大学におけるセキュリティ教育

樽谷 優弥
岡山大学
大学院ヘルスシステム統合科学研究科

自己紹介• 樽谷 優弥（たるたに ゆうや）
• 略歴
– 2014年9月～2018年11月• 大阪大学 サイバーメディアセンター 助教– 2018年12月• 岡山大学 大学院ヘルスシステム統合科学研究科 助教• 専門分野：情報ネットワーク– 光ネットワークを用いた仮想ネットワーク制御– IoT 機器を用いた省電力化のための機器制御– IoT におけるセキュリティ対策
2019/10/24

2

学生時のセキュリティ教育• 学部– セキュリティ教育に関する授業はほぼなし• コンピュータシステム利用の際の講習等– 特別講義等での講演程度• 大学院– 通常カリキュラムとしては専攻によるが基本的には座学のみ（暗号理論、倫理教育等）– 特別なカリキュラムで行われていた（後述）– セキュリティ教育を受けたくても大学ではあまりその機会を得れていない
2019/10/24

3

先導的ITスペシャリスト育成推進プログラム• 情報セキュリティ技術者・実務者育成プログラム– 奈良先端大を代表に、阪大、北陸先端大、京大およびJP/CERT、NTTデータ等の連携– 大学院修士課程の学生を対象に年20人程度、実践的実習による経験と知識の獲得– 法律、経営、政策、倫理的知識の習得• 現在では成長分野を支える情報技術人材の育成拠点の形成(enPiT)のセキュリティ分野として提供– 学部生や社会人向けに展開
Basic-SecCap: https://www.seccap.jp/basic/
ProSec-IT： http://www.seccap.pro/
2019/10/24

4

教育内容
• 座学
– セキュリティ政策や組織のセキュリティ対策– リスクマネジメントや運用技術、および活用例– セキュリティ技術、暗号アルゴリズム• 演習– IT 危機管理演習• インシデントが発生した際の管理者としてのロールプレイ– インシデント体験演習• マルウェアの監視・分析・防御・回避・復旧等の技術の体験– リスクマネジメント演習• 予防対策や不正アクセスへの対処等について実践– 無線LANセキュリティ演習（後述）– システム攻撃・防御演習（後述）
2019/10/24

5

演習発表会の様子（Twitter上）

2019/10/24

6

教育する立場におけるセキュリティ教育• enPiT-Security（SecCap）– 前述プログラムの後継プログラム– 主に阪大での演習を担当• enPit2-Security（Basic-SecCap）– 前述プログラムを学部生向けに展開したプログラム– 遠隔配信の窓口を担当• 専攻の演習科目– 演習科目の一部で SecCap で行っていた演習を展開

2019/10/24

7

enPiT-Security• 大学院生向けに演習テーマを提供– 無線LANセキュリティ演習– システム攻撃防御演習• 座学ではなく実際に攻撃可能な環境を用意し、演習によって攻撃の原理と防御対策に関して学ぶ• 成果発表– 各攻撃の仕組みや脆弱性– 安全なシステムを構築・運用するための方法の考察や提案
2019/10/24

8無線 LAN セキュリティ演習• 無線APの各種セキュリティ機能の検証– SSID ステルス機能– MAC アドレスフィルタリング– WEP、WPA2-PSK etc.

• DoS 攻撃の挙動等の確認
アクセスポイント

Ping 等の通信

DoS攻撃を行う端末
2019/10/24

DoS 攻撃演習イメージ図9

システム攻撃防御演習• システム攻撃– 攻撃ツールの解析– DNSキャッシュポイズニング– インジェクション攻撃• ペネトレーションテスト
実験仮想環境サーバ
仮想ネットワーク
L2
管理管理コンソール

仮想サーバ

実験用ノートPC
2019/10/24

実験用ネットワーク構成

10

演習によって学生に求めていたこと• 管理者、利用者の観点からどのように対処するか– 特に〇〇に気をつければいいは知っている人ができる対処でしかない– 利用者はセキュリティのことなんてしらない、しった
こっちゃないという前提で考えてほしい• 最新の技術にも弱点や穴があることを知ってほしい– 〇〇を使えば大丈夫、という発想で終わってほしくない2019/10/24

11Basic-SecCap• 上述のセキュリティ演習を学部向けに展開– 遠隔配信の窓口担当だったため、直接は担当せず• 大学院向けとの違いによる問題– 学部生と大学院生の知識量の問題• 暗号理論を学部生に展開して理解できるのか– 学部生がセキュリティ分野に興味をもつか• 選択カリキュラムであり、負担に対する単位数が少ない• 同プロジェクトのビッグデータ・AI分野を志望する学生が多く、セキュリティ分野を志望する学生が定員にたいして少なかった

2019/10/24

12

大学院の専攻の演習• 専攻の演習内容をネットワーク制御からネットワークセキュリティに変更– SecCap で行っていた演習内容を提供• 演習の内容– トラヒック解析– マルウェアの観測、解析– マルウェア感染攻撃への対策– サイバー攻撃例の演習（担当分）• システム攻撃防御演習を提供

2019/10/24

13

演習を行う上での課題• 演習環境の整備– SecCap と違い、毎週3時間程度の講義のため演習環境を別途用意することが必要– SecCap では集中講義で2,3日で行っていたため講義室に演習環境を配置して行っていた• 知識面の問題– セキュリティ演習の予備知識が無い学生へ指導する必要があり、内容の簡素化等を行うことが必要• 時間の問題– 割り当てられている時間が限られているため、行いたい内容をすべてできない– ただの演習になってしまい、enPiTで求めていたようなことができない…
2019/10/24

14

大学におけるセキュリティ教育の課題• 倫理教育や座学はあるが、実践的なセキュリティ演習を行う場を提供するのは困難– 演習環境や時間が問題• 学生の姿勢の問題– 職員と違い大学のポリシーで学生を縛るのは難しい• 情報セキュリティとして何を教育するべきか– 倫理教育や座学だけでは得られない経験が必要か– それらを提供する場を用意することができるのか– 情報セキュリティ教育として何を重要とするべきなのか
2019/10/24

15岡山県プロジェクト• 「おかやまIoT・AI・セキュリティ講座」– 2019 年度より始まった大学と県内企業を交えた取組– VOD教材やPBL演習の提供、共同研究のペアリング等を検討中

2019/10/24

https://www.okayama-u.ac.jp/tp/topix/topix_id493.html

16

プロジェクト取り組み例• 県内企業との面談– IoT・AI・ICT活用の意識、セキュリティ意識等を調査– 共同研究講座も活用• カリキュラムの提供– VOD教材• IoT+セキュリティでカリキュラムイメージを準備中• 学内のビデオサーバを活用して提供予定– PBL演習• 集中講義として提供予定

2019/10/24

17おかやまIoT・AI・セキュリティ講座
 キーワード相関図
セキュアプロトコル
IoTデバイス通信，TCP/IP

IoT情報理論★ IoTデバイス用暗号
セキュア乱数★ロボット・駆動系セキュリティ
CAN，CAN FD，Lin，Ethernet

センシングセキュリティ★画像処理
電磁ノイズ対策，EMC

OSセキュリティ

IoTセキュリティガイドライン

マルチメディアセキュリティ
デジタルフォレンジクス

IoTセキュリティ

無線通信
Wifi， ★ Bluetooth， ★ LPWA

★IoTデバイス
RaspberryPi，Arduino

プログラミング
C/C++， ★ Python

クラウド・エッジセキュリティ
データクレンジング， ★ AI解析，Feedback★ HWセキュリティ
Side Channel Attack，Immunity/FaultInjection Attack18

おかやまIoT・AI・セキュリティ講座
 キーワード相関図

AI
ニューラルネットワーク入門
統計的機械学習入門
画像処理とAI

データサイエンス★AI活用演習
物理現象とAI

音声信号処理とAI
自然言語処理とAI

19カリキュラムイメージ例（樽谷担当予定）
概要：
サイバー攻撃が社会問題となっており、IoT 機器が増加する昨今では、様々な場面でサイバー攻撃対策の知識が必要とされる。本講義では、サイバー攻撃に関して紹介し、マルウェアの感染攻撃やサーバへの攻撃などの攻撃によるリスクやその対策方法について紹介する。

各回タイトル：
第1回 サイバー攻撃の概要 (1)
第2回 サイバー攻撃の概要 (2)
第3回 マルウェア感染と対策 (1)
第4回 マルウェア感染と対策 (2)
第5回 サーバへの攻撃と対策 (1)
第6回 サーバへの攻撃と対策 (2)

攻撃者

感染済PC

感染済サーバ
感染攻撃

サーバ

PC

スマートフォン

二次サイバー攻撃PC

2019/10/24

サーバ

企業
ネットワーク20

セキュリティに関連するカリキュラム例• マルチメディアセキュリティ• セキュア通信プロトコル• サイバーセキュリティリスクマネジメント• HW・デバイスセキュリティ• OSセキュリティ• IoT デバイス用暗号• セキュリティガイドライン

2019/10/24

21

まとめ• 学生向けのセキュリティ教育への取り組み– 大学での実践的なセキュリティ教育の紹介– 実践的な演習は継続して行っていきたいカリキュラム
ではある• が縮小してる気が…

• 企業向けのセキュリティ教育への取り組み– 県と大学の連携による企業向けのセキュリティ教育– どのレベルで教材を作成するかなどは模索中

2019/10/24

22