tomohiro– Author –
-
SMBプロトコルのセキュリティ対策｜SMBv1廃止・署名・EternalBlueで学ぶWindowsネットワーク防御
社内の「\\サーバー\共有フォルダ」という見慣れた仕組みが、攻撃者にとって絶好の侵入口になっているとしたら？ SMB（Server Message Block）は、Windowsネットワークでファイル共有やプリンター共有を支えるプロトコルです。日常業務には欠かせない存在... -
Zeek（ゼーク）入門｜ネットワーク通信ログを自動解析して侵入の痕跡を可視化する実践ガイド
ネットワーク上で何か不審なことが起きている気がするのに、「どこを見ればいいかわからない」——情シスの方からよく耳にする悩みです。ファイアウォールのログやSIEMのアラートを眺めていても、「誰がいつどこへ接続したか」を詳細に追いかけるには限界が... -
ISC2 CC（Certified in Cybersecurity）とは？セキュリティ入門資格の試験内容・勉強法・合格のコツを徹底解説
セキュリティの仕事に興味はあるけれど、「どの資格から始めればいいかわからない」という方は多いのではないでしょうか。CISSP は要件が厳しく、CompTIA Security+ も英語受験がメインで敷居が高く感じる——そう思っているなら、ISC2 の CC（Certified in ... -
JWT（JSON Web Token）脆弱性とは？署名検証バイパス・アルゴリズム混乱攻撃の仕組みと対策をわかりやすく解説
自社のWebアプリやAPIにJWT認証を採用しているエンジニアの方から、「JWTって本当に安全なの？」という質問を受けることが多くなりました。JWT自体は優れた設計ですが、実装の仕方を誤ると深刻な認証回避につながります。 この記事では、JWT脆弱性の代表的... -
セキュリティ監査とは？内部監査・外部監査・ペネトレーションテストの違いと中小企業での実施ガイド
「自社のセキュリティ対策は本当に機能しているのか」——そう問われたとき、自信を持って答えられる情シス担当者は多くないはずです。対策を"導入した"ことと、対策が"有効に機能している"ことは、まったく別の話だからです。 この確認作業を体系的に行うの... -
CompTIA PenTest+とは？OSCP・CEHとの違い・試験内容・難易度・勉強法を徹底解説
ペネトレーションテスト（侵入テスト）の資格を調べると、OSCP・CEH・PenTest+と複数の名前が出てきて、「どれを選べばいいか」と迷う方は少なくないでしょう。OSCPは実技試験が厳しすぎる、CEHは暗記中心で実務から遠いという声がある中、CompTIA PenTest... -
Linuxのosquery入門｜SQLでエンドポイントを監査するセキュリティ監視の実践ガイド
サーバーに今、知らないプロセスが動いていないか——確認しようとしても、psコマンドやnetstatの出力を目で追うだけでは限界があります。osqueryは、Linuxのシステム状態を「テーブル」として抽象化し、SQLで照会できるオープンソースのエンドポイント監視... -
暗号鍵管理とは？生成・保管・ローテーション・廃棄の手順と中小企業でもできる実践ガイド
暗号化システムを導入したはいいが、「鍵をどう管理すればいいか分からない」「鍵が漏洩したらどうなるのか」と頭を抱えている情シス担当者は多い。パスワードと違い、暗号鍵は目に見えにくく、気づかないうちにセキュリティの穴になっていることがある。 ... -
DevSecOpsとは？開発サイクルにセキュリティを組み込む仕組みと中小企業での実践ガイド
「開発が終わってからセキュリティレビューを入れたら、設計の根本から直さなければならなくなった」——そんな経験をしたエンジニアは少なくないはずです。リリース直前に脆弱性が発覚すると、修正コストは開発フェーズに比べて数倍から数十倍に膨らむこと... -
セキュアコーディングとは？安全なWebアプリを作るための基本原則と脆弱性を防ぐ実装ガイド
開発者が書くコードには、意図せず脆弱性が紛れ込みます。SQLインジェクションやXSS（クロスサイトスクリプティング）の多くは、高度な攻撃ツールの産物ではなく、日常のコーディング習慣の中に潜む「穴」を突いたものです。 IPAが公表する「情報セキュリ...
