tomohiro– Author –
-
CHFI（Computer Hacking Forensic Investigator）とは？試験内容・難易度・勉強法・キャリアへの活かし方を徹底解説
インシデント発生後、「攻撃者はいつ侵入し、何をしたのか」を正確に立証できますか？ セキュリティの現場では、防御だけでなく「起きてしまった後に証拠を集め、何が起きたかを解明する」デジタルフォレンジックの技術が不可欠です。でも日本では、このス... -
エクスプロイトとは？脆弱性を突く攻撃コードの仕組みと企業の対策をわかりやすく解説
「うちのシステムが狙われることはないだろう」と思っていても、公開されたばかりの脆弱性情報をもとに自動でスキャン・攻撃を仕掛けるツールが、インターネット上には大量に出回っています。その中核にあるのが「エクスプロイト（exploit）」です。 エク... -
GRC（ガバナンス・リスク・コンプライアンス）とは？セキュリティ管理を統合する3本柱と中小企業での実践ガイド
「セキュリティ対策はやっているはずなのに、担当者が個人の判断で動いていて経営層は実態を把握していない」「個人情報保護法への対応と技術的な脆弱性対策が別々に動いていて、全体像がつかめない」 こうした状況に陥っている中小企業は少なくありません... -
NetBIOS・LLMNR名前解決ポイズニングとは？Windowsネットワークを狙うなりすまし攻撃の仕組みと無効化設定
「NetBIOS? LLMNR? そんな古い機能、うちの社内ネットで使ってますっけ？」 インフラ担当者にこう聞くと、多くの方が首をかしげます。実は、Windowsドメイン環境のほぼすべてで、これらの機能は今もデフォルトで有効になっています。攻撃者にとっては、内... -
アクセス制御の不備（Broken Access Control）とは？OWASP A01の仕組み・攻撃パターン・対策を現場目線で解説
「自分のアカウントしか見られないはずのデータが、URLの数字を変えるだけで他人のものも表示されてしまった」——こうした事故が、Webアプリケーションで最も頻繁に発生している脆弱性カテゴリの一つです。 アクセス制御の不備（Broken Access Control）は... -
LinuxのNFSセキュリティ設定入門｜エクスポート制限・NFSv4移行・ファイアウォール連携で共有ストレージを堅牢化する実践ガイド
「NFSの設定、とりあえず動けばいいでしょ」——そう思って運用しているサーバーが、社内で最もセキュリティ上の弱点になっている場合があります。 NFS（Network File System）は、Linuxサーバー間でディレクトリをネットワーク越しに共有するプロトコルです... -
中小企業の定期セキュリティ点検チェックリスト｜月次・四半期・年次の作業を情シス1人で回す実践ガイド
「セキュリティ対策はちゃんとやった」。そう思った数か月後、退職者のアカウントが消えずに残っていた、パッチが半年以上適用されていなかった、バックアップが止まっていた――こうした事態が中小企業の現場では珍しくありません。 情シス1人体制では、日... -
職務分離（SoD）とは？内部不正を防ぐアクセス権限の設計と情シス実践ガイド
セキュリティの教科書では「最小権限の原則」がよく語られますが、中小企業の現場でより見落とされがちな概念があります。それが「職務分離（SoD: Segregation of Duties）」です。 「うちには1人しか情シスがいないから無理」「小さな会社に職務分離なん... -
DOM型XSSとは？ブラウザ内で完結するスクリプト攻撃の仕組みと対策をわかりやすく解説
「WAFを入れているのに、セキュリティ診断でXSSが指摘された」。その原因がDOM型XSSである場合があります。サーバーへのリクエストが発生しないため、多くのWAFやサーバー側の検証をすり抜けます。 この記事では、DOM型XSSの仕組みと反射型・蓄積型XSSとの... -
OSI参照モデルとセキュリティ｜各レイヤーに潜む脅威と防御策をわかりやすく解説
ネットワークの勉強でOSIモデルを学んだものの、「セキュリティとどう結びつくのかイマイチわからない」という声は現場でもよく聞きます。実は攻撃者はこのOSIの各レイヤーをよく理解した上で、レイヤーごとに最も効果的な攻撃を仕掛けてきます。 この記事...
