セキュリティマスターズ

セキュリティニュースを読んでいると、「CVE-2024-XXXX」のような番号が頻繁に登場します。「これって何？自社に関係あるの？」と思いながら素通りしてしまっている方も多いのではないでしょうか。 CVE番号が読めるようになると、脆弱性情報の優先度判断や...

社内ネットワークへの不正侵入を「検知して終わり」ではなく、リアルタイムに遮断したい。そのためだけに高価な商用アプライアンスを購入しなければならないのか、と悩んでいる情シス担当者は少なくありません。 実は、オープンソースのIDS/IPS「Snort（ス...

セキュリティ分野への転職を考えているエンジニアの方や、社内でセキュリティ担当を任されたIT職の方から「SOCアナリストになるにはどうすればいい？」という声をよく聞きます。サイバー攻撃が高度化・日常化した今、SOC（Security Operations Center：セ...

インシデントが疑われたとき、「サーバーが攻撃されたかもしれない」という第一報だけでは何も始まりません。攻撃者が侵入した経路、操作した内容、外部へ送り出したデータ——これらを後から証明するには、ネットワーク上に残された通信の痕跡が必要です。 ...

社内ネットワークをインターネットに接続しているなら、NATは確実に動いています。ルーターの設定を変えた覚えがなくても、プロバイダから割り当てられたグローバルIPとプライベートIPを自動で変換しているのがNATです。 「NATがあるから内部が見えない。...

「APIキーをうっかりGitHubに上げてしまった」「環境変数で管理しているつもりだったが、本番サーバーに平文で書いてあった」――こんな経験や不安を持つエンジニアは少なくありません。 シークレット（Secret）と呼ばれるAPIキー・パスワード・アクセストー...

自社のWebサービスやシステムにAPIを組み込んでいる企業は多いですが、「APIはファイアウォールの内側だから安全」という認識は危険です。現代のサイバー攻撃では、APIそのものを直接狙う手口が急増しており、認証不備や認可の設計ミスが大規模なデータ漏...

セキュリティ対策の資料を調べると「ホワイトリスト方式」「ブラックリスト方式」という言葉が頻繁に出てきます。なんとなく意味はわかるけれど、実際にどちらを選べばいいのか、どんな場面でどちらを使うべきなのかで迷っている方も多いのではないでしょ...

「リンクもファイルも開いていないのに、なぜデバイスが侵害されるのか」——そんな疑問を持ったことはないでしょうか。 セキュリティ教育で「怪しいリンクをクリックしない」と徹底しても防げない攻撃があります。それがゼロクリック攻撃です。この記事では...

利用者が入力したテキストが「そのままページに表示される」仕組みは、Webサービスのあちこちに存在します。検索キーワードの表示、エラーメッセージへの入力値の埋め込み、プロフィール欄の出力…。このような箇所でHTMLの特殊文字をエスケープしていない...