【東京】JJUGナイトセミナ JRuby 作者 Charles Nutter 来日記念セミナー

プラグインアーキテクチャというのは考えたこともなかったため、とても勉強になりました。
また、JRubyはオリジナル以上のものになっていることに本当に感激しました。

【東京】JJUGナイトセミナ JRuby 作者 Charles Nutter 来日記念セミナー
https://jjug.doorkeeper.jp/events/34913

■Building Plugin-based Architecture in Java using JRuby (Sadayuki Furuhashiさん)
・messagepack
・プラグインアーキテクチャ
　あるとシンプルに機能をたくさん追加できる。
　デベロッパーコミュニティができる。
　プラグイン事にテストができるため楽。
・疎結合化しないとモジュールできない。
・fluentd
　ログの収集、転送、変換用のツール
　ログの操作のためにスクリプトを作成するとサービス事にスクリプトを作成し、作成者がいなくなったときにメンテナンス不能になる。
　fluentdはサービス間のHUBになり、シンプルなアーキテクチャで操作できるようになる。
・embulk
　fluentdと違ってバルクデータのバッチ処理に特化したツール。
　データの推測(文字コードや区切り文字、フォーマット等)、並列処理に向いている。
　あらゆる機能をプラグインマーケットで提供している。
　機能種別ごとにプラグインは階層構造を持っていて、実装したい機能に応じて組み合わせて利用する。
・バージョン違いによるコンフリクトが発生した。
　これを防ぐために複数のバージョンを同時にインストールすることができ、必要なモジュールのプラグインを利用するように設定ファイルに記載する。


■How Invokedynamic Makes JRuby Fast (Charles Nutterさん)

2015年12月の Microsoft のニュース

マイクロソフト、AES暗号化方式に対応したワイヤレスキーボード3製品
http://internet.watch.impress.co.jp/docs/news/20151204_733739.html

マイクロソフト、「Azure Container Service」プレビュー版をリリース
http://japan.zdnet.com/article/35074400/

マイクロソフトがクラウドパートナーの拡充に注力する理由
http://japan.zdnet.com/article/35074378/

MSがクライアント版Windows 10でもコンテナ対応を計画中か
http://japan.zdnet.com/article/35074384/

2015年12月の google のニュース

画像認識の常識を変える Google Cloud Vision API
http://googlecloudplatform-japan.blogspot.jp/2015/12/google-cloud-vision-api.html

グーグル、手軽に3Dパノラマ写真を撮れるアプリ「Cardboard カメラ」を公開
http://ascii.jp/elem/000/001/087/1087755/

Googleが生徒のブラウザ閲覧履歴・検索履歴・YouTube視聴履歴を収集していることを指摘される
http://gigazine.net/news/20151203-google-track-student-data/

2015年12月の政府の動き

光アクセス回線サービスの卸売を受けて提供するサービスの不適切な電話勧誘についての注意喚起
http://www.soumu.go.jp/menu_news/s-news/01kiban08_02000198.html

「IPv6によるインターネットの利用高度化に関する研究会」第四次報告書（案）に対する意見の募集
http://www.soumu.go.jp/menu_news/s-news/01kiban04_02000099.html

JavaOne報告会2015 メモ

JavaOne報告会2015
https://jjug.doorkeeper.jp/events/33374

Opening & JavaOne 2015 over all
・今年のJavaOneは大きなトピックスは少なかった。
　セッション中心とkidsプログラムが大きなイベントだった。
　kidsイベントは500～600人の小学4～6年生がJavaは当然、WEBやIoTの開発を行った。
　子供だが当然のようにプログラムの読み書きができているのが印象だった。
・Rukutenがキーノートで講演を行ったのは日本人からすると大きなトピックス。
　来年はもっと増やしたい。
・OpenJDKのcommittersが前年比136％になり、注目度の高さがわかる。
・Java SEは来年v9になるように、ME、EEすべて予定通りに進んでいる。
・JCPんぽ法人会員に加入すると15ドルだったが免除になった。

Impressions of JavaOne & Java trends
・JavaOneはOracleのイベントだが、厳格なイベントというよりも学芸間に近い。
　Javaの20年の歴史をモチーフにしたタイムトラベルする寸劇が面白かった。
・Oracleはsunと違ってタンタンと予定通りにことを運ぶ会社であるため、激しい面白さはなかった。
　しかし、安心感に近い面白さがあった。
・OracleがJavaを重要視しているのは間違いない。
　Javaコミュニティが主導するイメージがある。
　一方でビジネスとして儲けていない印象がある。
・Javaが出てこないセッションもあった。
　Javaの開発よりもDevOpsのようにシステムとして運用まで含めた時代になっている。
　クラウドの技術やサーバ技術を知らないと開発者として優秀でない時代がきた。
・来年のJavaOneはJava9のリリースになるため、とても期待のイベント。

Java SE Update
■Java9の全体
・java9に実装内容は2015月12日に決まり、来年9月にリリース予定。
・追加内容はモジュール追加(projext jigsaw)
・jshell:CUIでjavaの実行が可能になる。
・Java.DoC.Next：java doc が進化して使いやすくなる。
・Milling Projecr Coin：仕様が大きく変わるため影響が大きい。
・re-engineering：Diamond nestが増えても早くなる。前は増えるたびに指数関数的に時間がかかっていたが、これからは増えてもほとんど変わらない。
・非互換性
　"_"の1文字命名禁止
　6つの非推奨メソッドが削除
　JDK内部のAPIのカプセル化　削除ではないのでほぼ影響ないと思われる。
　JDK/JREのランタイムの仕様変更
　※これらの変更はすべてprojext jigsawの影響。
■projext jigsaw
・jigsawの考え方は開発を簡単にするものではなく、関係性を可視化してわかりやすくするもの。
・JAR Hell
　コンパイル時に依存関係が1つでもミスがあるとエラーが出るようになる。
　内部APIを安全に変更できるようにするため。
　各コンテナのカプセルをできるように。
　依存関係を見えるようにするため。現状では依存関係の可視化が不可能な状態は良くない。今後GUIの可視化ツールが開発されることを希望。
・JDK(API)のModule
　Java baseがすべてのAPIの起点になっている。
・Module jar
　コンパイル時に依存関係の表示が必要になるが、後方互換性があるので今まで通りの方法も可能。
　しかし、新しい方が保守性が高いため変えた方がよい。また、10以降も後方互換性を保つかは不明。
・自分の作ったモジュールを実行バイナリを作成できるようになる。
　そのため、今までのようにjava+実行jarと指定する必要がなくなったので簡単に実行バイナリの移動ができるようになる。

Java SE 講演から
・ゴールドマンサックスもOSSを行っている。
・eclipse Collections by Example
・GS Collections
　2004年から開発しているフレームワーク。
　GS Collections Kataという研修もある。ライブラリを1つ1つ使うことによってイメージライブラリを覚えるようなもの。
・ゴールドマンサックスはeclipseのストラテジになることになっている。
　そしてeclipseのコレクションとなる。
　ゴールドマンサックスとしてはコントリビュートする準備がある。
・Java8 Streamsの拡張と効率化のイメージ。
　稼働条件がJava5以上となっているため、低いバージョンでないといけないシステムでも利用可能。

Java ME & IoT
・今年初めてキーノートでMEのデモがなかった。
・Java MEが8(8.1)→2になった。
・Linuxの対応になった。
・SSLv3がなくなった。
・SE ebedded　→　ほぼ死す。
　今後はjisawでやれということみたい。

Java EE Update
※本日の内容はドラフト。変更される可能性あり。
・Java9は2017年上半期にリリース予定
・servlet4.0
 http/2対応を行う。
・JAX-RS2.1
　並列処理、非同期クライアントに対応。
・JMS2.0
　MDBのシンプル化
・JPA2.2
　Java SE 8対応
　@NamedQueryんぼRepeatableアノテーション対応
　スクロール機能の標準化
・WlidFly Swarm
　SpringBootの背景：機能が豊富でpom.xmlの組み合わせ方法が難しいため、推奨組み合わせを作って簡単に。
　そこからより使いたいものだけを記述しモジュールを取ってくるようになった。

・MVC1.0
　JSFはcomponentベースだったがMVCはactionベースとして作成している。
　見通しのよさと簡便さ、RESTとの親和性を重視している。
　また、サーバサイドのフロントエンドは変更が激しいためMVCを望んだ。
　validationはbean validation(JSR349)ベースとなる。
　viewの仕様としてサポートするのはJSPとFaceletがあるが、MVC1.0としてはviewの在り方として規定しない。
　mvcのスコープの拡張として@RedirectScopedを導入。
　フレームワークではなくAPI。
・JSON-p1.1
　Java EE 7になるまでJSONを標準で処理できなかったため要求が強くあったため導入された。
　ポインターによるJSON操作ができるようになる。
　RFC7386準拠
　JSONマージ処理が追加。nullの値があるときのマージも可能。
　リバースパッチが可能
　JSONに対する低レベル操作API
　JSON-Bのドラフト2。

Speaker Panel: How to be a speaker at JavaOne?
・スピーカーになっても交通費、旅費が出ないため、高い。
　しかしそれ以上にコミュニティの活性化や知識・技術の向上があってよかった。
・1人でjavaOneに行くのが不安な人は他人のスピーカーに相乗り登録していくものあり。(1セッション3人まで)
・JaveOneは独特の雰囲気があって面白くないセッションは始まってすぐに聴講者がいなくなる。
　一番押しのデモまでは見てくれて面白いと感じてもらえれば最後まで見てくれるのでつかみが大事。
・英語が通用するか心配する人が多いが気にすることない。文法や発音が下手でも何とか通じる。
・JavaOneCCC等で登壇する人はJavaOneに参加しても問題ない。
　アメリカとの開発、技術力の差はない。
・事例系は受かりやすい。
・アメリカではセッション中に突然くるので結構焦る。
　事前に質問には答えませんと言って起き、twitterとか答えますとか逃げるのがよい。
・コミュニティの経歴を提出するので、JavaOneCCCの幹事をやったことがあるとかよい。
・締め切りまじかはほとんど落ちる。早めに出すのがコツ。
・動画が求められる。
　動画の内容が日本語でも行けるかも？？
　アブストラクトが英語なら大丈夫かも？？
・登壇者はチケットがただになる。
　転職メールがくる。
・スピーカールームがありとても豪華。

FOCUS JAPAN 2015 メモ

FOCUS JAPAN 2015
http://focusjapan.jp/


国債犯罪組織との闘いから判明した真実
https://reg31.smp.ne.jp/regist/is?SMPFORM=lcqh-ncthp-9af792e68e1a4fae55471024c396736a&id=3
■攻撃手法
・アメリカでは医療データの収集が流行している。
　医者はお金を持っているため金銭目的。また、銀行よりもセキュリティレベルが低いため狙われやすくなっている。
　技術の進歩で近い将来銀行への直接攻撃も想定される。
　『目に見えない経済』というレポートを参考にしてほしい。
・ラムサスウェアが欧米で流行した。
　取引してもデータ回収ができないケースが多い。
・感染キャンペーンをやり世界のハッカーが同時に攻撃を開始するようなこともあった。
　このとき利用される技術は事前検証で成功率の高かったものを採用されている。
　あまりの規模の大きさに世界のセキュリティ関連の企業、団体が協力して捜査しても犯人特定がほぼできなかった。

■利益
・近年の金銭入手方法はダークウェブを利用したビットコイン。ある意味、過去のスイス銀行よりも匿名性が高い。
・サイバー犯罪での収益は(アメリカクラッカー集団）数十億から数百億ドルと言われている。

■攻撃アルゴリズムの進化
・ドメイン生成アルゴリズムが多くのクラッカーの投資によって作られた。
　常に新しいドメイン生成し続けてマルウェアは最新のドメインを利用する。
・ビーボーン
　回避能力の向上したマルウェアが発見された。以下のようなものが発見されている。
　アンチウイルスのプロセスをKILL。
　ウイルススキャンした場合に自分を例外に登録するまたは自分をKILL。
　感染したPCにアンチウイルスをインストールされるときにユーザーからはインストールされたように見せかけ実際は動いていない。
　1日に35回以上姿を変えるマルウェア。パッチ適応の速度が間に合わない。
　押収できたマルウェアの検証では約500万パターンに変化することが分かった。

■防御側の進化
・シンクホール
　特定のボットネットに関する情報収集するために研究者によって使用されるマシン。
　これを利用しマルウェアの送り先を研究チームにリダイレクトもさせて収集する。
・攻撃されている対象は欧米が多いが、攻撃元はイラン、ペルー等の後進国だった。
・US-CERTに攻撃を受けた場合の修復ツールが公開されているため使用してほしい。各メーカー・ベンダーと情報を共有して常に改善を行っている。
・セキュリティ業界の一連の課題はどうやってみんなが真剣に考えるようになるか。


基調講演・特別講演
・FOCUS JAPANは6年目となり2500人ものセキュリティの専門家、研究者が集結する日本最大級のいイベントになった。
・現在情報共有が必須の時代になっている。
　そのため、他社への攻撃は自分の企業への攻撃だと認識して本気で対策を考えたりすることのできるホワイトのコミュニティが必要でFOCUS JAPANはその1つになりたい。
・パートナーも多く参加し、大手メーカーが多い。
・Intel セキュリティもMcAfeeも参加者との対話で成長していきたい。
　聴講者もどんどんコミュニケーションをとってスキル向上、知識の習得を行ってほしい。
・現在のシステム開発ではセキュリティは後付けになっているケースが多い。
　しかし本来はセキュリティは経営リスクであるため、実行可能なセキュリティマネジメントにしないといけない。
・攻撃の内部から外部からと多方面性、多様性、規模、個人性は他の業界にはない特徴。
・NCCIS：米国サイバーセキュリティ＆通信統合センター
　ISSO：情報共有＆分析組織
　NCCISはUS-CERTとICS-CERTの2つ組織がある。
　US-CERT：連邦政府からの要請でインシデントに対応する。
　ICS-CERT：重要インフラ、主要インフラのCERTの運用をサポートや他のCERTと連携を行う。
・サイバー基準とCSIRT
　サイバー攻撃がないように保つ
　サイバー攻撃が発生したときの『初動対応』
・日本と米国の協力
・経済産業省やNISTとNCCISと連携して犯罪の取り締まりを行っている。
　情報の共有・協力
　互いの重要インフラのセキュリティ維持
・経営者にどうレポートするとリスクを認識してもらうことができるか考えて情報共有してほしい。
　経営者の認識の甘さは日本でも米国でもそれほど差がない。


最新脅威動向と将来の標的
https://reg31.smp.ne.jp/regist/is?SMPFORM=lcqh-ncthp-9af792e68e1a4fae55471024c396736a&id=14
■今までの経緯
・20年前はエンターテイメントとしてサイバー攻撃を行っていた。
　そのため、金曜日の夜から攻撃が開始されることがほとんどだった。
　しかし、だんだんエスカレーションして犯罪行為になった。
　犯罪行為を行うメンバーは特定の会社や政府に感情で攻撃していた。
　そのため、メンバーは限られ小さいコミュニティだった。
　次の段階として組織犯罪になりビジネスとなった。
　組織犯罪グループは高度なスキルを持たずリソースだけで攻撃するケースが多かった。現在の中国に似ている。
　そして現在ではサイバー戦争となって国家が行うようになった。
　ここまでくると高度の知識やスキルを保有しており強く意思を持ってやっているため、防ぐことが非常に困難となっている。
・コンピュータユーザーは2010年20億→30億に、攻撃者は940万人→4270万人に増え、インシデントも非常に多くなっている。
　2013年→2015年でデータは4.4ZB→8.8ZBにデバイス数は50億→163億個になっている
　そのため、攻撃対象がものすごく増えている。
　本年の動向としては毎秒6件のペースで脅威が増えている。
・新しいマルウェアは2015年Q1,2はで前年比で12％増えている。
　Zooには4億3300万のサンプル含まれている。
　新たな脅威としてランサムウェアが今年に入って増えている。
　トリプトキーというランサムウェアがあり、これは正しいキーでも複合できないケースがあり、身代金の支払い損になるケースもある。プログラム作成者でも複合できない。
　現在、すべてのセキュリティスペシャリストでも有効な解決方法を持っていない。アンチウイルスも有効性に欠ける。
　あえて言えば、ちゃんとバックアップを取っておくこと。
・脅威インテリジェンスを準備すること。
　サイバー脅威アライアンスを抑えておくが重要。

■2016年の重要領域
・ユーザーは2019年には40億人、デバイスは2020年に2000億個に、データは2020年に44ZB、トラフィックは72.4EB→168EBになると予想されている。
　ネットワークの向上はより早く脅威を分析して見つける技術が必要になる。
　2014年～2015年では脆弱性の34％はadobe flash、18％がIEで圧倒的に多い。次に16％がwindows OSのkernel。
　2014年は珍しくwindows OS kernelを狙い撃ちにされていた。
・従業員による攻撃。企業防衛によってシステムへの直接攻撃しにくくなっている。一方で自宅で仕事する人はそこまで準備ができていないため、自宅にいる社員を狙っている。
　また、androidを企業的に使っているとものすごく危険。重要な脆弱性が放置されっぱなしになっている。
・2016年はラムサスウェアがさらに増えることが予想される。お金になるため。
・また、ウェアラブル端末のkernelを狙った攻撃が増える。ウェアラブル端末そのものを攻撃というよりも踏み台として利用される。
　ウェアラブル端末の継続的なセキュリティアップデートや対策をどうやるか誰も考えていないことが問題。
・自動車への攻撃も増える。
　すでに2015年でも数件確認され、ジープを完全に乗っ取り道路を爆走させ悲惨な事故を起こした。
　メーカーはこの問題を考えており、セキュリティの高いコーディングを行っているが、クラッカーの数が多すぎるため、対応しきれないと考えている。もっと抜本的な対応が必要。
・サイバースパイが増える。
　サイバースパイは正当なクラウドサービスを狙い、確立した(正当な)方法でログインして情報を収集する。
・Torネットワークの利用も増えていく。ネットワーク内にサーバーをホスティングして完全な匿名性を得ることになる。
・主要インフラ、重要インフラの担当の48％が3年以内に人命を失うことに攻撃が行われることを予想している。
　また、重要インフラへの直接的な攻撃が行われなかったとしてもクラッカーはいつ脆弱性をあらわにするかと監視対象になっているケースある。

IIJ Technical WEEK 2015 メモ

メモ

2015年セキュリティ動向
http://www.iij.ad.jp/company/development/tech/techweek/pdf/151112_1.pdf

■DDOS攻撃
・過去に使っていたが、現在使用されていないIPv4のアドレスを利用して攻撃に使われている事例が何件もある。
・DrDOS攻撃が非常に大きくなっている。
　DrDOS攻撃：一般家庭のルータを踏み台にして小さいパケットをたくさん生成して攻撃する事例が増えている。
　メーカーやプロバイダのISPの対応で国内としては減少したが国外では非常に多く利用されている。
　攻撃先は様々。
　利用されている国は、アメリカ、中国、ブラジルが比較的多め。
・DD4BC
　昨年、DOS攻撃によってサービスを停止させて脅迫を行う。身代金として匿名性の高いbitcoinを利用。
　攻撃は10G～40Gbps規模。
　模倣犯が増えている。
・protonmail事件
　100Gbpsを超えるDDOS攻撃。
　身代金を請求し支払ったが解決しなかった。金で解決しない事件が増えていることがわかる。

■PUA
・マイナンバー制度に合わせた個人情報保護法の改正
　5000件条項の廃止。
　慎重なパーソナルデータの利用が求められる。
　第三者機関の監査を推奨。
　パーソナルデータのデータを推奨する一方で厳格な対応が求められる。
・Ingress等位置情報を利用するサービスで営業社員の位置情報が送信されて会社情報がゲーム会社に送信されるようなケースが多くなり、こうしを分けるのが難しくなっている。
・PUA：本アプリと別にアプリを一緒にインストールされたり、設定が変更される。
　これを利用して攻撃する例も増えている。
・PCにプリインストールされた第三者(PC販売メーカーではない)ソフトウェアに脆弱性が出るパターンがあった。
・PUAはウイルス対策ソフトで削除されない。
　ユーザーが承認してインストールしている。
　開発者が意図して入れているためメーカーの責任でインストールされている。
・PUAを利用した攻撃に関しては、セキュリティの専門家が発見するよりも利用者が不便さを感じて発見されるケースが多数ある。
　個人ブログ等で不便さや批判をセキュリティの専門家が見て、調べる流れとなっており、情報がセキュリティ会社や団体に来ないことが問題。

■標的型攻撃
・正規のキャンペーンに紛れての標的型攻撃が行われている。
・今年は特に医療分野での攻撃が多かった。
　年金機構への攻撃もこの系列の可能性あり。
・標的型攻撃には対策ガイドラインや教育がなされているが事件は増える一方。

■新技術
・VDIを利用して、インターフェース、OS、ハードを切り離す。
　対策や調査開始のスピードアップが期待できる。
・SDNを導入する。
　ネットワークの監視、攻撃の対策をすべてコントローラに集中させることができる。
・機械学習の導入。
　ネットワークのパケットをすべてとらえてマルウェアの発生予兆をとらえる。
　また、ユーザの行動も覚えさせることで普段と違うパケットを見つけることで攻撃予兆をとらえる。


Hardening Projectから学ぶインシデント対応の勘所
http://www.iij.ad.jp/company/development/tech/techweek/pdf/151112_2.pdf
■イベント内容
・Hardening Project：防御に特化した実践的なセキュリティの競技イベント
　守ることと回復が中心で、元々は技術のみだったがマネジメントや顧客とのコミュニケーションも対象となった。
　参加者は学生からインフラ、開発者、管理職、ITに関係ない人もいる。
　1か月前にチームが発表されてチームビルディングから開始となる。
　架空のECサイトを守る。攻撃者は運営。
　必要に応じて、メーカーやベンダーからの情報収集する技術も問われる。
・1日目：hardning：8時間耐久演習
　2日目：softning:フィードバック等の演習
　その他：WASNight：参加者、不参加者、運営の懇親会。まったくの別日程で行い、関係を深めてもらう。

■イベントから学んだこと
・セキュリティインシデント対応は準備がすべて。(セキュリティだけではないかもしれないが)
　準備していないものは基本的にできない。
・準備
　堅牢化した結果、自分たちも何もできない構成になっていたりする。
　安易に設定変更したり、止めてはいけない。
　セキュリティサービスを過信して疑わない対応することはいけない。
　攻撃者が悪であることは間違いないが、システムの管理・運営者として攻撃者に責任転嫁してはいけない。
　「脆弱性のあるサイトはいやだ」はユーザの本音。脆弱性のあるサイトで買い物をしたいくないはず、そのためサービスを止めることはあり。

■他の国内イベント
・国内には演習や訓練が行えるイベントが少ないことが悩み。
・mini harding project ：有志が始めた初心者向け演習。

■その他
・標的型攻撃があった場合whoisに記載されている情報元に連絡が来る。(メールが多い？)
　警察やセキュリティベンダー等が標的型攻撃者で利用されているサーバ等のパケットを監視している。