InfoQ ホームページ セキュリティ に関するすべてのコンテンツ
-
公開されているDockerイメージに対する脆弱性調査の結果がリリースされた
Federacyの研究者が、公開リポジトリ上にあるDockerイメージの脆弱性を分析した報告書を公開した。それによると、イメージの24%に重大な脆弱性が存在し、Ubuntuベースのものが最も多く、Debianベースが最も少ない。
-
自動受け入れテストに関する実用的ヒント
同値分割、境界値分析、リスクベーステストのようなテスト技術は、何をテストして、いつテストを自動化するかを決めるのに役立つ。InfoQは、様々な種類のテスト、十分によい受け入れテストを書くこと、テストの自動化を決める基準、テスト自動化の適用方法と実行可能な仕様の作成方法について、Adrian Bolboaca氏に話を聞いた。
-
継続的デリバリによるITパフォーマンスの改善
継続的デリバリのもたらす大きなメリットのひとつはリリースのリスク低減である – 包括的な自動テスト(Comprehensive test automation)と継続的インテグレーションとは、ITのパフォーマンスに最も大きな影響を与えるプラクティスだ。継続的デリバリとITパフォーマンスに関する調査から、継続的デリバリのプラクティスの実践はより高いITパフォーマンスにつながるだけでなく、ハイパフォーマによるテンポの向上と高レベルの安定性を実現することが明らかになった。
-
Webには時代遅れで脆弱性のあるJavaScirptライブラリで溢れていることが研究により明らかに
最新の研究により、Alexaの上位75,000件のウェブサイトのうち37%が少なくとも1つの、10%近くが少なくとも2つの脆弱性をもつことがわかった。さらにショッキングなことに、Alexaの上位500件のウェブサイトのうち26%は脆弱性のあるライブラリを使用している。
-
Cloudbleed - Cloudflareプロキシのメモリリーク
Cloudflareプロキシに対するリクエストのごく一部で、無関係なリクエストからパスワードなどの機密情報を含む可能性のあるデータがリークする、バッファオーバーフローのバグが発生した。‘Cloudbleed’と命名されたこの問題を発見したのは、GoogleのProject Zeroに所属する脆弱性研究者のTavis Ormandy氏だ。
-
オブジェクトのデシリアライゼーションフィルタがJava 9からバックポートされる
JEP 290は、オブジェクトをデシリアライズする際に入ってくるデータをフィルタできるようにするものであるが、当初はJava 9を対象としていたがJava 6と7、8にバックポートされる。この機能は処理されているオブジェクトのインプットストリームにおいて入ってくるデータをフィルタするメカニズムを提供する。またしばらく前にApache Commonsと他のライブラリに影響したもののようなデシリアライゼーションの脆弱性を防ぐ手助けができる。
-
Enterprise Ethereum AllianceにMicrosoft、Intel、JP Morganと複数のスタートアップが参加
Microsoftはブログで、新しく結成されたEnterprise Ethereum Allianceに参加すると表明した。このアライアンスのミッションは実世界で運用されている、スマートコントラクトをサポートした唯一のブロックチェーンから学び、その上で開発を行うこと。そして、ビジネスのスピードでこの最も複雑で需要の高いアプリケーションを取り扱うことができるソフトウエアを定義することだ。
-
Apache Rangerがトップレベルのプロジェクトに昇格
Apache Hadoopエコシステムのセキュリティ管理フレームワークであるApache Rangerがトップレベルに昇格した。Rangerは、Apache HBase、Hadoop（HDFSとYARN）、Apache Hive、Apache Kafka、Apache Solrなど、サポート対象のHadoopコンポーネントに適用されるセキュリティポリシーを一元的に定義および管理するためのコンポーネントである。
-
Enterprise Ethereum Allianceがビジョンペーパーを発表
新しく立ち上げられたEnterprise Ethereum Alliance (EEA)が “ユーザーや利害関係者がEnterprise EthereumプロトコルをサポートしたEthereumプロトコルへの進歩を提案し実装し、まとめる”ためのビジョンペーパーを発表した。このペーパーでは、EEAはプラガブルコンセンサス、ガバナンス、相互運用性、Ethereumプロトコルのアップデート、ソースコードの実行、ストレージ、パフォーマンス最適化などの幅広いトピックを扱っている。
-
World Government Summitで“Building the Hyperconnected Future on Blockchains”と題したペーパーが公開に
近頃開催されたWorld Government Summitで、Hexayurt CapitalとConsenSysは“Building the Hyperconnected Future on Blockchains”と題したペーパーを発表した。このペーパーの目的はグローバリゼーション2.0を駆動する次のイノベーションの波のための合意のインターネット(Internet of Agreements,IoA)の戦略を提供することだ。
-
Bitbucket、2要素認証の必須化とIPアドレス制限を導入
AtlassianがBitbucketをより安全にするための新機能を2つ発表した。IPアドレス制限（IPホワイトリスティング）と2要素認証の必須化だ。
-
NISTの指針は生体認証を使用する場合に第二の認証因子を要求する
NISTは、"過去のリビジョンからのかなりの更新"と記された、新しいデジタルアイデンティティガイドラインをリリースした。このガイドラインは容認可能な複数要素認証(MFA)の使用方法について記載している。更に、生体認証を因子の１つとして用いる場合、個人が有する何らかの情報と組み合わせなければならず、パスワードのような個人が知る何らかの情報と組み合わせてはならない。
-
Apache Eagleがトップレベルプロジェクトに昇格
ビッグデータプラットフォーム上でのセキュリティおよびパフォーマンスに関する問題を特定する，オープンソースソリューションのApache Eagleが，2017年1月10日，Apacheのトップレベルプロジェクトに昇格した。eBayが2015年10月にオープンソースとしたEagleは，機密データへのアクセスや悪意のある活動を簡単に検出し，タイムリに対応する目的で開発されたソフトウェアだ。
-
Googleが監査ログ機能の提供を拡大し、ほとんどのクラウドサービスに対応
セルフサービスのパブリッククラウドで"誰が何をしたか"を追跡することは難しい。Google Cloud Audit Loggingでは、Google Cloud Platform（GCP）の17のサービスに対してログストリームを取得する。
-
Googleがクラウドベースの暗号鍵マネジメントサービスを公開
Googleは、Google Cloud Platform（GCP）の新たなサービスとして、秘密鍵暗号方式の鍵の作成、使用、ローテーション、破棄を可能にするサービスを発表した。新しいCloud Key Management Service（KMS）はGoogleのCloud Identity Access ManagementおよびCloud Audit Loggingと統合されているが、KMSを利用して管理されているキーは独立して利用することが出来る。