サイバーセキュリティ・ハンズオントレーニング開催 ～IoT（ドローン）システムの脆弱性診断コンテストの裏側を紹介～ OWL Eyes脆弱性Labホワイトハッカー
2019年12月17日
1. はじめに
こんにちは。西井です。
学生の方向けに「サイバーセキュリティ・ハンズオントレーニング」を開催し、以下のページで概要をご紹介しています。
-
・KCCSと京都府警察が「サイバーセキュリティ・ハンズオントレーニング」を開催
当日のイベントは、大盛況に終わることができました。
本コラムでは、イベントの盛り上がりを支えた、裏側メンバーの活躍をお伝えしたいと思います。
2．イベント概要
本イベントでは、近年、社会の重大な脅威となっているサイバー攻撃から企業や社会の安全を守る、ホワイトハッカーや情報セキュリティに通じたIT人材を、
京都・大阪の産・官・学が一体となり育成していくことを目的に開催しています。
今回は、IoT（ドローン）システムを利用したピザ配達システムを構築し、このシステムを攻略するCTF形式のコンテストとなります。
念のため、CTFをご存知でない方のために、簡単に説明します。
課題の中に隠された答えとなる「フラグ（Flag）」を見つけ出し、得点を稼ぎ、競い合うコンテストです。
イベント概要 |
|
対象者 |
大学生・高校生 |
|---|---|
開催日 |
2019年11月10日 |
内容 |
（1）京都府警察サイバー犯罪対策課様 |
3. メンバー紹介
本イベントの裏側で活躍したセキュリティ事業部のアテンドメンバーの紹介です。
学生の方のワクワクを引き出せるよう、工夫を凝らした内容を検討したメンバーです。
KCCSのセキュリティブランドである SecureOWL のTシャツを着用して、メンバーはウキウキで当日のイベントを開催しています。
4. ワクワクポイント
学生の方にワクワクして取り組んでもらえるよう、以下のポイントで工夫を凝らしました。
このポイントを説明することで、コンテストの紹介を進めます。
（1）最前線で活躍する女性エンジニアによる脆弱性診断トレーニング！
（2）CTFを疑似体験できる脆弱性診断コンテストに！
（3）ドローンによるピザ配達システムをハックせよ！
（1） 最前線で活躍する女性エンジニアによる脆弱性診断トレーニング！
未経験の学生の方も参加されていますので、コンテストに向けて、脆弱性診断を分かりやすく解説した基礎的な脆弱性診断の手法をトレーニングしました。
トレーニングの構成は、「座学」と「ハンズオン」です。
「座学」では、Webアプリの脆弱性診断の入門編として、以下を学習します。
・SQLインジェクション
・XSS（クロスサイトスクリプティング）
講師である金田が自ら、学生の方の席まで行き、手厚いサポートを行います。
脆弱性診断の最前線で活躍するKCCSのセキュリティエンジニアが、脆弱性診断の手法をお教えする機会となり、
学生の方にとっては貴重な体験となったのではないでしょうか。
また、「座学」と同時に「ハンズオン」でのトレーニングも実施します。
ローカルプロキシツールを用いてトレーニングを行い、コンテストに向けて、実体験を通して脆弱性診断の技術を習得していきます。
「ハンズオン」では、「ウェブ不健康市」と呼ばれるKCCSが用意した脆弱なWebサイトを用意しました。
こちらに対して疑似攻撃を行い、脆弱性診断のスキル習得を進めます。
その際、ローカルプロキシツール「Burp Suite」を利用し、通信内容を確認したり、通信を改変したりすることで、脆弱性診断の手法を学んでいきます。
（2） CTFを疑似体験できる脆弱性診断コンテストに！
それでは本番のコンテストが始まります。
得点を表示する実際のスコアサイトがこちらです。
各チームの点数が表示され、自分のチームの順位がすぐに分かるようにしています。
ここからイベント企画の裏話を紹介します。
実は、イベントの企画を進めていく中で、点数を確認するスコアサイトだけでは、コンテストが盛り上がらないのではという懸念が出てきました。
各チームのスコアを投影するだけでは、学生の方が別チームの獲得点数状況をリアルタイムで気づくことができず、
学生の方同士での切磋琢磨する状況を作り出せないと考えました。
その懸念を払拭するために、360°カメラのシステム（以下の赤い点線部分）を用意しましたので、その仕組みを簡単にご紹介します。
360°カメラを使って、会場内を投影し、加点したら、点数を自動の音声で読み上げます。
そして、加点したチームを360°カメラで投影することで、どのチームに点数が入ったかが分かるようにしました。
獲得したポイント数が音声で聞こえてくれば、学生の方の闘争心を引き出し、臨場感のある白熱したバトルにつながると考えました。
そこで、360°カメラによる演出の裏側技術を２つ紹介します。
① MQTT
MQTT（Message Queuing Telemetry Transport）は、非同期に1対多の通信ができるメッセージングプロトコルです。シンプルで軽量に設計されているため、IoTシステムを実現するのに適したプロトコルといわれています。
フラグ入力したチームに対して、映像がフォーカスするように、MQTTの技術を活用して構築しています。
コンテストのコンセプトがドローンの IoT システムを攻略することですので、裏側の仕組みにおいても、IoTシステムで定評のあるこの技術を利用してみました。
② Web Speech API
Web Speech API は、音声データを操作する Web API です。音声合成（Speech Synthesis）や音声認識（Speech Recognition）の機能があり、無償で利用することができます。
今回は音声合成を利用しており、テキスト文章の読み上げに活用しています。
これで獲得したポイントをリアルタイムで通知する仕組みを構築しています。
（3） ドローンによるピザ配達システムをハックせよ！
それではコンテストのメインシステムに移っていきたいと思います。
コンテストで利用したドローン（IoT）によるピザ配達システム（以下の赤い点線部分）を紹介します。
① 学生の方の習熟度にあわせ、2コース用意
ピザ配達をする架空のサイトで脆弱性を発見するというシナリオで、各チームで総合得点を競い合います。EASY と HARD の2コースを用意しました。
EASYコースは、事前のトレーニングの内容でフラグ取得が可能で、多数の脆弱性を存在させています。
HARDコースは、どこから始まるのかというアクセス先すらヒントがなく、テクニックやセンスでフラグを見つけていきます。
学生の方の習熟度にあわせて、コースを自分自身で選べるものとし、チームで作戦を練りながら、進めることができます。
② ドローンの不正操作でピザ配達できちゃった！
HARD コースを解き進めていくと、ドローンを不正操作できる画面に到達できます。ドローンの不正操作に成功すると、「第三者によって、勝手にドローンを操作され、意図せずピザが配達される」という架空の被害を発生させることができます。
なお、EXTRA HARD も用意していましたが、このフラグを見つけたチームが2チームもいました・・・。
③ フラグ以外の部分もあえて脆弱に・・・
ドローンを操作する通信を注意深く確認すると、秘密のシステムを見つけることができます。こちらの秘密のシステムには、コンテスト用のフラグは用意していませんが、最近のIoTシステムが被害にあうケースを想定した、
よくあるIoTの問題（脆弱性）を組み込んでいます。
コンテストでのフラグ取得とは関係しませんが、最近のIoTシステムのセキュリティ動向も紹介できるようにシステムを構築しており、
コンテスト終了後の解法説明で、紹介しました。
5. 学生の方の反応
少し難しいかもと思っていましたが、「座学」と「ハンズオン」のトレーニングを実施したおかげで、最後のフラグまで見つけることができたチームがいました。
また、カメラなどの周辺システムを用意したことで、白熱したバトルになったと思います。
学生の方がフラグを見つけ出し、解答できる喜びやチームで取り組む楽しさを感じてもらえたことが、アンケート結果から感じ取れました。
また、今回のコンテストは複数の難易度を用意していたため、セキュリティの初心者から上級者までの幅広い学生の方に満足いただけたようです。
6. まとめ
学生の方のスキルや理解度は驚くべきもので、優秀な学生の方が多かったと思います。
本イベントを通じて、学生の方がセキュリティ業界に興味を持ち、安心・安全な社会に貢献する人材となり、
志の高いセキュリティエンジニアが増えていくことを強く願っています。
また、KCCSに興味をもっていただき、共に仕事ができる仲間となれば、この上ない喜びと考えます。
-
・KCCS Recruit TOP
著者プロフィール
西井 晃
2012年、京セラコミュニケーションシステム 入社
データセンターサービスやクラウドサービスにおいて、運用保守やサービス開発業務に従事。
2016年、SecureOWL Center （SOC） に配属後、セキュリティ監視運用やセキュリティサービス立ち上げを担当。
現在は、セキュリティアナリストとして、セキュリティインシデントレスポンス業務に従事。
KCCS-CSIRTの活動に参加し、世界平和を目指す。
掲載されている情報は、発表日現在の情報です。最新の情報と異なる場合がありますのでご了承ください。
