モンハンよりも面白い？攻撃者目線を学ぶ「イエラエアカデミー」

イエラエセキュリティでは「イエラエアカデミー」の提供を2021年8月から開始した。最大の特徴は、攻撃者の手法、視点を学ぶことによって、「攻撃者優位」の状況を覆そうとしていることだ。

製品・サービス・業界動向新製品・新サービス

2021年10月13日（水） 08時20分 PR

オフェンシブセキュリティ資格証明書

　セキュリティエンジニア不足、セキュリティ人材不足が叫ばれるようになって久しい。これを踏まえてこの数年、さまざまなセキュリティ教育サービスが提供されるようになってきた。だが、イエラエセキュリティでは「いかに攻撃者の侵入を防ぐか」という観点からの教育だけでは、被害を防ぎきれないと考えている。

　そこで、こんな状況に一石を投じるべく、イエラエセキュリティでは「イエラエアカデミー」の提供を 2021 年 8 月から開始した。最大の特徴は、攻撃者の手法、視点を学ぶことによって、「攻撃者優位」の状況を覆そうとしていることだ。自らもオフェンシブセキュリティ資格取得コースを受講してみたというイエラエセキュリティの代表取締役社長、牧田誠氏に、その特徴を伺った。

●敵の考え方、敵の手法を知らなければ、攻撃者優位の状況は覆せない

Q：どんな目的で「イエラエアカデミー」を開始したのでしょうか？

牧田：セキュリティチームや CSIRT の人たちを対象にした法人向けの教育サービスです。ポイントは、ハッカーが使う手法を学ぶことによって攻撃者目線を養い、それを守りに生かすことを目指している点です。

　背景には、日本人全般の傾向として守りには強いけれど攻撃に弱いという問題意識があります。セキュリティと言えば「守り」一辺倒で、解析やリバースエンジニアリングといった領域は比較的強い一方で、攻撃となると、不正アクセス禁止法の関係もあってなかなかできず、攻撃者目線を養う機会がほとんどありません。そこで仮想的なラボ環境で攻撃者の手法を実践し、理解することを目的にしています。

　考え方の大元にあるのは、孫子の「敵を知り、己を知れば、百戦危うからず」という言葉です。敵がどういう考え方で、自分の会社のどこに着目し、どういう手法で攻撃してくるかを知った上で必要な守りを作っていくことが大切です。

Q：中には自力で CTF などにチャレンジし、攻撃者目線を身に付けていく人もいます。ですが、それだけでは人材が足りないということでしょうか？

牧田：自分で CTF を探してトライし、攻撃者目線を養える人もいます。そうした人は勝手に成長していきますが、数はすごく少ないと思っています。日本で不足しているセキュリティ技術者の数からすると、自然発生的に頑張る人たちの数は足りません。もう少しハードルを下げ、育成する必要があると思います。

　普通の CTF は、誰かがサポートしてくれるわけではありません。問題も、大会の難易度によって異なりますが、基本的には最新テクノロジや論文レベルの脆弱性の実装など、非常にハイエンドな内容となっています。そこまでいって楽しめる人たちは本当にわずかで、多くの人はそこにたどり着く前につまづいてしまっているように思います。せっかく挑戦してみたいと思っても、つまづく人が多いのはもったいない話です。

　そこでイエラエアカデミーでは、ホワイトハッカーがある程度サポートし、行き詰まったらヒントをあげて、つまづかず次に進んでいけるようサポートしていくこともコンセプトに含まれています。

Q：日本人はそんなに「攻撃」するのは弱いのでしょうか？

牧田：そう思います。諸外国では軍の中にサイバーセキュリティ部隊が存在し、自衛のための分析だけでなく、攻撃者目線でのツール開発なども進めているといった報道があります。これに対し日本はやっぱり守りが優先されるところがあり、サイバーセキュリティに関する肌感覚が少し違うのかなと思いますね。ですが、やはり攻撃者目線を持つエンジニアがいなければ自社を守れないのは事実だと思います。イエラエアカデミーではそうした部分を解決したいと思っています。

Q：自身が脆弱性診断を行ってきた経験からもそう思いますか？

牧田：ペネトレーションテストや脆弱性診断を通しても、攻めの弱さはすごく実感しています。皆さん、守ろうという意識はあるんです。企業によっては何千万という予算を掛け、あらゆるセキュリティ製品を導入していますが、攻撃者目線で見ると、それらの対策を生かし切れていないこともあります。たとえば、ベンダーの言いなりでいらない機器まで導入していたり、同じ用途の機器が複数入っていたり、ということがあります。また、せっかく導入した機器をきちんと運用できておらず、脅威を検知しても対応につなげられていないこともあります。場合によってはセキュリティ製品の脆弱性が踏み台となり、重要な情報が存在するネットワークに侵入を許してしまう状態となっているケースもあります。

　ですから、繰り返しになりますが、攻撃者がどういう手法を使い、どういう手順で侵入してくるかを知らないと適切に守ることができないし、セキュリティ製品の選定や設計・運用もできないんじゃないかと思います。

●リアルな脆弱性、リアルな環境を再現し、「リアルな攻撃手法」から学びを得る

Q：ではそうした課題を踏まえ、イエラエアカデミーについてもう少し詳しくお聞かせください。

牧田：イエラエアカデミーには大きく 3 つのコースがあります。1 つは、米Offensive Security が提供している資格の取得サポートを行う「オフェンシブセキュリティ資格取得コース」です。ほかに、クラウドのセキュリティについて学ぶ「クラウドハッキングコース」とインシデントレスポンスについて学ぶ「インシデントレスポンス訓練コース」があります。

　一番の目玉は、オフェンシブセキュリティ資格取得コースです。もともと、われわれイエラエセキュリティがペンテスターを育成する際にも、この教育プログラムを活用していたんですね。トップレベルのセキュリティエンジニアが率いており、理論だけではなくハンズオンで学習できる実践的な内容だということが分かっていたので選定しました。

Q：「ハッキングラボ」では、仮想空間でサイバー攻撃を実践できるのでしょうか？

牧田：何パターンもの脆弱性が実装されており、いろんな脆弱性について学べます。また、一台の端末に侵入して完結するのではなく、それを踏み台にして横展開していくところまで学べる点が非常に大きな特徴です。攻撃者が企業に侵入する際には、まず一般ユーザー権限の端末に侵入し、その端末から Active Directory のドメインコントローラなどに侵入して管理者権限に昇格し、そこからデータベース管理者の端末に侵入して……という具合に攻撃チェーンがつながっていきます。このラボではそうしたサイバーキルチェーンの流れを学ぶことができます。

　仮想環境には Windows 10 から XP まで、あるいは Linuxマシンも含め、75 台の端末が用意されています。それらが本社と 2 つのグループ企業、計 3 つの企業のネットワークを構成しているイメージです。アンチウイルスをすり抜けるマルウェアを作成してメールを送りつけると、ボットがそれを踏むため端末に侵入でき、それを踏み台にしながら奥へ、奥へと侵入していくプロセスを体験できます。

Q：まさに最近リスクが指摘されているサプライチェーン経由の攻撃が再現されているんですね。非常に興味深いですし、怖いなと感じます。

牧田：攻撃者ってやっぱり、強いところを狙うのではなく、すぐ入れる弱いところから入ってくるじゃないですか。この環境ではそれが再現されています。本社を直接攻撃しようとしてもあまりポートが空いておらず、侵入が難しいのですが、子会社からだと侵入が容易で、しかも本社との間のファイアウォールでポートが空けられているので攻撃が通じる、といった具合に、サプライチェーンを踏み台にした例が体験できます。

　こうして実際に攻撃者側の経験をしてみることによって、「子会社、グループ会社でもそこまで権限を付与していいのか」「ファイアウォールのポートを安易にフルオープンにしていいのか」といったところにも頭が働き、いい学びになると思います。

Q：率直に言って、面白いですか？

牧田：めちゃくちゃ面白いですよ。エミュレータ上で動くハッキングゲームとは違い、このラボで動いているサーバは全部本物で、その中で動く Apache や PHP も全部、リアルワールドで使われている技術やサービスです。もちろん、存在する脆弱性も、ZeroLogon をはじめすべてリアルな脆弱性です。CTF のように競技用に作られた問題でもなく、エミュレータで作られたものでもなく、本当に存在する脆弱性がそのまま実装されているので、ハッキングゲームとして完成度が高いですね。正直僕は、モンハンや PS5 よりも面白いと思っています。

Q：牧田さんはセキュリティエンジニアとして診断の経験もお持ちですが、何か新しい発見はありましたか？

牧田：たくさんあります。脆弱性診断をするときには、たとえば「SQLインジェクションの脆弱性がこのサイトのこの URL にあります」という事実を特定することがゴールです。それを開発者に伝えて脆弱性を修正できればミッション達成ですが、このアカデミーではむしろ脆弱性を見つけてから始まりになります。そこからどうやってサーバに侵入するか、シェルを取るか、そしてさらに権限昇格をしていくか、といったところに頭を使っていく必要があります。確かに脆弱性診断も攻撃の一種なんですが、やっぱり守り寄りで、このラボとはまったく違うところが新鮮でしたね。

　体験してみて目からウロコだったポイントとしては、クロスサイトスクリプティング（XSS）経由でサーバのシェルを取れる手法がありました。一般に XSS というと、セッション情報を盗み取ったりするものというイメージで、リスクもミドル程度です。しかし Beef XSS というツールを使うと、JavaScript から Firefox の脆弱性を攻撃し、そこからリバースシェルを取れてしまいます。「古い脆弱性のあるブラウザを使っていたら、XSS で侵入までされちゃうんだ」という気付きがとても新鮮でした。

Q：となると、技術的な難易度はけっこう高いんですね？

牧田：いえ、技術的な難易度はそんなに高くないと思います。リバースエンジニアリングも必要なければ、ゼロデイの脆弱性を見つける必要も、Exploit を開発する必要もありません。そういった意味では、難易度がめちゃくちゃ高いわけではありません。

　ただ、資格を取得するには、24 時間で 5 台のサーバに侵入し、権限昇格する必要があり、さらにその結果を報告書にまとめて 24 時間以内に提出する必要があります。

　試験の傾向として、ラボや他の環境ではあまり出てこないような未知のサービスが出てきます。初めてのサービスに出会ったとき、ゼロの状態からどういうプロセスで脆弱性を見つけ、攻撃コードを作成してシェルを取れるかといったことが受験者には問われます。つまり、暗記では合格できないんです。攻撃者の思考方法を学ぶ必要があるんですね。コマンドを覚えたり、ツールの使い方を知るだけでは足りないという意味では、少し難易度が高いかもしれません。

Q：発想力や応用力が問われるイメージでしょうか。

牧田：そうでもありません。ラボと試験とではちょっと考え方が異なりますが、試験に合格するには、業務レベルで脆弱性を網羅的に見つける、脆弱性診断士に必要なスキルが求められるように思いました。もう一つ、見つけた脆弱性の説明やリスクの評価、再現方法や修正方法をまとめる能力も必要です。開発者がそれを読んで問題を再現し、修正できるようにするのと同じで、もし提出したレポート通りに脆弱性が再現できなければ減点されてしまいます。

　一方、ラボはそこまで網羅的な、実務レベルの能力までは求められません。怪しいなと思ったところを調べて、脆弱性が見つかったら Exploit を使って侵入していく、という形です。

　この 2 つは、アマチュアとプロの違いにたとえられると思います。アマチュアは自分の感性や直感で怪しいと思ったところを深掘りしていくと思いますが、プロフェッショナルの場合は、たとえ怪しいと感じない場所があったとしても網羅的に見て、脆弱性を見つけていくスキルが求められます。

Q：教育コースの分量はどのくらいなんでしょうか？

牧田：90 日間コースで、教科書は約 850 ページあります。長くても 5 日間程度の他のトレーニングコースに比べると長期に渡りますが、それは、ラボに用意された環境に侵入していくハンズオンが重視されているからです。

Q：英語ができないと難しいでしょうか？

牧田：今翻訳を進めていますが、認定試験に関しては Offensive Security社が評価を行うので、英語で報告書を書く必要があります。テンプレートがあるのでそこまで難しくはないんですが、まったく分からない状態では難しいかもしれませんね。

Q：当初、学生 5 名に無償で提供するという話でしたが、20 名に枠を増やしましたね。

牧田：攻撃手法を理解できるセキュリティエンジニアを国内で増やす社会貢献の一つとして、学生 5 名を対象に無償提供することにしました。そうしたらものすごい数の応募がありまして……しかも、動機を聞いてみると本当にセキュリティを勉強したいんだ、将来セキュリティエンジニアになりたいんだという熱意に心を打たれ、そんな方たちを応援できればと考えて急遽枠を増やしました。最近の若い人たちの意気込みというのはすごいですね。

Q：御社的には持ち出しが増えて大変ではないでしょうか。

牧田：それでも、いつか優秀な方がうちに入社してくれたり、直接ではないにせよこの業界のどこかで仕事をしていく中で接点ができれば十分かなと思っています。

●ハッキングゲームよりもずっと面白い？　楽しみながら学びを得られるコース

Q：他のコースについてもお聞かせください。

牧田：クラウドハッキングコースは、AWS や Azure、GCP といったクラウドサービスを利用する際によくある脆弱性について、座学だけでなくハンズオンで学べるものを提供していこうと考えています。

　たとえば AWS の IAM 設定に脆弱性があったり、Amazon S3 バケットの設定を間違えて公開すべきではないものを公開してしまうといったインシデントは、昔からよくある問題です。ただ、それらへの攻撃を自分で体験することによって、あらためてどんな基本的なセキュリティ対策が必要なのかを学べればと考えています。ハイエンド向け、セキュリティチーム向けというよりも、開発者も含んだエントリー向けというイメージです。

Q：もう一つのインシデントレスポンス訓練コースはどのような内容でしょうか？

牧田：CSIRT の担当者向けに、攻撃を受けた際にログをどのように見ればいいかといったインシデントハンドリングの基礎を理解できる内容になります。「攻撃者はこういう発想で、こういう手順で攻撃をしてくるので、このログを見れば形跡がつかめる」といった基礎的な内容を説明します。

Q：基本的には IT の世界を前提とした内容ですが、御社的には IoT の内容も加わると面白そうですね。

牧田：その通りですね。ラボの先で IoT 機器が動いていてカメラに侵入できたりしたら面白いと思うので、追加コースについても検討しています。

Q：では最後に、読者に向けて一言お願いします。

牧田：自分自身、2 ヶ月程度掛けてこのコースを受講しました。社長業をやりながら、朝や夜の時間を使って、毎日「今日はどのサーバに侵入してみようかな」と考えたりして、とても楽しかったんですね。しかもそこで得たノウハウは、テレビゲームとは異なり、セキュリティを高めていくためにこの先の人生でずっと活用できるスキルになります。興味があればぜひ受けてみてください。とにかく楽しいですよ。

モンハンよりも面白い？攻撃者目線を学ぶ「イエラエアカデミー」

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

ガートナークラウドクッキング教室～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証 大英図書館ランサムウェア ～ 過ちが語る普遍的な物語

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Proscend Communications 製 M330-W および M330-W5 に OS コマンドインジェクションの脆弱性

Oracle Java に攻撃された場合の影響が大きい脆弱性、修正プログラムの適用を呼びかけ

Ivanti Connect Secure と Ivanti Policy Secure Gateways に複数の脆弱性、1 月以降の状況を整理

Windows DNS の脆弱性情報が公開

バッファロー製無線 LAN ルータに複数の脆弱性

Palo Alto Networks 社製 PAN-OS GlobalProtect に OS コマンドインジェクションの脆弱性

インシデント・事故 記事一覧へ

東京高速道路のメールアカウントを不正利用、大量のメールを送信

組込み機器のイーアールアイに不正アクセス、スパムメール送信の踏み台に

インフォマート 公式 Facebook ページに不正ログイン

フュートレックにランサムウェア攻撃、本番環境への侵入形跡は存在せず

転職先で営業活動に活用、プルデンシャル生命保険 元社員 顧客情報持ち出し

東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

調査・レポート・白書・ガイドライン 記事一覧へ

セキュリティ対策は株価を上げるのか ～ 株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍 時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

プルーフポイント、マルウェア配布する YouTube チャンネル特定

IT部門か全員かそれとも政府か ～ サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠 ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い ～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス 記事一覧へ

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

Reject 運用のポイント他 ～ 日本プルーフポイント「DMARC Conference 2024」5 月末 大手町で開催

韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催

エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校 チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向 記事一覧へ

脆弱性診断自動化ツール「AeyeScan」の SSO 機能が SAML 認証に対応

セキュリティ診断会社と開発会社が業務提携 ～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ 国内 1 位

警察庁、サイバー事案通報の統一窓口を設置

脆弱性診断自動化ツール「AeyeScan」にシングルサインオン機能、大規模ユーザーにも対応

ALSI、国産脅威インテリジェンスサービス「InterSafe Threat Intelligence Platform」提供

おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞（上野宣）

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

インフォマート公式 Facebook ページに不正ログイン

転職先で営業活動に活用、プルデンシャル生命保険元社員顧客情報持ち出し

調査・レポート・白書・ガイドライン記事一覧へ

セキュリティ対策は株価を上げるのか～株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

IT部門か全員かそれとも政府か～サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス記事一覧へ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

Reject 運用のポイント他～日本プルーフポイント「DMARC Conference 2024」5 月末大手町で開催

韓国の 2024年セキュリティ市場規模 8,000 億円見込～ SECON & eGISEC 2024 開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向記事一覧へ

セキュリティ診断会社と開発会社が業務提携～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ国内 1 位

おしらせ記事一覧へ

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン読者特典]

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ