OpenSSLの「重大な」脆弱性を徹底解説 - Qiita
本記事は2022年11月4日（米国時間）に公開した弊社の英語ブログBreaking down the ‘critical’ OpenSSL vulnerabilityを日本語化した内容です。 なお、この脆弱性に関しては下記のブログもご参照ください。 2022年11月1日、OpenSSLチームは、深刻度 (Severity) が「高 (High)」の脆弱性2つ（CVE-2022-3602とCVE-2022-3786）の詳細を示すアドバイザリを公表しました。これは深刻度「クリティカル (Critical)」の脆弱性として予告されていましたが、実際のアドバイザリでは「高 (High)」に格下げされました。しかしながら、OpenSSLは主要な暗号化ライブラリの1つであり、インターネットのTLS暗号化通信の大部分を支えているため、これはまだ問題といえそうです。 この記事では、これら2つの脆弱性を特に
OpenSSLの「重大な」脆弱性を徹底解説 - Qiita
本記事は2022年11月4日（米国時間）に公開した弊社の英語ブログBreaking down the ‘critical’ OpenSSL vulnerabilityを日本語化した内容です。 なお、この脆弱性に関しては下記のブログもご参照ください。 2022年11月1日、OpenSSLチームは、深刻度 (Severity) が「高 (High)」の脆弱性2つ（CVE-2022-3602とCVE-2022-3786）の詳細を示すアドバイザリを公表しました。これは深刻度「クリティカル (Critical)」の脆弱性として予告されていましたが、実際のアドバイザリでは「高 (High)」に格下げされました。しかしながら、OpenSSLは主要な暗号化ライブラリの1つであり、インターネットのTLS暗号化通信の大部分を支えているため、これはまだ問題といえそうです。 この記事では、これら2つの脆弱性を特に
30秒で分かるSnyk（脆弱性検知） - Qiita
はじめに 脆弱性検知を勝手にやってくれるサービスSnykがどんなものか30秒くらいで説明します。 登録方法は調べればすぐ出てくるので割愛します。 使い方 Githubと連携し追加したいプロジェクトを選択すると、このような画面になります。 コードにある脆弱性 Dockerfileで追加しているイメージやモジュールの脆弱性 使っているライブラリ（今回はRailsなのでGemfile.lock）の脆弱性 を自動で検知してくれました。 Gemfile.lockの脆弱性を見てみます。 アプリケーションサーバーであるpumaのバージョンによる脆弱性とその中身（CVEとかのリンク）を教えてくれます。 今、v5.2.2使ってるから、4.3.12とか5.6.4使えばいいよって言ってくれてますね。 Fix this vulnerability ボタンを押すと、 こういうちゃんとしたPRを勝手に作ってくれます。
AWS CodeBuildでSnyk IaCを使用してみた - Qiita
はじめに はじめまして！たかくにと申します！ この記事は「Snykを使って開発者セキュリティに関する記事を投稿しよう！」というテーマに沿って投稿しています！ 普段もIaCやAWSを中心にブログを書いているので、ご覧いただけると嬉しいです。 突然ですが、みなさん！IaC使っていますかー? IaC便利ですよね！ Googleトレンドでも、年々IaCの人気が増加していることが伺えます。 では、IaCで使っているコードのセキュリティを気にしていますか？ 気にしていなくても、これから気にすれば大丈夫です！ 今回は、AWS CodeBuildでSnyk IaCを使用してみた感想、詰まった点をご紹介します！ まずはじめに、Snyk IaCは、IaCのコードに対してセキュリティスキャンを行うツールです。コードに潜在した脆弱性を是正することで、各コードの品質を整えることができます。 具体的な使い方は私のブロ
Snykを使ってPostgreSQL拡張機能pgAuditを脆弱性診断してみた - Qiita
はじめに この記事はQiita Engineer Festa 2022への参加記事です。 Snykの脆弱性診断機能を用いて、OSSプロジェクトを診断してみます。 診断対象として、PostgreSQLの監査ログ拡張機能pgAuditを選びます。 自分がコントリビュートしたpgaudit.log_rows機能も含まれており、 脆弱性が検知された場合、他人事にできないので少しドキドキ。。。 Snyk(スニーク)とは 安全で迅速な開発を支援する、デベロッパーファーストのセキュリティプラットフォーム コードの依存OSSやコンテナ/IaC(Infrastructure as Code)の脆弱性を見つけ、優先順位をつけ自動修正 Gitや統合開発環境(IDE)、CI/CDパイプラインに直接組み込めるため、簡単に使用可能 ※ 引用元: https://go.snyk.io/jp.html pgAuditとは
TerraformのコードをスキャンするSnyk IaC（＋OSSのツール）をGitHub Actionsで試す - Qiita
本記事の内容は執筆時点（2022/6/21）での内容です。今後のアップデートにより結果が変わる可能性があります。 Terraformのコード（HCL）をスキャンすることができるSnyk IaCをGitHub Actionsから利用する方法を紹介します。またSnyk IaCのほかにもTerraform用のOSSスキャンツールであるtfsec、terrascanも試してみて、それぞれのスキャン結果についてみていこうと思います。 スキャン対象のコード 本記事においては、TerraformでAWSのサービスをプロビジョニングするシナリオで進めていきます。 具体的には以下のような構成でAWSを構築します。 1つのVPCと1つのパブリックサブネット パブリックサブネットにEC2を配置 EC2にセキュリティグループを割り当て、インターネットからのssh(22ポート)を許可 スキャン対象のコードは以下の通
Snyk をオンプレミス環境と接続する Snyk Broker の紹介と設定例 - Qiita
はじめに この記事は、Qiita エンジニアフェスタ 2022 「Snykを使って開発者セキュリティに関する記事を投稿しよう！」 の参加記事です。 Snyk Broker に関する日本語情報がまだ少ないの気がするので、書き留めます。 Snyk Broker とは Snyk Broker (以下、Broker) は snyk.io と Git リポジトリ間のアクセスをプロキシするためのツールです。 対応する Git リポジトリには以下のようなものがあります。 GitHub Enterprise Server GitHub.com Bitbucket Server GitLab Azure Repos またオンプレミス環境の Jira Data Center や Jfrog Artifactory、コンテナレジストリなどでも使用できます。 Broker clinet はユーザーのオンプレミス環
わざと危ない設定にしたTerraformの不備をSnykで検出してみる【IaCセキュリティスキャン】 - Qiita
はじめに この記事はQiita Engineer Festa 2022 「Snykを使って開発者セキュリティに関する記事を投稿しよう！」というテーマに沿って投稿しています。 突然ですが、みなさんはインフラのセキュリティをどう管理していますか？インフラ監視ツールを使ったり、クラウドのセキュリティツールを使ってますか？ 実際のインフラに対してこのようなモニタリング・セキュリティを実施するのもいいですが、実インフラへのスキャンはどれも時間がかかるものが多いです。しかしながら、Infrastructure as Code（IaC）でインフラ定義を行っている場合、もっといい方法があります。 それは静的にインフラ定義ファイルをセキュリティスキャンする方法です。これによって、コードをスキャンするのと同じ時間で、インフラをデプロイする前に問題が分かります。また、新しい脆弱性についてもすぐに判明するため、修
SnykでOSSプロジェクトの脆弱性を調べてみる - Qiita
🏆 オープンソース開発者大賞🏆 Qiita Engineer Festa 2022@kannkyoshi さんの「SnykでOSSプロジェクトの脆弱性を調べてみる」です OSS プロジェクトのセキュリティ改善に貢献した点に注目しました。修正版が公開された際には、プロジェクト名等もぜひ教えてください！https://t.co/hEinRuasyb — Snyk Japan (@snykJP) July 29, 2022 はじめに 昨今のソフトウェア開発において、OSSは必要不可欠なものになっていると思います。 Webシステム、アプリ、IoTシステム・・・。 Linuxやgccも含めると、OSSを使わずにソフトウェアを開発することはほとんどないかなと思います。 便利ですよね。 しかし、Snyk と Linux Foundation の共同調査によると、 41%の企業がオープンソースソフトウ
SnykでOSSプロジェクトの脆弱性をチェックしてOSS貢献？！ - Qiita
Snykとは？ Snyk helps software-driven businesses develop fast and stay secure. Continuously find and fix vulnerabilities for npm, Maven, NuGet, RubyGems, PyPI and more. 翻訳 Snyk は、ソフトウェア駆動型ビジネスの迅速な開発と安全性の維持を支援します。npm、Maven、NuGet、RubyGems、PyPIなどの脆弱性を継続的に発見し、修正します。 使ってみた。🐶🐶🐶 初めて使ってみましたが、 超簡単 です。 ログイン後の画面🐶🐶🐶 GitHubを選択します。🐶🐶🐶 パブリックリポジトリが指定できるので、wordpressのリポジトリを指定してみました。🐶🐶🐶 こちらが結果です。WordPressには
Snyk IaC で HashiCorp Terraform のクラウド設定ミスを防ぐ - Qiita
本記事は 2021年3月13日にJim Armstrongが公開した英語ブログ Prevent cloud misconfigurations in HashiCorp Terraform with Snyk IaC を日本語化した内容です。 Terraform の設定ファイル作成、plan、 apply の実行をサポートするために設計された Snyk Infrastructure as Code (Snyk IaC) の新機能を紹介いたします。Snyk IaC を使うことで、設定をコーディングしながら、即座にセキュリティ設定に関するガイダンスが得られます。また、デプロイのパイプラインで Terraform の plan ファイルをスキャンして、変更と設定全体が安全なことを確かめられます。さらに、何千ものファイルを扱う際の大幅なパフォーマンス改善、および、クレデンシャル情報などを守るための
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
