アプリケーションセキュリティ & 安全な開発

依存関係の「静的解析」という幻想を捨てろ：SCAのその先にある、真のサプライチェーン防衛術「npm install」の裏側で何が起きているか、考えたことはあるか？多くの開発者は、package-lock.json や requirement...

依存関係は「劇薬」である：SCAツールを導入しても防げない「真の脅威」と対策「npm audit で警告が出たから、とりあえず最新版に上げておきました」現場でよく聞く言葉だ。だが、君たちが依存しているのは、誰が書いたかも分からない、世界中の...

「便利だから」で済ませてない？あなたのアプリが“泥棒の裏口”になる前に知っておくべきことこんにちは！現場でセキュリティの最前線に立っていると、よくこんな相談を受けます。「自社で書いたコードは完璧にチェックしているはずなのに、なぜか攻撃を受け...

こんにちは！セキュリティの世界へようこそ。日々、開発や運用に追われる中で「セキュリティ」という言葉を聞くと、なんだか気が重くなりますよね。「面倒くさそう」「専門用語ばかりで何をすればいいのか分からない」……そんな気持ち、よく分かります。でも...

クラウドの「設定ミス」という名の爆弾：CSPMを超えたアーキテクトの視点クラウドセキュリティにおいて、脆弱性（CVE）のパッチ適用に血眼になるのは、もはや情弱の所業だ。現代のインシデントの9割は、攻撃者が「ゼロデイ」を突くのではなく、開発者...

クラウドの「設定ミス」という名の時限爆弾：CSPMを単なる監視で終わらせないための実戦的アプローチ「うちはAWS/GCPを使っているから、クラウド事業者が守ってくれている」。もし本気でそう思っているなら、今すぐその考えを捨ててください。CS...

「クラウドの鍵、閉め忘れていませんか？」—泥棒はあなたの家の“窓”を常に探しているこんにちは。セキュリティの世界で長年、泥棒の思考と追いかけっこをしてきたエンジニアです。皆さんが毎日触れているクラウド環境（AWS, Azure, GCPなど...

サプライチェーンの「聖域」を守れ：Cosignによるイメージ署名と検証の深層コンテナイメージを docker push するだけで「デプロイ完了」と安堵しているのなら、あなたは既にサプライチェーン攻撃の格好の標的だ。GitHub Actio...

コンテナの「野良イメージ」は時限爆弾だ：Cosignで築く強固なサプライチェーンセキュリティ現場でエンジニア諸君と話していると、よくこんな相談を受ける。「GitHub Actionsでビルドして、そのままレジストリにプッシュして、それをKu...

こんにちは。セキュリティの世界へようこそ。「アプリケーションを作ってデプロイする」。これ、現代のエンジニアにとっては日常茶飯事ですよね。でも、あなたが「よし、完璧なアプリができた！」と自信を持って送り出したそのプログラム、実は裏道で誰かがす...