アプリケーションセキュリティ & 安全な開発 【入門編】APIの認証におけるセッション固定化攻撃の防止 – アプリケーションセキュリティ & 安全な開発防御ガイド
玄関の鍵を使い回していませんか？「セッション固定化攻撃」からサービスを守るための処方箋こんにちは。セキュリティの現場で長年戦っていると、「完璧なシステムなんて存在しない」という事実に直面します。でも、だからといって無防備でいいわけではありま...
securityintronational
アプリケーションセキュリティ & 安全な開発 IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 DeFiにおけるフラッシュローンを用いた価格操作攻撃のメカニズム – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
DeFiの「死角」を突く：フラッシュローンによる価格操作のメカニズムと現場の防衛術やあ、チームのみんな。今日はDeFi（分散型金融）における最大の「バグ」とも言える、フラッシュローンを用いた価格操作攻撃について話そう。「無担保で数億円を借り...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 メモリフォレンジック結果の可視化とインシデント報告書への落とし込み – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
メモリフォレンジックを「経営層の納得」に変える技術――現場の泥沼から脱出する可視化術現場のエンジニア諸君、お疲れ様。今日もどこかで踏み台にされたサーバーのログと格闘していることだろう。メモリフォレンジックは、DFIRの最終兵器だ。「ディスク...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 Clickjacking (クリックジャッキング) とFrame Busting – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
「透明な罠」を看破せよ：クリックジャッキングの脅威と、現場で確実に弾くための防御術やあ。今日はWebセキュリティの現場でしばしば軽視されがちな、しかし一度食らうと致命的な被害を招く「クリックジャッキング（Clickjacking）」について...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 AIモデルのバイアス評価と緩和策の定量的モニタリング – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
生成AIの「差別」をコードで制御せよ：実務で使えるバイアス評価と防御の技術現場のエンジニア諸君、お疲れ様。最近、「AIが特定の属性に対して偏った回答をする」という問題が、単なる倫理的な議論を超えて、企業のブランド毀損や法的なリスクに直結して...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 AWS Lambdaの実行環境におけるIAMロールの分離 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
AWS Lambdaの「万能IAMロール」は死を招く：最小権限の原則を現場で叩き込む「Lambdaなんてただのスクリプトだし、とりあえず AdministratorAccess 付与して動かしておけばいいか」もし君のチームでそんな会話が聞こ...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 クラウド環境における外部IDプロバイダー(IdP)との連携とセキュリティリスク – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
外部IdP連携の「甘い罠」：JWT検証の不備が招く致命的な権限昇格やあ、現場の諸君。今日は多くのエンジニアが「なんとなく」実装し、そして多くのインシデントの火種となっている「外部IdP（OktaやAuth0など）との連携」について、現場の知...
アプリケーションセキュリティ & 安全な開発 【テクニカル・上級編】APIにおけるマスアサインメント（Mass Assignment）脆弱性 – アプリケーションセキュリティ & 安全な開発防御ガイド
権限昇格の「最短距離」：Mass Assignmentがもたらすアーキテクチャの死角セキュリティの現場で、「想定外のパラメータ」ほど怖いものはない。多くの開発者がXSSやSQLインジェクションといった「目に見える悪意」には過敏だが、APIの...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 Web3アプリケーションにおけるCSP(Content Security Policy)の適用 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
Web3のフロントエンドは「信頼の最後の砦」だ：CSPでウォレットドレインを物理的に封殺せよいいか、よく聞け。Web3界隈で「スマートコントラクトの監査は完璧だ」と胸を張るプロジェクトは山ほどあるが、そのフロントエンドがスカスカで、ユーザー...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 メモリフォレンジックにおけるカスタムプラグイン開発の基礎 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
メモリフォレンジックの深淵へ：既存プラグインで満足しているなら、もう手遅れかもしれない。現場でインシデント対応をしていると、「既知のツールを回せば解決する」という幻想を抱いている担当者によく出会う。だが、現実は甘くない。最新の標的型攻撃や、...