Webサイト・Webアプリ
Webサイト・Webアプリは、自社で作ったり委託して作ったりした、利用者がブラウザから使うシステムとAPIです。担当者が知りたいのは、入力の扱いや権限の確認に抜けがないか、更新が追いついているかです。点検は、利用者の入力を受け取る機能とAPIを一覧にし、使っている言語やフレームワークの版を確かめるところから始めます。
webセキュリティ対策の全体像｜主な脆弱性・認証・診断と改修の進め方
webセキュリティとは何かと、入力の扱い・認証と認可・公開設定と更新の3か所で点検する方法を、IPAやOWASPの資料をもとに説明する。脆弱性診断の時期と、診断結果から改修の順番を決める手順も扱う。
PHPのサポート終了への対策｜バージョン確認・暫定対応・移行の判断
PHPのサポート終了への対策を、8.1以前やOSのパッケージに修正が届くかの確かめ方、Web・CLI・コンテナごとの稼働バージョンと依存の洗い出し、WAFや接続元の制限の限界、移行・改修・停止の決め方の順にまとめた。
脆弱性診断は無料ツールで足りる？OSSで調べる範囲と手動診断の違い
脆弱性診断の無料ツール（ZAP・Nikto・OpenVAS・Trivy）で見つかるのは既知の脆弱性と設定の不備まで。権限や業務の流れの弱点が自動では見つからない理由、使う前の許可と停止条件、外部診断に出す条件と渡す結果を整理した。
Lean言語で権限逸脱が起きないことを数学的に証明、「Nyxis」が保証する安全性とは
Lean言語で認可の安全性を証明するNyxis。DB操作を認可層に通す構造と、1回の操作から要求の繰り返しへ証明を広げる仕組みを解説する。
BOLAとは？他人のデータにアクセスできる認可不備と対策
BOLAが起きる仕組みを請求書の例で解説。利用者・データ・操作ごとの権限確認、IDORとの違い、修正後の確認方法を整理する。
「PHP2Shell」は本当に悪用できる？PoCと修正前後のPHPを検証
PHP2Shellの公開PoCを手元の環境で動かし、修正前後のPHPを比較。3つの経路で確認した結果、悪用の成立条件、公式勧告に基づく対策を整理する。
PHPの重大な脆弱性「php2shell」で緊急メンテナンス相次ぐ！停止予定と今すぐ確認すること
PHPの重大な脆弱性「php2shell」への対応で、BASE、ツイキャス、はいチーズ！などが緊急メンテナンスを告知。5社の当初の停止予定・影響範囲と、確認できた再開報告、利用者・運用担当者の確認事項を整理する。
「A2B攻撃」とは？アプリに脆弱性がなくても情報漏洩する理由と自社APIで確かめる対策
A2B攻撃とは、公開Androidアプリの解析結果を悪用して接続先サーバーを狙う手法だ。NICTの注意喚起を基に、情報漏洩につながる認可などの不備、AIによる解析の効率化と、自社のAPIとバックエンドで確かめるA2B攻撃の対策を、点検から暫定対策・修正まで解説する。
