トップLog4Jこのタグでブログを書くLog4J(コンピュータ)【ろぐふぉーじぇい】Apache-Jakartaプロジェクトのログ出力ツール。コード内にログステートメントを記述する必要は無く、Javaバイナリーの挙動を確認できる。JDK1.4でロギングAPIが実装されたが、機能面ではlog4jの方がまだ優れている。Gülcüは、後継ソフトである、Logbackに注力している。この解説文は、すでに終了したサービス「はてなキーワード」内で有志のユーザーが作成・編集した内容に基づいています。その正確性や網羅性をはてなが保証するものではありません。問題のある記述を発見した場合には、お問い合わせフォームよりご連絡ください。www.itmedia.co.jp497ブックマークlog4jの脆弱性についてlog4jとはJava用のloggingライブラリだ。loggingライブラリというのはログとして記録すべき文字列を受け取り、それをどこかに出力するものだ。文字列の中身を通常のloggingライブラリは気にしない。log4jが通常のloggingライブラリと違うのは、文字列の中身を見て、一部の文字列を変数とみなして置換することだ。脆弱性」というキーワードが世界中のセキュリティ界隈に激震を走らせました。12月10日15時頃から、ITエンジニアを中心にネット上で火が付いたLog4jの脆弱性騒動はその後、米マイクロソフト社が提供する大人気ゲーム「Minecraft」やApple社の「iCloud」など、一般に身近なサービスへの影響も確認されたため、さらなる話題を呼びました。Log4jの脆弱性については、NHK、WBS、日経新聞などの大手メディアでも取り上げられましたが、非エンジニアからすれば「なぜここまで話題となるのか?」が疑問なところです。Log4j問題をネットワーク観点で対策する(CVE-2021-44228)本記事は下記URLに移動しました。5秒後に自動的に移動します。Log4j」の脆弱性問題(CVE-2021-44228)が話題になっています。業務で対応をされている方もいらっしゃるのではないでしょうか。アプリケーション観点での対策については各所で情報があがってきているので、今回はネットワークインフラ観点でできる対策について書いていこうと思います。*動作検証は厳密に行っていなので参考程度に見ていただければと思います*設定イメージ解説にパロアルトネットワークス社の次世代ファ...#CVE-2021-44228#Log4J#log4j2#Log4Shell#ネットワーク#ファイアウォール怠惰の極み•1年前Log4jの脆弱性を薄く浅くまとめる某セキュリティキャンプのリレーブログです。前回の僕の記事はZennでかきましたが、今回ははてなブログを使ってみようと思います。前回の方のブログはこちら。(Javaをほとんど触ったことがない人がまとめます。そもそも今回脆弱性が見つかったLog4jとは何者なのか。Javaプログラム用のロギングライブラリ。セキュアスカイ・テクノロジー(以下、SST)、システム&セキュリティチームの西村です。Log4jの脆弱性対応について、SST社内(いわゆる情シスの視点)で実施している対応の一部を可能な範囲でご紹介します。SSTでは、お客さま向けにWAFサービスや脆弱性診断サービスを提供しており、本脆弱性への対応という意味では社外向けに提供している自社サービスの対応もとても重要なポイントです。自分がいる会社でも、製品に使われていないかなどの対応に追われているところもあり、なかなか安心できない状況となります。毎年クリスマス前は、ハッキングとかセキュリティの話題が出ているような。インフラチームはクリスマス嫌っている人多そう。今のプロジェクトではJavaでSpringbootのアプリケーションを利用している。Log4jの脆弱性は問題ないのか調査することになった。変なことをしていなければ、今回の脆弱性は影響なし。今回の脆弱性は、log4j-coreの2.15.0以下を利用している場合にlookup機能が悪用されて任意コードが実行される。Springbootのデフォルトのロギングシステムをlog4j2にスイッチしていない限り問題ないとのこと。やりたいことはわからないでもないんだけど無理があるよなぁ......。誰もメンテしなくなってしまう。Operatorを利用したKubernetes上での検索システムの構築についてエンジニアの竹田です。BUYMAの検索システムやMLOps基盤の開発・運用を担当しております。Operatorによる検索システム構築を行いましたので、その実施内容と得られた知見についてご紹介したいと思います。昨期から今期にかけて、オンプレミスのシステムからの脱却、およびマイクロサービス化を目指し、商品検索システムのリプレイスを進めていました。Solrを用いた複数の検索システムを保持しており、クラウド移行に伴い、構築面や運用面の負担は大幅に軽減できております。脅威が見つかりました。評価され、いろんなサイトでまとめ記事が公開されました。脆弱性が見つかりセキュリティ業界では非常に話題になりました。その脅威に対応しているか?判断する方法をご紹介させていただきます。確認ができま...油そば•16日前HiveServer3.1.3をローカルデバッグする今回、Hive3.1.3をDocker上で立ち上げ、HiveServerにリモートデバッガをアタッチしてHiveServerの処理を詳細にデバッグする環境をセットアップします。開発環境はIntelliJを前提としてます。公式にHive用のDockerImageを提供するIssueがHive4.0.0で導入されており、この周辺のコードを流用します。#117ポッドキャスト収録用のメモですよ。ゆるーいセキュリティのポッドキャストですよ。Log4j」事件以前から、ソフトウェア管理台帳を作って利用しようという話はあった。Materials)に言及している。SBOMがまさに上記の管理台帳にあたるのだが、膨大過ぎる対象を登録することができるとは、多くの関係者が考えていなかった。大統領令に触れられたことから、SBOM登録は少なくとも米国政府調達の要件にはなると思われ、前向きに考える人が多くなった。この管理台帳には、次の項目が集約されている。・台...梶浦敏範【公式】ブログ•1ヶ月前ソフトウェア管理台帳SBOM(前編)今週、ハードウェアの信頼性についてこれを明示しようという取り組みについて紹介した。ソフトウェアについてはどうか?ハードウェアに比べて製造元が非常に多く、細分化すれば個人のプログラマまで広がってしまう。ソフトウェアがハードウェアの「機器添付品」だった時代は、ハードウェアの製造企業が個別にソフトウェアを開発していた。ハードウェアの標準化に伴って、ソフトウェアの個別開発を見直せるようになった。これによって、ソフトウェア開発の効率性は高まった。ソフトウェアは人類共通の資産だという考えも広がり、それまでは「自家薬籠中」の物だったソースコードが公開されるようになった。GROWIの最大の特徴は、マークダウン記法でかけることだ。これにより、シンプルで見やすい文書を簡単に作成できる。今回の本題は、GROWIをKubernetesにデプロイする方法だ。Kubernetesは、複数のコンテナを管理するオープンソースのシステムであり、スケーラビリティや可用性の高いアプリケーションを構築することができる。これをKomposeを使ってk8sの構成ファイルに変換していく。こんにちは、ACS事業部の谷合です。先日Githubから、SBOMのエクスポート機能が提供されたとのアナウンスがありました。して注目されています。【Java&BE】マイクラサーバーにおける攻撃などの危険性こんにちは。いう記事を書いたのですがその際IPを外部に公開することについての危険性に少しふれました。!!すごく難しいことなので初心者向けの記事に書く内容でもなく書ききれる内容でもなかったのでもう一つ記事に書くことにしました。(今回も長くなりそうなので目次付きです。設定ファイルメモ今更、サンプルとしてメモしておきたかったので。ログファイル出力設定をプログラム処理から参照する。logbackのログファイル出力設定をプログラム処理から参照する。おいてログファイル出力設定をプログラム処理から参照する。システム管理部のHです。日々アプリケーション開発をする上で使用しているOSSの脆弱性というのは気にすべきことではありますが、開発作業に集中しているとOSSの脆弱性を確認するというところまではなかなか手が届かないことと、インターネットに出ない閉じたネットワーク内でのシステムだからいいや・・・と思うことがあるかと思います。いった状況で自分の代わりに自動でチェックする仕組みがあるといいなと思い、CI/CD内で脆弱性のチェックを行う仕組みを検討します。近年、サイバー攻撃の手口は、より高度に巧妙に変化しています。従来のセキュリティ対策は変化に対応できず、会社の資産を守ることが難しくなっています。本書は、一般のビジネスパーソンはもちろんセキュリティ担当者や経営者のために、サイバーセキュリティの基本から事例分析、攻撃の仕組み、リスク対策まで図表を用いて総合的にわかりやすく解説した入門書です。あなたの会社のサイバーセキュリティ対策の進め方がわかります。