securityintronational

依存関係の「見えない支配」：SCAとSBOMがもたらす防御のパラダイムシフト現代のソフトウェア開発において、自前で書くコードは氷山の一角に過ぎない。深淵を覗けば、そこには数千の依存ライブラリが複雑に絡み合い、まるで「脆弱性のマトリョーシカ」...

依存ライブラリの脆弱性管理：なぜ「君のコード」は安全でも「隣のコード」が刺されるのか現場で「うちのコードは脆弱性診断を通したから大丈夫です」と胸を張るエンジニアに限って、数ヶ月後に派手にやらかす。なぜか？ 答えは簡単。彼らが書いたコードでは...

ログは「死体検分」の現場である：機密漏洩を防ぎ、インシデントを追跡するためのアーキテクチャ論多くのエンジニアが「ログ出力」を単なる作業と考えている。しかし、最高峰の攻撃者にとって、ログは宝の山だ。設定ミスで出力されたセッションID、平文のパ...

ログは「システムの黒歴史」ではない。攻撃者に渡す「攻略本」だ。現場でインシデント対応をしていると、必ずと言っていいほど直面するのが「ログの不備」だ。開発者はデバッグのためにログを吐き出し、運用者はSIEM（統合ログ管理）にすべてを流し込む。...

腐った果実を食すな：安全でないデシリアライゼーションの深淵と防御の極意「シリアライズされたデータは、単なるデータの転送フォーマットではない。それは、遠隔地で実行される可能性を秘めた、眠れるコードの断片だ。」長年、脆弱性調査の最前線に立ってい...

門外不出の「シリアライズ地獄」攻略：RCEを許さないための防衛術やあ。今日も本番環境のログとにらめっこ、お疲れ様。セキュリティの世界では「入力値を信じるな」と耳にタコができるほど言われるが、「デシリアライゼーション（復元）」は、その格言を嘲...

「なぜかサーバーの中身が丸見え？」XXE攻撃の正体と、鍵をかけ忘れたXMLパーサーの話こんにちは！セキュリティの世界へようこそ。今日は、少し古風だけど、今もなお現役で恐ろしい攻撃手法「XXE（XML External Entity）攻撃」に...

なぜその「暗号」は破られるのか？：TLS 1.3への移行で守るデジタルな玄関こんにちは。セキュリティの世界で、日々システムを守る最前線に立っている者です。皆さんは、自宅の玄関の鍵をかけたとき、その鍵が「100年前の壊れやすいおもちゃの鍵」だ...

SMS OTPという「終わった遺産」と、認証の未来をFIDO2に託すべき必然的理由セキュリティの世界で最も忌むべきは、「慣習」を「安全」と履き違えることだ。多くの企業が未だに多要素認証（MFA）としてSMSや音声通話によるワンタイムパスワー...

SMS認証はもう「穴だらけ」だ。今すぐFIDO2への移行を検討すべき理由「MFAを導入しているから大丈夫」。そう油断しているエンジニアほど、インシデント発生時に顔面蒼白になる。現場で多くの不正アクセスを見てきたが、SMSや音声によるワンタイ...