専門学校・高専対象の脆弱性発見コンテスト、「ペンテスター」になって授業ではできない体験を

　三井物産セキュアディレクション（MBSD）は、全国の専門学校生・高等専門学校生を対象にしたセキュリティコンテスト「MBSD Cybersecurity Challenges 2017」を実施した。架空のオンラインバンキングシステム「MBSDバンク」に含まれる脆弱性を調査し、レポートをまとめることで、「脆弱性診断」という業務について、ひいてはサイバーセキュリティについての興味・関心を高めてもらうことが目的だ。

　2016年に続き2回目の開催となる今回は、北は北海道から南は九州まで32校、79チームがエントリー。それぞれの視点で脆弱性を指摘し、対策とともにまとめたレポートを提出し、一次審査の結果選ばれた10チームが2017年12月13日に開催された最終審査会に出場した。

　冒頭、開会挨拶に立ったMBSD代表取締役社長の神吉敏雄氏は、「ロンドンオリンピックではセキュリティ対策を担うオリンピック専用SOCに900人のエンジニアを集めたと聞いているが、日本で900人と言えばセキュリティ専門会社の技術者を全員合計しても届かない」と述べ、メディアで騒がれている以上にセキュリティ分野の人材不足は深刻だと語った。

　さらに神吉氏は「いずれ攻撃側だけでなく守る側もAIを使い、AI対AIの戦争になると予測する人もいる。確かに囲碁や将棋の世界ではAIが人間を負かしているが、それはルールが決まっているから。サイバーの世界にはルールがないし、そもそもAIや解析といった分野で成果を出すには人間が深く関わらなければならない」とした。もちろん「好きでなければ続かない」のが大前提だが、人が足りない分野に取り組むことが、この先の進路選択に有利になると学生らに呼び掛けた。


●学生チームが「ペンテスター」に、レポート・報告も評価対象

　MBSDでは長年にわたって、WebアプリケーションやITシステムに存在する脆弱性をさまざまなツールや手作業を通して発見し、対策法とともにレポートするセキュリティ診断サービスを提供してきた。

　MBSD Cybersecurity Challengesに参加する学生らはまさに、この「ペネトレーションテスター」の役割を擬似的に担う。4人以内が1組となりチームを組み、MBSDが仮想マシン形式で提供するWebサービスのシステムと、PHPで書かれたWebアプリケーションのソースコードを、10月16日から11月14日までの約1カ月をかけて診断した。

　現実世界のオンラインバンク同様、競技用に用意された「MBSDバンク」でも、ユーザーがログインして残高照会や振り込みといった処理を行えるようになっている。また、前回にはなかった試みとして、フィンテックなどで注目を集めるAPIサーバも用意し、診断の対象に加えた。

　だがMBSDバンクの実装にはSQLインジェクションやクロスサイトスクリプティング、ディレクトリトラバーサルといったWebアプリケーションの脆弱性に加え、セッションIDの不適切な処理やアクセス制御の不備に起因するなりすましや口座の不正操作が可能というものまで、深刻なセキュリティ上の不備があちこちに存在する。学生らはこうした問題を見つけるだけでなく、「サービスにどのような影響があるか」「どのように修正すべきか」をまとめ、提出した。

　MBSDで実際に診断サービスに携わるエンジニアらは、学生らが発見した脆弱性の数と正確さ、レポートの分かりやすさといった観点から評価し、最終審査会の出場チームを決定。選ばれた10チームは12分ずつプレゼンテーションを行い、さらに脆弱性と判断した根拠や推奨する対策の理由などを尋ねる審査員からの質問に答えていった。

　このようにコンテスト全体を通じて、脆弱性を見つけ出す技術はもちろんだが、その内容を正確に再現でき、顧客の立場に立って説明できているか、分かりやすくプレゼンテーションできたかも問うことで、より実務に近いスキルを競うコンテストとなっていることが特徴だ。

●Webとプラットフォームをバランスよくチェックし、顧客視点を意識したチームが上位に

　今回は、専門学校だけでなく高専にも門を開いたが、昨年の経験を生かしてか、決勝に残ったのは全て専門学校のチームとなった。出場チームは以下の通りだ。