OWASP Top 10の基本概念と最新動向

コンテナの「特権」という名の劇薬：Pod Security Admissionが守るべき最後の防衛線Kubernetesのセキュリティを語る時、多くの現場が「ネットワークポリシー」や「OIDCによる認証」といった華やかな部分に目を奪われがち...

コンテナは「魔法の箱」じゃない：Pod Security Admissionで守るKubernetesの境界線「コンテナの中にSSHして、rootで好き勝手やる」。これは開発初期のデバッグでは甘美な誘惑ですが、本番環境では「自ら開けたバック...

SSRFの深淵：許可リストとメタデータ遮断のその先にある「アーキテクチャの真実」SSRF（Server-Side Request Forgery）を単なる「URLのバリデーション漏れ」と捉えているなら、君のアーキテクチャは既に突破されている...

ファイルアップロードの「聖域」を守る：境界防御の崩壊と多層防御の極致多くの開発現場で「ファイルアップロード機能」は、単なるバリデーションのチェックリストとして処理されがちだ。しかし、世界中のハッカーが侵入の足がかりとして最初に狙うのは、まさ...

ファイルアップロード機能は「爆弾」を預かる行為であると心得よシステム開発において、ユーザーにファイルをアップロードさせる機能は、往々にして「システムの急所」となる。多くのエンジニアが拡張子をチェックし、MIMEタイプを弾けば安全だと思い込ん...

なぜ今さら「OSコマンドインジェクション」なのか？——現場で生き残るための防御論現場のエンジニア諸君、日々お疲れ様。CISSPの知見をベースに一つ言っておく。「OSコマンドインジェクションは過去の脆弱性だ」なんて甘い考えを持っているなら、今...

HSTSという「最後の砦」：SSLストリッピングを無効化するプロトコルアーキテクチャの極意多くのエンジニアが「HTTPS化＝安全」という大前提に安住しているが、実戦で我々が対峙するのは、その「信頼の連鎖」の隙間を縫う攻撃者たちだ。特に、セッ...

なぜ今さらHSTSなのか？ SSLストリッピングという「見えない脅威」を無力化する実務的アプローチ現場でシステム監査をしていると、いまだに「SSL化はしているから大丈夫」と胸を張るエンジニアに出会う。しかし、セキュリティの現場において「HT...

「XMLを読み込ませるだけ」で家の中まで覗かれる？ XXE攻撃の正体と鉄壁の守り方こんにちは。現場で泥臭いインシデント対応を重ねていると、たまに「えっ、まさかそんなところが？」という意外な穴から攻撃者が侵入してくるケースに遭遇します。今回解...

こんにちは！セキュリティバイブル主筆の〇〇です。皆さんの大切なシステムやサービスを守るために、日々奮闘されている開発者やIT担当者の皆さん、お疲れ様です！今回は、私たちが普段何気なく使っている「パスワード」について、その安全な保管方法、つま...