アプリケーションセキュリティ & 安全な開発

S3バケットを「不用意に公開」させない！新人エンジニアのための守りの鉄則こんにちは。現場で泥臭いインシデント対応を繰り返していると、どうしても「なぜ、あんなに堅牢なクラウドサービスが簡単に破られてしまったのか？」という問いにぶつかります。実...

権限という名の「バックドア」を封じる：AWS IAM最小権限の防衛戦略「IAMポリシーなんて、``（アスタリスク）を付けておけば動く」。この悪魔の囁きに屈した瞬間、君のアーキテクチャは崩壊へのカウントダウンを開始する。私はこれまで幾多の侵害...

「とりあえずAdministratorAccess」を卒業する。IAM最小権限の防壁を構築する技術現場でコードを叩いていると、ついやってしまうのが「権限不足エラーの解消」だ。「まあ、開発環境だし」と AdministratorAccess ...

「とりあえず管理者権限」は卒業しよう！AWS IAMで「最小権限」をマスターする防犯の極意こんにちは。現場で泥臭いインシデント対応を繰り返していると、「なぜ、たった一つの小さなミスが会社を揺るがす大惨事になるのか」を痛感させられます。今回は...

SSRF：その「便利な機能」が、あなたのクラウド環境を崩壊させる引き金になるこんにちは。セキュリティチームのチーフエンジニアです。最近、コードレビューやペネトレーションテストの現場で「あ、これSSRF（サーバーサイドリクエストフォージェリ）...

こんにちは。現場で泥臭いインシデント対応を繰り返していると、「完璧な防御」なんて存在しないことに気づかされます。でも、だからこそ「どこを守れば被害を最小限にできるか」という勘所が大切になるんです。今日は、最近多くのエンジニアを悩ませているS...

OAuth 2.0/OIDCの深淵：PKCE強制とトークン管理の「現場的」リアリティセキュリティアーキテクト諸君。教科書的な「OAuth 2.0を使いましょう」という勧告は、もはやエンジニアへの挨拶にもならない。今、我々が対峙しているのは、...

OAuth 2.0/OIDCの「なんとなく実装」が招く地獄と、PKCEで防ぐ認証ジャックの現実現場でコードをレビューしていると、いまだにOAuth 2.0を「単なるログインボタンの実装」だと勘違いしているエンジニアに出くわす。だが、断言しよ...

玄関の鍵をコピーさせない技術：OAuth 2.0とOIDCで学ぶ「安全なAPI認証」の極意こんにちは。セキュリティの世界へようこそ。システム開発をしていると、必ず耳にする「OAuth 2.0」や「OpenID Connect (OIDC)」...

依存関係の深淵：SBOMは「免罪符」ではない。サプライチェーン防衛の真実「依存関係の管理を自動化しています」。多くのテックリードがそう胸を張る。GitHubのDependabotやSnykが自動でPRを生成し、脆弱性スコア（CVSS）が緑色...