予期せぬ攻撃から身を守るにはどうしたらよいのか、という問いにはさまざまな答えがあるだろうが、ひとつの有力な手段として“⁠攻撃者の気持ちになって行動する⁠”というものがある。どこを突けば相手は嫌がるのか、どんなふうに叩けば崩れるのか、といった視点でとにかく対象物（者）の弱点を徹底的にチェックし、確実に攻める。逆に言えば、弱点をほったらかしにしている状態は、外部に対して「どうぞワタクシを攻撃してくださいな」と公言しているようなものである。

セキュリティの世界でも、攻撃者の気持ちになって攻撃パターンを学び、そこから脆弱性への対処を学ぶという手法はよく取られる。たとえばGoogleは、Webプログラマのためにセキュリティ的に非常に脆弱なWebアプリケーション「Gruyere」を用意している。これを使ってクロスサイトスクリプティングなどの攻撃パターン、ならびにその防御方法を学ぶことができる。ちなみにGruyereとはグリュイエールチーズの意味。チーズのように穴だらけのプログラムというわけだ。

そしてLinuxディストリビューションにも同じような主旨、つまり攻撃パターンを知るためだけに作られた、やたらと脆弱なプログラムばかり集めたものがある。その名も「Damn Vulnerable Linux」、略してDVL、うまい訳が思いつかないが“⁠限りなく脆弱なLinux⁠”という感じだろうか。1.8Gバイト程度のLive CDイメージには、古いバージョンのApache、MySQL、PHP、FTP/SSHデーモンなど、“⁠使ってはいけない⁠”プログラムがぎっしり詰め込まれている。ベースとなっているカーネルは2.4系。当然ながら現在の2.6系に比べ、ベースからして弱々しいのは明らかだ。

作成者はドイツのビーレフェルト大学工学部で講師を務めるThorsten Schneider博士。彼はこのディストロを作った目的を「自分の講座で生徒たちに、リバースコードエンジニアリング、バッファオーバーフロー、シェルコード開発、Web攻撃、SQLインジェクションといったトピックを教えるため」としている。つまり悪の手法をひととおり学んで、それを防ぐ方法を考えよ、との教育方針からだという。たしかに、古くて脆弱なプログラムをほうっておくことの恐ろしさは十分に体感できそうだ。

当然ながらこのDVL、ふつうに作業しているデスクトップマシンなどに入れて使う代物ではない。一般に公開しているものの、あくまでセキュリティのお勉強用に使ってほしいとSchneider博士は訴えている。使い方としてはVMwareやKVMなどの仮想環境下での利用や、あるいはUSBメモリなどからブートすることを推奨している。