ken1flanのブログ

自己紹介・最近やってることなどを書くつもりです。

Software Design 2023/10 メモ

Software Design 2023年10月号を読んで、ちょこっとずつ感想を書いてます。 gihyo.jp

いつも参加しているSoftware Design輪読会に向けての予習でもあります。

全体を通しての感想

  • 特集のクラウドセキュリティの話は情シスも開発もともに必要な内容がまとまっていて、いろいろと記憶を掘り起こされたり、気づいてなかったことに気づけたりとよかったです。
  • 連載も特集と連動してセキュリティの話題が豊富でよかったです。
  • HTTP/3の特集は…HTTPの歴史も書かれてましたが、ああ、自分、ずっと一緒に歩んできてるな…とちょっと感慨にふけってしまいました。

特に気になったこと

実践LLMアプリケーション開発

  • みなさん、copilotなど使ってます…？
    • 自分は使ってません。

熟考クラウドセキュリティ

  • CSPM、CWPP、CIEM、CNAPPなど使ってます…？
    • 使ってませんでした…。連載にあった、AWS Security Hubは試してみようと思っています。

表紙

第1特集 オンプレもクラウドも徹底防御！ 今さら聞けないネットワークセキュリティ 攻撃手法や防御システムの基本を押さえて守りを固めよう ......佐々木 現興

第1章：攻撃手法とその対策を知る ネットワークセキュリティの基本

  • 一番の脆弱性は…人間ですよねぇ…。
    • 関心を持ち続けやすいような仕掛けを作っておきたいです…。
      • 自分もそんなに興味ないのでw
  • セキュリティのアレのおかげで、なんとなく単語の意味がわかります…！
  • SQLインジェクション、XSS、XSRF…このへん、気をつけないとやっちゃうんですよね…。
  • セッションハイジャックはID/パスワードまでわかってないこともあるから、決済などのクリティカルな操作の前にもう一度パスワード入力を求めたりするのかな、たぶん。
  • ワッとまとめてくれてて、助かりました。

第2章：5つの防御手段を比べて理解 ネットワークセキュリティにおける防御システム

  • ファイアウォール
    • ステートフルパケットインスペクション
      • どうやってランダムな戻りのパケットのポートを開けてるのか…と思ってました。
      • ファイアウォールの設定時のもやもやが一つ晴れた気がします。
  • IPS
    • フィルタはフィルタだから、ファイアウォールとごっちゃになりやすいですよね><
    • パケットの中身を細かく見るわけだから、遅いですよね…。ファイアウォールの後に置く感じですかね。
  • IDS
    • IPSとごっちゃになりやすい…。
    • あくまで不審なものをピックアップするだけなので、検知までにとどめてる感じでしょうか。
    • 設置場所が「ミラーポート」が多いのは、やっぱりフィルタじゃないからですね。
  • WAF
    • HTTP特化のIPSといってもいいんでしょうか…？
    • 通信の中身を見る必要があるから、証明書を設置するのがここになるんですね。
  • SASE
    • 情報資産はクラウドの向こう、みたいな概念なんですね…。
      • うちは…この形式です。（社内に何も置いてないだけとも。）
  • 脆弱性放置の問題は…どうしたらいいんですかね…。ちゃんと面倒を見続けるにもある程度のコストが掛かりますし…。
  • Log4Shell、便利機能！と思って実装されたヤツですよね…。経験豊かな開発者でも時折間違えるので、ホントむずかしいです…。

第3章：遠隔地からのセキュアな通信を実現する VPNと暗号化／認証の基礎

  • うちは…そんなにVPNを信用してない…ですね。
  • 認証を一枚余計に設置する用途で使っています。
  • 読んでいたらいろいろと理解が進みました…！

第4章：昨今のセキュリティインシデントに立ち向かう クラウドネットワークセキュリティ

  • 責任共有モデルはなんとなく理解しているつもり…。
    • でも、自分だけわかっててもダメで、関係者になんとなく共有されてないとダメなのか…。
    • うちのパターンを出して、説明する機会を…。少なくともドキュメント化を…。
  • コンテナイメージってどうやってアップデートしたらいいんでしょう？
    • dependabotみたいなものがありませんかね…？
      • と思ってたら、やってくれるっぽい。
  • k8s、たしかに狙うと得るものが大きそう💦 そういう視点で見たことなかったですね…。

通して読んでみて

  • 1章は全般、2・3章は情シス寄り、4章は開発寄りな感じでしょうか。
  • 幅広くまとめられてて、とても勉強になりました！
  • よかったです。

第2特集 QUICでネットワークはどう変わる？ 速習HTTP/3 次世代プロトコルに対応するための知識を身につけよう

第1章：なぜHTTP/3が登場したのか？ HTTPの歴史から学ぶその特長 ......小河 亮

  • HTTPの歴史……自分、割とど真ん中にいますねw

第2章：HTTP/3のしくみ QUICとUDPが切り開くWeb体験 ......谷口 元紀

  • 汎用の高度なTCPをやめて、シンプルなUDPと独自の管理を行うようになってく感じですかね。
    • 特化したほうが、たしかにパフォーマンス出そうですもんね。
  • あー…クライアント側のルータの設定とか見直してもらう必要があるかもしれないんですね…。結構なデメリットかも。
  • 魅力的な機能が多いですね…。ここまであると、たしかにデメリットを超えて導入したくなります。
    • 内部くらいはサッサとやりたいですね。
  • セキュリティはちょっとむずかしいことになりそう…。今後に期待…。

第3章：実践HTTP/3 HTTP/3の現状と対応方法を知ろう ......金子 達哉

  • 対応HTTPサーバ、nginxあるからよかったです。でもH2Oも気になりますね…。
    • ん…？もう利用できるんですね…。
  • CDNの設定にあるかも？だそうで、ちょっと見ておきたい感じです。
  • nginxはデフォルト無効…。有効化して上げる必要があるみたいです。
    • 後の方を読んだら、CDNからオリジンの方向へ、HTTP/3が非対応っぽいので、まだ早いかも。

一般記事

［特別企画］熟考クラウドセキュリティ 「CNAPP」の実現のために......佐々木 康介

  • クラウドは…実感の薄い設定ミスで事故るので…確かに怖いかも。ハードウェアを設置しているときはもっと実感がこもりそうですが…。
  • www.ipa.go.jp
  • 「インフラ基盤の知見がなくても」
    • クラウドになって手軽さが、軽率さになってることもありますよね…。
  • CSPMほしいなぁ……。
    • shisho cloud
    • aws security hub…これは試してみよう。
  • CWPPはコンテナを使ってないウチはまだ…。
    • やるとなったら、なるべく自前で頑張らないようにawsのサービスをなるべく使おう…。
  • CNAPP…いろいろまとめた版。まとまってる分、見やすいかも。

連載：Column

平林万能IT技術研究所 2ndシーズン【17】地球を包む大気の流れを立体的に眺めよう！――地表の風から成層圏のジェットストリームまで ......平林 純

  • 地球全体の気温や気圧や空気の流れ…そんなデータがダウンロードできるんですか…！スゴい時代ですね……。
  • え…Google Earthに読ませられるの？？？マヂですか……。

ハピネスチームビルディング【19】リモートワークで新人が楽しく成長できるようにする ......小島 優介

  • 新人配属…リモートのもっとも大変そうな課題じゃない…？気になる…。
  • 主たる仕事の仕方を一度体験してもらって、そのあとちょっと座学的な？
  • 「リモートワークの知見の共有」はこのチームスゴいところですよね……。
  • うちも少しずつこういうの貯めていこう…。

エンジニアのためのやる気UPエクササイズ【14】科学的に正しいコーヒーの飲み方！エンジニアのためのカフェイン活用術 ......えくろプロテイン

  • え…紅茶はリミットなく飲めるの…？
    • うーん…わからないけど、一杯換算だとだいぶ低そうですね。
    • 紅茶も好きだから、夕方からはそっちにしてもいいかも。

ひみつのLinux通信【116】アイドル ......くつなりょうすけ

  • ですです、アイドルはチームでやらないと無理ですw

あなたのスキルは社会に役立つ～エンジニアだからできる社会貢献～【142】シニア世代がChatGPTのbotをプログラミングなしで作る　......小泉 勝志郎

  • スゴい…作ってみるのが一番かもしれません。よい取り組みだと思います…！

連載：Development

Stable Diffusionで学ぶ画像生成AIのしくみ【5】U-Netによるノイズ除去 ......國田 圭佑

  • モデルがUの字になってるんですね。
  • 毎回、特徴の話で置いていかれるのは…仕方がないのか…。中身がブラックボックスだから…。
  • 荒くしてから細かくするっていうのは、ホント発明な気がします。
  • 粗い絵をきれいに清書してもらうヤツ、どうやってるかと思ったら、ノイズを乗せてプロンプトとともに復元させてたんですね…。
    • 画像生成と全然違いそうなのになぁ…と思ってたら、そういうからくりでしたか。なるほどです。

実践LLMアプリケーション開発【新連載】ChatGPT APIで初めてのAIチャットボット開発 ......西見 公宏

  • うーん…Rubyのコード頼んだけど、普通にダメなのも寄越すからなぁ……。
    • あ…copilotなら違うのか…？
  • この記事のコードは…python入れないと動かないか…。
    • あ…github codespaces使えばいい…？
    • 120時間/コア/月は無料らしい…。最低の2コアのマシンなら、1日2時間の勉強に使えるっぽい。いいかも。
  • APIの利用が有料なのか…。とりあえず読むだけにするか…。
    • 登録後3ヶ月の間は5ドルのクレジットがあったらしい><
  • ベクトルデータベース？
    • aws.amazon.com
    • 高次元ベクトルを効率的に扱えるデータベース。
    • AI用途かな。
  • くふうAIスタジオ…！
    • 株価………><

画像解析AIの作り方【新連載】画像解析AIの魅力と開発の流れ ......髙木 優介

  • 今回は導入だけでした。
  • 次回以降、楽しみです！

MLOpsのすすめ【3】機械学習を実用化する方針策定とツール選定 ......澁井 雄介

  • CIがリリース判定、リリースの自動化…たしかに…！
    • 今度訊かれたら使います。
  • 学習済みの推論システムのリリース可否…。どうやって判定を…？
    • 正解率、適合率、再現率、MRR、CTR、CVR…
    • 場合によって適切なものをチョイスするものらしいです。
  • サーバ側の提供以外に、クライアントアプリでのEdge AIというのもあるんですね。
    • TensorFlow LiteとApple Core ML
  • SageMakerとか使ってみたい…。

位置情報エンジニアリングのすすめ【3】位置情報に触れる・加工する（後編） ......鈴木 祐亮

  • 位置情報データの分析……。
  • 手順を細かく書いてくれているので、実際にやるときに困らなそうです。
  • 時間があったら手を動かしたい…！
  • 次回はWebアプリ化だそうで…楽しみです。

新時代の分散型SNS Nostr【4】詳説Nostrプロトコル ......かすてらふぃ

  • プロトコルにシンプルさを大事にしてるというのは、ちょっと好感持てますね。
    • それで実装者が多いのかあ…。なるほど。
  • 投げ銭プロトコルが決まってるのがちょっといいですね。

Google Cloudを軸に実践するSREプラクティス【7】Argo CDによるKubernetesへの継続的デリバリ ......飯迫 正貴、（監修）小森 裕介

  • ArgoCDの導入理由がWebUI。
    • k8s使ってませんが、わかる気がします。
    • Dockerをコマンドだけでやってたころより、今のデスクトップ版を使ってるほうが
      • 感覚的に構造を理解できました。
      • 様子もわかりやすかったです。
  • …Elastic Beanstalkももっと見やすいUIになってくれれば><
  • ArgoCD自体の設定をファイルで管理できるのは良すぎます…。
  • k8s使ってたら、これは入れたくなりますね…。

なるほど納得Go言語【9】Goにおけるエラー処理（前編） ......崎原 晴香（H.Saki）

  • 「エラーは値であり、プログラム可能である」
    • リスト2が3にできるなら、結構スッキリしていいかも。
  • ネストを浅く…という、Go-likeはいいかも。
    • 普段Rubyでもやってます。RubocopかReekに言われちゃいますからw
  • 「エラーは通常発生するものとして、処理の仕方は開発者が責任を持って考えましょう」
    • がんばります🙋‍♂

AWS活用ジャーニー【13】AWS Security Hub ......杉金 晋

  • 気になってたんですが、ちゃんと調べてませんでした。助かります…！
  • セキュリティの自動チェック、アラート集約、自動修復…スゴいのが並んでますね…。
  • Azureにも同じようなものがあるそう。助かりますね…。
  • 料金もそんなに高くなさそう…。
  • 他のAWSのサービスとも連携…というのがいつもわかりにくいけれど…集約してくれるイメージですかね。
  • ひとつのリージョンを指定してまとめたり、アカウントもまとめたりできるそう…。
  • 自動修復は、terraformで管理してたらドリフトしそうで、やめたほうがよさそうですかね…。
  • ベストプラクティス、いいですね。まずは有効化…。

連載：OS/Network/Security

現場から学ぶAWSのクラウドセキュリティ【2】IAMユーザーと認証情報のベストプラクティス ......花塚 亮祐

  • 「気づけば多くのIAMユーザやアクセスキーが…」
    • (T_T)
  • うーむ…IAMユーザやアクセスキーの一覧を表示するコマンドでも用意して、ちょいちょい眺めるとかするか……。
  • aws.amazon.com
  • アクセスキーがあるので、IAMユーザをなるべく使わない、が確かに一番ですね…。
  • すぐにできはしないけど、こういう情報は助かります…！

魅惑の自作シェルの世界【11】リダイレクトの実装（その1） ......上田 隆一

  • 前回のおさらいをリファクタリングしながらって…結構おもしろいですね。
    • ようやく、この文書構造の良さに気づいた気がします。
  • ありゃ…スゴい自由度が高いというか…リダイレクトの位置、ホントすごいですね…。

［Ansible］現場を支えるPlaybook【11】Ansibleでプロンプトをハンドリングする ......呉 理沙

  • よくあるワナなんでしょうか…。こういうのをうっすらでも知ってると、いざというときに役に立ちそうです。

アラカルト

ITエンジニア必須の最新用語解説【178】OpenELA ......杉山 貴章

  • オープンからクローズドへの流れ、わかる気がします。
    • 大手が貢献少なく、タダ乗り的なものも……。
  • この流れの反対をやってみようというこのOpenELA、ちょっと気にしてみていたいです…！
    • そして、使えそうなら使ってみたいと思います。

読者プレゼントのお知らせ

SD BOOK REVIEW

  • 優れたデザインにとってコンセプトが重要な理由
    • よさそう。
    • コンセプトがしっかりしてれば、見た目も設計もしっかり付いてきますもんね！
  • セキュアなソフトウェアの設計と開発
    • これもよさそう。
    • 考え方・手法だそうで、言語に依らないみたい。
  • プロフェッショナルゲームプランナー
    • 作りもしないのに、業界も違うのに気になりますw
    • 普段、ゲームをやるのが楽しくなるかもしれないからかな…？

SD NEWS & PRODUCTS

  • shisho.dev
    • 設定の不備を探してくれて、わかりやすく管理してくれるこのツール…。
    • 気になるけど…でも高いなぁ…。

次号のお知らせ

  • 理想のコンテナ…！Dockerfileの書き方は我流だったんで、ありがたいかも。
  • 個人開発の成功の必須条件…。なんだかんだ作って遊んでたりするけど、成功……したいんだっけ？とはいえ、そういう話を聴くのも一興かも。あんまないですし。
  • ブラム・ムールナーさん…！
    • Vimにはなんだかんだとお世話になっていました。

Software Design Plus

特別広報

Web3の新時代を拓くココネのエンジニアリング力を探る【4】ポケコロの舞台裏で繰り広げられてきたチャレンジ ......編集部

  • www.pokecolo.jp
    • むちゃくちゃかわいいですね…。（自分とは方向性が違うけれども、それはそれで…）
  • 2Dアバターでいろいろできるのは、メタバースといってもいいですよね、たしかに。
  • インターナショナルな感じ、やっぱりいいですよね…。

Rubyでデザインする、挑戦と進化の未来へ！ Ruby biz Grand prix 2023 ......編集部

  • Rubyの人気の土台がコミュニティ、というのはすごくわかります…！
  • なにげにRubyを使っている会社の一覧が……いいですね。