OWASP Top 10の基本概念と最新動向

なぜ「APIのレート制限」があなたのシステムの最後の砦なのかやあ。現場で泥をすすりながらインシデント対応をしているエンジニア諸君なら、一度は目にしたことがあるはずだ。「なぜか特定のAPIだけ負荷が高い」「ユーザーDBへの辞書攻撃でアカウント...

ブラウザの「親切心」という名の脆弱性：X-Content-Type-Options: nosniff の深淵セキュリティの世界には、「機能の利便性は、攻撃者の最大の武器になる」という鉄則がある。Webブラウザというやつは、ユーザー体験を損な...

現場のエンジニア諸君、お疲れ様。今日もどこかのログで怪しいトラフィックが跳ねているかもしれないが、まずは落ち着いて「基本の徹底」から始めよう。セキュリティの世界では、複雑なゼロデイ脆弱性ばかりに目を奪われがちだが、実は「ブラウザの余計なお節...

セッション・フィンガープリントの幻想と現実：偽りの安心を突破する攻撃者の論理多くのセキュリティ設計書で「セッションIDの盗難対策」として掲げられるのが、User-AgentやIPアドレスによるフィンガープリントの検証だ。一見すると堅牢な多層...

セッションハイジャックを「無力化」せよ：フィンガープリント検証の真実いいか、現場のエンジニア諸君。セキュリティの世界では「完璧な銀の弾丸」は存在しない。しかし、「攻撃者のコストを跳ね上げ、戦意を喪失させる」ための防壁なら構築できる。今日取り...

セッション管理の「死角」を突く：アイドルと絶対タイムアウトの深淵多くのエンジニアが「セッションタイムアウト」を単なるUXとセキュリティのトレードオフだと思っている。だが、現場で死屍累々たるインシデントを見てきた者から言わせれば、それは甘い。...

セッションタイムアウトは「おまけ」じゃない。攻撃者に付け入る隙を与えないための防衛術やあ。今日も本番環境のログと睨めっこしているのか？セキュリティの世界では「完璧なシステムなど存在しない」というのが鉄則だが、だからといって「扉を開けっ放しに...

KubernetesのSecretは「裸」同然だ。KMS連携でその脆弱性を埋める技術論いいか、エンジニア諸君。Kubernetesを使っているチームから相談を受けるとき、決まって聞く質問がある。「Secretリソースは安全に管理しているか？...

制御プレーンの深淵：Kubernetes API Serverを「聖域」たらしめるための要諦KubernetesのAPI Serverは、クラスターの心臓部だ。ここが陥落すれば、Namespaceの境界は無意味となり、コンテナ内の秘密鍵は平...

Kubernetes API Serverは「城門」だ。そこを突破されたらおしまいだという話をしよう現場のエンジニア諸君、お疲れ様。最近は「コンテナ化すればとりあえず安心」という幻想を抱いているチームによく出くわす。だが、Kubernete...