サイバーセキュリティの新鋭集結、アジア各国の若者が互いの国を知る～ GCC Tokyo 2020

国内では定着した感のある「セキュリティ・キャンプ」のグローバルバージョンが存在するのをご存じだろうか。2月10日、アジア太平洋地域7か国（日本含む）の優秀な若手エンジニアやハッカーが集い、その技を磨いた。

研修・セミナー・カンファレンスセミナー・イベント

2020年3月24日（火） 08時15分

　国内では定着した感のある「セキュリティ・キャンプ」のグローバルバージョンが存在するのをご存じだろうか。2 月 10 日、アジア太平洋地域 7 か国（日本含む）の優秀な若手エンジニアやハッカーが集い、その技を磨いた。

●若手セキュリティ技術者のグローバルコミュニティ：GCC

　参加国は日本、オーストラリア、マレーシア、シンガポール、タイ、台湾、ベトナム。残念ながら韓国は COVID-19（コロナウイルス）の影響で不参加となった。参加者は、各国のセキュリティコミュ二ティから選抜された17歳から21歳の若手エンジニアたち、総勢29名。各国2～6名のチームを組み、各種の専門セッションや CTF を 4 日間でこなす。

　国内のセキュリティ・キャンプは、全国から選抜された高校生や大学生を対象に、メンターやコーチをつけながら、きわめて高度なセミナー、演習を行うことで有名だ。本格的な CTF をはじめ、自動車 ECU のハッキング（解析）まで行う。この活動を通じて、若手エンジニア、ホワイトハットハッカーを育成する。

　グローバル・セキュリティ・キャンプ（ GCC ）（コンパイラではない）は、この枠組みを海外にまで広げたものだ。もともとは、台湾 Telecom Technology Center（ TTC ：電信技術センター）理事長呉宗成博士の発案で始まった。呉博士の「アジアの若い研究者のコミュニティをつくり、人材育成に貢献したい」との想いを、博士に「 2 年間にわたって依頼された」セキュリティ・キャンプや CODE BLUE の運営で尽力する篠田佳奈氏が GCC として形にした。今年で 2 回目の開催となる。

●技術とともに身につくホワイトハッカーとしての規範

　GCC Tokyo 2020 のオープニングスピーチは、株式会社ラック西本逸郎氏が登壇した。西本氏は、2019 年に日本で開催されたラグビーワールドカップの話から始めた。ラグビーは、もともとメジャーではなく危険で野蛮とも言われていた。しかし、現在のようにメジャーなスポーツになったのは「ラグビー憲章」という規範ができたからだという。

　同様に、サイバーセキュリティの現状も、一部では、ハッカーは何をやっているかわからないという認識もある。西本氏は「もちろん、セキュリティ（技術）は危険である」ともいう。しかし、続けて「（ラグビー憲章にあるように）「品位、情熱、結束、規律、尊重」の念をもって GCC を楽しんでほしい」と、学生たちを激励した。

　このあとトレーニングコースが始まった。すべてのコースが終日のセッションとなり、どのテーマもかなり深い内容まで学べるようになっている。初日は 1 トラックだが、2 日目と 3 日目は 1 日セッションが 2 トラック走る。4 日目は再び 1 トラックにもどり半日セッションを 2 つこなす。

　セキュリティ・キャンプ協議会竹迫良範氏によれば、今回のトレーニングは「 Call for Training 」を採用し、各国から演習課題を募集し、その中から厳選されたものだという。U21 の学生向けとはいえ、レベルは高く、Blackhat USA の Arsenal や FIRST TC（テクニカルクロキア）といったプロフェッショナル向けのトレーニングの実績を持つ講師が集結した。

●公募によって選出された高度なトレーニングプログラム

　例えば初日のトレーニングは、実際に攻撃を受けたシステムを想定したストレージが渡され、インシデント対応の手順を踏みながら、 CTF 形式で攻撃の解析、フォレンジックス、マルウェア解析を行うというもの。

　2 日目は、機械学習を使ったセキュリティアプリケーションの開発を演習形式でこなし、機械学習アルゴリズムと、その評価方法を学ぶトレーニングと、脆弱性の自動解析（ファジング）とエクスプロイトの自動生成を学ぶトレーニングが用意されていた。機械学習は、シグネチャなし、動的評価（サンドボックスなど）なしのマルウェア検出として、近年ソリューションが増えている領域だ。ファジング技術は、攻撃者視点のエクスプロイト作成を体験できる、きわめて実践的なものだ。

　3 日目のトレーニングは、バイナリ難読化と IoT ファームウェアのリバースエンジニアリングとなっている。バイナリの難読化は、地味だがマルウェア解析には避けて通れない。この原理と手法を学び、難読化されたコードの解除、解析までを行う。IoT のリバースエンジニアリングでは、エミュレータ上で MIPS プロセッサを動かし脆弱性を探るというもの。ツールとしては Qiling Framework を使う。

　4 日の半日コースは、攻撃ベクターごとの挙動解析とソーシャルメディアオペレーションのトレーニング。攻撃ベクターの解析は、複数のログファイル、情報をベースに攻撃者の挙動を解き明かしていくという演習。ソーシャルメディアオペレーションは、情報の真偽の確認方法、OSINT による発信者の特定作業について学ぶというもの。

　以上のように、どれも第一線のセキュリティエンジニアが受けたくなるようなトレーニングばかりだ。こうした高水準のコンテンツを、社会に出る前の若者たち、それもアジア圏の異国同士の若者たちがともに学ぶ意義は計り知れない。

●各国セキュリティ機関・団体からの精鋭が揃う

　参加者は、各国のセキュリティ関連団体やコミュニティが、それぞれの方法で選抜した精鋭たちだ。日本は、セキュリティ・キャンプ協議会が選んだ 6 名。選考はセキュリティ・キャンプと同様に課題選考したという。しかしキャンプ出身生が優遇された訳ではまったくない。「気をつけたのはニュートラルとフェア。キャンプ出身生に絞ることはせずに外部に窓口を設けた（篠田氏）」

　オーストラリアチームはクイーンズランド大学内の情報技術および電気工学のカレッジ、ITEE のセキュリティ研究チームから、面接とチーム貢献度で選ばれた 4 名。

　マレーシアは産学連携のセキュリティグループ NanoSec から 2 名が参加した。選考は大学からの推薦と面接で決定した。

　シンガポールはボランティアベースのセキュリティコミュニティ Division Zero の 3 名。シンガポールでは各大学に公募をかけ、書類選考と試験を実施して選抜した。試験には 100 ワードほどの論文（エッセイ）もあったそうだ。

　タイは NECTEC とマヒドゥ大学から 5 名の混成チームだ。メンバーは、コンペティション方式で、プロポーザルの中から選んだ。NECTEC は、日本の NICT などと共同研究も行うタイ政府機関だ。

　台湾チームは AIS3 の5名。AIS3（行動情報セキュリティサマースクール）は、台湾教育省の情報セキュリティ人材育成プログラムとして運営されるプロジェクト。選考は、サマースクールの参加者のうち成績の良かった者と、貢献したいという意思を尊重したそうだ。

　最後のベトナムは VNSECURITY から、公募とコンペによって選ばれた 4 名が参加した。VNSECURITY は 1998 年から続く同国を代表するセキュリティ研究グループのひとつだ。

●難問に苦戦しながらもトレーニングを楽しむ受講生たち

　トレーニングや CTF が始まると、受講者は完全に「ハッカーモード」だ。記者が気軽に声をかけられる雰囲気では到底ないが、休憩時間を利用して、参加者数名のコメントがとれた。

「GCC には、スキルとナレッジの修得が目的で参加しました。友だちも作りたいと思っています。 CTF はベトナムでも人気で自分も 10 回以上国内の大会に参加しています。トレーニングは難しいですが、がんばっています。」（ホーチミン大学でコンピュータサイエンスを学ぶドン君 19 歳）

「タイのサイバー空間は安全とはいえません。むしろ危険といっていいくらい。セキュリティは、自分を守るために勉強をしています。このトレーニングもそのために参加しました。でも、タイでは CTF 競技はあまり盛んではないので、GCC のような取り組みはとてもいいと思いました。じつは、日本に留学していたこともあるんです。趣味はゲームで、ポケモンが好きです。」（マヒドゥ大学で情報学を学ぶタッソン君 20 歳）

　女性参加者の声も聞けた。

「トレーニングはレベル高いですが、こういう雰囲気は私は好きです。タイの若い人は、たしかに会場に集まってやる CTF とか馴染みが薄いですが、オンラインのハッキング競技や CTF にはときどき参加してます。今回 GCC に参加して思ったのは、きっとタイでも（オンサイトの CTF は）流行るだろうということ。趣味は読書で、伝記とか天文学とかいろいろです。」（タイ王室警察士官学校ラウィニットさん 20 歳）

「参加目的は、違ったバックグラウンドを持つ他の学生との交流を通じて知識と経験をつむことです。GCC は台湾の AIS3 に似ていると思います。AIS3 のサマースクールでも、みんなとてもパッションを持って CTF やトレーニングに臨んでますよ。でも、台湾の人って少しシャイなところがあって質問がヘタだったり…　初日の CTF は、フォレンジクスが専門ではないのでちょっと苦労しました。周りのみんなと協力して、簡単な問題でした、ひとつ解けてみんなに貢献できてうれしかったです。みなさん、とても積極的で見習いたいなと思いました。」（台湾国際大学のハンさん 19 歳）

●スキルと規範、それぞれの楽しみ方

　サイバー攻撃者自身はたとえ仲間やグループという意識はなくとも、地理的な枠組みを超えた連携をしてくる。攻撃機能を最大化するため、いわば自律的に、ときには動的に発生するネットワークであり、一種のコミュニティだ。このような攻撃に対して、企業や組織ごと、ましてや国ごとの対策には限界がある。近代セキュリティで、協働と情報共有が重要視される所以だ。

　セキュリティは、どこか防御に弱いところがあれば、他がいくら強固なシステムであっても、全体のセキュリティレベルは低いところに引きずられてしまう。APT や組織的なサイバー攻撃、犯罪グループへの対策は、国を超えたセキュリティレベルの底上げが欠かせない。2020 年冒頭に世間を騒がせた三菱電機のインシデントは、国をまたいだサプライチェーン攻撃だった。GCC の取り組みは始まったばかりで、まずはアジア太平洋地域の連携からとなっているが、すでに EU の ENISA が GCC に興味を示しているという。

　前述したように、トレーニングの講師は、Blackhat や FIRST TC でも実績があるプロフェッショナルたちだ。学生向けとはいえ、解析アルゴリズムからツールの操作、 CTF と極めて実践的でもある。集まった学生も、各国の大学や研究機関が認めた、いわば国のエリートたちだ。

　日本、韓国、オーストラリア、マレーシア、シンガポール、タイ、台湾、ベトナム。GCC に参加した若者たちは、将来必ずや高度なプロフェッショナルとして企業や研究機関、政府や防衛の仕事などに携わっていくことだろう。

　世界中どこを見ても近隣国家同士はしがらみや政治的葛藤を抱える。アジア圏だけに限った話ではない。GCC のような、国のしがらみにしばられないまだ若い時期に、互いの国を知る GCC のような機会に恵まれることの未来への意義は計り知れないだろう。そして、その青春の 1 ページをともに共有した舞台が日本であったことも。セキュリティ・キャンプがまた、サイバーセキュリティの歴史の新しいページを開いた。

《中尾真二（ Shinji Nakao ）》

ソース・関連リンク

GCC Tokyo - Global Cybersecurity Camp

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

サイバーセキュリティの新鋭集結、アジア各国の若者が互いの国を知る～ GCC Tokyo 2020

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

英学校で生徒に配布したノート PC、出荷段階でマルウェアがインストール

ビジネス OSINT とは何か？　経営に正しく役立てる方法～日本ハッカー協会代表理事杉浦氏講演

CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）

Apple ティム・クックとドナルド・トランプが育んだ熱い男の友情とは？クックのトランプへの贈り物

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

英学校で生徒に配布したノート PC、出荷段階でマルウェアがインストール

ビジネス OSINT とは何か？ 経営に正しく役立てる方法 ～ 日本ハッカー協会 代表理事 杉浦氏講演

CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）

Apple ティム・クックとドナルド・トランプが育んだ熱い男の友情とは？ クックのトランプへの贈り物

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Apache Tomcat の脆弱性に対するアップデート公開

CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）

「kingjiim_」や「kingjim_officiall」一文字違いのキングジムSNS偽アカウントがDM送信

VMware vCenter Serverに脆弱性、解説や影響を受けるシステムを探索する通信も確認

Movable Typeに複数のクロスサイトスクリプティングの脆弱性

ゲームのソースコードなどを不正取得されたCD PROJEKT、リンク含むツイートに削除申請

インシデント・事故 記事一覧へ

標的型攻撃に使われたMicrosoft Exchange Server の脆弱性に対し修正プログラムを定例外で公開

公正取引委員会で情報流出、ファイルのグラフをクリックすると個人情報が閲覧可能に

クラウド型顧客管理システム設定不備、コナミグループへ不正アクセス

メール配信作業中のミスが原因で誤送信、1万名分の顧客リストが流出

日本通運のパソコン2台に不正アクセス、メール閲覧とウイルス感染被害

みずほ銀行で2月28日午前からシステム障害発生、定期預金取引のデータ移行作業が原因

調査・レポート・白書 記事一覧へ

日経225企業の75％がドメインなりすまし未対策、ProofPoint 調査

日本の IoT シェア後退、総務省が 2019年実績 国際競争力指標公表

「電子サインを安全とは思わない」のは日本のビジネスパーソンの２割

CrowdStrike Adversary Calender 2021 年 3 月（ kryptonite panda ）

Googleが中高生ネット利用調査、「ネット詐欺にあいそうになった」生徒16％

小売電気事業者のためのサイバーセキュリティ対策ガイドラインVer.1.0 策定

研修・セミナー・カンファレンス 記事一覧へ

ビジネス OSINT とは何か？ 経営に正しく役立てる方法 ～ 日本ハッカー協会 代表理事 杉浦氏講演

「アカウントは漏洩している前提で備えるべき」～ ソリトンシステムズが提案する「Soliton OneGate」とは

ニューノーマルの３つの特徴と VMware が考える３つの包括的解決アプローチ

応募多数で参加枠２倍に「NRI Secure NetWars 2020」入賞者発表

明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長 大木 榮二郎先生に聞く

ＮＧＡＶ ＋ ＥＤＲ ＋ ＳＯＣ の三位一体、サイバーリーズンだけが持つ平時有事のセキュリティ運用知見公開

製品・サービス・業界動向 記事一覧へ

演習と CTF で人材育成 発掘、NECが教育サービス提供

川口洋氏や登大遊氏ら、2021年サイバーセキュリティ総務大臣奨励賞 受賞者

ワンビとネットアップ、総務省ガイドライン準拠し ADEC 消去証明書発行サービス

LogStare がログ転送モジュール無償提供 、syslog 非対応アプリのログ収集可能

KCCS「Salesforceセキュリティ診断サービス」提供開始、1回80万円から

NRIセキュア「Okta Identity Cloud」のライセンス販売と導入支援サービス開始

おしらせ 記事一覧へ

ScanNetSecurity システム更新のお知らせ

特典ノベルティ写真公開、Scan PREMIUM 創刊22周年記念キャンペーン11月末迄

ScanNetSecurity 創刊22周年御礼の辞（上野宣）

上野編集長就任１０周年記念オンライン飲み会 ７月１７日開催（ScanNetSecurity）

上野宣 編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）

上野宣から編集長就任10周年の御礼

ビジネス OSINT とは何か？　経営に正しく役立てる方法～日本ハッカー協会代表理事杉浦氏講演

Apple ティム・クックとドナルド・トランプが育んだ熱い男の友情とは？クックのトランプへの贈り物

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

調査・レポート・白書記事一覧へ

日本の IoT シェア後退、総務省が 2019年実績国際競争力指標公表

研修・セミナー・カンファレンス記事一覧へ

ビジネス OSINT とは何か？　経営に正しく役立てる方法～日本ハッカー協会代表理事杉浦氏講演

「アカウントは漏洩している前提で備えるべき」～ソリトンシステムズが提案する「Soliton OneGate」とは

明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長大木榮二郎先生に聞く

ＮＧＡＶ＋ＥＤＲ＋ＳＯＣの三位一体、サイバーリーズンだけが持つ平時有事のセキュリティ運用知見公開

製品・サービス・業界動向記事一覧へ

演習と CTF で人材育成発掘、NECが教育サービス提供

川口洋氏や登大遊氏ら、2021年サイバーセキュリティ総務大臣奨励賞受賞者

LogStare がログ転送モジュール無償提供、syslog 非対応アプリのログ収集可能

おしらせ記事一覧へ

上野編集長就任１０周年記念オンライン飲み会７月１７日開催（ScanNetSecurity）

上野宣編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）