DevelopersIO 2022にて「OSSで始めるコンテナセキュリティ」というタイトルで登壇しました #devio2022 | DevelopersIO
コンサル部のとばち（@toda_kk）です。 2022/7/26〜28に開催された弊社主催のオンラインイベントDevelopersIO 2022にて、「OSSで始めるコンテナセキュリティ」をテーマに登壇しました。 動画 発表資料 セッション概要 「コンテナセキュリティってなんかいろいろあるけど、結局なにからやればいいの？」という方向けに、コンテナセキュリティの全体像や概要を解説しつつ、コンテナセキュリティに対応するためのOSSを紹介するセッションです。 ざっくりとした内容 OSSを用いることで気軽にコンテナセキュリティを実現してみよう、というテーマでお話ししました。 コンテナセキュリティに関する概要を、コンテナライフサイクルに沿ったリスクの評価と対応という形で整理した上で、関連するAWSサービスと機能を紹介しました。 また、コンテナセキュリティのOSSツールとして、Kubernetesセキ
オープンソースソフトウェアの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集を取りまとめました （METI/経済産業省）
経済産業省では、オープンソースソフトウェア（OSS）を利活用するに当たって留意すべきポイントを整理し、そのポイントごとに参考となる取組を実施している企業の事例等をとりまとめた「OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集」を公開します。 1．背景・趣旨 経済産業省では、令和元年9月5日に産業サイバーセキュリティ研究会ワーキンググループ1 （WG1）分野横断サブワーキンググループの下に、サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォース（ソフトウェアタスクフォース）を設置し、適切なソフトウェアの管理手法、脆弱性対応やライセンス対応等について検討を行ってきました。 近年、産業に占めるソフトウェアの重要性は高まっており、産業機械や自動車等の制御にもソフトウェアが利用されるようになっています。また、汎用的なハードウェア上にシステムを構築し
「ソースコードは全て公開が条件」の衝撃――OSSを賢く利用するための勘所
「当たり前のように使っていたOSSのせいで訴えられた！」なんてことがないように、OSSを賢く利用するためのポイントを解説します。 第1回から第3回にわたってOSS（オープンソースソフトウェア）の理念やライセンス、OSSを公開する際に気を付けるべきポイントを紹介しました。今回は本連載の最終回としてOSSにまつわるリスクを最小限に減らして賢く活用する方法を解説します。 ライセンス確認、脆弱性管理は不可欠 OSSを活用する際にすべきことは大きく2つあります。1つ目は、「どのようにOSSを利用するか？」を前もって決めることです。OSSにどのような形態があるかは第1回で説明しましたが、端的にいうと「OSSを改変して利用する」「ソースコードを取り込んで利用する」「バイナリコードとリンクする」の3つです。使用しているOSSがコピーレフト型のライセンスを適用している場合は、改変部分や自社独自で開発した部分
趣味で作ったソフトウェアが海外企業に買われるまでの話 - knqyf263's blog
今回はソフトウェアエンジニアじゃない人や学生にも、ソフトウェアエンジニアという職業には夢があるかもしれないと思ってもらうために書いています。そのため既に詳しい方からすると回りくどい説明も多いと思いますがご容赦下さい。 基本的に記事とかには技術的なことしか書かないスタンスでやってきましたが、今回の件はさすがに誰かに伝えておくべきだろうということで長々と垂れ流しました。 概要 GW中に趣味で開発したソフトウェアを無料で公開したところAqua Securityという海外企業（アメリカとイスラエルが本社）から買収の申し出を受け、最終的に譲渡したという話です。さらに譲渡するだけでなく、Aqua Securityの社員として雇われて自分のソフトウェア開発を続けることになっています。つまり趣味でやっていたことを仕事として続けるということになります。 少なくとも自分の知る限り一個人で開発していたソフトウェ
無料で高機能のリバースエンジニアリングツール「Ghidra」とは？ NSAが公開
関連キーワード NSA（米国家安全保障局） | オープンソース | OSS NSAはGhidraをOSSとして無償公開した（画面はGhidraの紹介ページ）《クリックで拡大》 米国家安全保障局（NSA）がマルウェア対策用のリバースエンジニアリングツール「Ghidra」のオープンソースソフトウェア（OSS）版を公開した。セキュリティプロフェッショナルはGhidraを使うと、高額なハイエンドの商用製品でしか使えなかった機能を利用できる。 サンフランシスコで2019年3月上旬に開かれたセキュリティイベント「RSA Conference」で、NSAはGhidraを発表した。期待の高かった今回の発表には、引き続きITセキュリティ業界とのより良い関係構築を望む、NSA側の意図が込められている。 自称「オープンソースジャンキー」ことデービッド・マットソン氏によると、Ghidraは「私が使っているツールよ
米国家安全保障局、オープンソースのマルウェア解析ツール「Ghidra」公開
NSA(米国家安全保障局)は米国時間2019年3月5日、オープンソースのリバースエンジニアリングツール「Ghidra(ギドラ)」を正式公開した。JavaのGUIウィジェットツールキットであるSwingやJython、C++で書かれており、プラグインはPythonで開発可能。公式ページではバイナリファイル、インストールガイド、Wikiなどを用意している。なお、ソースコードはGitHubから入手可能。OpenJDKをインストールしたWindowsやLinux、macOSで動作する。 Ghidraの実行シーン。Notepad.exeを逆アセンブルしている 対応するバイナリー形式は16/32/64のx86、6502、68xxx、8051、ARMおよびAARCH64、AVR8/32、CR16C、Java/DEXバイトコード、MIPS 16/32/64、MSP430、MicroMIPS、PA-RISC
曲者に権限が渡らない OSS 権限移譲プロトコルが難しい - Qiita
曲者に OSS の権限が付与され、悪意のあるコードを埋め込まるような事件をおこさない OSS 権限移譲フローを考えてみました。 TL;DR 基本的に OSS の権限譲渡を 選ばない方 が安全といえそうです。なぜなら、次のように権限譲渡の安全性を担保することはとても難しく、かつ高価につくからです。 代わりに、プロジェクトを停止するか、信頼できる人物に fork を依頼する（現状の project は archive）のが、責任回避の意味で有効だと思われます。 背景 「2018/11/27に判明したnpmパッケージ乗っ取りについて」が世間を騒がせていますが、個人的に驚いたのは件の package の元々の作者である方への非難の声が多いことでした。 個人的には、この事件の根本は npm 側の機能不足が問題という認識（postinstall フックなどの自動的なフックによって操作ユーザーの権限で任
SIOS Tech. Lab - エンジニアのためになる技術トピックス
2024-06-24 DomainObjectからValueObjectを自動生成するOSS作ってみた ~ ts-vo-generator~
オープンソースソフトウェアの老舗サイト「SourceForge」はいかにして堕ちていったのか
By Hugh Gallagher オープンソースソフトウェアの開発・ダウンロードサイトとして老舗の「SourceForge」が、ソフトウェア開発者から三行半を突きつけられるという事態に陥っています。「老舗サイトは、どのようにして堕ちたのか？」をまとめるとこんな感じです。 Black “mirror”: SourceForge has now taken over Nmap audit tool project [Updated] | Ars Technica http://arstechnica.com/information-technology/2015/06/black-mirror-sourceforge-has-now-siezed-nmap-audit-tool-project/ SourceForge grabs GIMP for Windows’ account, wra
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SAKON on Twitter: "経産省から神資料が公開されてた。 オープンソースソフトウェアの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集を取りまとめました https://t.co/be1FJhEPgK トヨタ、ソニー、オリンパス、日立、オム… https://t.co/ZuYBy6zDpN"
GitHub - ossf/scorecard: OpenSSF Scorecard - Security health metrics for Open Source
GitHubが開発ライフサイクルのすべてをセキュアにする――、OSSを取り巻くセキュリティ動向を説明
ハイスキルなエンジニアのプレミアム転職Findy（ファインディ）
コンテナセキュリティ関連OSSの紹介〜今すぐ始める無料の脆弱性検査〜
WhiteSourceが無償のオープンソース脆弱性チェックツールをローンチ