アプリケーションセキュリティ & 安全な開発

こんにちは。現場の最前線でセキュリティと格闘しているエンジニアの皆さん、お疲れ様です。今日は「OpenID Connect（OIDC）」という、今のWeb開発では避けて通れない「IDの受け渡し」についてお話しします。難しそうな名前ですが、要...

OAuth 2.0の「認可コード横取り」をPKCEで封殺する：アーキテクトが理解すべき「信頼の鎖」の再構築OAuth 2.0が登場した当初、我々セキュリティエンジニアは「クライアントサイド（モバイルアプリ等）での認可コードの安全な受け渡し」...

OAuth 2.0の「認可コード横取り」を許すな：PKCE実装で守る認証の最前線現場で多くのインシデントを見てきたが、未だに「OAuthはライブラリを入れて終わり」と考えているエンジニアが多すぎる。特にモバイルアプリやSPA（Single ...

「認可コードが盗まれる！？」OAuth 2.0の落とし穴と、PKCEで鉄壁のガードを固める方法こんにちは！セキュリティの世界へようこそ。日々開発や運用に励んでいると、「OAuth 2.0」という言葉を耳にする機会は多いですよね。Google...

境界防御の終焉と「ゼロトラスト・アーキテクチャ」の深淵：Istio mTLSの実装と戦術的防衛ネットワーク境界を信じる時代は終わった。今日のサイバー犯罪者は、一度ペリメータを突破すれば、そこが「安息の地」であることを知っている。ラテラルムー...

境界防御の終焉と「ゼロトラスト」の現実解：Istio mTLSによるマイクロサービス防衛術「社内ネットワークだから安全」という考えは、もはや令和のエンジニアが抱くべき幻想ではありません。一度侵入を許せば、フラットなネットワーク内を横展開（ラ...

サービスメッシュで守る「信頼ゼロ」のネットワーク：IstioとmTLSで実現する最強の防犯対策こんにちは。セキュリティの世界へようこそ。システム開発の現場で「マイクロサービス」という言葉を耳にする機会が増えましたね。機能ごとに小さなプログラ...

ログは「死体検視」ではない。SIEMによるリアルタイム・タクティカル・インテリジェンスの構築多くの企業が「ログをSIEMに投げ込んでいる」ことに満足しているが、それは死体検視をしているに過ぎない。サイバー攻撃者がシステム内部を這い回っている...

「ログさえ取れば安心」という幻想を捨てろ：SIEM連携で防ぐクラウドインフラの死角「CloudTrailは有効にしています。SIEMにも流し込んでいます。だから大丈夫ですよね？」現場でこう聞かれるたび、私は苦笑いせざるを得ません。ログをS3...

「玄関の鍵はかけたのに、裏口から丸見え？」ログ管理で実現する、クラウドの最強防犯術こんにちは！セキュリティの世界へようこそ。日々、クラウドインフラを構築している皆さん、お疲れ様です。「AWSやAzureを使っているから、クラウド事業者が守っ...