Firebase Authentication 7つの落とし穴 - 脆弱性を生むIDaaSの不適切な利用 - Flatt Security Blog

2022/04/19 255 users IDaaS セキュリティエンジニア 落とし穴 脆弱性 本稿

はじめに こんにちは、株式会社 Flatt Security セキュリティエンジニアのぴざきゃっと (@pizzacat83) です。 認証機構を自作せずに導入できる Firebase Authentication は様々なアプリケーションにて利用されていますが、その特性を十分に理解せずに導入すると、実は不具合や脆弱性が生じることがあります。そこで本稿... 続きを読む

AWS 診断を事例としたクラウドセキュリティ。サーバーレス環境の不備や見落としがちな Cognito の穴による危険性 - Flatt Security Blog

2020/11/18 188 users Cognito パプリ セキュリティエンジニア AWS 事例

こんにちは。本ブログに初めて記事を書く、株式会社 Flatt Security セキュリティエンジニアの Azara(@a_zara_n)です。普段は Web やプラットフォームの診断やクラウド周りの調査、Twitter ではご飯の画像を流す仕事をしています。よろしくお願いします。 クラウドサービスが発展し続ける今日この頃、多くの企業がパブリ... 続きを読む

Amazon S3の脆弱な利用によるセキュリティリスクと対策 - Flatt Security Blog

2022/07/26 160 users セキュリティリスク セキュリティエンジニア 森岡 本稿 視点

はじめに こんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。 本稿では、Amazon S3 の脆弱な使い方によるセキュリティリスクと対策を解説し、実際の設定不備などに関する事例についても紹介します。 Flatt Security は専門家の視点でセキュリティリスクを調査するセキュリティ診断を提... 続きを読む

Black Hat USA 2019: 今注目すべき Web セキュリティ関連トピックの解説 - Flatt Security Tech Blog

2019/08/23 41 users Black Hat USA web 解説 米内 以下

はじめに BlackHat USA 2019 株式会社 Flatt Security でセキュリティエンジニアをしている米内(@lmt_swallow)です。私は 2019/8/3 から 2019/8/8 で開催された Black Hat USA 2019 と、続いて開催された DEFCON 27 に参加してきました。本記事では、特に Black Hat USA 2019 で印象的だった以下の 4 つの発表について、... 続きを読む

2年半の専業フリーランスを終えてFlatt Securityに入社します - blog 0x003f

2021/01/05 22 users サイバーセキュリティ事業 副業 継続 個人事業 仕事

専業フリーランスで2年半ほどやってきましたが、元々仕事を受けていたサイバーセキュリティ事業を展開する株式会社Flatt Securityに入社することにしたので、これまでの振り返りとか何故入社しようとおもったのかとか、30歳過ぎた(31歳)Web界隈ITエンジニアの悩みとかを書こうと思います。あと副業として個人事業は継続... 続きを読む

技術ドリブンだった組織に顧客目線のサービス改善を導入する(およびMarkdown版報告書提供開始のお知らせ) - Flatt Security Blog

2022/01/24 21 users 顧客目線 Flatt Security Blog 組織 豊田

こんにちは。Flatt Security執行役員の豊田 @toyojuni です。 今回のブログでは「セキュリティ診断」サービスに関するお知らせに合わせて、Flatt Securityがどのようにお客様の声とサービス改善に向き合っているかを具体的に紹介したいと思います。 Flatt Securityの「セキュリティ診断」サービスでMarkdown版報告書の提... 続きを読む

そのクーポン機能は不正利用を防げる実装ですか？ - Webサービスにおけるクーポン機能の仕様とセキュリティ観点 - Flatt Security Blog

2022/04/06 20 users 実装 セキュリティ観点 仕様 不正利用 WEBサービス

こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上です。セキュリティ・キャンプ卒業後、新卒入社組としてFlatt Securityでセキュリティエンジニアをしています。 本稿では、BtoCのWebサービスにおいてマーケティング施策として頻繁に発行される「クーポンコード」及び「クーポン機能」のセキュリティ観... 続きを読む

JAWS DAYSで150人に聞いた！AWSのセキュリティ課題ランキング - Flatt Security Blog

2024/03/12 17 users AWS JAWS DAYS toyojuni ミッション 背中

こんにちは。Flatt Securityの@toyojuniです。 "エンジニアの背中を預かる" をミッションに、日々プロダクト開発組織のセキュリティを意思決定から技術提供までサポートするべく奮闘しています。 さて、Flatt Securityはこの度3月2日(土)に池袋サンシャインシティにて開催されたJAWS DAYS 2024にPlatinum Supporterとし... 続きを読む

セキュリティ SaaS を「プログラマブル」に再設計した話 ― Shisho Cloud の正式リリースによせて - Flatt Security Blog

2023/08/23 17 users SaaS 米内 プログラマブル ＣＴＯ リソース

はじめに CTO の米内です。Flatt Security は、本日 2023 年 8 月 23 日、テック組織がクラウドのセキュリティを考える際の一歩目を支える SaaS 「Shisho Cloud」（シショウ クラウド） をリリースしました。 Shisho Cloud は、大雑把に言えば 「AWS/Google Cloud 上のリソースの設定がセキュリティ的に良さそうか、改善... 続きを読む

あなたのプロダクトにも脆弱性が!? Flatt Securityが「Firebase」のセキュリティを重要視するワケ | アンドエンジニア

2021/05/06 17 users Firebase ウェブアプリケーション MBaaS わけ

バックエンドの構築を最短化することができることで有名な、GoogleのFirebase。 煩わしいサーバーの構築をスキップし、目的のウェブアプリケーションやモバイルアプリケーションを構築できるmBaaS（mobile Backend as a Service）と呼ばれる類のクラウドプラットフォームです。 しかし、その便利さの陰で見逃されがちな... 続きを読む

動画教育クラウド「tebiki」が実践　脆弱性診断の内製と外部ベンダ利用の両立方法とは？ | Flatt Security

2021/11/16 16 users tebiki 脆弱性診断 実践 内製

この記事についてtebikiさんはスタートアップ企業でありながら今までセキュリティに関してさまざまな取り組みを実施されているといいます。取締役／CTOの渋谷和暁さんに詳しくお話を聞きました image5 Tebiki株式会社（旧：ピナクルズ株式会社）は「現場の未来を動画技術で切り拓く」というビジョンのもと、2018年に創業... 続きを読む

freeeがお試し発注から年間契約締結へ。技術力重視でホワイトボックス診断を実施 | Flatt Security

2021/09/21 15 users freee スモールビジネス ミッション クラウドサ 実施

freee株式会社は2012年、「スモールビジネスに携わるすべての人が、 創造的な活動にフォーカスできるよう」をミッションに設立されました。クラウド型会計ソフト「freee」をはじめ、HRプラットフォームサービス「freee 人事労務」や「freee会社設立」など、スモールビジネスのバックオフィス業務を効率化するクラウドサ... 続きを読む

30分で理解できる、セキュアなWeb開発を「いい感じ」に始める方法（Python編） | Flatt Security

2021/08/02 15 users Python編 セキュリ セキュリティリスク いい感じ 方法

SECURE CODING Dojo #230分で理解できる、セキュアなWeb開発を「いい感じ」に始める方法（Python編） イベント概要プロダクトの抱えるセキュリティリスクを最小限にし、安定したプロダクト提供を実現していくためには、一人ひとりの開発者が高いセキュリティ意識を持っていることが重要です。 しかし、そもそもセキュリ... 続きを読む

Java、Goに続きRuby on Railsに対応。セキュアコーディングのeラーニング「KENRO」がアップデート | Flatt Security

2021/04/26 14 users ケンロー KENRO セキュアコーディング Java 言語

Java、Goに続きRuby on Railsに対応。セキュアコーディングのeラーニング「KENRO」がアップデート 株式会社Flatt Securityは4月26日、Webエンジニアのセキュアコーディング習得を支援するSaaS型eラーニングサービス「KENRO（ケンロー）」において、脆弱性が埋め込まれたソースコードを修正する「堅牢化演習」の対応言語... 続きを読む

CVE-2020-15702の技術的解説 - Flatt Security Blog

2020/09/15 14 users Flatt Security Blog 解説 あくま 志賀

こんにちは。株式会社 Flatt Security セキュリティエンジニアの志賀( @Ga_ryo_ ) です。 本記事では、最近公開されたCVE-2020-15702の技術的な解説をしていきたいと思います。本脆弱性は、自分が発見し、Zero Day Initiativeを経由してベンダーに報告しました。本記事は、脆弱性の危険性を通知する目的ではなく、あくま... 続きを読む

Firebaseを用いた開発には専用のセキュリティ診断を。エン・ジャパン新規事業「ASHIATO」の取り組み | Flatt Security

2021/06/08 13 users ashiato Firebase エージ えん エン転職

Firebaseを用いた開発には専用のセキュリティ診断を。エン・ジャパン新規事業「ASHIATO」の取り組み 株式会社エン・ジャパンは2000年の設立以来、“「人」、そして「企業」の縁を考える”を事業理念に人材総合サービスを提供。日本最大級の転職サイト「エン転職」や入社後の活躍まで支援する転職支援サービス「エン エージ... 続きを読む

もう一度スタートアップをしようと思う　〜Flatt Securityの歩んだ5年とこれから〜 - #FlattSecurityMagazine

2024/02/13 12 users 井手 増資 FlattSecurityMagazine 外貨

Flatt Security 代表取締役CEOの井手です。 今回、Flatt SecurityはGMOインターネットグループから10億円の増資を受けるとともに、既存株主からグループへの株式譲渡が行われることにより、GMOインターネットグループに参画するという決断をしました。これは、Flatt Securityが最速で「外貨を稼げる1兆円企業」となるた... 続きを読む

セキュリティ企業における開発とドッグフーディング - gRPC-web採用プロダクトの脆弱性診断を効率的に行えるようになるまで - Flatt Security Blog

2022/10/11 12 users ドッグフーディング インターン 脆弱性診断 フィードバック

こんにちは、Flatt Securityでインターンをしている@smallkirbyです1。 皆さんは、「ドッグフーディング」という言葉をご存知でしょうか。開発周りでは、書いたコードを開発者側で積極的に利用し、生成されたフィードバックをまた開発に投入していくフローのことを指します。 先日のブログでは、Flatt Securityの脆弱性... 続きを読む

Firebase Security: Firebaseにおけるセキュリティの概要と実践 - Flatt Security Blog

2020/04/10 12 users Firebase セキュリティエンジニア Sz4rny 実践

こんにちは。株式会社 Flatt Security セキュリティエンジニアの梅内(@Sz4rny)です。 本記事では、主にFirebaseの概要やセキュリティルールを用いた堅牢なCloud Firestore環境の構築について説明します。本記事を読むことで、Firebaseに関する基礎知識やデータベースにおけるセキュリティ上の懸念事項について理解すると... 続きを読む

Webサービスにおけるファイルアップロード機能の仕様パターンとセキュリティ観点 - Flatt Security Blog

2022/02/17 11 users セキュリティ観点 Flatt Security Blog

はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上です。セキュリティ・キャンプ卒業後、新卒入社組としてFlatt Securityでセキュリティエンジニアをしています。 本稿では、Webアプリケーション上で実装される「ファイルアップロード機能」の実装パターンをいくつか示し、「開発者が設計をする... 続きを読む

セキュリティに全ての開発者が向き合えるようにする ― Flatt Security がセキュリティプロダクト事業を通して目指すこと - Flatt Security Blog

2021/10/18 11 users セキュリティ セキュリティベンダ 米内 ＣＴＯ 全て

株式会社 Flatt Security 執行役員 CTO の米内です。弊社は「セキュリティの力で信頼をつなげ、クリエイティブな社会を実現する」というミッションの実現に向けてさらなる挑戦をするために、約2億円の資金調達を実施しました（プレスリリースはこちら）。 そうした資金調達の背景には「セキュリティベンダとそのユーザ企... 続きを読む

クラウドネイティブの時代に、脆弱性診断を開発者向けにリデザインする。Flatt Securityプロフェッショナルサービスの展望 - Flatt Security Blog

2021/10/18 11 users クラウドネイティブ 展望 脆弱性診断 時代 イメージ

プロフェッショナルサービス事業部の宮下です。Flatt Securityと聞いて脆弱性診断のイメージを持たれる方も多いのではないでしょうか。その脆弱性診断を提供しているのが当事業部です。 これまで当事業部の活動を紹介することが少なかったこともあり、まず当事業部とこれまでの活動を紹介し、そして当事業部の新たな取り... 続きを読む

東京ガスグループのスミレナがFirebase診断を実施。経産省認定基準への登録と大手にはない専門性を評価　 | Flatt Security

2021/04/15 11 users リフォーム ベンチャー企業 大手 実施 評価

東京ガスグループのスミレナがFirebase診断を実施。経産省認定基準への登録と大手にはない専門性を評価 株式会社スミレナ様は2019年12月に設立された東京ガスグループのベンチャー企業です。リフォームを中心とした暮らし総合サービス事業を展開しており、2020年6月に「暮らしの月額定額制サービス」のサービス提供を開... 続きを読む

サイバーセキュリティ事業のFlatt Securityがセキュアコーディング向けeラーニング「KENRO」正式公開 | TechCrunch Japan

2021/04/13 11 users ケンロー KENRO ウェブエンジニア 正式リリース 正式公開

サイバーセキュリティ事業を展開するFlatt Securityは4月13日、ウェブエンジニアのセキュアコーディング習得を支援するSaaS型eラーニングサービス「KENRO」（ケンロー）を正式リリースした。正式リリースにあわせて、β版時のサービス名「Flatt Security Learning Platform」からKENROに変更した。 また、一部制限された... 続きを読む

Flatt Securityの脆弱性診断において「ソースコード診断を無料付帯する」方針の解説 - Flatt Security Blog

2023/07/07 10 users Flatt Security Blog 脆弱性診断 方針

なにをするのか こんにちは。執行役員兼プロフェッショナルサービス事業 CTOの志賀です。 この度、通常のWebアプリケーション診断の料金でホワイトボックス診断のメリットの多くを享受できるようにサービスを大幅に改良します!! 具体的には、ソースコードをご提供いただける場合において、診断員が選択的に参照すること... 続きを読む