インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 メモリ上のWMI永続化メカニズムの特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
「消えない」侵入者：WMIイベントサブスクリプションを悪用した永続化をメモリから暴く現場でインシデント対応をしていると、OSを再起動しても、パスワードを変えても、数日後には必ず「戻ってくる」悪意ある存在に頭を抱えることがよくある。多くのエン...
securityintronational
インシデントレスポンス & フォレンジック（DFIR） オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 Server-Side Template Injection (SSTI) のペイロードとサンドボックス回避 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
SSTIの深淵：テンプレートエンジンを「シェル」に変える悪魔の誘惑現場でよくある光景だ。「ユーザー入力を柔軟にHTMLに埋め込みたい」という理由で、安易にテンプレートエンジンを導入する。開発者は「まあ、XSS対策はしてるから大丈夫だろう」と...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 AIモデルの暗号化とセキュアな推論環境の構築（TEEの活用） – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
AI時代の「聖域」を守る：TEE（信頼実行環境）によるモデル推論の防衛術やあ、エンジニア諸君。現場でのインシデント対応、ご苦労様。最近、「LLMを組み込んだアプリを作りたいが、プロンプトやモデルの重み（Weight）がクラウド事業者の管理画...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 AWS CloudTrailとGuardDutyによる異常検知とインシデント対応 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
現場の最前線から：なぜあなたのクラウド環境は「鍵」を握られているのか「暗号化しているから大丈夫」。そう言い切るエンジニアほど、私は危ういと感じる。暗号技術は、単なる「パズルの箱」ではない。鍵管理という泥臭い運用を疎かにすれば、どんなに強固な...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 クロスアカウントアクセスにおけるIAMロールの連鎖とセキュリティリスク – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
ロールの連鎖は「特権の密輸」だ。IAMセッションポリシーで権限を封じ込めろ現場でインシデント対応をしていると、決まって遭遇するのが「便利さの代償」だ。特にAWSやGCPのようなクラウド環境で、アカウントAからアカウントBへ、さらにアカウント...
アプリケーションセキュリティ & 安全な開発 【実務・中級編】APIレートリミットの実装：トークンバケットアルゴリズムと分散環境での制御 – アプリケーションセキュリティ & 安全な開発防御ガイド
現場の諸君、お疲れ様。今日もどこかのサーバーで、脆弱性を突こうとする「招かれざる客」がログを汚しているはずだ。アプリケーションセキュリティにおいて、XSS（クロスサイトスクリプティング）はもはや「古典」と言われるが、未だに被害が絶えない。な...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 フラッシュローン攻撃の仕組みと防御的設計 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
フラッシュローン攻撃の悪夢：なぜ「その場の価格」を信じてはいけないのか現場のエンジニア諸君、お疲れ様。今日もどこかでスマートコントラクトがハックされているが、特に「フラッシュローン（Flash Loan）」を悪用した価格操作は、Web3界隈...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 メモリフォレンジックにおけるページファイルとハイバネーションファイルの解析 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
物理メモリは嘘をつかないが、ディスクは「死者の記憶」を語る現場でインシデントレスポンスを担当していると、よくこんな誤解を耳にする。「電源を落としたからもう証拠は消えた」。甘い。攻撃者がどれほど巧妙にログを消し去り、ファイルを削除しようとも、...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 Business Logic Vulnerabilities (ビジネスロジックの脆弱性) の特定 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
脆弱性の「盲点」を突く：ビジネスロジック欠陥を狩るレッドチームの視点セキュリティ診断ツール（スキャナ）は優秀だが、万能ではない。彼らは「SQLインジェクション」や「クロスサイトスクリプティング」のような、いわば「文法の間違い」を見つけるのは...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 AIシステムにおけるアクセス制御と最小権限の原則（RBAC/ABAC） – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
エンジニア諸君、現場の最前線は相変わらず泥臭いな。「AIを導入したい」というビジネスサイドの勢いに押され、バックエンドの権限設計がおざなりになったままAPIキーをハードコードしているような開発現場を、私はこれまでいくつも見てきた。AIセキュ...