セキュリティ診断から監査証跡まで、 SPHIORが毎月引き受けます。

認証済 user 4.2 万件規模の情報漏洩可能性 (observed scope)。GDPR 通知義務 trigger 可能性、SOC 2 CC6.1 補助証跡品質に重大影響。

認証済 user 経由で攻撃成立、reconnaissance 後の payload 構築は技術的に易しい。active DAST scan で容易に検出、scripting 知識も限定的で OK。

本月新規検出。Critical class、本 quarter 中のご対応推奨。WAF emergency rule で暫定 mitigation 可能、attacker reconnaissance preemptive 必要。

/api/search の SQL クエリを prepared statement に書き換え、user input と SQL syntax を分離。本 quarter 中のご対応推奨、改修期間は WAF rule で並行 mitigation。

Implementation hintExpress + pg: `client.query('SELECT … WHERE q = $1', [userInput])` / Python + psycopg2: `cur.execute('SELECT … WHERE q = %s', (userInput,))`

SQL pattern (UNION / SELECT / -- / ; 等) を含む payload を block する WAF rule を全 endpoint に適用。改修完了まで暫定 mitigation、SOC 連携体制と組合せ運用。

Implementation hintWAF managed ruleset OWASP CRS (sql-injection) temporary enable / WAF: AWSManagedRulesSQLiRuleSet high-priority adoption

改修後 Sphior re-scan で fix 検証 + 同 payload pattern に対する 400 応答を確認。確認結果は SOC 2 補助証跡として tamper-evident snapshot (SHA-256 anchored) 化、次回月次レポートに反映。

Implementation hintSphior dashboard の Re-scan now ボタン (5 分以内に scan 完了 + 結果反映)

認証済 user の不正取引 trigger 可能性、財務直結 endpoint。SOC 2 CC6.6 補助証跡品質 + Processing Integrity (PI1.1) に重大影響。

state-changing endpoint 限定だが、phishing 経由で認証済 user の browsing 中に attacker site への redirect で攻撃成立、技術的に straightforward。

認証 user の victim 必要だが phishing で取得容易。本 quarter 中のご対応推奨、middleware 適用で即時 mitigation 可能。

状態変更系 endpoint (POST / PUT / DELETE) 12 件に CSRF token middleware を install + 適用。token 欠落 / mismatch 時は 403 応答で reject。本 quarter 中のご対応推奨。

Implementation hintExpress: csurf package / Django: built-in {% csrf_token %} / Rails: protect_from_forgery

session cookie に SameSite=Strict を設定し、cross-site request での cookie 送信を即時制限。HttpOnly + Secure も併せて適用、middleware 改修期間中の暫定対策。

Implementation hintSet-Cookie: session=…; Secure; HttpOnly; SameSite=Strict (全 endpoint で統一)

状態変更系 endpoint への automated CSRF test を CI に組み込み、token 欠落 / mismatch 時の 403 応答を verify。Sphior re-scan で全 endpoint の adoption を確認。

Implementation hintSphior Code Scanner の CI integration から missing CSRF test を継続検出可能

session cookie 窃取 (HttpOnly 未設定組合せ)、phishing 連鎖、admin パネル session hijacking の可能性。

URL 経由で trivial、craft 済 URL を click させるだけで攻撃成立。公開 search 機能のため reconnaissance 不要、攻撃 surface 広い。

公開面 endpoint で攻撃 surface 広い、early detection 後の rapid response 推奨。output encoding + CSP で根本対応可能。

search query 表示部分を HTML escape (< / > / & / " 形式) で出力、template engine の auto-escape を全 view で再有効化。本 quarter 中のご対応推奨。

Implementation hintReact: JSX auto-escape default / Vue: {{ }} auto-escape / Django: {% autoescape on %}

inline script を禁止する CSP policy (script-src 'self' 等) を全 response に追加、unsafe-inline を完全排除。X-XSS-Protection ヘッダは廃止 + CSP に移行。

Implementation hintCloudflare Workers / Nginx config / Express helmet middleware で全 endpoint 適用

session cookie に HttpOnly + SameSite=Strict を必須化、JS からの cookie 取得を防止し XSS による cookie 窃取の影響を最小化。Sphior re-scan で adoption 全件確認。

Implementation hintSet-Cookie: session=…; HttpOnly; Secure; SameSite=Strict (全 endpoint で統一)