モンハンよりも面白い？攻撃者目線を学ぶ「イエラエアカデミー」

　セキュリティエンジニア不足、セキュリティ人材不足が叫ばれるようになって久しい。これを踏まえてこの数年、さまざまなセキュリティ教育サービスが提供されるようになってきた。だが、イエラエセキュリティでは「いかに攻撃者の侵入を防ぐか」という観点からの教育だけでは、被害を防ぎきれないと考えている。

　そこで、こんな状況に一石を投じるべく、イエラエセキュリティでは「イエラエアカデミー」の提供を 2021 年 8 月から開始した。最大の特徴は、攻撃者の手法、視点を学ぶことによって、「攻撃者優位」の状況を覆そうとしていることだ。自らもオフェンシブセキュリティ資格取得コースを受講してみたというイエラエセキュリティの代表取締役社長、牧田誠氏に、その特徴を伺った。

●敵の考え方、敵の手法を知らなければ、攻撃者優位の状況は覆せない

Q：どんな目的で「イエラエアカデミー」を開始したのでしょうか？

牧田：セキュリティチームや CSIRT の人たちを対象にした法人向けの教育サービスです。ポイントは、ハッカーが使う手法を学ぶことによって攻撃者目線を養い、それを守りに生かすことを目指している点です。

　背景には、日本人全般の傾向として守りには強いけれど攻撃に弱いという問題意識があります。セキュリティと言えば「守り」一辺倒で、解析やリバースエンジニアリングといった領域は比較的強い一方で、攻撃となると、不正アクセス禁止法の関係もあってなかなかできず、攻撃者目線を養う機会がほとんどありません。そこで仮想的なラボ環境で攻撃者の手法を実践し、理解することを目的にしています。

　考え方の大元にあるのは、孫子の「敵を知り、己を知れば、百戦危うからず」という言葉です。敵がどういう考え方で、自分の会社のどこに着目し、どういう手法で攻撃してくるかを知った上で必要な守りを作っていくことが大切です。

Q：中には自力で CTF などにチャレンジし、攻撃者目線を身に付けていく人もいます。ですが、それだけでは人材が足りないということでしょうか？

牧田：自分で CTF を探してトライし、攻撃者目線を養える人もいます。そうした人は勝手に成長していきますが、数はすごく少ないと思っています。日本で不足しているセキュリティ技術者の数からすると、自然発生的に頑張る人たちの数は足りません。もう少しハードルを下げ、育成する必要があると思います。

　普通の CTF は、誰かがサポートしてくれるわけではありません。問題も、大会の難易度によって異なりますが、基本的には最新テクノロジや論文レベルの脆弱性の実装など、非常にハイエンドな内容となっています。そこまでいって楽しめる人たちは本当にわずかで、多くの人はそこにたどり着く前につまづいてしまっているように思います。せっかく挑戦してみたいと思っても、つまづく人が多いのはもったいない話です。

　そこでイエラエアカデミーでは、ホワイトハッカーがある程度サポートし、行き詰まったらヒントをあげて、つまづかず次に進んでいけるようサポートしていくこともコンセプトに含まれています。

Q：日本人はそんなに「攻撃」するのは弱いのでしょうか？

牧田：そう思います。諸外国では軍の中にサイバーセキュリティ部隊が存在し、自衛のための分析だけでなく、攻撃者目線でのツール開発なども進めているといった報道があります。これに対し日本はやっぱり守りが優先されるところがあり、サイバーセキュリティに関する肌感覚が少し違うのかなと思いますね。ですが、やはり攻撃者目線を持つエンジニアがいなければ自社を守れないのは事実だと思います。イエラエアカデミーではそうした部分を解決したいと思っています。

Q：自身が脆弱性診断を行ってきた経験からもそう思いますか？

牧田：ペネトレーションテストや脆弱性診断を通しても、攻めの弱さはすごく実感しています。皆さん、守ろうという意識はあるんです。企業によっては何千万という予算を掛け、あらゆるセキュリティ製品を導入していますが、攻撃者目線で見ると、それらの対策を生かし切れていないこともあります。たとえば、ベンダーの言いなりでいらない機器まで導入していたり、同じ用途の機器が複数入っていたり、ということがあります。また、せっかく導入した機器をきちんと運用できておらず、脅威を検知しても対応につなげられていないこともあります。場合によってはセキュリティ製品の脆弱性が踏み台となり、重要な情報が存在するネットワークに侵入を許してしまう状態となっているケースもあります。

　ですから、繰り返しになりますが、攻撃者がどういう手法を使い、どういう手順で侵入してくるかを知らないと適切に守ることができないし、セキュリティ製品の選定や設計・運用もできないんじゃないかと思います。

●リアルな脆弱性、リアルな環境を再現し、「リアルな攻撃手法」から学びを得る

Q：ではそうした課題を踏まえ、イエラエアカデミーについてもう少し詳しくお聞かせください。

牧田：イエラエアカデミーには大きく 3 つのコースがあります。1 つは、米Offensive Security が提供している資格の取得サポートを行う「オフェンシブセキュリティ資格取得コース」です。ほかに、クラウドのセキュリティについて学ぶ「クラウドハッキングコース」とインシデントレスポンスについて学ぶ「インシデントレスポンス訓練コース」があります。

　一番の目玉は、オフェンシブセキュリティ資格取得コースです。もともと、われわれイエラエセキュリティがペンテスターを育成する際にも、この教育プログラムを活用していたんですね。トップレベルのセキュリティエンジニアが率いており、理論だけではなくハンズオンで学習できる実践的な内容だということが分かっていたので選定しました。

Q：「ハッキングラボ」では、仮想空間でサイバー攻撃を実践できるのでしょうか？

牧田：何パターンもの脆弱性が実装されており、いろんな脆弱性について学べます。また、一台の端末に侵入して完結するのではなく、それを踏み台にして横展開していくところまで学べる点が非常に大きな特徴です。攻撃者が企業に侵入する際には、まず一般ユーザー権限の端末に侵入し、その端末から Active Directory のドメインコントローラなどに侵入して管理者権限に昇格し、そこからデータベース管理者の端末に侵入して……という具合に攻撃チェーンがつながっていきます。このラボではそうしたサイバーキルチェーンの流れを学ぶことができます。

　仮想環境には Windows 10 から XP まで、あるいは Linuxマシンも含め、75 台の端末が用意されています。それらが本社と 2 つのグループ企業、計 3 つの企業のネットワークを構成しているイメージです。アンチウイルスをすり抜けるマルウェアを作成してメールを送りつけると、ボットがそれを踏むため端末に侵入でき、それを踏み台にしながら奥へ、奥へと侵入していくプロセスを体験できます。

Q：まさに最近リスクが指摘されているサプライチェーン経由の攻撃が再現されているんですね。非常に興味深いですし、怖いなと感じます。

牧田：攻撃者ってやっぱり、強いところを狙うのではなく、すぐ入れる弱いところから入ってくるじゃないですか。この環境ではそれが再現されています。本社を直接攻撃しようとしてもあまりポートが空いておらず、侵入が難しいのですが、子会社からだと侵入が容易で、しかも本社との間のファイアウォールでポートが空けられているので攻撃が通じる、といった具合に、サプライチェーンを踏み台にした例が体験できます。

　こうして実際に攻撃者側の経験をしてみることによって、「子会社、グループ会社でもそこまで権限を付与していいのか」「ファイアウォールのポートを安易にフルオープンにしていいのか」といったところにも頭が働き、いい学びになると思います。

Q：率直に言って、面白いですか？

牧田：めちゃくちゃ面白いですよ。エミュレータ上で動くハッキングゲームとは違い、このラボで動いているサーバは全部本物で、その中で動く Apache や PHP も全部、リアルワールドで使われている技術やサービスです。もちろん、存在する脆弱性も、ZeroLogon をはじめすべてリアルな脆弱性です。CTF のように競技用に作られた問題でもなく、エミュレータで作られたものでもなく、本当に存在する脆弱性がそのまま実装されているので、ハッキングゲームとして完成度が高いですね。正直僕は、モンハンや PS5 よりも面白いと思っています。

Q：牧田さんはセキュリティエンジニアとして診断の経験もお持ちですが、何か新しい発見はありましたか？

牧田：たくさんあります。脆弱性診断をするときには、たとえば「SQLインジェクションの脆弱性がこのサイトのこの URL にあります」という事実を特定することがゴールです。それを開発者に伝えて脆弱性を修正できればミッション達成ですが、このアカデミーではむしろ脆弱性を見つけてから始まりになります。そこからどうやってサーバに侵入するか、シェルを取るか、そしてさらに権限昇格をしていくか、といったところに頭を使っていく必要があります。確かに脆弱性診断も攻撃の一種なんですが、やっぱり守り寄りで、このラボとはまったく違うところが新鮮でしたね。

　体験してみて目からウロコだったポイントとしては、クロスサイトスクリプティング（XSS）経由でサーバのシェルを取れる手法がありました。一般に XSS というと、セッション情報を盗み取ったりするものというイメージで、リスクもミドル程度です。しかし Beef XSS というツールを使うと、JavaScript から Firefox の脆弱性を攻撃し、そこからリバースシェルを取れてしまいます。「古い脆弱性のあるブラウザを使っていたら、XSS で侵入までされちゃうんだ」という気付きがとても新鮮でした。

Q：となると、技術的な難易度はけっこう高いんですね？

牧田：いえ、技術的な難易度はそんなに高くないと思います。リバースエンジニアリングも必要なければ、ゼロデイの脆弱性を見つける必要も、Exploit を開発する必要もありません。そういった意味では、難易度がめちゃくちゃ高いわけではありません。

　ただ、資格を取得するには、24 時間で 5 台のサーバに侵入し、権限昇格する必要があり、さらにその結果を報告書にまとめて 24 時間以内に提出する必要があります。

　試験の傾向として、ラボや他の環境ではあまり出てこないような未知のサービスが出てきます。初めてのサービスに出会ったとき、ゼロの状態からどういうプロセスで脆弱性を見つけ、攻撃コードを作成してシェルを取れるかといったことが受験者には問われます。つまり、暗記では合格できないんです。攻撃者の思考方法を学ぶ必要があるんですね。コマンドを覚えたり、ツールの使い方を知るだけでは足りないという意味では、少し難易度が高いかもしれません。

Q：発想力や応用力が問われるイメージでしょうか。

牧田：そうでもありません。ラボと試験とではちょっと考え方が異なりますが、試験に合格するには、業務レベルで脆弱性を網羅的に見つける、脆弱性診断士に必要なスキルが求められるように思いました。もう一つ、見つけた脆弱性の説明やリスクの評価、再現方法や修正方法をまとめる能力も必要です。開発者がそれを読んで問題を再現し、修正できるようにするのと同じで、もし提出したレポート通りに脆弱性が再現できなければ減点されてしまいます。

　一方、ラボはそこまで網羅的な、実務レベルの能力までは求められません。怪しいなと思ったところを調べて、脆弱性が見つかったら Exploit を使って侵入していく、という形です。

　この 2 つは、アマチュアとプロの違いにたとえられると思います。アマチュアは自分の感性や直感で怪しいと思ったところを深掘りしていくと思いますが、プロフェッショナルの場合は、たとえ怪しいと感じない場所があったとしても網羅的に見て、脆弱性を見つけていくスキルが求められます。

Q：教育コースの分量はどのくらいなんでしょうか？

牧田：90 日間コースで、教科書は約 850 ページあります。長くても 5 日間程度の他のトレーニングコースに比べると長期に渡りますが、それは、ラボに用意された環境に侵入していくハンズオンが重視されているからです。

Q：英語ができないと難しいでしょうか？

牧田：今翻訳を進めていますが、認定試験に関しては Offensive Security社が評価を行うので、英語で報告書を書く必要があります。テンプレートがあるのでそこまで難しくはないんですが、まったく分からない状態では難しいかもしれませんね。

Q：当初、学生 5 名に無償で提供するという話でしたが、20 名に枠を増やしましたね。

牧田：攻撃手法を理解できるセキュリティエンジニアを国内で増やす社会貢献の一つとして、学生 5 名を対象に無償提供することにしました。そうしたらものすごい数の応募がありまして……しかも、動機を聞いてみると本当にセキュリティを勉強したいんだ、将来セキュリティエンジニアになりたいんだという熱意に心を打たれ、そんな方たちを応援できればと考えて急遽枠を増やしました。最近の若い人たちの意気込みというのはすごいですね。

Q：御社的には持ち出しが増えて大変ではないでしょうか。

牧田：それでも、いつか優秀な方がうちに入社してくれたり、直接ではないにせよこの業界のどこかで仕事をしていく中で接点ができれば十分かなと思っています。

●ハッキングゲームよりもずっと面白い？　楽しみながら学びを得られるコース

Q：他のコースについてもお聞かせください。

牧田：クラウドハッキングコースは、AWS や Azure、GCP といったクラウドサービスを利用する際によくある脆弱性について、座学だけでなくハンズオンで学べるものを提供していこうと考えています。

　たとえば AWS の IAM 設定に脆弱性があったり、Amazon S3 バケットの設定を間違えて公開すべきではないものを公開してしまうといったインシデントは、昔からよくある問題です。ただ、それらへの攻撃を自分で体験することによって、あらためてどんな基本的なセキュリティ対策が必要なのかを学べればと考えています。ハイエンド向け、セキュリティチーム向けというよりも、開発者も含んだエントリー向けというイメージです。

Q：もう一つのインシデントレスポンス訓練コースはどのような内容でしょうか？

牧田：CSIRT の担当者向けに、攻撃を受けた際にログをどのように見ればいいかといったインシデントハンドリングの基礎を理解できる内容になります。「攻撃者はこういう発想で、こういう手順で攻撃をしてくるので、このログを見れば形跡がつかめる」といった基礎的な内容を説明します。

Q：基本的には IT の世界を前提とした内容ですが、御社的には IoT の内容も加わると面白そうですね。

牧田：その通りですね。ラボの先で IoT 機器が動いていてカメラに侵入できたりしたら面白いと思うので、追加コースについても検討しています。

Q：では最後に、読者に向けて一言お願いします。

牧田：自分自身、2 ヶ月程度掛けてこのコースを受講しました。社長業をやりながら、朝や夜の時間を使って、毎日「今日はどのサーバに侵入してみようかな」と考えたりして、とても楽しかったんですね。しかもそこで得たノウハウは、テレビゲームとは異なり、セキュリティを高めていくためにこの先の人生でずっと活用できるスキルになります。興味があればぜひ受けてみてください。とにかく楽しいですよ。