攻撃の全体像：侵入から目的達成までの流れ
この教材でわかること：Webサイトへの攻撃は、1回の操作で完結するのではなく、いくつかの段階を踏んで進むのが一般的です。このシリーズでここまで紹介してきた個別の手口が、その流れのどこに位置づけられるのかを整理します。
このシリーズ「攻撃者の視点を知る」では、「Webサイトが攻撃される仕組み」から始めて、SQLインジェクション・XSS・ブルートフォース攻撃・クレデンシャルスタッフィング・中間者攻撃（MITM）・DDoS攻撃・ランサムウェアという個別の手口を1つずつ見てきました。この最後の教材では、それぞれの手口を思い出しながら、実際の攻撃が「一連の流れ」としてどのように進むのかを整理します。目的は攻撃の「やり方」を知ることではなく、全体像を理解して、どこで・何を守ればよいかを判断できるようになることです。実際に攻撃を試すための情報は含みません。
攻撃は一度に起きるのではなく、段階を踏んで進む
空き巣（住居を狙う泥棒）が、ある家に実際に押し入るまでの流れを想像してください。いきなり玄関のドアを破るわけではなく、まず近所を歩いて「留守が多そうな家」「鍵が古そうな家」を見つけ、入りやすそうな場所（裏口や窓）を探し、実際に入り込み、入った後に金品を物色し、最後に目的のものを持ち去ります。Webサイトへの攻撃も、これと似た流れをたどることが多いとされています。
段階ごとの流れと、このシリーズで紹介した手口
1. 偵察・情報収集
攻撃者は、まず標的となるサイトについて情報を集めます。どんなCMSやプラグインを使っているか、管理画面がどこにあるか、といった情報です。これは、空き巣が近所を歩いて「留守が多そうな家」を探す段階に近いものです。
2. 最初の侵入口を探す
次に、見つけた情報をもとに、実際に入り込める弱点を探します。SQLインジェクションやXSSは、入力欄の扱いの弱さを突いて侵入口を作る手口の一つです。
3. 侵入（ログインの乗っ取りなど）
入力欄の弱点だけでなく、ログインそのものを乗っ取ることでも侵入は成立します。ブルートフォース攻撃やクレデンシャルスタッフィングは、この「ログインを乗っ取って侵入する」段階の手口です。
4. 侵入後に何をするか
侵入しただけでは、攻撃者にとって「目的」はまだ達成されていません。侵入後、サイトの中身を書き換えたり、保存されているデータを探し回ったりします。ランサムウェアのように、侵入後にファイルを暗号化して使えなくするところまで進む手口もあります。これは、空き巣が家に入った後、金品を物色する段階に近いものです。
5. 目的の実行
最後に、情報を持ち出す、サイトの内容を書き換えて公開する、金銭を要求する、といった形で目的が実行されます。ここまで到達すると、被害が実際に外から見える形になります。
なぜこの全体像が大切か
個別の手口を1つずつ防ぐことも大切ですが、「どの段階で止められるか」という視点を持つと、対策の組み合わせ方が見えてきます。たとえば、偵察・情報収集の段階で手がかりを減らし（不要な情報を公開しない）、侵入口を探される段階で弱点をなくし（更新を止めない）、侵入されても被害を広げない（権限を絞る、バックアップを取る）というように、1つの対策が崩れても次の段階で被害を抑えられる状態を目指すことが重要です。
このシリーズを読み終えたら
このシリーズでは、サイトが狙われる理由から、入力欄・ログイン・通信・サービス停止・ランサムウェアまで、代表的な手口を一通り紹介しました。1つの対策だけに頼らず、複数の段階でそれぞれ備えておくことが、小さな会社のサイトを守るための現実的な考え方です。最初の教材「Webサイトが攻撃される仕組み」から読み直すと、全体のつながりがより整理できます。
参考にした公開情報
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。特定の手口の実行方法を説明するものではありません。