Kush's Wiki

Sort by - linked count

• あなたの興味は信頼性？それとも生産性？ SREとしてのキャリアに悩むみなさまに伝えたい選択肢
  Author: 草間 一人 SRE/SRE サイトリライアビリティエンジニアリング エレガントパズル Four Keys/DevOps Platform Engineering Team Topologies Building Effective AI Agents
• オブジェクト指向入門 第2版 原則・コンセプト
  
• コンウェイの法則と逆コンウェイの法則から組織構造を考える
  #Team Organization 石垣 雅人による、コンウェイの法則と逆コンウェイの法則から組織構造を考える記事 Masato Ishigaki | Medium
• CQRS Documents by Greg Young
  #Software Design Greg YoungによるCQRSの概念をまとめたドキュメント pdf
• Slowloris
  #Security DoS攻撃の一種で、HTTPの不完全なリクエストを送り続けることでWebサーバーの接続を占有するApplication層攻撃。少ない帯域幅で単一マシンからサーバーをダウンさせることが可能で、スレッドベースのWebサーバー（Apache等）に対して特に有効 https://en.wikipedia.org/wiki/Slowloris_(cyber_attack)
• XState
  #Programming Finite State MachineをコンセプトとしたJavaScript/TypeScriptライブラリ 実装を元にStatechartsの出力が可能。Actor Modelにも対応している https://xstate.js.org/docs/
• GitHub Actionsの脆弱な構成の検知ツール、任せられる範囲と人が見極めるべきリスク
  #Security #Continuous Integration GitHub Actions ワークフロー脆弱性の検知ツール比較と、ツールに任せられる範囲・人が見極めるべきリスクを整理した Flatt Security ブログ記事（シリーズ Vol.4 最終回） ツールが検知できる: Script Injection・外部 Action のピン留め未使用・過剰な権限設定（YAML から確定できるパターン）を5ツール（CodeQL・zizmor・OpenSSF Scorecard・poutine・checkov）が横断的に報告 ツールが見えない: Classic PAT 使用・Immutable Releases 未使用・Environments 保護の設計意図・AI エージェント固有パラメータ（allowed_non_write_users: "*" 等）はどのツールも検知しない トリアージの課題: 数百件規模の検知が積み上がりやすく、Severity はカテゴリ固定で組織文脈を反映しない；複数ツールが同一箇所を別ルール名で重複報告する リスク評価の視点: 単一脆弱性ではなく「連鎖」で評価する（pull_request_target + contents: write が組み合わさって サプライチェーン攻撃 に至るかを組織全体で確認） 対策の3軸: 侵害の抑止 / 被害の局所化（fine-grained PAT・Environments 保護）/ 追跡可能性（runner 上の挙動記録） https://blog.flatt.tech/entry/2026-github-actions-security-part4 ブログ
• GraphQL Foundation
  GraphQLの仕様をオープンソース化するコミュニティ Linux Foundation傘下である https://graphql.org/community/foundation/
• How GitHub gave every repository a durable owner
  #Security GitHub 社内のリポジトリオーナーシップ刷新事例記事。14,000+ リポジトリのうち約 11,000 のアクティブリポジトリに対し、45日以内に全リポジトリへ検証済みオーナーを付与し、約 8,000 リポジトリをアーカイブした取り組みを公開している 課題の発端: Secret Scanning のリメディエーションでオーナー不明リポジトリへのルーティングが困難だったこと 解決策: Repository custom properties に ownership-type（Service Catalog / Team / Hubber Handle）と ownership-name の 2 プロパティを追加し、オーナーシップをファーストクラス属性として管理 実装: GitHub App + Kubernetes CronJob で定期実行。30日猶予後もオーナーなしのリポジトリは自動アーカイブ（可逆・非破壊） 教訓: 土曜朝の初回実行は失敗（グローバル企業は常時オンライン）。low water mark（一括アーカイブ数の上限閾値）と @-mention 通知の追加はインシデントから学んだ設計 成果: アクティブリポジトリ約 3,000 件に整理し新規作成時もオーナーシップを必須化 https://github.blog/security/application-security/how-github-gave-every-repository-a-durable-owner/ ブログ
• Blocking Brute Force Attacks
  #Security/Authentication ブルートフォース攻撃を防ぐための対策をまとめたOWASP Communityの記事 主な対策方法 アカウントロックアウト機能（DoS攻撃に悪用されるリスクに注意） Device Cookies（デバイスごとの認証ロック機構、DoS攻撃に対して耐性がある） パスワード検証時の遅延追加 IPアドレスベースのレートリミット CAPTCHAの導入 複数の秘密の質問による認証強化 単一の技術では回避されやすいため、複数の対策を組み合わせることが重要 https://owasp.org/www-community/controls/Blocking_Brute_Force_Attacks
• shadcn-ui
  #Programming Tailwind CSSベースのアクセシブルなUIコンポーネント配布プラットフォーム。コンポーネントをプロジェクトに直接コピーしてカスタマイズする方式を採用 https://ui.shadcn.com/
• AsyncAPI ソフトウェアサプライチェーン攻撃の概要と対応指針
  #Security 2026年7月14日に @asyncapi エコシステムの npm パッケージ群が侵害されたサプライチェーン攻撃事例。ワーム型マルウェア「Miasma」が注入され、窃取トークンを使って npm / PyPI / crates.io へ自己拡散する 悪性バージョン: @asyncapi/specs@6.11.2（stable・semver レンジに合致するため影響範囲大）・6.11.2-alpha.1、@asyncapi/generator@3.3.1、generator-helpers@1.1.1、generator-components@0.7.1 攻撃チェーン: index.js への直接注入（require() 時発火）→ IPFS 経由ダウンローダ（Stage 1）→ AES-256-GCM + ROT-4 多層暗号化ペイロード sync.js（Stage 2）→ Miasma ワームフレームワーク 約 92,000 行（Stage 3） Miasma の機能: C2（85.137.53.71:8080）へ 30 秒間隔ビーコン・12 種の遠隔指令（ShellExec 含む）、IPFS / Nostr / libp2p / BitTorrent DHT / Ethereum マルチチャネル通信、LAN スキャン横展開、AI ツール設定汚染（.claude/settings.json / .vscode/tasks.json / .gemini/settings.json / .cursor/rules/setup.mdc）、スポーン証明書チェーンによる最大 4 世代の制御拡散 窃取対象: AWS / Kubernetes / Git / npm / CI/CD クレデンシャルと環境変数シークレット 対応: 侵害前バージョン（@asyncapi/specs@6.11.1 以前）へ切り替え後クレデンシャル全ローテーション、永続化ファイル除去（~/.local/share/NodeJS/sync.js・~/.config/.miasma/ 等）、min-release-age=7（.npmrc）設定を推奨。npm ci --ignore-scripts は本件には無効（malicious コードが index.js 本体に注入されているため） https://blog.flatt.tech/entry/asyncapi_compromise ブログ
• X-Frame-Options
  #Security #Network クリックジャッキング攻撃を防ぐためのHTTPレスポンスヘッダー ページが<frame>、<iframe>、<embed>、<object>内で表示されることを制御する 設定値は以下の3つ DENY: すべてのフレーム表示を禁止 SAMEORIGIN: 同一オリジンのみフレーム表示を許可 ALLOW-FROM URI: 特定のURIからのフレーム表示を許可（非推奨） 現在はCSPのframe-ancestorsディレクティブの使用が推奨されている https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/X-Frame-Options
• Deprecating Span Events API
  #Observability #Cloud Native OpenTelemetryのSpan Event API（Span.AddEvent、Span.RecordException）を非推奨とし、イベントをLogs APIベースに統一する方針 Span Eventsとログベースイベントの重複を解消し、「イベント = 名前付きログ」としてLogs APIで記録する 既存のSpan Eventデータは引き続き有効で、SDK互換レイヤーによりスパン上のイベント可視性も維持される https://opentelemetry.io/blog/2026/deprecating-span-events/ ブログ
• Cloud Native Maturity Model 4.0 (Beta): Reflecting what’s next for cloud native — and we want your input
  #Cloud Native Cloud Native Maturity Modelの 4.0(beta) を公開する記事 https://www.cncf.io/blog/2025/10/22/cloud-native-maturity-model-4-0-beta-reflecting-whats-next-for-cloud-native-and-we-want-your-input/
• 正しいものを正しくつくる
  
• gRPC-Gateway
  #Network #API Architecture #Programming gRPCにおいて、gRPC serviceをRESTful APIとして提供するためのGoライブラリ。HTTP+JSONのインターフェースでリバースプロキシサーバーを生成する HTTP仕様はProtocol Buffers上において google.api.http のような HttpRule によって記述する 同リポジトリにはprotoc-gen-openapiv2プラグインも含まれておりOpen API仕様を出力できる https://grpc-ecosystem.github.io/grpc-gateway/
• OWASP Cheat Sheet Series/

  Denial of Service
  #Security DoS攻撃の防御戦略をまとめたOWASP Cheat Sheet Series OSIモデルに基づくCERT-EU分類を採用し、3つの攻撃層に分類している Application層：サーバリソースの枯渇またはアプリケーション機能の無効化（Slow HTTP攻撃など） Session/Protocol層：サーバやファイアウォール、ロードバランサーなどのリソース消費 Network/Volumetric層：ネットワーク帯域幅の飽和 主な防御戦略 単一障害点（SPOF）の排除と冗長性確保 グレースフルデグラデーション（部分的機能継続）の実装 入力検証（ファイルサイズ、リクエストサイズの上限設定） セッションタイムアウトの適切な設定 レートリミット（最小入信データレート、接続タイムアウト、帯域幅上限） ISPレベルでのIP偽装フィルタリング CPU集約的操作の回避 例外処理の適切な実装 静的リソースの別ドメイン配置 https://cheatsheetseries.owasp.org/cheatsheets/Denial_of_Service_Cheat_Sheet.html
• OWASP Cheat Sheet Series/

  Authentication
  #Security/Authentication 認証の実装指針をまとめたOWASP Cheat Sheet Series Session Management zxcvbn-ts Pwned Passwords TLS Client Authentication MFA OAuth2 OpenId SAML Brute Force https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html
• Aikido Security/

  Platform
  #Security "Unified Security Platform" を標榜する商用 SaaS（カテゴリは ASPM / Application Security Posture Management）。10 種類超のセキュリティスキャンを単一 UI に集約する スキャン対象: SAST / SCA / DAST / シークレット / IaC / コンテナ / CSPM / マルウェア / Code Quality / Outdated Software Terraform / CloudFormation / Kubernetes マニフェストの設定ミス検出にも対応 特徴 AutoFix / Bulk Fix で修正 PR を自動生成 AI Pentesting Agents による DAST 自動化（200+ エージェント） Aikido Intel - 依存パッケージのマルウェア検出 TL;DR Summary で脆弱性の要約と対応指針を提示 https://www.aikido.dev/
• Aikido Security/

  safe-chain
  #Security npm / pip など各種パッケージマネージャの download をローカルプロキシで intercept し、マルウェアを含むパッケージのインストールを未然にブロックする OSS 対応 PM: npm, npx, yarn, pnpm, pnpx, rush, rushx, bun, bunx, pip, pip3, uv, poetry, uvx, pipx, pdm 特徴 リアルタイムスキャンに Aikido Intel (Open Source Threat Intelligence) を利用 公開から 48 時間未満のパッケージをデフォルトでブロック（サプライチェーン攻撃 緩和） Tokenless / no build data shared — credentials も telemetry も不要 Bash / Zsh / Fish / PowerShell の shell integration、CI/CD 用 shim、private registry 対応 https://github.com/AikidoSec/safe-chain
• 組織を変える5つの対話
  
• GitHub Code Quality
  #Programming #Continuous Integration GitHub公式のコード品質機能。Code scanning を拡張し、Pull Request 上でコード品質の問題を検出して修正提案までを提供する。 2025 年に public preview として公開。GitHub Team / Enterprise Cloud の組織リポジトリのみ対応（Enterprise Server 非対応）で、別途 Copilot / Code Security ライセンスは不要 ルールベース解析（CodeQL エンジン）と AI 解析の 2 系統で、保守性・信頼性・パフォーマンス・複雑度・重複/デッドコード・テストカバレッジなどを検出する 指摘は PR 上にインライン表示され、GitHub Copilotによるワンクリック autofix と reliability/maintainability スコアを提示する スキャンはGitHub Actions上で実行され、Actions minutes を消費する 適応度関数のコード品質カテゴリに該当する https://docs.github.com/en/code-security/concepts/about-code-quality
• Renovate/

  Mend Self-hosted App
  #Continuous Integration Renovate を自前インフラで運用する Mend 公式の商用セルフホスト版（Community Edition / Enterprise Edition）。GitHub では自分で GitHub App を登録し、その bot として依存更新 PR を回す GitHub Action が workflow から CLI を都度実行するのに対し、こちらは Docker コンテナで常駐するサーバーとして動くのが違い 特徴 組み込みジョブスケジューラ（デフォルト毎時）が全リポジトリをキューに投入し、cron の構築・監視が不要 webhook リスナー（/webhook）で App 追加・main への設定変更・Renovate PR の close/merge 等に即応し、優先度付きキューで処理する ホスト型のクラウド Mend Renovate App とは別で、GitHub Enterprise Server など自前環境向け https://github.com/mend/renovate-ce-ee
• Claude Code/

  Scheduled tasks
  #Programming #LLM Claude Codeのセッション中にプロンプトを定期実行するスケジュール機能 /loop [interval] <prompt> で一定間隔の繰り返し実行（例: /loop 5m check if the deploy finished） 自然言語でワンショットのリマインダーも設定可能 セッションスコープのため終了時に消える。永続的なスケジュールにはGitHub ActionsやDesktop scheduled tasksを使う https://code.claude.com/docs/en/scheduled-tasks
• Claude Code/

  Opus Plan Mode
  #LLM Claude CodeのPlan Modeにおいて、Opusモデルを利用し、計画の承認後は自動でSonnetモデルに切り替えるモード https://docs.anthropic.com/en/docs/claude-code/model-config#opusplan-model-setting
• Claude Code/

  LSP Plugins
  #Programming #LLM Claude Codeにおいてclaude-plugin-officialが公開している LSP（Language Server Protocol）プラグインを追加し、リアルタイムコード知能を提供する機能 主な特徴: 言語サーバーバイナリのインストールが必須 IDE統合時に診断情報が自動共有される 公式マーケットプレイスから言語別プラグインを追加可能 サポート言語: C/C++ C# Go(gopls) Java Lua PHP Python Rust Swift TypeScript 設定例（.claude/settings.json）: { "enabledPlugins": { "rust-analyzer-lsp@claude-plugins-official": true } } https://code.claude.com/docs/en/discover-plugins https://code.claude.com/docs/en/plugins https://github.com/anthropics/claude-plugins-official
• Claude Code/

  btw
  #Programming #LLM Claude Codeのメインタスク実行中でも使えるサイドチャットコマンド 会話コンテキストを参照して回答するが、ツールアクセスはない 質問と回答はephemeralで会話履歴に残らない https://code.claude.com/docs/en/interactive-mode#side-questions-with-%2Fbtw
• Claude Code/

  Remote Control
  #LLM Claude Codeセッションをスマートフォンやタブレットからリモート操作できる機能。claude remote-controlコマンドでセッションを起動し、QRコードまたはセッションURLで接続する コード実行やファイルアクセスはすべてローカルマシン上で行われる https://code.claude.com/docs/en/remote-control
• Claude Code/

  Tasks
  #LLM Claude Codeの組み込みタスク管理システムで、Todoの後継機能 タスク間の依存関係（blocks/blockedBy）をDAGで管理し、CLAUDE_CODE_TASK_LIST_ID環境変数で複数セッション間の共有が可能 https://code.claude.com/docs/en/interactive-mode#task-list
• Claude Code/

  code-review
  #LLM Pull Requestのコードレビューを自動化するAnthropic公式のPlugins。claude-plugin-officialで配布される 4つのサブエージェントを並列実行し、CLAUDE.md準拠・バグ検出・git履歴分析を独立に監査する 各指摘を0-100で信頼度スコアリングし、80以上のみをPRコメントとして投稿する ドラフト・trivial・レビュー済みPRは自動でスキップする https://github.com/anthropics/claude-plugins-official/tree/main/plugins/code-review
• Claude Code/

  claude-code-guide
  #LLM Claude Codeに標準搭載されるサブエージェントの一つ Claude Code、Claude Agent SDK、Claude APIに関する質問に回答する llms.txtを索引として公式ドキュメントを動的に取得し最新情報を参照する
• Claude Code/

  worktree
  #LLM Claude Codeで--worktreeフラグによりGitのworktreeを作成し、複数セッションの並行実行を可能にする分離環境。サブエージェントもisolation: worktreeで利用可能 https://code.claude.com/docs/en/common-workflows#run-parallel-claude-code-sessions-with-git-worktrees
• Claude Code/

  Claude Code Security
  #Security Claude Code on the webに統合されたAI脆弱性スキャン機能。SASTのようなパターンマッチングではなくコードベース全体を推論し、ビジネスロジックの欠陥やアクセス制御の不備を検出する。多段階検証で偽陽性を除外し修正パッチを提案するが適用には人間の承認が必要 https://www.anthropic.com/news/claude-code-security
• Important Components for Kubernetes
  #Observability OpenTelemetry CollectorをKubernetes上で構築するコンポーネント群の説明 Prometeus Receiverの例ではDaemonSet(agent)またはDeployment(gateway)を用いた実装のサンプルコードが置かれている https://opentelemetry.io/docs/platforms/kubernetes/collector/components/
• Eric Evans氏はドメイン駆動設計(DDD) は未完成だと述べた
  Eric EvansがDDD（ドメイン駆動設計）は未完成だと述べたという記事 InfoQ
• Redoc
  #Documentation Open API仕様を元にドキュメンテーションを行いシンプルなUIで表示される CLIによるドキュメント生成またはHTMLファイルへのscript埋込が可能 Redoc
• 実践ドメイン駆動設計
  
• エンジニアリング組織論への招待
  
• Hadolint
  #Continuous Integration Dockerfileの構文チェック、ベストプラクティス検証、セキュリティ脆弱性検出を行うSASTツール Haskellで実装され、ShellCheckを統合することでRUN命令内のbashスクリプトも検証する 主な機能: Dockerfileの構文エラー検出 ベストプラクティス違反の警告（例: Non-root User、マルチステージビルド） セキュリティ脆弱性の検出 CIパイプラインへの統合が容易 Dockerイメージとしても配布されており、ローカル環境へのインストール不要で実行可能 hadolint.yamlで出力形式やルールをカスタマイズ可能 https://hadolint.dev/ https://github.com/hadolint/hadolint
• tj-actions changed-files の compromise
  #Security GitHub Actionsの人気 action changed-files が侵害されたサプライチェーン攻撃事例 CVE-2025-30066 発覚: 2025-03-14 09:00 PT (16:00 UTC)、StepSecurity が Harden-Runner の挙動監視で検知 侵害手法: @tj-actions-bot の PAT が奪取（取得経路は不明） リポジトリ外で作成した malicious commit (0e58ed86...) に全タグを retroactively 付け替え（tag 移動による action 汚染の典型） ペイロード: Python script が /proc/[pid]/mem 経由で GitHub Actions runner プロセスのメモリから secrets を dump、log に double base64 で出力 影響: 23,000+ リポジトリ。compromise 窓は約 37 時間 (2025-03-14 16:00 UTC 〜 2025-03-15 22:00 UTC)。public repo の log は誰でも読めるため secrets 漏洩 復旧: 2025-03-15 22:00 UTC に GitHub がリポジトリを復旧、その後 v46.0.1 リリース 対処: step-security/changed-files@v45 等への切替、または SHA pin 化、漏洩可能性ある secrets を rotate https://www.stepsecurity.io/blog/harden-runner-detection-tj-actions-changed-files-action-is-compromised ブログ
• 群れはなぜ同じ方向を目指すのか？
  
• Google Cloud/

  Secret Manager
  #Security Google Cloudが提供するSMS Secrets Store CSI Driverを用いてGKEに組み込み可能 Secret Manager の概要 | Secret Manager Documentation | Google Cloud
• Google Cloud/

  Artifact Registry
  #Cloud Native #Continuous Integration Google Cloudが提供するフルマネージドなコンテナイメージおよび言語パッケージのレジストリサービス Docker/OCIイメージに加え、Maven・npm・Python・Go・apt・yum・Helmなど複数の形式に対応する 旧サービスのContainer Registryの後継として位置付けられている Artifact Registry のドキュメント | Google Cloud
• Google Cloud/

  Cloud SQL Auth Proxy
  #Security #Network Cloud SQLへの接続を仲介するローカルプロキシ TLSによって接続を暗号化する IAMベースの認可で接続元を制御し、authorized networksやSSL証明書の管理を不要にする アプリケーションはローカルソケット（TCP/Unix domain socket）経由でプロキシに接続し、プロキシがCloud SQLインスタンスへトンネリングする https://cloud.google.com/sql/docs/mysql/sql-proxy https://github.com/GoogleCloudPlatform/cloud-sql-proxy
• Google Cloud/

  Gateway
  #Cloud Native Google CloudのGKE上でGateway APIを適用する 外部Gatewayをデプロイする時は、GatewayClassに gke-l7-global-external-managed を指定した上で、Certificate Managerのような手段でセキュリティを担保する Kubernetes APIの NamedAddress に静的IPアドレスを指定することができる 方法 Gateway のデプロイ | Google Kubernetes Engine (GKE) | Google Cloud
• BDDの導入
  Authors Dan North, 和智 右桂 BDDを提唱した「Introducing BDD」の翻訳記事 BDDの導入
• mise/

  Secrets
  #Security miseのEnvironment機能における機密情報管理について、mise開発元のfnoxまたはsops, ageを用いて解決する方法 https://mise.jdx.dev/environments/secrets/
• mise/

  Config Environment
  development や production のような環境別に参照する .mise.toml を切り替えることができる機能 MISE_ENV 環境変数を引数に受け取ることで分岐する https://mise.jdx.dev/configuration/environments.html
• mise/

  minimum_release_age
  #Security mise の設定。tool のリリースが公開されてから指定期間が経つまで、その新バージョンを install 対象から除外する 値は相対指定（7d / 90d / 6m / 1y）または絶対日付（2024-06-01 等） 公開直後の侵害バージョンの取り込みを避け、コミュニティが検知・撤回する猶予を置く サプライチェーン攻撃 の timing 緩和策 https://mise.jdx.dev/configuration/settings.html#minimum_release_age