用語集

用語の定義は、各ツールが解説に載せている内容です。詳細や例外は、それぞれのツールと出典ページでご確認ください。

• DNS・IP アドレス(9)
• メールの認証・経路・宛先(6)
• 秘密情報の伏せ字と検出(16)
• Git・リリース作業(10)
• 定期実行と運用の集計(14)
• 文字と記録の点検(11)

計算の方法

古い値が残りうる最長の時刻は、レコードを変更した日時に TTL の秒数を足したものです。掲載ツール: DNS 変更後の古い値が消える時刻 / このツールの出典: www.rfc-editor.org(出典一覧)

取り出し方と国際化ドメイン名

アドレスの先頭のスキーム、ユーザー名、パス、ポート番号を取り除いてホスト名を取り出します。掲載ツール: ホスト名の長さ上限の確認 / このツールの出典: www.rfc-editor.org(出典一覧)

推奨表記の規則

RFC 5952 の 4 節に従います。掲載ツール: IPv6 アドレスの最短表記 / このツールの出典: www.rfc-editor.org(出典一覧)

入力の読み方

RFC 4291 の 2.2 節に従い、各組は 16 進 1〜4 桁、「::」は 1 回だけ、「::」がなければ 8 組とします。掲載ツール: IPv6 アドレスの最短表記 / このツールの出典: www.rfc-editor.org(出典一覧)

判定の規則

ホスト名を点で区切ったそれぞれをラベルと呼びます。掲載ツール: ホスト名の長さ上限の確認 / このツールの出典: www.rfc-editor.org(出典一覧)

範囲と特別な値

TTL は 32 ビットの符号なし整数ですが、使えるのは 0 から 2147483647 までです。掲載ツール: DNS 変更後の古い値が消える時刻 / このツールの出典: www.rfc-editor.org(出典一覧)

表の列の意味

「転送できる」と「グローバルに到達できる」は、登録簿の Forwardable と Globally Reachable の値です。掲載ツール: 特殊用途 IP アドレスの分類 / このツールの出典: www.iana.org、www.rfc-editor.org(出典一覧)

分割と結合の規則

TXT レコードは 1 つ以上の文字列(character-string)でできていて、1 つの文字列は長さの 1 オクテットのあとに最大 255 オクテットの内容が続きます(RFC 1035 3.3)。掲載ツール: 長い TXT 値の分割と結合 / このツールの出典: www.rfc-editor.org(出典一覧)

分類の方法

IANA が公開する IPv4 と IPv6 の特殊用途アドレス登録簿の表(RFC 6890 が定めた登録簿を、RFC 8190 などの更新を含めて引き継いだもの)と、入力のアドレスを比べます。掲載ツール: 特殊用途 IP アドレスの分類 / このツールの出典: www.iana.org、www.rfc-editor.org(出典一覧)

エラー・警告・情報の条件

書式に合わない・存在しない日付・時が 24 以上・ゾーンの分が 60 以上・年が 4 桁でないものはエラーです。掲載ツール: メールの Date を日本時間に直す / このツールの出典: www.rfc-editor.org(出典一覧)

エラーと警告にする条件

p= がない、v= が最初でない、v= が DKIM1 でない、同じタグが 2 回ある、タグが「名前=値」の形でない、p= が base64 として読めない場合はエラーです。掲載ツール: DKIM の TXT レコードの点検 / このツールの出典: www.rfc-editor.org(出典一覧)

セミコロンのあとの日時がない、または読めない場合はエラーです。掲載ツール: Received 経路の読み取り / このツールの出典: www.rfc-editor.org(出典一覧)

宛先の読み取り

RFC 5322 の 3.4.1 節では、メールアドレス(addr-spec)を「ローカル部 @ ドメイン」と定めています。掲載ツール: 宛先ドメインの許可リスト照合 / このツールの出典: www.rfc-editor.org(出典一覧)

照合の内容

ドメインを大文字小文字を区別せずに比べ、許可ドメインにあれば「許可ドメイン」、なければ「社外ドメイン」、要確認に指定したものは「要確認ドメイン」とします。掲載ツール: 宛先ドメインの許可リスト照合 / このツールの出典: www.rfc-editor.org(出典一覧)

読み方

値をセミコロンで区切り、「タグ名=値」の組として読みます。掲載ツール: DKIM の TXT レコードの点検 / このツールの出典: www.rfc-editor.org(出典一覧)

Received の行は経路上のサーバーが、メールを受け取るたびに先頭へ追加します。掲載ツール: Received 経路の読み取り / このツールの出典: www.rfc-editor.org(出典一覧)

Date は「曜日, 日 月 年 時:分:秒 ゾーン」の形で、ゾーンは UTC との差を +hhmm または -hhmm で書きます。掲載ツール: メールの Date を日本時間に直す / このツールの出典: www.rfc-editor.org(出典一覧)

保証しないこと

この表は、入力した許可ドメインとの機械的な照合です。掲載ツール: 宛先ドメインの許可リスト照合 / このツールの出典: www.rfc-editor.org(出典一覧)

.env の読み方

Docker Compose の .env は、KEY=VALUE(または KEY:VALUE)の行です。掲載ツール: 設定ファイルの環境別差分検出 / このツールの出典: docs.docker.com(出典一覧)

dot-atom に合わない形

RFC 5322 の dot-atom では、「.」は先頭・末尾・連続に置けません。掲載ツール: ログ内メールアドレスの伏せ字 / このツールの出典: www.rfc-editor.org(出典一覧)

RFC 6750 との関係

OAuth 2.0 のベアラートークンの仕様 RFC 6750 の 2.3 は、access_token をクエリのパラメータで送る方式を SHOULD NOT としており、Authorization ヘッダーや本文で送れない場合に限って使うものとしています。掲載ツール: リンク内の認証トークン検出 / このツールの出典: cwe.mitre.org、www.rfc-editor.org(出典一覧)

どこまでを値とみなすか

dotenv の README では、KEY=value の形で 1 行に 1 つ定義し、空行はとばし、行頭が # の行はコメントです。掲載ツール: .env の値を伏せてキー一覧にする / このツールの出典: github.com(出典一覧)

安全側の扱い

README に書式の記載がない「export KEY=value」は、値が漏れないよう伏せ字にしたうえで未確認の書式として警告します。掲載ツール: .env の値を伏せてキー一覧にする / このツールの出典: github.com(出典一覧)

何を見つけるか

リンクの ? から # までをクエリ、# 以降の「名前=値」をフラグメントとして読み、名前が認証情報らしいもの(access_token・id_token・refresh_token・token・api_key・password・secret・session・sid・sig・signature・au…掲載ツール: リンク内の認証トークン検出 / このツールの出典: cwe.mitre.org、www.rfc-editor.org(出典一覧)

強い疑いと弱い手がかり

.txt・.src・.dev・.inc は普通のファイルにも多い拡張子のため、弱い手がかり(情報)として別に扱います。掲載ツール: バックアップ名らしいファイルの検出 / このツールの出典: wstg.owasp.org(出典一覧)

見つける形

RFC 5322 の 3.4.1 節では、メールアドレス(addr-spec)を「ローカル部 @ ドメイン」と定めています。掲載ツール: ログ内メールアドレスの伏せ字 / このツールの出典: www.rfc-editor.org(出典一覧)

見るパターン

OWASP のテストガイド WSTG-CONF-04(v4.2)には、旧版やバックアップのファイル名の付け方として、拡張子の ~・bak・txt・src・dev・old・inc・orig・copy・tmp・swp、Windows のコピーで付く「Copy of 」、圧縮アーカイブの .tar・.zi…掲載ツール: バックアップ名らしいファイルの検出 / このツールの出典: wstg.owasp.org(出典一覧)

項目名の見分け方

項目名を小文字にして _ - . と空白を取り除いた形に、password・token・secret・apikey・sessionid・privatekey・connectionstring・cardnumber・authorization・credential などの語が含まれていれば、秘密らしい…掲載ツール: JSON の秘密項目の伏せ字 / このツールの出典: cheatsheetseries.owasp.org、www.rfc-editor.org(出典一覧)

載せてはいけない理由

MITRE の CWE-598 は、セッション ID・パスワード・アクセストークン・API キーなどをクエリ文字列に含めると、ブラウザの履歴、Referer ヘッダーを通じた外部サイトへの送信、サーバーのログなどに残りうると説明し、対策としてリクエストの本文かヘッダーで送ることを挙げています。掲載ツール: リンク内の認証トークン検出 / このツールの出典: cwe.mitre.org、www.rfc-editor.org(出典一覧)

置き換え方

秘密らしい項目の値は、文字列・数・配列・オブジェクトのどれでも、まるごと *** か [REDACTED] の文字列に置き換えます。掲載ツール: JSON の秘密項目の伏せ字 / このツールの出典: cheatsheetseries.owasp.org、www.rfc-editor.org(出典一覧)

判定の限界

名前のパターンだけを見ます。掲載ツール: バックアップ名らしいファイルの検出 / このツールの出典: wstg.owasp.org(出典一覧)

伏せる対象と根拠

OWASP の Logging Cheat Sheet は、パスワード・アクセストークン・セッション ID・暗号鍵などの秘密・データベースの接続文字列・決済カードの情報などを、ログにそのまま記録せず、除去・マスク・ハッシュ化などをするとしています。掲載ツール: JSON の秘密項目の伏せ字 / このツールの出典: cheatsheetseries.owasp.org、www.rfc-editor.org(出典一覧)

伏せ字とダミー

伏せ字は値を *** に、ダミーは値を your_ にキー名を小文字にした文字列に置き換えます。掲載ツール: .env の値を伏せてキー一覧にする / このツールの出典: github.com(出典一覧)

伏せ字の作り方

ローカル部の最初の 1 文字だけを残し、あとを *** にします。掲載ツール: ログ内メールアドレスの伏せ字 / このツールの出典: www.rfc-editor.org(出典一覧)

見る規則

Conventional Commits 1.0.0 は、1 行目を「type、任意の (scope)、任意の !、コロンと空白、説明」の形にすると定めています。掲載ツール: Gitコミットメッセージ規約検査 / このツールの出典: www.conventionalcommits.org(出典一覧)

種別の決め方

後にだけある場所は追加、前にだけある場所は削除、両方にあって version が違う場所は更新です。掲載ツール: 依存関係ロックファイル差分要約 / このツールの出典: docs.npmjs.com(出典一覧)

読み取る形式

git diff --name-status は、各ファイルを「状態の文字、タブ、パス」の行で出力します。掲載ツール: 2ブランチの変更ファイル一覧比較 / このツールの出典: git-scm.com(出典一覧)

読み取る項目

npm の package-lock.json は、lockfileVersion が 2 と 3 のとき packages にパッケージの場所(ルートは空文字、それ以外は相対パス)ごとの version などを持ちます。掲載ツール: 依存関係ロックファイル差分要約 / このツールの出典: docs.npmjs.com(出典一覧)

突き合わせ方

名前変更とコピーは新しい側のパスをキーにします。掲載ツール: 2ブランチの変更ファイル一覧比較 / このツールの出典: git-scm.com(出典一覧)

入力の形

git ls-tree の --long(-l)は、各行を「モード、種類、オブジェクト名、サイズ、タブ、パス」の形で出力します。掲載ツール: リポジトリ内の巨大ファイル候補抽出 / このツールの出典: git-scm.com(出典一覧)

git log の --oneline は、短縮したハッシュとコミットの 1 行目(title)を 1 行で表示します。掲載ツール: リリースノートをコミット一覧から下書き / このツールの出典: git-scm.com、www.conventionalcommits.org(出典一覧)

破壊的変更の書き方

破壊的変更は、type や scope の直後の ! で示すか、フッターに大文字の BREAKING CHANGE: を書いて示します。掲載ツール: Gitコミットメッセージ規約検査 / このツールの出典: www.conventionalcommits.org(出典一覧)

抜き出し方

blob の行だけを読み取り、サイズの大きい順(同じなら、パスの文字順)に並べます。掲載ツール: リポジトリ内の巨大ファイル候補抽出 / このツールの出典: git-scm.com(出典一覧)

判定の段階

形が読めない・コロンの後ろに空白がない・説明が空・scope が空・本文との空行がない、はエラーです。掲載ツール: Gitコミットメッセージ規約検査 / このツールの出典: www.conventionalcommits.org(出典一覧)

分類のしかた

Conventional Commits では、feat が新機能、fix がバグ修正を表し、type の後ろの ! は破壊的変更を示します。掲載ツール: リリースノートをコミット一覧から下書き / このツールの出典: git-scm.com、www.conventionalcommits.org(出典一覧)

5 つのフィールド

crontab の時刻指定は、分(0-59)・時(0-23)・日(1-31)・月(1-12)・曜日(0-7、0 と 7 が日曜)の 5 つです。掲載ツール: cron式の次回実行一覧 / このツールの出典: man7.org、pubs.opengroup.org(出典一覧)

ステップ(*/5 など)

範囲か * の後に「/数」を付けると、その数ごとに飛ばして実行します。掲載ツール: cron式の次回実行一覧 / このツールの出典: man7.org、pubs.opengroup.org(出典一覧)

デプロイ頻度と間隔

DORA の Four Keys では、Deployment frequency を「ある期間のデプロイ数、またはデプロイ間の時間」と定義しています。掲載ツール: デプロイ履歴のリリース間隔集計 / このツールの出典: dora.dev(出典一覧)

時刻の読み方

API の資料には、時刻の型が date-time とあるだけで、ISO 8601 とは明記されていません。掲載ツール: CIジョブの実行時間集計 / このツールの出典: docs.github.com(出典一覧)

重なりの意味

同じ日の同じ分(時:分)に 2 つ以上のジョブが起動する組を「重なり」としています。掲載ツール: バッチジョブの重複起動時刻検出 / このツールの出典: pubs.opengroup.org(出典一覧)

所要時間

GitHub の REST API のジョブは、started_at(開始)と completed_at(完了)を date-time 形式の文字列で持ちます。掲載ツール: CIジョブの実行時間集計 / このツールの出典: docs.github.com(出典一覧)

省略時の既定値

スキーマでは Settings の多くの要素に既定値が決まっています(例: MultipleInstancesPolicy は IgnoreNew、ExecutionTimeLimit は PT72H、Enabled は true、StartWhenAvailable は false)。掲載ツール: Windowsタスクスケジューラの設定差分チェック / このツールの出典: learn.microsoft.com(出典一覧)

展開のしかた

POSIX の crontab の 5 フィールド(分・時・日・月・曜日)を、指定した期間の 1 日ずつについて展開し、実行される分の一覧にします。掲載ツール: バッチジョブの重複起動時刻検出 / このツールの出典: pubs.opengroup.org(出典一覧)

統計の出し方

平均は復旧時間の合計を件数で割った値、中央値は小さい順に並べた真ん中の値(偶数件のときは中央 2 つの平均)です。掲載ツール: 障害発生から復旧までの時間集計 / このツールの出典: dora.dev(出典一覧)

読み取りと比べ方

Task スキーマでは、Task の下に RegistrationInfo・Triggers・Settings・Data・Principals・Actions があります。掲載ツール: Windowsタスクスケジューラの設定差分チェック / このツールの出典: learn.microsoft.com(出典一覧)

日時の読み方

日時は RFC 3339 / ISO 8601 の形(年-月-日、T かスペース、時:分、任意で :秒 と小数、任意で Z か ±時:分)で読みます。掲載ツール: デプロイ履歴のリリース間隔集計 / このツールの出典: dora.dev(出典一覧)

復旧時間の定義

DORA の Four Keys では、Failed deployment recovery time を「失敗して即時の対応が必要になったデプロイから復旧するまでの時間」とし、従来の MTTR に代わる指標として説明しています。掲載ツール: 障害発生から復旧までの時間集計 / このツールの出典: dora.dev(出典一覧)

平均・中央値・最大・最小

平均は間隔の合計を間隔の数で割った値です。掲載ツール: デプロイ履歴のリリース間隔集計 / このツールの出典: dora.dev(出典一覧)

別名(@daily など)

@yearly(@annually)・@monthly・@weekly・@daily・@hourly は、それぞれ 0 0 1 1 *・0 0 1 * *・0 0 * * 0・0 0 * * *・0 * * * * と同じ意味として展開します。掲載ツール: cron式の次回実行一覧 / このツールの出典: man7.org、pubs.opengroup.org(出典一覧)

何が問題になるか

文化庁の「公用文作成の考え方」Ⅰ-6 カは、丸囲み数字・単位記号・符号・半角カナ文字などに電子的な情報交換の難しいものがあることに留意するよう述べ、Unicode を使うと文字化けが起こりにくいとしています。掲載ツール: 半角カナの検出と置換候補 / このツールの出典: www.bunka.go.jp、www.unicode.org(出典一覧)

句読点と長音

半角カナのブロックには、句点(U+FF61)・かぎ括弧(U+FF62・FF63)・読点(U+FF64)・中黒(U+FF65)・長音符号(U+FF70)も含まれます。掲載ツール: 半角カナの検出と置換候補 / このツールの出典: www.bunka.go.jp、www.unicode.org(出典一覧)

算出法で値が変わる理由

データ数が 4 の倍数でないと、1/4 番目にあたる位置が整数になりません。掲載ツール: 四分位数と箱ひげ図の自動生成 / このツールの出典: support.microsoft.com、www.stat.go.jp(出典一覧)

四分位数

統計局のページでは、データを小さい順に並べ、総数の 1/4 番目にあたる値が第 1 四分位数、3/4 番目にあたる値が第 3 四分位数、真ん中の値が中央値(第 2 四分位数)です。掲載ツール: 四分位数と箱ひげ図の自動生成 / このツールの出典: support.microsoft.com、www.stat.go.jp(出典一覧)

新規・消滅と合計

今月だけにある項目は新規、前月だけにある項目は消滅として表示します。掲載ツール: 通信・電気など請求書の月次差分 / このツールの出典: www.rfc-editor.org、www.shiruporuto.jp(出典一覧)

線形補間の位置

線形補間では、小さい順に数えて (n−1)×p+1 番目の位置の値を、前後の値の間を比例配分して求めます(p は 0.25・0.5・0.75)。掲載ツール: 四分位数と箱ひげ図の自動生成 / このツールの出典: support.microsoft.com、www.stat.go.jp(出典一覧)

濁点・半濁点の合成

半角カナは濁点(U+FF9E)・半濁点(U+FF9F)が独立した文字です。掲載ツール: 半角カナの検出と置換候補 / このツールの出典: www.bunka.go.jp、www.unicode.org(出典一覧)

等価騒音レベル

環境基準は、時間区分ごとの等価騒音レベル(LAeq)で評価します。掲載ツール: 騒音記録の日付別可視化 / このツールの出典: www.env.go.jp(出典一覧)

突き合わせの規則

CSV は RFC 4180 2 節の読み方で読み、1 行目を見出し、2 行目以降を項目と金額として扱います。掲載ツール: 通信・電気など請求書の月次差分 / このツールの出典: www.rfc-editor.org、www.shiruporuto.jp(出典一覧)

判定と指摘の意味

小数第 1 位に丸めた等価騒音レベルが基準値以下なら「基準以下」、超えれば差とともに「基準超過」と表示します。掲載ツール: 騒音記録の日付別可視化 / このツールの出典: www.env.go.jp(出典一覧)

夜間と日付の扱い

夜間は日付をまたぐため、午前 0 時から 5 時 59 分までの記録は、夜間が始まった前日の夜間として集計します。掲載ツール: 騒音記録の日付別可視化 / このツールの出典: www.env.go.jp(出典一覧)