OWASP Top 10の基本概念と最新動向

依存関係の深淵：SBOMは「免罪符」ではない。サプライチェーン防衛の真実「依存関係の管理を自動化しています」。多くのテックリードがそう胸を張る。GitHubのDependabotやSnykが自動でPRを生成し、脆弱性スコア（CVSS）が緑色...

依存関係は「時限爆弾」だ：SCAとSBOMでサプライチェーン攻撃を封じ込めろやあ。現場でコードを書いている諸君、今日も依存関係のアップデート通知に追われているか？正直に言おう。現代の開発において、自前で書いたコードなんて全体の10%程度だ。...

「誰かが作った部品」に潜む罠。SBOMで守る、あなたのソフトウェアの玄関口こんにちは。セキュリティの世界で長く戦っていると、「完璧な城」を建てようと必死になるエンジニアによく出会います。でも、ちょっと想像してみてください。あなたは最高級の防...

ログは「死体検分」ではない。SIEMを「予知能力」に変えるアーキテクチャの極意世の中の多くのエンジニアがログを「事後の言い訳」や「コンプライアンスの帳尻合わせ」だと捉えているなら、それは重大な過ちだ。インシデントが発生した後にログを漁るのは...

現場のエンジニア諸君、今日も泥臭いデバッグとログの海に溺れているか？「ログを取っています」という報告は、セキュリティの世界では「備蓄しています」と言っているのと同義だ。重要なのは、そのログをどう使い、どう敵の息遣いを感じ取るか。SIEM（S...

「ログはただの記録じゃない、侵入者の足跡だ」――セキュリティログと異常検知の歩き方こんにちは。日々、システムの守りを固めるエンジニアの皆さん、お疲れ様です。「ログなんて、エラーが出た時に見るだけでしょ？」そう思っていませんか？実は、ログは単...

門番を騙す「幽霊の再構成」：デシリアライゼーションの深淵と防御の極意多くのエンジニアが「シリアライズされたデータは単なるデータの塊だ」と勘違いしている。だが、メモリの深層に潜む我々のような人間から見れば、それは「実行権限を伴う時限爆弾」に他...

魔法の箱「シリアライズ」が招く地獄：デシリアライゼーション脆弱性を根絶する現場でコードをレビューしていると、いまだに「オブジェクトをそのまま保存・転送したい」という強い誘惑に駆られた設計に出くわす。serialize()やpickle.lo...

「あなたのプログラムが、知らない誰かに操られる？」デシリアライゼーションの恐怖と防御の基本こんにちは！セキュリティの世界へようこそ。日々、開発の現場でコードを書いていると、「データを保存したり、別のサーバーに送ったり」することは当たり前です...

こんにちは！セキュリティの世界へようこそ。日々、見えない脅威と戦うエンジニアの皆さん、あるいは「セキュリティって何から手をつければいいの？」と悩んでいる新人の皆さん、いつもお疲れ様です。今日は、少し古風だけど、今なお油断大敵な「XXE（XM...