TA

BL

EOFCO

NTE

NT

S

アジアのメンバーと共にチームを組み 国際 CTF 大会の舞台へ

ICC（International Cybersecurity Challenge）2022 参加者インタビュー… …………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2 月号…………………………………… 8●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2023. All rights reserved.

2

アジアのメンバーと共にチームを組み 国際 CTF 大会の舞台へ

ICC 2022

International Cybersecurity Challenge

参加者インタビュー
取材・文＝斉藤健一
参加した日本人プレイヤー 3 名へのグループインタ
ビューなどを交えながら ICC をご紹介したい。

EU が主催する国際 CTF 大会でアジアチームが準優勝

ICC 開催までの道のり
2022 年 6 月 14 日 か ら 17 日 ま で の 4 日間、 ギ リ シ ャ・ ア テ ネ に て ICC（Internationalまずは、ICC 開催までの経緯について、セキュCybersecurity Challenge）が開催された。発起人

リティ・キャンプ協議会の篠田佳奈氏に話を伺っは欧州ネットワーク・情報セキュリティ機関でた。篠田氏は ICC の構想段階からアジア地域の窓あ る ENISA（European Network and Information

口として深く関わっている。

Security Agency）。ENISA では、これまでも欧州篠田氏の元に ICC への協力要請の打診が来たの内のサイバーセキュリティ演習の支援などを行っ

は 2019 年 10 月、日本のセキュリティ企業に在籍て き た。ICC は 欧 州 の 枠 を 超えたグローバルなする外国のエンジニアを通じたものだった。ICCCTF 大会であり、初の試みになるという。世界各立ち上げでアジア代表チームを組織できる人物を地の参加加盟国で構成された実行委員会によって探しているとのこと。その後 ENISA 担当者と打ち企画・運営が行われる。

合わせを行い、2020 年に ENISA 内で ICC の企画

ICC の目的は、若い才能（18 歳〜 26 歳）を惹が採択された時点で、EU から日本政府への正式きつけ、サイバーセキュリティの分野で必要とさルートで協力要請を受け、セキュリティ・キャンれる教育やスキルについて、世界中のコミュニプ協議会が窓口となり活動を開始。篠田氏は ICCティの認識を高めることだという。

ステアリング・コミッティのメンバーとして議論の輪に加わることとなった。

競技の予選は各国や地域ごとに行われ、64 を超える国と地域から総勢 4000 名もの若者が参加。

並行してアジア地域の代表を選考する ACSC

予選を勝ち抜いたプレイヤーは、アジア・アフリ（Asian Cyber Security Challenge） の 開 催 準 備 に

カ・カナダ・ヨーロッパ・ラテンアメリカ・オセ

取 り か か る。 日 本 の CTF チ ー ム で あ る binja とアニア・米国の 7 チームで競技に取り組む。各チー

TokyoWesterns に、韓国・台湾のメンバーを加えムのメンバーは最大で 15 名だ。

た国際チームを編制して運営に当たったという。

競技は 6 月 15 日と 16 日の 2 日間で行われた。

ACSC は 2021 年 9 月に個人戦のオンライン CTF

1 日目は Jeopardy（ジョパディもしくはジェパとして開催され、約 1000 名が参加。成績上位のディ）と呼ばれるクイズ形式、2 日目は Attack &プレイヤーの中から国籍・ジェンダーといった多Defense（攻防戦）形式で行われた。日本人 3 名様性も考慮し、15 名の代表が決定した。メンバーを含むアジアチームは、ヨーロッパチームに次ぐの国籍は、インド 2 名・日本 3 名・マレーシア 1 名・総合第 2 位という好成績を収めた。

シンガポール 2 名・韓国 2 名・台湾 1 名・タイ 1 名・ベトナム 3 名という構成になった。

本稿では、運営でアジアの窓口となった篠田佳奈

篠田氏に運営で苦労した点について伺ったとこ氏へのインタビューや、アジア代表メンバーとして3・Dronex（ドローネックス）さんろ、大きく 2 点を挙げた。1 つは、代表メンバーを決める選考ポリシーに関わるもので、議論に議CTF 歴 3 年、2019 年から活動を開始。大学生。

論を重ねたそうだ。参加各国から少なくとも 1 名

CTF を始めるきっかけは高校時代の友人からの誘を代表入りさせること、各国の最大参加人数を 3いでチームを組んだこと。現在は ./Vespiary とい名とすること、男性以外のジェンダー（自身の性うチームに所属している。得意分野は Pwn だが、自認に基づく申告を含む）も代表に含めることなチーム内に低レイヤーを担当する人間がいないとどを決定した。前述のチーム構成はこうした苦労いうこともあり、リバーシングなどにも手を出しの産物だったと篠田氏は語る。

ている。暗号にも取り組んだ時期もあるが現在は休止中。インタビュー当時は 25 歳で、ICC2023

もう 1 つは、新型コロナウイルスのパンデミッにも挑戦する予定とのこと。

クにより、国際的な人の往来が可能か否か見通せなくなったことだという。当初は、2021 年 12 月

・れっくすさんから 2022 年 1 月に開催を予定していたが延期をCTF 歴はまもなく 10 年を迎える。2012 年、高余儀なくされ、最終的に 2022 年 6 月まで開催が校 2 年生のときにセキュリティ・キャンプに参加。

ずれ込んだのだという。
一方、運営に携わる中で興味深かった点として、当時、CTF はマイナーな存在で日本国内で開催さプレイヤーの心境の変化を挙げている。ICC ではれる大会もわずかだったそう。2014 年に大学に母国語も文化も違う人たちとチームを組み、問題入学、そこから本格的に活動を開始。所属チームを解くために英語でコミュニケーションをとっは dodododo だが、大会規模に応じて他チームにて、協力・団結しなくてはならない。この環境に合流することも。暗号を好む。セキュリティ企業

よってプレイヤー同士にどのような化学反応が起に在籍する一方で、2020 年から SECCON メンバーきるのか、注視してきたとも語っている。

としても活動しており、2022 年は CTF のリーダーも務める。

ICC に参加した日本人プレイヤーに
st98 さん、れっくすさんはそれぞれ所属企業のインタビュー

ブログにて、ICC に参戦したレポート記事を書か引き続き、ICC に参加した日本人プレイヤー 3れている（記事の最後に参考資料として URL を掲名に話を伺った。各人のプロフィールは以下のと載）。問題の解法など技術的な情報はそちらをごおり。なお、インタビューは 2022 年 7 月に行っ覧いただくとして、本稿では、Jeopardy 形式の難ており、年齢・CTF 歴・所属組織などはその当時易度、作問者の国籍による傾向、ICC に参加したのものとなっている。

感想などを中心に話を伺った。

・st98（エスティー 98）さん

斉藤（以下CTF 歴 8 年、2014 年から活動を開始。CTF に興）：ICC 初日の Jeopardy について、皆さんが担当した問題のジャンルやその難易度に味を持つきっかけは Web の開発から。セキュリ

ついて教えて下さい。

ティ・キャンプ参加者の記事を読み、その中にあっDronex（以下た CTF に関する記述から興味を持つことに。大学すべての問題を詳細に見たわけではありません

では情報学を専攻し、情報セキュリティ関連の研が、それほど難しいという印象は持ちませんでし

究室に在籍。研究のテーマは Web セキュリティ。

た。ですが、競技時間が午前 9 時から午後 5 時まCTF の得意分野ももちろん Web セキュリティ。でと短かったことを考慮すると適切な分量だった

現在はセキュリティ企業に在籍。zer0pts というと思います。

CTF チームに所属している。

れっくす（以下）：Pwn を中心に見ていました。

）：主に暗号を見ていました。

出題が 6 問あり、そのうち 2 問は解けたのですが、残り 4 問は超難問でした。8 時間という競技
4

時間では歯が立ちませんでした。仮に、世界トップレベルの CTF 大会で出題されたとしても、解答できるチームはわずかだったと思います。
st98（以下）：Web を主に見ていました。簡単な問題と難問が混在しており、難易度にバラツキがありました。
チームの各メンバーはどのようにして解く問題を分担していたのですか。
ICC では競技開始の時点ですべての問題文が見られる状態になっていました。まずはす べ て の 問 題 を ざ っ と 見 て、 見事に準優勝を果たしたアジア代表チームのメンバー（写真提供：セキュリティ・キャンプ協議会）います。

解きやすそうな問題から手を付けることにしました。チーム内の Web 担当メンバーで手分けをして、Dronex さんに同意します。国ごとに問題を作

Discord で情報共有しながら解くことにしました。

る特徴があります。

暗号では、まずすべての問題を開いて、どのよ

今回の記事の取材でセキュリティ・キャンプうな問題なのかを Discord で共有するようにしま協議会の篠田佳奈さんに話を伺う機会があり、そした。例えば、この問題は RSA 暗号が使われていのときも話題になったのですが、例えばアジアでるとか、楕円曲線暗号が使われているといったコ開催された CTF 大会ではアジアのチームが強いとア技術に関するコメントをつけるところから始めか、北米の大会だと北米のチームが強いという話ました。暗号を担当するメンバーは総勢 5 名と多になりました。自国や自地域の開催であれば、時かったのです。ベトナムから 3 名の方が参加して差ボケに悩まされることはありません。しかし、いましたが、3 人とも暗号を担当していました。他にも要因があるのではないかと考えていたのでさらにこの方々は本当に優秀で、いろいろと助けすが、今伺ったように、作問者と解答者の思考がられました。

近く、文化的な背景も共有しているからということも考えられると思うのですが、いかがでしょう。

ベトナムのメンバーがみな暗号を担当したという話を伺い、新たな疑問が出てきました。国によっ確かに。日本の CTF 大会だと問題を解いていててプレイヤーが好きなジャンルや問題などは存在楽しいですし、面白いと感じることも多いです。

するのでしょうか。

文化的な背景の共有というのもあるかもしれま話の方向性は少し異なりますが、国によって作せん。他にも CTF の作問ではその地域で流行して問に傾向があると、プレイヤー同士で話題になるいる攻撃手法が取り入れられることも多いので、ことはあります。確固としたエビデンスがあるわ

そういった状況も背景にあると思います。

けではなく、あくまでイメージの話です。例えばプレイヤーの方の率直な感想をいただくことが日本人による作問はパズル的な要素があるものができました。次に話題を変えて ICC に参加した感多いと、海外のプレイヤーから言われます。逆に想などをいただきたいと思います。

日本人から見ると、海外の問題は、Pwn の問題な海外のメンバーとチームを組みプレイするといのにリバーシングが必要だったり、解答するプレ

うことは、問題を解くために英語でコミュニケーイヤーが推測しなくてはならない要素を入れ込んションを取らざるを得ない状況に自分を追い込むだりするなど、手間をかけさせる傾向があると思ということです。そこがとても面白いと感じまし5た。話すためには自分の中にある英語が苦手だといまだ手も足も出ないような問題に出会うことがいうためらいを吹っ飛ばす必要がありましたが、あります。自分の得意ジャンルを伸ばすと同時に、今回の ICC でそれができたことがとても良かった

得意でないジャンルについても知識を積み上げてと思っています。

いきたいと考えています。

英語でのコミュニケーションには戸惑った部分

最後の質問です。ICC は次回も開催されるとのこもありました。それでも、アジアのメンバーに知とで、チャレンジされる方へのメッセージをお願り合いができたことは大きな収穫でした。特に韓いします。まだ参加できる年齢の方はライバルへ国のメンバーでお互いに名前は知っていて、ネッのメッセージということにもなると思いますが。

ト上の付き合いがある人物がいたのですが、ICCICC は間違いなく貴重な経験になると思います。

で実際に会うことができました。ここ数年、コロぜひチャレンジしてください。不安な要素がある

ナ禍で移動もままならない状況だったので、本当かもしれませんが、CTF が好きな者同士が集まっに貴重な機会でした。

ているので、何とかなります。頑張ってください。

お二人と同様、これまで英語でコミュニケー

ICC は楽しく貴重な経験でした。自分自身もまションする機会はほとんどありませんでした。今だ参加資格があるので、チャレンジしたいと思い回、意を決して頑張ったところ、面白いと感じるます。これから、どんどん強いプレイヤーが出てことができ、結果としてアジア圏の知り合いが増くると思うので、ぜひ一緒に ICC に行きましょう。

えました。

私も頑張ります。

引き続き今後の目標などあれば教えてくださ今後は年齢的に参加できなくなるので残念でい。CTF プレイヤーとしての目標でも、仕事上のす。海外で対面で開催される CTF に出場できるのものなどでも構いません。

は、日本国内でも一部の強豪チームに限られるとSECCON の運営にも携わっていて、ICC で知り思います。一方、ACSC や ICC は個人戦で年齢制合った人たちに、次回の SECCON は対面開催なの限もあり上位を狙える可能性がより高いと言えまで、ぜひ参加してほしいと声をかけていました。

す。海外で CTF をやってみたいと考えている人にこれが実現できるよう、自分にできることを頑張は、この機会を逃してほしくありません。今回はりたいと思っています。あわせて、CTF プレイヤー渡航費も含めてフルサポートで海外に行くことがの裾野を広げる活動にも注力してきました。これできました。次回以降は不確定な部分もあります

までも SECCON Beginners の運営や、CTF に関すが、ACSC の事務局は日本にあり、チャレンジしる書籍の執筆などに関わってきましたが、今後もやすい環境だと思います。

続けたいと考えています。

本日はありがとうございました。

今回 ACSC で上位入賞を果たし、ICC に参加すさいごにる機会をいただきましたが、自分の実力を客観視すると、まだまだ中堅レベルだという実感があります。Pwn のスキルアップを目指していますが、セキュリティ人材育成を背景に、国内でも CTF次々に新たな技術などが登場しており、その流れ大会が注目を集めている。そのような中でも、国についていくことの大変さも自分の中で認識してを超えたチーム編成で競技に挑む ICC は特別な大いて、CTF の分野では長期的な目標は立てにくい会だったといえる。話を伺った参加者たちは皆、と感じています。

国際的なコミュニケーションの壁を乗り越え、アジア各国の友人ができたと、嬉しそうに語ってく目の前のことを 1 つずつこなしていくことが長期れた。

的な目標を達成するためのいちばんの近道だと言わ本誌では今後も、セキュリティ人材育成にさまれています。今後のご活躍に期待しています。

ざまな角度から焦点を当てたレポートを紹介して一言でいえば精進を続けるということだと思いいくつもりだ。

ます。自分の得意分野は Web セキュリティですが、Google CTF のようなトップレベルの大会だと、
6

参考資料●公式サイト・International Cybersecurity Challenge
・Asian Cyber Security Challenge

https://ecsc.eu/icc/

https://acsc.asia/● ICC 攻防戦の競技に使われたサービスのアーカイブ
・CybersecNatLab/ICC2022-AD-CTF

https://github.com/CybersecNatLab/ICC2022-AD-CTF●関連記事
・セキュリティ・キャンプ ブログ「ICC (International Cybersecurity Challenge) 出場者インタビュー」
https://blog.security-camp.or.jp/posts/icc-2022-interview/
・セキュリティ・キャンプブログ「ICC (International Cybersecurity Challenge) 2022 が開催されました」
https://blog.security-camp.or.jp/posts/icc-2022-report/
・SecurityNEXT「若手国際 CTF で日本人含むアジアチームが好成績 - 言葉や準備不足乗り越え奮闘」
https://www.security-next.com/137706●プレイヤーが所属する企業のブログ
・DARK MATTER（サイバーディフェンス研究所）「国際地域対抗 CTF の ICC2022 に参加しました」
https://io.cyberdefense.jp/entry/2022/06/27/%E5%9B%BD%E9%9A%9B%E5%9C%B0%E5%9F%9F%
E5%AF%BE%E6%8A%97CTF%E3%81%AEICC2022%E3%81%AB%E5%8F%82%E5%8A%A0%E3%81%
97%E3%81%BE%E3%81%97%E3%81%9F/
・LAC Watch（ラック）
若手向け国際 CTF 大会「ICC 2022」に出場し 2 位に！奮闘の様子をレポート
https://www.lac.co.jp/lacwatch/people/20220711_003039.html

7

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2 月号
文＝ SHIELD Security Research Center【内容】
ソフトウェアサプライチェーン攻撃対策に

2020 年に SolarWinds 社の製品を起点とした攻向けた管理の動向

撃がソフトウェアサプライチェーンに多大な影響を及ぼしたことが話題になった。複数のソフト【概要】

ウェアを組み込んだソフトウェアパッケージ製品

ソフトウェアサプライチェーン攻撃から組織をは多く存在する。構成するソフトウェアに脆弱性守るために様々な取り組みがあるが、その中でもが見つかった場合、パッケージにも影響が及ぶこ

ソフトウェアの構成要素の脆弱性管理が重要であとになる。このような脅威に対して、ソフトウェる。その中の仕組みの 1 つとして SBOM（Software

ア製品の構成要素を含めたセキュリティ管理を行Bill of Materials）があり、以前から一部業界ではうソフトウェアサプライチェーンマネージメント活用が進められていたが、米国の統合歳出法案が重要視されている。その仕組みの 1 つに SBOM（H.R.2617）が可決され、特定のケースにおいてがある。

医療機器に関する SBOM の提出が義務化された。

SBOM は、ソフトウェアに含まれるパッケージ

日本や他業界へのソフトウェアサプライチェーンやファイルといったコンポーネントの一覧と、そマネジメントが加速すると考えられるため、関連のバージョン、ライセンス、依存関係などを記載する法規および管理技術を注視していく必要があしたものである。SBOM は、サプライヤーが顧客る。

に提供することでコンポーネントの詳細を明示
表 ソフトウェアサプライチェーン攻撃と関連動向

時期
2019 年 9 月
2020 年 3 月

発行機関
経産省
IMDRF

影響範囲
日本
国際 / 医療内容「ソフトウェア管理手法等検討タスクフォース」を発足し、SBOM 活用について検討を開始した「医療機器サイバーセキュリティの原則および実施」（IMDRF ガイドライン）を発表し、顧客への SBOM 提供を推奨した

国 際 / 自 動 ソフトウェア管理を求める規則（UN-R-155/UN-R-156）を策定し、自動車業界

2020 年 6 月

WP29

車

で SBOM 活用について注目が高まった

2020 年 12 月--

SolarWinds 社を発端とするサプライチェーン攻撃が発生した

2021 年 5 月

米国政府

米国

2021 年 12 月

厚労省

日本 / 医療2021 年 12 月--

2022 年 4 月

FDA

米国 / 医療2022 年 9 月

欧州委員会

欧州

2023 年 1 月

米国政府

米国 / 医療

大統領令（EO14028）によって、米政府向けソフトウェアについて SBOM の提供が必要となった
IMDRF ガイドラインを周知に向け、ガイドラインに沿った「医療機器のサイバーセキュリティ導入に関する手引書」を公開した
Log4j（ログ作成ライブラリ）の脆弱性が発見された「医療機器サイバーセキュリティ：品質システムに関する考慮事項と市販前提
出物の内容に関する草案」にて SBOM の活用・提供を推奨した
サイバーレジリエンス法案によって、ネットワーク接続される製品の SBOM 作成が必要となった医療機器の SBOM 提出義務化が含まれた、統合歳出法案が可決された
8

し、透明性を確保することを期待して作られてお米国の大統領令に準拠するために必要な SBOM

り、顧客にはソフトウェアに含まれるコンポーネの最小要件が発表されている。この最小要件にはントの脆弱性を管理することが期待されている。

コンポーネント名やそのバージョンなど多数の項

医療業界は各業界の中でもソフトウェアサプライ目が示されており、手動での生成は難しい。自動チェーンマネジメントが先行しており、IMDRF（国生成ツールの活用が期待されるものの、現時点で際医療機器規制当局フォーラム）ガイドラインやは完全自動化は困難であると考える。マイクロソ

FDA（Food and Drug Administration） に よ る ガ

フトなどのベンダーが無償で提供しているツール

イダンスにおいて SBOM の作成や活用が推奨されを複数検証したが、大統領令の最小要件を満たすていたため、一部で導入が進められていた。今回SBOM を生成することはできなかった。普及率がH.R.2617 が可決されたことで、米国では、米国で高い有償ツールでも SBOM 生成の精度は 6 割程度販売する医療機器がインターネットに接続する場であった。
日本では、サイバー・フィジカル・セキュリティ合に FDA への SBOM 提供が義務付けられた。
一方、日本では厚生労働省の「医療機器のサイ確保に向けたソフトウェア管理手法等検討タスク

バーセキュリティ導入に関する手引書」において、フォースにおいて医療機器・自動車・ソフトウェソフトウェアの組み合わせによって医療機器の不アの分野別に実証が進められており、令和 5 年度具合が生じる可能性を意識する必要があるとされ以降、実証の結果を踏まえて SBOM 導入ガイダンている。医療機器導入の際に開示が求められる一スなどのドキュメント整備・普及が検討されてい例として SBOM が挙げられているが提出は義務化る。

されていない。
【情報源】
https://insidecybersecurity.com/daily-news/omnibus-bill-sets-cyber-requirements-medical-devices-under-fda-review-including-sbom
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/index.html

9