数年かけて履修したBasic SecCapというプログラムについて、2019年度のワークショップにおいて発表した資料 Nihei担当分のスライドのみを抜粋した

1. 1
学生発表 東京電機大学
（公開のため担当分のみ抜粋）
2020/2/28
東京電機大学 未来科学部 情報メディア学科
Nihei Yuki
2019年度 Basic SecCapワークショップ

2. 目次
 受講した理由
 履修した科目
 概要
 学んだことや身に付いたこと
 感想
2

3. 受講した理由
 幅広い学生を対象とした通常の講義では学ぶこと
が難しい情報セキュリティに関する専門的な知識・
技能を身につけたかったため
 以前より独学で習得してきた技能を試すことにより、
実務においてどのように生かせるのかを見極めた
かったため
3

4. 履修した科目
通番科目名 科目名
セキュリティ総論C 情報セキュリティの基礎と暗号技術
先進PBL-E 物理セキュリティ攻撃と対策
(先端セキュリティ)
先進PBL-F インシデントハンドリング演習
大学院インターン
シップC
スマートフォンセキュリティ演習
大学院インターン
シップE
ハードニング基礎演習
4

5. 情報セキュリティの基礎と暗号技術（概要）
 情報セキュリティの基礎について学ぶ
幅広い攻撃手法とそれらに対する対策
セキュリティガイドラインの改定
 暗号化がどのように行われているかなどを学ぶ
暗号プロトコルの種類や概要
文字列のエンコード・デコード演習
RSA暗号の暗号化・復号演習
5

6. 情報セキュリティの基礎と暗号技術（学んだこと）
 公開鍵暗号や秘密鍵暗号などの仕組みについて学
ぶことができた
 攻撃者が攻撃をする際のシナリオについて議論した
ため、いろいろな人のアイデアを知ることができた
 実際に行われた攻撃事例を学べたので、セキュリテ
ィの必要性を身近に感じることができた
6

7. 先端セキュリティ（概要）
 無線技術に関する座学および検波回路の作成
 市販のルータを用いて作成したアクセスポイントに
対し、ラズペリーパイを用いてWPAキーを解析する
7
 解析した鍵を用いてアクセスポイ
ントに接続せず通信を復号する
 偽アクセスポイントを用いて通信
を傍受する
 次世代通信において生み出され
る通信サービスおよび発生しうる
可能性のある脅威についてディ
スカッションを行い発表する

8. 先端セキュリティ（学んだこと）
 通信の傍受を行うことにより、攻撃者視点で通信を
見ることができた
 アクセスポイントが個体をどのように把握しているか
を学ぶことができた
8

9. インシデントハンドリング演習（概要）
 企業ネットワークとセキュリティインシデント、サイバ
ー空間における脅威動向の変遷についての座学
 EDRのログから解析したインシデントの流れや攻撃
手法、想定される被害や再発防止策について模造
紙にまとめ発表する
 仮想マシンへのDSAのインストールと有効化
9
 DSaaSを体験
 インシデントへの備えと
して企業に求められて
いる人材やスキルを発
表する

10. インシデントハンドリング演習（学んだこと）
 ネットワーク構成などから対象となる企業の規模感
を推測することで、現実的な対処法の提案、人数や
コストの概算につなげることができることを学んだ
 今まであまり考えてこなかった顧客を意識した説明
の仕方や利害関係、コストを重視する経営層の考え
方も重要であることを知った
10
 近年導入が進むコン
テナ型仮想化に適し
たセキュリティ対策ソ
フトウェアの存在と
その仕組みを学んだ

11. スマートフォンセキュリティ演習（概要）
 Androidアプリケーションのリバースエンジニアリン
グを行うことにより脆弱性を発見する
1. 端末からAPKを取り出しデコンパイルする
2. 脆弱性を見つけ、可能であれば修正する
3. Smali形式のファイルをビルドし署名する
4. 脆弱性が修正されたことを確認する
 被害額を想定し、対策案を示すとともに再発防止策
の策定と費用の算出を行う
 脆弱性を混入しにくくさせるための仕組みや対策方
法についてグループで考察し発表する
11

12. スマートフォンセキュリティ演習（学んだこと）
 デコンパイルを行っても元のソースコードを得ること
はできず、メモリアドレスや文字コードが含まれた状
態となることを知った
 アセンブリ言語は、可読性は低いがアプリケーショ
ンと相互変換可能なので、ソースコードが無い場合
でもアプリを修正できることを学んだ
 その過程で、アセンブリ言語の読み解き方が少し分
かった
 普段の授業と違い被害額や費用の計算、再発防止
策の策定が求められたため、社員数や工程ごとの
作業量について考える体験は新鮮だった
12

13. ハードニング基礎演習（概要）
 脅威体験教材を用いた事前学習を行った
 Java言語で作成されたWebアプリケーションおよび
それをホスティングするTomcatサーバについて脆
弱性を検知・確認し対策を行う
13

14. ハードニング基礎演習（学んだこと）
 脆弱性を自動で発見するツールを用いることにより
ツールの使用方法を習得し、効率的にペネトレーシ
ョンテストが実施できることを学んだ
 実務ではすべての脆弱性を修正することはできない
ことが多く、限られた時間の中で効率的に脆弱性を
減らすために、重要度や分担を素早く決定すること
を学んだ
 与えられたソースコードはコーディング規則がしっか
りと定まっており非常に読みやすく、インデントやコメ
ントが可読性に与える影響を改めて実感した
14

15. 感想
 個人では使うことができないものも含め、実際のサ
ーバーやログを用いて演習を行うことで、思うように
いかない部分もあったが実践力が身についた
 基礎知識から実習まで年間を通して学ぶことにより
様々な手法や対策について深く学ぶことができるプ
ログラムは学内で登録できるものでは唯一なので、
より多くの人に知ってもらいたい
 学生として聴講しているだけでは身につけることが
できない、経営者や顧客の視点に立った物事の考
え方を経験することができた
15