ゆめさくセキュリティ

セキュリティの学びの場

攻撃の仕組みを知って、守りを自分で組み立てる

攻撃がなぜ通るのかを仕様の深さで追い、自分の PC の中で壊して直し、実際の事件から失敗の型を学びます。用語の暗記では終わらせません。

最初のレッスンを読む攻撃の種類から探す

このサイトが向いている人

向いている人

エンジニアを目指して学んでいる人
開発の仕事に就いて 1〜3 年目の人
仕事でセキュリティを扱い始めた人
診断や運用に進みたいが、用語の暗記で止まっている人

先に分かっているとよいこと

HTTP と TCP/IP の基礎
HTML、SQL、Python が読めること
Linux の基本の操作
ラボを動かすときは Docker を起動できる PC

足りなくても、仕組みの説明は読めます。

他人のサービスを攻撃する方法を探している人には向きません。このサイトは、自分の PC の中で壊して直す練習の場です。

ハッキングを合法に学ぶ道筋を読む

1 つのレッスンの進み方

1
問い

その仕組みが無かったら何が起きるかを、先に考えます。
2
仕組み

仕様と図で、どの境目で何が混ざるのかを知ります。
3
破る

自分の PC の中で壊し、壊れ方と記録を観察します。
4
直す

直して、同じ入力で止まることを確かめます。
5
説明

自分の言葉で 3 行にまとめられたら修了です。

5 つのトラック

石 1 つがレッスン 1 本です。読んだ石は緑に変わり、薄い石は準備中です。

トラック 1 読めるレッスンあり

基盤

守りの仕組みを、仕様と失敗の例の両方から説明できるようにします。

レッスン 6 本

トラック 2 読めるレッスンあり

Web アプリケーション

Web の代表的な穴を手元で再現し、直し、試験で戻らないように固めます。

レッスン 8 本

トラック 3 準備中

攻撃と検証

許された範囲で侵入の筋道をたどり、影響を見積もって報告にまとめます。

レッスン 8 本

トラック 4 読めるレッスンあり

検知と対応

破られた前提で、早く気づき、封じ込め、元に戻す運用を作ります。

レッスン 5 本

トラック 5 読めるレッスンあり

設計と制度

技術の判断を、開発の流れ、委託、契約、測り方につなげます。

レッスン 4 本

よく調べられる攻撃

攻撃の種類をすべて見る

SQLi

SQL インジェクション

入力した文字列が SQL の命令として読まれ、ほかの人のデータまで読まれたり書き換えられたりします。

XSS

クロスサイトスクリプティング

画面に出した入力がスクリプトとして動き、利用者のブラウザの中で、その人の権限で操作されます。

SSRF

サーバーを踏み台にした内部への到達

URL を取りに行く機能が悪用され、外からは届かない社内の機械や設定の置き場へ、サーバーが代わりに届いてしまいます。

IDOR

他人のデータに届く認可の漏れ

URL の番号を 1 つ変えるだけで、ほかの人の注文や書類が見えてしまう穴です。

供給網の攻撃

サプライチェーン攻撃

使っている部品、ビルドの環境、委託先が先に破られ、正規の更新や取引の顔をして入ってきます。

侵入から暗号化まで

ランサムウェアの侵入の流れ

1 つの入口から入り、権限を広げ、控えごと暗号化して、データの持ち出しと合わせて脅す流れです。

事例から引く

事例をすべて見る

2025年10月19日

アスクルランサムウェア被害

入口例外的に多要素認証を適用していなかった業務委託先向けの管理者アカウントのIDとパスワードが何らかの方法で漏れ、不正に使われた

2025年9月29日

アサヒグループランサムウェア被害

入口外部の攻撃者が、グループ内拠点にあるネットワーク機器を経由して内部ネットワークに侵入した (具体的な侵入の日時や経路の詳細は特定されていない)

2024年7月19日

CrowdStrike センサー更新配布障害

入口検証をすり抜けた設定ファイルの配布で世界中のWindowsが一斉に止まった

ラボの約束

ラボは自分の PC の中 (127.0.0.1) だけで閉じます。外のサービスへは何も送りません。
自分が管理していない相手に試すことは、どのレッスンでも扱いません。
壊す手順には、元に戻す手順と、直ったことの確かめ方を必ず添えます。