CCDS〜攻撃者視点IoTハッキングコースのご紹介〜

一般社団法人 重要生活機器連携セキュリティ協議会
株式会社マストトップ

Copyright MASTTOP, INC. Proprietary1１．攻撃者視点IoTハッキングコース実施概要

Copyright MASTTOP, INC. Proprietary2

攻撃者視点IoTハッキングコース概要
これまでに実施した「CCDS指定検査資格講習」のプログラムメニューを⾒直し、名称を「攻撃者視点IoTハッキングコース」へと変更致しました。IoT
機器に対するハッキング技術を基礎から学ぶことが可能なプログラムとなっております。
また従来の「CCDS指定検査資格講習」の内容も、本プログラムには含まれておりますので、本コースを修了することで、従来通りCCDS指定資格試験の受験資格も得られます。
１）各講習プログラムは講義＋実習をセットとした演習形式で構成しており、受講後も継続的に実践可能なプログラム内容となっております。
２）製品・サービスの脅威分析や、対策⽴案、リスク評価等が包括的に含まれるプログラムであり、CCDSのマーク取得に留まらず、対策すべきセキュリティ課題を総合的に検討することが可能です。
３）オープンソースのセキュリティ検証ツールを使用し、ハッキングの実施手順や結果の分析⽅法など、基礎的な内容を理解することが可能です。
４）Wi-Fi無線ルータや疑似スマートホーム環境を使用し、非常にリアルな環境でハッキングの実践を⾏うことが可能です。
５）講義、実習のいずれもオンライン環境を利用し、リモートでの受講や、受講後の復習が可能です。
Copyright MASTTOP, INC. Proprietary

3

実施要項
・募集期間︓別紙、募集要項参照
・講習開催予定︓別紙、募集要項参照
・講習プログラム－90分×１２コマの講習プログラムを実施（詳細後述）
・開催場所︓－オンライン受講（詳細は別途ご案内致します）
・募集人数︓１０名（上限）、最⼩開催人数︓６名
・受講費用︓①CCDS幹事・正会員 割引価格
・幹事会員︓20万円／1名
・正会員 ︓25万円／1名・一般会員︓30万円／1名（検査資格登録不可）②2名セット割引価格
・幹事会員︓35万円／2名
・正会員 ︓45万円／2名
Copyright MASTTOP, INC. Proprietary4プログラム概要
・脅威分析＞基礎＞実践と、段階を追って修得していくプログラム構成。
・ツールや実機を使った実習と、講義がワンセットとなった実践的な演習スタイル

１日目

脅威分析コース︓90分×４講座

・脅威分析や対策⽴案、リスク分析の実践︓講義＋実習
・セキュリティ検証環境の環境構築︓講義

2日目

ハッキング基礎コース︓90分×４講座

・セキュリティ検証環境の環境構築︓講義
・セキュリティ検証ツールのオペレーション演習︓講義＋実習
・セキュリティ検査のポイント︓講義

3日目

ハッキング実践コース︓90分×４講座

・疑似スマートホーム環境に対する演習（１）〜（４）︓実習

Copyright MASTTOP, INC. Proprietary5プログラムメニュー①
︓１⽇目

︓2⽇目

︓３⽇目

講習テーマ

No.

形式

時間

P1

【ステップ1】IoT機器に対する脅威分析の実践

講義・
実習

90分

P2

【ステップ1】想定脅威に対するセキュリティ対策の⽴案

講義・
実習

90分

P3

【ステップ２】リスク値の算定とリスク対応の原則

講義・
実習

90分

P4

【ステップ３】検査環境の構築

講義

90分

講義

90分

P5

〜脅威の抽出やCCDS-STRDEモデルによる分類⽅法の理解〜セキュリティ対策の概要と対策フレームワークの活用〜CVSSを用いたリスク値の算定とリスク対応⽅針の検討〜Linux環境によるセキュリティ検査ツールの環境構築⽅法【ステップ３】OSS検証ツールのオペレーション手順と結果分析①〜OSS検証ツール４種を対象に、使用手順や解析手法の理解

P6【ステップ３】OSS検証ツールのオペレーション手順と結果分析②〜OSS検証ツール４種を対象に、使用手順や解析手法の理解

講義・
実習

90分

P7

【ステップ３】OSS検証ツールのオペレーション手順と結果分析③〜OSS検証ツール４種を対象に、使用手順や解析手法の理解

講義・
実習

90分

講義

90分

【特別講習】セキュリティ検査の実施におけるポイント

P8〜CCDSサーティフィケーションプログラムの概要〜CCDSが定義するIoT機器セキュリティ要件と国内外セキュリティ基準の対応

Copyright MASTTOP, INC. Proprietary6８プログラムメニュー②
形式

時間

P9

【ハッキング演習】
疑似スマートホーム環境に対する演習と実践（１）〜侵⼊・攻撃経路のプラン策定

講義・
実習

90分

P10

【ハッキング演習】
疑似スマートホーム環境に対する演習と実践（２）〜CTFによるハッキングトレーニング①

講義・
実習

90分

P11

【ハッキング演習】
疑似スマートホーム環境に対する演習と実践（３）〜CTFによるハッキングトレーニング②

講義・
実習

90分

P12

【ハッキング演習】
疑似スマートホーム環境に対する演習と実践（４）〜CTFによるハッキングトレーニング③〜ハッキングトレーニングの総括

講義・
実習

90分

No.

講習テーマ

Copyright MASTTOP, INC. Proprietary7プログラムメニュー③
•
No.

SP1

下記のプログラムメニューについては、オンラインによる自習形式にて受講可能となります。
講習テーマ
共通要件の内容説明と検査手法の解説と実践〜共通要件11項目の内容と、検査手法や合格基準の理解

Copyright MASTTOP, INC. Proprietary

形式

オンライン
講義（自習）

時間－8

演習環境のご紹介
・演習/検査ツールと、検査対象となる疑似IoT機器をRaspberryPIにより、一体化した構成。
・各受講者にリモート環境を開放し、ツールを使った実習が可能。
RaspberryPI①
Wi-Fi GW
赤外線リモコン受信センサ基板

RaspberryPI②
疑似スマート家電
RaspberryPI③
疑似 ウェブカメラ

検査
RaspberryPI④
演習・検査ツール
Copyright MASTTOP, INC. Proprietary9２．CCDS指定検査資格試験

実施概要

Copyright MASTTOP, INC. Proprietary

10

CCDSが提供する講習の役割
CCDSサーティフィケーションプログラム
メーカによる自主検査専門業者による第三者検査

セキュリティ要件に対する適合検査が必要■課題
・IoTセキュリティ人材の不⾜・適合検査基準・手順の共通認識

CCDS人材育成プログラム〜攻撃者視点IoTハッキングコース〜〜
CCDSとして、検査基準の共有とスキル修得を支援
Copyright MASTTOP, INC. Proprietary11資格取得とマーク申請までのフロー

指定検査資格者の認定

マークを取得したい

セキュリティ検査の受託

IoT機器開発/販売企業

検査事業者⇒自主検査には指定検査資格者が在籍⇒第三者検査には指定検査資格者が在籍①CCDS指定検査資格講習※の受講※名称「攻撃者視点IoTハッキングコース」へと変更②CCDS指定検査資格試験に合格③CCDS指定検査資格として登録

マーク申請

CCDSサーティフィケーションの要件に対するセキュリティ検査の実施
Copyright MASTTOP, INC. Proprietary

12

IoTハッキングコースの位置づけ
・攻撃者視点IoTハッキングコースは、CCDSの認定を受けたセキュリティ人材育成プログラムであり、CCDSサーティフィケーションマークの取得申請に必要な検査手順・手法の知⾒や技術についても習得できる内容です。
・検査資格に有効期限はありませんが、毎年のサーティフィケーションのセキュリティ要件の改定に伴い、別途追加講習の受講による更新が必要となります。

①攻撃者視点IoTハッキングコース（効果測定で全教科70点以上の取得）⇒検証に必要な知識の習得と確認
自動⾞免許で⾔えば… 学科試験

②CCDS指定検査資格試験

両⽅揃ってはじめて資格登録となります⇒実際に検査を実⾏することができるか
自動⾞免許で⾔えば… 路上試験
Copyright MASTTOP, INC. Proprietary13

試験の目的• CCDSサーティフィケーションプログラムにおける、IoT機器共通のセキュリティの11要件（以降、CCDS11要件）を検証できるスキルを持ち合わせているかどうかを確認する• 試験⽅針– CCDS11要件を理解していること– CCDS11要件をチェックする手段を理解していること– 実際に脆弱性検証ツールの操作ができること（nmap, aircrack-ng, THC-Hydra, OpenVAS, Wireshark等）– 脆弱性検証手法を理解していること（脅威分析、検証内容策定、検証の実施、報告書作成）

Copyright MASTTOP, INC. Proprietary14

受験申請から検査資格登録までの流れ
資格講習の合否発表・受験の申請

試験の受験• 資格講習の受講が• 受験申請シートに• CCDS目⿊事務所• 合否は2週間以内

当試験受験の要件記⼊の上、CCDSにて試験を受験しを目処に受験者へです

事務局までお申します

通知します

受講込みください

登録• 合格者には、登録番号を発⾏し、登録証を作成・発送しますCopyright MASTTOP, INC. Proprietary

15

実施⽇程・受験手数料・申し込み⽅法等• 実施⽇程︓順次開催中（事前予約性）※CCDSから対応可能なスケジュールを告知しますので、受験者の⽅がご希望の⽇程を選択いただける形となります。

• 試験時間︓時間制限240分※完了した時点で退席可能です• 受験手数料︓1回 5,000円• 試験会場︓CCDS東京事務所（東京都品川区上大崎2-12-1 野田ビル3F）• 申し込み⽅法︓CCDS会員向けに別途アナウンスします★詳細については後⽇アナウンス致します。
★過去に資格講習を受講された⽅へのフォローアップ講習も開催しています。
Copyright MASTTOP, INC. Proprietary16

試験の流れ
試験内容確認

学科試験（２０問）• 試験内容や合格基準の確認• 指定検査資格者
講習の効果測定から出題された
２０問を回答

実技試験（５問）• 脅威分析、検査計画・実施、レポート作成に分類される問題５問を回答

資料提出• 実技試験の設問で要求される資料を提出※１．受講生が使用する検証実施用機器として、検査資格講習で使用した機器を提供します※２．試験時間は最大240分としていますが、学科試験・実技試験の時間配分は自由です

Copyright MASTTOP, INC. Proprietary

17試験時の受講生への配布資料• 試験概要– 配布資料１）試験概要・設問– 配布資料２）検証対象機器の取扱説明書（簡易版）• 各種テンプレート– 検査用様式１）IoT分野共通セキュリティ要件検査ガイドライン_ヒアリングシート※ヒアリング結果を記載済み– 検査用様式２）CCDS_共通セキュリティ要件検査手順書・結果表– 試験用様式１）脅威分析表・検証計画– 試験用様式２）脆弱性レポート

Copyright MASTTOP, INC. Proprietary18

試験内容・合格基準• 試験内容– （学科試験）CCDS指定検査資格者講習の効果測定テストの中から20問を出題– （実技試験）CCDS11要件に関する5問の問題を出題• 受験者は、ツールを用いた検証を通して回答を作成• 合格基準– 学科試験、実技試験共に９割以上正解すること– 各書類を提出すること• 実技試験の各設問で要求される回答資料※提出資料は設問ごとに異なります

Copyright MASTTOP, INC. Proprietary19

試験に関するFAQ■この試験に合格すると何ができるようになりますか︖◆合格者はCCDS共通要件のマーク申請に伴う検査（メーカによる自主検査、メーカから委託を受けての第三者検査）およびマーク申請の代⾏ができるよ
うになります■資格講習を受講してから要件等の変更があった場合はどうなりますか︖◆前回受講時からの変更部分・差分については適宜フォローアップします◆フォローアップの⽅法については以下を予定しています• 資格講習受講者専用のメーリングリスト、情報公開ページ• 資格講習受講者に向けたオンライン説明会の実施■資格講習の受講が受験の要件とありますが、受験資格の有効期限はありますか︖◆当試験制度開始から1年間とし、それ以降は受講から1年間とする予定です。

■受験時には資料を持ち込んだり参照してもいいでしょうか︖◆はい、資料の持ち込みやWeb検索は可能です。
ただし、他の人への相談等は許可していません。

Copyright MASTTOP, INC. Proprietary20年度別の受講者・合格者数
・2022年現在までに、59名が講習を受講（修了）・25名が指定検査資格者として登録（合格）済み
年度

講習受講者数資格試験 受験者数

資格試験 合格者数

2019年度

19名

5名

5名

2020年度

28名

18名

14名

2021年度

12名

7名

6名

2022年度20名（募集枠）－－

Copyright MASTTOP, INC. Proprietary21