スライド概要 セキュリティ・キャンプ全国大会、プロダクトセキュリティクラス(Bクラス) B2『設計・開発・テストにおけるセキュリティの実践と考え方を知ろう』 プロダクトのセキュリティを担保するためには、できる限り開発工程の前段階でセキュリティリスクを発見することが大事であり、これを Shift-left と呼びます。 そのようなプロダクト開発の潮流の中で、セキュリティを担保するために、広範な知識と多くの技術が要求されるようになりました。 本講義では、ソフトウェア開発ライフサイクル(SDLC)をもとに、各工程でセキュリティをどのように担保すべきかについて、考え方や実践方法を学びます。 それにより、DevSecOps に代表されるセキュアな開発工程を俯瞰的に理解し、エンジニアの総合的な力を身につけます。 また、技術的な能力を高めるだけではなく、脆弱性に起因するリスクを他人にわかりやすく説明する
お疲れ様です。エムスリーでセキュリティなどを担当している山本です。 最近は「生成AI x セキュリティ」にも関心を寄せており、色々と試していますので、その辺りの話をブログリレーの中で書いてみたいと思います。 テーマは「検出された少ないライブラリ脆弱性にどのようにAIを武器にして向き合っていくか」です。 脆弱性検出とその対処 脆弱性情報から脆弱性の実効性探索へ 脆弱性情報の収集と形式化 トリアージの試み 「脆弱性判定プロンプトを作れ」 実際のプロジェクトに適用 人間による評価 今後やりたいこと 他にも試していること We are hiring! 脆弱性検出とその対処 システムが持つライブラリの脆弱性は、常にゼロにしておくのがもちろん理想です。 とはいえ、有名なライブラリからも常時脆弱性が発見されており、仮に作成当時完璧なシステムであったとしても時間が経てば対応が必要となります。 理想を言えば
2025/07/19 HackFesでの発表資料です。 https://hackfes2025.hacker.or.jp/ #hackfes
GitLab Connect Japan 2024レポート ～「Opening Remarks and Welcome Keynote: The Evolution of DevSecOps」より 2月7日、「GitLab Connect Japan 2024」が東京で開催されました。本稿ではイベント最初のセッション「Opening Remarks and Welcome Keynote: The Evolution of DevSecOps」の模様をレポートします。 Opening Remarks and Welcome Keynote: The Evolution of DevSecOps このセッションでは、GitLab社に所属するメンバーやゲストが登壇する形で行われました。 今回のイベントについて 最初にGitLab合同会社 Japan Country managerの小澤正治氏
※本記事は2022年5月13日に公開された記事の翻訳版です。 ※この記事はSecurity Tech Blogシリーズ: Spring Cleaning for Securityの一環で書かれています。 こんにちは。Security EngineeringチームのDavidです。 この記事では、メルカリが独自に実施しているSOC（セキュリティオペレーションセンター）の取り組みを紹介します。少しでも読者の脅威検出の取り組みをスタートするきっかけになれたらと思っています。 はじめに 一般的に、サイバーセキュリティは、防止(Prevention)、検出(Detection)、対応(Response)の3つの主要原則に分類されます。最近のブログ投稿やオンライン登壇では、SecurityチームとMicroservice Platformチームが主にセキュリティの防止の側面 [1] について触れてきま
１年ぶりになってしまいますが、今年もセキュリティ初学者が記事を書く機会として、Advent Calender 2023 16日目に参加させて頂きます！ 今回は、Azure を利用しているすべての方に使っていただきたい、Defender for Cloud でできるマルチクラウドCSPMについて、1年間で学んできたことを書いていきたいと思います。 はじめに 個人や企業のクラウド活用は、生成AI技術の発達により更に勢いづいています。多くのデータをクラウド上に保存し活用することは非常に便利で効率的ですが、その一方で情報漏洩やサイバー攻撃から保護するために適切な構成が行われているかを常に確認する必要がでてきました。 また、ユーザーは1種類のクラウドサービスだけを利用しているわけではなく、AWSやGCPなど複数のサービスを利用している場合、マルチクラウド環境のすべての設定を管理しなくてはならないとい
メリークリスマス!エンジニアのみなさんはPCと向き合っていることかと思います。 最近様々なところでDevSecOpsが浸透してきました。概念としては理解できるものの、実際に例を見てみないことには納得できないところもあるかと思います。 というわけで今回は超入門編の記事を執筆しました。みなさまの腹落ちに繋がると幸いです。 Eenterprise## この記事で紹介すること DevSecOpsのアーキテクチャ どういうメリットがあるのか ツールの使用例 DevSecOpsとは DevSecOps（Development, Security, Operationsの組み合わせ）は、ソフトウェア開発プロセスの用語です。開発（Dev）、セキュリティ（Sec）、および運用（Ops）の3つの主要な側面を統合し、連携させることで、セキュリティの統合を強化し、ソフトウェア開発の早期段階からセキュリティを考慮す
概要 自分の所属企業であるAqua SecurityがTFsecというOSSを買収しました。 blog.aquasec.com TFsecはどういうツールかというとTerraformの静的解析スキャナーです。Terraformの設定ファイルを渡すことでセキュリティに関する設定ミスを主に検知してくれます。 github.com そのアナウンスに伴い、TFsecは自分が開発している脆弱性スキャナーであるTrivyに統合されました。TrivyではTerraformに加えDockerfileやKubernetesなど、いわゆるInfrastructure as Code（IaC）の設定ミスを検知するマネージドポリシーも提供しています。他にもJSONやYAMLなど一般的なファイルフォーマットに対応しているため自分でポリシーを書くことでそれらの検知にも使えます。CloudFormationやAnsib
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
