CyberFix Note
攻撃手法・脅威動向
クリプトジャッキングの仕組みと対策。CPUを無断で借用され暗号資産を採掘される攻撃
クリプトジャッキングを侵入経路から検知の着眼点まで整理します。クラウド認証情報の窃取やDockerやKubernetesの管理API露出、MITRE ATT&CKのResource Hijacking(T1496)に沿った分類、AWSやGoogle Cloudの検知機能まで実務担当者向けに解説します。
記事一覧
防御・ハードニング
CP認定マークで選ぶ玄関シリンダー錠の選び方
玄関の主錠(シリンダー)を、警察庁や国土交通省が参加する官民合同会議のCP認定を軸に選ぶ観点を整理します。認定マークの見方、耐ピッキング性能の表示、ディンプルキーの構造、補助錠との役割分担、賃貸での確認事項をまとめます。
脆弱性・CVE解説
CVE-2026-16812 Arista VeloCloud OrchestratorのCVSS10.0未認証コマンド実行。SD-WAN集中管理基盤に残っていた到達性の穴を読む
Arista傘下のVeloCloud Orchestrator(VCO)オンプレ版に見つかった未認証OSコマンドインジェクションCVE-2026-16812(CVSS10.0、CWE-78)を一次情報で整理します。内部専用機能が外部到達可能だった経緯、影響バージョンと修正版、CISA KEV収録とBOD26-04の是正期限、初動対応までを解説します。
防御・ハードニング
侵入対策として敷く防犯砂利の選び方
防犯砂利を家庭向けに選ぶ観点を、侵入をあきらめさせる時間と音という目的から整理します。敷く場所の決め方、素材ごとの音の出方、必要な量と厚みの計算、防草シートとの併用、飛散や沈み込みといった手間まで、多層防犯の一枚としてまとめます。
脆弱性・CVE解説
CVE-2026-16232 Check Point管理サーバの認証バイパス。SmartConsoleのログイントークンで管理者権限を奪われる経路を読む
Check Point Security Management / Multi-Domain Security ManagementのSmartConsoleログイン処理にある認証バイパスCVE-2026-16232を解説します。未認証でアプリケーションログイントークンを取得され管理者として入られる機構と、Jumbo HFAの適用や侵害痕跡の点検までを一次情報で整理します。
セキュアコーディング
LDAPインジェクション(CWE-90)の仕組みと対策。検索フィルタとDNでエスケープ規則が違う点まで整理する
LDAPインジェクション(CWE-90)を発生原理から対策まで整理します。利用者名に渡された*や括弧が検索フィルタの意味を変えて認証をすり抜ける仕組み、RFC 4515とRFC 4514でエスケープ規則が異なる理由、検索してからバインドする2段構えや最小権限のバインドアカウントまで開発者向けに解説します。
脆弱性・CVE解説
CVE-2026-55944 Dynamics 365 Business Central/NAVの未認証RCE。ログイン処理のデシリアライズが招くコード実行を機構から読む
2026年7月のPatch Tuesdayで修正されたDynamics 365 Business CentralとDynamics NAVオンプレミス版の未認証RCE、CVE-2026-55944(CVSS 9.8)を一次情報で整理します。細工したログインリクエストが信頼できないデータのデシリアライズを引き起こしコード実行に至る機構と、更新適用や公開面の縮小の初動を実務目線で解説します。
セキュアコーディング
NoSQLインジェクションの仕組みと対策。クエリ演算子の注入で認証回避やデータ抽出に至る欠陥を塞ぐ
NoSQLインジェクション(CWE-943相当)を発生原理から対策まで整理します。信頼できない入力がクエリのオブジェクト構造や演算子として解釈され、認証回避やデータ抽出に至る仕組みと、型検証や演算子の拒否、安全なクエリAPI、$whereの不使用、最小権限による根本対策を開発者向けに解説します。
防御・ハードニング
置き配の盗難対策で選ぶ宅配ボックスの選び方
置き配の盗難対策として宅配ボックスを家庭向けに選ぶ観点を整理します。容量と設置形態、ダイヤルや南京錠、スマートなどの施錠方式、アンカーやワイヤーによる固定、印鑑収納や防水、宅配業者との受け渡しの運用まで、持ち去りを防ぐ軸をまとめます。
攻撃手法・脅威動向
Torとダークウェブの仕組み。攻撃者が使う理由と組織が取るべき備え
Torのオニオンルーティングと.onionサービスの仕組みを原理から整理し、なぜランサムウェアのリークサイトや不正市場がこの上に置かれるのかを説明します。自組織の情報が流出したときに気づくための監視の考え方と、Tor経由の通信をどう扱うかまでを実務目線でまとめます。
防御・ハードニング
個人情報保護スタンプとローラーの選び方
郵便物や封筒、宅配便の送り状に印字された氏名や住所を、捨てる前に読めなくする個人情報保護スタンプとローラーの選び方を家庭向けに整理します。押すスタンプ式と転がすローラー式の違い、隠す幅やインク補充の見方、そしてスタンプに頼ってよい情報とシュレッダーに回す情報の線引きまでまとめます。
セキュアコーディング
マスアサインメント(Mass Assignment)の仕組みと対策、自動バインドの副作用を許可リストで塞ぐ
マスアサインメント(CWE-915)は、リクエストのパラメータをフレームワークがオブジェクトの属性へ自動で束縛する際、公開すべきでない属性まで書き換えられてしまう欠陥です。roleやis_adminの上書きによる権限昇格の機構、OWASP API Securityでの位置づけ、許可リストと入力専用DTOによる対策を、Web/API開発者向けに整理します。