サイバー防災 × コマンドセンター

事故から学び、自分のサイトを守る。

「攻撃の仕方」ではなく「守り方」を、実際に起きた事故から学ぶ。セキュリティに詳しくなくても、今日から手を動かせる防御の知識を。

有名事故・脆弱性を見る対策をはじめる

itd@defense:~ — site-health.shLIVE

>.env exposure[ 防御済み ]
>TLS / cert expiry[ 要注意 ]
>Dependency CVEs[ 重大 ]
>Security headers[ 防御済み ]
>Secret in repo[ 防御済み ]

ONLINE速報LIVE 15 有名事故・脆弱性 35 用語辞典 32 セキュリティ対策防御専用 — 攻撃手順は載せない

特集

AI時代のセキュリティ対策

高性能AIは“放置のコスト”を上げる。いま固めるべき基本を、優先順のチェックリストで。

特集を読む

01 — Sections

何から始める？

目的から入口を選んでください。すべて無料・登録不要。

有名事故・脆弱性

Capital One・Equifax・Log4Shell・Heartbleed・XZ。公開された大きな事故と脆弱性を「原因・影響・初動・再発防止」で分解し、いま効く教訓だけを取り出す。

$ Log4Shell・Heartbleed・Capital One・MOVEit ほか。

セキュリティの歴史

1970年代から現在まで、セキュリティを形づくった主要な事件・脆弱性・マルウェア・防御技術を1本の年表に。各項目は当サイトの詳しい解説へリンクします。

$ 主要事件と技術の移り変わりを1本の年表で。

用語辞典

CVE・CVSS・RCE・SSRF・XSS・SPF/DKIM/DMARC。むずかしい用語を、一行の直答とやさしい解説で。

$ 知らない言葉でつまずかないために。

セキュリティ対策

パスワード・MFA・端末・公共Wi-Fi・サーバー・依存関係・Git・公開環境。今日から手を動かせる「守り方」を、目的別の実務ガイドで。

$ 目的から選ぶ、守り方の実務ガイド。

フレームワーク別セキュリティ

WordPress・Laravel・Next.js・Spring など、使っているフレームワークごとに『既定の危険・よく突かれる弱点・ハードニング手順』をまとめた実践的な防御ガイド。

$ 使っている技術ごとの守り方。

無料ツール

依存パッケージ(OSV)・CVE・セキュリティヘッダ・CSP・JWT・SPF/DKIM/DMARCなどを点検する無料ツール集。診断系のツールはAIへの修正指示プロンプトも生成します。クライアント完結のツールは入力を送信しません。

$ クライアント完結のツールは入力を送信しません。

02 — Field notes

押さえておきたい有名事故・脆弱性

Capital One・Log4Shell・MOVEit など、公開された大きな事故と脆弱性から「自分の守り方」を取り出します。

critical2026-07-18

つるぎ町立半田病院ランサムウェア事件（2021）— VPNの未パッチCVEとバックアップの落とし穴

侵入口は、外部公開のVPN装置の既知脆弱性（CVE-2018-13379）を未パッチで放置し、流出済みの認証情報が使えた点だと有識者会議報告書は指摘している。加えて、短いパスワード・アカウントロックなし・利用者が管理者権限という内部の弱さで横展開が容易だった。決定的だったのは、本番とバックアップが同一ネットワークにあり両方が暗号化されたこと——バックアップが『隔離・オフライン』でなければ、いざというとき復旧の頼りにならない。電子カルテ復旧まで約2か月。あなたの環境では、外部公開VPNの迅速な更新、流出認証情報の失効と使い回し廃止、そして3-2-1＋オフラインのバックアップで守る。

critical2026-07-18

大阪急性期・総合医療センターランサムウェア事件（2022）— 委託先VPNから侵入、医療のBCP

侵入口は病院本体ではなく、給食委託事業者のリモート保守用VPN機器の脆弱性放置と、流出済み認証情報の悪用だったと調査委員会報告書は指摘している。病院と委託先が常時接続していた構成、サーバ/PCで共通のパスワード、全ユーザーへの管理者権限、電子カルテ系のアンチウイルス未導入、ネットワーク分離不足が重なり、被害が電子カルテ全体に波及。外来・手術・救急が制限され、完全復旧まで2か月強を要した。あなたの環境では、委託先の接続を『自分の攻撃面』として扱い、外部公開VPNの更新、認証情報の使い回し廃止、最小権限、分離、そして医療BCP（紙運用と復旧訓練）で守る。

high2026-07-07

7pay 不正利用事件（2019）— 二段階認証なしの決済アプリはなぜ乗っ取られたか

公開翌日にはアカウント乗っ取りが始まり、約808人・約3,862万円の不正利用が発生。核心は認証設計の欠陥で、①二段階認証が無くID＋パスワードだけでログインでき、②パスワード再設定の新パスワードを『登録外のメールアドレス』にも送れたため、断片的な個人情報だけでアカウントを奪えた。あなたの環境では、重要な操作に二段階認証を必須化し、パスワード再設定は登録済みの経路のみに限定し、リスト型攻撃を想定した検知・ロックを備え、公開前に認証フローを第三者レビューして備える。

03 — Our stance

当サイトが大切にしていること

セキュリティ製品だからこそ、自分の足元を堅く。

秘密を預からない

ユーザーのAPIキー実値は保存しません。台帳に持つのはメタデータだけ。漏れようがない設計が一番安全です。

所有確認したものだけ診断

診断は所有を確認済みのドメインのみ。内部IPやメタデータ宛は遮断し、SSRFを機能の土台で防ぎます。

爆発半径を最小に

1つの侵害が全体に波及しない分離設計。当サイト自身も専用環境に隔離して運用しています。

自分自身を点検する

当サイトは自身をCVE監視・依存スキャンの対象にします。発端の事故を、二度と機械が見逃さないように。