securityintronational

CSPは「お守り」ではない。XSSを無力化する「防壁」だ。現場でコードをレビューしていると、CSP（Content Security Policy）を「とりあえず入れておく程度のヘッダー」と勘違いしているエンジニアが多すぎる。unsafe-...

そのWebサイト、大丈夫？ 新米担当者さんが知っておきたい「Content Security Policy (CSP)」で、見えない攻撃からお客さんを守る方法やあ、みんな！ サイバーセキュリティの世界へようこそ。君たちがこれから触れるWeb...

XSSの深淵：コンテキスト依存の出力エンコーディングとDOM-XSSの巧妙な罠サイバーセキュリティの世界は、常に進化し続ける戦場だ。攻撃者は日々、我々の盲点を突き、システムの脆弱性を悪用する新たな手法を編み出している。その中でも、Webアプ...

XSSは「死んだ」のか？：コンテキストを理解しない者は、現場で即死する「XSS？ 今どきフレームワークが勝手にエスケープしてくれるでしょ？」インシデント対応の現場で、若いエンジニアからよく聞く言葉だ。だが、答えは「No」だ。フレームワークが...

クロスサイトスクリプティング(XSS)の攻撃ベクトルとコンテキスト依存の出力エンコーディング：あなたのWebサイト、泥棒に狙われていませんか？こんにちは！サイバーセキュリティの世界へようこそ。ここでは、難解な専門用語をかき集めて「わかったつ...

SQLインジェクションという「古くて新しい」死角：プリペアドステートメントの先にある真実「SQLインジェクションなんて、今どきフレームワークが自動でやってくれるだろう？」もし貴方が現場のテックリードとしてそう考えているなら、それは危険な慢心...

SQLインジェクションを「過去の遺物」にする：動的クエリの誘惑を断ち切る極意エンジニア諸君。セキュリティの現場で長年戦っていると、最新のAIハッキングツールよりも、結局のところ「15年前と全く同じSQLインジェクション」で沈没するシステムが...

「泥棒に合鍵を渡すな！」SQLインジェクションの正体と、今日からできる鉄壁の守り方こんにちは。現場で泥臭いインシデント対応に明け暮れるセキュリティエンジニアです。今日は、Webアプリケーションにおける「最大の鬼門」と言われるSQLインジェク...

OWASP Top 10の「皮」を剥ぐ：リスク評価の裏側と、我々が直面する次世代の深淵OWASP Top 10は、セキュリティの「教科書」として語られることが多い。しかし、現場の最前線に立つ我々にとって、あれは単なるチェックリストではない。...

なぜ「OWASP Top 10」を暗記するだけでは不十分なのか？現場でコードを書いていると、「OWASP Top 10」という言葉は耳にタコができるほど聞かされるだろう。だが、多くのエンジニアが陥る罠がある。それは、「リストの中身を丸暗記す...