securityintronational

SSRF：その「便利な機能」が、あなたのクラウド環境を崩壊させる引き金になるこんにちは。セキュリティチームのチーフエンジニアです。最近、コードレビューやペネトレーションテストの現場で「あ、これSSRF（サーバーサイドリクエストフォージェリ）...

こんにちは。現場で泥臭いインシデント対応を繰り返していると、「完璧な防御」なんて存在しないことに気づかされます。でも、だからこそ「どこを守れば被害を最小限にできるか」という勘所が大切になるんです。今日は、最近多くのエンジニアを悩ませているS...

OAuth 2.0/OIDCの深淵：PKCE強制とトークン管理の「現場的」リアリティセキュリティアーキテクト諸君。教科書的な「OAuth 2.0を使いましょう」という勧告は、もはやエンジニアへの挨拶にもならない。今、我々が対峙しているのは、...

OAuth 2.0/OIDCの「なんとなく実装」が招く地獄と、PKCEで防ぐ認証ジャックの現実現場でコードをレビューしていると、いまだにOAuth 2.0を「単なるログインボタンの実装」だと勘違いしているエンジニアに出くわす。だが、断言しよ...

玄関の鍵をコピーさせない技術：OAuth 2.0とOIDCで学ぶ「安全なAPI認証」の極意こんにちは。セキュリティの世界へようこそ。システム開発をしていると、必ず耳にする「OAuth 2.0」や「OpenID Connect (OIDC)」...

依存関係の深淵：SBOMは「免罪符」ではない。サプライチェーン防衛の真実「依存関係の管理を自動化しています」。多くのテックリードがそう胸を張る。GitHubのDependabotやSnykが自動でPRを生成し、脆弱性スコア（CVSS）が緑色...

依存関係は「時限爆弾」だ：SCAとSBOMでサプライチェーン攻撃を封じ込めろやあ。現場でコードを書いている諸君、今日も依存関係のアップデート通知に追われているか？正直に言おう。現代の開発において、自前で書いたコードなんて全体の10%程度だ。...

「誰かが作った部品」に潜む罠。SBOMで守る、あなたのソフトウェアの玄関口こんにちは。セキュリティの世界で長く戦っていると、「完璧な城」を建てようと必死になるエンジニアによく出会います。でも、ちょっと想像してみてください。あなたは最高級の防...

ログは「死体検分」ではない。SIEMを「予知能力」に変えるアーキテクチャの極意世の中の多くのエンジニアがログを「事後の言い訳」や「コンプライアンスの帳尻合わせ」だと捉えているなら、それは重大な過ちだ。インシデントが発生した後にログを漁るのは...

現場のエンジニア諸君、今日も泥臭いデバッグとログの海に溺れているか？「ログを取っています」という報告は、セキュリティの世界では「備蓄しています」と言っているのと同義だ。重要なのは、そのログをどう使い、どう敵の息遣いを感じ取るか。SIEM（S...