決定! セキュリティ・キャンプ アワード2018 - 修了生のその後を評価

CTFで主流の攻撃手法を改良して自動化ツールを開発

2017年全国大会 集中コースを修了した黒岩将平氏は、プログラムに対する攻撃手法である「Return Oriented Programingの自動化」についての研究を報告した。

趣味がセキュリティ競技「CTF」だという黒岩氏は、競技でROP（Return-Oriented Programming）が頻繁に用いられることに着目する。これは、DEP（Data Execution Prevention）を回避する手法として知られており、プログラムの制御を奪う攻撃に用いられる。この手法では、単純な作業を繰り返すことがよくあり、同氏はこれを自動化できないかと考えた。

黒岩氏が提案しているのは、ROPを実行するための「ROPChain」と呼ばれる文字列を自動生成するものである。実際にはすでにいくつかのツールが公開されているが、成功率が低かったり、生成までに時間がかかったりと品質が低いものばかりだという。また、特定の文字を排除できるような、カスタマイズ性を持たせたツールが欲しかったとのことだ。

その実現にはいくつかの課題があったが、黒岩氏は「ヒューリスティクス」技術を応用し、またヒューリスティクスの弱点を克服する手法を立案し、生成速度・成功率が共に優秀で、カスタマイズも可能なツールの開発に成功した。

マルウェアを特定するためのラベリング手法を研究

中島将太氏は、2017年2月に京都で開催されたセキュリティ・ミニキャンプ in 近畿 2017を修了。マス攻撃向けのマルウェア ファミリを特定する技術の研究に従事し、「マルウェアのラベリングに関する取り組み」を発表した。

マルウェアには、挙動や機能といった特徴ごとにファミリ名が付けられている。そのため、ファミリ名を特定できれば、詳細に解析しなくとも判別できることになる。Web上には無料でマルウェア検査を実施できる「VirusTotal」のようなサービスもあるが「精度が低い」と感じた中島氏は、公開されている検体情報やフリーの解析ツールを応用して、独自のマルウェアラベリングに挑んだ。

中島氏ならではの工夫は、「バイナリの類似度の計算」「サンドボックスでの解析」「マルウェア本体のコード解析」の3つだ。サンドボックスで解析できないケースでも、メモリ上にコードが展開されていることが多いという。

また同氏はPythonでツールを開発し、メモリダンプ処理の自動化も実現した。さらに、今回の手法をより簡単に試すことのできるWebUIを”鋭意制作中”とのことだ。

中島氏は、「ファミリの特徴を発見するのは公開情報と経験、そして勘に頼っているところが多いため、より楽に発見できる手法の確立を目指したい」と意欲を見せた。

初心者向けのCTFを主催し、人材育成の機会を増やす

2017年8月の全国大会 選択コースを修了し、同年11月のセキュリティ・ミニキャンプ in 北海道にもチューターとして参加した宮川慎也氏は、CTFに強い関心を抱いてチームまで結成した人物だ。結成2年目にあたる2017年度にはCTFイベントの開催まで至り、その経緯と結果を「CTFからはじめるセキュリティ人材と社会への貢献」として発表した。

宮川氏は、セキュリティに関する知識の習得やコミュニティの活性化を図れるCTFは、日本のセキュリティ人材の増強につながると考える。CTF初心者であった同氏は、自ら楽しめるようにとチーム作りから始め、競技を通じて”経験”の重要性を感じた。そこで、初心者～中級者も楽しめるCTFが必要だと考え、2018年2月10日、チーム名を冠した「Harekaze CTF 2018」を開催。当日は447チームが参加する1,000人規模のイベントとなり、盛況を博したという。

宮川氏がCTFへの参加と開催で重視したことは、技術の習得と修練に加えて、コミュニティや人脈を拡大することだ。この2年の経験で、セキュリティを学ぶ世界が大きく広がったと振り返る。CTFは、技術力だけでなく忍耐力・倫理観・積極性といったセキュリティ人材に必要なスキルを学べる貴重な競技であり、社会に出る学生にとっても良い機会であることをアピールした。

*　*　*

最終審査の結果は、次のとおりである。

• 最優秀賞　伊東道明氏
• 優秀賞　　家平和輝氏、宮川慎也氏
• 特別賞　　黒岩将平氏、中島将太氏

審査委員長を務めたセキュリティ・キャンプ実施協議会 会長 西本逸郎氏は、「各々が、全く異なる分野でレベルの高い研究・活動を行っていた。特に伊東氏の独自視点によるWAF技術は、セキュリティ技術の発展が期待でき、楽しみな研究」とコメント。また、今回は体調不良で欠席した小野諒人氏の研究「ダークウェブ統合分析プラットフォームの開発」にも触れ、「生で発表を聴きたかったが残念。セキュリティ分野は危険な領域でもあるため、慎重な研究が必要」と見解を示した。