Issue 12

🗞️ Articles

Software Design 2021 年 4 月号 Fedora CoreOS とセキュリティのお蔵入りネタ

• https://rheb.hatenablog.com/entry/2021/02/26/Software_Design_2021_%E5%B9%B4_4_%E6%9C%88%E5%8F%B7_Fedora_CoreOS_%E3%81%A8%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%AE%E3%81%8A%E8%94%B5%E5%85%A5%E3%82%8A%E3%83%8D%E3%82%BF

Software Design 2021 年 4 月号で割愛されたトピックについて紹介。NIST SP 800-190 で定義されているセキュリティの基準やコンテナで利用される Linux カーネルの技術について。

developer-guy/policy-as-code-war

• https://github.com/developer-guy/policy-as-code-war

Policy as Code の概要と Gatekeeper / Kyverno の違いついて学べるチュートリアル。

Top 10 web hacking techniques of 2020

• https://portswigger.net/research/top-10-web-hacking-techniques-of-2020

PortSwigger による 2020 年度の Top 10 (novel) Web Hacking Techniques が発表。

Kubernetes Pod Security Policy Deprecation: All You Need to Know

• https://blog.aquasec.com/kubernetess-policy

Pod Security Policy の廃止の代替案として Open Policy Agent の紹介。また、Kubernetes プロジェクトチームが定義した Pod Security Standards (PSS) の説明と、それに対してよく利用されるイメージの対応状況について。

An Exploration of JSON Interoperability Vulnerabilities

• https://labs.bishopfox.com/tech-blog/an-exploration-of-json-interoperability-vulnerabilities

JSON のキーを重複させることによって生じる脆弱性について。

NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳

• https://www.pwc.com/jp/ja/knowledge/column/awareness-cyber-security/zero-trust-architecture-jp.html

NIST SP800-207 ゼロトラスト・アーキテクチャの解説と日本語訳が PwC コンサルティング合同会社から公開。

セキュアに Go を書くための「ガードレール」を置こう - 安全な Go プロダクト開発に向けた持続可能なアプローチ

• https://flattsecurity.hatenablog.com/entry/go_guardrail

Go アプリケーションを書く際に脆弱性を作り込まないようにする「ガードレール」として機能するツールを紹介。

Update: Help Shape ATT&CK for Containers

• https://medium.com/mitre-engenuity/update-help-shape-att-ck-for-containers-bfcd24515df5

コンテナの ATT&CK のドラフトの紹介。

🧰 Tools

aquasecurity/appshield

• https://github.com/aquasecurity/appshield

Pod Security Standards の Baseline と Restricted のそれぞれのポリシーに準拠しているかチェックするポリシーがまとめられている。

dolevf/Damn-Vulnerable-GraphQL-Application

• https://github.com/dolevf/Damn-Vulnerable-GraphQL-Application

教育目的の 脆弱な GraphQL アプリケーション。