見出しになる前に、 修正になりました。

本番の複製を抱えたステージング、古い管理画面、デモのために立てたまま止め忘れたサービス。たいてい資産台帳に載っておらず、そのため他のすべてに適用されている保護の外側に置かれています。

ログイン済みかは確認するのに、そのレコードが本人のものかを確認しない。リクエストが完全に正当に見えるため、自動化ツールが最も見落としやすい欠陥です。

リリースを通すために広めに与えた権限を、後で絞る約束のまま残す。数か月後にもそのままで、しかも自分が持っていると知らない人へ引き継がれています。

露出した環境変数の中の鍵、リポジトリの履歴に残る認証情報、バージョン管理された設定ファイルのトークン。侵入までの最短経路であり、最も塞ぎやすい経路でもあります。

ネットワーク上の位置や共有の秘密情報だけで互いを認証する二つのアプリケーション。守りの薄いほうを取れば、守りの厚いほうも手に入ります。それを食い止めるはずの分離は、検証されていないことがほとんどです。

記録は残り、アラートも上がった——けれど誰も見ないキューに入っていた。技術的には検知済み、実質的には見えていない。その差は、予告なしの演習でしか表に出ません。