板前のご紹介

中島明日香

‣高校生時代にセキュリティに出会う

‣NTTセキュアプラットフォーム研究所

‣SECCON実行委員/CTF for GIRLS

‣セキュリティコンテストに関わるCTF/Hardening/MWS Cup/IWSEC Cup

ソフトウェアの脆弱性について研究

‣キャンプ卒業生/チューターバイナリ解析クラス卒2009/ソフトウェアセキュリティ2014

小説「Project SEVEN」を読んで

本日のネタ

IT技術の基礎知識・技能

この分野の知識・技能

セキュリティ技術・知識

セキュリティ関係の基礎知識・情報

先端的知識

セキュリティ技術者の知識体系(概要図) 例

ソフトウェア WEB ネットワーク分野

基礎

応用

基礎的な知識・技能を習得する

■基礎知識・技能習得の教材等

‣資格： I Tパスポート/基本情報技術者

‣書籍：絵本シリーズ [アンク社](例：パソコンの仕組みの絵本)

‣オンライン学習サイト: ドットインストール/CodeAcademy

‣学校：大学の授業(例：情報基礎・コンピューター基礎)

‣その他： Linux/PC自作/管理者になる

基礎的な知識・技能を学ぶ教材・サイトは充実

セキュリティの基礎知識・情報

■基礎知識習得の教材

‣資格： 情報セキュリティスペシャリスト/(社会人)CISSP?

‣書籍： 情報セキュリティ白書等？

‣学校：大学の授業(例：情報と倫理、情報セキュリティ論)

教材・サイトは充実/ニュースサイトも充実

‣会社：研修

■情報収集

‣ニュースサイト：ScanNetSecurity/ITpro(Security)

‣まとめサイト：Twitterセキュリティネタまとめ/piyolog

余談１：人の学び方・モチベーションについて

参考資料http://learningpatterns.sfc.keio.ac.jp/ラーニングパターン

上達の法則 –効率のよい努力を科学する-【書籍】

学び方インプット

‣書籍を読む

‣勉強会に参加

アウトプット‣勉強会で発表/書籍執筆

‣Webサイト/ブログ/Github

動機内発的動機

‣脆弱性の仕組みが気になる

‣バイナリ眺めてるのが楽しい

外発的動機‣CTFで優勝したい

‣賞金が欲しい

余談１：周りに聞いてみました！ケース１

学び方インプット ９５％

アウトプット ５％（飲み会）

動機内発的動機 １００％

外発的動機 ０％

■（バイナリ大好き）セキュリティキャンプ講師の某氏

余談１：周りに聞いてみました！ケース２

学び方インプット 65％

アウトプット 35%

動機内発的動機 70％

外発的動機 30％

■（XSS大好き）セキュリティキャンプチューター某氏

特定分野の知識・技能

■どうするか？

‣必要な知識体系とは何なのか？

‣技能習得の手法とは？

‣知識習得の資料や教材は？(良書は？)

‣最近ではまとめ的なサイトがかなり充実してきてる(例)新人ネットワークエンジニアが読むべき本6冊～

‣基本的には上級者の人に聞くのが一番早い

‣研究室の先輩/勉強会で詳しそうな人/人のブログ/大学の授業(IT勉強会カレンダー)

■この段階での疑問点

特定分野の知識・技能 [ソフトウェア]

■知識体系(例)

‣アセンブラの知識(x86,x86-64,ARM)

‣プログラミング力/開発経験

■技能・経験

‣コンパイラの知識(gcc,vc,最適化)

‣実行ファイルの知識(PE, ELF)

‣IDA/デバッガ(Ollydbg)の使い方

‣リンカ・ローダの知識

‣OS・CPU・メモリの知識

特定分野の知識・技能 [ソフトウェア]

■書籍 (例)‣はじめて読む486‣The IDA pro Book (第二版)

‣リバースエンジニアリングバイブル ～コード再創造の美学～

‣たのしいバイナリの歩き方

‣Linkers&Loaders

‣インサイドWindows

‣各種プログラミング書

‣デバッガ等自作/ゲームのチー(ry/CTF/Crackme

■勉強方法(例)

‣Reverse engineering for Beginners(無料電子書籍）

特定分野のセキュリティ技術・知識の習得

‣中々文献が無い(あったとしても海外の文献)

■どうするか？

■この段階での問題点

‣トレーニングの受講/SANS/Blackhat/セキュリティ会社

‣知っている人が限られてくる

‣習得も難しくなる

‣尖った人材育成の場/キャンプ/SECCON

‣[先端をいく人]が開催する勉強会に参加(Slideshare)

‣英語で検索しまくってみる/CTFのWriteupを検索[英語]

‣分野に関連した博士論文？(背景・関連技術の章)

特定分野のセキュリティ技術・知識の習得

知識体系(例)

技能・経験(例)

‣BufferOverFlow/Use-after-free/FormatStringsBug

‣ASLR/DEP/StackCanary/SEHOP

‣Fuzzing

‣ExploitWriting

‣パッカー/難読化/解析妨害

‣セキュアコーディング

‣Shellcode Writing(ret2libc/ROP)

特定分野のセキュリティ技術・知識の習得

書籍(例)

その他(例)

‣HACKING 美しき策謀 第二版

‣ハッカープログラミング大全 攻撃編

‣アナライジングマルウェア（宣伝？w）

‣The Shellcoder’s Handbook（私は読んでないが・・）

https://www.corelan.be/index.php/articles/

http://opensecuritytraining.info/Training.html

‣The Corelan Team

‣OpenSecurityTraining

http://inaz2.hatenablog.com/‣ももいろテクノロジー

特定分野の先端的な知識・情報

論文/カンファレンス(カンファレンス動画)

‣産業系：Blackhat/DEFCON/RECON/CODEBLUE

‣Reddit (ReverseEngineering)/Kernelmode.info

‣凄い人が来日したら話しかけてみる/渡米

‣自ら最先端になること

‣アカデミック系：UsenixSecurity/IEEES&P/ACM CCS

海外の掲示板/ブログ(例)

Twitter/Facebook‣第一線の人/その人がフォローしているアカウント

特定分野の先端的な知識・情報

先端的な情報・知識(例)

‣Intel PIN

‣シンボリック実行/コンコリック実行(脆弱性に)

‣テイント解析

‣JOP/SROPとか

‣Automatic Exploit Generation

学生時代 学校/研究室編

http://researchmap.jp/jopbd3chs-16769/‣「情報セキュリティ関連の大学研究室Webサイトをまとめてみた」

情報セキュリティ専門

情報セキュリティ人材育成コース（大学院）

‣ SecCap （JAIST/NAIST/慶應大/IISEC/東北大）‣ ISSスクエア(東大/中央大/IISEC)

‣情報セキュリティ大学院大学（IISEC）

大学の情報セキュリティ系研究室

最近は専門学校でも、セキュリティ学科が・・・自分の時は大学の先輩に聞いて武田研究室に出会った

海外‣カーネギーメロン大学等

学生時代 活動編 (勉強と経験を兼ねて)

支援制度/スポンサー付活動/短期プロジェクト

インターンシップ

‣すごうで(EpsilonDelta) /Tachikoma

‣未踏プロジェクト/サイボウズ・ラボユース/GSoC

‣日本MS セキュリティレスポンスセンター 2ヶ月 (自分)

‣JPCERT/CC 解析センター 2ヶ月 (自分)

‣JNSAインターンシップ/海外インターンショップ（例:Facebook）

‣[弊社]「マルウェアの通信先の悪性判定に関する調査」

アルバイト‣人づてで？(知り合い)‣ソフトウェアテスト/ネットワークエンジニア補助(自分)

セキュリティ技術者になる/選択肢の話

‣外的キャリア

‣内的キャリア

なぜ働くのか、何のために働くのか、なぜその仕事をしたいのかなど、仕事や働き方に対する個人の主観的な評価や認識

具体的な職種・職位・技能・実績など客観的に把握できる職業上の経歴

内的キャリア：基本的には自分がどう生きたいか

→自分の管理が若干甘い(会社勤めなどある程度の束縛が欲しい)

→裁量が多いと嬉しい/定型的な業務のみだとキツイ

→キーワード：マルウェア、脆弱性、インシデントレスポンス

→給料/残業等は気にしない

→コミュニティに関わっていけるか(CTF,キャンプ)

→その他、個人的な事情・願望・自分の性格の都合

→周囲に凄いセキュリティ技術者がいるか否か

→技術的な所に関わっていきたい(専門家になれるか)

→自分の個人名で成果が出せる所 or 大勢の人に貢献できること

生き方が分からないと、どんな職に就けば良いのかも分からない

個人的な例

就職編：就活

‣セキュリティ業種以外[PG/NW]

‣セキュリティベンダー [AVソフトとか]

‣IT企業のセキュリティ部門

海外

‣セキュリティサービス/コンサルティング

‣高いセキュリティが求められる会社？

‣某アンチウィルスソフト会社に応募→面接 （自分）

‣海外就職用相談窓口も無く、履歴書作成すら大変

‣独立行政法人/警察とか？

就職編：起業

‣FFRI

‣ネットエージェント

‣HASHコンサルティング

‣ゲヒルン

‣TRICORDER

‣何処かでキャリアを積んでから

‣キャンプ卒業生が起業した例も

就職編：自宅セキュリティ技術者

バグハンター脆弱性報奨金制度の充実化により可能

https://bugcrowd.com/list-of-bug-bounty-programs■ The Bug Bounty List

‣[日本]サイボウズ/mixi(過去)

‣[海外]Google/Microsoftとか

これから？クラウドソーシング？→(どこか忘れたが)脆弱性診断の仕事を募集している人が

→脆弱性報告の報奨金だけで年間600万以上稼いだ方も

(おまけ)アンダーグラウンドな世界

‣ボットネットのハーダー

‣ゼロデイの売買

‣スパム業者

‣マルウェア/ExploitKitの製作者

‣「なにしてますか？忙しいですか？」中の人w

※ 冗談なので良い子はマネしないでください

(最後に)個人的な心がけ

‣迷ったら難しいほうを選択する

‣出来るか出来ないかではなく、やるかやらないか（とりあえず飛び込んで見る）

‣自分のやりたい事を公言しておく

‣口だけ、行動だけにならないように

最近の例：CTF for GIRLS

ご来店ありがとうごいました