株式会社BlueAI は 2026年度 IT導入支援事業者に採択されました 詳しく見る
BlueAI セキュリティ
メニュー

学ぶ

エンジニア向けセキュリティ課程

仕組みを仕様のレベルで説明できること、自分で壊して壊れ方を観察したこと、失敗の事例から構造を取り出せること。この 3 つを訓練する課程です。

要点

  • 構成 5 トラック 31 レッスン、読む時間の目安は合計 約 21 時間です。
  • 公開 レッスン本文はまだ公開していません。最初に公開するのはトラック1 基盤の 6 レッスンです。
  • 方針 ラボはすべて自分の管理下の環境で閉じます。外部のサービスを標的にする課題は作りません。

1 レッスンの進み方

  1. 1問い その仕組みがなかったら何が起きるかを先に考える
  2. 2仕組み 仕様と図で理解する
  3. 3破る ラボで壊し、観測する
  4. 4直す 修正し、攻撃が止まることを確認する
  5. 5説明 自分の言葉で 3 行にまとめる。書けなければ未修了

トラックとレッスン

対象は、エンジニア志望の学生と開発 1〜3 年目、セキュリティを業務で扱い始めたエンジニアです。

トラック1 基盤

暗号、ハッシュ、TLS、認証、ネットワーク。到達点 主要な防御機構を、仕様と失敗例の両方から説明できるようにする。実装を読み、自分で壊して確かめる。 前提 TCP/IP の基礎、Python が読めること

  1. 1-1 脅威モデリング フェーズ1 守る対象を決めずに、守りは設計できない。 データフロー図と信頼境界を引き、STRIDE で脅威を網羅する。リスクを確率と影響に分解し、対策の優先順位を決める。
  2. 1-2 暗号とその失敗 フェーズ1 暗号が保証するのは機密性だけで、しかも正しく使った場合に限る。 AEAD と nonce 再利用の破壊性、ブロック暗号モードの失敗、鍵導出。自作がなぜ危険かを、実際に平文が漏れるところまで確認する。
  3. 1-3 ハッシュ、MAC、署名 フェーズ1 長さ拡張攻撃を知ると、HMAC がなぜ必要なのかが腹に落ちる。 ハッシュの3つの耐性、長さ拡張攻撃、HMAC、MAC と署名の違い、JWT の典型的な破り方を扱う。
  4. 1-4 TLS 1.3 の内部 フェーズ1 鍵マークが守るものと、守らないものを切り分ける。 1-RTT ハンドシェイクを record 単位で追い、HKDF による鍵導出、証明書検証、0-RTT の replay、中間者が成立する条件を扱う。
  5. 1-5 認証プロトコル フェーズ1 パスワード、セッション、トークン、パスキーは、守る範囲が違う。 パスワード保存の実装、タイミング攻撃、セッション固定、JWT の落とし穴、WebAuthn と OIDC の設計を扱う。
  6. 1-6 名前解決と信頼境界 フェーズ1 DNS を制する者は、通信の行き先を制する。 DNS と DNSSEC、DNS リバインディング、経路ハイジャックと RPKI、セグメンテーション、ゼロトラストと mTLS を扱う。

トラック2 Web アプリケーション

インジェクション、ブラウザの境界、認可。到達点 脆弱性を再現し、修正し、回帰テストで固定できるようにする。OWASP Top 10 を実装レベルで理解する。 前提 HTTP、HTML、SQL の基礎

  1. 2-1 SQL インジェクション 準備中 文字列連結が、そのまま任意の SQL になる。 結合の失敗、プレースホルダの効く範囲、盲目的 SQLi と時間差、ORM でも起きる条件、修正と回帰テスト。
  2. 2-2 XSS とブラウザの境界 準備中 エスケープの場所を間違えると、対策は無効になる。 コンテキスト別エスケープ、DOM ベース XSS、Trusted Types、CSP の実効性、Cookie 窃取までの流れ。
  3. 2-3 CSRF と状態変更 準備中 認証済みのブラウザは、攻撃者の指示にも従う。 SameSite の3つの値、トークン検証、Origin 検証、GET で状態を変える設計の危険性。
  4. 2-4 認可の設計 準備中 認証は入口、認可はすべての操作に必要。 IDOR と BOLA、ロールと属性、テナント分離、権限昇格の典型パターン、テストの書き方。
  5. 2-5 SSRF と内部到達 準備中 外部に開いた URL 取得機能は、内部への入口になる。 メタデータサービス、リダイレクト追従、DNS リバインディング、許可リストの作り方と限界。
  6. 2-6 ファイルアップロードとパス 準備中 拡張子の検証は、実行される場所では意味を持たないことがある。 パストラバーサル、Content-Type 偽装、実行可能ディレクトリ、画像処理ライブラリの攻撃面、保存と配信の分離。
  7. 2-7 安全でないデシリアライズ 準備中 信頼できない入力をオブジェクトに戻すと、コードが動く。 言語別の危険な入口、gadget chain の考え方、署名付きデータでも起きる理由、代替設計。
  8. 2-8 セキュリティヘッダと CSP 準備中 CSP は、書き方次第で何も守らない。 CSP のディレクティブ、nonce と hash、report-only からの移行、HSTS と preload、ヘッダが付かない経路の見つけ方。

トラック3 攻撃と検証

偵察、再現、権限昇格、報告。到達点 合法な範囲で侵入を再現し、影響を評価し、意思決定者に伝わる報告に落とす。 前提 Web トラックの完了、Linux の基本操作

  1. 3-1 偵察と攻撃面の列挙 準備中 攻撃面は、自分が把握しているより広い。 サブドメイン、証明書透明性ログ、クラウド資産、委託先。合法な範囲の線引きと記録の残し方。
  2. 3-2 再現と PoC 準備中 再現できない脆弱性は、修正もできない。 最小再現、影響の証明、安全な PoC の書き方、本番で壊さないための統制。
  3. 3-3 権限昇格 準備中 1つのアカウントから、どこまで行けるか。 Linux と Windows の典型、設定ミス、資格情報の探索、コンテナからの脱出。
  4. 3-4 横展開と認証情報 準備中 同じパスワードが2か所にあれば、被害は2倍になる。 パス・ザ・ハッシュ、Kerberos の攻撃、クラウドのトークン、認証情報の使い回しが効く理由。
  5. 3-5 クラウドの攻撃経路 準備中 IAM の1行が、環境全体の境界を決める。 公開ストレージ、メタデータ、ロールの信頼関係、権限の連鎖、検知の盲点。
  6. 3-6 報告とスコープ 準備中 技術的に正しい報告が、意思決定に届くとは限らない。 再現手順、影響、修正案、優先度。委任契約と免責、報告義務の範囲。
  7. 3-7 匿名ネットワークの設計と限界 準備中 Tor が守るのは経路であって、身元ではない。 オニオンルーティングのセル、ガード、v3 オニオンサービスのランデブーを仕様から読み、脅威モデルの外側にある攻撃を扱う。
  8. 3-8 地下経済とリークサイト 準備中 犯行声明は、検証可能な情報として扱う。 リークサイトの構造、信憑性の評価、追跡の方法、法務と証拠保全。実在した摘発事例から運用の失敗を学ぶ。

トラック4 検知と対応

ログ、検知ルール、インシデント対応、フォレンジック。到達点 侵害された前提で、早く気づき、封じ込め、復旧できる運用を作る。 前提 基盤トラックの完了

  1. 4-1 ログ設計 準備中 必要な時に無いログは、最初から無いのと同じ。 何を残すか、どこに集めるか、改ざん防止、保持期間、個人情報との折り合い。
  2. 4-2 検知ルールの設計 準備中 アラートの量は、検知能力ではない。 振る舞いからの検知、誤検知との戦い、Sigma のような可搬な記述、検証と調整の回し方。
  3. 4-3 インシデント対応 準備中 最初の1時間で、被害の大きさが決まる。 検知から封じ込め、根絶、復旧、振り返りまで。連絡体制、証拠保全、対外説明。
  4. 4-4 フォレンジックの基礎 準備中 消えたものではなく、残ったものから復元する。 メモリとディスク、タイムライン作成、クラウドの証跡、証拠の完全性。
  5. 4-5 机上演習 準備中 本番で初めて動く体制は、動かない。 シナリオ設計、役割、判断の記録、改善項目の抽出。演習を1回で終わらせない回し方。

トラック5 設計と制度

セキュア開発、供給網、法務、測定。到達点 技術的な判断を、組織の意思決定と契約に接続する。 前提 全トラックの完了が望ましい

  1. 5-1 セキュア開発 準備中 設計の段階で決まる部分は、実装では取り返せない。 要件、設計レビュー、脅威モデルの組み込み、テスト、リリース判定。
  2. 5-2 供給網のリスク 準備中 自社が安全でも、依存先が破られれば同じこと。 依存関係、ビルドの再現性、署名と SBOM、委託先の評価、インシデント時の連絡。
  3. 5-3 法務と倫理 準備中 技術的に可能なことと、してよいことは違う。 不正アクセス禁止法、委任契約、個人情報保護法、調査の範囲、記録の残し方。
  4. 5-4 測定と改善 準備中 測れないものは、改善できない。 パッチ適用までの時間、検知までの時間、復旧までの時間。数字を意思決定に使う。

このテーマ

トップ

同じテーマのページをまとめて読めます。

次に読む