インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 iOSのメモリフォレンジックと暗号化メモリの課題 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
iOSメモリフォレンジックの深淵：サンドボックスの壁と「見えない」脅威への対峙現場でインシデント対応をしていると、「iOSはクローズドだから安全だ」という甘い言葉を耳にすることがある。だが、フォレンジックの視点から言えば、それは「調査が極め...
インシデントレスポンス & フォレンジック（DFIR） オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 JWT(JSON Web Token)の署名検証不備とアルゴリズムNone攻撃 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
JWTの脆弱性は「署名」の信頼をどこまで疑えるかが勝負だ現場でコードレビューをしていると、JWT（JSON Web Token）を単なる「暗号化された箱」だと思い込んでいるエンジニアに遭遇することがある。断言するが、JWTに暗号化機能はない...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 プロンプトフィルタリングと入力バリデーションの実装パターン – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
プロンプトインジェクションは「入力バリデーション」の死角を突く：実戦的ガードレールの実装論エンジニアの諸君、現場での開発お疲れ様。最近、「LLMを組み込んだアプリを作りました」という報告を受けるたび、私は決まってこう問いかける。「それ、ユー...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【実務・中級編】 OWASP Top 10:2021 A02:2021-Cryptographic Failuresの根本原因と対策 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
現場のエンジニアへ：暗号化は「魔法」ではない。その脆弱性が組織を殺す「暗号化しています」という言葉ほど、現場で空虚に響くものはない。SSL/TLSを有効にしているから安全？ AESを使っているから大丈夫？ そう考えているなら、今すぐ考えを改...
インフラ・ネットワーク & クラウドセキュリティ 【実務・中級編】 VPC設計におけるゼロトラストネットワークアクセスの実装 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
境界防御は死んだ。VPC内で「横っ腹」を撃たれないためのマイクロセグメンテーション実践論「うちはVPCで囲っているから大丈夫」。もし君がそう思っているなら、残念ながら攻撃者は既に君のネットワークの地図を広げてニヤついているよ。境界防御（Pe...
アプリケーションセキュリティ & 安全な開発 【実務・中級編】APIの認可におけるIDOR（Insecure Direct Object Reference）の防止 – アプリケーションセキュリティ & 安全な開発防御ガイド
なぜ、あなたの「IDOR」は防げないのか？――脆弱性の盲点と、泥臭いサーバーサイド実装の鉄則現場でコードをレビューしていると、いまだに「URLのIDを少し変えるだけで他人のデータが見えてしまう」という、初歩的かつ致命的なミスに出くわす。これ...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 Optimistic Rollupにおける不正証明(Fraud Proof)の遅延と検知 – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
Optimistic Rollupの「7日間の悪夢」：不正証明（Fraud Proof）のタイムラグをハックから守り抜く現場でOT（制御システム）の脆弱性調査をしていると、物理的なスイッチ一つでシステムが止まる緊張感に常にさらされます。一方...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 Androidの物理メモリダンプ取得手法(Root権限あり/なし) – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
現場の泥臭い戦場から：Androidメモリフォレンジックの幻想と現実諸君、お疲れ様。現場でインシデントに遭遇したとき、一番絶望するのは「証拠が揮発した瞬間」だ。特にAndroidというプラットフォームは、我々DFIR（デジタルフォレンジック...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 セッション固定攻撃(Session Fixation)のメカニズムと防御 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
セッション固定攻撃：なぜ「ログイン前後」のID再生成がシステムの生死を分けるのか現場で長年インシデント対応をしていると、「認証は通っているのに、なぜか権限昇格が起きている」という不可解な事案に遭遇することがあります。その黒幕の正体の一つが「...
ガバナンス・リスク管理 & 生成AIセキュリティ 【実務・中級編】 LLMにおけるプロンプトインジェクションの防御：サンドボックス化と分離実行環境 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
現場のエンジニア諸君、お疲れ様。CISSPとして、またインシデント対応の最前線に立つ者として、今日は「LLMのプロンプトインジェクション」という、昨今のWeb開発で最も「地雷」になりやすい領域について話そう。多くの開発者が「AIにフィルタリ...