アプリケーションセキュリティ & 安全な開発

あなたのWebサイトが「鍵の壊れた家」にならないために。Trusted Typesで防ぐDOMベースXSSの仕組みこんにちは。現場で泥臭くコードと格闘し、時にインシデントの火消しに走り回っているエンジニアの皆さん、お疲れ様です。今日は、We...

セッション管理の死角：なぜ今さら「HttpOnly」を語るのか多くのエンジニアが「HttpOnly？あぁ、Cookieに付けるフラグでしょ。XSS対策だよね」と口を揃える。教科書的な回答としては満点だ。しかし、現場の最前線でインシデント対応...

「Cookieを盗まれて終わり」にしないために：HttpOnly属性が最後の砦となる理由現場でインシデント対応をしていると、必ずと言っていいほど直面するのが「XSS（クロスサイトスクリプティング）を起点としたセッションハイジャック」です。「...

あなたの「家の鍵」は、窓から投げ捨てられていませんか？こんにちは。セキュリティの世界で泥沼のようなインシデント対応を幾度となく経験してきた、現場叩き上げのエンジニアです。今日は、Web開発の世界で「基本中の基本」と言われながら、実は多くの現...

XSSの「終わりなき泥沼」：WAFシグネチャとSIEMによる検知の深淵巷にあふれる「XSS対策の教科書」は、往々にしてタグを弾けという類のものばかりだ。しかし、現場の最前線にいる諸君なら知っているはずだ。現代のXSSは、もはや古典的なタグ挿...

XSSを「無害化」する幻想を捨てろ：WAFとログで仕留める実戦的防御術現場でコードを叩いている諸君、お疲れ様。セキュリティ担当の視点から言わせてもらうと、クロスサイトスクリプティング（XSS）は「古い脆弱性」なんかじゃない。今この瞬間も、モ...

Webサイトの「勝手口」を守れ！XSS攻撃の正体と、WAFで防ぐ「泥棒の足跡」の読み方こんにちは。日々セキュリティの最前線で、システムの「守り」を設計しているエンジニアです。今日は、初心者の方が最初にぶつかる大きな壁、「XSS（クロスサイト...

CSP Level 3の真髄：strict-dynamicで動的スクリプトの「信頼の連鎖」を構築するセキュリティの世界では、長らく「ホワイトリストによる外部ドメイン指定」がCSP（Content Security Policy）の常識とされ...

終わりのない「スクリプトのホワイトリスト地獄」から抜け出す：CSP strict-dynamic の真髄現場でインシデント対応をしていると、よく耳にする悲鳴がある。「CSP（Content Security Policy）を導入したら、サー...

こんにちは。セキュリティの世界へようこそ。「Webサイトのセキュリティ」と聞くと、なんだか難しそうな要塞を築くようなイメージを持つかもしれませんね。でも、実は私たちの身の回りの「家の防犯」と全く同じ考え方で紐解くことができます。今日は、現代...