インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 クラウド環境における侵入検知・防御システム(IDS/IPS)の配置 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
クラウドの「見えない侵入者」を炙り出す：IDS/IPS設計の勘所現場でインシデント対応をしていると、よく耳にするのが「IDS/IPSを入れているから安心だ」という言葉だ。だが、現実はそんなに甘くない。クラウド環境において、境界防御だけで侵入...
securityintronational
インフラ・ネットワーク & クラウドセキュリティ アプリケーションセキュリティ & 安全な開発 【入門編】JWTの有効期限（exp）とリフレッシュトークンの安全な運用 – アプリケーションセキュリティ & 安全な開発防御ガイド
ログインしたままの「魔法の鍵」をどう守る？JWTとトークン管理の鉄則こんにちは。セキュリティの世界へようこそ。今日は、皆さんがWebサービスを作る際に必ずと言っていいほど直面する「認証」の仕組み、特に「JWT（JSON Web Token）...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 整数オーバーフロー・アンダーフローの静的解析とSolidity 0.8以降の挙動 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
整数オーバーフローの「墓場」から生還する：Solidity 0.8以降の現実とエンジニアの心得現場で幾多のスマートコントラクトを監査してきたが、いまだに「SafeMathがないと不安だ」と漏らすエンジニアがいる。ハッキリ言おう。Solidi...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 Androidのカーネルメモリダンプとルートキットの特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
カーネルの深淵を覗く：Androidルートキットとメモリフォレンジックの最前線現場でインシデント対応をしていると、「OSが正常に動いているから大丈夫」という言葉がいかに脆い幻想であるかを痛感させられます。特にAndroidのカーネルレベルで...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 暗号化キーのライフサイクル管理とハードコーディングの排除 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
鍵を「隠す」な、「託せ」。ハードコーディング撲滅とKMS運用のリアル現場でインシデント対応をしていると、笑えない現実に何度も直面する。攻撃者が侵入した際、彼らがまず最初に行うのは、ソースコードの grep や設定ファイル内の文字列検索だ。A...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 プロンプトリーク攻撃に対するシステムプロンプトの保護 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
プロンプトリークは「防げない」という前提で設計せよ：システムプロンプトを守るための防衛戦略エンジニア諸君、お疲れ様。最近、現場で「プロンプトインジェクション対策としてシステムプロンプトを難読化したい」という相談をよく受ける。正直に言おう。プ...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 OWASP Top 10:2021 A09:2021-Security Logging and Monitoring Failuresの最適化 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
現場の諸君、お疲れ様。今日もどこかで誰かが「ログなんてあればいい」という思考停止に陥り、泥沼のインシデント対応に追われているはずだ。いいか、OWASP Top 10の A09:2021-Security Logging and Monito...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 ネットワークACL(NACL)によるサブネットレベルのステートレス制御 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
現場でインシデント対応をしていると、「セキュリティグループ（SG）があるからNACLはデフォルト（全許可）でいいや」という設計に何度出会うことか。残念ながら、それは「玄関の鍵は閉めたが、庭の柵は取り払ったまま」と言っているのに等しい。今日は...
アプリケーションセキュリティ & 安全な開発 【テクニカル・上級編】APIの入力バリデーション：JSONスキーマによる厳格な型チェック – アプリケーションセキュリティ & 安全な開発防御ガイド
「型」という名の防壁：JSONスキーマによるXSS防御の最前線多くのエンジニアがXSSを「HTMLタグのフィルタリング不足」という表層的な問題と捉えている。しかし、我々のような最前線に立つ人間にとって、XSSは単なる文字列の処理ミスではなく...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 コントラクトの再入攻撃(Reentrancy)に対するChecks-Effects-Interactionsパターン – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
なぜ「再入攻撃（Reentrancy）」は死なないのか？――その本質と鉄壁の防御術現場でコードを叩いていると、セキュリティのベストプラクティスを「教科書的なお作法」として捉えている奴が多い。だが、スマートコントラクト、特にイーサリアム系のE...