tomohiro– Author –

ファイルをインクルード（読み込み）する機能は、コードの再利用という意味でウェブアプリ開発では当たり前に使われます。でも、その「読み込み元をユーザーが指定できる」実装になっていたらどうなるか——攻撃者は自分のサーバーに置いた悪意あるファイル...

プリンターはオフィスの「空気」みたいなものです。存在して当たり前、しかしセキュリティの観点で意識されることはほとんどない。 情シス1人体制の中小企業で、プリンターのセキュリティ設定を最後に確認したのはいつですか？多くの場合「導入時に設置業...

「脅威」「脆弱性」「リスク」——セキュリティの資料や会議でよく飛び交う言葉ですが、三つの違いを正確に説明できますか？ 実はこの三概念を混同したまま対策を打っても、優先順位がズレて予算と工数が無駄になります。インシデント対応の経験を積んだエン...

社内で使っていた開発環境やステージングサイトを外部クラウドから移行したとき、古いサブドメインのDNSレコードをそのまま残してしまっていませんか？その「消し忘れ」が、攻撃者に自社の正規ドメイン配下のページを乗っ取られる原因になります。 この記...

「最近サーバーの動きが重くなった。でもウイルススキャンには何も引っかからない…」 そんな経験はないでしょうか。 それ、クリプトジャッキングの可能性があります。データを人質に取るランサムウェアや認証情報を盗むフィッシングと違い、クリプトジャッ...

機密ファイルをサーバーに保存しても「暗号化さえしていれば」不正アクセスされてもデータは読めない——そう思っていませんか？ しかし現場では、暗号化の手間を省いたまま平文のパスワードリストや秘密鍵をサーバーに置いているケースが後を絶ちません。 ...

Linuxサーバーに、退職者のアカウントが残ったままになっていませんか？ 「本番サーバーに誰も使っていないアカウントがある」「サービスアカウントにログインシェルが設定されたまま」「パスワードに有効期限が設定されていない」——こうした状態は、攻撃...

社員がフィッシングメールを受け取ったとき、あなたの会社は本当に大丈夫ですか？ セキュリティツールをどれだけ揃えても、最後の砦は人です。国内の情報漏洩インシデントのうち、フィッシング起因のものは年々増加しており、特に中小企業では「訓練未実施...

「うちはファイアウォールで外部からの侵入を防いでいるから大丈夫」——そう思っていた会社で、退職間際の社員がUSBメモリ1本に顧客リストをコピーして持ち出した、というインシデントが後を絶ちません。 情報漏洩の原因は、外部からの侵入だけではありませ...

「自分のサーバーはどのくらい安全なのか」——そう問われたとき、自信を持って答えられるエンジニアは意外と少ないものです。設定はデフォルトのまま動いているが、何が危険で何が安全なのかをきちんと把握できていない、というのが多くの現場の実情です。 ...