CyberFix Note
防御・ハードニング
クラウドの設定ミスを仕組みで防ぐ。CSPMによる継続監視とIaCスキャン、ポリシーアズコードで公開バケットや全開放のセキュリティグループを作らせない設計
公開ストレージ、0.0.0.0/0のインバウンド、過剰なIAM、無効なログ、暗号化の未設定といったクラウドの設定ミスを、作らせない、見つける、直すの3層で防ぐ設計を整理します。IaCスキャンの観点、CISベンチマークを基準にしたCSPMの始め方、ポリシーアズコードでの例外管理、最小構成からの導入順序を解説します。
#DevSecOps の記事
脆弱性・CVE解説
GitLabのCVE-2026-85706がKEV入り。認証なしでサーバー上のファイルが読まれるcommits APIのパストラバーサルと更新手順
2026年9月11日にCISAのKEVカタログへ追加されたGitLab CE/EEのCVE-2026-85706を、GitLab公式のCritical Patch Releaseで整理します。影響版18.7以降の読み方、19.3.2、19.2.6、19.1.8への更新、同時修正のCVE-2026-87719、更新後の秘密情報の入れ替えとログ確認まで解説します。
セキュアコーディング
ファジング入門。脆弱性を出荷前に自分で見つけるテストの仕組みと始め方
カバレッジガイド型ファジングの機構を一次情報で整理します。libFuzzerとGoのgo test -fuzzで動くfuzz targetの書き方、AddressSanitizerとの併用理由、シードコーパスと辞書、CIへの組み込みと時間配分、クラッシュのトリアージまでを開発者向けにまとめます。
セキュアコーディング
2026年版の最小要素で見直すSBOMの作り方と脆弱性管理での使い方
SBOMはソフトウェアの部品表です。2026年7月に日本を含む各国が共同署名した国際ガイダンスの最小要素、SPDXとCycloneDXの選び分け、ビルド時生成の理由、VEXとの突合、そして調達契約で規定すべき事項までを一次情報にもとづいて整理します。
脆弱性・CVE解説
CVE-2026-63077 TeamCityエージェントポーリングプロトコルの認証不備。未認証でCI/CDの中枢を奪われる経路を読む
JetBrains TeamCity On-PremisesのCVE-2026-63077を解説します。エージェントポーリングプロトコルの認証不備で未認証RCEが起きる機構、CVSS9.8の深刻度、影響バージョンと修正版、CI/CDへの実務上の影響と対応手順を一次情報で整理します。
セキュアコーディング
脅威モデリング入門。STRIDEで設計段階に脅威を洗い出す
セキュリティを後付けの検査ではなく設計に組み込むための脅威モデリングを、STRIDEを軸に解説します。データフロー図と信頼境界の描き方から、6分類での脅威の洗い出し、対策の紐付けと優先度付けまでを開発チーム向けに整理します。
セキュアコーディング
gitに秘密情報を漏らさないために。26の実例集leak-museumで学ぶ回避策
APIキーや秘密鍵をgitに紛れ込ませる事故を、26のアンチパターンで集めた教育リポジトリleak-museum(printemps-tokyo公開)を題材に整理します。なぜ致命的になるのか、どう防ぐのか、万一コミットしたときの手順までを、秘密情報を安全に扱う視点でまとめます。
セキュアコーディング
コンテナ(Docker)セキュリティの基礎と実務で効く守り方
コンテナ(Docker)が何を仮想化しVMとどう違うか、ホストのカーネルを共有するため隔離が完全でない理由を原理から解説します。NIST SP 800-190の構成要素別リスクに沿って、最小イメージや非root実行、権限の絞り込みなど実務で効く対策を整理します。
攻撃手法・脅威動向
自己増殖するnpmサプライチェーンワーム。Shai-Huludとその亜種が広がる仕組みと防御
盗んだnpmトークンで自分を別パッケージへ再公開し、自動で広がるnpmワームの仕組みを、Shai-Huludとその亜種の事例から解説します。install時にコードが走る経路と、開発者と組織それぞれの防御策を整理します。
セキュアコーディング
OWASP Top 10とは。開発者が押さえるべきWebの代表的リスクと対策を一気に理解する
Webアプリケーションの代表的なセキュリティリスクをまとめたOWASP Top 10について、その位置づけ、各カテゴリで何が問題になりどう防ぐか、そして開発プロセスへの組み込み方までを、開発者目線で具体例つきに解説します。
セキュアコーディング
DevSecOps入門。CI/CDにセキュリティを組み込むSAST・DAST・SCA・シークレットスキャン
セキュリティを開発の最後の検査にせず、CI/CDに自動チェックとして組み込む考え方を解説します。SAST・DAST・SCA・シークレットスキャンの役割の違いと、シフトレフトを現場で回す導入順序・判断基準を具体的にまとめます。
セキュアコーディング
依存ライブラリ管理とSCA。SBOMで攻撃面を把握する
自作コードより外部ライブラリのほうが多い時代に、何を使っているかを台帳化するSBOMと、既知の脆弱性を突き合わせるSCAの基本を解説。SPDX/CycloneDXの違い、Dependabot/Renovateによる更新自動化、CI組み込みの判断基準まで実務目線でまとめます。