0gura

コーポーレートIT・情報セキュリティ・サイバーセキュリティ

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

ドメインを渡すだけで、既知のサブドメインを一覧で返す索引サービス「crt[.]name」が公開されています。自組織のドメインを入れれば外部から把握できる範囲がそのまま返るため、公開しているつもりのないホスト名の点検に直結する一方、第三者からも同じ手軽さで一覧化される構成。検証用や運用から外れたホスト名まで同じ一覧に並ぶため、攻撃側にとっては着手先を絞り込む材料になります。

社内向けの機器であっても、公開の認証局から証明書を取得すれば発行記録を通じて名前が載る仕組み。しかも一度載った名前は削除しないと明記されており、廃止済みのホスト名も検索の対象として残り続けるとのこと。

索引の作り方は運営側が自ら説明しています。ChromeとAppleが信頼する一覧に載っている証明書ログを到着順に読み、証明書のSAN欄に並ぶホスト名だけを抜き取って残りは捨てる仕組み。古い名前は、退役したログをInternet-Archiveから再生したものと、Common-Crawl、ICANNのCZDSで配布されるゾーンファイル、公開のサブドメイン収集データセット、DNSのブロックリストで補うとの説明。

【技術的な要点】

・渡せるのは登録の単位になるドメインに限られ、取得は無料でトークン不要、ひとつのIPあたり1日1,000回まで。保持はドメイン、サブドメイン、初出日の3項目のみで、証明書そのものの情報は持たないとの記載。エージェントから直接呼べるMCPのエンドポイントも同じ無料枠を共有する形で並ぶ

・一般的なホスト名を総当たりする探索も併用しており、証明書の発行記録だけを見ているわけではない。ただし無料の範囲では探索は動かないとの但し書きがあり、部分一致検索、サブドメイン数の多い順の一覧、新規追加の逐次配信は限定公開の扱い

・一覧に並ぶのは現役のホスト名だけではない。ある大手小売事業者を引いた結果には、削除予定を示す接頭辞の付いたもの、検証用らしき名前、宣伝目的とみられるホスト名が公式のホスト名に混じる。存在しないホスト名が出たという報告も返信欄にあるが、名前を削除しない設計である以上、現在は解決しない名前が並ぶこと自体は起こりうる

・組織内の認証局へ切り替えれば証明書の発行記録には出ないものの、前述の総当たり探索やWebの巡回データという別の経路が残る。また利用者ごとに個別の証明書を発行する仕組みのサービスでは索引がほぼ利用者の一覧になり、実際にそうなる事例の指摘も返信欄にある

ただし会社概要も利用規約もプライバシーポリシーもなく、運営主体は公開情報からは特定できず、問い合わせたドメインがどこへ渡るかも確認できないため、調べる側にとっては、どのドメインに関心があるかという情報を相手に渡す動作でもある点に留意が必要です。

詳細は以下を参照：
https://t.co/MeX3Ac8Nlb

(※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[レバテックLAB（レバテックラボ） @levtech_lab]

AIによって、これまでのハッキング競技や
「脆弱性を発見して報奨金をもらう」バグバウンティの文化は終わりを迎えつつある――

トッププレイヤーから見た「今起きていること」を率直に語っていただきました⏬

[0gura @haaaayhay]

クアルト、初めて引き分けになった

[もとやま @ysk_motoyama]

https://t.co/1I9ZhiFMCt

[0gura @haaaayhay]

ハンタ39巻読んだけど全然分からなかった、修行が足りない

[坂井風太 @fuuuuuta21]

【考察】どのような経験が、人を急成長させるのか？｜Momentor坂井風太 @fuuuuuta21 https://t.co/fZMzeaLpEK

[yousukezan @yousukezan]

NIST、ついに“脆弱性の全件分析”を断念　CVE爆増でパンク状態、方針転換(＠IT)
#Yahooニュース
https://t.co/0KHQ4GMisv

[キングダム ハーツ @_KINGDOMHEARTS]

「#キングダムハーツ」シリーズ最新作『キングダム ハーツIV』の最新トレーラーを公開🎥
🎮対応機種も同時に発表！
Nintendo Switch™ 2 / PlayStation®5 / Xbox Series X|S / Microsoft Store on Windows / Steam / Epic Games Store　

今後の続報をお楽しみに🗝️

https://t.co/Js220dQFNX

#KH #KH4

[cow @cowincrisis]

thank you @googlemaps

[0gura @haaaayhay]

睡眠スコアでやっと満点。本当にうれしい。

意識したことは運動して、風呂入って、長く寝る、早く寝る、以上

[ハリー・ポッター公式 @HP_jp_official]

ホグワーツの新しい時代が始まる。
HBOオリジナル新シリーズ「ハリー・ポッターと賢者の石」2026年クリスマス配信開始！

#HarryPotterHBO
#ハリーポッターHBO

[Shin丨AI×プロダクト開発の専門家🤵🏻 @shin_sasaki19]

https://t.co/VfZAT4zktU

[とあるプロジェクト公式 @toaru_project]

『#とある暗部の少女共棲』2026年放送決定✨

とあるプロジェクト 新シリーズ
学園都市の闇に生きる、少女たちの物語

▽スタッフ解禁!!
監督 ⻑井⿓雪
キャラクターデザイン︓⽊本茂樹
アニメーション制作︓J.C.STAFF

▽ティザーサイト公開!!
https://t.co/ZhAOw0Gcqs

#少女共棲 #アイテム #とある

[のむ @nom0607]

売上が生まれる「一歩手前」に設定している、様々な業界のKPI 11選

❶Dropbox
追わなかったKPI：広告経由の新規登録数
置いたKPI：1ユーザーあたりの招待送信数

→招待を送った人は定着することに気づき、
ストレージ付与を招待行動に全振り

❷Slack
追わなかったKPI：契約社数
置いたKPI：1チーム内の週次メッセージ数

Slackは10,000通/チーム/週を超えると
解約しない、というラインを発見

→売上じゃなく依存が生まれた瞬間をKPIに設定

❸Spotify
追わなかったKPI：有料会員数
置いたKPI：週1回以上の再生日数

何日使ったかを徹底管理
連続利用が切れる前に
・プレイリスト
・通知
・レコメンド
を差し込む

→課金は後、習慣化が先

❹Duolingo
追わなかったKPI：学習完了率
置いたKPI：連続学習日数（Streak）

完璧に覚えさせるというよりも
今日も1分触ったかだけを見る。

→成果よりもやめなかった日数を重要視

❺Costco
追わなかったKPI：商品粗利
置いたKPI：会員更新率

商品は粗利約10〜15%
売上総利益の多くを年会費収入（営業利益の約7割）

→売場じゃなく会員でいる理由」をKPIに

❻IKEA
追わなかったKPI：購入点数
置いたKPI：来店滞在時間

→長く歩かせる導線、途中で飯、最後に小物で
ファンにさせる仕組みづくり

-------下記引用再掲-------

❼Amazon
KPI：短期利益 → 顧客体験（NPS・配送スピード）
初期のAmazonは利益度外視で
・配送の速さ
・返品のしやすさ
・レビューの充実 を徹底

❽Netflix
KPI：新規契約数 → 視聴継続時間

広告で契約を取るより 「今日は何分観たか」を最重要指標に
視聴時間が伸びると解約率が下がるし、満足度が上がって勝手に契約が増える

❾Airbnb
KPI：掲載数 → 初回予約成功率

ホストを増やすより 「最初の1回が成立したか」を最重視して
・写真の撮り直し
・説明文の添削
・価格の最適化 をCSに徹底させる

❿サイゼリヤ
KPI：客単価 → 回転率＋来店頻度

高い料理を売らないことを徹底して、一回の売上ではなく年間の来店回数を追う

⓫サイゼリヤ
KPI：GMV → 初出品完了率

売上より「最初の1品を出品できたか」
UIを極限まで簡単にして 写真撮る→説明自動→即出品 に振り切って面倒くささを排除

[0gura @haaaayhay]

モジュロ面白い！またネタバレを恐れる日々が始まった

[iwashi / Yoshimasa Iwase @iwashi86]

「なぜチームは機能しないのか？」(Why Teams Don’t Work)というHBRの論文からメモ。2009年のだけど、今も変わらないな。

・チームは創造性や生産性を高めると信じられているが、実際には期待通りにいかないことが多い
・調整やモチベーションの問題が、コラボレーションの利点を損なうことがよくある

・成功するチームの条件の1つは、境界線が明確な「本物のチーム」であること
・チームメンバーの選定には、時には冷酷な判断が必要になる
・チームを破壊するような人物は、たとえ有能であってもメンバーから外した方が良い

・チームには明確で、メンバーが同意できる魅力的な方向性が必要である（説得力のある方向性）
・方向性を設定することは感情的に厳しい仕事であり、リーダーの勇気が試される
・仲の良いチームが必ずしも生産的であるとは限らない
・満足感は良い成果を出した後に得られるものであり、満足しているから成果が出るわけではない

・チームの規模は小さいほうがよく、2桁の人数になるのは避けるべき。1桁（理想的には6人以下）に抑えるべき。
・人数が増えるとメンバー間の関係管理が指数関数的に難しくなり、時間を浪費してしまう

・チームのメンバーが馴染みすぎることでパフォーマンスが落ちるという証拠はほとんどない
・実際にはチームが安定する前にメンバーが入れ替わってしまうことのほうが問題
・初対面のメンバーで構成されたチームは、慣れたチームに比べてミスの発生率が高い
・最高のパフォーマンスを維持するには、同じメンバーで何年も働き続けることが望ましい

・どのチームにも、現状に異を唱える異端児（deviant）が必要
・異端児はチーム内の同調圧力を打破し、独創的なアイデアを引き出す役割を果たす
・異端児を排除してしまうと、チームは平凡な成果しか出せなくなる

・リーダーは魔法のようにチームを操ることはできず、成功の条件を整えることしかできない
・チームが初めて顔を合わせる最初の数分間が、その後の成否を大きく左右する

・組織の評価制度が個人に偏りすぎていると、チームのパフォーマンスは低下する
・チームが効果的に機能するためには、個人単位の成功だけでなく、チーム全体としての貢献に対して報いるような組織文化やインフラの整備が必要

・個別のメンバーへのコーチングよりも、チームとしてのプロセスへのコーチングが重要である
・チームコーチングの目的は、単なるメンバー間の仲良し工作ではなく、あくまでタスクを遂行するためのチームワークを強化することに置かれるべき
・コーチングは、プロジェクトの開始時、中間点、終了時に行うのが最も効果的

・バーチャルチームであっても、対面チームと同じように構造化された条件が必要である

・創造的な仕事においては、チームでの共同作業がむしろ妨げになる場合がある
・リーダーは個人の自主性と集団の行動のバランスを取る必要がある
・チームプレイヤーであることが常に美徳ではない。個人で取り組むほうが適した仕事も存在する

https://t.co/1DY9klmYdi

[Jon Yongfook @yongfook]

2000 - Rails etc: "Building is not the hard part now. Marketing is"

2010 - React / Vue etc: "Building is not the hard part now. Marketing is"

2020 - Nocode: "Building is not the hard part now. Marketing is"

2026 - Claude etc: "Building is not the hard part now. Marketing is"

[BleepingComputer @BleepinComputer]

NYC mayoral inauguration bans Flipper Zero, Raspberry Pi devices - @LawrenceAbrams
https://t.co/0UQ8bPlAOZ

https://t.co/0UQ8bPlAOZ

[0gura @haaaayhay]

もう20年も経つのかー

[プレイステーション公式 @PlayStation_jp]

本日で『キングダム ハーツII』発売20周年🗝️

この空がつなぐ世界で、辿り着く場所は一緒だと信じて。

ぜひプレイした思い出を教えてください🍨

#KH2 #KH #キングダムハーツ

[0gura @haaaayhay]

macOSは、フォルダにファイルが含まれている場合にフォルダが変更されるのも地味に効くGUIかも

[0gura @haaaayhay]

iOSをTahoeにしたけど、インターフェース面白いなー
Tahoeに最適化されたアプリもあるけど透明感ある