CyberFix Note
防御・ハードニング
特権アクセス管理(PAM)の作り方。管理者権限を金庫に入れて必要なときだけ貸し出す
ドメイン管理者やroot、クラウドのルートアカウントを常時保有させない運用の設計手順を、保管と払い出し、ジャストインタイム昇格、セッション記録という仕組みの面から整理します。Windows、Linux、クラウドごとの具体策と、製品を買わない現実解も示します。
#認証・認可 の記事
防御・ハードニング
Active Directoryセキュリティの基礎。侵入後の横展開を止める防御設計
オンプレミスADが侵入後の横展開と権限昇格の中心になる理由を整理し、Enterprise Access ModelとAD DS Tierモデル、Protected Usersと認証ポリシーサイロ、Windows LAPS、krbtgtとDCSync、監査ログ、フォレストリカバリまでを一次情報から体系立てて解説します。
脆弱性・CVE解説
CVE-2026-19490でNetScaler Gateway/AAA構成の認証が回避される条件と対応の順序
Citrixが2026年8月19日にCTX696939で公表したCVE-2026-19490を整理します。Gateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバ構成で成立する認証回避の影響条件がビルド番号で切り替わる点、CISA KEV収載で設定された3日の是正期限、パッチ後にやることを一次情報の範囲でまとめます。
セキュアコーディング
SAML 2.0によるSSOの仕組みと設計の落とし穴。アサーション検証から署名鍵の保護まで
SAML 2.0のSSOは、IdPが署名したアサーションをSPが検証することで成り立ちます。SP起点とIdP起点の流れ、RedirectとPOSTのバインディング、AudienceやInResponseToの検証、XML Signature Wrappingの成立条件、Golden SAMLに備える署名鍵の保護までを、一次情報をもとに設計とレビューの手順として整理します。
脆弱性・CVE解説
オンプレミスExchange ServerのCVE-2026-62911。CVSS 8.0でも優先度が上がる理由と更新後に残る確認作業
Microsoft Exchange Serverの認証バイパスCVE-2026-62911(CVSS 8.0、CWE-294)を一次情報で整理します。2026年8月更新の対象版と修正ビルド、Exploitation Less Likelyでも優先度が上がる材料、Extended Protectionの状態確認とMRSProxyの露出点検、Exchange 2016と2019のESU期限までを実務目線で解説します。
脆弱性・CVE解説
KestraのCVE-2026-49869。末尾一致で認証を判定したフィルタが認証なしのRCEになる
ワークフロー基盤KestraのCVE-2026-49869(CVSS 10.0)を一次情報で整理します。認証フィルタがパスをendsWithで判定していたため、末尾がconfigsになる任意のAPIパスで認証が迂回されます。KEV追加の事実、修正版1.0.45と1.3.21、外部公開の確認、侵害有無の見方をまとめます。
脆弱性・CVE解説
LiteLLMのMCP認証バイパスCVE-2026-59822。偽のAuthorizationヘッダが空のUserAPIKeyAuth()に化ける機構
AIゲートウェイLiteLLMの認証不備CVE-2026-59822を一次情報で整理します。MCP Streamable HTTPで失敗したキー検証が空のUserAPIKeyAuth()へ置き換わる機構、1.84.0での修正、CISA KEV収録と是正期限、暫定策と更新後の資格情報ローテーションまでまとめます。
防御・ハードニング
マイナンバーカードと社員証で使うICカードリーダライタの選び方
確定申告やマイナポータルで使う公的個人認証と、業務PCのスマートカードログオンでは、選ぶICカードリーダライタの条件が違います。接触式と非接触式の違い、公的個人認証サービスの公式一覧の読み方、スマートフォンで代替できる範囲、PC/SCとCCIDの確認点、電波法上の扱いまでを一次情報で整理します。
脆弱性・CVE解説
JFrog ArtifactoryのCVE-2026-82329。既定構成のまま未認証で管理者権限を渡す認証不備
JFrog Artifactoryの認証不備CVE-2026-82329を一次情報で整理します。既定構成では未認証の攻撃者が管理者権限を得られる可能性があり、CVSSは9.8、CISAのKEVにも収録されました。修正版の版番号の読み方、暫定策、トークン失効、監査ログで侵害を確かめる手順をまとめます。
セキュアコーディング
パスワード再設定フローの安全な設計。トークンと応答と復旧経路の要件を一次情報で整理
ログインを多要素認証で固めても、パスワード再設定と復旧の経路が弱ければアカウントはそちらから奪われます。OWASPのForgot Password Cheat SheetとNIST SP 800-63B-4(2025年7月)、ASVS 5.0.0、CWE-640、IPA「安全なウェブサイトの作り方」をもとに、トークンの生成と保管、ユーザー列挙を防ぐ応答、再設定後のセッション処理、復旧経路の選び方、ヘルプデスク経由の統制、実装とテストまで整理します。
防御・ハードニング
入社から退職までアカウントを人事イベントに同期させる運用の作り方
アカウントは作る作業だけが催促され、権限を変える作業と止める作業は誰にも急かされません。IPAの内部不正防止ガイドラインと個人情報保護委員会のガイドライン、NIST SP 800-53とCIS Controls v8.1をもとに、入社と異動と退職にIDの状態を同期させる設計、退職時の順序、棚卸しの回し方、人ではないIDと委託先IDの扱いまで整理します。
脆弱性・CVE解説
不完全な修正から生まれたN-able N-centralの認証バイパスCVE-2026-18577
N-able N-centralのCVE-2026-18577を一次情報で整理します。CVE-2026-18556への修正が不完全で認証回避が残り、2026年8月にCISAのKEVカタログへ追加されました。影響を受ける版と修正版2026.3.1.7への更新、痕跡確認の手順を解説します。
防御・ハードニング
SSHサーバのハードニングと鍵の運用
パスワード認証から公開鍵認証へ移す理由を署名の仕組みから説明し、OpenSSH公式のman説明とリリースノートで確認できた既定値をもとに、sshd_configの要点、鍵の作り方と保管、踏み台とアクセス経路、ログと検知までを整理します。
攻撃手法・脅威動向
Kerberoastingとは何か。サービスアカウントの弱いパスワードが狙われる仕組みと対策
Kerberoasting(MITRE ATT&CK T1558.003)は、Active Directoryの正規のKerberos機能でサービスチケットを集め、サービスアカウントのパスワードをオフライン解析にかける手口です。成立条件と検知、対策を一次情報から整理します。
脆弱性・CVE解説
CVE-2026-16232 Check Point管理サーバの認証バイパス。SmartConsoleのログイントークンで管理者権限を奪われる経路を読む
Check Point Security Management / Multi-Domain Security ManagementのSmartConsoleログイン処理にある認証バイパスCVE-2026-16232を解説します。未認証でアプリケーションログイントークンを取得され管理者として入られる機構と、Jumbo HFAの適用や侵害痕跡の点検までを一次情報で整理します。
セキュアコーディング
LDAPインジェクション(CWE-90)の仕組みと対策。検索フィルタとDNでエスケープ規則が違う点まで整理する
LDAPインジェクション(CWE-90)を発生原理から対策まで整理します。利用者名に渡された*や括弧が検索フィルタの意味を変えて認証をすり抜ける仕組み、RFC 4515とRFC 4514でエスケープ規則が異なる理由、検索してからバインドする2段構えや最小権限のバインドアカウントまで開発者向けに解説します。
脆弱性・CVE解説
CVE-2026-8451 NetScaler SAML IdPの事前認証メモリ漏えい。CitrixBleed系の新種を機構から読む
Citrix NetScaler ADC/GatewayをSAML IdPとして構成した場合に効くCVE-2026-8451を解説します。/saml/loginでの境界外読み取りが何を漏らし、なぜパッチ後にセッション強制終了が要るのかを機構と一次情報から整理します。
セキュアコーディング
セッション管理とセッションハイジャック対策。Cookie属性とセッションID再生成で不正利用を防ぐ設計
WebアプリのセッションIDを安全に扱う設計を、生成のエントロピー、HttpOnlyやSecureなどのCookie属性、ログイン時の再生成、寿命管理まで、なぜその設定が効くのかという機構から実務目線で整理します。
脆弱性・CVE解説
AD FSの権限昇格ゼロデイCVE-2026-56155。7月Patch Tuesdayで悪用確認、KEV収録された認証基盤の急所
AD FSの権限昇格ゼロデイCVE-2026-56155(CVSS7.8)を一次情報で整理します。CWE-1220のアクセス制御粒度不足、実際の悪用とCISA KEV収録、7月更新のDKM ACL監査モードとRemediateDkmAclによる是正、フェデレーション基盤ゆえの影響と初動を運用担当向けに解説します。
脆弱性・CVE解説
SimpleHelpのCVE-2026-48558。OIDCトークンの署名検証欠落による認証回避とRMMのサプライチェーンリスク
リモート管理ツールSimpleHelpのCVE-2026-48558(CVSS 10.0)を一次情報で整理します。OIDCのIDトークンを署名検証せずに受け入れる欠陥が、偽造トークンによる技術者セッションの奪取とMFA回避を許す仕組み、影響を受ける版と修正版、CISA KEV収録を踏まえた更新と露出遮断の初動、MSPのサプライチェーンとしての波及を実務目線で解説します。
防御・ハードニング
スマホを使わない多要素認証に使うハードウェアOTPトークンの選び方
スマートフォンなしで多要素認証を足すハードウェアOTPトークン(TOTPやHOTP)の位置づけを整理します。プリセット型とプログラマブル型の違い、対象サービスの対応、電池寿命の見方といった選び方に加え、偽サイトに認証情報を渡さないフィッシング耐性はFIDO2やパスキーが担い、OTPトークンは持たないという役割の差を、一次情報に基づいて解説します。
セキュアコーディング
IDORとアクセス制御の不備、識別子を差し替えられても守れる認可の作り方
IDOR（BOLA）は、識別子で受け取った資源を要求元がアクセスしてよいか確かめずに直接参照することで成立します。OWASP A01 Broken Access Controlとの関係、サーバー側でのオブジェクト単位の認可、既定は拒否、推測困難なIDは認可の代替にならない点まで、Web/API開発者向けに整理します。
セキュアコーディング
OAuth 2.0とOpenID Connectの基礎。認可と認証の違いを仕組みから整理する
SNSログインや「〜で続ける」の裏側にあるOAuth 2.0とOpenID Connectを一次仕様から整理します。OAuthは認可、OIDCはその上に載る認証という役割の違い、登場人物、認可コードフローとPKCE、アクセストークンとリフレッシュトークンとIDトークンの違い、Implicitフローが非推奨になった理由と典型的な落とし穴まで、開発者と実務者向けに解説します。
防御・ハードニング
PCのパスワードレス化に使う生体認証デバイス(指紋・顔)の選び方
WindowsのログインをPINやパスワードから指紋や顔に置き換える外付けの指紋リーダーとIRカメラについて、生体情報が端末内で暗号化保存される仕組み、Windows Hello対応や接続方式といった選び方、フィッシング耐性を担うFIDO2やパスキーとの役割の違いを、Microsoft公式やメーカー情報に基づいて整理します。
攻撃手法・脅威動向
SIMスワップで電話番号が奪われる仕組みとSMS認証を見直す対策
攻撃者が本人になりすまして携帯回線を再発行させ、電話番号ごと乗っ取るSIMスワップの手口を解説します。奪った番号でSMS認証や電話の本人確認をどう突破するのか、なぜSMS認証が弱点になるのか、キャリアのPIN設定やSMSに依存しないMFAへの移行、急な圏外という予兆と初動を、利用者と組織の視点で一次情報をもとに整理します。
セキュアコーディング
JWTの仕組みと実装の落とし穴。署名検証とアルゴリズム混同を基礎から
JWT(JSON Web Token)の構造と署名の役割を基礎から整理します。header.payload.signatureの3パート、HS256とRS256の違い、alg:noneやアルゴリズム混同といった検証まわりの落とし穴、有効期限と失効の設計、保存場所によるXSS/CSRFの注意点まで、一次仕様に沿って実装者向けに解説します。
攻撃手法・脅威動向
MCPサーバーのセキュリティ。AIエージェントとツール接続の信頼境界
AIエージェントを外部ツールにつなぐMCPサーバーの攻撃面を、ツールポイズニングや間接プロンプトインジェクション、過剰な権限とトークンの扱い、信頼できないサーバーとrug pullに整理し、利用者と開発者と組織の防御を公式仕様をもとに解説します。
攻撃手法・脅威動向
SNSアカウントの乗っ取りが起きる仕組みと利用者ができる対策
LINEやInstagram、Xのアカウントが乗っ取られる手口を一般利用者向けに整理します。フィッシングや認証番号の聞き出し、パスワードの使い回しがなぜ不正ログインにつながるのか、二段階認証や端末の見直しといった守り方、乗っ取られたときの初動を一次情報をもとに解説します。
攻撃手法・脅威動向
リアルタイムフィッシングが多要素認証を中継して突破する仕組み
偽サイトが入力したIDやパスワード、ワンタイムパスワードをその場で正規サイトへ中継し、認証済みセッションを奪うリアルタイムフィッシング(AiTM)の仕組みを解説します。なぜOTPやSMSでも突破されうるのか、ネットバンキング不正送金の現況、パスキーやFIDO2による構造的な対策までを一次情報をもとに整理します。
防御・ハードニング
総当たり攻撃と使い回しの悪用から見るログインの守り方
総当たり攻撃が成立する仕組みと、辞書攻撃やパスワードスプレーという派生、他サービスから漏れた認証情報を試すクレデンシャルスタッフィングとの違いを整理し、長いパスフレーズや多要素認証、レート制限まで、個人と運用側それぞれの守り方をNISTやOWASP、IPAの一次情報に沿って入門者向けに説明します。
攻撃手法・脅威動向
情報窃取型マルウェアがセッションCookieを盗んで多要素認証を回避する仕組み
情報窃取型マルウェアが保存パスワードやブラウザのセッションCookie、暗号資産ウォレットを盗む手口と、窃取したCookieで認証済みセッションを再現して多要素認証を回避する機構を、一次情報をもとに整理します。感染経路と個人や組織の対策もあわせて解説します。
防御・ハードニング
パスキーとは。パスワードのない世界へ、仕組みと使い方・移行を解説
パスワードに代わる認証として急速に広がるパスキー（FIDO2/WebAuthn）。公開鍵暗号でなぜフィッシングに強いのか、同期型と端末固定型の違い、設定・紛失・機種変時の扱いまで、入門者向けに原理から噛み砕いて解説します。
セキュアコーディング
認証と認可の違い。Authentication と Authorization を基礎から整理する
認証(本人確認)と認可(権限付与)は似た言葉ですが役割は別物です。両者の違い、混同が招くアクセス制御の不備、IDトークンとアクセストークンの使い分け、OAuth2.0とOpenIDConnectの関係までを入門者向けに具体例で整理します。
防御・ハードニング
最小権限の原則（Least Privilege）。なぜ権限を絞ることが最強の防御の一つなのか
必要最小限の権限だけを与える「最小権限の原則」を、なぜ効くのか（侵害時の被害局所化・横展開の抑止）という原理から噛み砕き、過剰権限の典型例とRBAC・ジャストインタイム権限・定期棚卸しといった実践、ゼロトラストとの関係までを実務目線で整理します。
防御・ハードニング
暗号化の基礎。共通鍵・公開鍵・ハッシュ・TLSはどう情報を守るのか
共通鍵暗号と公開鍵暗号の違いと使い分け、ハイブリッド方式、ハッシュ関数とパスワード保存、デジタル署名と証明書、TLSがHTTPSで守るものを、NISTやIPAの一次情報をもとに原理から噛み砕いて解説します。
防御・ハードニング
多要素認証（MFA）の選び方と導入の勘所。方式比較から運用まで徹底解説
パスワード漏えい対策の決め手となる多要素認証（MFA）について、認証要素の考え方、方式ごとの強度と使い勝手の違い、フィッシング耐性、組織導入の進め方、運用とリカバリーの設計までを実務目線で網羅的に整理します。
防御・ハードニング
ゼロトラストを最小コストで取り入れる。考え方とID中心の段階導入
「決して信頼せず、常に検証する」というゼロトラストの考え方を、製品の一括導入ではなく、既存環境を活かした最小コストで取り入れる進め方を解説します。ID中心の発想と、無理のない段階導入の優先順位を整理します。
脆弱性・CVE解説
CSRFとは何か。仕組みからトークン・SameSite Cookieによる対策まで実務目線で解説
Webアプリの代表的脆弱性CSRFを、なぜ成立するのかという原理から、CSRFトークン（同期トークン・ダブルサブミット）とSameSite Cookieによる多層防御、よくある誤解までを実務目線で体系的に整理します。
防御・ハードニング
安全なパスワードの作り方と管理。長さ優先・使い回し回避をNISTの考え方から解説
複雑さより長さ、そして使い回しの回避。NIST SP 800-63Bの考え方をもとに、覚えやすく破られにくいパスワードの作り方と、現実的な管理方法を入門者向けに噛み砕いて解説します。