T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

SECCON 2015 福島大会＋大阪大会レポート… ……………………………………………… 3
PacSec 2015 レポート … ……………………………………………………………………… 10
Threat Scope… ………………………………………………………………………………… 14●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2015. All rights reserved.

2

SECCON 2015
福島大会 + 大阪大会レポート
取材 + 文 = 斉藤健一

サイバー甲子園と銘打たれた福島大会
ルールを守ってハッキングに勤しむ

18 歳以下の学生だけが参加できる CTF
本年 8 月にスタートした SECCON 2015 地方大サイバー甲子園には 15 歳～ 18 歳の学生 20 名会。これまでに開催された横浜大会と広島大会のが集まった。1 チーム 2 名の構成で計 10 チーム

模様は、それぞれ本誌 Vol.13 ※ 1 と Vol.15 ※ 2 でとなる。内訳は高校生チームが 4、高専生チーム

紹介してきた。今回も福島大会と大阪大会のレが 4、高校生と高専生の混成チームが 2 となってポートをお届けする。

いた。学校は東北・関東・関西・九州・沖縄と幅SECCON ※ 3 の説明はもはや不要とも思われる広い。なお、参加者には主催者より交通費の補助が支給される。

が、簡単に紹介すると、情報セキュリティの分野
でグローバルに活躍できる人材の発掘・育成を目

開会の挨拶に立った警察庁情報通信局情報技術標にした取り組みで、2012 年より JNSA（日本ネッ

解析課、課長補佐の大塚氏は、日本年金機構のトワークセキュリティ協会）内に組織された実行情報漏えいやインターネットバンキングを狙う事

委員会が運営に当たっている。

案などが発生している現状に触れたうえで「サイ地方大会第 3 弾となる福島大会は、11 月 7 日、

バー犯罪についても殺人や強盗事件などと同様、会 津 大 学 先 端 ICT ラ ボ LICTiA に て 開 催 さ れ た。

被疑者を追跡・逮捕するべく賢明に努力している」

SECCON では地方大会ごとに特色ある競技を行っと警察の取り組みについて語った。また、セキュているが、今回の福島大会は「サイバー甲子園」

リティ人材育成については、警察だけに限らず関と銘打ち、参加者を 18 歳以下の学生に限定した係各所と協力し政府をあげて進めているとし、「特大会となった。

に今回の大会に出場している若い世代の人たちのレベルを引き上げる SECCON のような大会は非常余談だが、大会会場の会津大学では同日に、「パに重要だ」と述べた。

ソコン甲子園」というイベントも開催されていた※ 4。こちらは高校生や高専生がプログラミング

また、競技開始前にはオリエンテーションが行能力などを競う大会で、2003 年から開催されてわれたが、参加者全員がティーンエイジャーといいる。主催は会津大学や福島県など。SECCON 実

うことを考慮して、情報倫理の簡単な講義も含ま

行委員長の竹迫氏によれば、この 2 つのイベントれていた。その内容は不正アクセス禁止法が定めはそれぞれ独自に運営を行っているが、双方の関る不正行為の解説や、仮に脆弱性らしき事象を発係者が互いに見学するなどの交流があるという。

見した時でも、自ら深追いはせず、IPA セキュリ
ティセンターへの相談を促すといったものだ。講※ 1 HISYS Journal Vol.13 http://www.shield.ne.jp/ssrc/contents/doc/HISYSJournalVol.13.pdf※ 2 HISYS Journal Vol.15 http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201511.pdf※ 3 SECCON 2015
※ 4 パソコン甲子園

http://2015.seccon.jp/
http://web-ext.u-aizu.ac.jp/pc-concours/3サイバー甲子園の会場となった会津大学先端 ICT ラボ LICTiA の様子師を務めた佳山実行委員は「仮に善意から脆弱性

binary 以下のジャンルでは難易度に応じて 100を指摘したとしても、指摘を受けた組織は攻撃さ～ 300 点の問題があり、合計で 19 問が用意された。

れたと思ってしまうこともある」と述べ、自分の問題のレベルは他の地方大会と同等だという。会身を危険に晒さないためにもルールを守ってほし

場には各チームの得点状況をリアルタイムで表示

いと強調していた。

するディスプレイの他、パトランプも設置されており、どこかのチームが得点するとランプが灯り、機械音が鳴る仕組みとなっていた。

競技のルール

勝敗の行方

サイバー甲子園はクイズ（ジェパディ）形式のCTF となる。参加者は競技ネットワークに接続してさまざまな問題にチャレンジし、解答（フラグ）

競技開始直後から各チームの動きは活発で、会をスコアサーバーに登録して得点を獲得する。競場は鳴り止まない機械音に包まれた。序盤から技は 13 時から 16 時 30 分までの 3 時間半。終了

快調に得点を重ねてトップに立ったのは、渋谷

時点で最も得点の高いチームが優勝となる。なお、

教育学園渋谷校と東京高専の混成チームである

3 位までに入賞したチームは、2016 年 1 月に開催

scryptos だ。それを追うのが奈良高専生チームのされる SECCON 2015 決勝大会（インターカレッ

insecure と、宮城県立工業高校と奈良高専の混成ジ）への出場権を獲得できる。

チームである omakase だ。ちなみに omakase は当日会場で結成された即席チームなのだそうだ。

出題のジャンルは以下のとおり。

話は少しそれるが、CTF では参加者に集中力が求められる。運営側は妨害コンテンツと称して大・		 sample：競技ネットワークへの接続やフラグ登録のテストを行う問題

きなスクリーンにオモシロ動画を流したり、大音・		 binary：バイナリ解析

量で音楽をかけたりして参加者の集中を削ごうと・		 crypto：暗号する。これも競技の一環なのだそうだ。今回のサ・		 network：パケット解析

イバー甲子園では、競技中に運営側から各チーム

・		 programming：プログラム作成

へインタビューが行われたが、これが妨害コンテ・		 web：Web の解析

ンツにあたる。
各チームには事前にアンケートが配布されてお・		 unknown：上記ジャンルに属さない問題

り、メンバーの得意科目・特技・将来の夢などを
4

会場のディスプレイに表示されるスコアの状況

見事優勝を果たした scryptos

記入する。インタビューではこれらの項目を掘りたが、そのまま終了の時間を迎えることとなった。

下げていくのだが、まじめに回答するチームもあscryptos は全 19 問のうち 18 問を解くという優秀

れば、ふざけた回答をするチームもあり、運営側

な成績を修めた。
優勝のインタビューでは、解けなかった 1 問がの軽妙なツッコミとあいまって笑いを誘う場面も得意分野のバイナリだったので残念だと悔しさを多かった。
最も印象的だったのが、参加者で唯一の女性

語っていた。前述のとおり、優勝した scryptos、チームである浦和明の星女子高の bijo だ。チーム

2 位 の insecure、3 位 の omakase は、SECCON

名の由来について聞かれた彼女らは「バイナリで2015 決勝大会（インターカレッジ）へと駒を進きない女子」と答えて会場を沸かせていた。

めることとなった。

話を元に戻そう。競技では scryptos がトップに

今回の福島大会は、甲子園の名に違わず学生た

立ち、それを insecure と omakase が追う展開に

ちのひたむきさが感じられる大会だったと言える

大きな変化はなかった。点差が縮まる場面もあっだろう。決勝大会にも期待したい。

ボードゲームでインシデント対応のスキルを競う大阪大会もいたが、参加者の多くにとってインシデント対応における意思決定という作業は初体験だったにコンピューターを使わない異色の予選

違いない。
SECCON 大阪大会が開催されたのは福島大会の1 チームは 4 名で構成され、ゲームでは各メン翌日となる 11 月 8 日。会場はグランフロント大

バーが CIO（最高情報責任者）、CFO（最高財務責

阪 慶應大学大阪シティキャンパス。「CSIRT 演習」

任者）、CSIRT 担当者、広報担当者に扮する。参加と題された今大会は、インシデント対応における者は現実世界での自分とは異なる立場からインシ意思決定の過程をボードゲームで体験し、その内デント対応に関わることとなり、ゲームを通じて容をプレゼンで発表するというもので、SECCON

新たな視点や気づきなど何かしらのフィードバッ

史上初のコンピューターを使わない大会となっクを得ることができる。そして、これこそが運営た。

側の狙いの 1 つであり、大会名に「演習」をつけ加えた理由でもある。

他の地方大会と同様、今大会の優勝チームには2016 年 1 月に開催される SECCON 2015 決勝大会

ボードゲームの概要への出場権が与えられる。会場には日本各地から、社会人を中心に 15 チーム・60 名が集まった。決勝大会への切符を手にする目的で参加したチーム

今回の競技は、Web 通販会社の大手である A

も多く、中には業務として CSIRT に携わる人たち

社を舞台としたインシデント対応というシナリオ
5

「 自 社 Twitter ア カ ウ ン ト に Anonymous か ら 脅
迫 !」（青）「CIO が休暇！」（青）「CSIRT 担当者が休暇 !」（青）「ユーザーから不正購入があったと連絡 !」（赤）「自社を騙るスパムメールが大拡散」（赤）「自社サービスが応答不能 !」（赤）「ファイルサーバーのファイルが開けない !」（赤）「大手新聞で自社インシデントが掲載」（赤）「自社のインシデント情報が拡散 !」（赤）ボードゲームの様子に基づいて行われる。A 社はインターネット黎明

一方、アクションカードは以下のものなどがあ期より事業を開始し、現在でも大きな売り上げがる。アクションによっては費用がかかり、資産ポ

あるものの、セキュリティは置き去りになっておイントがマイナスになるものも含まれている。

り、脅威対策製品の導入も進んでいないという設「パスワードを変更する」

定なのだそうだ。

このゲームではボード上に「イベントカード」 「公的機関・外部機関に連絡する」と「アクションカード」という 2 種類のカードが「関係者に詳細をヒアリングする」

配置される。イベントカードは伏せられた状態で「対象機器を調査する」

置かれ、アクションカードは内容が表示された状「社員教育を行う」

態で並べられている。

「バックアップから正常なファイルを復旧する」「外から内への特定の通信を停止・遮断する」

また、ボードの左下には「資産ポイント」と「ブランドポイント」も配置されている。資産ポイン「社外向けサービスを停止する」

トとは被害に遭ったときの損害や対策にかかる費「セキュリティエキスパートを呼ぶ」

用のことであり、ブランドポイントは被害に遭「脆弱性にパッチを当てる」

うことによって低下する企業イメージを表してい「自社の公式見解を出す」

る。
イベントカードの例は以下のようになる。それ

ゲームはイベントカードを 3 枚引くところからぞれのカードにはイベントが発生したときに失う

スタートするが、公正を期すためにあらかじめ運

資産ポイントとブランドポイントが明記されてお営側によってシャッフルされたカードセットが配り、ポイントへの影響がない軽微なものは「青」。

布されている。このため、出てくるイベントカー

失うポイントが大きい深刻なイベントは「赤」とドの種類はチームによって異なる。青いカードだ

なっている。

けで済むこともあれば、赤いカードが同時に出て大きなダメージを被る場合もある。
各チームはこういった状況で、どのような対応「アドウェアを検知 !」（青）「着信したメールからウイルスを検知」（青）をするか協議して、使用するアクションカード 2「自社サイトに脆弱性報告」（青）枚を決定する。例えば、インシデント対応をより「管理ツールへの不正ログインを検知」（青）確実なものにするために「社外向けサービスを停「社員からマクロ付きファイルを開いたと連絡 !」止する」といったアクションカードを選択するこ（青）ともできるが、Web 通販企業である A 社にとっ「取締役のメールアドレスリストを紛失」（青）ては営業損失を招き、死活問題にもなりかねない。

「外部から自社サイトが改ざんされたと連絡 !」技術的な視点の他、経営的な判断も求められる場

（青）

面だ。
6

大阪大会の会場となったグランフロント大阪 慶應大学大阪シティキャンパスの様子

対応するイベントを選んでいくこととなる。

ゲームは 1 ラウンドにつき 40 分間で、これを3 ラウンド繰り返すが、それぞれのラウンドには

勝敗はプレゼンで決まる !

時系列的なつながりがある。また、アクションカー
ドはラウンドが終了するたびにリセットされ、新しいラウンドが開始される時にはすべてのカード

前述のようにチームごとに出てくるイベントが再度使えるようになっている。なお、プレイのカードは異なるため、ボードゲームのポイントだ

過程で資産ポイントもしくはブランドポイントがけでは運に左右されて優劣を決めることはできな

ゼロになってしまうと、その時点でゲームオーい。勝敗はゲーム終了後に作成されるプレゼンのバーとなる。

審査によって決定する。審査の基準は、インシデントの分析能力、アクションの妥当性、説明のわ

各ラウンドの終了時には、出たイベントカード

かりやすさなどだ。

の種類と選んだアクションカードを運営側に伝えることとなっている。同時に各チームは、出たイ

ただし時間の制約上、参加 15 チームの全てがベントカードをどのように分析し背後にどのようプレゼンを行うわけではなく、提出したアクショな脅威があると想定したのか、そしてどのようなン決定シートやプレゼン資料を元に予備審査が行理由からアクションカードを選んだのか、広報担

われ、上位 5 チームだけが会場でプレゼンを行う

当者が書記となり「アクション決定シート」と呼こととなっている。

ばれる書類に記入しておく。このアクション決定
インシデント対応を楽しむ参加者

シートは、ボードゲーム終了時に運営側に提出するとともにプレゼン作成のための資料となる。
これまでの説明を読むと、赤のイベントカード

現実世界のインシデント対応は、深刻だったが出ずに青ばかりが出てくるチームの方が有利だ

り、緊急を要するものだったりと、負のイメージと感じるかも知れない。しかし、発生するイベンがつきまとうものだが、ゲームとなれば話は別だ。

トが軽微なものばかりだと、インシデントを分析

競技が開始されると参加者はみな活発に議論を始する材料が乏しくなり、イベントの背後にある脅

め、会場全体が賑やかとなった。3 ラウンドを通威が見えにくくなってしまう。一方で、赤いカー

して多数の赤いカードが出るチームもあれば、赤ドが同時に出てしまい、2 枚のアクションカード

いカードが全く出ずに逆に頭を抱えるチームなど

では対応しきれない状況となる可能性もあるが、状況はそれぞれだ。また、インシデント対応を進

この場合もチーム内で協議を行い、より優先的にめる中で生じた疑問はゲームマスター（実行委員）
7

に質問できる。
勝敗の行方は ?

どのチームもゲームを楽しんでいる様子で、おそらく 1 ラウンド 40 分間という時間が短く感じ

5 チーム分のプレゼンの紹介は紙幅の都合もあられたに違いない。
ボードゲームが終了すると、各チームはアクり割愛させていただく。ここでは、入賞した 3 チーション決定シートおよびプレゼン資料を作成すムについて、順位とあわせて筆者の個人的な感想る。与えられた時間は 30 分間。その後、運営側を書かせていただく。

による予備審査が行われたが、審査をパスした 5組のチームは以下のとおりだ。

・第 1 位「NW」

・indo8メンバーも含まれる強豪だ。ゲーム中で出てきた・NW

イベントカードの内容から「自社の Web サイト

・binjaが改ざん、マルウェアが設置され、水飲み場攻撃

・Bremenに利用される」というシナリオが浮かび上がって・Ganbare Tigers Jr.

くる。

このチームは業務として CSIRT に携わっている

NW は、ゲーム序盤に出てきたイベントカード
これはチームの番号順による並びで、プレゼンの端的な事象から、的確にこの脅威を推測した。

もこの順番で行われる。各チームの持ち時間はプ

また、ポイントの減少を最小限に留めるアクショ

レゼンが 5 分間、質疑応答が 5 分間、あわせてンを決定するなど、適切な対応をしているように

10 分間となっている。

思われた。また、プレゼン資料の質も高く、短時間で作成したとは思えない出来栄えで、優勝もうなずける。

運営側はどんな脅威を想定していたのか ?

・第 2 位「binja」

出てくるカードの違いによって各チームが経験したイベントが異なるため、話の順序は入れ替わ

記事中で青いカードしか出てこないチームは不るが、先に運営側が想定していた脅威について紹利と記したが、まさしく binja がこの状態だった。

介しておこう。

イベントカードから得られるヒントは他のチーム

インシデントは社内の OA 環境に起因するものに比べて少なかったが、運営側が想定した「Webと社外的なものの 2 つに大別できる。前者には「暗サイト改ざんとマルウェア設置による水飲み場攻号化型ランサムウェアの感染」や「外部からの通撃」を当てたことは称賛に値する。
また、アクション方針の立て方も見事で、事実報によって発覚した内部情報の漏えい」、「標的型確認（報告者は信用できるのか ?）や、CSIRT 担攻撃のバックドアの感染」などだ。
一方、後者は「自社を騙るスパムメールの拡散」

当者不在時の対応など、細かな点にいたるまで配「自社 Web サイトの改ざんおよびマルウェアの設慮が行き届いている印象だった。優勝した NW と置」「DDoS 攻撃による自社 Web サイトのダウン」の違いを挙げるとすれば、技術的な解決に注力し、などで、どの脅威も現実世界で話題になっている

資産やブランドイメージへの配慮がやや足りなものばかりだ。

かったところだろうか。

また、セキュリティを取り巻く昨今の状況にお・第 3 位「Bremen」

いては、「メディアによる報道」や「SNS での自赤いイベントカードが多く出て苦戦した様子

社へのネガティブ発言の拡散」なども対策すべきだったが、このチームも「Web サイト改ざんとマ

重要な課題だとしている。

ルウェア設置による水飲み場攻撃」を推測した。
ただし、事象の分析やインシデント対応の方針
8

については、上位 2 チームと比べてしまうと、掘り下げ方がやや足りない印象だった。
また、プレゼン冒頭をお詫びの記者会見風に演出したことで時間を取ってしまい、プレゼン自体
が途中で時間切れになってしまったのは残念だった。
優勝チーム「NW」へのインタビュー
見事優勝を果たした「NW」チームに話を伺った。
実際に CSIRT に携わっている人がこのボードゲー

見事優勝を果たした NW

ムをプレイしてどのような印象を持ったのだろう

るブレインストーミングの道具として、新入社員

か。

などがプレイするのがよいだろうと語ってくれた。

NW によると、ゲームでは CIO・CFO・CSIRT・広報と役割が決められていたが、議論が進むにつ

今回の大会はコンピューターを使わない異色なれて、本業の CSIRT メンバーの立場として意見をものだったが、それでもセキュリティについて多述べてしまったと感想を語ってくれた。
また、このゲームがインシデント対応を学ぶにくのことを学べる機会だったように思われる。こあたって役に立つかという質問に対しては、リスのボードゲームが SECCON だけに限らず、より多クマネージメントの考え方がうまく取り入れられくの人たちにプレイされるようになることを願いていると回答。同時にセキュリティについて考えたい。

9

PacSec 2015 レポート
取材 + 文 = 斉藤健一
ハックする方法」。KIOSK 端末などに接続された最先端のハッキング技術がバーコードスキャナーに、Windows コマンドを披露される PacSec

記した悪意あるバーコードを読み込ませて端末を乗っ取ってしまうというものだ※ 1。使用するバー

国際的な情報セキュリティカンファレンスであ

コードは最も普及している「CODE128」というる「PacSec 2015」（以下 PacSec）が、本年 11 月

規格。当初は、印刷したバーコードを順番に読み

11 日・12 日の 2 日間にわたり、東京・青山ダイ

込ませていたが、E-ink ディスプレイを採用した

ヤモンドホールにて開催された。主催はカナダのKindle であれば、紙と同様スキャナーに読み込まdoragostech.com で、同社はカナダで開催されるせることが可能だとわかったそうだ。講演ではデ「CanSecWest」、欧州で開催される「EU-SecWest」、

モも行われ、あらかじめ Kindle に保存したバー

アルゼンチンで開催される「BA-CON」も主催しコードをページめくりで次々にスキャナーに読みている。

込ませ、端末の乗っ取りを行った。余談だが、講PacSec は 2003 年にスタートし、今年で 13 回

演タイトルにある宇宙船とは、「スタートレック」

目の開催を迎える。その特徴はセキュリティに関の USS エンタープライズ号を指している。マ氏にする最先端の技術に焦点を当てた講演が多いこ

よれば、映画シリーズの一作でブリッジの機器のとだ。主催のドラゴス・ルジュ氏（doragostech.

1 つとしてバーコードリーダーが使われていたのcom）は技術者出身であり、最先端の技術に触れだそうだ。

ることが好きなのだという。そしてカンファレン

次に紹介するのは「プラットフォームの中に隠スを通じて、より多くの技術者に最先端に触れてされた危険」と題された講演を行ったインテル社

ほしいと願うとともに、日本の技術者と海外技術のミッキー・シュカトフ氏とジェシ・マイケル氏だ。

者との交流の場にしたいと考えているのだそう

彼 ら は 2014 年 の DEFCON で「Bad USB」 に 関 すだ。

今年の PacSec は、試験的に参加料金を半る講演を行っており、その内容は本誌 Vol.4 ※ 2 に額にまで値下げしたこともあり、例年の 1.5 倍、

おいて紹介している。このときの研究は PC 内部

約 150 名の参加者が集まった。他のカンファレンにある USB コントローラーを悪用するものだった

スと比較して外国からの参加者が多いのも特徴のが、今回の講演も PC 内部にあるさまざまなコン

1 つだ。

トローラー（チップ）に対する悪用の可能性を探るというものだった。彼らによれば、多くのコン

さまざまなものがハッキングの対象にトローラーはファームウェアの改ざんをチェックする機能を持たないため、ファームウェアのアッ講演の中から筆者が気になったものを簡単に紹

プデートを装った悪意あるプログラムを仕込むこ介しよう。まずはハイパーケム・マ氏（Tencentとが可能だという。講演ではファーウェイ社の社）による「バーコード : 一片の紙片で宇宙船をLTE モジュールを例に挙げた。このモジュールは※ 1 バーコードを読み取るだけでシステムがハッキングされるかも

http://www.gizmodo.jp/2015/11/post_20208.html※ 2 HISYS Journal Vol.4 http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201412.pdf

10

MobilePwn2Own で Chrome ブラウザーの脆弱性を報告したグァ
PacSec を主催するドラゴス・ルジュ氏

ン・ゴン氏

内部で Linux が動いており、攻撃が容易だったと器がリストに追加され、今年 5 月には米国商務省

いう。攻撃が成功すれば LTE モジュールから PC

産業安全保障局（BIS）が規定の変更を提案していの BIOS を変更できるという。また、悪意のプロた。

グラムが仕込まれたモジュールでは、たとえ PC

このような況の中、ZDI は東京で開催したコンを機内モードにしていたとしても通信が可能なのテストの結果を米国に持ち帰ることが WA に抵触だそうだ。

することを懸念し、スポンサーから降りることを決定した。
こうした経緯もあり、今年の MobilePwn2Own

2 件の脆弱性が報告されたは規模を縮小する形で開催されたが、2 件の新たMobile Pwn2Own

な脆弱性が報告された。1 つはスピーカーの 1 人
PacSec で は、2013 年 か ら カ ン フ ァ レ ン ス とでもあるグァン・ゴン氏（Qihoo 360）が報告し並行し「MobilePwn2Own」という脆弱性発見コたもので、会場でデモを行った。箱から取り出し

ンテストも開催されている。これまで、Internet

た新品の Nexus6 に最新のアップデートを適用しExplorer・Chrome・Firefox といった主要 Web ブ

た上で、ゴン氏が用意した悪意ある Web サイト

ラウザーや iPhone・Nexus シリーズ・Galaxy シにアクセスすると、ユーザーの同意なしに任意

リーズといった最新のモバイル機器を対象に、さのアプリが勝手にインストールされてしまうと

まざまな脆弱性を発見してきた歴史がある。また、いうものだ。これは Chrome ブラウザーを介し

このコンテストは、米ヒューレット・パッカーて JavaScript V8 の脆弱性を突いたものだといい、

ド（HP）の脆弱性リサーチ部門である ZDI（Zero

Android 5.1/6.0 に影響があるのだそうだ ※ 3。すDay Initiative）がスポンサーとなり、発見されたでに「CVE-2015-6612」として報告されているが、脆弱性に対して高額な報奨金が支払われることで原稿を執筆している 12 月 22 日時点において、修も知られている。

正パッチはいまだ公開されていない※ 4。

だが、今年のコンテストでは ZDI のスポンサー

そしてもう 1 つは、ダニエル・コマロミー氏とドは実現しなかった。理由は米国内で議論されてニコ・ゴルデ氏による報告。こちらも箱から取りいるワッセナー・アレンジメント（以下 WA）に出した新品のサムスン Galaxy S6 Edge に最新の起因する。WA とは、通常兵器の輸出を管理する

アップデートを適用したものを利用する。この端国際的な協約。軍需品と汎用品（民生用にも軍需

末を電波が遮へいされた部屋に持ち込み、彼らが用にも使える品）、およびその技術の輸出をリス用意した SDR（Software Defined Radio：ソフト

トに基づいて管理しているが、昨年にサイバー兵

ウェア無線）で構築したニセ基地局に接続させ、※ 3 「Chrome」ブラウザにゼロデイ脆弱性 -- 多くの「Android」ユーザーに影響する可能性		

http://japan.zdnet.com/article/35073617/※ 4 CVE-2015-6612

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-6612

11

初日の公演後に行われた記者会見で撮影したスピーカーの集合写真

ベースバンドのファームウェアを書き換えてしま

入国審査でのリスクは高くなる。入国審査時に渡うというものだ。そして、いったんファームウェ

航者に対して暗号化した HDD の復号を求めてく

アが書き換えられてしまうと、どの番号に発信しるような国では、リスクはさらに高くなる。脆弱

たとしても、彼らが所有する端末宛てとなってし性に関する情報以外にも、自らの個人情報を含め

まうのだそうだ。彼らは着信を VoIP で本来の発たデータを守る必要が出てくるだろう」と答えた。

信先へと転送することもできる。つまり、中間者

また、WA 加盟国と非加盟国がある現状に触れ「イとして盗聴できるようになるというものだ。なお、

ンターネットの軍事利用が本格化し、脆弱性のサ

この脆弱性はブラックベリー社のセキュリティ

イバー兵器への転用も話題となっている。その輸チームを通じてサムスンへの報告を行ったとのこ

出を規制するという WA の理念は理解するが、一と※ 5。

方で非加盟国では情報を自由に共有できるのも事実。これはかなり危険なのではないかと考えている」とも回答した。

セキュリティ研究者の情報共有に続いてジェームズ・フォーショー氏（Google

影響を及ぼすワッセナー・アレンジメント

UK）は英国の状況を次のように述べた。「英国でPacSec 初日の公演終了後、スピーカーが一堂にはコンピューターの不正使用に関する法律があ会して記者会見が行われた。世界各国からセキュり、従来は悪意がなければ脆弱性を探す行為に法

リティ研究者が集まる機会ということもあり、的責任を負うことはなかった。しかし、WA によっ

WA が及ぼす影響について質問してみた。セキュて法文から悪意の部分が削除されることとなっリティ研究者の国際的な情報共有に影響が出るとた。研究者は自分自身の行為が合法なのか違法な言われる一方で、影響は少ないと考えている日本のか、その線引きが見えにくくなってしまった」のセキュリティ研究者も多いという。海外の研究

また、ドラゴス・ルジュ氏は「MobilePwn2Own

者は WA について、どのように考えているのだろのようなコンテストに関して言えば、報奨金がうか。

あった昨年は、サイバー兵器に転用できるレベル

最初に発言したのはリチャード・ジョンソン氏の脆弱性が 4 ～ 5 件発見されたが、今年のコンテ（CISCO）。「大きな影響を受けるのは研究者。例え

ストは全く違うものになってしまった。これも影ば、カンファレンスへの参加などで海外に渡航す

響の 1 つだと言える」と語った。
さ ら に、 ジ ョ シ ュ・ ラ イ ダ ー 氏（AppNexus）

るとしても、WA では輸出を規制しているので、※5

PacSec 主催者ドラゴス・ルジュ氏の Gllgle+

https://plus.google.com/103470457057356043365/posts/D7sgXinCZ

12

は「WA の影響によって、われわれ研究者が置か全体像を把握するのは難しい。米国を例に挙げれれている状況が 15 年～ 20 年前へと戻ってしまば、商務省による草案は「ゼロデイ」といった定

うのではないかと懸念されている。当時、研究者

義があいまいな言葉が多く使われており、解釈にが企業製品の脆弱性を表立って発表するのは困難

混乱を来しているのだという。議論の中で、セキュだった。というのも当事者の企業が研究者に対しリティ研究者の今後の活動に支障が出ないよう一て圧力をかけていたからだ。しかし、これまでの定の配慮が望まれる。

歴史を振り返れば、研究者を押さえつけてもよい
結果につながらないのは明らかだ。今後さまざま

記事後半では WA の話題が長くなってしまったなところで、さらなる影響が出るだろう」と警鐘

が、PacSec の模様をご紹介した。冒頭でも記しを鳴らす。

たとおり、このカンファレンスは最新のハッキン

このように悲観的な意見が相次ぐ中、WA 管理

グ技術に焦点を当てているので、Exploit などに興下で情報を共有する手段についても質問してみた味を持つ技術者にお勧めだ。おそらく 2016 年もが「考えられるのは、発見した脆弱性を自国にお開催される予定なので、気になった方は参加していてオープンソースで公開すること」（ジョンソ

海外の研究者たちと交流してみてはいかがだろう

ン氏、フォーショー氏）という回答だった。

か。

WA は加盟国によって事情が異なるため、その13

ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#14 セキュリティの分野で各組織が協調するために知っておくべき重要なこととは？
文 = エル・ケンタロウ
言葉の定義について考えてみたい。
関心が高まるサイバーセキュリティ
・セキュリティの目的：資産の保護、資産価値の保全

しかし人々の解釈には違いも（Protect the Asset）
今年もセキュリティ業界を騒がせる事件が次々と起

セキュリティの目的は資産（Asset: アセット）と考えこった。例えば、125 万件もの個人情報が漏えいしられる要素を守ることを目的としている。有形資産とた日本年金機構の事件は業界だけにとどまらず多くのは一般に金銀宝石などを指すが、企業ネットワークに人々から注目を集めた。また、SSL/TLS の脆弱性であ

おいてはデータベースやホストサーバー、ネットワーク、る「FREAK」のようにインターネットの根幹を揺るがす

人員なども有形資産だと考えられる。また、企業の脆弱性も明るみとなった。その一方で、脅威インテリ

機密情報や個人情報、そして社会的な評価は無形資

ジェンスの可視化や機械学習のセキュリティ分野への産であり、有形資産と同様に重要である。
セキュリティとはこのように有形無形にかかわらず何応用など、脅威対策においても着実に前進した1年だっらかの価値を持つ資産の保護、資産価値の保全を目たと言えるだろう。
日本では 2020 年の東京五輪を控えサイバーセキュ的としている。重要なのは、守る物（資産）がなければ、リティが社会全体の課題となり、政府機関・セキュリ

脅威も脆弱性もリスクも存在し得ないという点である。

ティベンダー・ユーザー企業の CSIRT など、さまざま
・脅威／脅威主体（Threat/Threat Actors）

組織間の連携がこれまで以上に求められることとな

セキュリティとして考慮しておくべき脅威にはさまざる。
ここ数年、筆者もさまざまな組織の方と意見交換

まなものがある。悪意を持った主体（攻撃者）によるをする機会を持ってきたが、しばしば違和感を覚える

故意の脅威は、攻撃者が資産を標的として意図的にことがある。その要因はさまざまだが、特に気になる行動を起こすものなので、容易に理解できる。しかし、のが「資産」「脅威」「脆弱性」「リスク」といった用見落としがちな点として人為的なエラーなどによって、語が示す事柄の食い違いによるものだ。

結果的に資産に対して負の影響が及ぶ事態が発生する可能性も脅威として考えなければならない。

2016 年に向け気持ちを改める意味もこめて、今一
度これらの言葉について考えてみたい。今年 8 月に投「故意による脅威」「過失による脅威」、この 2 つは稿された ICANN のブログが参考になる※ 1。この投稿

共にサービスの停止、情報の漏えい、人に危害を与えは、日々変わり続けるサイバーセキュリティの世界で、る可能性をはらんでいるが、脅威単独では資産に対し言葉の定義がさまざま方向に独り歩きを始めている現て負の影響を与えることはできない。つまり、目的を状を指摘し、誤解されることのないよう、一度立ち止持った主体（人・組織・グループ）が起こす行動（過まり見つめ直す機会として書かれたものだ。

失の場合は行動起こさなかったことも考えられる）に
よってはじめて具現化する。
「情報技術セキュリティ評価のためのコモンクライテ

それぞれの用語は相互に関連しているリア」では脅威そのもの、脅威源、脅威主体者と細かく定義している※ 2。

以下、ICANN のブログを踏まえつつ、それぞれの14

トウェアのこと指すことが多いが、ソーシャルエンジニ

・脆弱性（Vulnerability）
脆弱性とは資産の保護・防衛を目的とした対策に欠アリングや詐欺行為なども厳密にはエクスプロイトで陥があることを示す。ISO などの国際標準化規格では、ある。よってすべてのエクスプロイト行為をハッキング

このような脅威対策のことを「コントロール（管理策）」と呼ぶことは必ずしも正しいとは言えない。

と呼んでいる。コントロールの欠陥などによって脆弱・リスク性が生まれ、資産は負の影響を受ける可能性が出てくリスクの定義は状況や環境などコンテキストによっる。
脆弱性は、OS やアプリケーション・ハードウェアとてさまざまなものが考えられるが、今回のケースで言いった技術的な側面のみならず、人為的な要素も含ん

えば、リスクとは「脅威主体が脆弱性をエクスプロイトでいる。例えば、アンチウイルスソフトを導入していすることで起こる、資産の損失・破壊、もしくは資産ない PC を使用している場合、PC 内に保存されていへの損害の可能性」ということになるだろう。

る情報資産はマルウェアなどの危険な脅威に対して保言い換えれば、「資産を標的として、セキュリティ要護されていない危険な状況に置かれることとなる。し因（コントロール）の欠陥が生む脆弱性を攻撃するエ

かし、対策としてアンチウイルスソフトをインストール

クスプロイトを使用する攻撃主体が存在する」というしたとしても、ユーザーがウイルス定義ファイルなどのリスクが存在するとも言える。また事案によっては、更新を怠ったとしたら、危険な状況に変化はない。よっセキュリティの一環として発生した事態の影響を想定て情報資産を守ることを前提とした対策に欠陥があ

内・許容範囲内にとどめるための対策を考える必要もり、脆弱性は存在し続けることとなる。

あるだろう。

同様に技術的な対策がなされていても、ユーザー組織間の連携を進めるためにに対してセキュリティ意識の向上を働きかけなければ、
ソーシャルエンジニアリングなどによって情報資産は

今回は、あえて言葉の定義について触れてみたわけ

危険な状況に置かれ、またも脆弱性が存在することだが、重要なのは各要因は相互に関連しており、単独になる。
アメリカ国立標準技術研究所（NIST）はさまざまなで存在しているわけではないという点だ。極端な例を文章で ITC 関連の脆弱性に関して以下のよう に定義し挙げれば、アンチウイルスソフトがインストールされて

※3

ている

いない PC であったとしても、機密情報などの無形資。

産がなく、物理的に隔離された場所に設置されてい脆弱性：脅威対策手順・設計・実装（もしくは内部コ

れば、脆弱性は存在しないということとなる。これにントロール）に、
故意（または過失）によって生じるセキュ

より、脅威もエクスプロイトもリスクも存在しないこと

リティ損害（あるいはセキュリティポリシーに違反するとなる。
今後、ベンダー・ユーザー企業・政府機関・CISRT事態）をもたらす欠陥もしくは弱点。

などの組織がさまざまな局面で協調するにあたり、このような言葉の定義の一致や理解の一致は重要にな

・エクスプロイト（Exploit）

ると言えるだろう。

エクスプロイトとは、脆弱性を利用して資産を侵害し資産の窃取、管理権限の奪取などを目的としたソフ※ 1 Threats, Vulnerabilities and Exploits – oh my!

https://www.icann.org/news/blog/threats-vulnerabilities-and-exploits-oh-my※ 2 情報技術セキュリティ評価のためのコモンクライテリア

https://www.ipa.go.jp/security/jisec/cc/※ 3 CREATING A PATCH AND VULNERABILITY MANAGEMENT PROGRAM
		

http://csrc.nist.gov/publications/nistpubs/800-40-Ver2/SP800-40v2.pdf●参考 URL
Threat vs Vulnerability vs Risk

http://www.digitalthreat.net/2009/06/threat-vs-vulnerability-vs-risk/

15