アプリケーションセキュリティ & 安全な開発

こんにちは。セキュリティの最前線で泥臭いインシデント対応を続けている者です。今日は「Webアプリケーションのログ監視とSIEM連携」という、一見すると地味で難解なテーマを扱います。「ログなんて取っておけばいいんでしょ？」と思っているそこのあ...

コンテナセキュリティの「幻影」を撃つ：CI/CDパイプラインにおける脆弱性管理の真実多くの開発現場で、CI/CDパイプラインにTrivyを組み込み、「脆弱性がゼロになった」と安堵する光景を見かける。だが、現場の泥をすすってきた我々からすれば...

エンジニア諸君、日々デプロイのプレッシャーと戦っていることだろう。「脆弱性スキャン？ CI/CDでTrivy回してるから大丈夫だよ」もし君がそう思っているなら、今すぐその甘い認識を捨ててほしい。脆弱性スキャンを「導入すること」と「運用で守り...

コンテナのセキュリティは「家の鍵」と同じ？ CI/CDで脆弱性を防ぐための基礎講座こんにちは！セキュリティの世界へようこそ。システム開発をしていると、「コンテナイメージのスキャン」や「CI/CDパイプラインへの統合」なんて言葉を耳にすること...

家の「勝手口」を物理的に塞ぐ。Permissions-Policyでブラウザを守る方法こんにちは！日々、システムの要塞化と格闘しているセキュリティエンジニアです。今日は、Web開発を始めたばかりの方や、セキュリティって何から手をつければいい...

ログは「攻撃者の宝の地図」である：PIIマスキングと機密保護のアーキテクチャ再考現場のインシデントレスポンスに立っていると、いつも思うことがある。攻撃者が侵入した際、彼らがまず最初に行うのは、横展開（Lateral Movement）のため...

ログは「エンジニアの宝の山」か、それとも「攻撃者の招待状」か現場のエンジニア諸君、日々お疲れ様。ログの設計について深く考えたことはあるか？「とりあえずデバッグ用に全部出しとけ」と、リクエストボディやレスポンスの全容をログに吐き出しているなら...

ログは「家ののぞき穴」？あなたの家の鍵が丸見えになっていませんか？こんにちは。セキュリティの世界で長く戦っていると、「完璧なシステムなんて存在しない」という現実に突き当たります。でも、だからといって無防備でいいわけじゃありませんよね。今日は...

APIレート制限の「形骸化」を突破する—Redis層での防御と、その裏側に潜むアーキテクチャの陥穽「レート制限を入れました。RedisでIPごとに回数制限しています」コードレビューでこの言葉を耳にするたび、私は苦笑いを禁じ得ない。それは盾を...

APIレート制限を「おまじない」で終わらせるな：ブルートフォースを無力化する実戦的アーキテクチャ現場でインシデント対応をしていると、よく耳にするセリフがある。「レート制限は実装済みです。WAFで弾いていますから」。残念だが、それは半分正解で...