セキュリティキャンプの11年サイバー大学

IPA

園田道夫

自己紹介• サイバー大学IT総合学部教授

• 独立行政法人情報処理推進機構（IPA）研究員

• NPO日本ネットワークセキュリティ協会（JNSA）研究員

• 経済産業省、IPAなど主催、セキュリティ（＆プログラミングキャンプ）企画、講師、実行委員

• 白浜サイバー犯罪シンポジウム危機管理コンテスト審査委員

• 2008年、経済産業省商務情報政局長表彰を受賞

• SECCON実行委員

• 2012年、SecureAsia@Tokyo 2012にてsenior information security professionalとして表彰

• 総務省情報セキュリティアドバイザリーボードメンバー

• 北海道地域情報セキュリティ人材育成推進事業検討委員

• 主な関係書籍「ファジング」「ハニーネットプロジェクト」「実践パケット解析第一版」「実用SSH第二版」「暗号技術大全」「Snort2.0侵入検知」「アクセス探偵IHARA」「アクセスガール明日香危機一髪」「企業情報ネットワークの保護管理」「先生とパソコン」「Winnyはなぜ破られたのか」等

2

セキュリティキャンプ

•2004年スタート•主催：セキュリティキャンプ実施協議会、情報処理推進機構•共催：経済産業省、後援：文部科学省•8月中旬に幕張にて開催、4泊5日の合宿研修•セキュリティどっぷり•行き帰りの旅費、宿泊費、食費タダ！•超一流の講師陣

セキュリティ甲子園

•幻の企画

• U-20向けCTF

•一位副賞はカーネギメロン大学への留学

•朝日新聞一面「ハッカー甲子園」→抗議多数•→CTFは開催中止→企業見学会として開催

セキュリティキャンプ実施協議会• (ISC)2 Japan

• 株式会社アズジェント

• 株式会社イーセクター

• 伊藤忠テクノソリューションズ株式会社

• 株式会社インテリジェントウェイブ

• SCSK株式会社

• エヌ・ティ・ティ・コミュニケーションズ

株式会社

• 株式会社エヌ・ティ・ティ・データ

• 株式会社オービックビジネスコンサルタン

ト

• グーグル株式会社

• 株式会社サイバーエージェント

• サイボウズ株式会社

• 株式会社セキュアソフト

• ソニー株式会社

• トレンドマイクロ株式会社

• 一般財団法人日本情報経済社会推進協会

（JIPDEC）

• 一般社団法人日本情報システム・ユーザー

協会

• 日本電気株式会社

• 日本電信電話株式会社

• 株式会社野村総合研究所

• パナソニック株式会社

• 株式会社日立製作所

• 富士通エフ・アイ・ピー株式会社

• 株式会社三菱総合研究所

• 三菱電機株式会社

• ヤフー株式会社

• LINE株式会社

• 楽天株式会社

• 株式会社ラック

• 株式会社リクルートテクノロジーズ• (全30社）

5

6

2004 30人（男性28、女性2） 8人 U-20

2005 30人（男性26、女性4） 11人 5泊6日

2006 36人（男性32、女性4） 14人 U-22化

2007 35人（男性32、女性3） 14人

2008 47人（セ：29、プ：18） 24人 ＋プログラミング

2009 61人（セ：31、プ：30）（男性57、女性4）

29人

2010 59人（セ：30、プ：29） 37人 ＋CTF

2011 60人（セ：45、プ：15） 28人 ＠大阪

2012 40人（男性39、女性1） 20人 APA水

2013 41人（男性36、女性5） 18人 ープログラミング

2014 42人（男性39、女性3） 23人

応募者数、倍率の推移

注：2009年より部分的に、2010年より全面的にクラス別募集となった。7

0

1

2

3

4

5

6

7

8

0

50

100

150

200

250

300

350

400

2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014

倍率

応募総数

参加者数

倍率

キャンプ過去の卒業生• 講師、チューターとして活躍• DEFCON22決勝出場Binjaは7/8が卒業生

• CTF方面では多数活躍中（0x0、Epsilon Delta他）• SECCON、CTF for GIRLS、CTF for Biginners

• 海外CTFに単独参加→優勝• 16才で未踏、第10回高校生科学技術チャレンジ（JSEC）で文部科学大臣賞・富士通賞、Intel ISEF 2014特別賞など受賞歴多数

• 第34回U-20プログラミング・コンテスト経済産業大臣賞他

• AT＆Ｔ、インテル主催loT Hackathon優勝• シマンテックサイバーセキュリティチャレンジ2012最優秀賞、優秀賞

• hardening二連覇、CTF for GIRLS主催• セキュリティ専門企業、研究所、メーカー系、IT関連有名企業、起業者も多数

• 技術書の原稿執筆

2014クラス構成

•ネットワークセキュリティ

•Webセキュリティ

•ソフトウエアセキュリティ

•セキュアなシステムを作ろう•ゼミ制

2004年開催の時間割

ソフトウェア・セキュリティ・クラス

• 概要：本クラスでは、社会問題化している標的型攻撃等へのインシデントレスポンスを教材として、脆弱性攻撃対策やマルウェア解析、フォレンジック等の分野において、攻撃者の思考や意図を先回りした対策を導き出せる人材を発掘・育成することを目的としています。

• 詳細：マルウェアに感染したディスクイメージの解析やマルウェアそのものの解析、さらにはソフトウェアの脆弱性に対する攻撃手法等を理解していただきます。またこうして得た知識を元に、実際にインシデントが発生したことを想定した演習を通じ、マルウェアの感染経路や被害状況を考察、今後の対策等の提案を行っていただきます。

• 具体的な講義／演習• 逆アセンブラやデバッガを用いたマルウェア解析手法• 脆弱性に対する攻撃手法の理解• ディスクイメージ解析等のフォレンジック技術• インシデントレスポンス演習

Web・セキュリティ・クラス• 概要：現在のWebアプリケーションやスマートフォンアプリケーションには、HTMLや

JavaScriptが基礎技術として使われています。これらの技術には付随する脆弱性や未解決の課題があり、多くの研究および発展の余地がまだまだ残っていると考えられます。本クラスでは、これらの技術に対する、新たな攻撃技術の開発や対応技術の進化をできる人材の、発掘と加速度的な成長を目指します。

• 詳細：HTML5によるブラウザの高機能化や表現力の向上により、Webアプリケーション開発におけるクライアントサイドへのシフトが進むとともに、Webという枠を超えスマートフォンなどでもHTMLとJavaScriptを用いてのアプリケーション構築が進んでいます。そのような中で、JavaScriptを中心とした開発において発生し得る脆弱性やスマートフォンにおけるセキュリティ上の注意点などについて、演習形式で調査・解析を行うとともに、そのような脆弱性を本質的に作りこまない、もしくは作り込めないようにするための考察や開発上の提案・試行を、演習を通じて行っていただきます。また、HTML5とJavaScriptによる技術の応用であるスマートフォンプラットフォームとしてFirefox OSを取り上げた講義も予定しています。

• 具体的な講義／演習

• Webブラウザと同一オリジンポリシー

• クロスオリジンリソースシェアリング

• スマートフォンアプリケーションにおけるセキュリティ上の注意点

• HTML5とJavaScript API• XMLHttpRequest

• Web Storage、indexedDB

• Video、Audio、Fullscreen API

• 脆弱性の原因と対策• クロスサイトスクリプティング

• CSRF

• オープンリダイレクタ

• Content Security Policy

ネットワーク・セキュリティ・クラス

• 概要：実際のネットワークにおける攻撃の検知や、適切な防御策を講じられるとともに、今後出現するであろう新しい攻撃やその対応技術について提案・実装を行えるレベルの人材発掘及び、当該人材の成長に資する気づきの促進を目指します。

• 詳細：ネットワークの基礎知識をさらに深堀りし、さまざまな攻撃内容を含むパケットキャプチャファイルをはじめとする解析対象を用いた演習を行います。また、ネットワークセキュリティを考える上で欠かせないインターネットプロトコルの詳細を、攻撃者の視点から説明したり、攻撃側／防御側の観点から見た通信偽装、攻撃通信を機械学習を用いて検知する方法に関しても本クラスで扱う範囲とします。さらに講義の後半にはネットワークに接続されている機器に対して、様々なパケットを送信することで機器の特定を行います。その上で、ネットワークでこのような問題が発生した場合の回避策、検知策について検討してもらいます。なお、基本的な知識やツールの操作方法については選考合格後、オンライン上で資料や課題を配布します。キャンプ本番までに積極的に取り組んでくれることを期待しています。

• 具体的な講義／演習• パケット解析• 侵入検知とその回避• 攻撃の機械学習を用いた検知• 偽装通信の攻撃的／防御的応用• 各種パケット送信と対処方法の実施および発表

セキュアなシステムを作ろうクラス

OSECPU-VMゼミ• セキュリティを意識したVM・OS・言語処理系を設計・開発してみようというゼミです。この作業を通じてセキュリティについて学びます。

• このゼミでは、どのテーマを選ぶ場合でも、自宅にWindowsもしくはLinuxのPC（MacOSでも可）があって、それを使って自力でプログラムを作れることが必要です。

• このゼミではテーマは一つしかないのでテーマ選択はありません。OSECPU-VMというのは、2013年のセキュリティキャンプで作ったセキュアなシステムです。今年もこれを学生のみなさんと一緒に作りたいと思います。OSECPU-VMについて詳しいことはhttp://osecpu.osask.jp/wiki/ を見てください。

• 一緒に作るとは言っても、何か役割分担で作業を押し付けられるというわけではなく、基本的には各自の好きなことをマイペースでやってもらおうと思っています。コアとなる処理系の開発を手伝ってくれるのはもちろん歓迎ですが、OSECPU-VM用のアプリを作って遊んだり、ドキュメントの不備を見つけて書き足してもらったり、OSECPU-VMを移植したり、独自拡張してみたり、OSECPU-VM上で動くシェルを作ったり、セキュリティーホール探しをしたり、できることはたくさんあります！・・・どんなことを通じてでも、セキュリティについて十分に学ぶことができます。

組込みのセキュリティを考えるゼミ• 本ゼミではマイコンボードなどの「組込みシステムでのセキュリティ」を扱います。また本年度よりテーマの幅を広げ、CPUなどの「コンピュータ・アーキテクチャ」を主眼に置いたセキュリティについても考えます。よって「組込み関連のテーマ」と「アーキテクチャ関連のテーマ」があります。組込み関連のテーマは、とにかくマイコンボードをいじりたおす感じです。アーキテクチャ関連のテーマは、様々なコードを書いてエミュレータなどでいろいろ試す感じです。アセンブラも多く扱います。組込みシステムで考えられるセキュリティ対策はPCとは異なった、独自性の強いものになります。組込みシステムではどのようなセキュリティが考えられるのか、実際にソフトウェア開発を行うことで、ものづくりを通して考えてみましょう。

• またセキュリティの本質を理解するためには、コンピュータ・アーキテクチャを知ることがとても大切です．アーキテクチャを知ることで、コンピュータの動作原理から見直した根本的なセキュリティ対策をとることができます。本ゼミでは各自で開発テーマを決めて,セキュリティに関する組込みやアーキテクチャ関連のソフトウェア開発を行います。キャンプ前から当日にかけてオンラインで相談をしながら開発を進め、キャンプ中になんらかの成果物を出してデモができるようにすることを目標とします。

• テーマ#01「マイコンボードでの不正実行の検出機能を作ってみよう」(組込み)

• テーマ#02「セキュリティソフトを作ってみよう」(アーキテクチャ)

• テーマ#03「アプリケーションの挙動を見える化してみよう」(アーキテクチャ)

• テーマ#04「セキュアな組込みOSを自作してみよう」(組込み)

• テーマ#05「アーキテクチャの違いを検証してみよう」(アーキテクチャ)

• テーマ#06「エミュレータでの不正実行の検出機能を作ってみよう」(組込み)

• テーマ#07「組込みシステムをセーフティに設計してみよう」(組込み)

• テーマ#08「プロセッサのセキュリティアシスト機能を設計してみよう」(組込み)

• テーマ#09「セキュアなインターフェースを設計してみよう」(アーキテクチャ)

• テーマ#10「低レイヤー学習のための教材を作ってみよう」(アーキテクチャ)

OSの見える化を考えるゼミ• セキュリティ侵害の脅威にさらされる領域が拡大し、実際に侵害される事例も多発しているかと思います。そして、領域が拡大し事例が多発する理由の一つとして、システムをブラックボックスのまま利用していることが挙げられるかと思います。システムを安全かつ有効に活用するためには、何でも専門家や有識者に丸投げすればよいという姿勢ではなく、自分で内容を理解しようとする姿勢が必要だと考えます。

• このゼミを担当する熊猫さくらは、 Linux カーネル向けアクセス制御機構の開発を通じて、OSレイヤで行われていることを理解してもらうための試行錯誤を続けてきました。現在はLinux システムのトラブルシューティングを業務として行っており、システム障害やセキュリティ侵害を予防するために、まずはOSレイヤで何が行われているのかを理解してもらうことが必要であると考えています。そこで、熊猫ゼミでは、OSレイヤで行われていることを少しでも見えるようにする方法を一緒に考えていきたいと思います。• テーマ#01「Linux システムの運用監視プログラムを作ろう」• テーマ#02「Linux に関するトラブルへの対処手順と予防策を考えよう」

• テーマ#03「持ち込みテーマ」

システムソフトウェアゼミ• システムソフトウェアというと、あまり皆さんに馴染みがないかもしれません。ですが実際、皆さんが普段使っているPCやスマートフォンのアプリケーションは、システムソフトウェアの深い層（レイヤー）に支えられて動いています。アプリケーションを作る人は世界にたくさんいますが、このレイヤーは縁の下の力持ち的な存在であり、あまり目立たないこともあって、システムソフトウェアを作ったり、そのセキュリティを考える人はあまり多くありません。

• ですが、大変楽しい分野なのでこの楽しさをシェアしたい、また、これがキッカケでこの分野に貢献しうるエンジニアになってくれたらいいなぁ、というのがこのゼミを開講する目的です。

• このゼミでは、システムソフトウェアという、いわゆるオペレーティングシステム（OS）のカーネルプログラミングやシステムプログラミング、ハイパーバイザの実装を中心に扱います。各レイヤーでのセキュリティ機能の実装や、マルウェア検知やCTFサーバの監視運用のためのシステム開発などを通じ、OSやVM、そしてそのセキュリティ技術を深掘りするキッカケにしてもらおうと思っています。

• テーマ#01「サンドボックス化によるセキュアなプログラミング」• テーマ#02「軽量rubyを使ったセキュアなアプリケーション拡張」• テーマ#03「クラウド向けOS "OSv" のセキュリティ向上」• テーマ#04「僕、私が考えた最強のセキュアOSの開発」• テーマ#05「仮想化技術を用いた、ストレージベース侵入検知システムの開発」• テーマ#06「CTFサーバの自動監視運用システムの開発」

ルーター自作ゼミ• 最近話題になっているDNSサーバーの脆弱性や、偽装通信の手法を理解するためには、まずインターネットでやりとりされている通信パケットの仕組みについて理解しておく必要があります。

• ルーター自作ゼミでは、ルーターのプログラムをC言語で自作することによって、インターネットの通信の仕組みについて理解を深めます。発展的な内容として、一本足ルーターや自作の暗号化方式を使ったVPN通信プログラムを作成します。• テーマ#01「Raspberry Pi をベースに自作ルーターを作ってみよう」

• テーマ#02「自作の暗号化方式を使ったVPNルーターを作ってみよう」

宮本久仁男（主査） 株式会社NTTデータ、情報セキュリティ大学院大学

愛甲 健二 株式会社FFRI

浅田 拓也 Cloudius Systems

伊原 秀明 株式会社ラック

岩村 誠 NTT東日本プラットフォーム研究所

上野 宣 IPA、株式会社トライコーダ

川合 秀実 サイボウズ・ラボ株式会社

川口 洋 株式会社ラック

国分 裕 三井物産セキュアディレクション株式会社

坂井 弘亮 富士通株式会社

園田 道夫 IPA、サイバー大学

竹迫 良範 サイボウズ・ラボ株式会社

忠鉢 洋輔 株式会社FFRI

寺島 崇幸 AVTokyo、sutegoma2

西村 宗晃 ソニーデジタルネットワークアプリケーションズ株式会社

はせがわようすけ ネットエージェント株式会社

春山 敬宏 株式会社インターネットイニシアティブ

Masato Kinugawa バグハンター

松木 隆宏 株式会社FFRI

山崎 圭吾 株式会社ラック

山下 勇太 IPA

吉田 英二 合同会社セキュリティ・プロフェッショナルズ・ネットワーク

2014サマーキャンプ講師陣

22

2014全国大会の目玉

•FireFox OS（実機で）

•HTML5

•VSS強化

•自作ルーター

•実機でファジング

•機械学習

•CTF新機軸競技

キャンプの流れ

•

••••••••

グループワークテーマ一覧2013

攻撃手法の擬人化 ストーキング・エンジニアリング

facebookにおけるフールプルーフ

DQNからの護身

京がパソコンになる日 セキュアなトイレを考える

忘却の彼方へ（仮） 体の中に未来のデバイスを組み込んだときのセキュリティ

パスワードを使わない認証方法

効率的宅配テロ行為のためのガイドラインの策定

わたしのぼくの情報？

•預けてる個人情報どうなるの？

•危ないところに預けたくない、（自分にとって）必要ではなくなったら消して欲しい

•→本当に削除したのか？

•→完全に削除したのか？

•自分が納得するように削除させられないなら、せめてサービス・システムが危ないかどうか

確かめたい！

26

エラー画面？java.sql.SQLException: Syntax error or access violation message from server: "You have an error in your SQL syntax near 'AND web_flag = '1' order by wm_time desc' at line 1"

SQL = "SELECT headline,day,month,year,article,priority FROM article WHERE category = 2 ORDER BY priority"Data Source = “う゛ぇるんと"The error occurred while processing an element with a general identifier of (CFQUERY), occupying document position (3:1) to (3:47) in the template file D:¥matmon¥CTA¥matmoninternet¥www¥dum¥questions.cfm.

自分が使っているサイトなら試せる？

住所 東京都新宿区北山伏町1-11

氏名 test' or 'A' = 'A

送信

28

押して良いのか？！

動機＝社会正義は許される？

•ノーガード許して良い？•サイト利用者が危険にさらされてもいい？•脆弱性は指摘したり指摘してもらったりする方が世の中のためじゃないのか？•良かれと思ってのことでも×なのか？•ブログでバラすのがなぜ悪い？

不正アクセス行為の禁止等に関する法律•ネットワークアクセスに関する法律

•「不正アクセス行為」と「不正アクセス行為を助長する行為」の禁止• 許可無く、他人の認証情報を用いてアクセスすること• 認証を不正な方法で突破してアクセスすること• 脆弱性を突いて制限された機能を利用すること

•形式が成立したら違法（形式犯）

•動機はあまり関係ない• 情状酌量

•国によって考え方（バランス感覚）は異なる

IPA脆弱性届出制度• http://www.ipa.go.jp/security/vuln/report/

•ソフトウエア製品およびウェブアプリケーションの脆弱性に関する情報の届出

•届け出者の情報をWebサイト、ソフトウエア開発者に知らせることなく、脆弱性の改修を促進（コーディネート）

•この制度は何のためにあるのか？

•この制度を運用していて大変なことは？

31

経済産業省、IPAの調査から見た求められる人材像＋α

•経営に近いところで、セキュリティに予算を付けられる人材

• IT（ICT）現場で仕事をしつつ、セキュリティを押さえられる人材

•セキュリティの専門家、研究者

セキュリティの専門家、研究者

•社会的に解決できていない課題•物量に負けているウイルス対策

•人間心理を突く洗練された攻撃への対策

•無くならないバグ、脆弱性

•新しいシステム、デバイス、サービスのセキュリティ

•攻撃者のコストを上げる

•未知の攻撃に対応できる

クラス構成やコンテンツの変遷

•ネットワークセキュリティのみ

•＋サーバー、フォレンジックス

•＋解析

•＋ソフトウエア

•＋プログラミング、物作り

「現場でセキュリティ」のための問題解決力

•教科書に無いことへの対応力

•先端的な知見≒解決できていない課題への糸口

•手段を問わない力

•手を動かしてやってみる力

•謎に挑み続ける力

•ディテイルに拘る力

•独習力

キャンプのマーケティング

•学校でやらないこと、できないことを狙う• 体系的な講義、広い知識＊ではないもの

•どこでも教えていないものを狙う

•オールスター（ドラゴンクエスト方式）

• 5日間で人生を変える装置• 演習漬け

• BoF

• CTF

• 全力企業見学

• 全力で会話できる仲間

独学力の養成

•独学せざるを得ない

•あらゆる動機付けが必要• 仲間、コミュニティ

• 競技

• チューター→講師という「キャリアパス」

• ミニキャンプチューター、講師

• 発表の機会

• オンラインでの議論、フォローアップ

•こちら側に引っ張り込む

ミニキャンプのマーケティング

•キャンプに年齢制限で引っかかる人材

•キャンプ候補生

•「キャンプは難しい」→気軽に応募

•「君たちは孤独ではない」

•地域コミュニティ

キャラバン

•セミナー方式

•キャンプ紹介＋セキュリティセミナー

•キャンプならではのコンテンツ

•プロモーション

•80％の満足度？

•2006年から20回開催•新潟、金沢、富山も

ミニキャンプ類型

•バラエティモデルとコンセプトモデル

•スケジュールに依るので、コンセプトは実現しにくい、という面も

キャンプ九州（初日セミナー）バラエティモデル例：

キャンプ九州（1～3日目）バラエティモデル例：

東北ミニキャンプ（初日セミナー＋α）コンセプトモデル例：

東北ミニキャンプ（2日目）コンセプトモデル例：

沖縄ミニキャンプ（初日セミナー）キャンプで見出すセキュリティ人材像（園田）

セキュリティキャンプも11年を経てコンセプトや内容が大きく変容

してきました。その背景にあるのは、今、そして未来に必要とされるセキュリティの人材像の考察があります。経済産業省、IPA的

に提示される人材像にとどまらず、今後どこでどういう人材が必要とされるのか、キャンプは今後どうなっていくの か、というところについてお話します。

繋がり広がるIoTセキュ

リティ～自動車や医療機器への脅威や対策～（IPA中野学研究員）

IoTという言葉と共に様々なモノが繋がるようになってきました。

その結果，スマホや情報家電はもちろん，自動車や医療機器といったこれまで広域ネットワークに繋がることが考えられなかったものまで，ネットワークを利用する機能・サービスを持つようになってきました。そしてそれらは既に攻撃者やマルウェアの興味の対象になっています。本講演では，IoTの中から自動車や医療機器を題材に，実際の脅威の事例や対策，現場の声等について紹介します。

セキュリティテスト「ファジング」の紹介（山下）

セキュリティテスト「ファジング」について、IPAの取り組みを元にご紹介します。今後IoTが進む中、情報家電のセキュリティを確保

するために必要な技術として特徴やメリットをご説明します。また、セキュリティ・キャンプでどのような講義を行っているか概要をご紹介します。

キャンプ卒業生等によるライトニングトーク

コンセプトモデル例：

沖縄ミニキャンプ（2～3日目）コンセプトモデル例：

キャンプの目標•セキュリティのおもしろさ、（アド）ベンチャーの余地に気づかせ、ハマらせたい

•物作り、コード書きをしながらのセキュリティ

•ブラウザやOS（VSS）、組み込み機器など、未踏の地におけるセキュリティ

•考えて問題を解決する力をつけてほしい

•地元で孤立している才能ある若者に良い友達を• コミュニティーパワーになる人をもっともっと増やしたい

終