電気通信⼤学におけるサイバーセキュリティ教育
電気通信⼤学
情報基盤センター ／ UEC-CSIRT
情報・ネットワーク⼯学専攻 (⼤学院) ／ I 類（学域）
⽮﨑俊志

国⽴⼤学法⼈ 電気通信⼤学（電通⼤）東京都調布市の国⽴⼤学法⼈
構成員数
常勤教職員︓約500名
⾮常勤教職員︓約1,000名
学⽣︓約4,700名

2024/3/22

1電通⼤のサイバーセキュリティー教育
1. 学域／⼤学院でのサイバーセキュリティ関連科⽬
2. 組織的サイバーセキュリティー対策としてのリテラシー教育
3. サイバーセキュリティの知識や技術を実践する環境

2024/3/22

2電通⼤の類／専攻構成

2024/3/22

3学域／⼤学院のセキュリティ関連専⾨科⽬
ハードウェアセキュリティ
ブロック暗号，AES，差分解析，サイドチャネル攻撃

ソフトウェアセキュリティ（特論）
バッファオーバーフロー，バイナリ解析，CSS, XSS, CSRF, インジェクション

ネットワークセキュリティ（特論）
DDoS, ゼロデイ攻撃，Firewall, IPS/IDS, TLS, 無線LAN

コンテンツセキュリティ（特論）
データベースセキュリティ，プライバシー保護2024/3/22

フォレンジックとOSINT関連以外は概ね網羅
4

組織としての情報リテラシ教育・研修
eラーニング教材 INFOSS情報倫理 による情報リテラシ教育
独⾃の 情報セキュリティ⾃⼰点検対象
⼤学の情報システムを使⽤するすべての構成員（学⽣，教職員）⽬的組織としての情報リテラシーを⼀定⽔準に底上げする
2024/3/22

5eラーニング教材「INFOSS情報倫理」
⽇本データパシフィック社の⼤学向け情報倫理教材
⾮常に基本的な内容
ユーザ認証とアカウント，インターネット上のコミュニケーション，インターネットでの取引，著作権と個⼈情報保護法，ネットワーク社会を取り巻く法律等

他⼤学では・・・
無償の「倫倫姫の情報セキュリティ教室」（by NII）の採⽤例も多い

2024/3/22

6

個⼈向け情報セキュリティ⾃⼰点検
本学が独⾃に作成した⾃⼰点検シート（オンラインアンケート）
本学の情報セキュリティ対策基準にそった利⽤をしているかを確認
本学セキュリティ対策基準の中から特に重要な 16 項⽬を⾃⼰点検チェック項⽬の例
研究室や事務室で使⽤しているパソコンやタブレットＰＣなどにウイルス対策ソフトをインストールし、常に最新の状態を保つよう設定されていますか︖
2024/3/22

使⽤中のパソコンから離れるときは、スクリーンロックをかけて他⼈に使⽤させないよ
うにしていますか︖

重要なデータは外付けのハードディスクなどの外部記憶装置やオンラインのストレージサーバ等にバックアップを取っていますか︖

7

サイバーセキュリティ実践のためのイベント

2019年度から実施

2024/3/22

8

UEC Bug Bounty (UEC-BB)
電通⼤の学内Bug Bounty
⽬的
学内情報システムの堅牢化
実践的な情報セキュリティ教育
全構成員の当事者意識の醸成

2024/3/229⼀般的なBug Bounty Program
ソフトウェアやシステムのバグ発⾒を報奨する
IT関連メーカーやサービスプロバイダーでは⼀般的⽣業とする⼈（ハンター）も存在する

2024/3/22

10

他⼤学におけるBug Bounty Program
国内
電気通信⼤学
千葉⼤学

海外制度化されている• MIT, Stanford, Drexel
2024/3/2211

様々な組織からのご⽀援• 株式会社エイチー・シー・ネットワークス 様• 株式会社エヌ・エフ・ラボラトリーズ 様• 国⽴⼤学法⼈千葉⼤学 C-csirt 様• サイバーリーズン合同会社 様• アカマイ・テクノロジーズ合同会社 様• マカフィー株式会社 様• 富⼠ソフト株式会社 様• 公的サイバーセキュリティー関連機関 様（名称⾮公開希望）
2024/3/22

12

UEC-BBの概要
学⽣（学域・⼤学院）1名以上のチーム対抗戦
参加学⽣は事前に法令研修を受講しCISOの検査許可証を取得
初⼼者向けの技能講習会も実施

事務系システムを含む全学の情報システムが対象
検査NG/条件付きは事前にアンケート調査

UEC-CSIRT技術メンバーと外部有識者で審査
基準︓報告数，脆弱性の深刻度，報告書のわかりやすさ

優秀チームには報酬を出す
2024/3/22

13

学⽣が利⽤する検査環境
検査専⽤ネットワーク
参加者は専⽤ネットワークから⾃分のPCで検査可能

練習⽤脆弱サーバ
参加者が⾃由に侵⼊や検査ツールを試せる環境を準備
Metasploitable (ソフトウェア脆弱性)，徳丸⽒のBadToDo (ウェブアプリ脆弱性)

チームごとに検査⽤仮想マシン (Kali Linux) を準備
2024/3/22

14

安全対策
参加者のスキルとリテラシーを保証
全参加者に研修と試験を実施
全参加者は誓約書を提出

事故対応のための技術的対策
検査専⽤ネットワークの全トラフィックフローを記録
Alide Telesis 社 AMF-SECで端末をいつでも緊急遮断できる

安全性を⾼めるための実施体制
すべての検査データは指定された検査⽤マシンから持ち出し禁⽌
諸々の事情で検査できないホストを検査NGリストとして事前に除外
UEC-CSIRT技術メンバーに直通の緊急先（電話，チャット）を準備
2024/3/22

15

UEC-BB 参加状況
参加希望者数
参加許可者数
参加チーム数

FY20193733
14FY202032
2111

FY2021 FY2022 FY2023
344639233633121010オンライン実施

参加許可者は例年30名ほど
チーム数は例年10チームほど
参加者層は学域・⼤学院の1年⽣〜4年⽣まで様々
セキュリティ系の課程以外からも多数参加
2024/3/2216UEC-BB 検査結果のべ検査実施数
報告脆弱性数

FY201935350

FY202031922

FY2021 FY2022 FY2023
123377438829673※ 脆弱性︓OWASP ZAPでMedium以上相当にスコアされたもの

FY2022に検査範囲を⼀部から全学に広げたため報告数が急増
多くのホストはUEC-CSIRTが定期検査しているにもかかわらず，これだけの不具合が⾒つかる
2024/3/22

17

過去⼤会で製品の不具合を発⾒
CISCO Secure Email Gateway C600V のバグを発⾒ (2022)
暗号化ファイル隔離機能を回避できる脆弱性• 暗号化添付ファイルを介して侵⼊するマルウェア (Emotetなど) にセキュリ
ティ機器による検査を回避される恐れ

JVN#58574030で公表
https://jvn.jp/jp/JVN58574030/
https://jvndb.jvn.jp/ja/contents/2023/JVNDB-2023-000100.html

2024/3/22

18

参加者その後の活躍１• 千葉⼤バグハンティングコンテストにゲスト出場し受賞• UEC Bug Bounty をきっかけに他⼤会にもチャレンジ

2024/3/22

19

参加者その後の活躍２
UEC-BB参加者がDEF CON Finalsに出場
トップクラスを⽬指す学⽣もUEC-BBに参加

2024/3/22

20

まとめ
電通⼤のサイバーセキュリティ教育への取り組みを紹介
ハード／ソフト／ネットワーク／コンテンツを⼀通り網羅した専⾨科⽬
組織におけるセキュリティー対策⽔準を⼀定以上に維持するための基礎的な情報リテラシー教育と⾃⼰点検を実施
Bug Bountyイベントで学んだことを実践できる場を学⽣に提供
2024/3/22

21