T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

ロバート・M・リー ＋ コリン・キャシディ ＋ エイレン・レヴァレット インタビュー…………………………………………………………………………………………………… 3
Cyber SEA Game 2015 レポート … …………………………………………………………… 9
SECCON 九州大会レポート……………………………………………………………………… 13
Threat Scope… ………………………………………………………………………………… 16●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2016. All rights reserved.

2

悪用されれば甚大な被害も !
産業用イーサネットスイッチに潜む脆弱性とは ?

ee

M. L
obert

R

sidy

Cas
Collin

t

veret

nn Le
Eirea

ロバート・M・リー＋
コリン・キャシディ＋
エイレン・レヴァレット

インタビュー

世界を震撼させた Stuxnet の登場からはや 6 年、工場やプラントといったインフラを標的としたサイバー攻撃は常態化しつつあり、日本においても、2015 年中盤あたりから警察庁が国内の製造業に対して警告が発せられるようになってきた。産業用システ
ムのセキュリティというと、多くの人が SCADA や PLC を思い浮かべるかもしれないが、今回のインタビューに登場する 3 名は、主に産業用イーサネットスイッチの脆弱性を研究してきた。ネットワークの要であるスイッチが攻撃者に乗っ取られるとなれば被害は甚大だ。その危険性や対策について彼らに話を伺った。
●インタビュー = 笠原利香（Rika Kasahara）●写真＋構成 = 斉藤健一（Ken-ichi Saito）

3産業用イーサネットスイッチに潜む脆弱性
笠原（以下）：はじめまして。お忙しいところ

インタビューに時間を割いていただき、ありがとうございます。本日は、BlackHat/DEFCON で講演された産業用イーサネットスイッチ（以下スイッチ）の脆弱性について、お話を伺いたいと思います※ 1。よろしくお願いします。
ロバート・M・リー（以下（以下）＋コリン・キャシディ）＋エイレン・レヴァレット（以下）：こちらこそ。
まずはスイッチに関して簡単な説明をお願いし●エイレン・レヴァレット

ます。

Eireann Leverett

一言で産業用のスイッチといっても、使用されケンブリッジ大学でコンピューター科学の修士号を取得。その後、IOActive で産業用制御システムの研究者として実践的なペネトレーションテストを行ってきた。
現在はケンブリッジ大学のリスク研究センターに在籍。

る環境によって求められる機能は異なります。わかりやすい例では、耐水性、防塵性、耐振動性、場合によっては放射線への耐性もあります。これ
らの耐性を見ればどんな分野でスイッチが使われ品ごとに攻撃手法は異なりますが、これらの脆弱ているか容易に想像できると思います。また、一性を悪用すればスイッチを完全に乗っ取ることが般的な特徴を挙げるとすれば、時間的な制約があできます。

る処理を実行するためにリアルタイム性が求めら

脆弱性は各メーカーにも報告されたのでしょう

れたり、スイッチに接続される制御システムのプか。また、報告に対する各メーカーの反応はどのロトコルへの最適化だったりします。

ようなものでしたか。

どのようなメーカーが製造しているのでしょう

メ ー カ ー に よ っ て 対 応 は ま ち ま ち で し た。

か？

Open Gear は比較的小規模な会社なのですが、迅

主 要 メ ー カ ー は、 シ ー メ ン ス、 横 河 電 機、速に対応してくれました。報告からパッチ公開まCISCO、GE（General Electric）、Open Gear などです。

でに要した時間はわずか 2 ～ 3 週間ほどです。

横河電機は日本企業ですね。実際に調査を行っ

ただ、Open Gear はまれな例だと考えていまたのはどのメーカーなのですか。

す。シーメンスではパッチ公開までに 3 ヵ月、GE

シ ー メ ン ス、GE、Garattocom（GE の OEM）、にいたっては 8 ヵ月かかっています。これらの期Open Gear の製品です。調査で発見した脆弱性は間を比べれば、それぞれのメーカーがユーザーサ

すべて ICS-CIRT に報告しています。1 年半ほど前

ポートにどれくらいの力を注いでいるかがわかる

から報告を開始し、最近では 1 ヵ月半ほど前に報と思います。

告しました。現在のところ、修正された 11 の脆

他社の製品は調査していないのですか。

弱性が公表されていますが、いまだ修正中で公表

今回の研究では調査に使用する機器は自分たちされていないものもあります。ここで断っておきで購入しているのです。産業用のスイッチは一般

たいのですが、発見した脆弱性はスイッチを設定的な製品と比べて高価ですから、調査できる製品するための Web インターフェイスに存在しておの数は限られてしまいます。ただ、先ほど例に出り、調査を実施していないメーカーの製品にも潜た Open Gear の製品は、彼らの方からわれわれにんでいる可能性が高いと考えられます。また、製調査の依頼があり、提供されたものなのです。

※ 1 Switches Get Stitches: Episode 3

https://www.blackhat.com/docs/us-15/materials/us-15-Cassidy-Switches-Get-Stitches.pdf

4ということは、例えば横河電機の製品を提供す
れば、調査していただけるのでしょうか。
はい。喜んで調査しますよ。
CSRF、DoS 攻撃、秘密鍵の奪取など深刻な脆弱性が多数見つかる
次に発見した脆弱性について伺います。いくつ
か具体的に説明していただけますか。
われわれは以前からスイッチの調査をしていて、 こ れ ま で も 2014 年 の 31C3（ ド イ ツ ） や、
2015 年の 44CON（イギリス）といったカンファ
レンスで講演を行ってきました※ 2 ※ 3。発見した●コリン・キャシディ

脆弱性の中で、悪用された時の影響が大きいもの

Colin Cassidy

としては、まずシーメンス製品に見つかった脆弱グラスゴー大学出身。IOActive のセキュリティコンサ
ルタントで、産業用制御システムに注力している。かつて、産業用ソフトウェア・ハードウェアベンダーで技術マネージャーとして活躍した経験があり、ソフト
ウェアのエンジニアとして卓越した能力を持っている。

性を挙げたいと思います。この製品では設定などの管理を Web インターフェイスで行っているのですが、ここに CSRF（クロスサイト・リクエス
ト・フォージェリ）脆弱性があり、攻撃者が認証を回避して、機器に悪意あるファームウェアや、たという話も聞いていますから、調査を行ってい改ざんした設定ファイルをアップロードすることない製品でも状況は同じなのではないかと考えてが可能でした。CSRF を成功させるには、ターゲッ

います。

トユーザーのセッション ID を知る必要がありま

何か対策はあるのですか

すが、この製品のセッション ID 生成方法は、ク機器の中には秘密鍵を変更できるものとそうでライアント側の IP アドレスとアップタイム（機器ないものがあります。変更できないものの場合、の稼働時間）を 16 進数に変換して、文字列をつ対処の方法はありませんが、変更できるものでなぐだけというお粗末なものでした。ですからブ

あっても、メーカーがその方法をマニュアルなど

ルートフォース攻撃を用いれば、攻撃者は容易にに記載していないことも多いようです。これも問セッション ID を推測できるというわけです。ち

題だと思っています。

なみに、この攻撃の POC（Proof of Concept）プ

なるほど。

ログラムを GitHub で公開しています※ 4。

GE 製品では DoS 攻撃も可能でした。先ほども他にはどのようなものがありますか。

言ったとおり、これらの製品では機器の設定を管

これは GE 製品で発見したものですが、ファー

理する Web サーバーが稼働しているのですが、ムウェアのバイナリを解析していたところ、製品

これに対してパケットを送ってみたところ、機器の HTTPS サーバーで使われる秘密鍵がそのまま埋が再起動してしまいました。Web サーバーに DoS

め込まれていました。秘密鍵がわかるということを行っただけで機器が再起動してしまうのは問題

は、たとえ通信を暗号化した HTTPS であっても、です。再起動には 2 分ほどかかります。当然のこ

中間者攻撃が成立するということを意味します。

ととして、ネットワークはこの間、止まってしま

他の研究者が他社の製品で同様に秘密鍵を発見しいますから、機器が使用されている環境を考えれ※ 2 Switches Get Stitches（31C3）		https://events.ccc.de/congress/2014/Fahrplan/system/attachments/2509/original/SwitchesGetStitches.pdf※ 3 Switches Get Stitches（44CON） http://www.slideshare.net/44Con/switches-getstitches※ 4 scalance https://github.com/blackswanburst/scalance5

ば致命的だと言わざるを得ません。さらに、DoS攻撃を続ければ再起動を繰り返させることも可能です。
そうなると、ネットワークは完全に死んでしまいますね。
実は、この話には続きがあります。われわれの指摘を受けたメーカーはこの脆弱性の修正パッチを公開したのですが、その中身は Web サーバーを停止させるというものでした（笑）。メーカーによれば、機器の設定は Web インターフェイス
でなく、TELNET を推奨するとのこと。ご存じのとおり、TELNET は通信を暗号化していませんか
ら、まさしく本末転倒な対応だと思います。

●ロバート・M・リー
Robert M. Lee

おっしゃるとおりです（笑）。これまでのお話を聞くと、他のメーカーの製品にも脆弱性が潜ん製品の中にはセキュリティ機能を実装していドラゴスセキュリティ社の共同設立者で、制御システ
ムのプロトコル解析、デジタルフォレンジック、脅威
インテリジェンスの研究などを担当する。前職は米空軍のサイバー戦オフィサー。SCADA の仕組みをイラス
ト中心で解説したガイドブック「SCADA and Me」を上梓している。

るものもありますから、まずはこれを有効にする

スキャンしたところ、1 万もの産業用システムがことが挙げられます。また、こういった脆弱性が

インターネットに接続していることがわかりまし発見されると、メーカーが配布するパッチを適用た。その後、他の研究者が同様の調査を行ったとするまで防御できないのではないかと考えがちでころ、100 万近くのシステムを発見したという話

すが、必ずしもそうとは限りません。例えば、先も聞いています。

でいる可能性があるとのことでしたが、こういったユーザーはどのように対処したら良いと思いますか。

ほど例に挙げた悪意あるファームウェアのアッ

100 万近くというのは驚きの数字です。

プロードや DoS 攻撃などは、ネットワークトラ

われわれは実際に施設へ行き、現場で産業用シフィックを監視していれば発見できるはずです。

ステムのペネトレーションテストを行うこともあ

ハードウェアだけで解決しようとしたり、産業用

ります。3 年半の間で約 70 の施設でテストを行いシステムの現場にいるエンジニアだけで解決しました。現場の責任者は誰もが「われわれのシスようとしたりするとハードルが高くなりますが、テムにはエアギャップがある」と言います。しかネットワークセキュリティの専門家などと協調しし、ある現場でテストを終えて「このスイッチのて対処するのがよいと考えています。

ファームウェアは旧バージョンであり、更新の必要がある」と伝えると、責任者は「OK」と言って、システム内にある端末からメーカーの Web サイ

エアギャップは都市伝説 !?

トにアクセスし、新しいファームウェアのダウン
産業用システムなど特殊な環境のセキュリティ

ロードを始めたのです（笑）。ですからエアギャッ

を論じるときの常套句として「われわれのネット

プというのは、都市伝説のようなものだと考えてワークはインターネットに接続していないから心います。
なんだかジョークに出てきそうな話ですね

配ない」と「エアギャップ」が強調されることが（笑）。

多いと思います。しかし、実際のところはどうな

私の方からつけ加えたい点があります。多くののでしょうか ?
ケンブリッジ大学での修士論文のテーマがま

人はエアギャップを、インターネットから物理的さしくこれでした。インターネットを広範囲にに隔離されたネットワークを構築することだと考6

えています。もちろん、言葉の定義としては正しいのですが、実際にはシステムに対し USB メモ

産業用システムのセキュリティをリや DVD などを使い、間接的にアクセスするこ

高めるにはとは可能なのです。ですから、エアギャップをより厳格化するには、ログ管理やセキュリティポリ

産業用システムの場合、ユーザー企業側もパッシーの策定も大切になると思います。

チを適用するためネットワークを止めることに多くの組織では、エアギャップを設けること

ちゅうちょして、結果として修正されるまでに時で安心してしまい、セキュリティについて、それ間がかかると予想されるのですが、どうなので以上深く考えなくなるという傾向もあると思いま

しょうか。

す。

そのとおりです。実際のところ、メーカーがパッ

確かにそのとおりですね。話は変わりますが、チを公開してから、ユーザー企業がそれを適用す

ペネトレーションテストを行う中で、今回発表しるまでに 1 年から 2 年ほどかかるケースも珍しくた脆弱性が悪用された事案というのはありました

ありません。そうすると、脆弱性の発見からユーか。

ザー企業がパッチを適用するまで、最長で 3 年ほ
どかかるということになります。

ペネトレーションテストの結果ではありません
が、産業用システムがサイバー攻撃の被害に遭っこの期間を短縮する方法はないのでしょうか。

たというニュースを見ていると、われわれが発見

本来であれば、ユーザー企業の脆弱性修正に対した脆弱性を悪用したものだと思えるものがいく

して、メーカーが積極的に支援すべきだと考えま

つもありました。

すが、現在のところメーカーにはこういった体制はありません。これはあくまで個人的な見解です

具体的にどのニュースなのか教えていただくこが、メーカー側はペネトレーションテストなどをとは可能ですか。
残念ながら、これ以上具体的な話をすること含めたトータルなサービスを提供すれば、さらなはできません。攻撃を受けているか否か心配な組

る売り上げにもつながるメリットがあると思って

織は専門家にテストを依頼することをお勧めしまいるのですが…

す。

日本ではメーカーとユーザー企業との間に、販わかりました。ちなみにロバートさんは、以前売代理店やシステム・インテグレーターなどが介

空軍に在籍していたとのことですが、今回の研究在しています。個人的にはこういった間に入る企は軍と何か関係があるのでしょうか。

業がセキュリティに関するソリューションを提供すればよいのではないかと考えていますが、海外

この研究にはあくまでプライベートの立場で参の状況はどうなのですか。

加しています。軍との関係は一切ありません。
では、皆さんはどのような関係なのですか。

海外でも状況は日本と同じです。システム・イ

よい質問です。エイレンは現在、ケンブリッジ

ンテグレーターの存在は重要で、メーカーが彼ら

大学のリスク研究センターに在籍していますが、に通知して、彼らが各ユーザー企業に赴き対処に以前は私と同じ IO Active で働いていたのです。

あたるのがよいと思います。もちろん、システム・

産業用システムの研究は当初、エイレンが 1 人でインテグレーターに対するトレーニングは必要に行っており、後に私が参加することとなりました。

なると思います。また、オンラインの調査によっ

講演も以前は 2 人で行っていたのですが、その内て脆弱な産業用システムが発見されることがあり

容は攻撃者視点のみで、防御の視点を欠いたもの

ますが、IP アドレスがシステム・インテグレーターでした。そんな中、カンファレンスでロバートとの名前で登録されていることも多いのです。しか出会い、防御の視点を入れるため彼を招き入れる

し、脆弱性が修正される割合が高いのは、こういっことにしたのです。

たケースの方だと感じています。

たしかに。ロバートさんのこれまでの発言は防最後の質問です。2020 年のオリンピック開催

御側の視点に立ったものですね。

を控える日本政府や各組織に対して、メッセージ7

したいと思います。さらに言えば、警察、メーがあればお願いします。
開催まであと 5 年あります。今から脆弱性の調

カー、ユーザー企業、システム・インテグレーター

査やネットワークのテストを開始すれば、3 年後間で情報共有できる体制を整えておくことも重要には修正パッチが適用されると思います。（笑）

です。
オリンピックは 4 年ごとに行われるわけですか

ジョークのようにもとれますが、的を射ている

ら、過去の開催地がどのような対策を行ってきたと思います。
個人的な経験からお話しすると、攻撃者の活動のか、業界ごとに情報共有できる体制作りも有効

はオリンピック開催の半年前ほどから活発になっだと思います。例えば 2012 年のロンドンオリンてきます。ですから半年以上前からネットワーク

ピック開催時にイギリスの電力会社が講じた対策

監視などの対策を講じるのが良いと思います。

を日本の電力会社が学べるような仕組みです。

具体的な対策で言えば、少なくとも 1 年以上前

数々のアドバイスをいただき感謝します。本日にネットワークに対してストレステストを行い、はどうもありがとうございました。

サイバー攻撃を想定した演習を行うことをお勧め

8タイ・ミャンマー・ラオス・カンボジア・フィリピン・インドネシア
ASEAN 各国で開催された CTF 大会

Cyber SEA Game 2015 レポート
文 + 写真 =tessy（寺島崇幸：SECCON 実行委員会）
は CTF はそれなりに認知されているものだと思っていましたが、現状はそこまで至っていない国もCyber SEA Game 2015 とは多かったようです。
今 回、ASEAN で 開 催 さ れ た CTF「Cyber SEA

コンテストを開催するにあたり各国の希望を聞

Game」の運営に携わる機会をいただいたので、いたところ、タイ・ミャンマー・ラオス・カン

この取り組みについて紹介したいと思います。

ボジアからは現地での予選開催支援を要請され、フィリピン・インドネシアからは予選問題提供のCyber SEA Game 2015 は Cyber South East

支援を要請されることとなりました。

Asian Game 2015 の略で、ASEAN 諸国のサイバー
セキュリティ領域における若手の育成支援を目的

各国予選の開催支援はハプニングの連続として、今年初めて開催されたコンテストです。
インドネシア通信情報省傘下のインターネット
セキュリティ事案対応チーム / 調整センター（Id-

現地での予選開催支援は 10 月 4 日から 2 週間

SIRTII/CC）が主催し、日 ASEAN 統合基金（JAIF）、にわたり 4 ヵ国（タイ・ミャンマー・ラオス・カ

ASEAN 事務局、日本ネットワークセキュリティ協ンボジア）で行われました。各国ごとに、開催の※1

準備で 1 日、予選開催で 1 日、そして翌日には会（JNSA）が協力を行っています。

次の国へ移動するというタイトなスケジュールでこのコンテストでは、2015 年 9 月～ 11 月にす。

ASEAN 各国で予選大会が開催され、その上位チームが 11 月にインドネシアで開催される決勝大会

また、スケジュールを組む時にも、なかなか思に進出します。さらに、Cyber SEA Game 決勝大い通りに行かないことばかりでした。例えば、連会の上位チームは、2016 年 1 月末に日本で開催

絡のメールが届かなくなり、予選開催の数日前まされる SECCON CTF 決勝大会へ参加することが決でコンテスト会場やわれわれの宿泊先が知らされまっています。

なかったり、諸々の契約が時間通りに進まなかっ筆者を含む SECCON 実行委員などの有志が問題たりと、苦労の連続でした。いつどこでトラブル

作成・予選開催・決勝大会開催の支援という形でが起きてもおかしくない綱渡りのような開催でし協力しました。

たが、無事に終えることができ、安心しました。

東南アジア地域での CTF といえば、過去にベ

予選は、ジェパディ（クイズ）形式での開催とトナムのチームが米国ラスベガスで開催されるなりました。この形式は広く知れ渡っていると

DEFCON CTF の決勝戦に出場したことや、マレー

思っていましたが、実はジェパディ自体に触れる

シアの HackInTheBox で 10 年近く開催されてきのも初めてという国もあり、ジェパディとは何かた CTF に、マレーシア・ベトナム・シンガポー

から説明する必要がありました。

ル・タイ・インドネシアなどから参加者があった

前述のとおり、開催前のメールのやりとりがうことなどを記憶しています。ですから、個人的にまく行かず、現地に行くまで不安に思っていたの※ 1 サイバー SEA ゲーム 2015 の開催（ASEAN 日本政府代表部 プレスリリースより )		

http://www.asean.emb-japan.go.jp/release/2015/release15_12j.html

9ラオス予選の様子

ミャンマー予選の様子。このあと建物自体で停電が起こり、2 度ほど競技が中断

ですが、実際に訪れてみると各国ともしっかり準

8 チームが出場しているとのこと。その事実を現備が整っていて驚きました。地元の TV や新聞な地で知ったわれわれは、急きょ難易度の高い問題

どが取材に来ていたり、開催にあたってスポンを追加して、なんとかこの事態を乗り切ることがサーを募ったりと、力の入れ具合が伝わってきまできました。

す。例えば、タイではわれわれが行く直前に情報

他にもミャンマーでは大きな建物のホールで開技術・通信省（MICT）のサイトが攻撃を受けたこ催をしていたのですが、雷雨によって停電が起こともあり、MICT の大臣が講演するカンファレン

り、競技が中断するハプニングも。このように各スに併催した CTF も注目を浴びていました。また、国で小さなトラブルもありましたが、回を重ねる

ミャンマーではサイバーセキュリティの専門省庁ごとにわれわれの運営スキルも向上し、無事に 4 ヵを設立したことで、大臣との面会時間が設定され国の予選開催支援を終えることができました。

るなど、予想を超えるような展開ばかりでした。

今回予選開催を支援した 4 ヵ国と問題を提供しなお、内閣サイバーセキュリティセンター（NISC）

たフィリピンの計 5 ヵ国では同じ問題を使っていのサイトで ASEAN 各国の CERT などによるコラムます。予選結果の詳細なデータを公開することはが公開されています。各国の事情が知りたい方はできませんが、簡単に比較してみると、5 ヵ国の参考にしてみてください※ 2。

中で成績が良かったのはタイでした。やはり、さ各国予選の詳細については紙幅の都合もあり割

まざまな経験を積んでいるチームが多いことか

愛しますが、どの国も参加者は大学生や若手社会ら、どのジャンルの問題もまんべんなく解いてい人を中心として 7 ～ 10 チームほどが集まりまします。また、ミャンマーはいくつかあるジャンル

た。

の中で Web やネットワークに関する問題に強く、カンボジアはバイナリの問題に強いなどの傾向も予選開催でわれわれが悩んだのが問題の難易度見られました。

の設定です。当初は初心者向けを想定していたた
め、「CTF 初挑戦者向け」「初心者レベル」「中級者レベル」と大きく 3 段階で作成しました。とこ

決勝大会 ! 日本の SECCON CTF へのろが、タイではレベルの高いプレイヤーが数多く切符を手にする国は ?

参加しており、開始から数十分で用意していた問題の半数近くが解かれてしまうという状況となっ決勝大会は 11 月 11 日にインドネシアのジャカてしまいました。というのも、タイでは事前にオルタで開催されました。インドネシアでは Cyber

ンラインの地方予選が開催されており、その上位

SEA Game の決勝前日に国内予選の CyberJawara※ 2 サイバーセキュリティ国際キャンペーン | 国際版コラム		

http://www.nisc.go.jp/security-site/campaign/column/column.html

10Cyber SEA Game 決勝大会の様子という大会が開催されました。こちらは Id-SIRTII/

わかり、急きょこちらでも問題を作成することとCC が 開 催 し て い る 大 会 で、 今 年 で 4 回 目 を 迎なりました。おかげで渡航直前から現地に行ってえるとのこと。事前にオンライン予選があり、からもぎりぎりまで準備に追われることとなってCyberJawara 決勝の勝利チームがさらに翌日のしまいました。

Cyber SEA Game の イ ン ド ネ シ ア 代 表 と し て 選

競技は前評判どおりにベトナムチームがリード出されます。競技内容も独特で、われわれのよ

し、それをタイが追いかける展開になりました。

く 知 る CTF 以 外 に、CND（Computer Network

ベトナムチームは過去に DEFCON CTF にも出場しDefense=Hardening）、Pentest といったものも取たことがある VNSecurity のメンバーを含むチー

り入れられていました。優勝チームには全員に液ムとのこと。競技中、タイが逆転する場面も何度

晶 TV・ノート PC・タブレットなど豪華賞品が授かありましたが、最終的にはベトナムが初代優勝

与されていました。

チームとなりました。

さて本題の Cyber SEA Game 決勝は、9 ヵ国か
今回のプロジェクトを通じてら 14 チームが参加（諸事情によりシンガポール
が欠場、一部の国は 2 チーム決勝進出）となり、筆者も日頃から SECCON などで大会の運営に携

ジェバディ形式での開催です。競技時間は合計 6わっているのですが、国を超えた形での運営とい時間（1.5 時間のスロットを 4 回）でした。
当初、問題はインドネシア側で用意する約束でうのははじめてで、このプロジェクトを通じて貴したが、開催数日前に問題が揃っていないことが重な経験をさせていただきました。多くの方の協かかり、抜けなくなったケーブルを切断している姿を見かけました。筆者自身も手持ちの Wi-Fi ルーターがこのケーブルの餌
食に…
読者の皆さまも渡航の際は、現地製 LAN ケーブルにもお気を付けください。

11

一度挿したら抜けなくなる恐怖のＬＡて抜けなくなる罠仕様で、参加者のうち何人かがこの罠に引っＮケーブル、帰国後コネクターを破壊

余談ですが、インドネシアで製造された LAN ケーブルの品質の悪さには泣かされました。コネクターに差し込むと引っかかっ

して取り出した

CTF 参加者に仕掛けられた罠 ! 恐怖の LAN ケーブル

上位 2 チーム（1 位 ベトナム = 右の 3 人、2 位タイ = 左の 3 人）が SECCON の決勝大会に出場することとなった

力なしには完遂できませんでしたので、ここで改るような強豪チームの顔ぶれはなく、こういった

めて関係者の方々に感謝の意を表したいと思いま大会が開催されることも知らなかった、と後に強す。

豪チームのメンバーから聞きました。これはおそ全体の感想として、良くも悪くもアジア各国のらく CSIRT とハッカーコミュティとの間に交流が時間感覚（ルーズさ ?）に振り回されました。メー

ないからなのかもしれません。とはいえ、次回以ルでのレスポンスの悪さ、電話会議をすっぽかさ降に改善され、広く ASEAN 地域のプレイヤーがれる、予定通りに資料が届かないなどなど。文化参加できるような大会になることを期待したいとも言語も違う人たちと共同作業する時には、こう思います。
各国を回って予選を開催している時や、決勝でいったことも考慮しておかなくてはならないと改

顔を合わせた中では感謝の言葉とともに「来年もめて感じました。
しかし、どの大会でも競技終了後には参加者同

よろしくお願いしたい」という声を沢山いただき士が問題について語り合う姿がありました。これました。来年度の開催については現時点では未定

は世界中の大会で見られる光景で、運営に携わっなのですが、是非ともこの試みは続けて欲しいとて良かったと思える瞬間でもあります。

思っています。ASEAN 地域の若い人たちが参加す今 回 は イ ン ド ネ シ ア の National CSIRT で あ る

る大会、われわれ運営を支援する側も若い人たち

Id-SIRTII/CC が主催者だったこともあり、それぞを巻き込み、国を超えた交流のきっかけにしたい

れの予選においては、事前の連絡から主催までをと考えています。

各国の National CSIRT を経由して行いました。企

最後になりますが、Cyber SEA Game のプロモー画から開催まで限られた時間の中、彼らには大学ション用に作成した動画を紹介します。こちらはや企業などから若い人たちを参加者として集めてYouTube の JNSAChannel にて見ることができま

いただきました。ただ、世界の CTF 大会に参加す

す※ 3。

※ 3 CYBER SEA GAME 2015（日本語字幕付き）https://www.youtube.com/watch?v=kK8BAhXcvcA

12

SECCON 九州大会レポート
取材 + 文 = 斉藤健一
競技用に作成されたダミーの個人情報が格納されており、さまざまな攻撃手法を用いてこの情報を学生を対象にした攻防戦形式の CTF

奪取することが目的となる。Game サービスでは
昨年 8 月にスタートした SECCON 2015 地方大プレイに必要なライセンスキーの奪取が目的。一会。本誌ではこれまで日本各地で開催された大会

方、Crypto サービスでは、暗号プログラムのアッの様子をレポートしてきたが※ 1 ※ 2 ※ 3、その最後

プロードおよび、そのプログラムを使い入力したを飾るのが今回紹介する九州大会となる。

テキストを暗号化する CGI が動いているものの、九州大会は、2015 年 11 月 28 日、九州工業大

競技開始時点ではどのように攻略するかは示され学飯塚キャンパスにて開催された。SECCON ではていない。

地方大会ごとに特色ある競技を行っているが、今また、競技では攻撃ポイントとは別に防御ポイ回の九州大会は「Attack & Defense」と題し、参ントも用意されている。運営側は上記のサービス

加者を学生に限定した攻防戦形式の CTF となっが各チームのサーバーで稼働しているかを定期的た。当日会場には日本各地から 10 チーム、36 名にチェックしており、稼働が確認できれば加点さの学生たちが集まった。

れるというものだ。
競技時間は 11 時から 16 時までの 5 時間で、競技終了時点で得点が最も多いチームが優勝とな

競技のルールる。なお、上位 3 チームには本年 1 月 30 日に開催される SECCON 2015 決勝大会（インターカレッ

競技では各チームに同一仕様のサーバーが用意

ジ）への出場権が与えられる。

される。このサーバーでは脆弱性があるいくつかのサービスが稼働しており、参加者は、自チームサーバーの脆弱性を修正して防御しつつ、敵チー

勝敗の行方

ムサーバーの脆弱性を突いて特定のデータを奪う。そしてこのデータを運営側が用意したスコア

競技は序盤から「MMA」（電気通信大学）が攻サーバーに登録することで得点を獲得する。この撃ポイントを積み重ねてリードする展開となっポイントのことを攻撃ポイントと呼び、奪われるた。それに続くのが、「tuat_mmc」（東京農工大学）

側のチームがその時点で持っている総得点の 3%と「松屋 AdventCalendar」（九州工業大学）だ。

を得ることができ、一方奪われたチームは同等の競技中盤になると、攻撃ポイントが獲得できる得点を失う。したがって、どのチームからポイン

チームとそうでないチームの差が広がり、一方的トを奪うかという点も戦略上の鍵となってくる。

にポイントを奪われ総得点がマイナスになるチー

サーバーで稼働しているサービスには、Web・ムが出てきた。しかし、ここで面白い現象が起きGame・Crypto の 3 つがある。Web サービスにはる。「wasamusume」（東京電機大・筑波大・九州※ 1 HISYS Journal Vol.13「SECCON 2015 横浜大会レポート」 http://www.shield.ne.jp/ssrc/contents/doc/HISYSJournalVol.13.pdf※ 2 HISYS Journal Vol.15「SECCON 2015 広島大会レポート」 http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201511.pdf※ 3 HISYS Journal Vol.16「SECCON 2015 福島大会 + 大阪大会レポート」
		

http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201512.pdf

13

SECCON 2015 九州大会の会場となった九州工業大学飯塚キャンパスの様子

工大・山口大の混成チーム）がマイナス得点のチー

攻略法などが話し合われた。多くのチームはいく

ムへの攻撃を成功させたところ、攻撃ポイントがつかあるサービスのうち Web を攻略の中心に据マイナスとなってしまったのだ。このことから、えていたようだ。運営側によると、Web サービス

攻撃ポイントで得られる総得点の 3% というのはには多くの脆弱性が作り込まれていたとのこと。

マイナスも含まれるということがわかった。競技

本来なら管理者権限でないとアクセスできない領

設計上のミスとも思われるが、運営側の説明によ

域にユーザー権限でアクセスできたり、SQL イン

ると「そういう世界観」なのだそうだ。しかし、ジェクションが可能なページが存在したりと、参この世界観が競技終了間際に波乱を起こすきっか

加者からもさまざまな攻略法が挙がっていた。
また、競技の性格上、敵チームからの攻撃パケッ

けとなる。
競技終盤、MMA が 2 位に 20 万点近くの差をつ

トを解析すれば、Web サービスにどのような脆弱けるという圧倒的なリードを保ち、以下、tuat_

性があるのかを発見・修正し、他チームへの攻撃

mmc と「barylite」（渋谷教育学園渋谷校・沖縄高専・に転用することも可能だ。ただし、多くのチーム

京都府立亀岡高校・会津大学の混成チーム）が続が同じように解析を行っているので、敵チームのく。4 位 の wasamusume も 2 位 の tuat_mmc かサーバーがすでに修正済みで攻撃が不発に終わる

らポイントを奪いはじめ、2 以下の順位争いが熾ことも多かった、と参加者は語っていた。やはり、烈になる。

得点を稼ぐにはいち早く脆弱性を発見し、攻撃するスピードが求められるようだ。

そして競技終了間際、首位の MMA がポイントを奪う相手を間違え、マイナス得点の「セキュリ

また、Game や Crypto サービスでも、バッファティ讃歌」（岡山大学）を攻撃してしまい、このチーオーバーフローやサンドボックスの制限を超えてムが一気に首位へと浮上するハプニングが起こっ

任意のコードが実行できる脆弱性が作り込まれてた。最後の数分間はめまぐるしく順位が動き、会いたようだが、競技時間の制約からか、こちらの場も大いに盛り上がった。

サービスを攻略しようと考えるチームはほとんどなかったようだ。

競 技 終 了 時 点 で の 上 位 3 チ ー ム は、1 位 がMMA、2 位がセキュリティ讃歌、3 位が barylite

決勝大会への出場チームが決定という結果となり、SECCON 2015 決勝大会（インターカレッジ）へと駒を進めることとなった。

SECCON 2015 決勝大会は 1 月 30 日にインター

競技終了後には、運営側を含め各サービスへの14

会場のスクリーンに表示される各チームの得点状況。上部は攻競技の状況を可視化する NIRVANA 改 SECCON 九州大会バージョ撃に成功したチームが表示され、下部では順位や得点の状況がン。1 チームだけ色が異なっているが、チーム名がカラーコード

表示されるに由来するとのことで、NIRVANA 制作チームが敬意を払い変更
したとのこと優勝した MMA チーム

各チームに提供されるサーバーは Raspberry Pi 2 で構築されている

カレッジ大会、1 月 31 日に国際大会が予定され式サイトにて出場チームが発表されているので、ている。出場枠は各地方大会の上位チームの他、気になる方はご覧いただきたい※ 4。

オンライン予選の上位チームが加わる。こちら

昨年の SECCON 決勝大会では優勝したチームには 2015 年 12 月 5 日～ 6 日にかけて国際大会とDEFCON CTF 決勝戦へのシード権が与えられるこして開催され、日本チームの他、米国・ロシア・とも手伝って、世界中から強豪チームが集まり大ルーマニア・韓国・台湾のチームが上位入賞を果

きな注目を集めた。今年の決勝大会は優勝特典とたしている。さらに、「ASEAN Cyber SEA Game」、してのシード権はないものの強豪チームの名前も「HITCON CTF」など SECCON と連携する CTF 大会

いくつか見られ、また開催規模も大幅に拡大しての上位チームの参戦も予定されており、インター

おり、国際大会の名にふさわしいものとなっていカレッジ大会・国際大会それぞれで 18 チームがる。会場となる東京電機大学で繰り広げられる熱一堂に会することとなる。なお、SECCON 2015 公戦が今から楽しみだ。

※ 4 SECCON 2015 決勝大会

http://2015.seccon.jp/finals.html

15ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#15 2016 年のセキュリティ業界はどこへ ?
文 = エル・ケンタロウ

さまざまなオンラインメディアが「2016 年のセバルカニゼーション（balkanization）とは、国キュリティ業界の動向予測」と題した記事を掲載

家や地域が互いに対立し分裂していくことを指すしている。よく見かけるものは、IoT の普及による

地政学用語。第一次世界大戦後に東欧のバルカン

セキュリティ関連ニーズの高まり、企業をターゲッ

半島諸国が互いに敵対する小国に分割したことにトとする産業スパイの暗躍、モバイル機器を対象由来する。

とするマルウェアの台頭などがあり、他にもクラセキュリティベンダーのカスペルスキー社は、

ウドインフラの危険性、セキュリティ人材の不足

斬新な予測ではないにしろインターネットの意図を挙げるメディアもある。しかし、それらと一線的なバルカニゼーションは、今後の脅威となりうを画しているのが米国セキュリティ関連のニューると指摘する。 2016 年には国を隔てる国境線が情スサイトである「Dark Reading」の予測だ。

報ネットワークにも登場する可能性があると予測

IT や ビ ジ ネ ス・ イ ノ ベ ー シ ョ ン を 専 門 と す るしている。同社の研究者によれば、仮に地域によっジャーナリストのエリカ・チコウスキー（Erickaてネットワークへのアクセスが遮られる状況が発

Chickowski）氏は、Dark Reading において「最も生した場合、コネクティビティ（接続性）を売買

大胆な予測」と題し、2016 年のセキュリティ業界する非合法サービスの登場も考えられる。さらに、を取り巻く環境の変化について述べている。

さまざまな闇市場を運営するための新たな技術も続々と開発される可能性もあるというのだ。

業界の専門家たちが予測する
3.CISO のセレブ化

2016 年のセキュリティ動向

ドメインツールズ社の CEO であるティム・チェ
1. サイバー攻撃が 2016 年の米国大統領選挙に影響

ン（Tim Chen）氏は、多大なセキュリティ予算を

パロアルトネットワークス社の脅威インテリ持つ大企業のみならず、機密性の高いさまざまなジェンス・ディレクターであるライアン・オルソ

情報を扱うスタートアップ企業であっても、CISO

ン（Ryan Olson）氏は、可能性は薄いとしながらも、 （最高情報セキュリティ責任者）がセレブ化（世間サイバー攻撃によって直接 もしくは間接的に大統の注目を集めるスター的な存在となる）すると予領選が影響を受ける可能性を指摘している。

測している。

ハッカーによる候補者に関する情報の漏えい、候補者のソーシャルメディア・アカウントの乗っ4. 漏えい情報の集積・兵器化により脅迫事件が多取り、主要なニュースメディアを乗っ取った上で発の偽ニュースの配信などが考えられるとオルソン

昨年に発覚した米国人事局（OPM）の情報漏え

氏は語っている。電子投票システムのセキュリティ

い事件は、社会に大きな影響を与えたが、これはもまだまだ改善の余地があるだろうが、電子投票

犯罪者にとっても同様だという。彼らはより多くシステムが攻撃を受けて選挙が影響されることはの個人情報を収集することで、従来のクレジット考え難いとオルソン氏は予測している。

カード詐欺を超えた新たな犯罪の可能性を見出している、とクラウドストライク社のディミトリ・
アルぺロヴィッチ（Dmitri Alperovitch）氏は指摘

2. インターネットのバルカニゼーション
16るだろうと話している。

する。
最近では、犯罪者やハクティビストたちは、情報の窃取後に外部へ公開するなどと脅迫を行って

7. サイバーセキュリティが原因でメジャー製品のいる。さらに、クレジットカード・生命保険・健1 つが開発中止に康保険など漏えいした個々の情報から名寄せを行

Hewlett Packard Enterprise 社のマーク・ペイン

い、「完璧な人物像」データベースの構築も行ってター（Mark Painter）氏は、2016 年には、とあるいるという。

メジャー製品に数多くの脆弱性が発見され、開発被害者は情報を盗まれるだけではなく、盗まれ中止に追い込まれる可能性があると指摘する。脆た情報を元にした二次的な攻撃の被害に遭うこと

弱性の修正対応に追われるよりも、製品開発を中も考えられる、と同氏は警鐘を鳴らす。

止し販売を終了した方が効率的だと判断すれば、現実味を帯びてくるだろうと予測している。

こ の よ う な 状 況 を 受 け て、Retail CyberIntelligence Sharing Center( 小売業サイバーインテ

8. 量子暗号の兵器競争

リジェンス共有センター）のウェンディ・ネーサー（Wendy Nather）氏は、2016 年は「脅迫祭り」のユニシス社、グローバル・セキュリティの副責

1 年、とりわけ医療に関連した脅迫事件が多発する任者であるトム・パターソン（Tom Patterson）氏は、のではないかと予測している。

ここ数年、暗号技術と政府用バックドアの議論が再燃しているが、量子コンピューティングの台頭

5. 中国のサイバー犯罪者がロシアの犯罪組織と市によって暗号アルゴリズムの開発が兵器開発競争

場競争への様相を呈するだろう、と予測する。現在のとこ

中国経済の減速により、国家の支援を受けていろ、暗号化通信への攻撃は、暗号鍵を解析するコたハッカーたちがスパイ行為から金銭目的の犯罪

ンピューターの演算能力の限界によって阻まれて行為へとシフトすると IID 社の専門家は見ている。

いる。しかし、量子コンピューターの登場によりそして、2017 年にはこのような中国のサイバー犯

暗号鍵の復号が数秒で可能となれば、それを防ぐ罪組織が東欧の犯罪組織の規模を上回り、2019 年

ためにさらに高度な暗号技術が必要になるはずだ、

までには、ロシアと中国のサイバー犯罪者の同盟と見解を述べている。

が解消されるだろうと大胆に予測している。その9. セキュリティ業界再編へ背景には、中国の犯罪組織が台頭し、東欧の市民
や企業、さらに犯罪組織までをも対象にした攻撃

RSA の社長を務めるアミット・ヨラン氏は、セを積極的に行っていくことが予想されるからだと

キュリティ業界には、VC（ベンチャー・キャピタル）いう。

などから多額の投資が流れ込んでおり、疑わしい
技術や経営戦略までもが投資対象となってきたと指摘する。しかし、昨年 11 月に米国の政策金利が6. 委託企業へのセキュリティチェック強化
多くの企業にとって外部のパートナーや業務委

引き上げられたことで VC は保守的となり資金は枯

託先は日々の運用では欠かせない存在となってい渇の方向へと進む。一方で、企業の CISO たちもこる。しかし、昨今話題になった情報漏えい事件をれまで購入させられてきた製品・サービスを見る

踏まえ、企業は業務委託先の抱えるリスクを再認

目を養ってきたとも述べた。今後、企業のセキュ識するようになってきている。

リティ体制が成熟するにつれ、ベンダー各社が派2016 年は、業務を外部に委託している大企業が手に宣伝してきた製品やサービスの実力がシビア

自社のセキュリティレベルの高さを証明することに評価されることとなり、ひいてはセキュリティが求められる 1 年となるだろう、と Imperva 社の業界全体の再編につながるだろう、と同氏は予測

ディーパック・パステル（Deepak Patel）氏は予している。

測している。また、このようなトレンドを受けてサイバー保険市場の成熟が求められることにもな
17

なものとなっているのがわかるだろう。いずれも
脅威は現実社会に

他のメディアなどで取り上げられる保守的なもの

さらに大きな影響を及ぼすとは異なり、記事のタイトルどおり「大胆」な予測と言えるが、この中の 1 つもしくは 2 つでも的

今回取り上げた予測を見ると、2015 年はイン中することがあれば、セキュリティ業界のみなら

ターネットの根幹にある「信頼」や「基礎技術」

ず IT 産業そのものへ大きな影響があることは間違が脅威にさらされた 1 年であったのに対し、2016

いないと言えるだろう。

年の脅威は、より現実社会に近い「高レイヤー」●参考 URL
Boldest Cybersecurity Predictions For 2016
http://www.darkreading.com/threat-intelligence/boldest-cybersecurity-predictions-for-2016/d/d-id/1323740

18