SHIELD Security Reserch Center

Metasploit の開発者が多彩な研究活動の一端を披露 !!

プロフィール：1981 年生まれ。2003 年に Metasploit Projectを立ちあげる。2009 年、同プロジェクトは Rapid7 により買収。
現在、同社のチーフ・セキュリティ・オフィサーを務める。

HD ムーア インタビュー●インタビュー = 笠原利香

●写真 + 構成 = 斉藤健一

ネットワークをスキャンして脆弱性を列挙し、豊富なモジュールの中から対応する Exploit（攻撃コード）を選び出し実行する。この一連の作業を簡単な対話形式のインターフェイスで実現したのが Metasploit Framework。ポートスキャナーの Nmap やパケット解析ツールの Wireshark とも並び称される人気ツールだ。今回は作者の HD ムーア氏に登場願い、多彩な研究の中からその一端を紹介してもらうこととした。なお、インタビューは 2013 年 8 月、DEFCON 会場にて行った。

2

R：なるほど。それにしても 18 歳というのは早熟

高校生の時からセキュリティ業界で活躍する異色の経歴ですね。
H： 実 は、 高 校 生 の 頃 か ら CSC（ComputerScience Corporation）という企業を経由して、軍笠 原 利 香（ 以 下 R）： 今 回 の イ ン タ ビ ュ ー で は関係の仕事をしてたんです。ちなみに僕が最初にあ な た の 経 歴 や Metasploit Framework（ 以 下カンファレンスでスピーチしたのは SANS がスポMetasploit）のこと、さらに現在の研究テーマなンサーをしいていた Web キャストなのですが、どについて伺いたいと思います。よろしくお願い

この時は 16 歳でした。

します。

R：それはすごいですね。どんな話をされたんでHD Moore（以下 H）：こちらこそ。まず経歴ですが、すか ?

僕はテキサス州オースチンの出身です。若い時に

H：ポートスキャナーや IDS の検知に関するもの

は自宅に PC がなかったので、学校や図書館の PCです。

室にこっそり忍び込んで使っていました。周りか

R：ますます早熟に思えてきました。

ら見ると問題児だったと思いますが、プログラミ

H：その後は CSC でペネトレーション・テストなングなど PC の基礎的なスキルはこの頃に身につどの業務にあたりました。地方銀行を対象にしたけました。思い出深いのは 18 歳くらいの頃の話

テストの時などは、外部ネットワークからメインです。当時、母親がメディカル・トランスクリプフレームに侵入し、預金を別の口座に移すこともション（医療記録転写）の仕事を始めて、2 回線できたんです。とても貴重な経験でした。の通常電話、2 回線の ISDN が自宅に引かれたん

R：それは驚きですね。

です。その時から僕はフリーキング※ 1 やウォー・

H：こういった経験を経た後、CSC のメンバーとダイアリング ※ 2 にのめり込みました。街中の電ともに Digital Defense という会社を設立します。

話番号を調べたことなどもあるんです（笑）。

それから 5 年間、ソフト開発や銀行システムの監

R：4 回線とはウォー・ダイアリングにはかなりよ査などを行ってきましたが、こちらでもチーム・い環境ですね（笑）。

マネージメントなど数々の貴重な経験をしてきま

H：そのとおり。特に ISDN 回線同士を接続すると、した。そしてこれが Metasploit 開発へとつながっ通常の電話回線に比べてさまざまなことができたていくのです。

ので重宝しました。

Metasploit 開発の舞台裏

R：興味深いですね。
H：この数年前からインターネットが普及しはじめたこともあり、ポートスキャナーや IDS などコ

R：どのようにつながるのでしょうか ?

ンピューター・ネットワークへと関心が移っていH：当時のペネトレーション・テストでは対象のきました。18 歳の頃に海軍が SHADOW IDS ※ 3 とシステムや検査内容に応じて、それぞれ個別のマいう侵入検知システムの開発に携わりました。こシンや個別のツールを使いこなす必要がありましの IDS はパケットの内部すべてを見るのではなく、た。覚えることが多くて新人テスターのトレーニヘッダーだけをヒューリスティックに解析するのングには多くの時間を費やしていたんです。そこが特徴で、あらかじめネットワーク・トラフィッで、これらを 1 つのツールにまとめて、同じインクのパターンを作成しておき、これに照らし合わターフェイスで簡単に使う方法はないものかと思せて怪しい通信を検知するという仕組みです。

案したのが、Metasploit 開発のきっかけなのです。

※ 1 フリーキング（phreaking）：電話回線の不正利用のこと。交換機を外部から制御するなどして長距離電話のタダ掛けなどを行う。
※ 2 ウォー・ダイアリング（war dialing）：プログラムを使って無差別に発信してモデムが応答する電話番号を探し当てる手法。企業が外部に公開していないダイアルアップ回線を探す目的で使われていた。
※ 3 SHADOW IDS：Secondary Heuristic Analysis for Defensive Online Warfare の略。tcp dump と Perl を組み合わせたシンプルな侵入検知システム。

3

R: わかりました。開発で何か苦労された点はあり会社に買収され運営体制も変ったんです。徐々ますか ?に Metasploit の人気も高まってきて、アップデー

H：開発当初はコミュニティのメンバーもいろいト を 手 伝 っ て く れ る ユ ー ザ ー が 3000 人、1 ヵろと Exploit（攻撃コード）を提供してくれていた

月あたりのダウンロード数もコンスタントに 1のですが、セキュリティが産業として成長すると万 5000 を 超 え る よ う に な っ た の で す。 当 時、ともに、Exploit をオープンにせず企業に売る人

Nmap プロジェクトで、ネットワーク・セキュリたちも出始めてきたのです。僕自身はコミュティ

ティ・ツールの人気投票 ※ 6 があったのですが、の魂である情報共有を大切にしたかったので、あMetasploit は 5 位にランクインしました。また、

くまでフリーツールにこだわって開発を続けまし

運営が Rapid7 に移管されてからは有償版をリリーた。またこの頃、マイクロソフトなどのソフトウェスします。これはオープンソースの Metasploit とア・ベンダーが脆弱性や Exploit の公開を阻止す

同じ API を使用しており、無償版（コミュニティるためにセキュリティ研究者に圧力をかけてきたエディション）と有償版を並行して開発するよう時期でもあったのです。毎日のようにソフトウェにしたのです。

アベンダーの弁護士から手紙が届いていました

R：作業量が増えたのではないですか ?

（笑）
。しかし、こういった圧力がかかればかかる

H：もちろん。しかし、Metasploit はコミュニティほど、より多くの脆弱性を見つけて Exploit を公の人たちに支えられていましたから、そのつなが開しようという気持ちに拍車がかかりました。

りを損なうことなく有償版を開発する手段として

R: 今でこそ「責任あるディスクロージャー※ 4」が選んだのです。それに僕自身は、趣味を仕事にし定着していますが、当時はまだ「フルディスクローたようなものですから苦労だとは思いませんでしジャー」※ 5 を支持する人も多かったのですね。

た。さらに、有償版で得た利益を無償版開発の資H：そうです。ですから当時、同じ志を持つ人た金に回せるというメリットもありましたから、僕

ちと共に “Month of Browser Bugs（ブラウザー・

自身としては願ったり叶ったりの状況だったわけバグ月間）” と題して、1 日 1 つ Web ブラウザーです。のバグを見つけようと奮闘したことがあります。

R：なるほど。

ちょうど 2006 年頃だったと思います。

H：Rapid7 の運営になってから 2013 年で 4 年目

R：私も覚えています。となるのですが、ユーザー数は約 20 万人、1 ヵ月

H：結果は 3 週間で 450 のバグと Exploit を公表のダウンロード数は 6 万 5000 となりました。先することができました。これによってマイクロの人気投票でも順位を上げて 3 位になりました（編ソフトをはじめ多くのベンダーが考え方を改め、註：現在は 2 位）。今でも日々新たなモジュールファジング・ツールなどを使ってリリース前に検が公開されています。

査をするようになったのです。これは一定の成果

UPnP、FinFisher、ウォーダイアリング
etc. 手がける研究テーマは多彩だといえます。
R：はい。ソフトウェア業界がセキュリティに目を向けるよい機会だったと思います。
H： こ の 頃、Metasploit を そ れ ま で の Perl か ら

R：現在（2013 年）、Metasploit 開発の第一線かRuby で書き直す作業も行いました。また、2009らは退いたと伺っていますが、今度はどんな研究年には Metasploit プロジェクトが Rapid7 というをされているのでしょうか？

※ 4 責任あるディスクロージャー (responsible disclosure): コンピューター・セキュリティにおける脆弱性情報公開ポリシーの 1 つ。
研究者が脆弱性を発見したときに、ベンダーへ報告し、パッチ制作など一定時間を経た上で一般に対して情報公開を行うもの。現在主流の考え方。
※ 5 フルディスクロージャー（full disclosure）：脆弱性情報をすべて一般に公開しようとする考え方。自社製品の脆弱性情報を公開しようとしないベンダーの秘密主義に対する圧力となった。
※ 6 SecTools.Org: Top 125 Network Security Tools（http://sectools.org/）4

H:2013 年 春、 マ ル ウ ェ ア の 解 析 ツ ー ル で あ る

10 本のテーマを並行して研究しています。そのCuckoo Sandbox ※ 7 開発者、クラウディオ・グァ

1 つが UPnP で接続しているビデオ会議システム

ルニエリ（Claudio Guarnieri）らとリサーチ・チーの脆弱性です。例えば外部ネットワークから会議ムを立ち上げたところです。インターネットを広室に設置された Web カメラにアクセスし、配付範囲にスキャンして、大規模に乗っ取りを成功さ資料にクローズアップして情報を盗むといったこせるにはどのようなサービスに対してどのようなとが可能です。調査の結果、こういった無防備な脆弱性を突けばよいかを研究したり、これらの脆Web カムは数多く存在しています。もちろん日本

弱性に対してベンダーが適切にパッチを当てていも例外ではありません。

るかを追跡したりしています。他にもアンチウイ

R：あ然です。セキュリティ対策は ?

ルスベンダーなどと協力して、マルウェアの C&C

H：もちろんすべての機器が影響を受けるわけで（コマンド & コントロール）サーバーや Exploit キッはありませんが、UPnP は原則オフにするべきでトなどについても調査しています。製品開発にすしょう。

ぐに役立つものではないのですが。

R：わかりました。

R：研究に没頭させてくれるとは懐の深い会社な

H： 他 に も 政 府 機 関 が 監 視 目 的 で 使 っ て い るのですね。

FinFisher ※ 8 というマルウェアの C&C サーバー探H：会社としては、こいった僕ら研究がよい PR 活査なども行っています。FinFisher はイギリスの動になっていると考えてるようです。他にも 5 〜

Gamma International という企業が開発し、各国政府に販売しているという話ですが、僕が担当しているのは C&C サーバーの探査なので、マルウェ
ア自体について詳しい情報を持っているわけではありません。言えるのは調査の結果からチュニジアに C&C サーバーが存在していたということくらいです。
R：わかりました。他にはどのようなものがありますか ?
H：研究ではありませんが、他にセキュリティ・コミュニティの支援も行っています。例えば研究者があるソフトウェアに脆弱性を発見したとしても、そのソフトウェアがほとんど使われていないものだとしたら影響を及ぼす範囲は小さいといえます。一方多くのユーザーが使うソフトウェアの場合は大きな問題となります。こういった意味から研究者に対して調査対象をアドバイスしたり、責任あるディスクロージャーを手伝ったりしています。具体例を挙げると、友人にダン・ファーマー（Dan Farmer）という人物がいます。彼はDARPA（Defense Advanced Research ProjectsAgency：国防高等研究計画局）から資金提供を※ 7 Cuckoo Sandbox：オープンソースで開発されるマルウェア解析システム。サンドボックスの中でマルウェアを実行し、動的に挙動を解析する（http://www.cuckoosandbox.org/）※ 8 FinFisher：FinSpy とよも呼ばれるマルウェア。イギリスの Gamma International が開発・政府機関などに販売。さまざまな手法を使いターゲットの PC に感染させ監視活動を行う。

5受 け て、IPMI（Intelligent Platform Management

H：フリーキングは僕の趣味ですから、他にも話Interface）というサーバーのハードウェアをモニしたいことは山のようにありますが、このへんでターする標準インターフェイスの調査を行い、脆やめておきましょう（笑）。

弱性を公表しました。ところが、プレスリリース

研究テーマの選び方などを行わなかったためか、注目が集まらなかったことがあります。
懐かしい名前です。ネッ

R：研究テーマはどのように選んでいるのですか ?

トワーク調査ツール、SATAN ※ 9 の開発者として

H：ポピュラーなサービスではあるけれど、あま有名ですね。彼は私の古くからの友人なのです。

り研究対象にはならなかったものを選ぶようにし長い間、連絡を取っていませんでしたが元気なのています。先ほど紹介した UPnP がまさにそうでですね。安心しました。話をさえぎってしまいす

す。Web カメラなどを始めインターネットに接続みません。続けてください。

されてるものとしては最もポピュラーだと思いま

H：はい。深刻な脆弱性にもかかわらず、注目がす。そして今後は組込みシステムにも研究範囲を集まらないという状況でしたので、Exploit を作成広げていきたいと考えいます。組込みシステムは、して Metasploit のモジュールとして登録したり、ご承知のとおり携帯電話やデジタルカメラといっより多くの人の目にとまるよう協力したりしたのた小さなものから、可動橋のシステムにいたるまです。ここまでは仕事の話ですが、実は趣味でもで身の回りで数多く使われていますが、いまだセ面白い研究があって…

キュリティの研究対象になっているものは数が少

R：わお、あなたは一体いつ寝ているんですか（笑）。

ないと思います。最近ではノート PC のバッテリ、H：もちろん、普通に寝ていますよ（笑）。趣味

携帯電話の SIM カードや自動車などを研究対象にの研究は VoIP を使ったウォー・ダイアラーです。

している人もいますが、僕も同様に組込みシステ

若い時にフリーキングにのめり込みましたが、まムを研究していきたいと考えています。

さか 20 年後に再度のめり込むとは思ってもいま

R：確かに現在のセキュリティの潮流は組込み系せんでした（笑）。に向かっていますね。

R：ダン・ファーマー !?

R：確かに。
H：今では設置されているモデムが減っているの制御システムのセキュリティで、探すためにはより広範囲に発信しなくてはなりませんが、VoIP では 1 万件ほどのスキャンがR：話は変わりますが、SHODAN ※ 10 について教1 時間でできてしまいます。また、他人の電話番えていただけますか ?

号を装って発信するスプーフィングも可能です。

リー（John Matherly）と共同で研究されているのさらにダイアラーで発信したとき、応答相手のですよね ?

“Hello” といった音声を録音してデータベースを作

H：Google が 世 界 中 の Web ペ ー ジ を ク ロ ー リ成することも可能です。声紋を解析できますから、ングして検索エンジンを提供しているように、例えば、ある電話番号に応答した人物と同じ声紋

SHODAN では Web ページに代わり世界中のネッを持つと思われる他の電話番号を簡単に検索できトワーク機器の情報をスキャンし、その結果を検るのです。

索エンジンとして提供するものです。共同研究とR：私も昔のフリーキングについてはいろいろというのはちょっと言い過ぎですね。彼も僕も研究調べていたのですが、そこまで進化しているとは過程でネットワークを広範囲にスキャンしている知りませんでした。驚きです。

ので、そのデータや研究ノートを共有してはいま開発者のジョン・マシュ※ 9 SATAN：Security Administrator Tool for Analyzing Networks の略。インターネット草創期のネットワークネットワーク調査ツール。
1995 年に発表され 2006 年に開発は終了。
※ 10 SHODAN: インターネットに接続された機器のバナー情報をインデックス化した検索エンジン。バナー情報には OS・ソフトウェ
ア名・バージョンなどが含まれるため、特定のソフトウェアが稼働するサーバーを簡単に検索することができる。

6

わかりません。そこで通信モデムに接続したとこすが、SHODAN の開発には携わっていないのです。

ろ、テキサス州にあるガスパイプライン会社の施

R：そうでしたか。失礼しました。日本には制御設内で、温度や湿度を監視・制御するするセンサー系システムへの攻撃の足がかりとして、SHODANにつながっていることがわかり、州政府に連絡しのような検索エンジンが使われるのではないかとたことがあります。仮に悪意ある人間がこの通信懸念している人たちがいますので、質問させてもモデムを介して制御システムに侵入できれば、ガらいました。

スの温度を上昇させ爆発を引き起こすことも可能

H：その心配はわかります。SACADA など設備のだったかもしれません。

監視システムが意図せず外部ネットワークと接続されている例は数多くあります。日本の事例ではR：これも衝撃的な話ですね。このままインタありませんが、僕が調査した例をお話しましょう。

ビューを続ければ興味深い話をもっと聞かせてく

通常、制御システムにはメンテナンス用のポートれそうですが、残念ながら終了の時間となってしが付いていますが、僕はたまたまそのポートに接まいました。本日はどうもありがとうございまし

続されている通信用のモデムを発見したんです。

た。

電話番号は判明しているのですが、それだけはAT&T や T-Mobile といった携帯電話会社までしかS.S.R.C.(Shield Security Research Center) は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信しております。
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2014. All rights reserved.

7