも触れられてたんだけど、
4桁減ったら多分5桁とか、
多分そういう世界観の話になってくるんで、
そうなると放置されてるリポジトリとか、
アクセス権の棚下ろしとかってなかなか放置されがちだし、
人出てやるのも限界だしっていう部分があって、
そこに対してこのEvergreenっていうのを作って解決をしたよって話ですね。
設計も結構参考になるなって思って、
例えば何か月経ったら自動でアーカイブとかそういうことをするってよりかは、
何段階かに分けてステートを変えてて、
まず何か月かアクティビティがなかったら、
これアーカイブしちゃうよっていうメッセージをスラックなのかな、
Amazon社内で使ってるチャットツールかなんかで通知して、
その警告何回かして、
それでも何も反応がなかったら自動でアーカイブするっていう風な作りになってたりとか、
アクセスのほうはどうなのかな、アクセス権のほうはちょっと覚えてないけど、
多分似たようなデザインになっていて、
自動化もきちんとしつつも、
最終的なラインを敷いてクリーンアップもするっていうツールになってて、
なんか地味だし、真似できるけどでもいい取り組みだなって思います。
そのうち何かサービスに組み込むのかな?
どうだろうな、
ちょっと個別最適に近い
部分的には切り出せそうではあるけどね。
ただ今のAPIでこれが実現できるって証明にはなってるから、
機能的には提供は可能だよね。
あとこれ多分いいなとどれぐらい共感できるかって、
古いリポジトリをアーカイブした経験があるかないかでめっちゃ下がると思ってて、
僕は古いリポジトリをアーカイブしたことがある側の人間なんでめちゃくちゃいいなって思ってて、
ヤギ足がソイコス入社する1,2年前ぐらいに、
アクションズを片っ端から世間にしていくっていう取り組みの過程で、
全リポジトリを自分で直すって意思決定をして、
そういうブログも書いたんですけど、
その時にわけわからん知らんリポジトリがめちゃくちゃあって、
頑張ってオーナー探して、コミッター探して、
捕まえて、これ使ってますかとか、何のためのやつですかとか、
誰にレベル上げればいいですかっていうのをツラツラやっていくと、
結果的に多分100個とかどうだろうな、ちょっと覚えてないですけど、
2,30リポジトリぐらいアーカイブしたんですよ、放置されてて。
創業当時からそういう運用してなかったから、その時の数溜まったって話はあるんだけど、
これって組織規模とかがどんどんでかくなっていくと、
加速だけ気に増えていくし、放置されてると地味に困るのが、
全リポジトリの横断的にセキュリティ的な自動化の仕組みを入れたいってなった時に、
いらんリポジトリに対してもうそれを入れなきゃいけないとか、
あと処理のオーバーヘッドにもなるし、
それがGitHubぐらいの規模で数千リポジトリありますとかなると、
普通にコストとして無視できなくなってくるとも思うから、
地味なんだけど尊い取り組みだし、
何かやったことない会社やると、
何だろう、部屋の隅の床を指でシュッてやったら、
あ、めっちゃほこり取れたみたいな気持ちになれるんでオススメですっていう。
例えが地味すぎて、もう最後の最後で何かちょっと、何かずっこける感じだよね。
何かね、
おー、こんなアーカイブできたみたいな気持ちだって気持ちいいっすよ。
まずはハム状なんですけど、
でもすごい、そういう意味でめちゃくちゃ共感したんで紹介しましたって感じですね。
使わないものはね、どんどん掃除しましょう。
使わないものをどんどん掃除の教祖を名乗っていきたいなってちょっと規則に思ってるんで、
頑張っていきたいです。
ありがとうございます。いつも助かったです。
いえいえ。
使わないものを掃除してくれて助かったです。
どんどん自動化していっていこう。
これもちょっと、うちの規模だとまだ優先度が低いかもしれないけど、
ちょっとパクろうかなって気持ちで。
今日も一個アーカイブしたし、それこそ。
まあね、なかなかできないやついてさ、
定期的に思い出すんだけど、
これアーカイブできるのできないのっていうのを確認するコストが高いんだよね。
自動で動いていい感じに何かあれして、
もういいよねを勝手に判別してくれるのは超助かる部分は正直ありますね。
マインドシェアも取られないし、心理的負荷もないよね。
わざわざ聞きに行かなきゃいけない。
分かる分かる。
じゃあ次。
GitHub Actionsのロックファイル
次はGitHub Change Logですけど、
素晴らしい。
GitHub Actions Workflow Log Files in Public Previewっていう記事ですね。
だいぶ前に紹介したGitHub Actionsの
セキュリティアワインで対策しますロードマップのうち、
紹介されてたもののうちの一つが実際にパブリックプレイでできましたって話ですね。
何かっていうと、
GitHub Actionsで使ってるマスタードパーティーに限らないか、
GitHub Actionsの、何て言うんだろう、いつもわかってないんだけど、
ユーザーホゲホゲで呼び出せるアクションの
ロックファイル、
NPMとかPHPとかRubyとか何でもいいんですけど、
そういうパッケージ系とかであるこのバージョンのこのハッシュを使う。
その子供のバージョンはこれがぶら下がってて、
それはこれを使うっていう。
依存関係で全部含めてこのハッシュを使うっていうのをロック、
ロックファイルを生成して記録することで、
毎回実行するときにそのバージョンだけを使うっていうのを保証できる機能が
パブリックプレイになったという感じですね。
使い心地としては今のとこは、
なるほどって感じだったんですけど、
そのGHコマンドのエクステンションって形で
GitHub社から提供されているものを手元で追加して、
このGHのコマンドのエクステンションでロックファイルを作るコマンドとか、
ロックファイルをオフラインで検証するコマンドとかがあって、
コミットするっていうのと、
コミットしたものを検証するっていうのが、
ルールセットだったかな、
ルールセットでチェックするっていうのができるんで、
基本的にはその合わせ技でロックができますよ、
運用ができますよっていうものに今のとこはなってますって感じですね。
ワークフローのフォーマットに手入れてくるのかなと思ったけど別ファイルだったね。
そうだね、別ファイルでしたね。
一応サンプルで僕パブリックリポで試してみたんで、
ロックファイルを生成するだけのコマンドを叩いた作文を
Notionのリンクに貼ってるんですけど、
普通に読める、読めるなのかなみたいなのがバーって生成されて、
収録前にも話してて確かに言ってたんだけど、
そのトップレベルのハッシュだけじゃなくて、
そのワークフローがまた別のワークフローを使ってる場合に
子供のハッシュまで固定してくれるようになるんで、
これは多分今時点だと
他に方法ないですね。
他に方法ない。
この差分はめちゃくちゃでかいよねっていう感じですね。
他に方法がないっていうか、あるはあるんだけど、
あるはあるっていうか、ないね。
強制する方法がなくて、
トランジティブな部分に固定されてないものがあったときに
実行はじくはできるんだけど。
そうだね。
そんなあともう使えないってなっちゃう。
これ使えばっていう感じだね。
この後はロックファイルをコミットして運用とか、
ロックファイルがおかしかったらはじくっていうのはまだできてないから、
ちょっとその辺の使い心地はって感じなんですけど。
リノベートとかがどれぐらいの速さで対応してくれるかとかもあるんだろうね。
そうだね。
別記事で何だっけ、
あずきあずささんっていう人のブログで、
これ使ってみたっていうのをもっと詳しく書いてくれてる記事があって、
これ読むともう全部分かった気持ちになれるんで。
分かった気持ちになれる、分かる通り。
素振りした気持ちになれる。
これを読んで素振りするのが一番いいと思うけど、
時間ない方は読んでみるといいんじゃないかなと思いますね。
ちょっと使ってみるか。
GAになるときはもうちょっと使いやすくなってほしいなって気持ちは。
今のところ気づいたのはロックファイル生成しのほど遅くて、
もうちょっと早くしてほしいなぐらいかな。
なんでそんなに時間かかるんだろうね。
わからん。
作業しながら待ってても終わんないなって感じで、
結局寝て翌朝終わってるわみたいな。
さすがに一晩かかってないと思うんだけど。
なんかそんななんかたかが知れてそうだけどね。
これなんもせんでも普通にGHActionsLockでいけんの?
エクステンション入れて、あせてはいらない。
リポしてのトップレベルディレクトリでやれば大丈夫。
エクステンションの入れ方がわからなくなった。
あれかな、APIのレートリミットを使ってゆっくりやってんのかな。
GHExtensionInstallのGitHubGHActionsLockで。
どうしよっかな。
何がいいかな。これでいいか。
あっちにしよう。ちょっと待って。
今やるというね。
かけ込みでね。
その間にルールセットで。
でもこれ多分個人だとまだ、
ルールセットに組み込めない説がある気がするんですよね。
GHActionsLockを回す。
めっちゃ時間かかるね、確かに。
でしょ、パッと終わらんでしょ。
鈴木俊輔さんとかが作ったらもっと早く終わるやつ作れるんじゃ。
入社してもらおう。
よくわかんねえな。なんでこんな時間かかるの。
でも終わったよ。
本当?なんで俺そんな時間かかったんだろうな。
得が足りてないんだよ。
そうで、これあれだ。
ルールセットでの縛りはね。
でもさ、これさ。
これさ、GHA Lintとかと相性クソ悪い?もしかして。
悪いと思う?悪いかな。
だってシャーピンニングしてない見た目になるじゃん。
だからシャーピンニングしてない、
してなきゃいけないっていうLintルールをオプトアウトできないLintアウトは相性が悪いって感じかな。
GHA Lintもなんか全部。
GHA Lintはオプトアウトできる。
全部オプトアウトは。
全部からだけ思い出した、そっか。
ルール単位でできないんだ。
この行を無効化するしかできないから。
まあでも、鈴木俊輔さんからアップデート言ってくれる。
もう対応してくれそうな気はするけど。
アクションズロックがあったらそっちを見るとかやってくれそうだから。
なんならもう配置すればいいの。
いや、さすがにパブリックプレビューだからな。
タグは切られてないからそれだけ。
1週も経ってないかな。
めちゃくちゃ直近なんであれですよ。
まあまあ様子見じゃないかな。
これなんかもうちょっと変わる気がする正直仕様。
まあちょっと様子見ですね。
まだなんかプロダクションレディっていう感じでは全然ない。
まあいろんな取り巻きも含めて。
個人で試そうにもさ、GHA Lintとか全部回るようになってるから。
コミット偽装対策と署名
次もGitHubだ。
これはまあさらっと紹介ですね。
パブリックプレビューなんで。
GitHubのチェンジログで
Push Attribution for Commit to Unlimited PublicReviewです。
何かというとめっちゃシンプルで
プッシュした人とコミットに記録されている
Eメールかな。
Eメールが一致するかをチェックするルールを
ルールセットで設定できますよっていう変更ですね。
何がどういうことかっていうと
これを理解するには
そもそもコミットの仕組みを理解しないといけなくて
GitHubにプッシュするときって
SSHキーなりhttps認証で今通るのか
またぶつ飛ばせると思うんですけど
その認証で何かしら認証して
自分がGitHubの正規のユーザーであると認証してプッシュするんだけど
そのコミット自体のネームとEメールは
ローカルで別に自由に書き換えられるんで
極論僕がヤギ足のメールアドレスと
ヤギ足のGitHub名でコミットして
ただプッシュする認証は僕としてプッシュするっていうのが
原理上は可能だし
これをやったときに
他の人から見たときの見え方としては
ヤギ足がコミットしたように見える
アイコンとかがコミットの情報にリンクされるんで
そういうふうに見えるし
実際そのサプライチェーン攻撃で
リポジトリ侵害した後に
バレーづらくするようにそういう攻撃をしたっていう
事例もあったりする
今日ちょうどしゃべってたんだけど
この攻撃手法自体はコミットスプーフィングっていうふうに
呼ばれてるっぽい
要するにコミットの偽造みたいなことができるんですけど
これ防ぐ方法はもともとあって
コミット署名しましょうっていう話で
コミット署名すると
事前に自分の公開鍵をGitHubに登録しておいて
手元の秘密鍵でコミットを署名するっていうふうにすれば
プッシュしたときに
厳密にはプッシュ
プッシュされたコミットが
その人のコミットであるってことが証明される
ただ今しゃべってて気づいたけど
超厳密には
多分原理上は僕がヤギ足の秘密鍵をもらえば
ヤギ足の正当なコミットを僕の手元で作って
僕がプッシュするっていうのは多分できるね
今気づいたけど
ちょっと待ってもう一回言って
ヤギ足がコミット署名を設定するじゃん
何らかの方法で僕がヤギ足の
コミット署名のように作った秘密鍵を
僕の手元に持ってくるじゃん
僕がヤギ足として正当なコミット署名を手元にして
それをGitHubにプッシュするっていうのは
厳密にはいけるかな
そうだね
その場合はそうだね
むしろこのプッシャーとコミッターが
あれ?
でもそうだね
その場合はコミッターとプッシャーが
一致してないといけないっていう
今回入れようとしてるこのルールがないと
弾けないパターンだねそれは
そうだね
コミット署名だけだと弾けないね
そうなんですよ
なんでこのこれ使うと
仮に署名がなくても弾けるし
署名されてても別の人で署名してたら
弾けるっていう2パターンがあるのかなっていう
紹介したかったのは
コミット署名導入するのが早いっちゃ早いんだけど
コミット署名導入するのどうしても大変な規模感の
会社とかは一旦これ入れられると
めっちゃ楽やんって思ったっていう
ただそんな系の
でも諸実ありそうだけどな
わからんけどGitのコミット署名は別に
あれも結局
紐づける先がいるからGitHub依存はそこそこあるんだけど
GPGとかだったらまた話変わってくると思うけど
Gitのコミット署名自体はGitの機能だけれども
これはあくまでGitHubの機能だから
いろいろ考えた時にこれだけに依存するよりは
多分ちゃんとコミット署名でやりましょうねって話のような
気もせんではないし
2つ視点がある気がしてて
管理者側としてはこれは嬉しい機能だと思ってて
一方で個人個人開発者としては
コミット署名しましょうでいいと思ってて
なぜかというとこれが設定されてないリポジトリに
コントリビューションするとか
自分でメンテしてるパブリックなリポジトリとかがあるんであれば
そっちではこれで守ってくれるとも限らないし
他の人から見た時に自分が自分である署名が
コミット署名しておけばできるから
コミット署名した方がいいよねは多分
これがあっても変わんないではいいとは思う
あとこれ使いたかったら
エンタープライズプランの会社で問い合わせてくださいっていう
結構割とクローズドな状態なんで
なんでそうなのか分かんないけど
割と慎重に検証中なのかもしれないなっていう感じですけど
なんでだろうね
影響でかいのかな
切り戻しが大変とかなのかな
ちょっとこのオープンクローズドの基準は分かんないなって感じですけど
個人的には手っ取り早くて便利だし効果的だしいいかなっていう
GitHub依存は確かにと思いつつ
でもGitHubに依存ですよ
Gitを使ってると思ってないよ僕は
一連卓上でいけますか
まあいいけど別にそれ自体はいいと思うけど
GitLabとかいろいろあるんですけど
Gitもいつまで生きるんだみたいな話もありますけど置いといて
ありましたね紹介をしてないけどね今回ね
いろんなのが出てきてるんで
じゃあ次最後かな
ちょっと
どうしよう
A2B攻撃とセキュリティ情報の命名
注意喚起あいつ口をフォローへ
その原因の一つはアプリ解析からのサーバー攻撃
AIで高度化する脆弱性探索
Androidアプリを手がかりにしたA2B攻撃に注意
これは何の記事ですかどこの
Synexっていう
NICTですね
NICTなのこれそうなんだ
そうですか
はい記事です
何かっていうとちょっとバズってなんで
軽く紹介するかぐらいのテンションで持ってきちゃっただけなんですけど
アプリの通信とか解析して
思う壺やなまあいいけど
バズに踊らされてます
僕はちょっとやけっしょ認識合わせがしたくて持ってきたところがあるんですけど
すいません茶々挟んで認識合わせしましょう
ウェルカムですごめんなさい
僕の理解だとA2B攻撃は何をさせたかというと
アプリの通信とか解析してAPI
どのAPIとどんな通信してるかっていうのを解析した上で
そこから攻撃の糸口を見つけて
サイバー攻撃を仕掛けるっていう
それだけの話かなと僕は理解していて
記事の紹介はそれで以上なんですけど
これって別にずっと前からある概念ですよねっていうのを
ずっと前からある概念だと思うし
別にわからないけど名前つけてバズっちゃったねって感じの見方を
僕はしてますけど
解析のハードルが下がったよねっていうのは言ってあると思う
それぐらいじゃないし
解析のハードルっていうのは情報をAIに食わせられるからってこと?
そうそうそうアプリ自体のさ
どこまでやってるかわからんけど
多分アプリのリバースエンジニアリングをきっとやってるんだよね
わからんけど
リバースエンジニアリングのハードルが下がったよみたいなのは
言ってあるような気がするし
通信を見るみたいなのもさ
通信を見るは
アンドロイドだと
原稿アンドロイドは前からだけど
ちょっとパッとやるのは難しいかもしれないけど
リバースプロキシ
ローカルプロキシとか挟むのがめんどくさかったりするから
デバッグ用の
それ用のビルドをしないといけないみたいなのがあったりするんでちょっと大変なんだけど
そういうことはって感じか
特別騒ぐようなことじゃないんじゃないかなってすごい思いながら見てたのと
今日冒頭にちょっと話した
冒頭に話したか忘れたけど
今日たまたまなんかのニュースで
新種のATB攻撃とかみたいなの見出しと
すごいそれに対して専門家の子が
こう言ってますみたいなやつを見てすごい
セキュリティに生きる人間として
成熟したのか性格が悪くなったのかなんかわかんないけど
うわーって気持ちで見ましたっていう
それが言いたかった
名前がついたことで
わかんないなもうなんもわかんねーわ
別にさ
知名度的な話ってことね
知名度的な話は一定効果はあるのかもしれないけど
なんでもかんでも名前つけすぎじゃない
それはそうだね
なんとかトゥーシェルとかもそうだけどさ
なんとかトゥーシェルなんて何
じゃあこの先似たようなのが出てきたらなんとかトゥーシェル2が出たりするのかな
なんとかトゥーシェル3とかが出てきた
リアクトトゥーシェルPHPトゥーシェル
今日それもあるんだと思ったけど
プロトリートゥーシェルもね
GoToシェル
なんでもなんかさ
Rubyトゥーシェルも出たしね
全部Rubyトゥーシェル
あれか
レギエックスの
なんかさ
どうすんのかな
予約語がどんどん
CVEがさ
CVIDという概念がさ
人間の脳に適してないんじゃない
ランドアニマルみたいな感じでさ
CVEなんとかかんとか
みたいな感じでさランドアニマルでさ
命名すればいいじゃん全部IDを
脅威アクターの識別値も同じような話があるっていうのを聞いたことある
確かにね
結構かっこいい攻撃者のグループ名つけんのどうなんみたいな議論が
暴術ではあるらしいんだけどでも
わかんねえじゃんみたいな話と
Googleの脅威チームのブロード型
UNC-ホゲホゲみたいなCVIDみたいな
フォーマットなんだけど確かに
マジでわかんないから
人間への認知みたいなところで言うと
でもさCVもえぐい量あるからさ
なんかむずいよね
確かにね
AtoBちょっともやるな
別になんか
新しくなさすぎると思っちゃった感じが
なんか早いもん勝ちでつけた感じがあってすげえ
これ海外とかであんのかな
まあでも知名度っていう意味ではいいのかも
あとあれかな
ちょっとこれは邪推だけど
アプリ側のロジックであまりに認証とか認可とか
制御を担保してるってそこやられたところが多すぎて
いい加減にせえよって気持ちで
名前つけてこういうのを出したっていうのも
あるっちゃあるかもな
その辺の狙いはわからんけどね
聞いてみたいとこではあるよねむしろね
インシデント報告書の価値
日々の不正アクセスのニュースを
全部Notionに突っ込み続けて
読める範囲で読んでるんだけど
不正アクセス系で
確かにアプリ側のロジックに頼ってて
バックエンドが不備があってやられてそうな匂いがする記事は
めちゃくちゃあるんだけど事件が
でもみんなやっぱ最終的な原因ちゃんと出さないからさ
そうなんだよね分かんないんだよね
そうするといろいろ想像するしかなくて
結局全部やんなきゃねっていう結論にしかならないよな
っていうのはちょっと悩ましいとこだね
最悪オープンにしなくてもいいからさ
NCTなのかIPAなのか分かんないけどさ
情報収集してレポートとか作ってほしいな
そうだね
ここまでみんな一斉にやられたんならもう足並み揃えて
弱点埋めに行こうよっていう
ムーブメントがあってもいい気はするな
なんか一個どっかめっちゃ細かくレポート出してくれてたとこあったよね
どこだろう
なんだっけ
やべえ名前が出てこなくなっちゃった
会社のスラックに貼ったよ
会社のスラックに貼った?
貼っただいぶ前だけど
だいぶ前って言っても別に今週くらいだよ多分
日々ニュース流れすぎてるな
会社のスラック見るか
どれだろう
一個一個読んでるとちゃんと書いてくれてるとこは結構ある
結構はないかちょこちょこはあるから
結構見習いたいなと思いながら読ませてもらってます
すげえ気になる
頑張って探して
これもちょっと探そうか
あ、ちょっと一個それはそれとして
見たいやつ思い出した
後で見ないと
何も追いついてないな
見つかんねえ
全然ちげえわ
インシデントのやつで
いいレポートとかがあったら
コメント残しておくようにしてて
コメント見たやつですげえいいのあったなと思って
見つけたんだけど全然サイバー攻撃じゃなくて笑っちゃった
これちょっと面白いから
今探した間に喋るけど
某中学校が生徒の個人情報なくしちゃったってやつなんだけど
めちゃくちゃ詳しく書いてあってびっくりしたんだよね
何日の何時何分に学校出て
何時ごろにこの場所のお店で誰と
お酒を飲んで
何時にみたいなやつがあって
すごいねえらいなって思いました
全然関係ないけど
見つけられなかったです
カタカナの
名前の会社の
あまりにノーヒントすぎるな
あまりにノーヒント
PDFでさ
何が起きましたみたいに
全部まとめてくれてるレポートがあったんだよな
PDF?
PDF?
俺Xでリポストしてないかな
サイバー攻撃?
サイバー攻撃で
ねえな
リポストしてねえな
リポストもしてないし
いつごろや
お手製のデータベースを見てるが
データ数が多すぎて見つけられる気がしないな
わりと最近
最近
ブックオフとかかな
ブックオフではない
超失礼なこと言うけど
そこまで知名度のある会社ではなかった気がする
少なくとも社名に関しては
読み上げるとあれかな
悪い値掛けになっちゃうかな
どれだろう
ちょっと気になるんで見つけておいてください
あとLINEしとくわ
はい
見つかったらいい
認識は同じでよかった
やるべきことがあんないのは冒頭話した通り
気をつけましょうって話ですね
マジで知らない人もいるかもしれないしね
Xで眺めてた限りだと
クライアントのアプリと
裏に実体としてバックエンダーのアプリがいるよっていう
ところすら
前提知識として持ってないっていう人がやっぱりいて
みたいなことを言ってる人はいたね
なるほどなって思ったけど
確かにそうなるといい発信なのかもね
結果的には広く発信できてるわけだしな
なんか表裏一体だね
広く広まることと間違った情報がちょっと
突きかけるっていうのは
間違った
表現は難しいな
はい
ちょっといろいろぼやいちゃいましたが大変な状況ですが
皆さん一緒に頑張りましょう
来週もいっぱいニュースがあるんでね
これ読んでる日では
すでにPHPの件もあったし証明書やらかしもあったし
楽しみですね
今から次の火曜日の収録が
てか普通に記事読んでる
記事の読むのが追いついてないですね
無理ない範囲でやろう
すげえ気になるんだけどどこだっけ
PDFがさ
見つかんないんだけどこれかな
たぶんこれだアルカディア
これか
めちゃくちゃ細かく出してくれてる
読んだわこれ
これさ
これを元に
被害を受けたところも何個か出してるんだよね
確か
確かにね
まあそうだね
でも言っても
実際に何が起きたか全部把握できるほど
細かくもないのかな
攻撃者が何時何分にアクセス開始しまして
みたいなところから書いてるよね
パストラバーサル使ってるよみたいなのか
そこそこ細かくはあるな
これすごいな僕が最後読んだ時から
たぶんどんどん追記されてて
リンクで言うと
10月23日の17時35分更新の
報告書ってやつもう1個
もう2つしたリンクで言うと
それに時系列が全部書いてある
素晴らしい
めっちゃ僕これ最初読んだ時の率直な感想読みづれえわと思ったんだけど
ちゃんといいねまとめてくれたんだね
素晴らしいですね
こういう事故ったことは
別に肯定はできないものの
いい対応してるところはすごい
お疲れ様ですって気持ちになるよね
中の人の努力を感じる
しかもこれWordpressがホスティングされてるから
昨日メンテしたのかな頑張って
大変だなこの状況で
確かに
いいね
いいと思います
すっきりしたわ
早く夜しか眠れなくなるとこだった
出た出た
じゃあすっきりしたところで
おしまいにしましょう
皆さんいろいろお気付きください
来週もお楽しみにしててください
おやすみなさい
