TA

BL

EO

FCO

NTE

N

T

S

産官学の連携でサイバー脅威に対抗

日本サイバー犯罪対策センター インタビュー… …………………………………………… 3
AV Tokyo で開催されたインテリジェンスを競う CTF

チャレンジ Open xINT CTF……………………………………………………………………… 7●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2019. All rights reserved.

2

産官学の連携でサイバー脅威に対抗
一般財団法人

日本サイバー犯罪対策センター（JC3）島根 悟（理事）間仁田 裕美（経済・金融犯罪対策チームリーダー）

インタビューバンキングマルウェア・ビジネスメール詐欺・ランサムウェアなど、攻撃者が繰り出す新たな手法はとどまることを知らない。対抗策の鍵となるのはサイバー犯罪に関する情報やノウハウの共有といった防御側の連携だろう。一般財団法人日本サイバー犯罪対策センター（JC3）は産官学が連携する機関であり、サイバー脅威に対処する活動を続けている。組織の概要と 3 月に予定される JC3 フォーラムについて話を伺った。
取材・文・撮影 = 斉藤健一
3

JC3 設立の経緯と海外組織との連携
斉藤（以下）：一般財団法人日本サイバー犯罪対 策 セ ン タ ー（JC3：Japan CyberCrime ControlCenter）の組織と 3 月に行われるフォーラムについて、島根さん（理事）と間仁田さん（経済・金融対策チームリーダー）にお話しを伺います。よろしくお願いします。
島根（以下）・間仁田（以下）：よろしくお願いします。
JC3 は 2014 年 11 月に業務を開始しましたが、まず、組織設立の経緯を教えてください。
日 本 版 NCFTA（NationalCyber-Forensics &●島根 悟（しまね・さとる）写真右1984 年 警察庁入庁
2007 年 警察庁長官官房参事官（企画担当）
2010 年 警察庁長官官房国家公安委員会会務官
2011 年 警察庁刑事局刑事企画課長
2013 年 静岡県警察本部長
2014 年 警察庁長官官房審議官（生活安全局担当）
2015 年 神奈川県警察本部長
2017 年 警視庁副総監
2018 年 辞職2018 年 JC3 理事

Training Alliance）として設立されました。NCFTAとは米国の非営利団体で、法執行機関・民間企業・学術機関を構成員としてサイバー犯罪に関する情報の集約や分析、海外を含めた捜査機関の職員に対するトレーニングなどを実施しています。日本
においても同様に、産官学が連携しサイバー空間全体を俯瞰した上で、犯罪などの脅威を特定し、軽減・無効化する取組みを推進する組織として
JC3 が設立されました。

●間仁田 裕美（まにた・ゆみ）写真左2001 年 警察庁入庁
2004 年 警察庁生活安全局情報技術犯罪対策課企画法令係長
2006 年 警察庁情報通信局通信施設課施設第一係長
2008 年 内閣官房情報通信技術（IT）担当室主幹
2010 年 警察庁警備局警備企画課課長補佐

2014 年 11 月といえば、サイバーセキュリティ基本法の成立とほぼ同時期です。前年の秋には2020 年の東京五輪の開催が決定しました。政府がサイバーセキュリティに力を入れはじめた時期と符合することがよくわかりますね。次に活動内容に関する質問です。NCFTA をはじめとする海外組織との連携をより具体的に教えてください。
前 述 の NCFTA の 他、 英 国 の CDA（CyberDefense Alliance）とも提携しています。両組織とは定期的にビデオ会議を開催し、サイバー犯罪の情勢や手口の変遷といった分野で情報共有を2013 年（サイバーセキュリティ）警察庁生活安全局情報技術犯罪対策課課長補佐

2014 年2015 年（対策防犯）
オランダ国家警察ハイテク犯罪特別捜査隊
警察庁生活安全局情報技術犯罪対策課課長補佐

2016 年（対策防犯・国際）JC3

国際連携で得た情報は、どのような形で活かさ行っています。海外で起きた犯罪事例が時間差でれているのでしょうか。

日本に入ってくるケースもありますから、その手NCFTA とは契約で、情報をシェアできる範囲口を知ることは日本のサイバー犯罪対策に有効を決めており、その範囲内で活用しています。情だと考えています。また、APWG（Anti Phishing

報については会員企業にシェアしたり、Web ペー

Working Group：フィッシング対策ワーキンググジの注意喚起などに役立てたりしています。

ループ）という国際機関とも、偽ショッピングサ
会員企業のメリットとはイトに関する情報交換をしています。日本においても最近、偽ショッピングサイトの被害が広がってきました。

会員企業になるとどのようなメリットがあるの4ビス提供を受けるような感覚で入会しているとこでしょうか。
会員には正会員と賛助会員があります。また、ろは多くないと考えます。もちろん脅威情報の収警察などの法執行機関や学術機関は賛同組織とい集も目的の 1 つですが、それ以上に皆で対策を講う位置付けとなります。警察を始め会員企業は定じていきたいという思いで、警察や個別の企業だ

期的に会合を持ち情報共有を行っています。興けでは実現できない、同じ志をもった人とアクショ味を持つテーマは会員企業によってさまざまです

ンしたいと考えて参加されている企業が多いと思が、不正送金・e コマース・情報流出対策・脅威います。

情報活用などのグループでの活動のほか、会員向ありがとうございます。話題を変えて Web でけワークショップも開催されています。

提供されている情報についてお聞きしたいと思い

JC3 の Web では、ワークショップの要旨が公ます。注意喚起として「不正送金等の犯罪被害に開されており、興味深く拝見させていただきましつながるメール」などが公開されています。さまた※ 1。この中で CTQ という語句があったのですが、ざまな事例がまとめて紹介されており興味を持ち何を意味するものなのでしょうか。

ました。これはどのように収集されているのでCTQ とは Catch Threat Quickly の略です。標的

しょうか。例えば JPCERT/CC にはマルウェアの検型攻撃の犯罪者グループの特徴・手口などをまと体を受け付ける窓口がありますが、JC3 でも同様めた Wikipedia 方式のデータベースです。会員企にユーザーからの通報を受け付ける窓口があるの業と連携することによって、情報流出を狙うようでしょうか。

な標的型攻撃の情報を共有するものになります。

収集方法は異なります。犯罪被害につながる会員企業が得られる情報は、公開情報にはない

メールについては、主に犯罪者が使っているフレー
ムワークを分析して、日本のユーザー向けにどの貴重なものと考えてよいですか。

ようなメールを配信しているかを探っています。

会員企業・組織が持っている情報に加えて、警察から提供される情報（例えばインターネットバ

JC3 には専任のアナリストがいらっしゃるのでンキングに係る不正送金の情報）が、JC3 というしょうか。それとも会員企業からそういったスキプラットフォームに集約されています。また、こルを持った人材が派遣されているのでしょうか。

れらの情報を JC3 のアナリストが横断的に分析し、主に後者です。

付加価値をつけた情報が共有されていると思いまJC3 が開発するトレーニングコースす。
セキュリティ企業などが脅威インテリジェンスとして情報を販売することもありますが、そうJC3 でサイバー脅威に対処するためのトレーニいった情報と同等なのでしょうか。

ングやそれに類するプログラムなどを開発されているのでしょうか。

一般に商品として提供される脅威情報は、なるべく多くの人が欲しがる情報を集めて提供されて現在トライアルの位置付けで、法執行機関向け、いると思います。JC3 はそれぞれの会員企業のニー

具体的には警察向けのトレーニングコースを実施

ズを聞いて、それに応じた情報を提供するようにし、受講者の感想なども聞きながら開発を進めて努めています。

いるものがあります。

俗っぽい質問で恐縮です。正会員になった場合それは興味深いですね。トレーニングコースをに発生する費用とセキュリティ企業から脅威イン受講する方は各都道府県警の方ですか。差し支えテリジェンスを購入する費用を比較することはでなければ、受講者の IT に関する知識レベルなどにきますか。

ついて教えてください。

JC3 に加入する理由は企業それぞれにあるとは全国 47 都道府県ありますから、職員のサイバー思いますが、いわゆる脅威インテリジェンスのサー犯罪捜査のレベルも異なります。東京などの大都※ 1【第 11 回 JC3 ワークショップの御案内】https://www.jc3.or.jp/media/pdf/ws_11.pdf

5

市では発生する事件や相談の数も多いので、概します。IoT 機器を対象にしたマルウェアについてて捜査に携わっている人数も多く、経験も豊富では、特に DDoS 攻撃に使われることがわかってきす。また、都道府県警によっては民間企業でバリています。DDoS がどういった組織に向けられてバリと活躍してきた人を採用することもありまいるかといった情報もあわせて収集しています。

す。都道府県それぞれで体制や事情は異なります
3 月 28 日にフォーラムが開催

が、JC3 としては、能力向上を図るお手伝いをしていきたいと考えています。
受講者の方からの感想はいかがでしたか。

最後に 3 月に開催されるフォーラムについてお聞きします。すでにアナウンスされているので実践的なノウハウを学ぶことができたといったしょうか（編注：インタビューが行われたのは声は聞いています。

2019 年 2 月 14 日）。

実践的ということは、トレーニングは具体的な専用ページが昨日公開となりました※ 2。

事件の捜査を進めるような形になっているということですね。

一般の方も参加できるということですが、どういった趣旨になりますかそのとおりです。サイバー捜査に携わってきた人が、自分が経験してきた事案をベースにしていJC3 から見たサイバー空間の脅威に関するトます。現場の警察官からすれば、なるほどと納得ピックを一般の方に提示し、それぞれの登壇者のできるものになっていると思います。

方からご講演いただきます。最後は私の方からJC3 の活動を紹介します。

JC3 が注目する今後のサイバー犯罪動向登壇者も決定されているのでしょうか。
今 年 の 基 調 講 演 は、 三 菱 UFJ さ ま が 専 任 の続きまして JC3 が注目しているサイバー犯罪

CISO を設置されたということで、この任に就く亀について伺いたいと思います。会員企業の中に田氏から経営とサイバーセキュリティの関係につbitFlyer がありました。昨年はコインチェックのいて講演をお願いしています。また、第二部にあNEM 流出事件が起こるなど、仮想通貨についてはたる形として、東京五輪を間近に控えて、オリン社会全体が注目しています。この分野の研究などピック・パラリンピック大会組織委員会の CISOは進められているのですか。

である坂氏が講演を行います。組織委員会による仮想通貨交換業の登録制度ができるなど、仮想サイバーセキュリティの取り組みを語っていただ

通貨は国として法的な位置付けを持ったものになけると思います。さらに放送事業者のフジテレビ

りました。不正送金に仮想通貨が使われるケース

さまから、また多数の外国人観光客が来日するこもありますから、今後は会員企業とともにこの方とを考慮し、旅行会社の JTB さまにもお願いし、面に関心を向けていかなくてはならないと考えてインバウンド関連の話題でご講演いただこうと考います。えています。そのほかの方にもお願いしておりますので、全体がわかる専用ページを見ていただき

日本のセキュリティ業界のトピックには 2020たいと存じます。年の東京五輪があります。懸念されている事柄の1 つに IoT 機器に対するサイバー攻撃があります。

仕事柄、サイバーセキュリティを技術的な視点こちらはどのようにお考えでしょうか。

から見ることは多いのですが、今回のフォーラムJC3 では PC を対象にしたマルウェアの監視・では、さまざまな業種の方がそれぞれ異なった視対策だけではなく、スマートフォンを対象にした点で講演を行います。なかなか得がたい機会だと不正なプログラム、そして IoT 機器に対するマル思いますので期待しています。本日はありがとう

ウェアについても定期的に監視・解析を行っていございました。

※ 2 JC3 Forum 2019 https://www.event-site.info/jc3forum2019/6

AV Tokyo で開催されたインテリジェンスを競う CTF

チャレンジ Open xINT CTF
文 = 日立システムズ CTF チーム K
マートフォンだけでも対応できたと思います（レスポンスヘッダを見る必要がある「HIMA 300」をOpen xINT CTF とは除く）。
こんにちは。日立システムズ CTF チームの K で画像からバスの位置情報を特定す。2018 年 11 月 3 日に開催された、Open xINT
CTF にチャレンジしてきましたので、ここに報告

ここでは数ある問題の中から BUS 500 を紹介しします。
Open xINT CTF は、コンピューターセキュリティたいと思います。当日、この問題を最初に解いたに関する日本最大級のコミュニティーカンファレのは筆者でした。調査状況を再現するために、すンスである AVTokyo 内のイベントの 1 つで、2016べてスマートフォンで取得したスクリーンショッ

年から開始され今回で 3 回目の開催となっていまトを使用します。なお、これらのスクリーンショッ

す。運営を担当する pinja は DEFCON の Intel CTF

トは当日取得したものではありません。
BUS 500 は、バスが停車している地点を探す問に出場するために結成されたチームです。
通常の CTF では、マルウェアを解析したり、ソ題です（図 1 右）。問題には、「Nxx.xx Exxx.xx」でフトウェアの脆弱性を探したり、コンピューター解答するとありましたので、バスが停車しているを攻撃したりしますが、Open xINT CTF は異なり位置の緯度経度で解答する必要があります。

ま す。 名 前 の INT が 示 す 通 り、Intelligence（インテリジェンス：諜報活動）の能力を競うもので、
Osint（オシント：Open Source
INTelligence： 公 開 情 報 を 活 用したインテリジェン）、Humint（ヒューミント：人間を媒介としたインテリジェンス）といった手法を駆使して解答を導き出します。
Open xINT CTF は個人戦です。
結果を先に報告すると、筆者は1100 点を獲得し 10 位に終わりました。PC を持たず飛び入りでの参加だったので、いま一歩という結果も当然かもしれません。
ち な み に 2018 年 の 問 題 は、OSINT（Webint） 手 法 を 用 いて解く問題が多かったため、ス

図 1 画像からバスの位置情報を特定する

7

・ステップ 1：バスの特定
まず、バスの種別を特定することが第一ステップと考えました。
問題画像を見ると、解像度が低く「XX バス」と特定不能な 2 文字が見受けられます。筆者は、例
えば「日立バス」のように、特定の観光地のバス名が記載されているものと推測し、思いつくかぎり、Google 画像検索を行いました（その後、この推測は誤りであることがわかります）。会場でチャレンジしている多くの参加者も同様に考え、Google 画像検索を行っているようでした。
筆者は、この「XX バス」について 30 分ほど調査しましたが、図 2 バスの種別が特定できた

該当するバスを特定することができませんでした。そこで方針を変更し、画像から特定可能なヒあり「山」らしくない、「鎌田」は停留所が問題ントであるナンバープレート「170」をキーに検画像ほど大きくないという理由から、筆者はこれ索を試みることにしました。とはいえ、ナンバーらの場所が正解ではないと判断しました。

プレート「170」だけでは、情報の絞り込みが難

次に、路線の停留所の中にドライブインなどしいと考え、画像の背景に山らしき画像が確認でのような広い場所がないか、Google ストリートきることから、山間部走行しているバスであるとビューなどを利用して確認してみましたが、近し想定し、検索ワードを「バス 山 170」に設定しまい結果を得ることはできませんでした。これまでした。その結果、このバスは「かたしなエクスプの調査の結果、解答が得られなかったことから、レス」であると特定することができました（図 2

筆者はもう一度問題画像を見直すことにしまし左）。また、前述した「XX バス」の箇所は、検索よった。すると、バスの後方、山の前方に、電線のよて得られた画像より、「路線バス」ということがうなものが写っていることが確認できました。し判明し、当初の推測が大きな思い込みであったこ

かし、電線にしては、数が多く、また複雑であり、とがわかりました。

林間部を通っているように見受けられました。そのため、私は電車の送電線ではないかとの推測に・ステップ 2：地点の特定いたりました。

バスの種別を特定できましたので、問題の地点

そこで、再度、Google Map を用いて、「東武日の特定を行います。まずは「かたしなエクスプレ

光駅」から「鎌田」の経路を確認すると、電車が通っス」の路線表を調査しました（図 2 右）。問題画ているのは、「東武日光駅」だけであることがわ

像からは、どこかの大きな駐車場のような場所でかりました。加えて、もう一度、東武日光駅の周あると推定できますので、路線表中の大きな停留辺を、Google Map( 衛星画像 ) で確認すると、直所のいずれかではないかと推測しました。怪しい近に大きな駐車スペースがあり（図 3 左）、ストリーのは当然、始発駅の「東武日光駅」と終着駅であトビューで確認したところ（図 3 右）、問題画像る「鎌田」です。これらを Google ストリートビューの箇所に酷似していこともわかりました。この結で確認したところ、「東武日光駅」は開けた町で果、解答の位置座標「N36.74, 139.62」を特定する8ことができました。
なお、公開されている WriteUpによると、「東武日光駅」の位置情報で正解との情報ありますが、これは解答位置情報のフォーマッ
ト が、「Nxx.xx Exxx.xx」 と 少 数 2ケタまでであり、約 1111m の誤差を許容しているためだと考えられます。仮に解答が少数 3 ケタまでであった場合、約許容される誤差は 111m となるため、「東武日光駅」近辺の位置情報では、不十分であり、今回の紹介したように駐車スペースまで特定する必要があった可能性があります。
チャレンジを終えて図 3 位置情報を特定できた形式で経験することができる Open xINT CTF は、今回は、Open xINT CTF から、BUS 500 の問題非常に有用であると考えられます。

について紹介させていただきました。この問題はは、画像から OSINT（Webint）を駆使して位置を運営チームは、2019 年開催予定の AV Tokyo の特定するものでしたが、その手法などは、サイバーCall For X（企画募集）にも応募するといっていま犯罪に係るリサーチなどにおいても、一般的に利す。その時は皆さんも “PC を持参して ”、参加し用されているものであり、このような手法を実践てみてはいかがでしょうか。

9