tag
クラウド
このタグの記事 3 件
2026-09-05
サブドメイン乗っ取り（dangling DNS）— 自分のサーバーを一切触られずに、自社ドメインが敵の手に渡る
クラウド資源を消してDNSレコードを消し忘れると『dangling DNS』になり、第三者が同じFQDNの資源を作るだけでそのサブドメインを乗っ取れる。自社サーバーは無傷のまま、正規のサブドメインが敵のコンテンツを配る。怖いのは見た目だけではない——多くのWebアプリはセッションCookieをワイルドカードでサブドメインに晒しており、乗っ取られた側から読める。しかも公式ドキュメントは『証明書が守ってくれるという誤解』を名指しで否定している。対策は削除の順番を仕組みにすること。
2026-06-07
Capital One 情報漏えい事件（2019）— SSRFから1億人分が漏れた原因と防御
入口はたった1つのSSRF。そこからメタデータ提供先→過剰権限のIAM一時鍵→S3一括コピーへと連鎖し、約1億600万人分が漏えい。各ホップで止められた。あなたの環境ではIMDSv2・IAM最小権限・送信先の許可リストで再発防止する。
2026-06-07
SSRF（サーバーサイドリクエストフォージェリ）とは
SSRFは、外部入力のURLを使ってサーバーに内部リソース（内部IPやクラウドメタデータ）を叩かせる攻撃。URLを取りに行く機能を作るなら、宛先の許可リスト・内部遮断・リダイレクト/DNS再解決の抜け道塞ぎが必須。Capital One事故の入口でもあった。