InfoQ ホームページ セキュリティ に関するすべてのコンテンツ
-
ソフトウェアの生産性を犠牲にせずにセキュリティを確保する方法
セキュリティは開発効率と衝突することがある。侵害の影響を最小限に抑えることに焦点を当てる方が、予防よりも効果的である。Dorota Parad氏は、コンプライアンスの柔軟性とセキュリティチームとの協力によって実用的な保護策を定義することを主張している。影響範囲を制限し、自動化を利用することで、生産性の損失を最小限に抑えながらセキュリティを向上させることができる。
-
Meta社、AIエージェントを組み合わせた防御のためのLlamaFirewallをオープンソース化
LlamaFirewallは、プロンプトインジェクション、目標の不一致、そして安全でないコード生成からAIエージェントを保護することを目的としたセキュリティフレームワークである。AgentDojoベンチマークで評価された際には、攻撃成功率を90%以上削減する効果を達成した。さらに、開発者は新しいセキュリティガードレールを追加することでLlamaFirewallの動作を更新できる。
-
AWS CloudFrontがHTTPS DNSサポートを追加
AWSは最近、Amazon CloudFrontがAmazon Route 53、Service Binding (SVCB) DNSレコード (RFC 9460) の特殊な形式でHTTPS DNSエイリアスレコードをサポートするようになったと発表した。
-
MicrosoftがAzure DevOps MCPサーバーのパブリックプレビューを開始
MicrosoftがAzure DevOps Model Context Provider（MCP）サーバーのパブリックプレビューをリリースした。
-
GitLab 17.11、カスタムコンプライアンスフレームワークと拡張コントロールでDevSecOpsを強化
2025年4月17日、GitLab社はバージョン17.11をリリースし、コンプライアンス管理とDevSecOps統合において重要な進展をもたらした。このリリースの注目すべき機能は、カスタムコンプライアンスフレームワークの導入であり、規制コンプライアンスをソフトウェア開発ライフサイクルに直接組み込める。
-
AWSがGuardDutyを通じてEKSの拡張脅威検出を導入
AWSはGuardDutyの脅威検出機能をEKSクラスターに拡張し、コンテナレベルの脅威を検出するためにマネージドeBPFエージェントを使用する新しいランタイム監視機能を導入した。このアップデートにより、顧客はKubernetesデータプレーンから直接システムコールを分析することで、認証情報の流出、リバースシェル、暗号マイニングなどの疑わしい行動を特定できる。GuardDutyは、ユーザーがデプロイするエージェントではなく、マネージドインテグレーションを通じてインフラストラクチャにワークロード保護を組み込むクラウドネイティブセキュリティサービスの増加セットに加わる。
-
HashiCorpのHCP Vault Radar一般提供開始、Vaultインポート機能を装備
HashiCorpはHCP Vault Radar、管理されていない秘密情報や漏洩した秘密情報を組織が検出し、修正作業を支援するためのツールの一般提供（GA）を発表した。GAリリースに伴いHCP Vault Radarは、発見された秘密情報を直接HashiCorp Vaultにインポートできる新機能を導入し、機密情報の保護プロセスを簡素化している。
-
AWS Shield Network Security Director：ネットワークトポロジーの可視化と改善ガイダンス
AWS Shieldは分散サービス拒否（DDoS）保護で知られているが、新機能のプレビュー：AWS Shield Network Security Director、Shield の役割をDDoS緩和だけに留めず、ネットワーク構成の包括的な可視化を提供し、セキュリティ問題を特定、AWSリソースに対する実用的な改善提案を提供する機能を導入した。
-
CVEに別れを告げる？欧州脆弱性データベースEUVDが稼働開始
欧州連合サイバーセキュリティ機関（ENISA）は、欧州脆弱性データベース（EUVD）のベータ版を最近公開した。この新しい公共プラットフォームは、広く利用されている共通脆弱性識別子（CVE）システムと並行して運用されるが、独立して機能する。EUVDは、EU内での脆弱性対応における連携と透明性の向上を目的としている。
-
Have I Been Pwned 2.0 データ漏洩監視のための新ツールを追加
セキュリティ研究者のTroy Hunt氏が設立した人気のデータ漏洩通知サービスHave I Been Pwned社（HIBP）が漏洩情報の可視性向上と将来の機能拡張を目的とした大規模なフロントエンドの再設計を発表した。InfoQ社とのインタビューで、Hunt氏は自動化、ファミリーアカウントの登録、そして企業向けワークフローの改善を次の具体的なステップとして挙げる一方、業界全体��より強力な漏洩情報開示の規範を求めた。
-
DockerがHardened base imagesを発表
Dockerは脆弱性の低減とコンテナ化アプリケーション用ソフトウェアサプライチェーンのセキュリティ向上のために、本番環境向けの新たなセキュリティ強化型ベースイメージ群を発表した。
-
DockerがHardened Imagesを導入、コンテナセキュリティを強化
DockerはDocker Hardened Images、ソフトウェアサプライチェーンの脅威から保護するために設計された、エンタープライズグレードでセキュリティ強化されたコンテナイメージのカタログ、をリリースした。Dockerによれば、DevOpsチームが自らコンテナのセキュリティを確保する手間を省くことで、Hardened Imagesはエンタープライズグレードのセキュリティおよびコンプライアンス標準を満たすより簡単な方法を提供する。
-
SSL/TLS証明書の有効期間が2029年までに47日に短縮される
インターネットセキュリティを強化する動きの中で、CA/Browserフォーラム（CA/Bフォーラム）はSSL/TLS証明書の最大有効期間を現在の398日から、2029年3月15日までにわずか47日に短縮する提案を承認した。この決定は当初Appleによって提案され、Google、Mozilla、Sectigoなどの主要な業界関係者によって支持され、長期間有効な証明書に伴うリスクを軽減し、証明書管理の自動化を促進することを目的としている。
-
Google Goモジュールミラーが3年以上にわたってバックドアを提供していた
2025年2月、Goプログラミングエコシステム内で重大なサプライチェーン攻撃をSocketの研究者が発見した。github.com/boltdb-go/boltという悪意のあるパッケージが正規の広く使われているBoltDBモジュールになりすましていることが発見された。このバックドア化されたパッケージはGo Module Proxyのキャッシュ機構を悪用して何年もの間検知されずに存在し続け、モジュール管理システムの脆弱性を浮き彫りにした。
-
Meta社がうるう秒を処理するためにPrecision Time Protocolを使用する方法
多くのシステムは、調整、ログ記録、セキュリティ、分散オペレーションにおいて、正確で一貫性のある時間管理に依存している。金融取引、データベースのレプリケーション、スケジュールされたタスクなど、時間に敏感なプロセスでは、1秒のズレでさえ障害を引き起こす可能性がある。分散データベース、テレメトリーパイプライン、イベント駆動アーキテクチャのような厳密な同期が必要なシステムでは、うるう秒の取り扱いを誤ると、データの損失、重複、不整合につながる可能性がある。そのため、うるう秒を正確に管理することで、高精度の時刻に依存する環境全体のシステムの信頼性と一貫性を確保できる。