ゆめさくセキュリティ

セキュリティの学びの場

攻撃の仕組みを知って、守りを自分で組み立てる

攻撃がなぜ通るのかを仕様の深さで追い、自分の PC の中で壊して直し、実際の事件から失敗の型を学びます。用語の暗記では終わらせません。

最初のレッスンを読む 攻撃の種類から探す

1 つのレッスンの進み方

  1. 1

    問い

    その仕組みが無かったら何が起きるかを、先に考えます。

  2. 2

    仕組み

    仕様と図で、どの境目で何が混ざるのかを知ります。

  3. 3

    破る

    自分の PC の中で壊し、壊れ方と記録を観察します。

  4. 4

    直す

    直して、同じ入力で止まることを確かめます。

  5. 5

    説明

    自分の言葉で 3 ⁠行にまとめられたら修了です。

5 つのトラック

トラック 1 読めるレッスンあり

基盤

守りの仕組みを、仕様と失敗の例の両方から説明できるようにします。

レッスン 6 本
トラック 2 読めるレッスンあり

Web アプリケーション

Web の代表的な穴を手元で再現し、直し、試験で戻らないように固めます。

レッスン 8 本
トラック 3 準備中

攻撃と検証

許された範囲で侵入の筋道をたどり、影響を見積もって報告にまとめます。

レッスン 8 本
トラック 4 読めるレッスンあり

検知と対応

破られた前提で、早く気づき、封じ込め、元に戻す運用を作ります。

レッスン 5 本
トラック 5 読めるレッスンあり

設計と制度

技術の判断を、開発の流れ、委託、契約、測り方につなげます。

レッスン 4 本

よく調べられる攻撃

攻撃の種類をすべて見る

SQLi

SQL インジェクション

入力した文字列が SQL の命令として読まれ、ほかの人のデータまで読まれたり書き換えられたりします。

XSS

クロスサイトスクリプティング

画面に出した入力がスクリプトとして動き、利用者のブラウザの中で、その人の権限で操作されます。

SSRF

サーバーを踏み台にした内部への到達

URL を取りに行く機能が悪用され、外からは届かない社内の機械や設定の置き場へ、サーバーが代わりに届いてしまいます。

IDOR

他人のデータに届く認可の漏れ

URL の番号を 1 ⁠つ変えるだけで、ほかの人の注文や書類が見えてしまう穴です。

供給網の攻撃

サプライチェーン攻撃

使っている部品、ビルドの環境、委託先が先に破られ、正規の更新や取引の顔をして入ってきます。

侵入から暗号化まで

ランサムウェアの侵入の流れ

1 ⁠つの入口から入り、権限を広げ、控えごと暗号化して、データの持ち出しと合わせて脅す流れです。

事例から引く

事例をすべて見る

2025年10月19日

アスクル ランサムウェア被害

入口例外的に多要素認証を適用していなかった業務委託先向けの管理者アカウントのIDとパスワードが漏れ、不正に使われた

2025年9月29日

アサヒグループ ランサムウェア被害

入口障害の約10日前に、外部の攻撃者がグループ内の拠点にあるネットワーク機器を経由して侵入した

2024年6月9日

KADOKAWAグループ ランサムウェア被害

入口フィッシングなどで従業員のアカウント情報が盗まれたことが根本原因と推測されている (経路と方法は不明)

ラボの約束

  • ラボは自分の PC の中 (127.0.0.1) だけで閉じます。外のサービスへは何も送りません。
  • 自分が管理していない相手に試すことは、どのレッスンでも扱いません。
  • 壊す手順には、元に戻す手順と、直ったことの確かめ方を必ず添えます。