CompTIA Goldパートナー「トップアウトヒューマンキャピタル」でPenTest+やCASP+の講師も担当しているサイバーセキュリティアドバイザーより、人材育成やスキルアップのコラムをお届けします！
Top Out Human Capital（トップアウトヒューマンキャピタル）
https://www.topout.co.jp/
筆者紹介：
平原 伸昭（ひらはら のぶあき）クラウドセーフ株式会社代表取締役
2002年大手セキュリティメーカーに転職後、18年以上、サイバーセキュリティ分野に従事し、マルウェアに関する動向や解析、サイバー攻撃、サイバー犯罪時のコンピュータ等に残された痕跡情報調査の分野（フォレンジック）を担当。その中で、多くの政府・企業・団体におけるサイバーセキュリティ事故対応を経験。ITをもっと安全、安心に利用することで企業成長に貢献したいという想いから2017年3月クラウドセーフ株式会社を創業。現在は、損害保険会社、上場企業、大手製造業、スタートアップ企業等のサイバーセキュリティ技術活用に関する技術顧問やセキュリティトレーニングの講師として活動。
【保有資格】
GIAC Certified Forensic Analyst、CHFI (Computer Hacking Forensic Investigator) 他
平原氏の主な活動等の詳細はこちら
今回は、私も講師をしているCompTIA PenTest+はどのようなスキルを証明できる資格かについて紹介します。
また、スキルの証明だけではなく、例えば事業会社の情報システム部の方々が、そこで学んだ知識や技術をどのように活かせるのかについても、最近のセキュリティ事故を例に説明していきます。
CompTIA PenTest+の詳しい認定資格概要 / 試験情報 / 出題範囲 / 類似問題 / 導入活用事例などは、CompTIAの該当ページをご覧ください※1。
CompTIA PenTest+が評価するスキルとは？
サイバー攻撃の攻撃戦略、攻撃テクニック、手順はMITRE ATT&CK※2 によって形式知にされていることがよく知られていますが、このCompTIA PenTest+においても主な攻撃手法について学ぶことができます。
パッシブ偵察の実行
例えば、CompTIA PenTest+トレーニング内のレッスン2「パッシブ偵察の実行」という章では、OSINT（オシント）と呼ばれるOpen Source Intelligenceについて学びます。OSINTとは、公開情報を収集・分析してインテリジェンスとして活用することをいいます。
このレッスンでは、いくつかのOSINTツールを説明し、公開されてしまっているメールアドレス(意図的か意図的ではないかはさておき)を収集し、Webサイトに公開されているPDFファイルなどからドキュメントの作成者といったメタ情報を収集する方法などを学びます。
CompTIA Labsをトレーニング内で活用
また、トレーニング内では収集方法だけではなく、収集した情報をペンテスターや攻撃者がどのように使用するのか、についても触れていきます。さらに、CompTIA Labs(仮想環境に用意された実践的なスキルを学べるツール)を通してこれらのツールを実際に使うハンズオン形式で学ぶことができます。
まずは最低限自衛できる体制構築を
最後に、最近のセキュリティ事故についてですが、４、5月もランサムウェアに感染した複数の企業から対応の相談を受けました。フォレンジックをした企業の中には、FortiGate社の FortiGate VPNサーバの脆弱性「CVE-2018-13379」を突かれ侵入を受けたケースも数件ありました。
さらには、その企業の外向けのIPアドレスがダークウェブ上に公開されている「CVE-2018-13379」パッチ未適用のリスト※3に含まれていることが判明したケースもありました。
本インシデントの脆弱性公開から攻撃までのタイムラインを見ても、脆弱性自体は2019年５月に公開、パッチ未適用のリストは、2020年11月に公開、注意喚起がされている事を考えても十分に対策する時間は取れたはずです。
もし自社にCompTIA PenTest+で得られるような知識、技術を持っているエンジニアがいれば、脆弱性情報の収集、定期的なデバイス、ソフトウェアのバージョン管理、定期的な脆弱性診断のいずれかでも実施できたかもしれません。
それによって防げた事故もあったのでは。と考えています。
詳しい攻撃の流れなどは、Kasperskyの「Vulnerability in FortiGate VPN servers is exploited in Cring ransomware attacks」※4を確認することをお勧めします。
連日のように情報漏洩、サイバー攻撃の被害といったニュースを目にしますが、今後もこのような事故が少しでも減るように本コラムでも注意喚起をしていきたいと思います。
※1 CompTIA PenTest+
※2 MITRE ATT&CK (外部リンク 英語)
※3 Fortinet 社製 FortiOS の SSL VPN 機能の脆弱性 (CVE-2018-13379) の影響を受けるホストに関する情報の公開について
※4 Vulnerability in FortiGate VPN servers is exploited in Cring ransomware attacks (外部リンク 英語)
（本コラムは、トップアウトヒューマンキャピタルが配信するメールニュース掲載のコラムを一部編集の上掲載しています。）
