アプリケーションセキュリティ & 安全な開発

やあ、みんな。セキュリティチームのチーフエンジニアだ。今日も一日お疲れさん。今日は「クロスサイトリクエストフォージェリ（CSRF）」の話をしよう。OWASP Top 10ではかつて常連だったものの、近年は「A07: Identificati...

その「勝手に操作」を防ぐ！CSRF攻撃のからくりと、あなたのWebサイトを守る「魔法の合言葉」Webサイトの開発や運用に携わる皆さん、こんにちは！セキュリティの世界は、なんだか難しそう…と感じている方もいらっしゃるかもしれませんね。でも、大...

クッキーの「鍵」をしっかりかけよう！HttpOnly、Secure、SameSiteでセッションハイジャックとCSRFを防ぐ方法皆さん、こんにちは！サイバーセキュリティの世界へようこそ。今回は、Webアプリケーション開発において、実はとって...

玄関の鍵は大丈夫？認証の不備から学ぶ、あなたのアプリを守るための基本皆さん、こんにちは！サイバーセキュリティの世界へようこそ。「セキュリティって難しそう…」「専門用語ばかりでついていけない…」そう思っていませんか？大丈夫です！今日のブログで...

XSSの牙城を崩す：Content Security Policy (CSP) による鉄壁の防御設計Webアプリケーションのセキュリティ、特にクロスサイトスクリプティング（XSS）の脅威は、もはや古典的でありながら、未だに多くのシステムを蝕...

CSPは「お守り」ではない。XSSを無力化する「防壁」だ。現場でコードをレビューしていると、CSP（Content Security Policy）を「とりあえず入れておく程度のヘッダー」と勘違いしているエンジニアが多すぎる。unsafe-...

そのWebサイト、大丈夫？ 新米担当者さんが知っておきたい「Content Security Policy (CSP)」で、見えない攻撃からお客さんを守る方法やあ、みんな！ サイバーセキュリティの世界へようこそ。君たちがこれから触れるWeb...

XSSの深淵：コンテキスト依存の出力エンコーディングとDOM-XSSの巧妙な罠サイバーセキュリティの世界は、常に進化し続ける戦場だ。攻撃者は日々、我々の盲点を突き、システムの脆弱性を悪用する新たな手法を編み出している。その中でも、Webアプ...

XSSは「死んだ」のか？：コンテキストを理解しない者は、現場で即死する「XSS？ 今どきフレームワークが勝手にエスケープしてくれるでしょ？」インシデント対応の現場で、若いエンジニアからよく聞く言葉だ。だが、答えは「No」だ。フレームワークが...

クロスサイトスクリプティング(XSS)の攻撃ベクトルとコンテキスト依存の出力エンコーディング：あなたのWebサイト、泥棒に狙われていませんか？こんにちは！サイバーセキュリティの世界へようこそ。ここでは、難解な専門用語をかき集めて「わかったつ...