SHIELD Security Reserch Center

T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

カルステン・ノール インタビュー ………………………………………………………… 3
SECCON CTF 2014 全国大会レポート ……………………………………………………… 8
Threat Scope ………………………………………………………………………………… 14●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2015. All rights reserved.

2

インタビュー

本年 2 月、エドワード・スノーデンが暴露した資料から新たな疑惑が浮上した。その内容は NSA と GCHQ が SIM カードメーカーである
Gemalto 社のネットワークに侵入し、SIM カードの暗号キーを大量に盗み出したというものだ。真相は藪の中だが、世間の注目が SIM カードに集まったことだけは間違いない。そこで今回は 2013 年の BlackHat USA
において「Rooting SIM card（SIM カードの乗っ取り）」と題する講演を行ったカルステン・ノール氏のインタビューをお届けする。いささかの古さは否めないが、SIM カードのセキュリティについて知ることができる。SIM カードの問題を考える上での一助となることを願っている。
●インタビュー = 笠原利香

●写真 + 構成 = 斉藤健一

3??

影響を受ける端末は約７億５０００万台

カルステン・ノール

ＳＩＭカードに感染するマルウェアの実態とはKarsten Nohl!?

いるようですが、活動の拠点はドイツなのですか ?
そのとおりです。僕はドイツ生まれで、バージ

SIM カードにマルウェアが感染する !?

ニア大学へ留学したのです。専攻は電気工学とコ
笠 原 利 香（ 以 下

ンピューター科学。博士号（Ph.D.）も米国で取得）： は じ め ま し て。 今 回 のしました。

BlackHat において、SIM カードへの攻撃について講演されていますが、本日はこの話題について伺承知しました。では、講演された SIM カードへいたいと思っています。Google であなたについの攻撃について、説明していただけますか？

て調べたところ、以前に GPRS（GSM でのデータ

結論を先に言ってしまうと、この研究は、SIM通信）の研究もされていたようですね。

カードにマルウェアを感染させるものです。たとカルステン・ノール（以下）：はい。GPRS にえるなら、Windows95 のような古い世代の PC を限らず、他の研究者と協力して、モバイル全般のターゲットにして、その IP アドレスへ直接パケッ研究を行っています。多くの人に使われている技

トを送ることで、マルウェアに感染させてしまう

術のセキュリティを研究し、脆弱な部分を公表しようなものです。

ていくことで、より安全な社会作りに貢献していなるほど。何かの脆弱性を利用しているのです

きたいと考えているのです。

ね。

経歴を拝見するとアメリカの大学を卒業されてそうです。ただ PC とは異なり、SIM カードの場合はソフトウェアの脆弱性というよりも、SIM
カードの暗号化方式と通信の仕組みに問題があるといった方がいいかもしれません。研究の過程で、何社もの SIM カードでテストを行いましたが、多くの製品で問題があることがわかりました。その影響を考えると業界の責任は重大だと思います。
講演に際して、業界へは報告されたのでしょうか?
はい。業界団体である GSM Association へは
数ヵ月前に報告しています。この団体には、携帯電話会社・端末メーカー・SIM カードメーカーなど多くの企業が参加していますから、報告は業界団体を通じて各社に届いています。
業界の反応はどうでしたか ?
報告後、多くの携帯電話会社から「わが社のSIM カードは影響を受けない」といった反発があり、講演に対しても圧力がかかりました。しかし、この問題はユーザーに経済的な被害を及ぼしかねない深刻なものです。その後、携帯電話各社が独自に調査を行ったのか、欧州の会社は態度を一変し、こちらの報告を受け入れ、対策に乗り出しま●カルステン・ノール（Karsten Nohl）

した。そして、ようやくニュースなどで報道され

ドイツ Security Research Labs 社のセキュリティ研究者。携帯電話など一般に普及している技術の監査を好んで行っており、イるようになったのです。しかし、アジアやその他

ンタビュー翌年の BlackHat 2014 USA では「BadUSB」に関する

地域での対応については残念ながら情報がありま講演を行っている。なお、「Rooting SIM card」の講演スライド

せん。

や動画などは、BlackHat 公式サイトのアーカイブからアクセス

私自身はスイスに住んでいるのですが、ドイツできる。

の新聞が報じた記事を見ました。研究を進められhttps://www.blackhat.com/us-13/archives.html#Nohl

4

る上で責任あるディスクロージャー※ 1 の姿勢を重要視しているのですね。
そのとおりです。脆弱性を発表したからといって一晩で状況が変わる訳ではありませんからね。
修正のためには何度もテストを繰り返すなど一定の時間が必要だと、こちらも承知しています。
このマルウェアに感染するとき、携帯端末に何か変化は起こるのでしょうか ? 例えば、何も触れていないのにスタンバイ状態から復帰するとか、再起動がかかるといったようなものです。
何もありません。ユーザーは自分の携帯端末がマルウェアに感染したことに全く気づかないのです。
さきほどこの問題に対して、携帯電話会社が対策に乗り出したとおっしゃっていましたが、具体的にはどのようなものなのでしょうか？
この話をするには、SIM カードについてもう少し詳しく説明する必要があります。質問に対する答えは後ほどにして、先に仕組みについて紹介しましょう。
お願いします。
SIM カードへの攻撃手法

Java アプレットと聞き、SIM カードに感染する
マルウェアの正体が少し見えてきました。

SIM カードにはいくつかのセキュリティが実OTA keys の暗号化には DES/3DES/AES のいず

装されています。まずは「PIN コード」。これは、れかが使われています。どのアルゴリズムが使わユーザーの認証に使われており、SIM カードの設れているかは、携帯電話会社の運用や SIM カード

定などを変更するときに求められる 4 桁の数字のの仕様により決まります。また、携帯電話会社とことです。次に「暗号キー」。これは携帯端末と携帯端末間の通信にはバイナリ SMS という特殊基地局との通信を暗号化する鍵などとして使われな SMS が使われています。そして、このバイナています。SIM カードの中に格納されており、携リ SMS の中には正しい OTA Keys を使って暗号化

帯電話会社でも同じ鍵を管理しています。GSM でしたことを示すシグネチャー（署名）も含まれては Comp128 というアルゴリズムが使われていまいます。

すが、過去の研究からいくつかの攻撃手法も見つ

ここまでが前提なのですね。

かっています。ただし、今回の研究対象は暗号キー

そうです。そして研究を進めていく中でわかっではありません。対象にしたのは「OTA Keys」とたのが、このバイナリ SMS でエラーが発生した呼ばれる鍵です。OTA とは「Over The Air」の略で、時の処理に問題があるということでした。

SIM カードで実行される Java アプレットのセキュ

具体的にどのような問題なのでしょうか ?

リティに用いられています。

例えば、攻撃者が携帯電話会社になりすまして、※ 1 責任あるディスクロージャー (responsible disclosure): コンピューター・セキュリティにおける脆弱性情報公開ポリシーの 1 つ。
研究者が脆弱性を発見したときに、ベンダーへ報告し、パッチ製作など一定時間を経た上で一般に対して情報公開を行うもの。現在主流の考え方。

5

携帯端末にニセのバイナリ SMS を送ったと仮定られています。また、攻撃者はシグネチャーを入します。もちろんシグネチャーは正しくありませ手したことで、バイナリ SMS の内容をすべて推ん。この時、携帯端末が行うエラー処理は 3 つに測することが可能となります。あとは、これらの分類できます。まず、何も返信しない。次に、エ推測を含めてレインボーテーブルを作成すれば、ラーが発生したことだけを返信する。そして最後、

1 分ほどで OTA Keys を解読できてしまいます。

これが問題なのですが、正しいシグネチャーを返本当に驚きです。ここで確認したいのですが、信するというものです。どの処理を行うかは先ほ

これまで伺った話は GSM に限ったものなのでしょ

どと同様、携帯電話会社の運用や SIM カードの仕うか？ それとも、3G でも有効なのでしょうか ?

様により異なります。

難しい質問です。実験は GSM 環境で行いまし攻撃者からするとシグネチャーは有効な情報た。しかし、これまでの説明は GSM に限ったものようですね。3 番目のエラー処理をしてしまうのではありません。とはいえ、3G は GSM よりも

SIM カードの割合はどれくらいなのでしょうか ?

新しい技術ですから、より安全な 3DES や AES が僕がテストした範囲では約 25% です。ちなみ採用されている可能性もあり、影響を受けにくいに何も返信しない割合が約 25%、エラーだけをかもしれません。いずれにせよ、この点について返信する割合が約 50% という結果でした。あくは、全世界の携帯電話会社で調査を行ってみないまでも試算ですが、全世界で普及している GSMと明言はできないのです。

の SIM カードにこの割合を当てはめると、約 7 億

今 の お 話 で も う 1 つ 疑 問 が 出 て き ま し た。

5000 万ものユーザーに影響がおよぶ可能性があ3DES や AES を採用していれば安全なのでしょう

るということになります。

か？

膨大な数です。

AES は安全だと言えます。3DES の方もほぼ安全ですが、特定の条件下では解読の危険性があり

すでに DES は現実的な時間で解読可能だと知ます。ご存じのとおり、3DES では 3 つの鍵を用
いて DES の処理を 3 回行っています。しかし、運用面が甘いと同じ攻撃を繰り返すことで 3 つの鍵を手に入れることが可能です。これをダウング
レード攻撃と呼んでいます。
なるほど。古い仕様との互換性を考慮してセキュリティを強化したはずが、結局、セキュリティは低い方と同等になってしまう例ですね。
マルウェアによる脅威の実態 !
引き続き、SIM カードに感染するマルウェアについてご教示ください。
OTA Keys が 判 明 す れ ば、 携 帯 端 末 で 自 由 にJava アプレットが実行できるようになります。そこで攻撃者は、ターゲットにバイナリ SMS を使って不正な Java アプレット、つまりマルウェアを送信するのです。このマルウェアを使えば、プレミアム SMS ※ 2 の送信、音声通話の発信、着信の※ 2 プレミアム SMS：SMS を利用した課金サービス。通信料に上乗せする形で決済が行われる。手軽にコンテンツが入手できる手段
として主に欧米で利用されているが、マルウェアが悪用する手段としても知られており、注意が呼びかけられている。

6

リダイレクト、ターゲットの位置情報の追跡、任話会社はどのような対策を行っているのでしょう

意 Web ページの閲覧、といったことが可能にな

か?

ります。

この問題の原因は、SIM カードが正しいシグネ

恐ろしいですね。

チャーを返信してしまう点にありますが、問題の実は他にもあります。ターゲットの携帯端末の解決は単純ではありません。根本的な解決には影Java 環境にサンドボックスを回避できる脆弱性が響を受ける SIM カードの交換が必要になるのであった場合、マルウェアは、SIM カードに保存さす。この対策には莫大なコストがかかりますから、れた情報にもアクセスできるようになるのです。

携帯電話会社はもちろん消極的です。現在は、不この情報には SIM カードの暗号キーも含まれます

審なバイナリ SMS をフィルタリングしたり、何から、通話・通信が復号され内容が丸見えになりかしらの方法で Java アプレットの実行に制限をます。さらに、SIM カードのクローン作成も技術かけたりしているようです。

上は可能となります。ただし、ネットワーク内にユーザー側でできる対策はありますか ?

同一の SIM カードが同時に接続できるかどうか

残念ながら技術面では何もありません。先ほどという運用上の問題は発生しますが。他にも NFCも述べたとおり、この問題が影響を及ぼす範囲は、チップへのアクセスも可能ですから、決済情報な

実際に調査してみないとわからないのです。です

どを盗み出すこともできるようになるでしょう。

から、ユーザーができることとしては、携帯電話会社に対して自分の SIM カードが影響を受けるのか否か、調査・公表するよう強く求めていくこと影響が及ぶ範囲を調査せよ !

だと思います。
これまでのお話の中で危険性は充分に理解でこの点は日本のユーザーにも参考になります

きました。ここで先の質問に戻りますが、携帯電ね。本日はどうもありがとうございました。

7

SECCON CTF 2014
全国大会レポート取材・文・撮影 = 斉藤健一

世界のトップチームも参戦した SECCON CTF 2014 決勝戦
本誌ではこれまでも SECCON 2014 地方大会のKing of the Hill 形式の決勝戦

レポートを掲載してきたが、今号では本年 2 月に開催された全国大会の模様をお届けする。
SECCON 2014 全 国 大 会 は 2 月 7 日 ～ 8 日 の 2

決勝戦は、主催者側が用意した 6 台の仮想サー

日間にわたり、東京電機大学東京千住キャンパス

バーに対して全チームが攻撃を仕掛ける King ofで開催された。各地方大会やオンライン予選を勝

the Hill という形式で行われる。6 台の仮想サー

ち抜いたチームが一堂に会して競う SECCON CTF

バ ー に は そ れ ぞ れ、Web、CAPTCHA の 突 破、2014 決勝戦に加え、情報セキュリティに関する

Exploit、組み込み系システム、ネットワーク、暗カンファレンスも併催された。

号アルゴリズムの問題が用意されている。

本誌 Vol.4 でも触れたとおり、12 月のオンラ

競技では「攻撃ポイント（Attack Point）」と「防イン予選の開催直前に、SECCON CTF 決勝戦の優御ポイント（Defense Point）」の 2 種類の得点方

勝チームには米国で今夏に開催される DEFCON法がある。攻撃ポイントとは、ターゲットサーバー

CTF へのシード権が与えられるというニュースがを攻略して得られる「attack keyword」をスコア

流れ、世界各国の強豪チームが続々と名乗りを上

ボードに登録することで得られる点数で、防御ポげた。その結果、PPP（PPPwning）、Shellphish、イントとは、ターゲットサーバーの所定のページ

Samurai と い っ た DEFCON CTF の 常 連 チ ー ム をに「defense keyword」を登録した場合、定期的

はじめ、世界 6 ヵ国、計 11 チームの海外勢が決に与えられる点数のこと。

勝戦へと駒を進めた。これに日本の 13 チームをそして、2 月 7 日 13 時 30 分～ 19 時 30 分、2加えた合計 24 チームによって決勝戦は争われる。

月 8 日 9 時～ 14 時の計 11 時間の競技が終了した

各チームの人数は 4 名まで。会場に並べられたそ

時点で得点の最も多いチームが優勝となる。

れぞれのテーブルに着き競技を行っていた。

CFT 決勝戦会場となった東京電機大学 東京千住キャンパス 100 年ホール

8

戦況をリアルタイムに可視化する
NIRVANA 改
CTF 会場を訪れた多くの人たちが目にして驚い た の は、 戦 況 を リ ア ル タ イ ム で 可 視 化 す る
NIRVANA 改 の 画 面 だ っ た に 違 い な い。 こ れ は、
NICT（独立行政法人情報通信研究機構）が開発したサイバー攻撃統合プラットフォーム。決勝戦では「NIRVANA 改 SECCON カスタム Mk-II」が導入されており、攻撃ポイント発生時に画面に大きく

NIRVANA 改造の画面表示される「突破」の文字が印象的だった。

くるので、おのずとトラフィック量も増大する。

ま た、 先 に 紹 介 し た CAPTCHA を 突 破 す る 問

NIRVANA 改は、このような状況もリアルタイムで

題などでは各チームとも独自にプログラムを作可視化することができ、会場の雰囲気を盛り上げ成し、サーバーに対して自動で攻撃を仕掛けてるのに一役買っていた。

一般の人も参加できるカンファレンスも併催
SECCON では、CTF 決勝戦と同時にカンファレ

本年 1 月 9 日より施行されたサイバーセキュリ

ンスも開催され、日本で行われているセキュリ

ティ基本法※ 1 ※ 2 の概要を紹介するもので、講演

ティコンテストの紹介や、SECCON CTF の関連イは「サイバーセキュリティ」という言葉の定義か

ベントである CTF for Girls や CTF for Beginners のら始まった。例えば「サイバーセキュリティ」を

活動報告なども行われた。こちらは一般参加も可

国際政治的な意味合いを持たせて使う場合もあれ

能で、多くの人が訪れ、講演に耳を傾けていた。

ば、ISO27000 シリーズのように「情報セキュリ

CTF の結果をお届けする前に、講演の中から興ティ」を技術的な用語として使う場合もあり、言味深かったものをいくつか紹介させていただく。

葉の解釈や使い方は人によって異なる。そこで三角氏はサイバーセキュリティ基本法の定義（第 2サイバーセキュリティ基本法の概要と条）に触れ、この法律はコンピューターやネット

政府の取り組み

ワーク、およびそれらのシステムで通信・保存される情報の安全や信頼性を確保するためのものであると説明した。

NISC（内閣サイバーセキュリティセンター）の内閣参事官である三角育夫氏による「我が国のサ

次に、近年の情報漏えい事件における被害の大イバーセキュリティ政策と人材育成」はカンファ

規模化 ※ 3、政府機関への脅威件数の増加※ 4、巧レンス初日に行われた。

妙化する標的型攻撃などのリスクを挙げ、サイ※ 1 サイバーセキュリティ基本法 http://law.e-gov.go.jp/htmldata/H26/H26HO104.html※ 2 旧内閣官房情報セキュリティセンターがサイバーセキュリティ基本法の概要をまとめており、三角氏もこの資料を元に講演を行っている。
http://www.nisc.go.jp/conference/seisaku/dai40/pdf/40shiryou0102.pdf※ 3 JNSA がまとめた「2013 年 情報セキュリティインシデントに関する調査報告書 ～個人情報漏えい編～」によると、2013 年に発生した個人情報漏えい事件は 1388 件となっている。一件あたりの漏えい人数は平均で 7031 人、また想定被害額補償額は 1 億 926 万円と、過去の調査と比べ人数・被害補償額ともに大幅に増加している。
http://www.jnsa.org/result/incident/data/2013incident_survey_ver1.2.pdf※ 4 情報セキュリティ政策会議が 2014 年 7 月にまとめた「サイバーセキュリティ政策に係わる年次報告」によると、GSOC（Goverment
Security Operation Coodination team）が 2013 年度に観測した政府機関への脅威は約 508 万件となっており、前年度の約 108 万件
から約 5 倍に増加している。ただし、同資料では年度途中に行った GSOC センサー増強の影響もあるとしている。
http://www.nisc.go.jp/active/kihon/pdf/jseval_2013.pdf

9

組みがいくつか紹介されたが、紙幅の都合により、
ここでは人材育成を取り上げることとしたい。情報セキュリティ技術者の量的不足はニュースなど
でも報じられているが、政府としては既存の IT 技
術者に対して情報セキュリティの知識や技術を習得できる機会を提供するとともに、技術者がスキルを発揮できる場を拡大するために、経営層の意
識改革にも取り組んでいくという。
そして今後は、経営層と実務者層とをつなぐ人
材や、グローバル水準で活躍できる高度な人材が求められるとし、今回の SECCON CTF 全国大会もNISC（内閣サイバーセキュリティセンター）内閣参事官 三角育夫氏

グローバルな人材を育成する取り組みの一環であバーセキュリティに関する施策推進が求められる

ると、述べた。他にも 2 月 1 日～ 3 月 18 日をサ

背景を語った。

イバーセキュリティ月間と定めてさまざまな啓発活動も行っており、こちらにも関心を持ってもら

この法律では、国・地方自治体・重要インフラ

えれば幸いだとして講演を締めくくった。

業者・サイバー関連事業者・教育研究機関などの責務が規定されており（第 4 条～第 8 条）、さら世界のハッカーカンファレンス事情にポイントとして国民に対してもセキュリティ確保の努力を促している（第 9 条）。
基本的な施策は第 13 条～ 23 条に盛り込まれて「世界のハッカーカンファレンス」は 2 日目におり、この中に人材確保（第 21 条）や教育促進・行われた講演だ。スピーカーの篠田佳奈氏は、長啓発（第 22 条）も含まれている。

年にわたり世界各地のカンファレンスに参加、また、具体的な施策推進の中心は新設のサイハッカーたちとの交流を深めており、2014 年か

バーセキュリティ戦略本部（第 24 条～第 35 条）

らは自身でも CODE BLUE を主催している。講演であり、その事務局として旧内閣官房情報セキュでは篠田氏がこれまでに参加した各国のカンファ

リ テ ィ セ ン タ ー（NISC：National Information

レンスの特徴などを簡単に紹介した。

Security Center） が、 新 た に 内 閣 サ イ バ ー セ・Nuit Du Hack（フランス）キ ュ リ テ ィ セ ン タ ー（NISC：National center of

毎年 6 月ごろにパリで開催されるカンファレン

Incident readness and Strategy for Cyberseurity）

スで、今年で 13 年目を迎える。HackerzVoice ととして発足したことなどを説明した。

いうハッカーコミュニティが主催しており、CTF

講演終盤では、サイバーセキュリティへの取り

カンファレンス会場である東京電機大学 東京千住キャンパス 丹波ホール

10

だ。
XCON は中国本土では老舗の国際カンファレン
スで、XFocus というハッカーチームが主催を務めている。参加者は 400 名程度。その多くは中国人で、海外からの参加者は約 10% ほど。また、2012 年から Geek Pwn というハッキングコンテ
ストも併催され、注目を集めるようになった。「スマート化されたものはすべてハックする」というスローガンを掲げ、これまで自動車やスマートフォンなどを攻撃対象としてきたそうだ。
一 方、SyScan360 は、 中 国 企 業 と シ ン ガ ポ ー

CODE BLUE 事務局 篠田佳奈氏

ル企業とが共同で開催する国際カンファレンスでも併催される。会場はパリ郊外のディズニーラン

今年で 4 年目を迎える。スピーチの内容が非常にドで 1000 人規模の参加者が集まるという。

高度なのが特徴なのだそうだ。また、昨年のカン

2006 年、政府が打ち出したセキュリティ強化のファレンスでは、テスラモーターズ社の電気自動政策にともない、Nuit Du Hack も注目されるように車をハックするコンテストが併催されて注目を集なり、PlayStation3 のハックで有名な George Hotz

めた。

氏をスピーカーとして招いたところ、多数の人が・ZeroNights/PHDays（ロシア）

集まり、現在の規模にまで拡大したのだそうだ。
スピーチのテーマには、ロックピッキングやソー

ZeroNights は、2012 年冬に第 1 回目が開催さ

シャルエンジニアリングなども含まれ、自由な雰れたばかりの新興カンファレンスで、参加者は囲気を持ったカンファレンスだと篠田氏は言う。

500 名ほど。主催するコミュティも学生中心の若い世代が多いとのこと。フルディスクロージャーのポリシーで運営されており、ゼロデイ脆弱性を

・Hack In The BOX（マレーシア）
先進的なテーマを数多く扱うカンファレンスで、扱う講演も多かったが、今後は責任あるディスク

これまでマレーシアを本拠地として活動してきたロージャーへと移行していくだろう、と篠田氏はが、今年からはアジア地域を移動しながらの開催語っている。

になるとのこと。CTF も併催され、欧米の大会にまた、PHdays の方は、2011 年より毎年 5 月には参加が困難な近隣諸国のチームも多数参加してモスクワで開催される国際カンファレンスで、ロおり、アジアでは最大規模の大会となっている。

シア最大規模のセキュリティ企業である Positive
Security 社が主催し、1000 人規模の参加者を集めている。また、講演はすべて英語で行われている。

・XCON/SyScan360（中国）
CNNIC（中国ネットワークインフォメーション

CTF をはじめ ATM のハッキングコンテスト、さセンター）の発表によれば、2013 年末における中らには重要インフラを模したシステムを攻撃する国のインターネット人口は約 6 億 1800 万人と膨コンテストなど、数多くのイベントが併催されて大だが、中国の初期ハッカーコミュニティは、意いるのが特徴だという。

外にも台湾の影響を受けているのだという。1990
・CODEGATE/SECUINSIDE/PoC（韓国）

年代後半に台湾のハッカーによって書かれた中国語の書籍が本土へと渡り、ハッキングの技術を研1999 年、韓国では情報化を推進する「サイバーさんするグループが次々と誕生していった。また、

コリア 21」により急速にインフラ整備が進むとコミュニティ草創期を知るメンバーたちは、現在

同時に、サイバー犯罪が起きやすい環境になったのようにネットワーク犯罪組織に人材が流れてしという。その結果、犯罪者に対する刑罰も強化さまう中国の現状を嘆かわしく思っているのだそう

れ、不正アクセス被害に遭い情報を漏えいさせた
11

企業の担当者は法的責任も追及されるという状況

女性向けや小学生向けの CTF などを開催しているとなった。また、1990 年代後半からハッカーコミュのも特徴だという。

ティも誕生しており、大学間でハッカー同士の抗・HITCON（台湾）争が勃発し、逮捕者を出す事件も起こったという。

HITCON は毎年 7 月末に台北で開催されており、篠田氏は、韓国ハッカーコミュティの活発さには

今年で 10 年目を迎える。chrOOt というコミュニ

このような背景があると説明した。
現在、韓国国内には CTF チームだけで数百はあティが主催しており、参加者は約 1000 名。講演るという。CTF は就職に有利だからという理由なではボランティアによる英語の同時通訳も付く。

のだそうだが、女子率も高いとのこと。

100 名ほどの学生ボランティアがカンファレンスを支えており、パーティなども非常に賑やかなの

CODEGATE は、2008 年 か ら 毎 年 4 月 に ソだそうだ。

ウルで開催されている国際カンファレンスで、SOFTFORUM 社というセキュリティ企業とメディ
アグループの MBC による共催。CTF も併催され、こ の 後 米 国（BlackHat/DEFCON） や 日 本（AV約 1200 名の参加者を集めている。現在では CTF

TOKYO/CODE BLUE）の状況が語られた。そして優勝チームに多額の賞金を出す大会も増えている

講演最後のまとめでは、それぞれの国の事情や背が、その流れを作ったのが CODEGATE だと言わ景によって、ハッカーカンファレンスのスタイルれている。

は異なるが、共通するのは、人と人をつなぎ、国ま た、SECUINSIDE は、 ハ ッ カ ー コ ミ ュ テ ィ

境を越えたゆるい連帯が大きな価値を生むという

HARU が主催し、金融系 IT 企業である KOSCOM

点だ、と篠田氏は語る。さらに、セキュリティカ

社がスポンサードするカンファレンスで、参加者

ンファレンスは、多様なアイデアや情報が流通は約 700 名。2011 年からソウルで開催されており、する場であり、人々が自らの技術を切磋琢磨する

CTF も併催される。

場でもある。そして、闇市場に流れる脆弱性やExploit を無効化できる手段でもあると強調して講そして、PoC は 2006 年からソウルで開催され演を締めくくった。

るカンファレンスで、参加者は 200 ～ 300 名程度。

CTF 決勝戦 勝敗の行方
表彰式が行われた。

競技初日、開始直前に PPP がフライングでポイントをゲットするところからスタートし、TOEFL
Beginner がトップを走り、HITCON がそれを追う

表彰式では視察に訪れた

形で終了した。SECCON CTF ではサーバーに接続

山口大臣による挨拶もしなければ解けない問題もあれば、問題を持ち帰CTF 決勝戦 2 日目には、情報技術（IT）政策担

り夜を徹して取り組めるものある。
競技 2 日目、持ち帰った問題の解答を登録する当大臣である山口俊一氏も視察に訪れていた。表チームが続出し、NIRVANA 改の画面は開始早々か彰式で登壇した山口氏は、サイバーセキュリティ

ら「突破」の文字が連発した。しかし、この日もは世界各国に共通する重要課題であり、日本におTOEFL Beginner の独走を阻むチームは表れず、1

いても 2020 年のオリンピック・パラリンピック

位 TOEFL Beginner、2 位 HITCON、3 位 PPP と い

開催に向けてしっかりとした体制作りに取り組ん

う結果に終わった。日本チームの最高位は binja

で行きたい、と語った。

の 4 位だった。なお、各チームの得点状況などはまた、政府では優秀な人材を求めており、サイ

SECCON の Web ページで見ることができる※ 6。

バー空間をより良いものにするためにも是非とも

そして、競技終了後はカンファレンス会場にて力を貸してほしいと、CTF 参加者に協力を求める※6

SECCON CTF 2014 Finals

http://ctf.seccon.jp/finals_score.html

12情報技術（IT）政策担当大臣 山口俊一氏

優勝は韓国の TOEFL Beginner

場面もあった。
参加者同士の交流を深める懇親会
表彰式終了後には関係者による懇親会も開かれた、参加者同士が各問題について意見を交換した
り、運営側の出題者に質問したりと活発な交流が行われた。本誌でもいくつかのチームに話を聞くことができたので、ここで紹介したい。
まずは優勝を飾った TOEFL Beginner。このチームは今大会に出場するために急きょ結成されたそ

準優勝は台湾の HITCON

うで、各メンバーは普段それぞれ別のチームでう若いチームなのだそうだ。彼らに躍進の理由を活動している。SECCON CTF の印象を聞いてみた

尋ねてみたところ、「理由は 4 つ。1 つは、1 年かところ、「NIRVANA 改には感心しました。また、

けて世界各国の CTF に参戦して経験を積んだこと。

King of The Hill という形式は初体験だったが楽し

2 つ目は運が良かったこと。3 つ目は、それぞれがむことができた。複数のサーバーの中にバリエー

得意ジャンルを持つメンバーが、うまく団結してションに富んだ問題があったのも良かったと思

組織力を発揮できたこと。そして 4 つ目、これがう」と語ってくれた。

いちばん大きな要因かもしれないが、超優秀な人

また、韓国の CTF 事情についても質問してみた材が新たに参加してくれたこと」と答えてくれた。

が、「韓国では情報セキュリティへの関心は高く、また、SECCON を戦った感想として、「PPP など

高校にはコンピューターセキュリティクラブのよ

世界トップレベルのチームと戦うことができ、学うな活動もある。こういった若い世代のプレイ

ぶ点も多かったと感じている。また運営面もスムー

ヤーも増えているので、僕らもがんばらなくてはズで主催者には感謝している」とも語ってくれた。

ならない」と話す。彼らは DEFCON CTF への出場

実 行 委 員 長 の 竹 迫 氏 に よ れ ば、SECCON CTF

権を得たわけだが、開催までにもっとスキルを磨2015 の開催はすでに決定しているという。運営

いていきたいと抱負も語ってくれた。

面は検討中とのことだが、世界トップレベルの次に準優勝の HITCON。台湾で開催されるカンチームが参加する国際大会として今後のさらなるファレンスの代表チームで、昨年の DEFCON CTF

発展を期待したい。

でも準優勝するなど、ここ数年で頭角を現してきている。メンバーの半数は大学生で、残りの半数も昨年大学を卒業し IT 企業に就職したばかりとい13ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#05 混沌の時代に求められるインテリジェンスのあり方
文 = エル・ケンタロウ
つ く 脅 威 イ ン テ リ ジ ェ ン ス（Actionable ThreatIntelligence）」を取り上げた。語句の説明につい政府の肝いりで CTIIC が発足ては今回割愛させていただくが、ここ数年でこう米国政府が新たにサイバー脅威に特化した機

いった情報を提供するセキュリティベンダーは確関、CTIIC（Cyber Threat Intelligence Integration

実に増えたといえる。一方、ユーザー企業側の多Center：サイバー脅威情報統合センター）の設立

くは増え続ける膨大な脅威情報を活かしきれず、を発表した。ホワイトハウスのプレスリリースに真の意味で組織活動の中でのインテリジェンス化

よると、CTIIC の目的は米国の国益に影響を与えに成功していないのも確かだ。

ると考えられるサイバー脅威やインシデント等のエンタープライズ戦略グループ ESG 社の主席ア

情報を収集・解析し、政策決定を行う機関に適切ナリストであり、NETWORK WORLD 誌のコラムな情報を提供することだという。また、関連する

執筆者の 1 人でもあるジョン・オルトシク（Jon

機関や部署と協力し、これらの脅威の特定・調査・

Oltsik）氏は、いつかの民間企業の CISO（情報セキュ軽減するための支援活動も行っていくとのこと。

リティ最高責任者）やアナリストを対象に、脅威

ただし、CTIIC がインシデント対応を管理した

インテリジェンスについて調査を実施した。そのり、直接調査を行ったりすることはなく、あくま

結果、多くの大企業ではオープンソースをはじめ、で情報提供などの支援活動に徹する位置付けであ

商業ベースの脅威情報サービス、また IDS などのり、これまで既存の政府機関が担ってきた機能を製品に付随して提供される脅威フィードなど、さ置き換えるものではないという。

まざまな情報を組織に取り入れていることがわ
かったが、はたして量と質が見合った関係にある

このような状況の中、CTIIC の任務の難しさをのかという疑問を投げかけている。

指摘するセキュリティ研究者もいる。セキュリ
ティ企業の IT Harvest 社の主研究員のリチャード・

オルスティック氏は、インタビューを行った中

スティノン（Richard Stiennon）氏は、「問題なのでも先進的な CISO の多くがこの量と質の問題には各政府組織がまだ脅威情報を取り入れて自分た

対する解決策を自組織スタッフやセキュリティベ

ちのネットワークを完全に守れる状態にない点。

ンダーに提案している点に注目する。「特に先進的

本来はこれを先に解決すべきだった。さらに、彼な CISO が考える理想は、さまざまな脅威情報がら (CTIIC) は、数十億もの監視ポイントから送信集約され簡素化・視覚化した形で提供され、かつされる膨大な情報の処理に忙殺されることになる

インフラは自動的にさまざまな脅威情報を取り込だろう。このような技術は、限定された範囲であみ、解析・拡散・分析・回避策もリアルタイムでれば有効だが、彼らが実現しようとする規模では対応できるようになることだ」とコラムで記して現実的とはいえない」との見解を示している。

いる。
そして、このような先進的な脅威情報戦略が今
後セキュリティ業界の進むべき道だとして記事を脅威情報の量と質の問題締めくくっている。
前号の本連載では、セキュリティ業界の新たな キ ー ワ ー ド と し て 注 目 さ れ る「 行 動 に 結 び
14情報となる。膨大な脅威に関する情報を技術者のみならず組織の決定を行う経営部門に向けて説明

脅威情報を精査せよ !

するにはどのようにしたらよいだろうか？
技術系ニュースサイト TechTarget SearchSecurity

CIA（米国中央情報局）は外交的な政治判断のの シ ニ ア レ ポ ー タ ー で あ る マ イ ケ ル・ ヘ ラ ー

ための情報を提供しているが、その CIA で 40 年

（Michael Heller） 氏 は、HP セ キ ュ リ テ ィ リ サ ー

以上にわたり分析官として活躍してきたマーティ

チライブというイベントで行われた HP Security

ン・ピーターセン（Martin Petersen）氏は、CIA

Research Team の発表において「脅威情報は組織にのサイトで 40 年間の経験を元に情報インテリジェ

とってサイバー脅威への対策の中では不可欠なリンスのあり方を以下のようにまとめている。

ソースだが、問題は脅威情報フィードの質である」との見解を述べた。

「インテリジェンスの提供はカスタマーの側に立って行われなくてはならない」- 情報を提供す

また、同社ソフトウェアエンタープライズセる側が考慮すべき 5 つの点

キュリティ製品のシニアディレクターのダン・ラモレナ（Dan Lamorena）氏は発表の中で「企業1. 情報が最重要と思いがちだが、カスタマーにとサイバー犯罪者の攻防はコインの表裏のようなとって最も重要なのは時間である。

関係だが、ユーザー企業にとってセキュリティには予算という制約がある。一方、サイバー犯罪者
は対セキュリティそのものがビジネスであり、豊2. 発表された情報は永遠であり、ゆえに情報その富なリソースと高いスキルを持っている」と攻守ものだけではなく、情報にたどりついた経緯、それぞれの力関係について述べた。

結果的な判断も重要である。

このイベントでは総合ヘルスケア企業の CVS
ヘルス社のセキュリティチームから、セキュリ

3. 情報を間違える危険性を考慮せよ。一度、情報ティエンジニアのマシュー・クウェカ（Matthewの信ぴょう性に疑問が発生した後からそれを取Cwieka）氏と IT SOC コンテンツ開発アドバイザー

り戻すことは困難である。

のジョナサン・ニュネズ（Jonathan Nunez）氏が4. 情報を元に行われる作戦は、情報を解析した人

自社のケーススタディを発表した。

間の分析に対する厳密さ・客観性・誠実さにか

クウェカ氏は、脅威情報のリストを元に、とあかっている。

る IP アドレスをブロックしたが、実はこの IP ア
ドレスには複数のドメインがリンクしており、不5. 情報を消費するカスタマーは情報を提供する側

必要なドメインまで含めてしまった、と過去の苦が思っている以上に情報を消費する能力に長けい経験を語った。

ている。

そして、脅威情報を処理するには情報の精度を高めていくことが重要であり、商業ベースの情報

ピーターセン氏によるこれらの提言は、セキュであっても回帰テストを複数回行うべきだと、情報精査の必要性を強調した。

リティベンダーのみならず組織でセキュリティ関

さらに、脅威情報を確実に処理できなければ、脅連の情報を扱う部署が常に考慮すべき点であると威に対して迅速な対応はできないと、経験から得言える。
さらにピーターセン氏は、インテリジェンスはた教訓を述べた。

製品提供的な考え方、情報量の多さ、頻度、提供手法などに主軸をおくのではなく、サービス的な

過去の英知をひも解く

考え方、情報を受け取ったカスタマー側の情報の価値に主軸をおくべきだ、とも提唱している。

サイバー脅威情報から、サイバーを外せば脅威

15

●参考 URL
・FACT SHEET: Cyber Threat Intelligence Integration Center
http://www.whitehouse.gov/the-press-office/2015/02/25/fact-sheet-cyber-threat-intelligence-integration-center・Monster Problem Threatens New US Cyberthreat Plan
http://www.technewsworld.com/story/81768.html
・Confusion Persists around Cyber Threat Intelligence for Enterprise Organizations
http://www.networkworld.com/article/2849819/cisco-subnet/confusion-persists-around-cyber-threat-intelligence-for-enterpriseorganizations.html
・HP: Threat intelligence sources need vetting, regression testing
http://searchsecurity.techtarget.com/news/2240241387/HP-Threat-intelligence-sources-need-vetting-regression-testing・What I Learned in 40 Years of Doing Intelligence Analysis for US Foreign Policymakers
https://www.cia.gov/library/center-for-the-study-of-intelligence/csi-publications/csi-studies/studies/vol.-55-no.-1/what-i-learnedin-40-years-of-doing-intelligence-analysis-for-us-foreign-policymakers.html

16