Posted inセキュリティ
境界を越えて：NginxによるmTLS導入から6ヶ月間の振り返り
NginxとOpenSSLを使用した相互TLS（mTLS）の実装を深掘りします。本番環境での6ヶ月間の運用を経て得られた、パフォーマンス指標、自動化戦略、およびセキュリティ上のメリットについて解説します。
Posted inセキュリティ
静かなアラーム：被害が広がる前に侵入を検知するCanarytokensの活用法
被害が拡大する前に侵入を検知しましょう。本ガイドでは、誤検知なしで侵入者を知らせるデジタルの地雷やデコイファイル「Canarytokens」のデプロイ方法を紹介します。
Posted inセキュリティ
JWTの要塞化：API本番環境での6ヶ月間から得た実践的レッスン
本番環境での6ヶ月間の運用から得られた、実践的なJWTセキュリティの教訓。RS256への移行理由、Redisを使用した失効処理、そして「none」アルゴリズム攻撃の阻止方法について解説します。
Posted inセキュリティ
ソフトウェア・サプライチェーンのセキュリティ確保：SyftとGrypeによる実践ガイド
SyftとGrypeを活用してソフトウェア・サプライチェーンのセキュリティをマスターしましょう。検証可能なSBOMの生成方法や、サードパーティの依存関係に対する脆弱性スキャンの自動化について詳しく解説します。
Posted inセキュリティ
タグを盲信するのをやめよう：Cosignでコンテナサプライチェーンを保護する
コンテナのタグは簡単に偽装できてしまいます。CosignとSigstoreを使用してイメージに署名し、Kubernetesクラスターをサプライチェーン攻撃から守る方法を学びましょう。
Posted inセキュリティ
脆弱性のリリースを防ぐ：SemgrepによるSASTの自動化
本番環境にデプロイする前に脆弱性をキャッチしましょう。本ガイドでは、Semgrepを使用してCI/CDパイプラインでのセキュリティスキャンを自動化し、手動レビューの時間を短縮して、コストのかかる情報漏洩を防ぐ方法を紹介します。
Posted inセキュリティ
OAuth 2.0とOpenID Connectのセキュリティ：よくある脆弱性と正しい実装方法
OAuth 2.0とOpenID Connectは現代の認証の基盤だが、設定ミスは一般的で代償も大きい。このガイドでは、stateパラメータの欠如・オープンリダイレクト・不適切なトークン検証など、最も頻繁に見られる脆弱性を取り上げ、実践的なPythonの例を使って各ステップを正しく実装する方法を解説する。
Posted inセキュリティ
漏洩したシークレットを追跡：TruffleHogでGit履歴の安全性を確保する
APIキーを誤ってコミットしてしまったことはありませんか？TruffleHogを使ってGitの履歴をスキャンし、シークレットが現在も有効か検証し、それらを完全に削除する方法を学びましょう。
Posted inセキュリティ
KubernetesでのSSL/TLS証明書ライフサイクル管理をcert-managerで自動化する
手動のSSL証明書管理は規模が大きくなると破綻する——有効期限を見逃し、Secretの同期が外れ、週末にインシデントが起きる。このガイドでは、KubernetesにおけるLet's Encryptとプライベート内部CAからの証明書発行・更新を自動化するcert-managerのセットアップを解説する。有効期限を追いかける日々にさよならを告げよう。
Posted inセキュリティ
ルートキットを追跡する：Volatility 3によるLinux RAMフォレンジックの実践ガイド
基本的なログ調査を超えた分析へ。この実践ガイドでは、Volatility 3を使用してLinuxのRAMをキャプチャし、極めて隠密性の高いルートキットや隠しプロセスを暴き出す方法を解説します。