アプリケーションセキュリティ & 安全な開発 【入門編】APIの入力バリデーション：JSONスキーマによる厳格な型チェック – アプリケーションセキュリティ & 安全な開発防御ガイド
玄関の鍵だけじゃ足りない？APIを守る「JSONスキーマ」という最強の番人こんにちは！セキュリティの世界へようこそ。「XSS（クロスサイトスクリプティング）」という言葉、一度は耳にしたことがあるかもしれませんね。「Webサイトに悪意あるスク...
securityintronational
アプリケーションセキュリティ & 安全な開発 IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 スマートコントラクトのアップグレード可能性(Proxyパターン)に伴う権限管理 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
Proxyパターンの「権限」という名のパンドラの箱を閉じる：実戦的防御ガイド現場でインシデント対応をしていると、スマートコントラクトの「アップグレード可能性」が、いかにして致命的なバックドアになり得るかを痛感する。Transparent P...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 Kubernetesノードのメモリダンプとノード侵害時のフォレンジック – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
K8sノードが「沈黙」した時、君はメモリの中に何を見るか？現場でインシデント対応をしていると、よくこんな相談を受ける。「Kubernetesのコンテナが勝手に外部通信を始めたみたいなんだけど、ログを見ても何も分からないんだ」。攻撃者は賢い。...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 OAuth 2.0/OIDCにおける認可コード横取りとリダイレクトURI検証 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
OAuth 2.0の「リダイレクトURI」という盲点。認可コード横取りを防ぐための実戦的防衛術OAuth 2.0やOIDCは、今やWeb開発において避けては通れない認証・認可の標準だ。しかし、多くの開発現場において、このプロトコルは「ライブ...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 RAG(Retrieval-Augmented Generation)におけるアクセス制御の継承 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
RAGの「権限漏洩」は致命傷：LLMにやってはいけない「全公開ドキュメント検索」エンジニア諸君、お疲れ様。今日は多くの企業がRAG（検索拡張生成）を導入する際、最も見落としがちな、そして最も攻撃者に突かれやすい「アクセス制御の継承」について...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 OWASP Top 10:2021 A06:2021-Vulnerable and Outdated Componentsの管理 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
「使っているライブラリが爆弾だった」を防ぐ。SBOMとSCAで構築する堅牢なサプライチェーン防衛術「最新の暗号技術を使っているから大丈夫」。そう確信しているエンジニアほど、実は足元をすくわれる。Webアプリケーションの脆弱性は、あなたが書い...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 AWS PrivateLinkを用いたVPCエンドポイントによるセキュアな通信 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
AWS PrivateLinkの「勘違い」を正す：インターネットを遮断しても防げない攻撃と、真の要塞化戦略現場でコードを書き、泥臭くインフラを運用している諸君、お疲れ様。今日は「AWS PrivateLinkを使っているからうちは安全」と高...
アプリケーションセキュリティ & 安全な開発 【テクニカル・上級編】HTTP Strict Transport Security (HSTS) による中間者攻撃対策 – アプリケーションセキュリティ & 安全な開発防御ガイド
境界の外側へ：SSLストリッピングが突きつける「暗号化の幻想」とHSTSによる防衛の要諦ネットワークの現場に立つ我々にとって、HTTPSはもはや「あって当たり前」のインフラだ。しかし、HTTPからHTTPSへの「リダイレクト」という一瞬の隙...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 オラクル操作攻撃を防ぐための分散型オラクル(Chainlink等)の活用 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
現場のエンジニアへ：オラクル操作攻撃は「運」ではなく「設計」で殺せ現場のエンジニア諸君、お疲れ様。今日もどこかのプロトコルでオラクル操作（Oracle Manipulation）による数億円規模のドレインが発生している。セキュリティの現場に...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 Volatility 3を用いたコンテナメモリイメージのプロファイル作成 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
コンテナのメモリは「消える」のか？ Volatility 3で追う、見えない侵入者の足跡現場でインシデント対応をしていると、よくこんな相談を受ける。「コンテナが侵害された可能性があるが、Podを再起動したら証拠が消えてしまった。メモリフォレ...