PHPユーザーなので、掲題の通り「どうなってるんだろー」って気になったので調べてみました。 きっかけ 任意のスクリプトの(自動的な)実行について composer audit 汚染に対して サプライチェーンアタック対策の基本 Transparency Filter CoolDown 現状＋直近でどうしていくか きっかけ やっぱりaxiosの件とか。 blog.flatt.tech 任意のスクリプトの(自動的な)実行について まず、「postinstall 的な仕組みで色々される」に対しては、「安直にプラグインに自由を与えるな」って話だと思うので、これは2.2でallowed list管理できるようになっておりますな。 blog.packagist.com composer audit CVEに対してどう動けるか？的な話の中心になるかな。 composer audit コマンドが追加されたの
昨日より2025年の営業を開始いたしました。 本年もどうぞよろしくお願いします。 2014年秋にβ版としてリリースしたクラウド型Webアプリケーション脆弱性診断ツール『VAddy』は、無事に11年目を迎えることになりました。VAddyは、自社で開発から販売までを手掛けた初の製品であり、ビットフォレストにとってもチャレンジングな存在です。 リリース当初、販売やマーケティングについては手探りの状態でした。当時は脆弱性診断ツール自体が限られた業種にしか知られておらず、ターゲット層への効果的なアプローチが難しかったのです。しかし現在では、『クラウド型Webアプリケーション脆弱性診断ツール』というジャンルにおいて一定の認知を得ることができたのではないかと考えています。 そんなVAddyの成長において、PHPカンファレンスへのスポンサー参加が重要な役割を果たしてきました。2024年には「すべてのPHP
はじめに ついにLoggol(ロゴル)の正式版をリリースすることが出来ました。それに合わせてLoggolブログも開始です。まず最初の記事として、そもそも何故このサービスを作ったのかについて書いてみようと思います。理由は複数あり、それらが複合的に混ざることで実際のサービス化を決心しました。 1. WAFの技術を活かせる 私はLoggolの開発以前より、継続して2つのクラウド型のセキュリティサービスの開発・運用に携わってきました。1つはWAFであるScutum、もう1つは脆弱性検査ツールであるVAddyです。どちらもおかげさまで順調にユーザを獲得でき、軌道に乗っています。 前者はWAFなので、受け取ったHTTPリクエストのデータを見て、それが「攻撃かどうか」を判断するという部分がサービスの中核になります。これはソフトウェアによって瞬時に行われる処理であり、人が判断するヒマはありません。ウェブア
9月28日に、沖縄県は那覇市で行われたPHPカンファレンス沖縄2024に参加して来ました。 楽しかったし色々な刺激に元気をもらえたし、今回の遠征も素敵な時間を過ごせたな〜〜〜が一言目に飛び出してくる感想 😃 主催のカンボさん初め、スタッフの方々お疲れ様でした。ありがとうございました！ それに素敵な発表を行っていた登壇者の皆さんや自分と交流してくれた皆さん、ありがとうございました〜〜 ということで #iwillblog ！の記事です。 phpcon.okinawa.jp 自分の登壇について 参加の感想 PHPでTLS/SSLを実装してみた ドメインと向き合う - 旅行予約編 PHPでアクターモデルを理解・体験しよう 懇親会とか P山さん 2次会 3次会🥩 4次会🍹 いろいろな人 misc 総じて 沖縄 記録 自分の登壇について CfPにいくつかプロポーザルを出して、ありがたくも採択して
オブザーバビリティには限りがない話
先日NewRelicの清水さんにマンツーマンでオブザーバビリティの話をきかせてもらえるという貴重な経験をした。長年アプリケーションレイヤーも含んでシステム運用の経験があると「あるある」な話なのだが、次のようなことが起こる。 何か不具合や障害が起こる 該当時刻のエラーログなどを見るが情報が少なく、原因を特定する決定打に欠ける 次回、また同じことが起こったときには原因を特定できるように、printfデバッグするコードを大量に埋め込んだバージョンに更新して、デプロイする もう一度起こるのを待つ これは最初の状態が「オブザーバビリティに欠けた状態」だったと言える。めちゃ納得してEnter Sandmanくらいヘドバンして頷いてしまう。 僕の経験上このようなケースを避けるために良い結果を出してきたのは、Javaの例外が出た箇所でスタックトレースを取得しておくことだ（僕らは単にログファイルに吐いておい
OpenTelemetry を利用して PHP アプリケーションのテレメトリデータを計装する方法をまとめました。 本エントリのコードは下記で公開しています。 github.com OpenTelemetry とは 用語 PHP アプリケーションのマニュアル計装（手動計装） 構成 OTel Collector Jaeger 動作環境 必要なパッケージ PHP コード 設定 実行 PHP アプリケーションのゼロコード計装（自動計装） 必要な拡張とパッケージ 設定 PHP コード 実行 さいごに 参照 OpenTelemetry とは opentelemetry.io OpenTelemetry は、サービスやアプリケーションのテレメトリーデータ（トレース、メトリクス、ログなど）を計装、生成、収集、送信するためのオブザーバビリティフレームワークです。ベンダーニュートラルな OSS であり、CNC
はじめまして、ムラマツと申します。2022年末をもちまして株式会社 講談社を退職することとなりました。 2002年に講談社に入社して、週マガ→ライバル→ヤンマガ→コミックDAYS立ち上げ→モーニング…とマンガ編集畑だけを20年にわたり歩んできましたが、2023年1月からはサイバーエージェント社に入社し、CyberZ社の「Studio ZOON」でWEBTOONをがんばろうと思います。 この記事はいわゆる「退職エントリ」です。これを機会にこれまでのことをちゃんと振り返り、これからのことなんかもちょっと触れられたらと思います。今後、マンガ〜コンテンツ業界への新卒入社や転職を検討されている方の一助になれば幸いです。 入社まで時計の針をめちゃくちゃ巻き戻して2001年。僕は第一志望である講談社の企業説明会的なものに参加し、講談社本館のでっかい体育館みたいな場所でリクルートスーツを着てパイプ椅子に座
コンピュータは中で何をしているのか、AND/OR回路、加算器、プログラム、その歴史が短くわかりやすくまとめられてる書籍「コンピュータ、どうやってつくったんですか？」と、もう少し内容を多めにコンピュータの歴史、インターネット、OSの話が書かれた「痛快！コンピュータ学」の2冊がすごくおすすめ。 分厚いコンピュータサイエンスの本を買って2進数やAND回路、などなど読み進めて寝てしまった人に向けて（自分です）、すごくおすすめの2冊です。 コンピュータ、どうやってつくったんですか?:はじめて学ぶ、コンピュータの歴史としくみ 作者:川添 愛 東京書籍 Amazon まずはこちら、「コンピュータ、どうやってつくったんですか？」です。イラストがたくさん使われているのに170ページほどしかありません。 大学の授業資料をまとめて書籍にしたそうで、表紙から子供向けかと思って買ってみたらコンピュータサイエンスやコ
先週末からのApache Log4j騒動に忙殺されて報告が遅れてしまいました。 VAddyプロジェクトは先週金曜日（2022/12/10)にThe PHP Foundationに寄付を行いました。 2021年12月10日時点 弊社CTOでありVAddy開発者の市川のTwitter ID （@cakephper）からも分かる通りVAddyとPHPは切っても切り離せない関係であり、私たちが愛して利用しているPHPからは多くの恩恵を受けています。 またVAddyリリース当初は、PHPカンファレンス、PHPer Kaigiなど日本のPHPコミュニティのメンバーからオフライン・オンライン問わず多くの応援の言葉や助言をいただきました。初めてVAddyを公の場で公開したのはPHPカンファレンス関西2014のLTで、以前開催していたVAddyミートアップの参加者はほぼPHP関係者だった記憶があります。 P
はじめに SQLインジェクションという攻撃手法(脆弱性)は10年以上前から基本的な原理は変わっていません。しかし攻撃される対象であるデータベースそのものは少しずつ進化し、新たな機能や文法、関数をサポートしていきます。そのため、SQLインジェクションの脆弱性が存在する場合に、そこから「どのように攻撃して、その結果何ができるか？」という点については、データベースの進化に合わせた変化があります。 WAFは防御対象となるウェブアプリケーションに脆弱性がある前提でSQLインジェクション攻撃を見つけるものであるため、データベースの比較的新しい機能や文法を使われたとしても、きちんと見つけることができるようになっていることが理想的です。 Scutumにおいてもデータベースが比較的最近サポートするようになった文法等に合わせて防御を強化しています。今回はサブクエリを使ったSQLインジェクションを例として紹介し
ここ最近、「サブスクリプション」について見聞きすることが増えてきました。こちらのDIAMOND onlineの記事では「フリー」「シェア」といった、近年浸透してきた言葉と同じくらいポピュラーになるとして、プッシュ中の模様。 トヨタ自動車からラーメン屋まで――。あらゆる業界で継続課金制の「サブスクリプション」が急拡大しています。本連載では「フリー」「シェア」などに続く新たなビジネスモデルとして注目を集めるサブスクリプションの最前線に迫ります。 diamond.jp また、その名も「サブスクリプション」という名の本が、IT業界の人を中心に多く読まれています。私も読みましたが、これはおススメ。いわゆるIT系のビジネスだけでなく、ありとあらゆる産業を巻き込んで、サブスクリプションが拡大する理由を、わかりやすく説明しています。 ここまで拡がってくると、自分的には10年ほど前から日本で「クラウド」とい
最近、趣味でファミコンエミュレータをGo言語で実装しています。 github.com 世の中にはたくさんのファミコンエミュレータ実装があり、golangだけでもいくつもあるため何で同じ言語で実装するのかと言われると、楽しそうだからとしか言いようがありませんが、趣味の話なので気にしないようにしましょう :) 私は下記のPHP実装のファミコンエミュレータを読んで、PHPなら読める・・読めるぞ！と思って写経しています。せっかくなので勉強し始めたgolangで実装をしています。 www.hasegawa-tomoki.com ここ1ヶ月ぐらい、毎朝20分ほどファミコンの仕様を読みつつPHPのコードを読みつつgolangに移植しているのですが、まだHello Worldが出力できていませんw そんな時間のかかるHello Worldですが、そこにたどり着くまでにファミコンのROMデータのロード、CP
VAddyは誰でも手軽に使えて、継続的なWeb脆弱性診断ができるクラウド型ツールです。 VAddy Adventカレンダーも残り少なくなってきました。 クロールとは クロールは、検査対象のURLとPOST、GETなどのパラメータを登録します。 正しい画面遷移やフォームの入力項目のデータを登録し、その情報を使って脆弱性検査を行います。 開発者の方にはあまり馴染みがないのですが、VAddy以外の検査ツールもクロール機能があり、一般的な機能です。 クロールデータは、検査対象のWebアプリケーションの正常動作を記録したものです。 VAddyを含めた多くのツールでは、ブラウザのプロキシ設定を変更し、プロキシサーバを経由して自分が開発しているWebアプリケーションにアクセスします。 そして、リンクをクリックしたり、フォームを投稿したり、Ajaxのように裏で通信する画面にアクセスするなど、HTTP通信が
VAddyは、継続的なWeb脆弱性検査が簡単に実現できるSaaSです。 昨日、一昨日とWordPressを例にVAddyの基本的な使い方、脆弱性の検出例を説明しました。 簡単にWordPressのセキュリティがチェックできましたし、CIやCronに組み込んで定期的に実行するのもVAddyなら簡単です。 10分でWebアプリの脆弱性検査ができた！VAddyでWordPressをスキャンしてみる WordPressのXSS脆弱性をVAddyで検出してみる VAddyはログインが必要なWebアプリケーションにも対応しています。 今日はログインが必要なWordPressの管理画面に"あえて"、クロスサイトスクリプティング(XSS)の脆弱性を入れて検出できるか試してみたいと思います。 もし、VAddyがログイン処理をうまく扱えていなければXSSは検出できないはずです。ではやってみましょう。 Word
継続的Webセキュリティテストサービス「VAddy（バディ）」、JenkinsプラグインとWebAPIの提供を開始 ～CIサイクルでのWebセキュリティテストの自動化を実現～ 株式会社ビットフォレスト（東京都新宿区 代表取締役 高尾都季一 以下、ビットフォレスト）が開発・サービス提供を行う継続的Webセキュリティテストサービス「VAddy（バディ）」は、本日よりCI（Continuous Integration：継続的インテグレーション※1）ツール「Jenkins※2」プラグインおよびWebAPIの提供を開始いたします。 VAddyは、開発の初期段階からリリース後まで、CIツールと連携して何度でもWebアプリケーションの脆弱性に対するセキュリティテストを実行できる、クラウド型の継続的Webセキュリティテストサービスです。 これまでCIの中でXSS（クロスサイトスクリプティング）やSQLイン
社内ネットワーク（オフィス・宅内LAN）の構築・最適化 企業向けWebサイトの設計・制作・運用支援 クライアントPCおよび周辺機器の導入支援・トラブル対応・運用サービス
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
