概要

自宅PC実習でセキュリティの攻撃と防御を体系的に習得する

想定読者

セキュリティの基礎を体系的に身につけたい Web エンジニアや情シス担当者、または開発現場でセキュリティ診断の予算・時間が取れず自学が必要な実務者

こんな人には向いていない

• Burp Suite や OWASP ZAP を業務で日常的に使っている中〜上級者には基本事項の比重が大きく実践的な深度が不足する
• コンテナ・クラウドネイティブ環境固有の脅威(2015年以降に一般化した領域)を重点的に学びたい読者には対象外となる章が多い
• CTF やペネトレーションテストの実技習得を目的とする読者には演習の難度と幅が不十分

この本で身につくこと

• ネットワーク・Web・サーバーの仕組みと主要な脅威の関係を体系的に説明できる
• SQLインジェクション・XSS・CSRF などWebアプリケーション攻撃の原理と防御策を実習で確認できる
• 暗号技術と認証の仕組みをゼロから理解し、HTTPS・認証設計の判断根拠として使えるようになる
• 自宅PC環境だけで攻撃者視点のシミュレーションと対策の両面を検証するプロセスを身につける
• 章末確認問題で自己チェックし、知識の抜け漏れをセクション単位で把握する習慣を作れる

ハイライト(外部からの言及)

セキュリティで重要なのは、ネットワーク／Web／サーバーの仕組みと、過去の攻撃事例を知ることです。つまり、知識が武器になります。 — 出典

著者の方法論を端的に表した一文で、「理論＋実習」アプローチの根拠となる箇所

システム開発の現場では「安全かどうかの診断を受ける予算がない」「リリース直前に診断を受けたら、システムの大幅な見直しが必要になった」などの問題があることも事実です。 — 出典

本書が想定する読者の課題設定が明確で、購入動機の説明として最も具体的な箇所

章立て

第1章 セキュリティのトレンドを知ろう

2015年時点のトレンドが中心のため、クラウド・コンテナ固有の脅威は別途最新資料で補完するとよい

第2章 インターネットセキュリティの基本を学ぼう

第3章 Webサービスにおける脅威を理解しよう

第4章 ネットワークのセキュリティを学ぼう

第5章 暗号技術と認証って何だろう

他章への依存が少なく独立度が高い。HTTPS・JWT の仕組みを先に押さえたい場合は前倒し読みが有効

第6章 Webアプリケーションのセキュリティを学ぼう

OWASP Top 10 と対照しながら読むと実務への接続が明確になる。本書で最も実務直結度が高い章

第7章 サーバーのセキュリティを学ぼう

関連記事 / 参考情報

• 2019~2021年コーポレートエンジニアとしての学習歴(個人用post) — コーポレートエンジニアとしての学習遍歴を記録した記事。本書をセキュリティ入門書として参照している。

学習のヒント

• Chapter 5(暗号技術・認証)は他章への依存が少ないため、HTTPS や JWT の仕組みが気になる読者は Chapter 2 の直後に前倒しで読むと概念の接続が早い
• Chapter 1 は 2015 年時点のトレンドを扱うため概観として読み流し、最新の脅威動向(Log4Shell・サプライチェーン攻撃等)は JPCERT/CC の公開情報で補完すると学習の鮮度が保てる
• 各章末の確認問題で答え合わせをしてから次章に進む習慣をつけると、実習だけでは気づきにくい概念の抜け漏れを早期に発見できる
• Chapter 6 で学んだWebアプリ脆弱性は、その後に徳丸本(体系的に学ぶ 安全なWebアプリケーションの作り方)を読む際の土台になるため、読んで終わりにせず対比読みを推奨

前提知識

• HTTP/HTTPS の基本的なリクエスト・レスポンスの概念(ブラウザで何が起きているかが分かる程度)
• コマンドライン操作の基礎(ファイル操作・ping・curl 程度)

次に読む本

体系的に学ぶ 安全なWebアプリケーションの作り方(徳丸本)

Chapter 3・6 で触れた Web アプリ脆弱性を、攻撃コード込みで網羅的かつ深く掘り下げる定番書。本書卒業後の最短ルート

暗号技術入門(結城浩)

Chapter 5 の暗号・認証を数学的基礎から再学習したい場合の標準的なステップアップ先。平易な語り口で証明まで踏み込める

ネットワークはなぜつながるのか

Chapter 2・4 の理解をさらに深めたい場合に、TCP/IP スタックを実装視点で追体験できる補完書