Web セキュリティ実践

このロードマップは、Web アプリの開発・レビューに関わるエンジニアやセキュリティ担当者を対象に、日常的な脆弱性への対処力を底上げすることを目的としています。学び終えたときには、OWASP Top 10 の代表的脆弱性を攻撃と防御の両面から理解し、設計・実装・レビュー・運用の各段階でセキュリティを織り込める状態を目指します。

学習ステップ

1. Web の仕組みと脅威モデル: HTTP、Cookie、Session、SOP / CORS といった前提と、信頼境界の考え方を整理します。 2. インジェクション系: SQL インジェクション、OS コマンド、テンプレートインジェクションの仕組みと、プリペアドステートメントやエスケープ戦略を学びます。 3. XSS / CSRF / SSRF: クライアント側攻撃の代表例と、CSP、SameSite Cookie、同一オリジンチェック、URL バリデーションによる防御を身につけます。 4. 認証と認可の事故パターン: 認可抜け、IDOR、セッション固定、MFA バイパスなど、よくある実装ミスを知ります。 5. 依存・設定・秘密情報: サプライチェーン、誤設定された S3 / コンテナ、秘密情報管理、セキュリティヘッダを整えます。 6. テストと運用: 脆弱性診断、静的 / 動的解析、バグバウンティ、インシデントレスポンス、継続的な脆弱性対応フローを組みます。

注意点と周辺知識

Web セキュリティは「一度直せば終わり」ではなく、フレームワーク更新や新機能追加のたびに再発のリスクがあります。特にログイン・決済・権限周りは、仕様書通りでも攻撃者視点で見直さないと穴が残りがちです。攻撃手法を学ぶ際は、許可された環境(CTF や自分の検証環境)のみで行うことも強く意識する必要があります。周辺では、暗号・TLS の基礎、認証/認可プロトコル、Web アプリフレームワークの仕組み、ネットワークとインフラ、ログ/監視、脅威モデリング、関連法令とガイドラインを並行して押さえておくと、判断の軸が安定します。