アプリケーションセキュリティ & 安全な開発

「CSPは設定しただけで満足？」――XSSを無効化する現場の生存戦略こんにちは。セキュリティチームのチーフです。日々、国内外のインシデント事例を分析していると、「あぁ、またか」とため息が出る瞬間があります。それは、アプリケーション層でXSS...

あなたのWebサイトが「泥棒の温床」にならないために。CSPでXSS攻撃を封じ込める方法こんにちは！セキュリティの現場で日々、防御の最前線に立っているエンジニアです。皆さんは「XSS（クロスサイトスクリプティング）」という言葉を聞いたことは...

境界防御の終焉と「IDこそがネットワーク」である現実かつて我々は、境界ファイアウォールという名の「城壁」の中にいれば安泰だという幻想を抱いていた。しかし、クラウドネイティブの時代において、その城壁は塵と化した。Cloud Runという抽象化...

なぜ「Cloud Runのデフォルト設定」が、攻撃者の格好の入り口になるのか？現場でコードをレビューしていると、いまだに「Cloud Runのサービス間通信で、APIキーを環境変数にベタ書きしている」ケースや、「IAMロールを『プロジェクト...

こんにちは。現場の最前線でセキュリティと格闘しているエンジニアの皆さん、お疲れ様です。今日は、GCP（Google Cloud Platform）の「Cloud Run」を使ったサービス間通信における、ちょっとだけ背筋が凍るような、でも絶対...

「認証情報のハードコード」という遺物：AzureマネージドIDとKey Vaultによる「ゼロ・クレデンシャル」設計の深淵コードベースをスキャンした際、いまだにappsettings.jsonの片隅や、環境変数のダンプログから漏洩するDB接...

「コードに秘密を刻むな」― AzureマネージドIDで実現する、漏洩リスクゼロの認証設計現場でインシデント対応をしていると、決まって遭遇する光景がある。「急いでいたから」「開発環境だし」という甘い言葉と共に、ソースコードの中に鎮座するデータ...

鍵を「玄関マットの下」に隠すのはもうやめよう：マネージドIDで実現する究極の認証セキュリティこんにちは！セキュリティの世界へようこそ。日々コードを書いていると、「データベースの接続情報」や「APIキー」をどこに書けばいいか、迷うことはありま...

S3バケットはなぜ「穴」になるのか？— 誤認を招く権限階層とIAMの境界防衛S3バケットの公開設定による情報漏洩は、もはや古典的な「人為的ミス」として語られることが多い。しかし、現場でインシデント対応に当たっていると、それが単なる「設定忘れ...

S3バケットは「鍵をかける」だけでは足りない――エンジニアが陥る「公開設定」の罠と防衛術やあ。現場の最前線でコードを書き、夜中にアラートに飛び起きる諸君、お疲れ様。AWS S3のセキュリティ事故が後を絶たない。ニュースで「またか」と思うよう...