「Web サイトのバックアップ漏えい調査」は、初心者向けの実践的な Web セキュリティコースです。Northstar の当番エンジニアとして、Nginx のアクセスログから不審なダウンロードを追跡し、サポートサイトを停止させずに社内用アーカイブを保護します。
このコースは、ガイド付きラボ 1 本とチャレンジ 1 本で構成されています。ガイド付きラボでは、3 つのステップで調査から修正まで進めます。チャレンジでは、ディレクトリ構成とファイル名が異なる別のポータルサイトで、同じ手法を自力で実践します。
学習内容
このコースを修了すると、次のことができるようになります。
- Web アクセスログの主要なフィールドを読み、ファイルのダウンロードが成功したリクエストを見つける。
curlとtarを使って、Web サイトが実際に公開している内容を調べる。- リクエスト URL とサーバーの公開ディレクトリ（Web ルート）の対応を理解する。
- 社内データを公開ディレクトリの外に保管する。
- 社内用ファイルのダウンロードが遮断され、公開ページと許可されたダウンロードは引き続き利用できることを確認する。
このコースの対象者
Web サイトでの具体的なファイル公開問題を調査・修正してみたいセキュリティ初心者、開発者、システム管理者を目指す方を対象としています。
前提知識： コマンドの入力やファイルパスの読み取りなど、基本的なターミナル操作に慣れていること。Nginx の管理、ペネトレーションテスト、プログラミングの経験は不要です。課題で使う HTTP、ログ、アーカイブの概念はコース内で説明します。
学習環境： ブラウザーで利用できる設定済みの Linux 環境です。Workstation と Web Server の 2 つのターミナル、および Topology ビューを用意しています。Web サイト、サンプルデータ、リクエスト履歴は準備済みで、ローカルへのインストールは不要です。
よくある質問
Web サーバーを自分で構築する必要がありますか？
いいえ。ラボ開始時には Web サイトと両方のターミナルが利用できる状態になっています。調査と修正に集中できます。
アプリケーションのコードを書く必要がありますか？
いいえ。ターミナルのツールでリクエストの調査、設定の確認、ファイルの移動、結果の検証を行います。
チャレンジはガイド付きラボとどのようにつながっていますか？
同じツールと修正方法を、サイト構成とアーカイブ名が異なる環境で使います。どのダウンロードが社内用データなのかを判断し、手順の案内なしで修正します。行き詰まった場合は、解説付きの完全な解答を参照できます。
