Mochi Cron

通信事業Web領域SRE 4年目

[Mochi Cron @mochi_cron]

地味に電車通勤時間帯を狙って記事を投稿していたりする。

[Mochi Cron @mochi_cron]

新記事を公開しました。

https://t.co/zLz05haaJr

[Mochi Cron @mochi_cron]

@hitsmartcarbon わかりやすいようにまとまった製品に見えてますが、この手のものは内部のさらに細かい製品のつけ外しだったりします。営業に聞くとそのパックにどんなサービス・機能が内包されているか、どれがカスタマイズ可能か、みたいな表が出てくると思います。

[Mochi Cron @mochi_cron]

@hitsmartcarbon ややこしいのですが、Cloudflareは「bot検知」「WAF」「API Shield」など複数製品を展開しています。bot検知はAIなど書いてますが顧客固有ではなくグローバルではという所感です。1番近そうなのはAPI Shieldですね。想像の範囲ですみません。

https://t.co/0JrKdX95KQ

[Mochi Cron @mochi_cron]

@___nix___ なるほど、サービス利用側から求められるんですね。toBサービスと推測しました。要求側もあまりわかっておらず、責任の線引きのためにとりあえずYESと言わせる、みたいなのはサービスの外部調達の場面ではWAFに限らず、あるあるですね。

[Mochi Cron @mochi_cron]

Datadogの悩み。Webhook発報先を出し分けるときにモニタ本文を使いたいのに、余計なメッセージが混入しまくって使いづらい。Twilioの架電発報、Slackのマネージャ向け、運用メンバ向けで本文相当を変えたい。そうするとWebhook量産するしかなくて美しくない。モニタタイトルに押し込むのも美しくない。

[Mochi Cron @mochi_cron]

@hitsmartcarbon 例えば私が契約しているわけではありませんが、前述の「逆に」をやってくれるこのような製品があります。ただしめっちゃ高額（と私は推測）ですので、結局はお金とのトレードオフです。n千万円〜n億規模の予算をこれだけに払えないと厳しいかもしれません。

https://t.co/etW4oL0gfs

[Mochi Cron @mochi_cron]

@hitsmartcarbon こんにちは、著者です。読んでくださりありがとうございます。一般的なWAFは単一のリクエストの怪しさしか評価できないこと、固定シグ��チャの効果が薄いことが課題です。逆に言えば「その業務を理解した複数リクエストの文脈を読み取ってシグネチャ生成できること」が防御の必要条件になります。

[Mochi Cron @mochi_cron]

次のバージョンでは現在のホストにインストールしたTrivyへの依存をやめて、コンテナ版Trivyのpullと実行、初回並列実行時のtrivy dbの並列pullによるクラッシュを回避する事前リフレッシュを追加する予定です。バイナリ同梱版も開発中ですがライセンスとかようわからんので公開未定。

[Mochi Cron @mochi_cron]

以前作った脆弱性スキャンツールに改修を入れました。今月はaxios 0.30.4, 1.14.1へのマルウェア混入と、現在進行中のCVE-2026-40175の件でまた1000リポジト��以上スキャンする需要が出てきたので。初動で重要な「直近でコミットがあったブランチはどれだ！」を日時範囲指定で拾えるようにしました。

[Mochi Cron @mochi_cron]

今週はReactのCVSS10.0の脆弱性で、だいぶザワついたと思います。
調査が面倒だったので、TrivyでGitHubを横断スキャンするツールを作りました。愛称「バルバルちゃん」です。リポジトリを100個以上抱えてる組織なら数十万円くらいの節約になるのでは。
https://t.co/59lSlEnxvp

[Mochi Cron @mochi_cron]

あと地味にロギングも修正して構造化（っぽく）しました。Trivyのログは透過しつつ、並列処理でもどのスキャン対象のログかをリポ��ブランチをキーに出力します。severityに色がついてないのでまだ見づらいかも。

[Mochi Cron @mochi_cron]

割とモダンな（印象のある）企業の求人でもGKEをモリモリ使ってる印象。ML/超低遅延/超高トラヒック要件がないWebサービスでも気軽に使ってるようなので、その運用コストn億円が本当にペイできているのか、私が未熟で扱い切れていないのかが気になる。とりまCloud Runシリーズを布教したい。

[Mochi Cron @mochi_cron]

NECのAtermをブリッジモードで使うからPoE化したろと思ってスプリッタ買ったけど、5.1mm x 2.1mmのDCプラグがはまらない。調べたらEIAJ#4とか言うのにしなきゃいけないらしい。わけわからん規格採用しやがってと思って調べたらEIAJの方が安全なので、悪いのは出回ってるDCプラグだと思った。

[Mochi Cron @mochi_cron]

L2スイッチとルータが届いたので取り急ぎセットアップした。家庭用ルータ以外の初めてのネットワーク機器。RJ45->USBのコンソールケーブル持ってないからRTXおかしくしたら詰みのハードコアモードでギリ耐えた。どちらもファンレスなので寝室でも静か。

[Mochi Cron @mochi_cron]

皆様あけましておめでとうございます。
新年1発目の買い物は、みんな持ってるのに自分だけ持ってなくて、いい加減買わないとなと長年思っていたSwitch2です！！！
#Nintendo #NintendoSwitch2

[Mochi Cron @mochi_cron]

今後Open telemetryと統合してトレース機能も内包するか、それはユーザ責務として外出しするか悩んでます。自分だけ使うならヨシですが、ユーザが利用するフレームワークがまちまちだと保守コストが高いので。

[Mochi Cron @mochi_cron]

Pythonで標準logging x Pydanticで強烈に構造化ログスキーマを強制するstella-loggerを作りました。
業務でアプリが吐くテキストペイロードをcontainでDatadog監視するのが横行しており、もっと安全に可観測性と安全性を高めたいと思ったのがきっかけです
https://t.co/E7bZZfp6Xr

[Mochi Cron @mochi_cron]

自作のSDKを作りすぎて、自分がいなくなったら誰も読めないオーパーツになりつつある。シンプルさと安全性に全振りしたAPIの代償。トラブったら誰もメンテできないけど、自分で使う分には最高。

[Mochi Cron @mochi_cron]

ISSUEにもあげてる通り、ロギングがマジでいけてないので、やる気があれば直します。マトモになったらPyPIに上げます。

[Mochi Cron @mochi_cron]

今週はReactのCVSS10.0の脆弱性で、だいぶザワついたと思います。
調査が面倒だったので、TrivyでGitHubを横断スキャンするツールを作りました。愛称「バルバルちゃん」です。リポジトリを100個以上抱えてる組織なら数十万円くらいの節約になるのでは。
https://t.co/59lSlEnxvp