tomo｜インフラエンジニア

関西のインフラエンジニア（経験20年超）｜NW・クラウド・セキュリティの設計構築・PM｜CCIE Lifetime Emeritus / VCAP-DCA / Azure Solutions Architect Expert｜セキュリティや AI の話題を、現場の目線で発信

[tomo｜インフラエンジニア @MyTechBlogJP]

これからインフラエンジニアを目指す人に、伝えたいこと。

「インフラエンジニアになる」より、「何をやってみたいか」から始めるのもありだと思う。

AI を使えば、開発や創作を一人で形にできる時代。
でも、作ったものを公開しようとすると、すぐにサーバーやネットワーク、セキュリティの壁にぶつかる。

必要に迫られて学ぶインフラは強い。

自分も初めて AI で Web アプリを作って公開したとき、最初に決めたのは「秘密情報をどこに置くか」だった。

生成 AI の API キーは、漏れると第三者に使われ、課金や利用枠の消費につながる。
だからコードには書かず Secret Manager に置き、Cloud Run から参照してブラウザ側には出さないようにした。
認証まわりは Firebase に任せて、自分では作り込まなかった。

地味だけど、インフラを触ってきた人間が最初に気にするのはこういうところ。

肩書きはインフラエンジニア。でも、それは名刺がわり。
インフラ以外のことに挑戦するときも、その土台が支えになっている。

就職や転職で、インフラをやってみたいなと悩んでいる方の参考になればうれしいです。

個人的には、セキュリティを軸に経験を積めるところは特におすすめです。

[tomo｜インフラエンジニア @MyTechBlogJP]

@passw0rd_adm1n 「完了」の意味がずれてると誤解のもとになりますよね。以前、「確認待ち」というステータスを作って分けるようにしたことがあります。

[tomo｜インフラエンジニア @MyTechBlogJP]

@medal_kuro 私もやってみたら当たりました。まさか551の豚まんで見抜かれるとはｗ

[tomo｜インフラエンジニア @MyTechBlogJP]

@seto_shiori 子育てしながらこの積み重ね、すごく尊敬します。
実機で確かめるところが一番大事だと、私も思います。

[tomo｜インフラエンジニア @MyTechBlogJP]

@Hikisann29 ありがとうございます。では追加で…

P Patch は早めに当てるのだ！WAF で止めるのは時間稼ぎなのだ！

W Wishlist に入れたのだ！楽しみにしているのだ！

Z Zero Trust なのだ！社内だから安全とは限らないのだ！

[tomo｜インフラエンジニア @MyTechBlogJP]

「FortiBleed 2.0」なるものが出てきました。

ただし、新たな脆弱性や新規侵害が確認されたという話ではなく、過去のデータの追加調査です。

FortiGate の設定情報から、平文の秘密情報を含む 40,573 件のレコードが確認され、AD 接続用の LDAP パスワードも含まれていたとのこと。

https://t.co/HCKQV9trqm

[tomo｜インフラエンジニア @MyTechBlogJP]

「AI はスキルを置き換えず、拡大する」

基礎がないまま自動化すると、間違いまで拡大してしまう。インフラでも同じことが言えそうです。

[zack0x01 @zack0x01_]

Bug bounty has definitely changed.

I used to spend hours analyzing HTTP requests, switching back and forth between Firefox and Burp Suite.

Now, I open my terminal, point my AI skills at a target, intercept and analyze HTTP traffic using Burp Suite MCP, and offload heavy tasks to my HackBot running on a VPS.

But here’s the thing: AI doesn’t replace your hacking skills. It scales them.

The goal is to get really good at manual hacking first, then use AI to automate and scale what you already know.

Not the other way around.

You don’t start by building a HackBot and expecting it to hack for you when you don’t even understand what it’s doing.

Learn to hack first. Automate second. Scale third.

Keep hacking! ✌️

[tomo｜インフラエンジニア @MyTechBlogJP]

@NetworkChuck Agree. AI scales what you already know, including your mistakes. Fundamentals first.

[tomo｜インフラエンジニア @MyTechBlogJP]

Teams の外部チャットで「IT サポート」を名乗る攻撃が、400件以上観測されたとのこと。

迷惑メールが大量に届いた直後に「解決します」と連絡が来たら要注意です。
https://t.co/OoXqiS7tLm

[tomo｜インフラエンジニア @MyTechBlogJP]

HPE Aruba AOS-8 / AOS-10 の脆弱性 72 件について、影響範囲と修正版、更新時の確認点を整理しました。

PAPI（UDP 8211）は一律遮断せず、必要な機器間通信を維持して送信元を制限することが重要です。

https://t.co/aTgvgVcChc

[tomo｜インフラエンジニア @MyTechBlogJP]

対応を進めていることは伝わりますが、個人情報の公開が予告されている最中の笑顔の自撮りは、被害を受けた方の気持ちを考えると不謹慎に感じてしまいます。今は利用者への説明を最優先にしてほしいです。

[熊谷正寿【GMO】 @m_kumagai]

日本だけではありません「国際刑事警察機構INTERPOL」にも相談済みです。

【速報】GMO不正アクセス問題、警視庁が捜査

#47NEWS https://t.co/Aa0Jh7P9M5 @47news_officialより

[tomo｜インフラエンジニア @MyTechBlogJP]

@_nin82 共有ありがとうございます。
早速リポジトリを作ってみました。Trails や Memories がどう動くか、これから触ってみます。

[tomo｜インフラエンジニア @MyTechBlogJP]

@nishikawaakira たしかにｗ
×：仮想パッチ
〇：WAF で止めています、パッチまだです

[tomo｜インフラエンジニア @MyTechBlogJP]

@seto_shiori 共感です。私も同じインフラエンジニアとして、技術そのものが目的にならないように、「誰かの悩みや課題を解決できる」エンジニアでありたいと思います。

[tomo｜インフラエンジニア @MyTechBlogJP]

見に行かないことに加えて、広げないことも大切だと感じています。

攻撃者のサイトのアーカイブリンクを投稿している方がいました。生々しい声明が多くの人に見られるほど、世間の注目が圧力になり、攻撃者の狙いどおりになります。便乗詐欺の材料にもなりかねません。

今後、個人情報の公開ページまで同じように広まってしまうおそれもあります。注意喚起のつもりでも、リンクは貼らないでほしいと切実に思います。

[tomo｜インフラエンジニア @MyTechBlogJP]

同感です。興味本位でも、確認のつもりでも、公開先は見に行かない。被害を広げないことが、いま外野にできる一番の協力だと思います。

私自身も便乗詐欺への注意喚起など、二次被害を防ぐ発信に徹したいと思います。

[tomo｜インフラエンジニア @MyTechBlogJP]

@elonmusk AI-powered posting so I have more time for family and game. My only problem: my Grok limit runs out before my ideas do.

[tomo｜インフラエンジニア @MyTechBlogJP]

同感です。興味本位でも、確認のつもりでも、公開先は見に行かない。被害を広げないことが、いま外野にできる一番の協力だと思います。

私自身も便乗詐欺への注意喚起など、二次被害を防ぐ発信に徹したいと思います。

[遼介 @ryo_suke3000]

こういう時こそ、興味本位で公開先を見に行かないことが大切ですね。

もし僕が被害対象になったら、公開情報を探し回るより、まず証拠を保全して警察や関係機関に相談し、金融口座の不正利用や認証情報の悪用に備えます。家族の情報が含まれていれば、安全面の確認も優先します。

公開先へのアクセスには、個人情報の拡散に加担するリスクや、悪意あるサイトに接触するリスクもあります。リンクを踏まない、画像を転載しない、氏名を検索して特定しようとしない。注意喚起のつもりでも、被害を広げる行動は避けたいです。

被害者を守るために必要なのは、野次馬になることではなく、拡散を止める側に回ることだと思います。

[tomo｜インフラエンジニア @MyTechBlogJP]

@ryo_suke3000 @nftjapannftsub 「拡散を止める側に回る」、本当にそうですね。心に留めておきます。

[tomo｜インフラエンジニア @MyTechBlogJP]

お名前.com デスクトップクラウドの件、攻撃者を名乗る者が個人情報の公開開始を主張してます（真偽は未検証）

利用者の方は、サーバー内で使っていた ID・パスワードの変更と、「情報を削除します」「本人確認を」といった便乗の連絡にご注意ください。

[セキュリティ対策Lab @securityLab_jp]

GMO デスクトップクラウドへのサイバー攻撃でハッカーが個人情報の公開開始を宣言-10月27日正午に個人名を掲げたページを新設
https://t.co/pYXBaLilH7

#セキュリティ対策Lab #security #securitynews #セキュリティ #セキュリティニュース #onamae #gmo