インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 ABAC(属性ベースアクセス制御)による動的なアクセス制御 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
「静的な権限管理」は死んだ：ABACで実現するゼロトラストなアクセス制御現場でインシデント対応をしていると、「権限管理はロール（RBAC）で十分」と信じ切っているチームに何度も出会う。だが、現実はどうか。退職したエンジニアの権限が残っていた...
インフラ・ネットワーク & クラウドセキュリティ アプリケーションセキュリティ & 安全な開発 【テクニカル・上級編】APIのセキュリティヘッダー：Permissions-Policyによるブラウザ機能制限 – アプリケーションセキュリティ & 安全な開発防御ガイド
境界防御の終焉：Permissions-PolicyでXSSの「牙」を抜くセキュリティ・アーキテクト諸君、ご苦労様。WAFやCSP（Content Security Policy）を導入して「守りは完璧だ」と高を括っているなら、今すぐその認...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 整数オーバーフロー・アンダーフローの検知とSafeMath/Solidity 0.8以降の挙動 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
算術演算の「落とし穴」：Solidity 0.8以降の自動検知と、それでも残る「論理的脆弱性」の正体現場でスマートコントラクトの監査をしていると、いまだに「Solidity 0.8以降を使っているからSafeMathは不要だよね？」という甘...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 メモリフォレンジックにおけるDLLインジェクションの痕跡特定（Reflective DLL Injection） – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
メモリの「亡霊」を暴け：Reflective DLL Injectionの痕跡と実務的防衛術現場でインシデント対応をしていると、「ログには何も残っていないのに、プロセスが異常な通信をしている」という相談をよく受ける。これこそが、メモリ上で完...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 反射型XSS(Reflected XSS)の攻撃シーケンスとURLエンコーディングの重要性 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
現場のエンジニアが陥る「反射型XSS」の罠と、泥臭い防衛戦術やあ。今日もセキュアなコードを書いているか？現場でコードレビューをしていると、未だに「ユーザーからの入力をそのまま画面に返す」という、セキュリティの初歩中の初歩で足元をすくわれるエ...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 AWS Bedrockにおけるガードレール機能の設定とポリシー適用 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
生成AIを「ただの便利ツール」で終わらせるな。AWS Bedrockガードレールで守る境界線現場で「AIを使って爆速で機能開発しようぜ！」と盛り上がるのは素晴らしい。だが、セキュリティ責任者として君たちに言いたいのは、「生成AIは、制御不能...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 Azure NSG(ネットワークセキュリティグループ)のフローログ分析と異常通信の検知 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
なぜ「NSGフローログ」を眺めるだけで終わらせてはいけないのか現場でよく見る光景がある。「AzureのNSGフローログを有効にしました」と胸を張るエンジニアたちだ。だが、彼らの多くはログをストレージに溜め込むだけで、その中身を「分析」してい...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 RBAC(ロールベースアクセス制御)の設計と職務分掌の適用 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
現場のエンジニア諸君、今日もシステムを守り抜くためにキーボードを叩いていることだろう。「ハーデニング」という言葉を聞くと、多くの人間が「不要なポートを閉じる」「OSのパッチを当てる」といった作業を連想する。だが、私が数々のインシデント現場で...
アプリケーションセキュリティ & 安全な開発 【実務・中級編】APIのセキュリティヘッダー：Permissions-Policyによるブラウザ機能制限 – アプリケーションセキュリティ & 安全な開発防御ガイド
なぜ今、Permissions-Policyなのか？XSSの「その先」を封じる防壁論現場でインシデント対応をしていると、XSS（クロスサイトスクリプティング）を「単なるアラート表示の脆弱性」と甘く見ているエンジニアに時折出会う。だが、現代の...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 再入攻撃(Reentrancy)の検知とMutexによる防御実装 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
「また再入攻撃か」と言わせない。スマートコントラクトを鉄壁にするための防衛術現場の最前線でインシデント対応をしていると、驚くほど同じ過ちが繰り返されていることに気づかされます。「再入攻撃（Reentrancy）」――ブロックチェーン界隈にお...