専門学校・高専対象の脆弱性発見コンテスト、「ペンテスター」になって授業ではできない体験を | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.03.20(水)

専門学校・高専対象の脆弱性発見コンテスト、「ペンテスター」になって授業ではできない体験を

三井物産セキュアディレクション(MBSD)は、全国の専門学校生・高等専門学校生を対象にしたセキュリティコンテスト「MBSD Cybersecurity Challenges 2017」を実施した。

研修・セミナー・カンファレンス セミナー・イベント
堂々昨年のリベンジを果たした情報科学専門学校の IPFactory
堂々昨年のリベンジを果たした情報科学専門学校の IPFactory 全 14 枚 拡大写真
 三井物産セキュアディレクション(MBSD)は、全国の専門学校生・高等専門学校生を対象にしたセキュリティコンテスト「MBSD Cybersecurity Challenges 2017」を実施した。架空のオンラインバンキングシステム「MBSDバンク」に含まれる脆弱性を調査し、レポートをまとめることで、「脆弱性診断」という業務について、ひいてはサイバーセキュリティについての興味・関心を高めてもらうことが目的だ。

 2016年に続き2回目の開催となる今回は、北は北海道から南は九州まで32校、79チームがエントリー。それぞれの視点で脆弱性を指摘し、対策とともにまとめたレポートを提出し、一次審査の結果選ばれた10チームが2017年12月13日に開催された最終審査会に出場した。

 冒頭、開会挨拶に立ったMBSD代表取締役社長の神吉敏雄氏は、「ロンドンオリンピックではセキュリティ対策を担うオリンピック専用SOCに900人のエンジニアを集めたと聞いているが、日本で900人と言えばセキュリティ専門会社の技術者を全員合計しても届かない」と述べ、メディアで騒がれている以上にセキュリティ分野の人材不足は深刻だと語った。

 さらに神吉氏は「いずれ攻撃側だけでなく守る側もAIを使い、AI対AIの戦争になると予測する人もいる。確かに囲碁や将棋の世界ではAIが人間を負かしているが、それはルールが決まっているから。サイバーの世界にはルールがないし、そもそもAIや解析といった分野で成果を出すには人間が深く関わらなければならない」とした。もちろん「好きでなければ続かない」のが大前提だが、人が足りない分野に取り組むことが、この先の進路選択に有利になると学生らに呼び掛けた。


●学生チームが「ペンテスター」に、レポート・報告も評価対象

 MBSDでは長年にわたって、WebアプリケーションやITシステムに存在する脆弱性をさまざまなツールや手作業を通して発見し、対策法とともにレポートするセキュリティ診断サービスを提供してきた。

 MBSD Cybersecurity Challengesに参加する学生らはまさに、この「ペネトレーションテスター」の役割を擬似的に担う。4人以内が1組となりチームを組み、MBSDが仮想マシン形式で提供するWebサービスのシステムと、PHPで書かれたWebアプリケーションのソースコードを、10月16日から11月14日までの約1カ月をかけて診断した。

 現実世界のオンラインバンク同様、競技用に用意された「MBSDバンク」でも、ユーザーがログインして残高照会や振り込みといった処理を行えるようになっている。また、前回にはなかった試みとして、フィンテックなどで注目を集めるAPIサーバも用意し、診断の対象に加えた。

 だがMBSDバンクの実装にはSQLインジェクションやクロスサイトスクリプティング、ディレクトリトラバーサルといったWebアプリケーションの脆弱性に加え、セッションIDの不適切な処理やアクセス制御の不備に起因するなりすましや口座の不正操作が可能というものまで、深刻なセキュリティ上の不備があちこちに存在する。学生らはこうした問題を見つけるだけでなく、「サービスにどのような影響があるか」「どのように修正すべきか」をまとめ、提出した。

 MBSDで実際に診断サービスに携わるエンジニアらは、学生らが発見した脆弱性の数と正確さ、レポートの分かりやすさといった観点から評価し、最終審査会の出場チームを決定。選ばれた10チームは12分ずつプレゼンテーションを行い、さらに脆弱性と判断した根拠や推奨する対策の理由などを尋ねる審査員からの質問に答えていった。

 このようにコンテスト全体を通じて、脆弱性を見つけ出す技術はもちろんだが、その内容を正確に再現でき、顧客の立場に立って説明できているか、分かりやすくプレゼンテーションできたかも問うことで、より実務に近いスキルを競うコンテストとなっていることが特徴だ。

●Webとプラットフォームをバランスよくチェックし、顧客視点を意識したチームが上位に

 今回は、専門学校だけでなく高専にも門を開いたが、昨年の経験を生かしてか、決勝に残ったのは全て専門学校のチームとなった。出場チームは以下の通りだ。

  1. 1
  2. 2
  3. 3
  4. 続きを読む

《高橋 睦美》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 予約システム「Coubic」に不正アクセス、登録された個人情報が流出(クービック)

    予約システム「Coubic」に不正アクセス、登録された個人情報が流出(クービック)

  2. 不正アクセスで手帳アプリ「Lifebear」のアカウント情報が流出の可能性(ライフベア)

    不正アクセスで手帳アプリ「Lifebear」のアカウント情報が流出の可能性(ライフベア)

  3. x86 アーキテクチャの不可解な「仕様」

    x86 アーキテクチャの不可解な「仕様」

  4. 2018年後半の大規模障害にソフトバンクと東京証券取引所(IPA)

    2018年後半の大規模障害にソフトバンクと東京証券取引所(IPA)

  5. 「宅ふぁいる便」への不正アクセスの詳細調査結果を報告、サービスは当面休止へ(オージス総研)

    「宅ふぁいる便」への不正アクセスの詳細調査結果を報告、サービスは当面休止へ(オージス総研)

  6. 「鬼灯の冷徹」などを「BitTorrent」で販売し、逮捕(ACCS)

    「鬼灯の冷徹」などを「BitTorrent」で販売し、逮捕(ACCS)

  7. 疑問その3「クラウドのセキュリティ = CASB?」~日商エレに聞く、CASBとクラウドセキュリティの疑問

    疑問その3「クラウドのセキュリティ = CASB?」~日商エレに聞く、CASBとクラウドセキュリティの疑問PR

  8. Intelが複数製品のアップデートを公開、対応を呼びかけ(JVN)

    Intelが複数製品のアップデートを公開、対応を呼びかけ(JVN)

  9. 組織横断のPSIRTを構築、専用サイトを立ち上げ脆弱性情報も受付(三菱電機)

    組織横断のPSIRTを構築、専用サイトを立ち上げ脆弱性情報も受付(三菱電機)

  10. 中国・ロシア・イラン・北朝鮮、国別国家支援アクター分析レポート(CrowdStrike)

    中国・ロシア・イラン・北朝鮮、国別国家支援アクター分析レポート(CrowdStrike)

ランキングをもっと見る