SHIELD Security Reserch Center

T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

竹迫良範 インタビュー ……………………………………………………………………… 3
セキュリティ イベント アラウンド ザ ワールド

eCrime 2015（スペイン・バルセロナ）＋ PHDays 2015（ロシア・モスクワ） …………… 9

Threat Scope ………………………………………………………………………………… 13●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2015. All rights reserved.

2

て
つい
長に
に
員
育成
行委
材
実
人
N
O
ティ
リ
SECC
ュ
セキ
の
日本
材 !!
取
直撃

Yosinori Takesako

竹迫良範
インタビュー

日本最大規模のセキュリティコンテスト
で あ る CTF、2014 年 度 に は 世 界 各 国 のハッカーたちが集結する国際大会へと大きな発展を遂げた。そして 2015 年、今年度の大会もいよいよスタートを切ることとなった。セキュリティ人材の不足が叫ばれる中、SECCON は人材育成にどのような効果をもたらすのだろうか。実行委員長の竹迫氏に話を伺った。
取材・文・撮影＝斉藤健一

3

この暗号を復号するのですが、成功すると、今度は自分たちが考えた暗号アルゴリズムの Python

日本初の国際大会となった SECCON 2014

プログラムをサーバーにアップロードできるよう）：本日はお忙しいところ時間を割になります。この暗号が破られなければサーバーいていただきありがとうございます。お話を伺いを死守できますし、破られてしまえば攻守逆転とたいテーマとしては、SECCON、セキュリティ人

なりますから、いわば陣取り合戦のようなもので材育成、ご自身について、などを考えています。

す。

斉藤（以下

なるほど。

よろしくお願いします。
）：こちらこそよろしくお願いします。

暗号解読の方法としては、地道な総当たり攻撃

早速ですが、SECCON 2014 について伺います。

や、サーバー側のプログラム自体のバグを突く方

本年 2 月に行われた決勝戦では、優勝チームに法などがありました。初日は皆まじめに暗号を解

DEFCON CTF へのシード権が与えられることもあ読しようとしていたのですが、2 日目になると、り、海外から多数の参加がありました。竹迫さん

サーバー側のプログラム自体にバグがあることがご自身は彼らから SECCON の印象などを聞かれた

知れ渡り、初日と 2 日目では、競技の方向性が変のですか。

わったというのも楽しさの要因だったのかもしれ

竹迫（以下

ません。

はい。実は大会終了後に海外チームの人たちと観光に行きました。そのとき、彼らに正直な感想

ありがとうございます。ところで、SECCONを聞かせてほしいと頼んだところ、多くの人から2014 は大会史上初の国際大会となりましたが、「楽しかった」という答えが返ってきました。

運営ではどのような点で苦労されましたか。

大会の問題について、何か意見は出ましたか。

初の試みで、何もかもが手探り状態で不安もあ海外勢から評判が良かったのが、暗号解読の問りましたが、英語ネイティブの方にスタッフに加題です。これは他の CTF 大会には見られない新しわっていただくなどして対応しました。苦労したいタイプの問題だったようで、彼らも気に入って点は、競技の公平さを保つことでした。日本チー

くれました。

ムだけが有利にならないよう、あらかじめ競技

問題について簡単に紹介していただけますか。

ルールをきちんと文書化し、英語に翻訳して事前

出題用のサーバーには何かしらのアルゴリズムに各チームに配布しました。また、競技中のルーで暗号化されたテキストがあります。各チームは

ル違反についても「ルールのこの部分に抵触している」と、厳格に対処できるよう準備に努めました。
実際に何かルール違反はありましたか。
重大なルール違反などはありませんでした。
CTF はある意味スポーツですから、どのチームも正々堂々とプレイしていたと思います。
SECCON 2015 の大会概要も決定 !
引き続き SECCON 2015 について伺いたいと思います。これまでの大会と比較して何か新たな試●竹迫良範（たけさこ・よしのり）

みなどはあるのでしょうか。

1995 年広島市立大学情報科学部入学。大学休学中にアルバイト

2014 は 初 の 国 際 大 会 で し た が、 残 念 な がで Web アプリや EC サイトの構築業務に携わる。2004 年には、ら、日本チームが優勝することはできませんでPerl クックブック第 2 版（オライリー刊）の監訳を担当。2005 年、し た。1 位 韓 国（TOEFL Beginner）、2 位 台 湾

サイボウズ・ラボに入社、現職。2012 年より SECCON の実行委員長を務めている。

（HITCON）、3 位 米 国（PPP） と い う 結 果 で、 日
4

SECCON 2015 開催スケジュール
日程2015 年 8 月 26 日
10 月 24 日
11 月 7 日
11 月 8 日
11 月 28 日
12 月 5 日 ・6 日
2016 年 1 月 30 日
1 月 31 日

開催大会
SECCON 2015 横浜大会
SECCON 2015 広島大会
SECCON 2015 福島大会
SECCON 2015 大阪大会
SECCON 2015 九州大会
SECCON 2015 オンライン予選
SECCON 2015 決勝戦／ intercollege
SECCON 2015 決勝戦／ international

会場
パシフィコ横浜
広島市立大学
会津大学
グランフロント大阪
九州工業大学
インターネット
東京電機大学
東京電機大学

競技内容
CEDEC CHALLENGE
熱血シェルコードサイバー甲子園【18 歳以下・学生限定】
CSIRT 演習
Attack & Defense【学生限定】
CTF 予選／英語・日本語
CTF 決勝戦／日本語
CTF 決勝戦／英語

CTF for ビギナーズ 開催スケジュール
日程2015 年 6 月 7 日
6 月 14 日
7月 4 日
7月 5 日
9 月 12 日
10 月 3 日
10 月 17 日
11 月 7 日

開催大会
CTF for ビギナーズ 2015 博多
CTF for ビギナーズ 2015 札幌
CTF for ビギナーズ 2015 東京
CTF for ビギナーズ 2015 長野
CTF for ビギナーズ 2015 熊本
CTF for ビギナーズ 2015 滋賀
CTF for ビギナーズ 2015 奈良
CTF for ビギナーズ 2015 大阪

会場
富士通株式会社
札幌市産業振興センター
東京電機大学株式会社電算東海大学
立命館大学
奈良先端科学技術大大阪南港 ATC

演習内容
Attack & Defense【学生限定】
Binary, Web, CTF
Binary, Network, Web, CTF
Binary, Network, Web, CTF
Network, Web, CTF
Binary, Network, Web, CTF
Attack & Defense【学生限定】
CTF in Kansai Open Forum

本チームは binja の 4 位が最高位です。このままどでセキュリティを専攻するきっかけになってく国際大会を続けていくと、日本チームが萎縮してれるとうれしく思います。

参加しなくなるのではないか、という懸念があり

ところで、大会日程を拝見すると、福島大会のました。そこで 2015 では、これまでの国際大会

翌日に大阪大会が開催されるなど、かなりタイト（international）に加え、対象を日本の学生に限定なスケジュールですね。実行委員の方々はそれぞした大会（intercollege）を開催することにしまれの大会に分散されると思いますが、記者泣かせした（表参照）。

だと思います（笑）。

決勝戦が 2 回行われるということでしょうか。

実は同じ時期に CTF for ビギナーズ（以下ビギ

そのとおりです。学生大会の方は、学校別の対ナーズ）大阪大会も開催されるので、3 つのイベ
ントをほぼ同時に開催するということになります

抗戦にしたいと考えています。

過去の SECCON では地方大会が行われており、 （笑）。実行委員のメンバーも今年は 40 名を超え、各大会の優勝チームが決勝戦に進めました。この層が厚くなってきましたから、3 つ同時でも運営仕組みも変わるのでしょうか。

できるようになりました。協力していただいている実行委員の方々には本当に感謝しています。

はい。いくつかの地方大会が、学生限定のもの

他にも、ビギナーズの大会数が増えていますが、になりますから、ここで優勝したチームは学生大

これも 2015 の特徴の 1 つなのでしょうか。

会へ進むこととなります。学生・社会人ともに参加できる地方大会やオンライン予選においても、はい。これまでのビギナーズは、SECCON に参学校名でチーム登録して上位入賞を果たせれば、加する学生有志による勉強会という位置付けでし

学生大会に進むことができます。また、会津大学

たが、今年からは SECCON の公式イベントとしてで行われる福島大会は「サイバー甲子園」と銘打取り組んでいくことにしました。今年は新たに、

ち、18 歳以下の学生限定としました。私たちの攻防戦（Attack & Defense）を体験できる演習も世代は、社会人になってから業務上の理由など用意しました。

で、セキュリティの勉強を始めた人がほとんどで

SECCON 地方大会の競技内容やビギナーズの演

すが、現在ではもっと早い時期からセキュリティ

習内容はどのように決められているのでしょうか。

について学んでほしいと考えています。ですから、実行委員の中での話し合いによって決まりま

この大会が若い人たちにとって、大学や大学院な

すが、「熱血シェルコード」のように、委員の強5

果をプレゼンテーションしてもらう予定です。

い希望で実施されるものもあります。昨年は x86
リモート Exploit の演習を行いましたが、今年はということは、プレゼンテーションの優劣が勝x86 に限らず、ARM をはじめとした他のアーキテ

敗を分けるということになるのですね。

クチャーも扱うようにしました。

そのとおりです。実はこれには予習をしてもら
うこと以外の狙いもあります。参加者の多くは技確かに。ARM アーキテクチャーは、他の CTF

術系の方々ですが、これからは技術に詳しくない

大会でもよく使われますからね。
横浜大会の「CEDEC CHALLENGE」も大きく変人に向けて、サイバー脅威などをわかりやすく伝

わります。この大会はゲーム開発者向けの CEDECえる能力も求められてくると思っているのです。

というカンファレンスと提携しているのですが、実務者と会社の経営層などをつなぐ人材の育成

競技では、参加者にゲームのチートに挑戦してもが重要だと言われていますから、プレゼンテーショ

らおうと考えています。参加者にパッキング（難ンを審査するというのは、興味深い取り組みだと読化）された Android アプリを配布し、コードに思います。ちなみに、SECCON の参加者、主に学含まれる脆弱性を探してチートしてもらいます。

生の方になると思うのですが、大会後にセキュリ

こちらも担当の実行委員の方が中心となっていま

ティ業界へ就職した例などはあるのでしょうか。

す。

はい。2012 年に参加した方が協賛企業に就職した事例を聞いています。他の例としては、やは

私自身、2 年ほど前に横浜大会を取材したことがあります。このときはカンファレンスの一角

り 2012 年に参加した方ですが、サイボウズの QAを使ったゲーム大会といった印象を持ったのです（Quality Assurance：品質管理）部門に就職し、製が、今年の大会概要を聞いて、よりカンファレン

品の脆弱性を調査したり、仕様どおり動作するかスとの親和性が増したように思いました。

チェックを行ったりしています。SECCON では、シ

これはゲーム業界を取り巻く環境の変化も影響

ルバースポンサー以上の企業向けに、参加者へのイしていると思います。オンラインゲームのチート

ンターシップの案内や、懇親会など参加者との交流

問題は以前から存在していましたが、各メーカーの場を提供していますから、これがきっかけとなっとも非公開で独自の対応をしていました。しかし、た現在進行形の就職活動の話も耳にしています。

現在においては問題が大きくなりすぎ、メーカー同士が協調して対策を行う必要性が出てきている

人材育成としての CTFのだと思います。
次にセキュリティ人材の育成について伺いたいと思います。先ほどのサイバー甲子園で、大学・SECCON 2015 に込めた実行委員会の思い

大学院でセキュリティを学ぶという話題が出まし
次に視点を変えて質問します。今年の SECCON

たが、セキュリティ分野における大学教育が、こでは、これまで運営されてきて得た反省や教訓な

こ数年でどの程度変化してきたのか、ご存じであどを活かした点などはありますか。

れば教えていただけますか。

実行委員会が憂慮しているのは、はじめて出場

大きく 2 つの取り組みがあると思います。1 つする参加者が、大会で何もできないまま競技を終は学生のセキュリティリテラシーを向上させる取えてしまうことです。これではその後のステップ

り組み。もう 1 つは実践的なセキュリティを学ぶにつながっていきませんから、大会前に予習でき取り組みです。前者の例としては九州大がセキュる内容にしようと考えました。これまでは、当日リティを教養課程のカリキュラムに取り入れていに現地に行かないと何をするのかわからない状況ます。岡山理科大学でも SECCON の母体であるでしたが、今年から参加者に向けて競技内容を告JNSA（日本ネットワークセキュリティ協会）の知していきたいと考えています。横浜大会を例に教育部会と連携して授業を行っています。

挙げれば、おそらく数ヵ月前に問題を公開して、なるほど。

参加者に事前に攻略してもらい、大会ではその結一方、セキュリティの実践的な教育の場は大6

私は考えています。

学院になるかと思います。文部科学省の取り組みの 1 つに enPiT（エンピット） ※ 1 というプログ

改めて考えてみれば。おっしゃるとおりですね。

ラムがあります。これは、最先端の情報技術を実

個人的には、CTF も人材を教育する手段の 1 つにす

践的に活用できる人材育成を目指した教育ネット

ぎないのではないか、と考えています。日本で見れワーク形成事業です。クラウドコンピューティン

ば、他にも Hardening Project ※ 2 や白浜シンポジウ

グ、組込みシステムなどと共に、セキュリティのムで開催される情報危機管理コンテスト※ 3 などが分野も対象となっています。奈良先端科学技術大あります。ですが、現状では CTF ばかりがマスコ

学院大学、慶応大学、東北大学など 5 つの大学がミに取り上げられ、CTF の特徴である攻撃者視点

中心となっているのですが、最近ではこれらの大のゲーム性から、議論があらぬ方向に向かってい

学以外の学生でも受講できるようになりました。

るようにも思えます。ただ、この点については、

SECCON の参加者の中にも受講者がおり、盛り上

自戒も込めて、伝える側の責任もあると思っていがっているという話を聞いています。

ます。マスコミはもっとセキュリティ人材育成の全体像を見せるべきですね。

それはよい取り組みです。引き続きになりますが、「現在セキュリティ技術者が 8 万人不足してい

私も CTF だけが、セキュリティ業界でのキャる」
とか、「CTF が人材育成に役立つ」
といったニュー

リアパスを決めるものではないと感じています。

スが、新聞紙面やニュースなどで報じられていま

SECCON では他のコンテストとの連携を強化してす。ただ、求められる技術者の具体的なスキルやいます。2014 では、オンライン予選で 1 位通過

CTF の教育効果など、さらに掘り下げた記事などしたチームを、情報処理学会が主催するマルウェを目にしたことがなく、個人的には少しモヤモヤ

ア解析コンテストである MWS Cup ※ 4 に派遣ししています。竹迫さんご自身は SECCON を運営した り、 逆 に MWS Cup の 優 勝 チ ー ム を SECCONていて、CTF の効果をどのように見ていますか。

の 決 勝 戦 に 招 へ い し た り し ま し た。Hardening

まず、CTF という取り組みは日本に限ったもProject についても、6 月に行われる大会に binjaのではなく、世界各国で行われています。最初が出場する予定です。さまざまな性質のコンテスの CTF は 20 年 ほ ど 前 に、 米 国 の DEFCON で 行トに参加してみて、今後自分が身につけたい技術

われたと聞きます。会場にはその当時最新だったとは何か、考えるきっかけになるといいですね。

Windows マシンが置かれ、参加者がそのマシン

攻 防 戦 の 経 験 値 の 高 い binja の 人 た ち が、の脆弱性を探し出すものだったそうです。当時かHardening Project でどこまで守れるのか、注目

ら「自称ハッカー」は相当いたそうで、CTF は、ハッしたいと思います。さて、私自身、これまでの取カーの能力を数値化することを目的に始められた材で興味深いと感じたのが、SECCON 全国大会カといいます。

ンファレンスで行われた、富士通の佳山氏や NTT
コムセキュリティの羽田氏の講演でした。どちら確かに。ハッカーの能力を測る基準というのはの講演も、社内で CTF を行ったところ、情報セキュありませんからね。

リティに必要なスキルセットを持った人材を発掘

また、クイズ形式の CTF では、問題はジャンすることができた、という内容でした。

ルごとに分かれています。ですから、例えばリバー
スエンジニアリングに強いチーム、ネットワーク

確かに大企業になると社員の方も大勢いますに詳しいチーム、といった傾向なども見えてきまから、社内でセキュリティ人材を確保しなくてす。そういう意味で CTF とは、自分の現在のハッはならない場合、そういったスキルセットを持っキング能力がどのあたりにあるのかわかる 1 つのた社員を探す基準や尺度はこれまでありませんで基準であり、それ以上でもそれ以下でもない、とした。ですから、社内でセキュリティコンテスト※ 1 enPiT

http://www.enpit.jp/※ 2 Hardening Project

http://wasforum.jp/hardening-project/※ 3 第 19 回サイバー犯罪に関する白浜シンポジウム＆第 10 回情報危機管理コンテスト※ 4 マルウェア対策研究人材育成ワークショップ 2014

http://www.riis.or.jp/symposium19/

http://www.iwsec.org/mws/2014/7

感じますか。

をやってみたところ、例えばスーパーコンピューターの開発に携わる人、ネットワーク運用に携大きな違いはメンバーの年齢層です。オープン

わっている人など、社内の思わぬ部署にすごい人

ソースのコミュティには多くの 20 代がいますが、材がいたことなどがわかったそうです。これはセキュリティコミュティの中心は 40 代の方々でCTF の面白い効果だと思います。

す。この点に危惧を感じますね。
確かに。
そこで、若い人たちがセキュリティに触れる機

若い人たちがセキュリティについて学べる環境を作りたい !

会を作りたいと考え、高知高専の先生方と協力し最後に竹迫さん個人について伺いたいと思いまというイベントを開催することにしました。2 日間て「セキュリティ・ジュニアキャンプ in 高知」※ 7す。率直に、竹迫さんは「セキュリティの人」なの合宿講座の方は中学生が対象です。

のでしょうか、それとも「オープンソースの人」

なるほど、動機は SECCON と同じなのですね。

なのでしょうか、ご自身ではどうお考えなのです

こちらについてもお話を伺いたいのですが、インか。

タビューの時間が残り少なくなってきましたの

私自身は元々プログラマーです。所属もサイボで、機会を改めさせていただきます。さて、最後

ウズ・ラボですから、セキュリティに携わることの質問になりますが、竹迫さんの今後の目標など

によって直接的な利益に結びつくわけではありまをお聞かせください。

せん。その意味からすると、セキュリティの人で一般論として、日本は世界から見てセキュリはないと考えています。

ティの弱い国という印象を持たれています。先日の日本年金機構の事件なども世界で報じられて

竹迫さんがセキュリティと関わりを持つようにいますし、サイバーセキュリティの製品も、そのなったきっかけは何だったのでしょうか。
2005 年に講師として参加した、広島の「セキュほとんどが海外製というのが現状です。だからとリティもみじ」※ 5 という勉強会がきっかけです。

いって、日本には守れる技術者がいないかと言え

このとき、園田氏（現サイバー大学教授）とお会

ばそうではありません。SECCON の運営を通じて、

いして、セキュリティキャンプの講師に誘ってい日本には優秀な学生や社会人の方が数多くいるこ

ただき、2006 年から講師を務めることになりまとがわかりました。そこで、こういった人たちのした。

存在を世界に伝えていきたいと思っています。他にも、セキュリティ人材育成や教育とも関連しま

セキュリティもみじではどのような講演をされすが、教科書には載っていない新たな問題についたのでしょうか。
当時、全文検索システムの Namazu プロジェて、どのように教えていくか、もしくは、どのよ

クトに参加していたのですが、ユーザーなどから

うに自分で学習できる仕組みを作っていくかが課指摘される脆弱性のハンドリングシステムについ題だと思っています。その意味でも日本の若い人て話をしました。今でこそ当たり前の話題ではあたちが学べる環境を学校以外で作っていきたいとりますが、当時のオープンソースコミュニティと思っています。CTF やセキュリティキャンプなど

しては初の取り組みだったと思います。

は学校では教えられませんからね。

竹迫さんは SECCON 以外にも、オープンソー

今回のインタビューではさまざまな話題についスコミュニティの Shibuya Perl Mongers ※ 6 にもて伺いましたが、個々のお話は 1 本の直線として深く携わっておられます。セキュリティとオープつながっていたのですね。本日はどうもありがと

ンソース、この 2 つのコミュニティに何か違いをうございました。

※ 5 セキュリティもみじ

http://d.hatena.ne.jp/sec-momiji/※ 6 Shibuya Perl Mongers

http://shibuya.pm.org/※ 7 セキュリティ・ジュニアキャンプ in 高知

http://www.security-camp.org/event/kochi2015.html

8

セキュリティイベント
アラウンド ザ ワールド

eCrime 2015（スペイン・バルセロナ）＋ PHDays 2015
（ロシア・モスクワ）
文 = 篠田佳奈

eCrime 2015
名称：Symposium on Electronic Crime Research（eCrime 2015）
会場：スペイン・バルセロナ - カイシャフォーラム美術館（Caixa Forum）
URL：https://apwg.org/apwg-events/ecrime2015/

日程：2015 年 5 月 26 日～ 29 日
主催：APWG ／ APWG.EU

ともに、犯罪抑止につながる公共教育や、多様な組織間の協力モデルなども議題に上がりました。

サイバー犯罪対策の国際会議

APWG とはサイバー犯罪対策関係者の国際連合体である
APWG は、2015 年 5 月 26 日 ～ 29 日 の 4 日 間、
多くの観光客で賑わうスペイン広場最寄りのカ

eCrime を主催する APWG は、業界・政府・警イ シ ャ フ ォ ー ラ ム 美 術 館 に て、Symposium on

察を横断的に結び、サイバー犯罪対策に関する共Electronic Crime Research (eCrime 2015) を開催し通課題を解決するために組織された国際的連合体

ました。

であり、サイバー犯罪に対応する現場と、アカデ
ミックな研究者と、消費者のギャップを最小限に

eCrime 2015 では、サイバー犯罪対策にかかわすべく努力しています。

る産官学の関係者が国家の壁を超えて一堂に会し、各国の脅威の状況や研究成果、また、フォレ

2003 年、APWG はアンチフィッシングワーキ

ンジックの成功例といったケーススタディなどがンググループとして米国で生まれ、翌年 6 月に独紹介されました。

立した非営利法人となりました。また、2013 年にはスペインのバルセロナに非営利な研究基盤と近年、サイバー犯罪は増加の一途をたどり、そして APWG.EU を設立しました。

の手口も巧妙化しています。eCrime2015 では、急速な普及で注目を浴びるビットコインや、モバ

APWG には、ICANN、欧州委員会、サイバー犯

イルペイメントシステムなど新たな決済システム

罪に関する欧州条約の協議会、薬物犯罪の国連事を使った犯罪への対策が急務として協議されると務所、欧州安全保証協力機構など、2000 を超える国際色豊かな機関がメンバーとして加盟しており、APWG 自体も、イギリスの連邦サイバー犯罪
イニシアティブの委員として活動しています。
ピーター・キャシディ（Peter Cassidy）
APWG 事務総長へのインタビュー--APWG 設立の目的は ?

そして APWG.EU を設立した経緯は ?
ピーター・キャシディ氏（以下 P）：攻撃に関する情報を知っていれば迅速に対応することが可能

eCrime 2015 の会場の様子

9--APWG は、どのような人々に、どのような価です。そして、業界には情報を共有する仕組みが値を提供していますか ?

必要でした。APWG の最初の成果は、企業や ISPなどから連絡を受けたフィッシング報告をアンチウイルス企業やセキュリティソフト企業、ブラウ

P：日々インシデント対応される方々や捜査官

ザー開発企業と共有するために FTP サーバーを設たちは、何よりもまず、業務遂行のために情報が置したことでした。

必要です。さらに重要なのは、できる限り迅速な

APWG.EU は、これまでの APWG の経験や業績

フィッシングの報告です。APWG は、フィッシ

を踏まえ、EU 圏内のサイバー犯罪インシデント

ング報告の速度をあげるために、産官学を横断す

対応にかかわる業界や大学の研究を促進する目的

る多くの企業・団体と協力し、地球的規模のサイで設立されました。スペインのラ・カイシャ銀行

バー犯罪情報交換プラットフォームを提供していのジョルディ・ヴィラ（Jordi Vila）氏は、EU 圏

ます。

最大の研究・発明プログラムである Horizon2020--APWG の目標は ?

が財政支援を受けているように、ヨーロッパにおいて深刻なサイバー犯罪を研究する人たちが集う団体にも財政的な援助が必要だと感じ、2009 年秋、

P：インターネットはインターネット自身が防米国シアトル州の国際会議開催の際、私に協力を御しなければならないと考えます。APWG と関係求めてきました。

団体は、情報交換の完全自動化を進め、情報交換

そのわずか 8 時間後、ダブリン大学の教授かのスピードを上げていく必要があります。しかし、

ら「来春、アイルランドのダブリンでサイバー犯

それは人間の経験と判断を自動化するプログラム

罪研究者と捜査官との会合を設けないか」と打診を必要とします。サイバー犯罪はより自動化され、を受けたのです。これは何かの偶然なのか、そどれだけの人間を投入してもかなわないほど、手れとも運命なのか。私はその偶然性に不思議な動での対応が追いつかないところまで来ていまも の を 感 じ ま し た。 そ の 2 年 後 と な る 2011 年

す。したがって、攻撃をどのように自動的に検出・

春、APWG はサイバー犯罪に特化した国際会議

無効化するのか。また、サイバー犯罪の損害をど「eCrime Sync-Up」をダブリン大学にて開催しまのように自動的に監査するのか、ステップバイス

した。APWG.EU の設立はその 2 年後になります。

テップで研究を進め、成果につなげていきたいと考えています。

PHDays 2015
名称：Positive Hack Days 2015（PHDays 2015）
日程：2015 年 5 月 26 日～ 27 日
会場：ロシア・モスクワ - クラウンプラザホテル・モスクワ・ワールドトレードセンター
URL：http://www.phdays.com/

主催：Positive Technologies

アメリカ・チュニジア・韓国に拠点を構え急成長
ロシア最大のセキュリティイベント

するグローバル企業です。
毎年 5 月に開催される PHDays は、2010 年に2015 年 5 月 26 日～ 27 日の 2 日間、ロシアの招待制のイベントとして始まりました。2013 年

セキュリティ企業である Positive Technologies 主からは現在の会場へと移り、より多くの人も参加

催 の Positive Hack Days 2015 (PHDays 2015) が、できるようチケット販売を取り入れ、現在では数

ロシアのモスクワにて開催されました。

千人が集う彼らの代表的事業の 1 つとなりました。

Positive Technologies は、2002 年に設立された

カンファレンスは 6 トラックの構成で、2 日間でロシア発の情報セキュリティ企業で、主要な事業

60 以上のセッションが行われ、ロシア語と英語のは情報セキュリティ製品の開発と、セキュリティ

同時通訳も用意されています。日本人出席者は私

コンサルティングなどです。2015 年現在では、以外に 1 人だけいたと聞いています。

イギリス・インド・イタリア・アラブ首長国連邦、
10PHDays で行われたさまざまなイベント
多種多様なコンテストも PHDays2015 の見どころの 1 つです。以下、その一部を簡単に紹介します。
・$natch：オンラインバンクウェブサービスのエ
クスプロイト競技・2drunk2hack：5 分おきにウォッカショットを飲みながら WAF に守られた Web アプリをハックする競技
・Hash Runner：パスワードハッシュのクラッキ

Leave ATM Alone の競技会場

ング競技
・2600：コイン式の公衆電話のフリーキング競技
・HackQuiz：早押しクイズ。正解者に次の問題の選択権がある・WAF Bypass：事前に脆弱性を仕込んだ Positive
Technologies 製 WAF の バ イ パ ス を 競 う 競 技。
アプリのソースコードとアプリケーションイン
スペクターのレポートが提供される・Competitive Intelligence：ネットから正確で使える情報を迅速に見つける競技
・Leave ATM Alone：ATM をエクスプロイトする
競技

Advantech against cyber geniuses の競技に使われたジオラマ

・PHDays Cybersecurity Project Competition： サ

コミュニティの構築」。会場には、CCC（Chaos

イバーセキュリティのスタートアッププロジェ

Communication Congress）や CanSecWest といっ

クトの審査を行う。Almaz Capital 主催で優勝賞

た世界に名だたるセキュリティカンファレンスの金が 150 万ルーブル（約 330 万円）。

主催者たちが集結し、自分がこの場にいてよいの・Advantech against cyber geniuses：産業自動機かと恐縮してしまうほどです。

械をハックする競技。秘密基地にあるロケット

パネルは、セルゲイ氏の質問に対してパネリス

発射機の標的を変更して発射させるというシナ

トが順に回答する形式で行われました。質問はロリオ

シア語から英語に翻訳されて伝えられるので、意・DIGITAL SUBSTATION TAKEOVER by iGRIDS： 競図を解釈するのに苦労した部分もありましたが、技用に開発された IEC61850 準拠の変電設備機「カンファレンスの意味は ?」という質問に対する器をハックする競技

それぞれのパネリストの回答を聞き、皆「人と人とが出会うことで価値を生み出す」という考え方

各国のセキュリティカンファレンスが根底にあることがわかりました。

主催者がパネルで集結

インシデント対応をするときなどは、技術的な情報以外にも人的ネットワークが必要で、カン

また、Positive Technologies の CTO でもあった

ファレンスで知り合った人たちと情報交換するこ

セルゲイ・ゴルディチェク（Sergey Gordeychik）とで全体像が見え、迅速な解決につながったとい

氏から、パネリストの 1 人として、招へいされまう例は枚挙にいとまがありませんし、カンファレ

した。パネルのテーマは「国際的ホワイトハット

ンスで知り合った参加者同士が結婚した例なども
11

パネル参加者（写真左側より） セルゲイ・ゴルディチェク（Sergey Gordeychik）— SCADA Strangelove、ロシア（主催側）／篠田佳奈（Kana Shinoda）— CodeBlue、日本／ボーグ・アンドレア（Bogk Andreas）– Chaos Communication Congress、ドイツ／アレキサ
ンダー・ポヤコヴ（Alexander Polyakov）— ZeroNights、ロシア／フェデリコ・キルシュバウム（Federico Kirschbaum）- ekoparty、
アルゼンチン／ヴァンジェリス（Vangelis）— Power of Community、韓国／ロドリコ・ブランコ（Rodrigo Branco）— H2HC、ブラジル／ドラゴス・ルジュ（Dragos Ruiu a.k.a. Dojo Mama-San）— CanSecWest、カナダ

は圧巻だった」と言い、CCC のボーグ・アンドレ

紹介されました。
また、「楽しさ」や「刺激」といった要素がカア（Bogk Andreas）氏は「多様性を受け入れて楽ンファレンスの原動力になっていることにも気しむ。多くの刺激を受けたい」と語りました。

は「 集 う こ と が 楽 し い。

南米からアジア・欧州まで多くの地域のセキュ

ekoparty には、サッカーをプレイするコーナーもリティカンファレンスの主催者が一堂に集結するある。何か情熱を持てるなら、ハックでもセキュことは珍しいことで、私たちは時間も忘れて語り

リティでもサイバーじゃなくてもいい」と発言し明かしました。これが次のつながりを産んでくれています。また、ZeroNights のアレキサンダー・

ることを期待しています。機会をくれたセルゲイ

ポヤコヴ（Alexander Polyakov）氏は「初回の最氏と PHDays に心から感謝します。

づ か せ て く れ ま す。

後のセッションでゼロデイが連続で発表されたの12

ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#08 徹底的なリスク分析と成長可能なセキュリティ対策
文 = エル・ケンタロウ
APWG 主催のサイバー犯罪対策国際会議「eCrime

組織も個人もリスクを考慮した行動が必要

2015」ではさまざまな講演が行われ、各国の脅威の状況が語られた。最終日には、一般ユーザー

日本年金機構や東京商工会議所の事例など、国がセキュリティとどのように向き合うか、という内において大規模な個人情報流出事件が多発してテーマでパネルディスカッションも行われた。

いるが、これは日本だけにとどまらない。米国でこのパネルで出た意見に「自動車の運転免許とも政府職員 400 万名分の個人情報が流出する事件

インターネットの利用方法を比較する議論が多いが発生するなど、世界的に見ても増加傾向にある。

が、この比較は必ずしも正しくない」というもの

多くの事件において、その原因は組織内部の人があった。両者を比較した議論では、一定の年齢間による犯行ではなく、標的型攻撃などによるもに達した人が運転技術を習得すると同時に交通のだというのも特徴だと言えるだろう。

ルールも学ぶことにより免許証が交付される。イ

組織が管理している情報を外部に漏らさず

ンターネットも運転免許と同様に、参加時にセ100% 守りきる方法など、現在の技術や社会構造

キュリティについて教育を行うべきだと主張するでは到底実現できるものではないと、セキュリ

意見がある。

ティ業界関係者のみならず多くの人が同意してい一方で、道路の渡り方や自動車の危険性といっる。

た、交通に関する安全教育は子供のころから行わ前号の記事でも触れたダン・ギア氏の「失敗がれており、免許を取得するからといって、急に交黙殺されない考え方」では、現在セキュリティ業

通安全教育を受けるわけではないと、比較論に反界で主流となっている規範自体のシフトが提唱さ対する意見もある。つまり、現在の情勢ではセキュれており、サイバー空間においては、常にリスクリティを考える以前からリスクについては考えるを踏まえた上での行動が必要不可欠となってくべきだという見解だ。

る。

将来起こりうるリスクの分析や予測について

この行動は、もちろん一般ユーザーにも当ては、インターネットが登場する以前から、政治・

は ま る。 フ ィ ッ シ ン グ 対 策 の 国 際 団 体 で あ る

軍事・金融・工学などさまざまな分野で研究されAPWG（Anti-phishing Working Group） で は、ており、学問としても成熟しているが、サイバー「Stop,Think,Connect（一度立ち止まって状況を理

セキュリティへの適用に関しては、いまだ確たる解、結果を考えて行動する、をモットーにセキュものが現れていないのが現状だと言えるだろう。

リティと向き合うという考え方）」を提唱しており、一般ユーザーに対してリスクの可能性を考慮

NASA に学ぶリスク分析とセキュリティ対応

したネット利用の必要性を強調している。
話はそれるが、SF 映画などでは宇宙船に何らか
ネット利用と運転免許を同列に語ることはの障害が発生し、アラートを発するも、宇宙飛行可能なのか !?

士が事態を把握できずに慌ててしまい、窮地に陥るというシーンをよく目にする。しかし、NASA（米

本年 5 月、スペイン・バルセロナで開催された航空宇宙局）の関係者によれば、こういった事態
13

は実際にはあり得ないのだそうだ。というのも、日頃の訓練こそがリスク低減に大いに役立つから

NASA では、宇宙飛行士のトレーニングの多くをだ。

エラー処理に費やしており、システムのエラー状
成長可能なセキュリティ対策とは ?

況を熟知した者だけが宇宙飛行士として任務に就くことを許されるからだ。
宇宙空間という未知の領域で、さまざまなリス

常に脅威の状況が変化するサイバー空間においクと長きにわたり向き合ってきた NASA の対応は、ても NASA と同様に、発生した事案を元にした

サイバー空間で起こりうる脅威と向き合うセキュ

安全な環境作り、リスクの低減、有事の際の対応

リティ業界でも見習うべき点は多いはずだ。

向上などを生み出す定常的かつ総合的なセキュリ
ティ対策が求められる。

1986 年に発生したスペースシャトル・チャレ
ンジャー号の爆発事故以来、NASA では確率論的

現在のインシデント処理は、事件発生後に躍起

リスク評価（PRA）を採用しており、宇宙での活になって火消しに回る対症療法的なものだと言わ動におけるさまざまな障害の可能性を数値化し、ざるを得ない。生活習慣の改善が健康への道のり

危険性の高い環境下でもリスクの低減および非常であるのと同じように、新たな脅威を常に予測し事態発生時の対応を明文化している。

ながら、要因やリソースの分析、許容可能なリス

NASA の PRA ガイドブックは NASA のリスク対ク率の計算、有事発生を想定した訓練の日常化な策訓練教材の 1 つにしか過ぎないが、431 ページ

ど、さまざまな要素を組み合わせ、かつそれぞれにわたり、機材のトラブルから人為的なエラーまの要素を状況に応じてアップデートできる、いわで、さまざまなリスクを数学的に分析している。

ば「成長可能な対策」が今求められるセキュリティ

また、国際宇宙ステーション（ISS）では、ロシア戦略なのではないだろうか ?

と共同で開発した医療ガイドブックが採用されて特に、ルール作りにとどまらず、ルールに沿っいる。この中には抜歯から神経の衰弱により異常た運営体制の訓練、運用体制のチェックは重要な行動をとる宇宙飛行士への対処方法まで、1051だ。日本年金機構の事案では、本来基礎年金番号

ページにもおよぶ対処プランが綿密に記載されてなどの個人情報は情報系システムのネットワーク

いる。

とは切り離された基幹システムで管理されること注目すべきは、こういった NASA のリスク対策となっていたが、運用のルールに従わず、安易にが、決して宇宙開発事業を開始する以前から作ら情報系システムのファイルサーバーに保存してしれたものではなく、開発事業を進める中で得た経まったことが根本的な原因だと言われている。残験に基づいて策定されているという点だ。NASA

念なことではあるが、日本年金基金の事案は、こでは、定期的な人員・運用プロセスの訓練を活動

れらの対策を怠った悪しき例として、これからもの一環として組み込んでいる。というのも、この語られることになるだろう。

●参考 URL
・Probabilistic Risk Assessment Procedures Guide for NASA Managers and Practitioners
http://www.hq.nasa.gov/office/codeq/doctree/SP20113421.pdf
・NASA Risk-Informed Decision Making Handbook, NASA/SP-2010-576, April 2010.
http://www.hq.nasa.gov/office/codeq/doctree/NASA_SP2010576.pdf
・NASA's Risk Management Approach
http://www.cresp.org/RASDMU/Presentations/27_Dezfuli_NASA_presentation.pdf
・Investigation of the Challenger Accident: Report of the Committee on Science and Technology, House Report 99-1016,
http://www.gpo.gov/fdsys/pkg/GPO-CRPT-99hrpt1016/pdf/GPO-CRPT-99hrpt1016.pdf
・Post-Challenger Evaluation of Space Shuttle Risk Assessment and Management
http://ntrs.nasa.gov/archive/nasa/casi.ntrs.nasa.gov/19880010818.pdf
・Star Crazy: Plans deal with breakdowns in space
http://www.nbcnews.com/id/17300028/ns/technology_and_science-space/t/star-crazy-plans-deal-breakdowns-space/#.
VXT0WmCxFH0

14