Webセキュリティ専門の学習

OAuth 2.0/OIDCの「なんとなく実装」が招く地獄と、PKCEで防ぐ認証ジャックの現実現場でコードをレビューしていると、いまだにOAuth 2.0を「単なるログインボタンの実装」だと勘違いしているエンジニアに出くわす。だが、断言しよ...

玄関の鍵をコピーさせない技術：OAuth 2.0とOIDCで学ぶ「安全なAPI認証」の極意こんにちは。セキュリティの世界へようこそ。システム開発をしていると、必ず耳にする「OAuth 2.0」や「OpenID Connect (OIDC)」...

依存関係の深淵：SBOMは「免罪符」ではない。サプライチェーン防衛の真実「依存関係の管理を自動化しています」。多くのテックリードがそう胸を張る。GitHubのDependabotやSnykが自動でPRを生成し、脆弱性スコア（CVSS）が緑色...

依存関係は「時限爆弾」だ：SCAとSBOMでサプライチェーン攻撃を封じ込めろやあ。現場でコードを書いている諸君、今日も依存関係のアップデート通知に追われているか？正直に言おう。現代の開発において、自前で書いたコードなんて全体の10%程度だ。...

「誰かが作った部品」に潜む罠。SBOMで守る、あなたのソフトウェアの玄関口こんにちは。セキュリティの世界で長く戦っていると、「完璧な城」を建てようと必死になるエンジニアによく出会います。でも、ちょっと想像してみてください。あなたは最高級の防...

ログは「死体検分」ではない。SIEMを「予知能力」に変えるアーキテクチャの極意世の中の多くのエンジニアがログを「事後の言い訳」や「コンプライアンスの帳尻合わせ」だと捉えているなら、それは重大な過ちだ。インシデントが発生した後にログを漁るのは...

現場のエンジニア諸君、今日も泥臭いデバッグとログの海に溺れているか？「ログを取っています」という報告は、セキュリティの世界では「備蓄しています」と言っているのと同義だ。重要なのは、そのログをどう使い、どう敵の息遣いを感じ取るか。SIEM（S...

「ログはただの記録じゃない、侵入者の足跡だ」――セキュリティログと異常検知の歩き方こんにちは。日々、システムの守りを固めるエンジニアの皆さん、お疲れ様です。「ログなんて、エラーが出た時に見るだけでしょ？」そう思っていませんか？実は、ログは単...

門番を騙す「幽霊の再構成」：デシリアライゼーションの深淵と防御の極意多くのエンジニアが「シリアライズされたデータは単なるデータの塊だ」と勘違いしている。だが、メモリの深層に潜む我々のような人間から見れば、それは「実行権限を伴う時限爆弾」に他...

魔法の箱「シリアライズ」が招く地獄：デシリアライゼーション脆弱性を根絶する現場でコードをレビューしていると、いまだに「オブジェクトをそのまま保存・転送したい」という強い誘惑に駆られた設計に出くわす。`serialize()`や`pickle...