ペネトレーションテスト手法

はじめに：なぜ静的解析だけではKubernetesを守れないのかセキュリティチームの諸君、日々のデプロイと運用、本当にお疲れ様。「CI/CDパイプラインにlinterを入れて、マニフェストのセキュリティチェックは自動化しているから万全だ」―...

おい、ちょっと手を止めてこっちを向いてくれ。先日、とあるクライアントのAWS環境のペネトレーションテスト（模擬攻撃）を実施したんだが、そこで実に香ばしい脆弱性を見つけた。サーバーレス、いわゆるAWS Lambdaを使ったバックエンドAPIな...

こんにちは。セキュリティチーフエンジニアのSysGuardです。日々の開発やインフラ構築、本当にお疲れ様です。モダンなWebアプリケーション開発において、DockerやKubernetesを用いたコンテナオーケストレーションはもはや「標準イ...

お疲れ。最近、マルチアカウント戦略を導入する企業が増えてきたな。開発用、ステージング、本番用、そしてログ集約用と、AWSなどのクラウド環境を綺麗に分割するのは、ガバナンスの観点から見ても非常に正しいアプローチだ。だが、レッドチームの視点から...

Kubernetes（K8s）クラスターのペネトレーションテストやセキュリティ診断を行っていると、いまだに「おや、ご馳走様」と言いたくなるようなシークレット管理の不備に出くわします。「いやいや、ちゃんと kubectl create sec...

お疲れ。最近、クラウドの初期設定ミスを踏み台にされて、インフラをごっそり持っていかれるインシデントの調査依頼が後を絶たない。「うちのインフラはすべてTerraformでコード化されているから安全です」――そう胸を張る開発チームに限って、いざ...

おい、そこ。ちょっと手を止めて画面を見てくれ。クラウド環境（AWSを前提にするが、GCPやAzureでも構造は同じだ）でのインシデント対応をしていると、笑えない現実に直面する。開発者が何気なくGitHubのパブリックリポジトリや、ローカルの...

おい、新人。ちょっとこっちに来てくれ。昨日、うちのチームが担当しているクラウド基盤のインシデントレビューをやっていたんだが、冷や汗もののログを見つけたんだよ。開発環境のプライベートコンテナレジストリ（HarborやDocker Regist...

おい、最近クラウド環境のログ監視をサボっていやしないか？「AWSやGCPが勝手に守ってくれる」「CloudWatchのデフォルトアラートを入れておけば安心」なんて思っているなら、今すぐその甘い考えを捨ててくれ。俺たちが日々行っているペネトレ...

おい、ちょっと手を止めてこっちを向いてくれ。先日、とあるクライアントのKubernetes（K8s）クラスターのペネトレーションテスト（模擬攻撃）を実施したんだ。開発チームは「うちはマネージドのEKSだから大丈夫」「内部ネットワークだから安...