"フォレンジック" セキュリティ技術を身につけたい！CTF for GIRLSワークショップをレポート

女性を対象にセキュリティワークショップを運営する「CTF for GIRLS」は6月21日、 富士通ラーニングメディアの品川ラーニングセンター ラウンジにおいて、「第11回 CTF for GIRLS ワークショップ」を開催しました。

女性限定の理由は「参加する心理的ハードルを下げる」ため

「CTF for GIRLS」は、情報セキュリティ技術に興味がある女性を対象としたコミュニティを作るプロジェクトです（CTFはセキュリティ競技のひとつ「Capture The Flag」の略語）。セキュリティに関する技術的な質問や、何気ない悩みを共有する女性エンジニアどうしの“場”を設けることで、セキュリティ業界で活躍する女性を支援し、増やしていくことが目的です。参加者も講師も女性限定というワークショップは、毎回、募集開始から1週間以内ですぐに定員に達してしまうほどの人気ぶりなのです。

CTF for GIRLSの発起人であるNTTセキュアプラットフォーム研究所所属の中島明日香氏は、このコミュニティを立ち上げるに至った背景を以下のように語ります。

2014年の発足時は8名程度のメンバーでしたが、今では社会人から学生まで、30名以上のメンバーがイベント運営から勉強会の講師、ワークショップの問題作成までを担当して運営を支えています。中島氏は、「CTF for GIRLSへの参加をきっかけに、ほかのセキュリティ勉強会やセキュリティコンテストにも参加する女性が増えています」と説明します。

かねてから日本では、セキュリティ人材不足が指摘されています。経済産業省が2016年に実施した調査によると、2020年には情報セキュリティ人材が約20万人不足すると予想されています。「東京2020オリンピック・パラリンピック」の開催に伴って、海外からのサイバー攻撃やIoT（Internet of Things）デバイスへの攻撃、制御システムをねらった攻撃など、サイバー攻撃の脅威が増加することは明白であり、セキュリティ人材の育成は急務となっています。

今回、「第11回 CTF for GIRLS　ワークショップ」の会場となった富士通ラーニングメディア品川ラーニングセンターには、実践的なセキュリティ訓練の“仮想演習場”である「CYBERIUM（サイベリウム）／Shinagawa」が併設されています。ここでは、サイバー攻撃手法や攻撃検知手法についての講習、サイバーレンジによる実践的な防御演習などを提供しています。

会場の設営を支援した富士通ラーニングメディアのスタッフは、「われわれは人材育成を柱としている会社ですから、CTF for GIRLS ワークショップのような勉強会も積極的に支援していきたいと考えています」と語りました。

「CYBERIUM（サイベリウム）／Shinagawa」

フォレンジックの実践テクニックを解説

今回のワークショップの参加者は、社会人が約8割を占めました。中島氏によると、会社でセキュリティ関連部門に配属されたり、セキュリティ製品の営業を担当したりしている人が、自身のスキルや知見を高めたり、人脈を拡げたりするために参加するケースが多いといいます。

ワークショップは、前半に講義があり、休憩を挟んで後半に演習問題を解く形で進みました。前半の講義テーマは「フォレンジック」です。講師は、情報科学専門学校の情報セキュリティ学科で学ぶ菊池絵里加氏が務めました。

真剣に講義を聞く参加者の皆さん。あとに続く演習問題に役立つヒントも満載です

フォレンジックとはもともと、犯罪捜査における「分析」や「鑑識」を意味する言葉です。IT分野では、コンピュータなどの電子機器上に残されたログや記録を収集・保全して、サイバー犯罪を立証する証拠（証跡）を科学的に解析、抽出する行為を指します。

講義は「フォレンジックとは何か」の解説から始まり、削除済みファイルの復元方法やレジストリの解析方法、ウェブブラウザ閲覧履歴の確認手順などを、基本的なフォレンジックツールの操作方法とともに学びました。実は、このあとに続く演習問題は、これらのツールを利用しないと解けないのです。

菊池氏は「フォレンジックのフローの一例として、『証拠保全』→『ファイル復元』→『調査・解析』→『報告』という手順で行われます。特に現場では証拠保全が最重要事項です」と説明します。その中で、今回はWindows OSの「ファイル復元」と「調査・解析」に焦点を当てました。

まずは、Windowsの標準ファイルシステム（NTFS）を管理している「マスター ファイル テーブル（MFT）」について学びます。MFTは大量のファイルを管理するためのインデックスのようなもので、たとえばあるファイルを構成するデータの断片はドライブのどの領域に記録されているのか、そのファイルが「現存している（Active）」のか「削除済み（Inactive）」なのかといった情報が書き込まれます。

実はファイルを「ごみ箱」に入れ、「ごみ箱」を空にするという操作は、MFTのフラグを「削除済み」に書き換えるだけのものです。菊池氏は、ファイルが「削除済み」になったとしても、使用していたドライブ領域に新たなファイルが上書きされなければファイルを復元できる可能性があると説明します。

講義では、復元後のファイルを調査する時に必要な「ステガノグラフィ」と「マジックナンバー」についても学びました。ステガノグラフィとは、たとえば画像ファイルや音声ファイルに秘密のテキストデータを埋め込むなど「データがあること自体を隠す」技術です。一方、マジックナンバーは、ファイルデータの先頭部分に書き込まれるファイル識別用の文字列です。たとえば.exeや.docxといったファイル拡張子が偽装（違う拡張子に書き換え）されていたとしても、マジックナンバーをチェックすればそのファイルの“正体”がわかります。

さらに菊池氏は、イメージファイルを簡易的に解析できる「FTK（Forensic Tool Kit） Imager」や、バイナリやディスクから中のデータを抽出できる「foremost」なども紹介し、それらを使う具体的な手順も解説しました。

「ファイルの復元」や「特定ファイルの検索」を演習

10分間のスイーツ休憩のあとは、いよいよ演習です。受講者は事前に配布された演習環境（VMwareによる仮想環境）をインストールした自前PCを利用し、提示された問題を解いていきます。設問は、初級／中級／上級にカテゴライズされた、合計7つです。

演習の前にスターバックスのドーナッツでちょっと一息

初級では、「削除してしまった画像ファイルをディスクイメージから探し出し、復元する」「Chromeブラウザで『Flag』の文字を検索したかどうかを調査する」といった問題が出題されました。

削除ファイルの復元では、講義で解説された「FTK Imager」でディスクの中を閲覧してファイルを探し、MFTを確認してフラグを探します。この問題は多くの参加者がクリアしたようです。

続くChromeの検索履歴の調査では、「ChromeHistoryView」というツールを使って、ChromeでアクセスしたURLの履歴一覧から「Flag」の文字列を探します。Googleで検索操作をするとURLの中に検索する文字列が含まれるので、こうした方法で検索ワードを確認することができるのです。

一方、上級向け設問では、「あるファイルの中から、異なる種類のイメージファイルを見つけ出す」という課題が出されました。これを解くためには、ファイルの種類を確認するfileコマンドや、前述したFTK Imagerを活用する必要があります。さらにこのファイルにはパスワードがかかっているため、MFTからそのファイルのパスワードを探し出す作業も必要になります。ちなみに、初級・中級問題をすべてクリアし、上級問題まで到達できたのは数名だったようです。

講師と問題作成の一部を担当した菊池氏は、「講師を務めるのは今回が初めてですが、自分がフォレンジックについて最初に学んだことや、利用頻度が高く、覚えておくと便利なツールの紹介を心がけました。講義資料を作成している段階で曖昧だった知識が明確になり、私自身もとても勉強になりました」と語ります。

海外の女性コミュニティとの連携も視野に

ワークショップ終了後の交流会にも、多くの人が参加しました。外資系IT企業でセキュリティ部署に配属されたという社会人2年目の参加者は、「会社の先輩が運営スタッフで、誘ってもらいました。社会人としてのキャリアはセキュリティに捧げるつもりですので（笑）、CTF for GIRLSは情報交換の場としても最高です。今後も継続的に参加していきたいです」と感想を語りました。

大手国内ベンダーのサイバーセキュリティ戦略部門に属するCTF for GIRLSスタッフも、「会社の枠を超えて勉強会ができることは素晴らしいことです。私も4月に社会人になったばかりですが、（CTF for GIRLSの）コミュニティを大切にしていきたいです」と語りました。

今後の活動について、中島氏は「CTF for GIRLSを属人的ではない、持続可能なコミュニティにして、“幅”を拡大していきたいです」と語りました。現在のところワークショップの開催は首都圏が中心ですが、今後は、地方在住者でも参加できる環境を整えたいとしています。なお、今回から試験的にワークショップのオンライン配信を始めており、「育児中で家を空けられない人にもぜひ参加してほしい」と言います。

CTF for GIRLSは目指すのはどのような未来なのでしょうか――。「台湾や韓国にも女性限定のコミュニティがあり、韓国では女性限定のCTFも開催されています。そうした機会を活かし、海外の女性コミュニティとの交流を深めることで、活動の幅をさらに広げていきたいですね」。中島氏はそう語ってくれました。

50分の演習時間はあっという間でした。

関連情報

「フォレンジック入門」から「サイバーセキュリティリスク分析基礎」など
「CYBERIUM（サイベリウム）／Shinagawa」では、仮想環境上に実際の業務データの流れを構築し、攻撃側と防御側に分かれて疑似体験できるコンテンツを豊富にご用意しています。

富士通ラーニングメディアの「サイバー攻撃対策 関連コース」