ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 AIモデルのサプライチェーンリスクとモデルカードの評価 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
AIモデルのサプライチェーンは「ブラックボックス」を許すなエンジニア諸君、お疲れ様。最近は「とりあえずLLMのAPIを叩いて機能を実装する」という作業が日常茶飯事だろう。だが、その背後にある「モデルのサプライチェーン」について、どれだけ真剣...
securityintronational
ガバナンス・リスク管理 & 生成AIセキュリティ 共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 コンテナイメージの脆弱性スキャンとCI/CDパイプラインへの統合 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
現場のエンジニア諸君、日々お疲れ様。「脆弱性スキャンをCI/CDに入れたからうちは安全だ」と胸を張っているチームほど、実は最も危険な落とし穴にハマっている。今日は、単なる「スキャンツールの導入」という儀式で終わらせず、攻撃者がどこを見て、我...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 一時的な認証情報(STS)の活用とセッション管理 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
認証情報の「終身刑」を終わらせろ：なぜ固定アクセスキーがインシデントの温床になるのか現場でインシデント対応をしていると、溜息が出るほど繰り返される光景がある。「環境変数にハードコードされた AWS_ACCESS_KEY_ID と AWS_S...
アプリケーションセキュリティ & 安全な開発 【実務・中級編】コンテナランタイムのセキュリティ：Seccompプロファイルによるシステムコール制限 – アプリケーションセキュリティ & 安全な開発防御ガイド
おい、みんな、ちょっといいか？最近、コンテナ技術が当たり前になって、開発も運用もスピードが格段に上がった。それは素晴らしいことだ。ただ、その裏で、俺たちが忘れちゃいけないセキュリティの「盲点」があるんだ。特に、コンテナランタイムのセキュリテ...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 アクセス制御の不備(Ownable/AccessControl)による権限昇格 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
なぜ「管理権限」がWeb3の墓場になるのか？：Ownableの罠とRBACの深淵現場で数多のスマートコントラクト監査をしてきたが、いまだに「なぜ、そんな致命的な場所に鍵をかけ忘れたんだ？」と頭を抱えたくなるインシデントは後を絶たない。Web...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 メモリフォレンジックにおけるハンドル解析と不正なファイルアクセスの追跡 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
メモリに刻まれた「犯罪の証跡」を追う：ハンドル解析で暴く不正アクセスの真実現場でインシデント対応をしていると、よく「ログを消されたからもう何も分からない」と肩を落とすエンジニアに出会う。だが、プロのフォレンジック調査において、「痕跡がない」...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 DOMベースXSSの特定とクライアントサイドの脆弱性診断 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
DOMベースXSS：クライアントサイドに潜む「見えない」脅威と、その完全封じ込め戦略こんにちは。現場の最前線でインシデント対応やペネトレーションテストを主導しているセキュリティエンジニアです。最近のWebアプリケーション開発では、React...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 LLMアプリケーションにおけるプロンプトインジェクションの脅威モデル – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
現場のエンジニア諸君、お疲れ様。CISOのデスクへようこそ。最近、「LLMを組み込んだら面白い機能ができた」と目を輝かせる開発者が多いが、セキュリティの観点から見ると、それは「玄関の鍵を外したまま、AIという名の執事に全権限を渡している」よ...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 KubernetesにおけるPod Security Admissionの適用と特権コンテナの禁止 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
Kubernetesの「特権コンテナ」という時限爆弾：Pod Security Admissionで封じ込める現実解現場でKubernetesを運用していると、開発チームから「このライブラリを動かすために特権モード（privileged: ...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 クラウド環境におけるMFA(多要素認証)の強制とバイパス対策 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
「MFAさえあれば安泰」という幻想を捨てる ― クラウド時代の要塞化戦略現場でインシデント対応をしていると、「MFAを導入しているから大丈夫だと思っていた」という言葉を何度聞かされたかわからない。しかし、残念ながら現代の攻撃者は、SMSやプ...