セキュリティの勉強になるサイト138選(2026年版)

セキュリティを独学するときに役立つサイトを、Webアプリ・クラウド・CTF・マルウェア解析・資格まで分野ごとにまとめました。ほとんどが無料で、ブラウザだけ、あるいはDockerで自分のマシンに立てればすぐ試せます。

全部で138本。リンクはすべて2026年7月17日に到達を確認しています。上から順に読む必要はないので、いま学びたい分野の見出しへ飛んでください。

ここもいいよ、というものがあればぜひコメントで教えてください。

この記事で紹介する攻撃手法やツールは、自分が管理する環境か、攻撃が明示的に許可された環境でだけ試してください。許可のないシステムへの攻撃は不正アクセス禁止法違反です。バグバウンティも、各プログラムが定めたスコープの中でのみ許可されています。

まず日本語で読む(IPA / JPCERT/CC / NISC)

• 安全なウェブサイトの作り方(IPA)
  日本語のWebセキュリティ文書の共通言語になっている資料。11種の脆弱性を根本的解決と保険的対策の2層に分けて書いてあり、2層の切り分けはそのままレビュー基準に流用できる。巻末の実装チェックリストにはExcel版もある。
• Web開発者はもっと「安全なウェブサイトの作り方」を読むべき(GMO Flatt Security)
  上の資料の読み方ガイド。クラウド固有の話・SPA・GraphQLを扱っていないという限界も正直に列挙しているので、併せて読むと過信を避けやすい。
• 情報セキュリティ10大脅威 2026(IPA)
  2026年版では「AIの利用をめぐるサイバーリスク」が初選出で組織編3位に入り、社内啓発用の解説書とスライドがそのまま流用できる形で配られている。
• 安全なSQLの呼び出し方(IPA)
  静的プレースホルダと動的プレースホルダの違いを正面から扱った数少ない日本語資料。付録で扱う文字エンコーディング起因のSQLインジェクションは、原因の見えない事故を追う場面で読み返すことになる。
• セキュアコーディング(JPCERT/CC)
  SEI CERTのコーディングスタンダード(Java / C)の日本語版。言語仕様レベルの落とし穴を潰したいなら、日本語で読めるのはここ。
• インターネットの安全・安心ハンドブック(NISC)
  全193頁が無料。全体版・一般利用者向け抜粋版・中小企業等向け抜粋版の3種があり、社内で配る相手に応じて選べる。
• 国民のためのサイバーセキュリティサイト(総務省)
  非エンジニアに説明するときの参照先。読者別に入口が分かれている。
• ウェブサイトのセキュリティ(MDN・日本語)
  XSS・SQLインジェクション・CSRF・クリックジャッキングを、ブラウザーからのデータを決して信用しないという1本の原則で貫いて短く説明する。まず1本読むならここから。

Webアプリの脆弱性

• OWASP Top 10
  2025年版が最新。A03にソフトウェアサプライチェーンの失敗、A10に例外処理の誤りが新設され、2021年版のA10だったSSRFはA01に吸収された。
• OWASP Top 10 2021 日本語版
  全10カテゴリの完全な日本語訳。ただし1世代前。2025年版の日本語版はカテゴリ名などの部分訳のみで、本文は英語のままなので、日本語で概念を掴んでから差分を英語で追う形になる。
• OWASP Cheat Sheet Series
  130本超の実装別チートシート。Top 10が何が危ないかを教える資料なら、Cheat Sheetはどう書くかを教える資料。通読するものではなく、実装中に必要な1本だけ開いて使う。
• OWASP ASVS
  どこまで検証したかをレベル別要件で定義する検証標準。v5.0.0が2025年5月リリース。発注側と受注側で要件を握るときの共通語になる。
• OWASP WSTG
  ペンテストの手順書。各テストにWSTG-<カテゴリ>-<番号>のIDが振られ、報告書で参照できる。安定版4.2は2020年12月のまま。
• OWASP API Security Top 10
  API固有のリスク10選。BOLAを1位に据えるなどWeb版とは別の並び。最新は2023年版。
• Web Security(MDN・日本語)
  ブラウザ側の防御機構の一次情報。CSPやCORSで詰まったときに引く。日本語版は機械翻訳ではなくきちんと訳されている。
• HackTricks
  攻撃手法の巨大な逆引きWiki。目の前の脆弱性に対して次の一手が思いつかなくなったら開く。
• PayloadsAllTheThings
  70超のカテゴリ別にペイロードとバイパス手法を集めたリポジトリ。Burp Intruder用のワードリスト付き。
• 徳丸浩の日記
  ISO-2022-JPやUTF-7を悪用したXSSなど、日本語圏でしか出てこない文字コード起因の脆弱性をPoC付きで扱う。最新記事は2025年1月で更新は止まりぎみだが、過去記事は今も現役。
• SPAセキュリティ超入門(徳丸浩・ドクセル)
  セッションIDをCookieに置くかlocalStorageに置くかJWTか、というトークンの持ち方の問題を扱う。IPA資料が手当てしていないSPA領域を埋める。

ブラウザだけで試せる脆弱性の学習サイト

環境構築なしで攻撃を1回通すところまで行けるもの。

• PortSwigger Web Security Academy
  Burp Suite開発元による無料ラボで、全ラボが無料と明記されている。SQLインジェクション16、XSS 30に加え、Web LLM攻撃やAPIテストのラボもあり内容が古びていない。無料でここまで揃う教材を私は他に知らない。
• XSS game(Google)
  XSSだけに絞ったブラウザ完結の演習。各レベルにヒントとソース閲覧が付く。XSSを1回自分の手で通してみる最初の場所として使える。
• Gruyere(Google)
  Python製の脆弱アプリとコードラボ。ソース無しとソース有りの両方の攻め方を学ばせる構成。2017年の教材だが/startで自分専用インスタンスが払い出され、今も動く。
• OverTheWire: Natas
  サーバサイドWebセキュリティに特化したWargame。SSH不要でブラウザだけで進む。CTFの前段として敷居が低い。
• Hacker101
  HackerOneが運営する無料講座とCTF。フラグを取るとHackerOneのプライベートプログラム招待につながる導線があり、学習から実際のバグバウンティへの橋がある。
• Kontra OWASP Top 10
  実際の事件を題材にした体験型教材。コマンドを叩かずブラウザで完結するので、開発環境を作らせられない相手の研修でも回る。無料だが要ビジネスメール。

やられサイトをDockerで立てる

やられサイトとは、学習用にわざと脆弱性を残してあるWebアプリケーションです。やられアプリとも呼ばれます。自分のマシンで動かせば、攻撃して構わない環境が作れます。

• OWASP Juice Shop
  Node.js製の脆弱なECサイト。113個のチャレンジがあり、うち33個は脆弱なソースを見つけて直すコーディング課題。攻撃だけでなく修正まで扱えるのが他と違う点。公式攻略本Pwning OWASP Juice Shopも無料。

# 127.0.0.1 に限定して起動する(外部に公開しない)
docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shop

• OWASP WebGoat
  Java製の教材アプリ。同梱のWebWolfが攻撃者側マシンを担い、防御側と攻撃側の役割を分けて演習できる。
• DVWA
  PHP製の老舗。Low / Medium / High / Impossibleの難易度切替があり、同じ脆弱性が防御を足すとどう塞がっていくかを同じ画面で見比べられる。最新リリースは2025年1月で現役。
• BadTodo(徳丸浩)
  徳丸本の脆弱性デモ環境。ウェブ健康診断仕様の13項目を全網羅し、自動スキャナでは見つけにくい脆弱性を意図的に多く含む。ライセンスはCC BY-NC-ND 4.0で非営利の個人利用のみ。商用は要許諾、改変・再配布は禁止。
• Vulhub
  実在CVEの再現環境をDocker Composeで配布。教材用に作られた架空の穴ではなく、実際に世に出た穴を踏んでみたい段階で使う。
• AppGoat(IPA)
  12種の脆弱性を、前半で攻撃者として悪用体験、後半で開発者としてソースを修正する2段構えで学ぶ。日本語で完結する。
• OWASP VWAD
  脆弱アプリの総合カタログ。他にどんなものがDockerで立つのか探すときの目次代わり。

攻撃側の練習プラットフォーム

• TryHackMe
  ガイド付きで手取り足取り進む学習パス型。何から手を付ければいいか分からない段階でも進める。無料枠ではブラウザ内攻撃環境AttackBoxが1日1時間まで。
• Hack The Box
  1,500以上の実践マシン。座学と組み合わせるならHTB Academyで、Web Penetration Testerのジョブロールパスがある。TryHackMeより実戦寄りで手を引いてくれる度合いは低い。
• PentesterLab
  Webに全振りした700以上のラボ。OAuth2の欠陥・JWT攻撃・SAMLバイパスなど、他だと手薄な認証・トークン系が濃い。複数言語のコードレビュー訓練を持つのも独自点。
• Root Me
  フランス発の大規模チャレンジ集。Web - ServerとWeb - Clientが独立カテゴリで、サーバ側とクライアント側を分けて潰せる。

CTFを始める(常設 / 日本語で解ける)

• CTFtime
  世界中のCTFの開催カレンダー、チームレーティング、writeup集積のハブ。次に出る大会を探すときと、解けなかった問題のwriteupを読むときの両方で戻ってくる。
• CyLab Security Academy(旧picoCTF)
  カーネギーメロン大による無料プラットフォーム。2026年5月8日にpicoCTFから改称・統合された。演習本体はlearn.cylabacademy.orgで、500以上のチャレンジが常時開放されている。旧picoCTFのアカウントと進捗はそのまま使える。
• SECCON Beginners CTF
  国内最大級CTFの初心者向け部門。難易度がBeginner / Easy / Medium / Hardと明示され、原則日本語で出題されるのが日本語話者には大きい。
• SECCON Beginners 過去問
  過去大会の問題をカテゴリ別にソースとDockerfile込みで公開。開催を待たずに始められるのが要点。2026年版のリポジトリは2026年7月時点で未公開。
• ksnctf
  日本語の常設CTF。41問あり、解くだけならログイン不要。
• CpawCTF
  日本語の初心者向け常設CTF。CTF未経験者向けの導入も用意されている。
• CTF101
  CTFの基礎ハンドブック。問題文の意味すら取れない段階を抜けるための橋渡しになる。

バグバウンティの始め方

• HackerOne Hacktivity
  公開された実際の脆弱性報告がログイン無しで読める。教科書の脆弱性が現実にどう出るかを埋める資料として、代わりが見つからない。CWE分類・報告者・開示日付き。
• Google Bug Hunter University
  Googleの報奨金チームによる報告の書き方の教材。目玉は却下される報告の類型を公開したInvalid Reportsで、報告する価値の線引きを学べる。
• Bugcrowd University
  モジュールごとにスライドと動画が付く教材。公式サイト側は教材本体に辿り着きにくいので、GitHubから入るのが早い。
• Bugcrowd VRT
  その脆弱性はP1からP5のどれか、を判定する優先度分類表。深刻度を当てずっぽうで決めるのをやめたいときに引く。

ネットワークとTLS

• The Illustrated TLS 1.3 Connection
  TLS 1.3のハンドシェイクを1バイト残らず16進で色分け解説する。TLSを雰囲気で理解している状態から抜け出せるサイト。姉妹版にQUIC版・DTLS版もある。
• TLSRef Configurator
  サーバ種別とバージョンを選ぶとTLS設定を吐くジェネレータ。旧Mozilla SSL Configuration Generatorの後継で、Mozilla公式が移転を告知している。
• SSL Server Test(Qualys SSL Labs)
  公開サーバのTLS設定をA+からFで採点する。設定を変えた後の答え合わせに使う。
• Wireshark User's Guide
  公式マニュアル。操作だけでなくExpert InformationやTCP Analysisなど解析の読み方まで踏み込む。
• Wireshark Sample Captures
  公式が配る練習用pcap集。Wiresharkを入れたものの流すトラフィックが無い、という状態を抜け出すきっかけになる。
• Nmap Network Scanning
  作者Fyodor自身の書籍が全文無料。NSEやOS判定に加え、ポートスキャンの法的論点まで18章。-sSを暗記でなく理解したいなら読む。
• High Performance Browser Networking
  TCP・UDP・TLSの挙動を性能視点で解く全文無料の書籍。第4章がTLS専章。2013年刊なのでHTTP/2やモバイル網の記述は古いが、原理編としては今も読める。

クラウドセキュリティ(AWS / Google Cloud / Azure)

• AWS Well-Architected セキュリティの柱(日本語)
  実装手順ではなく判断基準として書かれている。設計レビューで構成の理由を言語化するときに引く。
• AWS Workshop Studio(セキュリティ)
  GuardDutyやSecurity Hubを実際に動かす公式ハンズオンの入口。旧awssecworkshops.comの後継。
• flAWS
  AWS特化のCTF。S3の公開設定ミスから始まり、IAM権限の過剰付与、メタデータサービス悪用へ進む。SQLインジェクションやXSSは一切出ず、AWS固有の事故だけを扱う。
• flAWS 2
  続編で、AttackerとDefenderの2経路があるのが特徴。攻撃側を通してから防御側で同じ攻撃をログから追うと、何を仕込めば検知できたかが繋がる。

flaws.cloudとflaws2.cloudはHTTPSに対応していません。https://で開くとエラーになるので、http://で開いてください。

• CloudGoat
  Terraformで自分のAWSアカウントに脆弱環境を建てて壊すCLI。20以上のシナリオがある。flAWSを終えた次の段。AWSの実費が発生する。
• Google Cloud Well-Architected セキュリティの柱(日本語)
  GCP版の設計原則。AIの安全な利用とAIによるセキュリティ強化を原則に組み込んでいるのが今の特徴。
• Microsoft Cloud Security Benchmark
  Microsoft版の統制基準。Azureサービス別のセキュリティベースラインが個別に揃っている。
• CIS Benchmarks
  OS・クラウド・ミドルウェアの設定項目レベルのハードニング基準。どこまで締めれば十分かを外部の根拠で示したい監査や提案で使う。PDFは無料だがフォーム登録がいる。
• Awesome-CloudSec-Labs
  無料のクラウドセキュリティ演習環境のリンク集。次に何をやるか迷ったら眺める。最新コミットは2025年10月。

コンテナとKubernetesのセキュリティ

• Kubernetes セキュリティ(公式・日本語)
  正本。RBAC、NetworkPolicy、Pod Security Standards、Secretsの各解説にここから辿れる。日本語訳は部分的で、未訳ページは(EN)表記のまま英語に飛ぶ。
• Kubernetes Goat
  意図的に脆弱なK8sクラスタ。単発の脆弱性でなく、コンテナ脱出やRBACの過剰付与など実際に起きる設定ミスを攻撃と防御の両側から辿る。
• OWASP Kubernetes Top Ten
  K8sリスクの優先順位表。2025年版が現行。診断の観点が漏れていないか確かめるのに使う。
• NSA/CISA Kubernetes Hardening Guide
  米NSAとCISAの共同技術レポート。CIS Benchmarksよりなぜその設定かの説明が厚い。内容は2022年時点。

マルウェア解析とフォレンジック

• Malware-Traffic-Analysis.net
  実際の感染トラフィックのpcapと演習問題を配り続けている個人サイト。このpcapから感染ホストと侵害の流れを特定せよ、という形式で解答付き。Wiresharkの操作を覚えた後、実物を読む段階へ進める。
• ANY.RUN
  ブラウザ上でマルウェアを実行し、その場でクリックして反応を見られる対話型サンドボックス。
• VirusTotal
  70以上のエンジンで一括判定する。1エンジンの判定を鵜呑みにしないための最初の照合先。

ANY.RUNの無料枠とVirusTotalは、投稿したファイルやレポートが公開・共有されると公式に明記されています。業務上の秘密を含むファイルを上げると、そのまま外に出ます。

• MalwareBazaar
  マルウェア検体そのものを共有するデータベース。解析練習用の実検体の入手先。取り扱いは隔離環境が前提。
• Volatility 3
  メモリフォレンジックの事実上の標準。メモリダンプから隠蔽プロセスや注入コードを掘り出す。
• Ghidra(NSA)
  NSA製のリバースエンジニアリング環境。デコンパイラを備え、IDA Proの有料ライセンス無しで実務レベルの静的解析ができる。
• REMnux
  マルウェア解析ツールを詰めたLinuxディストロ。ツールを個別に集めて設定する手間を飛ばせる。
• Autopsy
  オープンソースのディスクフォレンジック基盤。The Sleuth KitのGUIで、法執行機関でも使われる。
• Digital Corpora
  教育・研究用のフォレンジックデータセット。ディスクイメージ、端末イメージ、pcapが揃う。練習したくても本物のディスクイメージが手に入らない、という段階で使える。
• CyberDefenders
  ブルーチーム特化のDFIRラボ。pcap解析、メモリ、クラウドログのフォレンジックが30分から2時間で終わる粒度で並ぶ。SOC寄りの実務練習になる。
• Malware Unicorn RE101
  リバースエンジニアリング入門ワークショップ。解析VM構築からアセンブリ、パッキング・難読化まで無料ツールで完結する。
• JPCERT/CC Eyes
  マルウェア解析、APT追跡、フォレンジックを日本語で継続公開している技術ブログ。日本を標的にした攻撃の一次情報を日本語で読める数少ない情報源。
• 侵入の痕跡を追う(JPCERT/CC)
  攻撃者が使うツールがどのログにどんな痕跡を残すかの網羅資料。ラテラルムーブメントの調査でどこを見るかの当たりを付ける。Version 2が2017年で以降更新なし。

暗号を学ぶ

• CryptoHack
  現代暗号をパズルを解いて学ぶ。対称暗号・RSA・楕円曲線に加え、格子や同種写像、ゼロ知識証明まで揃う。学習パスがあるので初学者も迷わない。
• Cryptopals Crypto Challenges
  実在する暗号実装への攻撃を自力で書く8セット。前提知識は不要でそれが狙いと明言されており、言語は任意。
• A Graduate Course in Applied Cryptography
  BonehとShoupによる大学院レベルの教科書が無料。CryptoHackで詰まったときの理論側。最新はVersion 0.6(2023年)で未完。
• CRYPTREC
  日本政府の暗号技術評価プロジェクト。電子政府推奨暗号リストや暗号強度要件を日本語で公開。国内案件で採用する暗号方式を選ぶとき、公的な裏付けとして参照できる。
• NIST Post-Quantum Cryptography
  耐量子暗号標準化の一次情報。FIPS 203 / 204 / 205が2024年8月に標準化済み。耐量子暗号へいつ移行するかを、公式の一次情報に基づいて判断できる。
• Security Engineering, 3rd Edition
  Ross Andersonの古典。暗号からアクセス制御、サイドチャネル、監視とプライバシーまでを1冊で貫く。第3版の全29章がPDF無料。

セキュアコーディング

• SEI CERT Coding Standards
  カーネギーメロン大SEIによる言語別の規約。C / C++ / Java / Android / Perl / Fortranの6系統で、ルール単位で非準拠コード例と適合解が並ぶ。旧Confluence wikiは到達不能になっているので、このURLから入る。
• Snyk Learn
  開発者向けの無料学習。SQLインジェクション、OSS依存、コンテナ、IaCなど言語・エコシステム別のレッスン。

MITRE ATT&CK

• MITRE ATT&CK
  実際に観測された攻撃者の戦術・技術のナレッジベース。各技術に緩和策と検知方法が紐づくので、うちは何を検知できていないかの棚卸しに使える。
• Atomic Red Team
  ATT&CKの各技術に対応した5分以内で終わるテストのライブラリ。読むだけで終わらせず、実際に実行して自組織の検知が鳴るか確かめる。

脆弱性情報を追う

• JVN
  JPCERT/CCとIPAが共同運営する脆弱性情報ポータル。国産製品の脆弱性を国内ベンダの視点で拾える。NVDには出てこない情報がここにある。
• JVN iPedia
  国内外の製品を横断する脆弱性データベース。CVE番号とCVSS付きで日本語検索できる。
• MyJVN API
  JVN iPediaをプログラムから取得するAPI。自社の製品リストと突き合わせて、脆弱性を自動でチェックしたいときに使う。
• NVD
  NISTが運営する米政府の脆弱性データベース。CVSSの内訳まで見たいときに開く。
• CVE Program
  CVE採番の総本山。CNAが登録した原文レコードを確認する場所で、NVDのスコアが付く前でもここには載る。
• CISA KEV
  実際に悪用が確認された脆弱性だけを集めたカタログ。全CVEを追うのは無理なので、まずKEVに載っているものから直すという優先順位付けに使う。ランサムウェアでの悪用有無もフラグで付く。
• GitHub Advisory Database
  OSSパッケージのAdvisoryデータベース。Dependabotアラートの発火元なので、アラートの出どころを辿るとここに着く。
• OSV
  Googleが運営するOSS脆弱性の分散型DB。45以上のエコシステムを統一スキーマで扱い、コミットハッシュ単位で照会できるのが他に無い特徴。

最新動向を追う

• JPCERT/CC 注意喚起
  今すぐ対応が必要なレベルに絞って出るので、これが届いたら動く、という運用に組み込める。PGP署名付きテキスト版が併記される。
• 重要なセキュリティ情報(IPA)
  JPCERT/CCの注意喚起と合わせて押さえておけば、日本語の一次情報はほぼ網羅できる。
• Security NEXT
  国内の情報漏洩・不正アクセスを日次で流す日本語ニュース。国内組織のインシデント公表を網羅的に拾う。
• piyolog
  大きなインシデントが起きると、公式発表と報道を時系列で突き合わせたまとめが出る。一次ソースへのリンクが並ぶので、事案を追うならここから入るのが早い。
• Krebs on Security
  速報ではなくサイバー犯罪組織の実名を追う長期取材。誰がなぜやったかまで踏み込む。
• The Hacker News
  日次で回る英語ニュース大手。深さより網羅性と速さで、朝に流し読みする用。
• SANS Internet Storm Center
  ハンドラーが日替わりで書くDiaryが中核。実際に観測されたスキャンや攻撃の生データが見られるのが他のニュースサイトと決定的に違う。

セキュリティ資格(支援士 / OSCP / CISSP / Security+)

• 情報処理安全確保支援士試験
  2009年以降の過去問が全公開されており、独学の主教材になる。
• 情報処理安全確保支援士(登録セキスペ)制度
  合格後に登録して初めて名乗れる。有効期限は3年で、更新にはオンライン講習3回と実践講習1回が必須。受験だけの資格と違って維持コストがかかることを知らずに目指すと後で驚く。
• 情報セキュリティマネジメント試験
  CBTで通年実施なので、思い立った日に申し込める。記述なし。支援士がいきなり重い人の入口になる。
• OSCP / PEN-200(OffSec)
  実技型ペンテスト資格の代表格。試験は24時間の実技で、座学だけでは受からない構成。現行はOSCP+で3年で失効する(旧OSCPは無期限)。
• CISSP(ISC2)
  マネジメント寄りの資格。8ドメインを横断し、実務経験5年が必要。満たさない場合はAssociate of ISC2として先に合格しておける。
• CompTIA Security+
  セキュリティ職の登竜門。現行はSY0-701。
• Professor Messer Security+ SY0-701
  Security+対策の定番で、121本・約15時間の動画が全部無料。有料はコースノートや模擬試験のみ。

IPAの試験は2026年度からCBT方式へ移行します。応用情報・高度試験・支援士が対象です。

• 午前Ⅰ/Ⅱは科目A-1/A-2、午後Ⅰ/Ⅱは科目B-1/B-2へ名称変更
• 出題範囲・形式・出題数・試験時間は変更なしとされている
• 春・秋の固定日程が無くなる。前期試験が2026年11月頃、後期試験が2027年2月頃
• さらに2027年度に別途、制度の見直しが予告されている

受験を考えているなら、公式で最新の日程を確認してください。

YouTube(セキュリティ学習チャンネル)

• 徳丸浩のウェブセキュリティ講座
  徳丸本著者による日本語のWebセキュリティ講座。各回に難易度が★1から★5で付き、実際に攻撃を試して検証する回が中心。実習用サンプルコードもGitHubに公開されている。2024年4月を最後に新規投稿は止まっているので、日本語で体系的に学べるアーカイブという位置づけ。
• GMO Flatt Security
  セキュリティ企業のチャンネルで、日本語では珍しく更新が続いている。Pwn2Own参戦記やOSS運営との公開会議など、現場の生の話が出る。
• IppSec
  Hack The Boxの攻略動画を毎週1本。一緒に解きながらペンテストの思考順序を盗める。OSCP対策の定番。
• John Hammond
  マルウェア解析・CTF・実際の攻撃検体の腑分けを高頻度で出す。実在のサプライチェーン攻撃を実物で解説する回が強い。
• LiveOverflow
  バイナリexploitと低レイヤの名門。Pwn2Ownドキュメンタリーが直近の目玉で、FirefoxのJITバグのexploit開発過程を追える。投稿は不定期だが、過去動画だけで十分に元が取れる。
• NahamSec
  バグバウンティ特化。実際に報奨金を得たハンターを招いて手口を聞く形式が中心。
• 13Cubed
  DFIR専門。Windowsアーティファクトを1本1テーマで深掘りする。この粒度で続いているチャンネルは日英どちらでも少ない。
• 映像で知る情報セキュリティ(IPA)
  1本約10分のドラマ仕立ての啓発映像。申請不要で社内研修にそのまま使える。

Podcast(セキュリティ)

• セキュリティのアレ
  辻伸弘氏・根岸征史氏・piyokango氏による日本語のPodcast。国内の時事ネタを当事者に近い専門家がどう見ているかが聞ける。
• SANS ISC StormCast
  平日毎日、5分から10分。その日の主要脆弱性を淡々と読み上げる。毎朝の情報収集にちょうどいい。
• Darknet Diaries
  実際のハッキング事件や関係者への取材を1話完結のドキュメンタリーに仕立てる。技術解説というより物語なので、人を引き込む力がある。
• Risky Business
  2007年からの老舗。業界の内輪の視点と辛口の論評が今も続いている。

無料で使えるセキュリティツール

• Burp Suite Community Edition
  Web診断の事実上の標準の無料版。プロキシ、Repeater、Decoder、Comparerが使える。スキャナ・プロジェクト保存・Collaboratorは有料版のみ。Web Security Academyのラボは無料版で完走できる。
• ZAP
  完全にオープンソースのWebスキャナ。Burpと違い自動スキャンが無料なのでCI組み込みならこちら。現在は"ZAP by Checkmarx"で、OWASP配下ではない。OWASP ZAPという表記は古い。
• Wireshark
  ネットワークプロトコルアナライザの定番。UIは日本語に対応している。
• Nmap
  ポートスキャンとネットワーク探索の原典。manページに日本語訳がある。
• sqlmap
  SQLインジェクションの検出とexploitを自動化する。40以上のDBMSと5種の注入手法に対応。
• Trivy
  コンテナイメージ・リポジトリ・K8sクラスタを対象に、脆弱性・設定ミス・シークレット・ライセンスを検出する。
• Semgrep
  セマンティック解析ベースのSAST。CLI・CI/CD・IDEに対応し、Community Editionが無料。
• CSP Evaluator(Google)
  書いたContent-Security-PolicyがXSS対策として実際に機能するかを判定する。見落としやすいバイパスを指摘してくれる。CSPを1行でも書いたら通す。
• MDN HTTP Observatory
  公開サイトのセキュリティヘッダを採点して改善点を返す。旧observatory.mozilla.orgから移設済み。

CIに組み込む

• GitHub code scanning / CodeQL
  pushやスケジュールで解析を回す。SARIF形式で他社SASTの結果もアップロードでき、全部Securityタブに集約できるのが要点。パブリックリポジトリは無料。
• Dependabot alerts
  依存パッケージの脆弱性を通知する。GitHubがレビュー済みのAdvisoryしか発火しない制約があり、これを知らないとDependabotが黙っている=安全と誤解する。
• trivy-action
  TrivyをActionsに組み込む公式Action。format: sarifにしてupload-sarifと繋ぐのが定番。
• zaproxy/action-baseline
  ZAPのベースラインスキャンをActionsで実行する。ターゲットURLを指定するだけで動き、検出結果を自動でIssueに起票して直ったらcloseまでする。
• OSV-Scanner
  上のOSVをデータ元にして、SBOM・lockfile・コンテナイメージを走査するCLI。Dependabotがレビュー済みのAdvisoryしか見ないのに対し、こちらは45以上のエコシステムの一次データを横断するので、併用すると穴が減る。

まとめ

• Webアプリ開発者が最初に触るなら、PortSwigger Web Security Academy。全ラボ無料で、Burpの無料版だけで完走できる
• OWASP Top 10は2025年版が最新。日本語で全文を読めるのは2021年版まで
• 日本語教材はWebアプリ・クラウド設計・暗号に厚く、マルウェア解析とフォレンジックはJPCERT/CCがほぼ唯一
• ファイルを投稿して調べるサービスは、無料枠だと投稿物が公開される。業務のファイルは上げない