タグ: #security
GPU・LLM・MLOps・Kubernetes、そしてマインドセット · 141 件
#security タグの記事は141件で、最新の記事は2026-09-10に公開されました。
よく一緒に付くタグ: #devops 43 #kubernetes 27 #keycloak 23 #oidc 23 #sso 23
過去90日間によく読まれた記事:
クラウドの bastion とは何か、AWS ではどう使うのがよいか — ProxyJump 実測、SSM Session Manager、EC2 Instance Connect Endpoint
bastion は私設ネットワークへの入口を一つに絞ったホストだ。ホームラボで OpenSSH の ProxyJump でジャンプホストを経由し、対象サーバーが何を見ているかを実測してから、AWS が bastion の代わりに勧める SSM Session Manager と EC2 Instance Connect Endpoint を文書の根拠で見比べる。
2026-09-10 · 13 分で読めます #aws#bastion#ssh#ssm#security本番イメージを Trivy で検査したら — 768 件のうち実際に手を入れるのは三つのパッケージと Dockerfile の一行だった
ログインライブラリの署名検証バイパス（CVE-2026-27962）から、ダイジェストで固定したベースイメージが OS のセキュリティ修正を永遠に受け取れなかった件まで。検査ツールが自分自身を数える罠、秘密検出の誤検知、アップグレードが無害であることを対照実験で証明した記録。
2026-09-10 · 10 分で読めます #security#cve#trivy#docker#python自宅サーバーでハンズオン学習プラットフォームを作る — 特権なしの Pod の中に Kubernetes を入れる方法 ♪ 聞けます
受講者がボタンを押すと専用コンテナが立ち上がり、ブラウザ内のターミナルで本物の Linux シェルを触り、ステップごとにサーバーが実際の状態を検査して採点する学習プラットフォームを、自宅にある 7 ノードの Kubernetes クラスタの上に載せた記録です。いちばん難しかったのは機能ではなく隔離でした。ハンズオンなので受講者に root を渡さなければならないのに、その root が自宅ネットワークへ出ていってはいけません。Ciliu
2026-08-20 · 27 分で読めます #kubernetes#cilium#security#homelab#kwok閉域網の運用プレイブック — セキュリティパッチに追随し、ロールバックし、CVE 遅延を管理する
持ち込み手順が完成したあとの話、つまり閉域網を何年も回していく運用編です。まず閉域網で CVE 対応が遅れるのはチームの怠慢ではなく持ち込み周期という構造のせいであることをはっきりさせ、その遅延をなくせないのなら、どう測定して管理するかを扱います。dnf updateinfo と --security 系のオプションで何が滞留しているかを数える方法を公式ドキュメント基準で整理しつつ、持ち込みリポジトリでこれらのコマンドが何も出力しないと
2026-08-14 · 19 分で読めます #linux#rhel#air-gap#dnf#security閉域網の持ち込み手順と完全性 — 6 か月後も同じインストールが再現できるバンドルを作る
持ち込み媒体に何を入れて何を検証するのか、そしてそのバンドルを 6 か月後に開き直したときに同じ結果が出るようにする方法を整理します。閉域網では署名検証が接続網よりむしろ重要になる理由 — 媒体が内側に入った時点で、あとからオンラインで突き合わせる手段が失われること — をまず押さえ、rpm と rpmkeys の署名検査コマンドを最新の man ページ基準で区別して説明します。続いて再現可能なバンドルの核心であるマニフェストを具体的に
2026-08-14 · 13 分で読めます #linux#rhel#air-gap#rpm#gpgDRAMアドレススクランブリングとセキュリティ境界の下層 — 柵が変換より上にあると起きること
CPU内部で最も隠されたメモリ領域を、DRAMコントローラのアドレス変換を揺らして読み出す研究ツールが公開されました。脆弱性は暗号にも権限チェックにもありません。保護の柵がアドレス変換より上の層に建てられているという配置そのものにあります。この構造がなぜ崩れるのか、別名アドレスをGF(2)上の線形代数とSMTソルバでどう復元するのか、そしてこの研究が実際に何を要求し何を要求しないのかを範囲を明確にして整理します。
2026-08-14 · 13 分で読めます #security#hardware#memory#reverse-engineering#firmware準同型暗号コンパイラHEIRとコストという条件 — 発表文にない数字をコメントが埋めた事例
Googleが準同型暗号向けのオープンソースコンパイラツールチェーンHEIRを公開しました。ここでの本当のニュースは暗号ではなくコンパイラです。これまで準同型暗号の実配備を阻んできたのは数学ではなく、暗号の専門家にしかできなかったパラメータ選択の作業だったからです。ただし発表文はオーバーヘッドの数値を1つも示しておらず、その空欄をこの分野を研究したコメント投稿者たちが埋めました。どのワークロードが適用対象で、どれがまだそうでないかをその
2026-08-14 · 14 分で読めます #cryptography#privacy#compiler#machine-learning#securityいま注目のオープンソース (4) オブザーバビリティとセキュリティ
観測データは量がそのままコストになり、セキュリティツールはパイプラインに入り込めなければ使われません。計装の標準、ストレージエンジン、eBPF ベースのランタイム監視、サプライチェーンの検証まで、実際に定着したオープンソース 12 個を、スター数の順位ではなく担当する層ごとにまとめて紹介します。何を置き換えるのか、成熟度はどの程度か、いつ使うべきでないのかも併せて書きました。リポジトリのパスとライセンス、スター数、最新のプッシュは 20
2026-08-12 · 9 分で読めます #open-source#observability#security#opentelemetry#ebpfx86ハードウェアバックドアという言葉の正確な範囲 — rosenbridgeを著者が書いたとおりに読む
リポジトリの題名はx86 CPUのハードウェアバックドアとなっていますが、READMEの本文は、影響を受けるのはVIA C3だけと考えられており以後の世代にはこの機能がないと明示します。著者は免責条項で、これは組み込み市場向けの機能として善意で作られ、初期の一部世代で意図せず有効なまま残ったものと見ていると述べ、悪意を含意しないと書いています。この記事はその境界線を正確に移したうえで、実際に一般化されるのは発見ではなく方法であるという点
2026-08-09 · 18 分で読めます #security#hardware#x86#cpu#fuzzing攻撃者のいない侵害事故 — エージェントの資格情報を見直すべき理由
Hugging Faceは2026年7月16日に自律エージェントによる本番環境の侵害を公開し、約3週間後にOpenAIはその攻撃が自社の学習環境から流れ出たものだったと明かしました。この記事は事件の要約ではなく、その事件が脅威モデルに何を追加するのかを扱います。悪意がなくても権限を持った自動化は目標へ向けて漂流すること、このとき実際に働いた防衛線が侵入検知ではなく資格情報の寿命と範囲だったこと、そしてその事実が自分の組織の点検項目をどう
2026-08-09 · 15 分で読めます #security#llm#agent#incident-response#credentials資産台帳にないものはスキャンされない — 上水道PLC事件が教えるOT露出管理
CISAが2026年7月30日、上下水道部門のPLCを狙う活動が大きく増えているとして、インターネットに露出したOTを直ちに切り離すよう勧告しました。勧告文が観察した行為は侵害というより、パスワードを変えて運用者を締め出し、IPアドレスを変えて機器を切り離すことであり、その結果が煮沸勧告と長期間の手動運転でした。この勧告文をそのまま読みながら、定期的な攻撃表面スキャンに掛からないセルラーモデムの問題、緩和策がなぜその順序なのか、そして誰
2026-08-09 · 19 分で読めます #security#ot#ics#plc#cisaAIが6月のたった1か月で2年分のChromeバグを直した方法 — 1,072という数字の読み方
2026年7月30日にGoogleが発表した内容によれば、6月にリリースされたChrome 149と150の2バージョンだけで1,072件のセキュリティバグを修正し、これは過去2年間・23のマイルストーンで修正した1,036件を上回ります。その中には13年以上コードベースに潜んでいたサンドボックスエスケープのバグもありました。この記事は見出しの数字ではなくメカニズムを見ます — 2023年のLLMベースのファズターゲット生成から、202
2026-07-31 · 22 分で読めます #ai#security#chrome#fuzzing#vulnerability依存関係のサプライチェーンセキュリティ — ロックファイルが防いでくれないもの
package.json に自分で書いたパッケージは十数個なのに、実際にインストールされるのは千個を超えます。この記事では推移的依存がなぜ直接依存より危険なのか、ロックファイルの整合性ハッシュが再現性は保証しても悪意あるコードはまったく防げない理由を、実際のロックファイルの項目で説明します。タイポスクワッティングと dependency confusion が成立する条件、そしてスコープ固定やインデックスの優先順位設定で防ぐ方法、pos
2026-07-26 · 23 分で読めます #security#supply-chain#npm#sbom#ciTLS ハンドシェイクと証明書エラーの解読 — ブラウザは通るのに curl が失敗する理由
ブラウザでは鍵マークが正常に表示されるのに、curl とサーバーサイドの呼び出しだけが証明書エラーで失敗する状況は、サーバー設定の問題です。ブラウザは欠けている中間証明書を AIA 拡張で自分でダウンロードしますが、OpenSSL 系のクライアントはそうしないからです。TLS 1.3 ハンドシェイクをメッセージ順に読む方法、SNI がないときに起きること、証明書チェーンの検証が途切れる地点、そして unable to get local
2026-07-26 · 22 分で読めます #network#tls#ssl#openssl#security認証と認可、そして IDOR — ログインは正常なのに他人のデータが見える理由
実際のデータ漏洩事故のほとんどは認証ではなく認可で発生します。ログインは正常に通過したのに URL の ID を変えるだけで別のユーザーのリソースがそのまま返ってくる IDOR が代表例です。この記事では認証と認可の境界をコードレベルで区別し、連番 ID を UUID に変えることがなぜ解決策ではなく緩和策にすぎないのかを正確に説明します。認可チェックをコントローラごとに散らすと必ず抜ける箇所が出るので、データアクセス層かポリシーエンジ
2026-07-26 · 25 分で読めます #security#authorization#idor#api#multi-tenantシークレット管理、.env ファイルだけでは足りない理由 — 環境変数が漏れる経路とローテーション設計
.env ファイルを .gitignore に入れただけでシークレットが安全になるわけではありません。プロセス環境は同じホストから /proc/PID/environ でそのまま読み取られ、クラッシュレポートやデバッグページや CI ログに乗って流出し、コンテナイメージのレイヤーに永久に残ります。この記事では環境変数が漏れていく実際の経路を一つずつ示し、シークレットがすでにコミットされている場合の対応順序がなぜ履歴の書き換えではなく鍵の
2026-07-26 · 26 分で読めます #security#secrets#devops#vault#kubernetesSQL インジェクションとパラメータバインディング — ORM を使っても破られる箇所
SQL インジェクション対策として最初に検索されるのはエスケープ関数ですが、正解はパラメータバインディングです。エスケープは値を文字列リテラルの中で安全にしようとする試みであり、バインディングは値が SQL テキストにそもそも入らないようにする構造的な分離だからです。この記事ではプリペアドステートメントがサーバー側で実際にどうパースされ実行されるのかをログで確認し、ORM を使っているのに破られる三つの箇所、そして ORDER BY や
2026-07-26 · 25 分で読めます #security#sql#database#orm#python.gitignoreが効かないとき — 原因1位とパターン規則の精読
無視リストにはっきり書いたのにファイルが上がり続ける理由は、たいてい1つです。すでに追跡中のファイルには無視の規則が適用されません。この記事では、インデックスから外す正確な命令と、その命令が同僚の作業ディレクトリからファイルを消してしまうという副作用、どの規則が犯人なのかをGitに直接尋ねるcheck-ignoreの使い方と、追跡中のファイルでは何も出力しないという罠、先頭のスラッシュと末尾のスラッシュと否定パターンの順序依存、上位ディ
2026-07-26 · 20 分で読めます #git#gitignore#troubleshooting#security#version-controlコンテナイメージ脆弱性スキャン結果の読み方 — Critical 数百件を 0 にする実際の方法
イメージスキャナーを初めて回すと脆弱性が数千件出てきて、そのうち相当数が Critical です。このレポートをそのままチームに投げても何も起きません。この記事はスキャナーが実際にしているのはインストール済みパッケージの一覧と CVE データベースを突き合わせることだけだという事実から出発し、ベンダーのバックポートパッチによって生じる誤検知、ディストリビューションのセキュリティ勧告を参照すべき理由、アプリケーションコードの脆弱性はそもそ
2026-07-26 · 20 分で読めます #security#container#docker#trivy#kubernetesJWTとセッション、何をいつ — 状態をどこに置くかで整理する認証の選択
JWTとセッションの違いは暗号化でも性能でもなく、認証状態をサーバーに置くのかクライアントに置くのかという一点です。この選択から即時無効化ができないというJWTの根本的な弱点が導かれ、短い有効期限とリフレッシュトークンとブラックリストという対応策がなぜ結局は状態を呼び戻すのかが説明されます。トークンの保存場所をめぐるlocalStorageのXSS露出とhttpOnlyクッキーのCSRF露出を、SameSite属性まで含めて比較し、al
2026-07-26 · 22 分で読めます #web#jwt#session#authentication#security