-
NetBIOS・LLMNR名前解決ポイズニングとは？Windowsネットワークを狙うなりすまし攻撃の仕組みと無効化設定
「NetBIOS? LLMNR? そんな古い機能、うちの社内ネットで使ってますっけ？」 インフラ担当者にこう聞くと、多くの方が首をかしげます。実は、Windowsドメイン環境のほぼすべてで、これらの機能は今もデフォルトで有効になっています。攻撃者にとっては、内... -
アクセス制御の不備（Broken Access Control）とは？OWASP A01の仕組み・攻撃パターン・対策を現場目線で解説
「自分のアカウントしか見られないはずのデータが、URLの数字を変えるだけで他人のものも表示されてしまった」——こうした事故が、Webアプリケーションで最も頻繁に発生している脆弱性カテゴリの一つです。 アクセス制御の不備（Broken Access Control）は... -
LinuxのNFSセキュリティ設定入門｜エクスポート制限・NFSv4移行・ファイアウォール連携で共有ストレージを堅牢化する実践ガイド
「NFSの設定、とりあえず動けばいいでしょ」——そう思って運用しているサーバーが、社内で最もセキュリティ上の弱点になっている場合があります。 NFS（Network File System）は、Linuxサーバー間でディレクトリをネットワーク越しに共有するプロトコルです... -
中小企業の定期セキュリティ点検チェックリスト｜月次・四半期・年次の作業を情シス1人で回す実践ガイド
「セキュリティ対策はちゃんとやった」。そう思った数か月後、退職者のアカウントが消えずに残っていた、パッチが半年以上適用されていなかった、バックアップが止まっていた――こうした事態が中小企業の現場では珍しくありません。 情シス1人体制では、日... -
職務分離（SoD）とは？内部不正を防ぐアクセス権限の設計と情シス実践ガイド
セキュリティの教科書では「最小権限の原則」がよく語られますが、中小企業の現場でより見落とされがちな概念があります。それが「職務分離（SoD: Segregation of Duties）」です。 「うちには1人しか情シスがいないから無理」「小さな会社に職務分離なん... -
DOM型XSSとは？ブラウザ内で完結するスクリプト攻撃の仕組みと対策をわかりやすく解説
「WAFを入れているのに、セキュリティ診断でXSSが指摘された」。その原因がDOM型XSSである場合があります。サーバーへのリクエストが発生しないため、多くのWAFやサーバー側の検証をすり抜けます。 この記事では、DOM型XSSの仕組みと反射型・蓄積型XSSとの... -
OSI参照モデルとセキュリティ｜各レイヤーに潜む脅威と防御策をわかりやすく解説
ネットワークの勉強でOSIモデルを学んだものの、「セキュリティとどう結びつくのかイマイチわからない」という声は現場でもよく聞きます。実は攻撃者はこのOSIの各レイヤーをよく理解した上で、レイヤーごとに最も効果的な攻撃を仕掛けてきます。 この記事... -
SMBプロトコルのセキュリティ対策｜SMBv1廃止・署名・EternalBlueで学ぶWindowsネットワーク防御
社内の「\\サーバー\共有フォルダ」という見慣れた仕組みが、攻撃者にとって絶好の侵入口になっているとしたら？ SMB（Server Message Block）は、Windowsネットワークでファイル共有やプリンター共有を支えるプロトコルです。日常業務には欠かせない存在... -
Zeek（ゼーク）入門｜ネットワーク通信ログを自動解析して侵入の痕跡を可視化する実践ガイド
ネットワーク上で何か不審なことが起きている気がするのに、「どこを見ればいいかわからない」——情シスの方からよく耳にする悩みです。ファイアウォールのログやSIEMのアラートを眺めていても、「誰がいつどこへ接続したか」を詳細に追いかけるには限界が... -
ISC2 CC（Certified in Cybersecurity）とは？セキュリティ入門資格の試験内容・勉強法・合格のコツを徹底解説
セキュリティの仕事に興味はあるけれど、「どの資格から始めればいいかわからない」という方は多いのではないでしょうか。CISSP は要件が厳しく、CompTIA Security+ も英語受験がメインで敷居が高く感じる——そう思っているなら、ISC2 の CC（Certified in ...
