CyberFix Note
防御・ハードニング
クラウド(オンライン)バックアップの選び方
3-2-1ルールが求める別拠点への1コピーをクラウドで満たすための選び方を、復元単位や版管理、暗号化とゼロ知識方式、復元速度、保管リージョンという軸で整理し、個人と小規模事業所に向けてファイル型とイメージ型のサービスの向き不向きを公式情報に基づいて説明します。
記事一覧（9ページ目）
脆弱性・CVE解説
Ivanti SentryのCVE-2026-10520が示す、境界アプライアンスの未認証RCEへの向き合い方
Ivanti Sentryの未認証OSコマンドインジェクションCVE-2026-10520(CVSS 10.0)を一次情報で整理します。root権限でのリモートコード実行に至る仕組み、CISA KEV収録に基づく優先度づけ、修正版適用と侵害痕跡調査を含む初動を、情報システムやインフラ運用の実務目線で解説します。
セキュアコーディング
パストラバーサルとは何か。基準ディレクトリの外へ解決されるパスの脆弱性と根本対策を解説
ユーザー入力がファイルパスに連結され「../」で基準ディレクトリの外へ到達されるパストラバーサル（CWE-22）を、なぜ成立するのかという機構から、任意ファイル読取などの想定影響、正規化と許可リストによる根本対策までWebアプリ開発者向けに体系的に整理します。
攻撃手法・脅威動向
ディープフェイク音声・映像のなりすまし詐欺。声や顔を疑わずに手順で止める
生成AIで作った偽の声や顔を使い、経営者や家族になりすまして送金させるディープフェイク詐欺。なぜ人の耳や目では見抜きにくいのかという機構から、企業の承認プロセスの統制、家族間の合言葉まで、確認手順で止める方法を実務目線で解説します。
防御・ハードニング
紛失防止トラッカー(スマートタグ)の選び方と安全な使い方
鍵や財布に付ける紛失防止トラッカーは、近距離のBLEと他人の端末が中継する探すネットワークで探し方が変わります。対応する探すネットワークの広さや電池、防水、音、取り付け方という選定の軸と、望まない追跡を知らせる仕組みや法的な注意までを公式情報に基づいて整理します。
セキュアコーディング
JWTの仕組みと実装の落とし穴。署名検証とアルゴリズム混同を基礎から
JWT(JSON Web Token)の構造と署名の役割を基礎から整理します。header.payload.signatureの3パート、HS256とRS256の違い、alg:noneやアルゴリズム混同といった検証まわりの落とし穴、有効期限と失効の設計、保存場所によるXSS/CSRFの注意点まで、一次仕様に沿って実装者向けに解説します。
防御・ハードニング
リレーアタックを防ぐ電波遮断キーケースの選び方
キーレス車でスマートキーと車がやり取りする微弱電波を中継して解錠するリレーアタックの仕組みを示し、電波を遮断して保管するファラデーポーチや金属メッシュのキーケースについて、遮断素材や対応周波数、サイズ、二重ポケットの注意、日常の運用までを選定の判断軸として整理します。
攻撃手法・脅威動向
正規のリモート管理ツール(RMM)が攻撃に悪用される手口と防御
ScreenConnectやAnyDeskなどの正規のリモート監視管理ツール(RMM)が、侵入後の遠隔操作とサポート詐欺の二つの経路で悪用される仕組みを、CISAの共同勧告やベンダー公式情報をもとに整理し、未許可の導入を見分けて防ぐ実務的な手立てを解説します。
セキュアコーディング
セキュリティHTTPレスポンスヘッダで多層防御を固める方法
CSPを中心に、HSTSやX-Content-Type-Options、クリックジャッキング対策、Referrer-PolicyといったセキュリティHTTPレスポンスヘッダの役割と設定を、開発者向けに整理します。
セキュアコーディング
コンテナ(Docker)セキュリティの基礎と実務で効く守り方
コンテナ(Docker)が何を仮想化しVMとどう違うか、ホストのカーネルを共有するため隔離が完全でない理由を原理から解説します。NIST SP 800-190の構成要素別リスクに沿って、最小イメージや非root実行、権限の絞り込みなど実務で効く対策を整理します。
攻撃手法・脅威動向
MCPサーバーのセキュリティ。AIエージェントとツール接続の信頼境界
AIエージェントを外部ツールにつなぐMCPサーバーの攻撃面を、ツールポイズニングや間接プロンプトインジェクション、過剰な権限とトークンの扱い、信頼できないサーバーとrug pullに整理し、利用者と開発者と組織の防御を公式仕様をもとに解説します。
防御・ハードニング
会社支給とBYODで変わるモバイルデバイス管理(MDM)ツールの選び方
組織のスマートフォンやタブレット、PCを一元管理するMDMがどんな仕組みかを原理から示し、会社支給とBYODで変わる論点、対応OSやポリシー配布、リモートワイプ、条件付きアクセスといった選定指標、導入後の運用と退職時の失効までを、専任担当を置きにくい組織の視点で整理します。