やられアプリ（別名：やられサーバー、やられサイト）
- 意図的に脆弱性を組み込んだ学習環境 -
サイバーセキュリティを安全に学びたいけど、何から始めればいいか分からない…。そんなあなたにピッタリなのが〝やられアプリ（別名：やられサーバー、やられサイト）〟です！
この記事では、やられアプリの種類や利用目的などを詳しく解説。脆弱性が仕込まれたトレーニング環境で鍛え上げることで、未経験者でもプロフェッショナルへの道が開かれます！
やられアプリ（別名：やられサーバー、やられサイト）とは
やられアプリ（別名：やられサーバー、やられサイト）とは、脆弱性診断やペネトレーションテストの学習で使用される「意図的に脆弱性を持たせたトレーニング環境」のことを指します。これらのアプリケーションは、本番環境では決して許されないセキュリティホールを持っており、セキュリティエンジニアやホワイトハッカーがセキュリティ診断の技術を磨くために使用されます。
現代のサイバー攻撃は非常に高度で多様化しており、防御側がただ理論を学ぶだけでは対応が難しいことが多いです。そこで、やられアプリは実践的なスキルを身につけるための重要なリソースとなります。これらのアプリは、さまざまな種類の脆弱性を意図的に持たせており、例えば、SQLインジェクション、クロスサイトスクリプティング（XSS）など、実際のサイバー攻撃で見られる典型的なセキュリティ問題を再現しています。
やられアプリの種類
やられアプリには、さまざまな種類があり、それぞれ異なるセキュリティ課題やトレーニング目的に応じて設計されています。
Webアプリケーション型
現代のビジネス環境において、Webアプリケーションはサイバー攻撃の脅威にさらされやすい領域であるため、実践的なセキュリティトレーニングの教材として広く利用されています。主な脆弱性として、以下のようなものが含まれます。
- SQLインジェクション ： 悪意のあるSQLクエリを注入し、データベースを操作する。
- クロスサイトスクリプティング（XSS） ： 悪意のあるスクリプトを挿入し、ユーザーのブラウザで実行する。
- ディレクトリトラバーサル ： 許可されていないファイルやディレクトリにアクセスする。
- セッションハイジャック ： ユーザーのセッションIDを盗み、他者としてログインする。
- ファイルインクルード ： 外部またはローカルのファイルをサーバーに読み込ませ、任意のコードを実行する。
サーバー・ネットワーク型
サーバー・ネットワーク型の演習環境は、脆弱なサーバー環境を模倣した形で構築されており、プラットフォーム診断を手を動かしながら学習することができます。学習対象となる主な脆弱性は、以下の通りです。
- 未パッチのソフトウェア ： アップデートされていないソフトウェアには脆弱性が存在し、外部からの侵入経路となる。
- 脆弱なネットワーク設定 ： 不適切なファイアウォールルールや暗号化が行われていない通信が狙われる。
- 弱いパスワード ： 推測されやすいパスワードにより、ブルートフォース攻撃が成功する可能性が高まる。
- 不適切なファイル権限 ： 重要なファイルに対して適切なアクセス権限が設定されていない場合、第三者がファイルにアクセスしやすくなる。
- サービス拒否(DoS)攻撃 ： 大量のリクエストを送信し、システムリソースを逼迫させることで、サービスを停止または遅延させる。
やられアプリとハニーポットの違い
やられアプリとハニーポットは、どちらもサイバーセキュリティの分野で重要な役割を果たしますが、その目的や設計思想には明確な違いがあります。
まず、〝やられアプリ〟は、ペネトレーションテストやセキュリティトレーニングに使用される「意図的に脆弱性を持たせた検証環境」です。これにより、セキュリティエンジニアやホワイトハッカーが実際に脆弱性を突いたセキュリティ診断を行い、その結果を分析することが可能です。やられアプリは、セキュリティ学習者にとって、セキュリティ診断のスキルを修得するための「安全な学習環境」として機能します。
一方、〝ハニーポット〟は主に防御側の視点から設計されたものです。ハニーポットは「攻撃者をおびき寄せるために設置された偽のシステムやサービス」であり、現実の攻撃者がどのようにシステムを侵害しようとするかを観察し、記録することを目的としています。ハニーポットに対して攻撃者が実際に攻撃を仕掛けた際、その手法や攻撃経路を詳細に分析することができるため、リアルタイムの脅威インテリジェンスを収集するツールとして使われます。ハニーポットを通じて攻撃の動向を把握することは、より効果的なセキュリティ対策を講じるための貴重な情報源となります。
| やられアプリ | セキュリティ診断を学習するためのトレーニング環境。 |
|---|---|
| ハニーポット | 実際のサイバー攻撃を分析するためのツール。攻撃者の行動を観察し、分析するために使用される。 |
このように、両者はセキュリティにおける異なる側面を強調しており、それぞれがサイバーセキュリティの異なる課題に対処するための補完的な役割を果たしています。
やられアプリの利用目的
脆弱性診断やペネトレーションテストの学習
実際の攻撃者と同様のアプローチでシステムへの侵入を試み、潜在的な脆弱性を特定するペネトレーションテストは、サイバーセキュリティ分野における重要な技術の一つです。しかし、学習や訓練の過程で本番環境や実際の企業システムを使用すると、システム停止やデータ破壊などの重大なリスクを伴います。そこで、〝やられアプリ〟と呼ばれる意図的に脆弱性が仕込まれたトレーニング環境を利用します。
やられアプリを利用することで、テスターは攻撃シナリオの構築から実行、結果分析までの一連のプロセスを経験できます。これは、サイバー攻撃への実践的な対応力を身につける上で非常に有効です。
セキュリティ診断ツールの評価・検証
ネットワークやシステムに潜むセキュリティリスクを可視化し、対策を講じるには、精度の高いセキュリティ診断ツールが欠かせません。しかし、実際の本番環境でこれらのツールを導入して評価することは、システムの可用性や情報資産の保護に影響を及ぼす可能性があります。ここでやられアプリが非常に有効な手段となります。
やられアプリは意図的に脆弱性を持たせた環境であるため、診断ツールがどのように脆弱性を検出し、その結果をどのように報告するかをリアルにテストすることができます。この環境を利用することで、ツールの検出精度や効率性、さらには誤検知が発生する可能性についても詳細に確認することができます。
代表的なやられアプリ
プラットフォーム診断向け
| アプリ名 | 技術スタック | 主な特徴 |
|---|---|---|
| Metasploitable2 | 仮想マシン（Linux + OSサービス） | OSレベルで多数の脆弱なサービスが稼働。 ペネトレーションテストのフレームワーク「Metasploit」の練習用として定番。 |
| DC-1 | 仮想マシン（Linux + Drupal + OSサービス） | CTF形式でペネトレーションテストを体験できる。 学習の流れ：Webアプリ経由で侵入 → 権限昇格 → フラッグ奪取 |
Webアプリケーション診断向け
| アプリ名 | 技術スタック | 主な特徴 |
|---|---|---|
| OWASP BWA (Broken Web Applications) | 仮想マシン（Ubuntuベース） に複数の脆弱なWebアプリを搭載 | 30以上の脆弱なWebアプリケーションをプリインストールした仮想マシン。 様々な技術スタックと脆弱性を網羅的に学習できる。 手軽に「色々試したい」人向け。 |
| DVWA（Damn Vulnerable Web Application） | Webアプリ（PHP + MySQL） | PHPベースで動作する脆弱なWebアプリケーション。 脆弱性の難易度を4段階で切り替えられるため、段階的な学習が可能。 |
| OWASP Juice Shop | Webアプリ（Node.js + Express + Angular） | 実際のECサイト風のUI。 モダンな技術スタック（JavaScriptフレームワーク）を使用したWebセキュリティの学習環境。 ゲーム形式で脆弱性を見つけ、スコアボードで進捗管理が可能。 |
| OWASP WebGoat | Webアプリ（Java + Spring Boot） | エンタープライズ系Webアプリケーションに近い実装方式を採用。 OWASP Top 10に焦点を当て、チュートリアル形式「解説＋課題」で学習できる。 |
また、VulnHubでは700以上のやられアプリが「仮想マシン形式」で公開されています。
やられアプリを使った学習の流れ
やられアプリを使った学習プロセスは、セキュリティ診断ツールの使い方を理解し、サイバーセキュリティの実践的な知識とスキルを身につける上で非常に効果的です。
やられアプリの環境構築
まず最初に、やられアプリの環境を構築する必要があります。これは、ローカル環境や仮想マシン上にやられアプリをインストールすることが一般的です。サーバーの設定やネットワークの構成など、現実のシステムに近い環境を再現することが重要です。
攻撃シナリオの作成
次に、攻撃シナリオを作成します。このステップでは、学習者が実際に行う攻撃の種類や目的を明確に定義します。例えば、SQLインジェクションやクロスサイトスクリプティング（XSS）など、一般的な脆弱性攻撃を想定して攻撃の流れを設計します。
攻撃実行
攻撃シナリオが整ったら、実際に攻撃を実行します。これは、ペネトレーションテストの本番と同様のプロセスであり、実際に脆弱性を突くためのスキルを磨く重要なステップです。MetasploitやBurp Suiteのようなツールを活用し、手動および自動の攻撃方法を試します。
ログ分析
攻撃を実行後、システムのログを分析します。ログ分析は、攻撃の痕跡や侵入経路を明らかにするために重要な作業です。攻撃が成功した際に、どのリクエストやレスポンスが問題となったのか、サーバー側でどのようなエラーや異常が発生したのかを確認します。ログの情報から、攻撃の全容やその影響範囲を理解することができ、脆弱性の特定にも役立ちます。
発見された脆弱性の対策
最後に、発見された脆弱性に対する対策を行います。ここでは、単に脆弱性を見つけただけで終わるのではなく、どのようにその脆弱性を修正し、再発を防ぐかを検討します。例えば、SQLインジェクションの場合、パラメータのサニタイズやプリペアドステートメントが有効な対策となります。
やられアプリは安全なトレーニング環境
やられアプリの最大のメリットは、法的リスクを回避しながら脆弱性診断やペネトレーションテストの学習を行える点です。セキュリティエンジニアやホワイトハッカーが、実際のシステムやネットワークに対してセキュリティ診断を行う場合、その行為が意図せずに違法となるリスクが存在します。
例えば、許可を得ずに他人のシステムに対してセキュリティ診断を行うことは、たとえ学習目的であっても法律に抵触し、重大な法的リスクを招く可能性があります。
やられアプリは、学習専用の環境内で動作するため、実際のシステムやネットワークに対して攻撃することはありません。そのため、学習者は完全に制御された環境内でトレーニングを行うことができ、安心してセキュリティの実践的スキルを学習することができます。