新着記事
インシデント対応のフロー｜不正アクセス・ランサムウェアの初動から復旧・報告までの手順
インシデント対応フローを、不正アクセスやランサムウェアの発覚直後の記録と切り離し、ログの保全、侵入経路を断ってからの復旧、個人情報保護委員会への速報・確報の期限、平時の体制と机上訓練の順にまとめた。
VPN機器の脆弱性と侵入対策｜狙われる理由・点検項目・診断の範囲
VPN機器の脆弱性が狙われる理由、警察庁の統計と2つの病院の事例から分かる侵入の条件、台帳と設定の点検項目、公表時の更新・認証情報の変更・侵害の確認の手順、脆弱性診断で調べる範囲を説明する。
SCS評価制度とは｜★3・★4で求められる対策と、委託元・委託先の準備
SCS評価制度の★3・★4の違いを、要求事項26件・43件、評価の受け方、有効期間、登録料、2027年3月の申請受付開始予定から整理し、委託元が求める★の決め方と委託先の点検の順番を示す。
webセキュリティ対策の全体像｜主な脆弱性・認証・診断と改修の進め方
webセキュリティとは何かと、入力の扱い・認証と認可・公開設定と更新の3か所で点検する方法を、IPAやOWASPの資料をもとに説明する。脆弱性診断の時期と、診断結果から改修の順番を決める手順も扱う。
不正ログイン対策｜会員・社員アカウントの乗っ取りを防ぐ認証・検知・初動
不正ログイン対策を、会員サイトと社員の業務アカウントに分けて解説する。リスト型攻撃の仕組み、多要素認証の方式ごとの弱点と試行の制限、ログイン記録での検知、入られた後のセッション失効と被害範囲の調べ方。
データベースのセキュリティ対策｜公開設定・アクセス権限・暗号化・監査ログ
データベース セキュリティの点検手順を、接続経路と公開設定、アカウントの権限、通信と保存時の暗号化、監査ログ、バックアップと複製の5か所で整理し、外部から接続できる状態から先に直す改善の順序を示す。
AIを使った脆弱性診断とは？自動化できる範囲と従来の診断・ASMの違い
AIを使った脆弱性診断で、AIが担う工程と人が確かめる範囲を、NISTの試験手法とASM・アセスメントとの違いから整理する。報告書で誤検知を見分ける根拠と、依頼の前に決める6項目も示す。
SASTとSCAの違い・使い分け｜自動検査の範囲と異常系・回帰試験
SASTとSCAの違いを、調べる対象（自社のソースコードと取り込んだOSS部品）で説明する。両方で見つけにくい認可の誤りを補う動作試験、除外の記録、redis-pyの事故に学ぶ修正後の回帰試験とSCAの再実行も扱う。
PHPのサポート終了への対策｜バージョン確認・暫定対応・移行の判断
PHPのサポート終了への対策を、8.1以前やOSのパッケージに修正が届くかの確かめ方、Web・CLI・コンテナごとの稼働バージョンと依存の洗い出し、WAFや接続元の制限の限界、移行・改修・停止の決め方の順にまとめた。
IAM権限の棚卸し手順｜未使用ID・最小権限・ロールの信頼条件
IAM権限の棚卸しの手順をAWSを例に説明する。最終利用日で未使用のIDとアクセスキーを洗い出す方法とその限界、ポリシーを使う操作と資源に絞る手順、ロールの信頼ポリシーと外部IDの確認、残す記録の項目を扱う。
脆弱性診断は無料ツールで足りる？OSSで調べる範囲と手動診断の違い
脆弱性診断の無料ツール（ZAP・Nikto・OpenVAS・Trivy）で見つかるのは既知の脆弱性と設定の不備まで。権限や業務の流れの弱点が自動では見つからない理由、使う前の許可と停止条件、外部診断に出す条件と渡す結果を整理した。
OSSのセキュリティリスクと対策｜脆弱性・配布物の改ざん・SBOMによる管理
OSSのセキュリティリスクを、既知の脆弱性と配布物の乗っ取りに分けて解説する。Log4j・xz・Shai-Huludの事例から、間接依存まで含むSBOMの作り方、脆弱性情報と改ざん報告の照合、バージョン固定と更新の承認手順を示す。
AIレッドチームとは？LLMの評価範囲・試験条件・診断との違い
AIレッドチームとは何かを、AISIのガイドを元に整理。脆弱性診断との違い、LLMを試す範囲（入力・参照データ・機能・出力先）、自社・ツール・外部依頼の比べ方、結果の記録と修正の優先順位を扱う。
不正アクセスをログで調査する方法｜認証・操作・データ取得の痕跡
不正アクセスのログ調査の進め方を、対象期間の決め方と証拠保全、認証・操作・Webサーバーのログを利用者IDとセッションIDで時刻順につなぐ手順、自動化やAIの利用をログでどこまで言えるか、調査会社への引き継ぎまで説明する。
インフォスティーラーの感染確認方法｜盗まれたログイン状態での乗っ取りとセッション失効
インフォスティーラー感染の確認方法を、端末の隔離、検知履歴とソフト・拡張機能の照合、感染の時点からのサインイン記録の遡りの順に説明する。盗まれたCookieで多要素認証を経ずに入られる条件と、層ごとのセッション失効も扱う。
ASMとは？セキュリティ対策での役割・脆弱性診断との違いと運用方法
ASM（アタックサーフェスマネジメント）のセキュリティ上の役割を経済産業省のガイダンスで整理。分かることと観測の限界、検出資産と社内台帳の照合、KEVを使った対応の順番、脆弱性診断との違い、自社と外部の分担を説明する。
セキュリティアセスメントとは？評価項目・脆弱性診断やASMとの違い
セキュリティアセスメントとは何かを、脆弱性診断・ASMとの違いから整理する。NISTの資料をもとに、評価項目と進め方、報告書で未確認の範囲を分ける理由、費用を変える条件、依頼先に送る質問をまとめた。
スロップスクワッティングとは？AIが提案するパッケージの確認と対策
スロップスクワッティングとは、生成AIが挙げた実在しないパッケージ名を第三者が先に登録する攻撃。研究で測られた誤提案の割合と実被害の確認状況、AIが提案したパッケージの確認と導入の承認、依存関係の管理を解説。
AIによるログ解析・異常検知｜元ログとの照合と人が判断する範囲
AIによるログ解析を不正アクセスの調査に使う方法。生成AIに渡すログの範囲、異常検知で候補を拾う観点、元のログとの照合で誤りと見落としを確かめる手順、機密情報の扱いと遮断・報告の承認まで解説。
AIセキュリティ診断の項目と範囲｜LLMアプリ・AIエージェントで何を調べるか
AIセキュリティ診断の項目を、LLMに届く入力、LLMが読めるデータと動かせる機能、出力の行き先の3か所に分けて解説。通常の脆弱性診断との違い、チャットボットとAIエージェントの試験条件、依頼前に整理する構成図と評価基準まで。
