モンハンよりも面白い？攻撃者目線を学ぶ「イエラエアカデミー」

イエラエセキュリティでは「イエラエアカデミー」の提供を2021年8月から開始した。最大の特徴は、攻撃者の手法、視点を学ぶことによって、「攻撃者優位」の状況を覆そうとしていることだ。

製品・サービス・業界動向新製品・新サービス

2021年10月13日（水） 08時20分 PR

オフェンシブセキュリティ資格証明書

　セキュリティエンジニア不足、セキュリティ人材不足が叫ばれるようになって久しい。これを踏まえてこの数年、さまざまなセキュリティ教育サービスが提供されるようになってきた。だが、イエラエセキュリティでは「いかに攻撃者の侵入を防ぐか」という観点からの教育だけでは、被害を防ぎきれないと考えている。

　そこで、こんな状況に一石を投じるべく、イエラエセキュリティでは「イエラエアカデミー」の提供を 2021 年 8 月から開始した。最大の特徴は、攻撃者の手法、視点を学ぶことによって、「攻撃者優位」の状況を覆そうとしていることだ。自らもオフェンシブセキュリティ資格取得コースを受講してみたというイエラエセキュリティの代表取締役社長、牧田誠氏に、その特徴を伺った。

●敵の考え方、敵の手法を知らなければ、攻撃者優位の状況は覆せない

Q：どんな目的で「イエラエアカデミー」を開始したのでしょうか？

牧田：セキュリティチームや CSIRT の人たちを対象にした法人向けの教育サービスです。ポイントは、ハッカーが使う手法を学ぶことによって攻撃者目線を養い、それを守りに生かすことを目指している点です。

　背景には、日本人全般の傾向として守りには強いけれど攻撃に弱いという問題意識があります。セキュリティと言えば「守り」一辺倒で、解析やリバースエンジニアリングといった領域は比較的強い一方で、攻撃となると、不正アクセス禁止法の関係もあってなかなかできず、攻撃者目線を養う機会がほとんどありません。そこで仮想的なラボ環境で攻撃者の手法を実践し、理解することを目的にしています。

　考え方の大元にあるのは、孫子の「敵を知り、己を知れば、百戦危うからず」という言葉です。敵がどういう考え方で、自分の会社のどこに着目し、どういう手法で攻撃してくるかを知った上で必要な守りを作っていくことが大切です。

Q：中には自力で CTF などにチャレンジし、攻撃者目線を身に付けていく人もいます。ですが、それだけでは人材が足りないということでしょうか？

牧田：自分で CTF を探してトライし、攻撃者目線を養える人もいます。そうした人は勝手に成長していきますが、数はすごく少ないと思っています。日本で不足しているセキュリティ技術者の数からすると、自然発生的に頑張る人たちの数は足りません。もう少しハードルを下げ、育成する必要があると思います。

　普通の CTF は、誰かがサポートしてくれるわけではありません。問題も、大会の難易度によって異なりますが、基本的には最新テクノロジや論文レベルの脆弱性の実装など、非常にハイエンドな内容となっています。そこまでいって楽しめる人たちは本当にわずかで、多くの人はそこにたどり着く前につまづいてしまっているように思います。せっかく挑戦してみたいと思っても、つまづく人が多いのはもったいない話です。

　そこでイエラエアカデミーでは、ホワイトハッカーがある程度サポートし、行き詰まったらヒントをあげて、つまづかず次に進んでいけるようサポートしていくこともコンセプトに含まれています。

Q：日本人はそんなに「攻撃」するのは弱いのでしょうか？

牧田：そう思います。諸外国では軍の中にサイバーセキュリティ部隊が存在し、自衛のための分析だけでなく、攻撃者目線でのツール開発なども進めているといった報道があります。これに対し日本はやっぱり守りが優先されるところがあり、サイバーセキュリティに関する肌感覚が少し違うのかなと思いますね。ですが、やはり攻撃者目線を持つエンジニアがいなければ自社を守れないのは事実だと思います。イエラエアカデミーではそうした部分を解決したいと思っています。

Q：自身が脆弱性診断を行ってきた経験からもそう思いますか？

牧田：ペネトレーションテストや脆弱性診断を通しても、攻めの弱さはすごく実感しています。皆さん、守ろうという意識はあるんです。企業によっては何千万という予算を掛け、あらゆるセキュリティ製品を導入していますが、攻撃者目線で見ると、それらの対策を生かし切れていないこともあります。たとえば、ベンダーの言いなりでいらない機器まで導入していたり、同じ用途の機器が複数入っていたり、ということがあります。また、せっかく導入した機器をきちんと運用できておらず、脅威を検知しても対応につなげられていないこともあります。場合によってはセキュリティ製品の脆弱性が踏み台となり、重要な情報が存在するネットワークに侵入を許してしまう状態となっているケースもあります。

　ですから、繰り返しになりますが、攻撃者がどういう手法を使い、どういう手順で侵入してくるかを知らないと適切に守ることができないし、セキュリティ製品の選定や設計・運用もできないんじゃないかと思います。

●リアルな脆弱性、リアルな環境を再現し、「リアルな攻撃手法」から学びを得る

Q：ではそうした課題を踏まえ、イエラエアカデミーについてもう少し詳しくお聞かせください。

牧田：イエラエアカデミーには大きく 3 つのコースがあります。1 つは、米Offensive Security が提供している資格の取得サポートを行う「オフェンシブセキュリティ資格取得コース」です。ほかに、クラウドのセキュリティについて学ぶ「クラウドハッキングコース」とインシデントレスポンスについて学ぶ「インシデントレスポンス訓練コース」があります。

　一番の目玉は、オフェンシブセキュリティ資格取得コースです。もともと、われわれイエラエセキュリティがペンテスターを育成する際にも、この教育プログラムを活用していたんですね。トップレベルのセキュリティエンジニアが率いており、理論だけではなくハンズオンで学習できる実践的な内容だということが分かっていたので選定しました。

Q：「ハッキングラボ」では、仮想空間でサイバー攻撃を実践できるのでしょうか？

牧田：何パターンもの脆弱性が実装されており、いろんな脆弱性について学べます。また、一台の端末に侵入して完結するのではなく、それを踏み台にして横展開していくところまで学べる点が非常に大きな特徴です。攻撃者が企業に侵入する際には、まず一般ユーザー権限の端末に侵入し、その端末から Active Directory のドメインコントローラなどに侵入して管理者権限に昇格し、そこからデータベース管理者の端末に侵入して……という具合に攻撃チェーンがつながっていきます。このラボではそうしたサイバーキルチェーンの流れを学ぶことができます。

　仮想環境には Windows 10 から XP まで、あるいは Linuxマシンも含め、75 台の端末が用意されています。それらが本社と 2 つのグループ企業、計 3 つの企業のネットワークを構成しているイメージです。アンチウイルスをすり抜けるマルウェアを作成してメールを送りつけると、ボットがそれを踏むため端末に侵入でき、それを踏み台にしながら奥へ、奥へと侵入していくプロセスを体験できます。

Q：まさに最近リスクが指摘されているサプライチェーン経由の攻撃が再現されているんですね。非常に興味深いですし、怖いなと感じます。

牧田：攻撃者ってやっぱり、強いところを狙うのではなく、すぐ入れる弱いところから入ってくるじゃないですか。この環境ではそれが再現されています。本社を直接攻撃しようとしてもあまりポートが空いておらず、侵入が難しいのですが、子会社からだと侵入が容易で、しかも本社との間のファイアウォールでポートが空けられているので攻撃が通じる、といった具合に、サプライチェーンを踏み台にした例が体験できます。

　こうして実際に攻撃者側の経験をしてみることによって、「子会社、グループ会社でもそこまで権限を付与していいのか」「ファイアウォールのポートを安易にフルオープンにしていいのか」といったところにも頭が働き、いい学びになると思います。

Q：率直に言って、面白いですか？

牧田：めちゃくちゃ面白いですよ。エミュレータ上で動くハッキングゲームとは違い、このラボで動いているサーバは全部本物で、その中で動く Apache や PHP も全部、リアルワールドで使われている技術やサービスです。もちろん、存在する脆弱性も、ZeroLogon をはじめすべてリアルな脆弱性です。CTF のように競技用に作られた問題でもなく、エミュレータで作られたものでもなく、本当に存在する脆弱性がそのまま実装されているので、ハッキングゲームとして完成度が高いですね。正直僕は、モンハンや PS5 よりも面白いと思っています。

Q：牧田さんはセキュリティエンジニアとして診断の経験もお持ちですが、何か新しい発見はありましたか？

牧田：たくさんあります。脆弱性診断をするときには、たとえば「SQLインジェクションの脆弱性がこのサイトのこの URL にあります」という事実を特定することがゴールです。それを開発者に伝えて脆弱性を修正できればミッション達成ですが、このアカデミーではむしろ脆弱性を見つけてから始まりになります。そこからどうやってサーバに侵入するか、シェルを取るか、そしてさらに権限昇格をしていくか、といったところに頭を使っていく必要があります。確かに脆弱性診断も攻撃の一種なんですが、やっぱり守り寄りで、このラボとはまったく違うところが新鮮でしたね。

　体験してみて目からウロコだったポイントとしては、クロスサイトスクリプティング（XSS）経由でサーバのシェルを取れる手法がありました。一般に XSS というと、セッション情報を盗み取ったりするものというイメージで、リスクもミドル程度です。しかし Beef XSS というツールを使うと、JavaScript から Firefox の脆弱性を攻撃し、そこからリバースシェルを取れてしまいます。「古い脆弱性のあるブラウザを使っていたら、XSS で侵入までされちゃうんだ」という気付きがとても新鮮でした。

Q：となると、技術的な難易度はけっこう高いんですね？

牧田：いえ、技術的な難易度はそんなに高くないと思います。リバースエンジニアリングも必要なければ、ゼロデイの脆弱性を見つける必要も、Exploit を開発する必要もありません。そういった意味では、難易度がめちゃくちゃ高いわけではありません。

　ただ、資格を取得するには、24 時間で 5 台のサーバに侵入し、権限昇格する必要があり、さらにその結果を報告書にまとめて 24 時間以内に提出する必要があります。

　試験の傾向として、ラボや他の環境ではあまり出てこないような未知のサービスが出てきます。初めてのサービスに出会ったとき、ゼロの状態からどういうプロセスで脆弱性を見つけ、攻撃コードを作成してシェルを取れるかといったことが受験者には問われます。つまり、暗記では合格できないんです。攻撃者の思考方法を学ぶ必要があるんですね。コマンドを覚えたり、ツールの使い方を知るだけでは足りないという意味では、少し難易度が高いかもしれません。

Q：発想力や応用力が問われるイメージでしょうか。

牧田：そうでもありません。ラボと試験とではちょっと考え方が異なりますが、試験に合格するには、業務レベルで脆弱性を網羅的に見つける、脆弱性診断士に必要なスキルが求められるように思いました。もう一つ、見つけた脆弱性の説明やリスクの評価、再現方法や修正方法をまとめる能力も必要です。開発者がそれを読んで問題を再現し、修正できるようにするのと同じで、もし提出したレポート通りに脆弱性が再現できなければ減点されてしまいます。

　一方、ラボはそこまで網羅的な、実務レベルの能力までは求められません。怪しいなと思ったところを調べて、脆弱性が見つかったら Exploit を使って侵入していく、という形です。

　この 2 つは、アマチュアとプロの違いにたとえられると思います。アマチュアは自分の感性や直感で怪しいと思ったところを深掘りしていくと思いますが、プロフェッショナルの場合は、たとえ怪しいと感じない場所があったとしても網羅的に見て、脆弱性を見つけていくスキルが求められます。

Q：教育コースの分量はどのくらいなんでしょうか？

牧田：90 日間コースで、教科書は約 850 ページあります。長くても 5 日間程度の他のトレーニングコースに比べると長期に渡りますが、それは、ラボに用意された環境に侵入していくハンズオンが重視されているからです。

Q：英語ができないと難しいでしょうか？

牧田：今翻訳を進めていますが、認定試験に関しては Offensive Security社が評価を行うので、英語で報告書を書く必要があります。テンプレートがあるのでそこまで難しくはないんですが、まったく分からない状態では難しいかもしれませんね。

Q：当初、学生 5 名に無償で提供するという話でしたが、20 名に枠を増やしましたね。

牧田：攻撃手法を理解できるセキュリティエンジニアを国内で増やす社会貢献の一つとして、学生 5 名を対象に無償提供することにしました。そうしたらものすごい数の応募がありまして……しかも、動機を聞いてみると本当にセキュリティを勉強したいんだ、将来セキュリティエンジニアになりたいんだという熱意に心を打たれ、そんな方たちを応援できればと考えて急遽枠を増やしました。最近の若い人たちの意気込みというのはすごいですね。

Q：御社的には持ち出しが増えて大変ではないでしょうか。

牧田：それでも、いつか優秀な方がうちに入社してくれたり、直接ではないにせよこの業界のどこかで仕事をしていく中で接点ができれば十分かなと思っています。

●ハッキングゲームよりもずっと面白い？　楽しみながら学びを得られるコース

Q：他のコースについてもお聞かせください。

牧田：クラウドハッキングコースは、AWS や Azure、GCP といったクラウドサービスを利用する際によくある脆弱性について、座学だけでなくハンズオンで学べるものを提供していこうと考えています。

　たとえば AWS の IAM 設定に脆弱性があったり、Amazon S3 バケットの設定を間違えて公開すべきではないものを公開してしまうといったインシデントは、昔からよくある問題です。ただ、それらへの攻撃を自分で体験することによって、あらためてどんな基本的なセキュリティ対策が必要なのかを学べればと考えています。ハイエンド向け、セキュリティチーム向けというよりも、開発者も含んだエントリー向けというイメージです。

Q：もう一つのインシデントレスポンス訓練コースはどのような内容でしょうか？

牧田：CSIRT の担当者向けに、攻撃を受けた際にログをどのように見ればいいかといったインシデントハンドリングの基礎を理解できる内容になります。「攻撃者はこういう発想で、こういう手順で攻撃をしてくるので、このログを見れば形跡がつかめる」といった基礎的な内容を説明します。

Q：基本的には IT の世界を前提とした内容ですが、御社的には IoT の内容も加わると面白そうですね。

牧田：その通りですね。ラボの先で IoT 機器が動いていてカメラに侵入できたりしたら面白いと思うので、追加コースについても検討しています。

Q：では最後に、読者に向けて一言お願いします。

牧田：自分自身、2 ヶ月程度掛けてこのコースを受講しました。社長業をやりながら、朝や夜の時間を使って、毎日「今日はどのサーバに侵入してみようかな」と考えたりして、とても楽しかったんですね。しかもそこで得たノウハウは、テレビゲームとは異なり、セキュリティを高めていくためにこの先の人生でずっと活用できるスキルになります。興味があればぜひ受けてみてください。とにかく楽しいですよ。

モンハンよりも面白い？攻撃者目線を学ぶ「イエラエアカデミー」

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

生理アプリのデータ販売を違法にする法案提出、診療所周辺のジオフェンシングも禁止

Foxit Software 社の複数のソフトウェアおける Doc オブジェクトのメモリ制御不備に起因する Use-After-Free の脆弱性（Scan Tech Report）

ランサムウェア攻撃の身代金は支払わない傾向、攻撃者収入半減

今日もどこかで情報漏えい第7回「2022年に最も読まれたセキュリティ事件・事故・情報漏えい・不正アクセス記事ベスト10」

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

生理アプリのデータ販売を違法にする法案提出、診療所周辺のジオフェンシングも禁止

Foxit Software 社の複数のソフトウェアおける Doc オブジェクトのメモリ制御不備に起因する Use-After-Free の脆弱性（Scan Tech Report）

ランサムウェア攻撃の身代金は支払わない傾向、攻撃者 収入半減

今日もどこかで情報漏えい 第7回「2022年に最も読まれたセキュリティ事件・事故・情報漏えい・不正アクセス記事 ベスト10」

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

pgAdmin 4 にディレクトリトラバーサルの脆弱性

EasyMail にXSSの脆弱性

Mandiant Blog 第10回「Windows環境のEDR終了させる悪質ドライバ ～ 証明署名付きマルウェアの追跡」

Foxit Software 社の複数のソフトウェアおける Doc オブジェクトのメモリ制御不備に起因する Use-After-Free の脆弱性（Scan Tech Report）

2022年12月 MBSD-SOC 検知傾向、先月に続き Exchange Server の脆弱性狙う攻撃

Apache HTTP Server 2.4に複数の脆弱性

インシデント・事故 記事一覧へ

ダブルチェックもれた理由は件名欄にメールアドレス記載、再犯防止の研修会で案内メール誤送信

日本自動車輸入組合のサーバに不正アクセス、個人情報が漏えいした可能性

新⾞中古⾞販売のグッドスピードに不正アクセス「被害は一部のサーバにとどまる」

朝倉書店へ不正アクセス、年末年始の休業期間中で復旧に遅れ

「TOKYO FM公式ショッピングサイト」に不正アクセス、再決済要求する不審メールに注意呼びかけ

不要なアドレスを削除せずメール転送 佐賀県武雄市

調査・レポート・白書・ガイドライン 記事一覧へ

顔ぶれは去年と9割一緒、IPA「情報セキュリティ10大脅威 2023」

2年連続記録更新、2022年の上場企業の情報漏えい ～ 東京商工リサーチ調査

2022年4Q「JVN iPedia」登録状況、XMP Toolkit SDK における古典的バッファオーバーフロー脆弱性 他

七〇歳代のスマホ 七割が画面ロック未設定

サイバー攻撃組織「Lazarus」Ｑ＆Ａ

2022年4Q IPAセキュリティ相談窓口 相談状況、新相談区分「SMS」「アウトリーチ」追加

研修・セミナー・カンファレンス 記事一覧へ

警察庁・総務省、フィッシングや迷惑メール対策で重要な役割を果たす「官」の役割、具体的な取り組みとは？ ～ JPAAWG 5th General Meetingレポート - 2

群馬県高崎市で「サイバーインシデント演習 in 関東」2/14 開催、講師 川口設計 川口氏

全国の情シス50人に聞いた365の弊害や問題点、好評セミナーをオンデマンド配信

CSIJ 公開シンポジウム 1/24 開催、GSX CCO 武藤氏ほか講演

ヤフーとドコモ、「偽メールを止める」と「正しいメールを正しく認知してもらう」の両立を図るための、DMARC、BIMI、そして独自の取り組み ～ JPAAWG 5th General Meetingレポート - 1

1/24 第92回CSA勉強会「SMBCグループのクラウド活用におけるCCoEの役割とセキュリティ管理・統制」

製品・サービス・業界動向 記事一覧へ

「Apex Legends」高ランク帯のマッチ向けにDDoS攻撃からの保護機能を実装

LogStare 、AWS CloudTrailに特化したログ分析・アラートテンプレートを搭載

2022年JNSA表彰、HardeningやGMOイエラエ阿部氏ほか受賞

ティエスエスリンク、社内閉域網で機能拡張を配布「CRX配布オプション」を「パイレーツバスター AWP Ver.12.1」に

第19回「情報セキュリティ文化賞」受賞者決定、慶應義塾 小林和真氏をはじめ4名

IPA、セキュリティ予算獲得「経営層説得」ツール公開

おしらせ 記事一覧へ

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

Scan PREMIUM 創刊24周年記念キャンペーン実施中

ScanNetSecurity 創刊24周年御礼の辞（上野宣）

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催

ランサムウェア攻撃の身代金は支払わない傾向、攻撃者収入半減

今日もどこかで情報漏えい第7回「2022年に最も読まれたセキュリティ事件・事故・情報漏えい・不正アクセス記事ベスト10」

脆弱性と脅威記事一覧へ

Mandiant Blog 第10回「Windows環境のEDR終了させる悪質ドライバ～証明署名付きマルウェアの追跡」

インシデント・事故記事一覧へ

不要なアドレスを削除せずメール転送佐賀県武雄市

調査・レポート・白書・ガイドライン記事一覧へ

2年連続記録更新、2022年の上場企業の情報漏えい～東京商工リサーチ調査

2022年4Q「JVN iPedia」登録状況、XMP Toolkit SDK における古典的バッファオーバーフロー脆弱性他

七〇歳代のスマホ七割が画面ロック未設定

2022年4Q IPAセキュリティ相談窓口相談状況、新相談区分「SMS」「アウトリーチ」追加

研修・セミナー・カンファレンス記事一覧へ

警察庁・総務省、フィッシングや迷惑メール対策で重要な役割を果たす「官」の役割、具体的な取り組みとは？～ JPAAWG 5th General Meetingレポート - 2

群馬県高崎市で「サイバーインシデント演習 in 関東」2/14 開催、講師川口設計川口氏

ヤフーとドコモ、「偽メールを止める」と「正しいメールを正しく認知してもらう」の両立を図るための、DMARC、BIMI、そして独自の取り組み～ JPAAWG 5th General Meetingレポート - 1

製品・サービス・業界動向記事一覧へ

第19回「情報セキュリティ文化賞」受賞者決定、慶應義塾小林和真氏をはじめ4名

おしらせ記事一覧へ

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ