アプリケーションセキュリティ & 安全な開発

オープンリダイレクトは「ただの仕様」じゃない。フィッシングの踏み台を封じる鉄則「リダイレクト先をURLパラメーターで渡す」——Web開発の現場では、ログイン後の遷移先を指定したり、外部サイトへのリンクをクリックさせる際によくある実装だ。しか...

玄関の鍵、どこに預けますか？「オープンリダイレクト」という罠を解き明かすこんにちは！セキュリティの世界へようこそ。今日は、Web開発を始めたばかりの方や、システムの安全性を守る担当者の方に向けて、意外と見落とされがちな「オープンリダイレクト...

HTTPヘッダーインジェクション：プロトコルの裂け目に潜む「偽装」の深淵HTTPヘッダーインジェクション。この脆弱性を「古い」と切り捨てるエンジニアがいれば、その時点でアーキテクトとしての現場感覚は鈍っていると言わざるを得ない。HTTP/1...

HTTPヘッダーインジェクション：その「改行」がシステムを崩壊させる現場でインシデント対応をしていると、意外にも忘れ去られているのが「HTTPヘッダーインジェクション」だ。最近のモダンなフレームワークは優秀だからと油断していると、足元をすく...

ログを「ゴミ箱」にするな：インシデントレスポンスを機能不全に陥らせる「見えない壁」の正体多くのセキュリティアーキテクトが犯す致命的な過ちは、ログを「監査のための義務的な記録」として捉えていることだ。だが、現場でインシデントの火消しに追われる...

ログは「ただ溜めるもの」ではない。戦場で生き残るための「死の予兆」を読み解け現場でインシデント対応をしていると、決まって遭遇する光景がある。攻撃者はすでにネットワーク内に深く潜り込んでいるのに、管理画面のログは「200 OK」の羅列――。「...

SSRFの深淵：メタデータサービスを「鍵」に変える攻撃の解剖と、アーキテクチャレベルでの防衛論SSRF（Server-Side Request Forgery）。この脆弱性を単なる「URLを入力させる機能の不備」と捉えているなら、あなたのク...

SSRF：クラウド時代の「パンドラの箱」をどう封印するか現場でインシデント対応をしていると、最近特に頭を抱えるのがSSRF（Server-Side Request Forgery）の巧妙化だ。昔は「外部から他人のサイトを叩かせる」程度の攻撃...

XMLの「外部エンティティ（XXE）」攻撃を玄関の鍵で例える、セキュリティの基礎こんにちは。セキュリティの世界へようこそ。今日は、少し専門的に聞こえる「XML外部エンティティ（XXE）攻撃」というものについて、一緒に紐解いていきましょう。名...

その「鍵」、ただの飾りになっていませんか？データ暗号化の基本と「本当に守る」ための心得こんにちは。現場で泥臭いインシデント対応をしていると、よくこんな光景に出くわします。「暗号化してます！」と胸を張る担当者が、実は「金庫に鍵をかけて、その鍵...