オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 セッション管理におけるCookieのSameSite属性の適切な設定 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
セッション管理の「最後の砦」：SameSite属性を極める現場でコードを読んでいると、未だにCSRF（クロスサイトリクエストフォージェリ）対策を「CSRFトークンだけで十分」と思い込んでいるエンジニアに遭遇する。だが、現実は甘くない。トーク...
オフェンシブセキュリティ & リバースエンジニアリング ガバナンス・リスク管理 & 生成AIセキュリティ 【テクニカル・上級編】 プロンプトの漏洩を防ぐためのシステムプロンプトの難読化と保護 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
システムプロンプトは「秘匿」できるか？：LLM時代の境界防衛とアーキテクチャの真実「システムプロンプトを隠したい」という要望を耳にするたび、私はいつも苦笑いする。なぜなら、LLM（大規模言語モデル）のアーキテクチャにおいて、システムプロンプ...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【テクニカル・上級編】 JWTのクレーム検証における ‘iat’ と ‘nbf’ の活用 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
JWTの深淵： iat と nbf が防ぐ「不可視の綻び」暗号技術の表層をなぞるだけなら、教科書を開けばいい。だが、我々のようなアーキテクトが直面するのは、RFC 7519の行間にある「実装の甘さ」が招く悲劇だ。JWT（JSON Web T...
インフラ・ネットワーク & クラウドセキュリティ 【テクニカル・上級編】 イメージの最小化(Distroless/Alpine)による攻撃対象領域の削減 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド
攻撃者の「足場」を奪い去る：Distrolessがもたらす究極の静的防衛多くのセキュリティエンジニアが「ハーデニング」と聞くと、iptablesのルール精査やPAMによる認証強化を思い浮かべる。だが、現代のクラウドネイティブ環境において、そ...
アプリケーションセキュリティ & 安全な開発 【実務・中級編】X-Content-Type-Options: nosniff によるMIMEタイプスニッフィング攻撃の防止 – アプリケーションセキュリティ & 安全な開発防御ガイド
ブラウザの「お節介」を黙らせろ：X-Content-Type-Options: nosniff で防ぐMIMEタイプスニッフィングの真実いいかい、現場で一番怖いのは「システムのバグ」じゃない。「ブラウザの余計な親切心」だ。我々エンジニアが「...
IoT・OT（制御システム） & ブロックチェーンセキュリティ 【実務・中級編】 ガス最適化とDoS攻撃のトレードオフ – IoT・OT（制御システム） & ブロックチェーンセキュリティ防御ガイド
スマートコントラクトにおける「ガス最適化」という名の罠：DoS攻撃を招く設計ミスを正す現場でコードを叩いていると、「ガス代が高いから」という理由でループ処理を極限まで削ったり、複雑なロジックを無理やり1つのトランザクションに押し込もうとする...
インシデントレスポンス & フォレンジック（DFIR） 【実務・中級編】 メモリダンプ解析におけるアンチフォレンジック技術の検知 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド
メモリフォレンジックの最前線：攻撃者の「隠蔽工作」をどう見破り、無力化するか現場でインシデント対応をしていると、時折「メモリダンプがなぜか空っぽ」「特定のプロセスだけが綺麗に消えている」という不可解な状況に遭遇する。これは偶然の不具合ではな...
オフェンシブセキュリティ & リバースエンジニアリング 【実務・中級編】 OpenID Connectのnonce検証によるリプレイ攻撃対策 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド
OpenID Connectの「nonce」を軽視するな：リプレイ攻撃の現実と防御の実装現場でインシデント対応をしていると、「なぜこんな初歩的な落とし穴にハマるのか」と頭を抱えたくなる瞬間がある。その筆頭が、OpenID Connect（O...
ガバナンス・リスク管理 & 生成AIセキュリティ 【テクニカル・上級編】 AIモデルの出力に対する人間による介入(Human-in-the-loop)の設計 – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド
AIの「判断」を信じるな：Human-in-the-Loopの強固なアーキテクチャ設計多くのテックリードが「AIによる自動化」を夢見る一方で、我々セキュリティアーキテクトが直面するのは、AIが生成した「もっともらしい嘘」が引き起こすビジネス...
共通鍵暗号（AESなど）と公開鍵暗号（RSA、楕円曲線暗号 ECC）の原理と使い分け 【テクニカル・上級編】 OAuth 2.0のスコープ最小権限の原則と過剰な権限付与の回避 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド
権限の「オーバープロビジョニング」という名の時限爆弾：OAuth 2.0 スコープ設計の深淵セキュリティの世界で「最小権限の原則（Principle of Least Privilege）」という言葉を聞かない日はありません。しかし、現場で...