セキュリティ の記事一覧

8/12（月）～8/17（土）5泊6日で開催された、セキュリティ・キャンプ 全国大会 2024に、GMOインターネットグループはシルバーメンバーで協賛しました。当日は企業紹介イベントへの参加や、GMOインターネットグループの社員が講師として参加してきましたので、その内容をレポートしていきます！ イベント概要 セキュリティ・キャンプ全国大会とは 「セキュリティ・キャンプ」のメインイベントとして主に夏休み期間中に実施する合宿形式の勉強会です。 毎年テーマ別に集められるエキスパートが講師となり、専門的・実践的な講義が受講できるほか、合宿の中で同じ趣味を持った仲間との交流もあります。全国大会のほか、全国大会修了生の次のステップとなるネクストキャンプ、小中学生を対象としたジュニアキャンプも同時開催いたします。また会期中には、これまでにセキュリティ・キャンプに参加した修了生がチューターとして学習の支援等も行います。 開催日：2024年8月12日（月）～8月17日（土）開催場所：クロス・ウェーブ府中参加費：無料（事前登録制）主催：独立行政法人情報処理推進機構（IPA）、一般社団法人セキュリティ・キャンプ協議会公式HP：https://www.security-camp.or.jp/IPA HP：https://www.ipa.go.jp/jinzai/security-camp/2024/camp/index.html 会場となるクロス・ウェーブ府中は、勉強する部屋、食堂、ホテルがすべて建物内に入っており、学生たちは過ごしやすそうで勉強に集中しやすい環境が整ってました。 事前配布ノベルティ 毎年参加者の楽しみの1つでもある！？協賛企業からのノベルティが参加者の各自宅へ、ノベルティボックスとして事前に郵送されました。 GMOインターネットグループからは、『オリジナルカップ麺（わかめラーメン）×　スキミング防止カード』をノベルティとして用意しました！ 学生の皆さまがこのノベルティを手に取り、楽しみながらセキュリティについて学び、理解を深めてもらいたいという思いを込めて、作成しました。 スキミング防止カードクレジットカードやICカードの不正読み取りを防ぐセキュリティガジェット！皆さんのお財布やカードケースに入れて、是非たくさん使用していただけたら嬉しいです。オリジナルカップ麺（わかめラーメン）デザインにとてもこだわりました！皆さん気づいていただけましたでしょうか？わかめの広がりをフィッシング攻撃の蔓延と脆弱性の拡大に見立て、フィッシングの危険性・セキュリティの重要性を直感的に理解してもらえるような意味を込めてデザインしました。スキミング防止カードを捲ると･･･学生の皆さんへ、GMOインターネットグループからのメッセージを添えさせていただきました！ 企業紹介イベント 全国大会期間中の実施予定でしたが、台風の影響で延期となってしまい、後日開催された『アフターイベント』にて、オンラインによる企業紹介を実施いたしました。 ブースセッション / フリータイム 今回は、セキュリティチームの現場で活躍するエンジニア2名と人事が参加させていただきました。セキュリティに携わるエンジニアより、実際に行っている業務内容や働いていくうえでのモチベーションなど、なかなか聞けないリアルな現場の話をお話しました。 また、学生参加者からの質問にもお答えすることができ、少しでも弊社に興味を持っていただけたら嬉しいです。 全国大会での講師紹介 当日は、GMOインターネットグループより講師として、グループ3社6名が参加いたしました。実際に参加してみての感想や、学生に向けたインタビューをいただきましたので、是非ご覧ください。 GMOサイバーセキュリティ byイエラエ株式会社 三村 聡志 専門コース│A3『ファイルシステムの理解と記憶チップ内あデータの解析』 開発コース│S08『ハードウェアのリバースエンジニアリングゼミ』 Q：全国大会の講師を終えての感想 三村昨年に引き続き全国大会の講師を務めまして、 情報セキュリティの分野に対する学生からの関心や受講生のレベルが年々上がっているのを感じています。もちろん、学生の皆さんが楽しかったと感じてもらえる内容を作るのは大変です。 自分自身の知識の整理や学生の皆さんからの素直なフィードバックを得られ、 フィードバックから次回の講義や業務の質向上に繋がりますので、私自身も参加するたびに達成感や充実感を感じております。 Q：学生へのメッセージ 三村何事にも「初心忘るべからず」ということ、 そして学習する際は、学んでいること・知っていることに共通項を見つけ、 知識を関連づけることを心がけることをお勧めします。そして今の学生の時間を使って、好きなことをどんどん掘り下げること。それが将来にわたっての自分自身の「わくわく」を維持してくれる源泉になると思っています。 三村Developer Experts として、様々なところで活動をしております。私自身、様々なかたから声を掛けられるのは好きですので、SECCONなど、どこかでお見かけした際には気兼ねなく声を掛けて頂けたらありがたいです。 GMOサイバーセキュリティ byイエラエ株式会社 緑川 志穂 開発コース│S04『暗号フルスタック開発ゼミ』 Q：全国大会の講師を終えての感想 緑川年々洗練されていく全国大会とレベルの高い受講生にはこちらとしても勉強させられる思いしかありません。そんな中で講師を務めさせていただけていることについて光栄に思います。今年は特にスピード感があり、具体的には弊ゼミは「TLS1.3のプロトコル・スタックを作る」という目標を全国大会一週間前に達成してしまっていました。応用・発展をそこから考え、会期中は楽しく先を考えながら開発を進められたことは良いところだったかなと思います。 Q：学生へのメッセージ 緑川何か理論的な記述のあるものに実装をつける、ひいては「何か理想を考えたときに、それを具体的に実現する方法を考える」という行為は、本質的に何かしらの要素を切り落とさなければ不可能な行為です。すなわち、何かを作ろうとするときにまず考えるのは、その具体的な内容よりも具体的に実現できなさそうな部分なのです（勿論最初はわからないものですから、経験者に聞くなり、自分で試しに作ってみて失敗してみたりといったトライも必要でしょう）。裏を返せば、実現できなさそうな部分を的確に切り取れさえすれば、どんな目標でも到達に向けた道筋を立てられます。切り取ったとしても、切り取っただけなら後から追加実装を考えられるのですから！巨大なものを作るときによく言われるのはスモールスタートの考え方です。しかし起点や経路の選択が悪いとスモールスタートでもうまく行きません。上記を踏まえ、「ほぼ全てを捨てて実装するなら何を実装するか」と考えると、その選択の手助けになるかもしれません。セキュリティ・キャンプでこれまで利用していたクロスウェーブ府中はこの8月で閉業してしまいました。今後どこになるのかわかりませんが、願わくは是非その新施設一年目から参加してみたいところです。 GMOペパボ株式会社 紫関 麗王 開発コース│S11『Rustで実装するLinux向けアンチウィルスゼミ』 Q：全国大会の講師を終えての感想 紫関昨年に引き続き、弊ゼミではLinuxをターゲットとしたアンチウィルスをRustで実装する。という内容を取り扱いました。 テーマは同じですが、目標や方針はガラリと変わっており、今年はeBPFによる検知を実装しました。講師という立場での参加でしたが、これを期に自分も多くの学びを得られました。 また機会があれば来年以降も担当できたらと思います。 Q：学生へのメッセージ 紫関セキュリティとは言っても攻撃を行うだけではありません。セキュリティエンジニアも「エンジニア」である以上、ものや仕組みを作ることが仕事だと考えています。セキュリティ・キャンプではそういった実装力を身につけるチャンスでもあるので、ぜひ参加してみてください。また、参加された学生のみなさんは自身を持って、今後も自分のやりたいことをやり、アウトプットしていってください！ さいごに セキュリティ・キャンプ全国大会 2024にご参加された学生の皆さま5泊6日の勉強合宿、大変お疲れさまでした！！ 皆さんの今後の頑張り・活躍を応援し、心より期待しております！

GMOインターネットグループ株式会社では、2023年から九州大学にて夏学期および冬学期に単位制の授業を開講しています。本ブログでは、授業の紹介と授業を通じて得られた「学生が求める授業」について記したいと思います。 導入 GMOインターネットグループ株式会社では、2023年から九州大学にて夏学期および冬学期に単位制の授業を開講しています。本ブログでは、授業の紹介と授業を通じて得られた「学生が求める授業」について記したいと思います。 自己紹介 私は2022年から、インフラエンジニアの傍ら採用や技術広報の活動に従事しています。採用活動ではインターンシップを担当、技術広報ではインフラ系のハッカソンであるDevSecOpsThonの主催を通じて、採用と企業認知度向上に努めてきました。 授業の概要と背景 これらの活動を通して、九州大学の岡村 耕二 教授とのご縁をいただき、九州大学で総合科目の授業を開講することになりました。弊社がインターネット・Web業界で蓄積してきた技術を学生に伝授し、本業界を共に盛り上げてくれる未来のエンジニアを育成することが主たる目的です。 授業の詳細 参加条件は特に設けず、学部・学年、知識やスキル不問、インターネット・Web業界に興味がある学生は誰もが受講できるようにしました。 2023年の授業 「インターネットサービスを支える技術」という科目名で、情報モラル、セキュリティ、情報テクノロジーの三要素を包括的に学べる内容にしました。容易に理解を深められるようにマインクラフトを教材として取り入れ、デジタル/情報リテラシーの向上と、ICTを駆使して社会をリードする力の育成を目指しました。各コマのテーマと概要は以下の通りです。 1コマ目では、弊社のホスティングサービスであるConoHaの事業企画担当者を招き、Webサービスを作る際の工程を、実際に利用しているフレームワークやその他の分析手法、観点を紹介しながら説明しました。 2～3コマ目はインフラがテーマで、ConoHa VPSを用いてLinux上でマインクラフトのマルチサーバーを構築し、さらに運用を体験しました。 4～5コマ目ではマインクラフトのMakeCodeを使用して視覚的にプログラミングを体験し、プログラミング的思考を養いました。 6コマ目では、近年の事例を基にSNSでの誹謗中傷に関する授業を企業法務担当者が行いました。 7～8コマ目ではマインクラフトを用いたセキュリティ演習を実施し、脅威から情報資産を防衛する策を学びました。 2023年の授業のフィードバック 以下は最終日に学生から回収したアンケート結果の一部です。約8割の学生がインターネット・Web業界への関心を示してくれました。また、多くの学生がより高度な授業、特にアプリ開発の授業開講を望んでいることが分かりました。 今後弊社に期待する授業 2024年の授業 2023年にいただいたフィードバックを踏まえ、より高度な授業内容に刷新しました。「TODOリストのWebアプリ開発」を通じて、プログラミングスキルとアプリの実行基盤であるサーバーの構築、運用スキル向上を目指します。 前半はJavaScriptとReactを用いたプログラミングを学習し、実際に自分のPCで開発を行います。後半は開発したアプリをConoHa VPSにデプロイ、さらにWebサーバーを構築してインターネット上に公開します。また、インフラの役割や仮想技術、セキュリティの重要性を学びます。 2024年の授業のフィードバック 予期せぬエラーやトラブルにより進行がスムーズではなかった部分がありましたが、概ね好評に終わりました。いま以上の高度な技術習得を求める声が43%あった一方で、より初心者向けのレベルを期待する声が54%ありました。難易度は今後チューニングが必要なものの、いずれにせよ本業界に対する興味は引けたと考えております。 授業を通して身に付いたこと、今後役立ちそうなポイント まとめ 学生たちの興味が増加していることから、未来のエンジニア育成という目的は達成できたと考えています（少なくともスタートラインには立ってもらえたと感じています）。また、2年間の授業を通じて、学生たちは企業のエンジニアからより実践的な授業、高度なレベルの授業を求めていることが分かりました。 今後も企業に勤める現役エンジニアだからこそできる実践的な授業を提供し、未来のエンジニア育成に努めてまいります。最後に、このような貴重な機会と多大なサポートを提供してくださった岡村先生に心から感謝申し上げます。

今回は弊社社内で行われている診断業務で気になったWeb Content Security Policy (CSP) を中心に、その基本から代表的なディレクティブまで、そして大規模・中規模サイトにおける導入するか否かの判断をどうしたらよいかあたりを書いていきます。 CSPの基本 CSPは、ウェブページがどのようなリソースを読み込むことができるかを制御するセキュリティレイヤーです。導入することで主に以下の攻撃を防ぐことができます。 XSS攻撃クリックジャッキングパケット盗聴攻撃 実装はHTTPレスポンスヘッダーで CSPはHTTPレスポンスヘッダーとして実装されます。このヘッダーは、ブラウザに対してウェブページのセキュリティポリシーを指示します。CSPヘッダーを設定することで、ブラウザはそのポリシーに従って、許可されていないリソースの読み込みやスクリプトの実行を制限します。 そして、CSPヘッダーの基本的な構文は次のとおりです。 Content-Security-Policy: <directive> <source>; 例えば、次のヘッダーはスクリプトの読み込みを自身のドメインのみに制限することができます。 Content-Security-Policy: script-src 'self'; CSPディレクティブの詳細 CSPには多くのディレクティブがありますが、いくつかよく使いそうなものをここでは紹介していきます。 　- default-src : 他のディレクティブのフォールバックとして機能　- script-src : JavaScriptの読み込み元を制限　- style-src : CSSの読み込み元を制限　- img-src : 画像の読み込み元を制限　- connect-src : HTTPリクエストの送信先を制限 各ディレクティブには、 'none' , 'self' , 'strict-dynamic' などのキーワードを使用できます。ディレクティブの詳細はこちらから確認をお願いいたします。 導入手順をCSPの仕様から考える 攻撃を防ぐ手段としてすぐに導入を。と考えるケースもあると思いますが、導入は段階的なアプローチがお勧めです。 CSPにはデバッグにも活用できるレポートモードがあり、まずはそこを入り口とすることでポリシーの微調整も早めに行うことができると考えています。 レポートモードでの導入（ Content-Security-Policy-Report-Only ヘッダーを使用）基本的なディレクティブの適用（ default-src 'self' など）より厳格なポリシーの段階的適用 導入対象をサイト規模から考える CSPに関わらず、新しい設定を入れる場合はサイト規模や運用コストも考慮する必要があります。ここでは、既存（大・中・小）規模と新規サイトへの導入メリット、デメリットを整理していこうと思います。 まずは既存サイトへのCSP導入ですが、これは慎重に行う必要があります。レポートモードでの長期運用や、重要な部分からの段階的導入を前提にする必要があると思います。 大規模サイトの場合 大規模サイトでは、セキュリティリスクが高く、攻撃の標的になりやすいため、CSP導入のメリットが大きくなります。ただし、段階的な導入と十分なリソース確保が必要です。 メリット　- 高度なセキュリティ保護　- ブランド価値の保護　- コンプライアンス要件の満たしやすさ デメリット　- 導入・維持に高いコストがかかる　- レガシーコードとの互換性の問題　- サードパーティースクリプトの管理の複雑さ 中規模サイトの場合 中規模サイトでは、CSP導入のメリットとコストのバランスを取ることが重要です。段階的な導入と、重要な部分から優先的に適用することを検討しましょう。 メリット:　- セキュリティ強化　- 今後の拡張性の確保 デメリット:　- 導入に一定のリソースが必要　- 既存の機能との互換性確保の手間 小規模サイトの場合 小規模サイトでは、CSP導入のコストと得られる利益を慎重に比較する必要があります。セキュリティリスクが比較的低い場合は、完全なCSP実装よりも基本的なセキュリティ対策に注力する方が効果的になるケースもあるかもしれません。 メリット:　- 基本的なセキュリティ強化　- 長期的な成長に向けた基盤づくり　- セキュリティ意識の高さをアピール　- 比較的少ない労力で導入可能 デメリット:　- 限られたリソースでの導入・管理　- 開発速度の低下の可能性　- 過剰なセキュリティ対策となる可能性 新規サイトの場合 既存と異なり、新規サイトではCSPを最初から導入することで、長期的なセキュリティ管理が容易になります。初期コストは高くなりますが、将来的なメリットが大きいです。考え方としては 小規模サイト に近いものがあるので、同時にメリット・デメリットを確認することをお勧めします。 メリット:　- 最初からセキュアな設計が可能　- 将来的なセキュリティコストの削減 デメリット:　- 初期開発コストの増加　- 開発チームのCSP理解が必要 CSPの将来と新しい機能 CSPは古いものではなく、2024年8月現在も開発が行われています。昨今の CSP Level 3 では、以下のような機能が追加されています。 - worker-src : Web WorkerやShared Workerを読み込むことができるソースを制御- manifest-src : マニフェストファイルを読み込むことができる出所を制御し、潜在的な攻撃ポイントを制限 これらの新機能を活用することで、より柔軟かつセキュアなCSP実装が可能になります。 まとめ CSPは強力なセキュリティツールですが、その導入には慎重な判断と計画が必要です。サイトの規模、既存のコード基盤、運用リソースなどを総合的に考慮し、段階的な導入を心がけることが成功の鍵となると思います。セキュリティと運用効率のバランスを取りながら、ウェブサイトの保護を強化していくことが重要です。

ドローンに関する総合展示会である「Japan Drone 2024 / 次世代エアモビリティ EXPO 2024」が千葉県・幕張メッセで開催されました。GMOインターネットグループはプラチナスポンサーとして協賛し、空のセキュリティをテーマにブース出展を行いました。さらに国際コンファレンスとして「ハッカー目線で徹底解説！ ドローンセキュリティ最新版」と題したセッションも開催しました。GMOインターネットグループからはGMOサイバーセキュリティbyイエラエから2人の専門家が参加。経済産業省の担当者がモデレーターとなって、ドローンに対するサイバー攻撃の最新情報を解説しました。今回はこちらの国際コンファレンスで行ったセッションのレポートをお届けします。 出展概要 日　時：2024年6月5日（水）～7日（金）10:00～17:00会　場：幕張メッセ（展示ホール5・6）千葉県千葉市美浜区中瀬2-1主　催：一般社団法人日本UAS産業振興協議会（JUIDA）共　催：株式会社コングレ 登壇者 山本健一氏　経済産業省製造産業局航空機武器宇宙産業課次世代空モビリティ政策室次世代空モビリティ戦略企画調整官小池悠生　GMOサイバーセキュリティbyイエラエ株式会社　サイバーセキュリティ事業本部執行役員三村聡志　GMOサイバーセキュリティbyイエラエ株式会社　高度解析部高度解析課 災害現場など様々な分野で活躍するドローンの規制の現状 ドローンは現在、空撮や測量、インフラ点検、物流、農業など、様々な分野で利用が拡大しています。ドローン技術の発展に伴って様々なリスクも高まっています。その1つがサイバー攻撃のリスクです。 まず冒頭、経済産業省の山本健一氏が、ドローンの活用事例として能登半島地震での活用状況を紹介。今回の地震では道路が寸断されて孤立した地域が発生して、歩いて行くにも5～6時間かかるような事例が起きていたといいます。 図1　令和6年能登半島地震　ドローン調査実施個所 それに対してドローンで物資輸送したところ「わずか16分で届けられた」と山本氏は紹介。そのほかにも、壊れた家に人が入れない場合にドローンで確認する、災害住宅の建設に適した場所をドローンで上空から探す、といった活躍をしていたそうです。 こうしたドローンは、現在日本で38万機が登録されていると山本氏。現行の法規制では100g以上のドローンは登録が義務付けられており、100g未満のトイドローンなどを含めると数十万機のドローンが実際に使われていると山本氏は話します。 図2　新制度等の運用状況 現行の政府の規制では、有人地帯での補助者なし目視外飛行を可能とするレベル4と立入り禁止措置（補助者、看板、道路横断時の知一停止）をおこなった目視外飛行が可能なレベル3があり、「立入り禁止措置」のハードルが高いため、「レベル3.5」という新たな制度も設けられました。 図3　無人航空機目視外飛行（レベル3飛行）の事業化に向けた改革 これによって、「道路を横切るときに見張りが必要だった」という状況から、ドローンのカメラで確認することで人の手間を省ける、ということになりました。こうしてドローンの利用拡大を図っているのが政府の方針だと山本氏は言います。 ただ、こうしてドローンの利用が増えると運行管理も重要になります。どのようにコントロールするか、規制、技術の両面から政府でも取り組んでいるそうです。 図4　無人航空機の運航管理（UTM）に関する制度整備の方針 ドローンの運航管理技術だけでなく、性能評価、機体の安全性評価など、「政府では毎年30億円ほどの予算を使って開発している」と山本氏は説明しました。 図5　次世代空モビリティの社会実装に向けた実現プロジェクト 図6　ReAMo　機体の安全性能を評価する手法の開発 ドローンに対するサイバー攻撃の脅威 現在、世の中のすべてのものがインターネットに接続する、いわゆるIoT（モノのインターネット）が広がっており、家電製品だけでなくドローンもIoTの1つに数えられます。そうしたインターネットに接続することで便利になる反面、危険性も高まっています。 そこで経済産業省でもIoT製品に対するセキュリティ適合性評価制度構築に向けた検討会を立ち上げるなど、セキュリティの確保に向けた取り組みを始めています。これはドローンに関しても同様で、政府はドローンの評価におけるセキュリティ適合性評価を検討していく考えです。 図7　IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会について そうした規制の現状に対して、実際の攻撃の現状はどうなっているのでしょうか。GMOサイバーセキュリティbyイエラエの三村聡志は、ドローンに対するサイバー攻撃の脅威について次のように説明します。 「ドローンというのは、適切に対策をしないとサイバー攻撃の脅威に晒されてしまう危険性があります。例えば、第三者からの意図しない操作をドローンが受け付けてしまって、救援物資を意図しないところに運んでしまう、もしくは落とされてしまうというものです」。 これに加えて、ドローンが撮影した映像のデータを攻撃者に盗み取られてしまう、またそれを改ざんされてしまうといった、ドローンを介した攻撃というものも考えられます。 実際の攻撃手順についても三村は説明します。まずはドローン自体を把握するために分解をします。これによってWi-Fiとコントローラー間の通信など、一通りの機能を調べるのだといいます。ドローンの制御プログラムが書き込まれたチップを取り出して、プログラムを抜き出すといったことも行えます。 これによって、実際の攻撃ではどこをどのように狙えばいいのかといった部分がだんだんと見えてくると三村は指摘します。加えて、通信経路も調査します。ここで無線LAN経由での攻撃を調査した結果、攻撃の穴が見つかってドローンの映像を盗み見ることができたそうです。 過去の事例では、ドローンと接続したスマートフォンの画面を差し替えて制御を乗っ取り、PCで映像を盗むといった攻撃が成功したそうです。 図8　2023年度弊社ブースで実施したハッキングデモから紹介 こうした攻撃に対して、三村は「ドローンを守るには、まず前提として何を守らなければならないか」として2つのポイントを上げます。1つがデータ漏えい、もう1つが不正操作です。 図9　ドローンの主なサイバー攻撃リスク 気をつけるべきはドローンそのもの、通信経路、クラウドサーバーだと三村は指摘します。クラウドサーバーにはフライトプランなどの情報が格納されていて、録画データも伝送されている場合も多いため、クラウドの保護も重要になってくるわけです。もちろんカメラの映像を盗み見られる可能性もあり、「この3点セットの対策が重要」と三村。 図10　ドローンにおける守るべき対象 基本的な対策としては初期設定パスワードを使わずに変更する、ソフトウェアアップデートを行う、通信はTLSなどにより暗号化する、不要な通信機能が存在していないか、秘密鍵や個人情報は適切に保護されているか、といった基本的な対策を適切に行うだけでも安全になると三村は説明します。 図11　ドローンにおける確認ポイント こうした対策に対して国の取り組みとしては、サイバーセキュリティガイドラインでドローンの用途ごとに、例えば点検用ドローンであればどの程度守るべきか、災害・警備のような人命に関わるドローンだとどうかなど、用途に応じてリスク分析をしてセキュリティの具体的な対策を示しています。 図12　経済産業省　サイバーセキュリティガイドライン こうした政府のガイドラインも参考にしているとGMOサイバーセキュリティbyイエラエの小池は説明します。ドローンの開発支援をする場合も、まずはこのガイドラインを把握する必要性を紹介したり、診断の際にガイドラインに沿った説明をしたり、実際の現場で活用しているそうです。 「ドローンは、攻撃が実際の物理空間にも影響を出してしまうという側面を持ったデバイス」と三村は話します。従来のサイバー攻撃はPC内のデータが盗まれたり壊れたりといった被害は出ますが、ドローンの場合は墜落を含めて物理的な影響も出かねません。 悪用によって人命の被害が出る可能性もあるため、安全なドローンを作り上げるために、官民一丸となって取り組んでいく必要があると三村は訴えます。 小池も「ドローンは飛行高度が変わってしまうだけで何か事件が起きてしまう可能性も考えられる」と、ドローンのセキュリティ対策の重要性を指摘。ドローンの制御が奪われることで重大事件に繋がりかねないという認識は共有すべきだと強調しています。 三村は、ドローンは重要なインフラとしてセキュリティ対策は重要ですが、現時点で基本的な対策がしっかりできているドローンが増えれば、安全なプラットフォームとしてドローンがビジネスとして活用できるようになる、と説明。セキュリティ対策以上の効果が得られるとアピールします。 山本氏も、スマートフォンを購入して使うときに個人情報の漏えいに気をつけるように、ドローンを買ったら同様にセキュリティ対策に注意をする。一人一人が危機感を持って考える必要があると指摘します。 ドローンのセキュリティに取り組むことは、今後のドローンビジネスの拡大にも重要で、メーカーや政府、ユーザーそれぞれが取り組んでいくことが必要になりそうです。

こんにちは、GMOインターネットグループ株式会社 システム統括本部 ホスティング・クラウド開発部 アプリケーション共通チーム（技術推進チーム/AWS運用チーム）の井本です。弊社では、AWS環境におけるセキュリティ強化の取り組みを随時実施しております。今回は、直近で実施したセキュリティ統制の取り組みである「AWS Security Hubの導入」について、ご紹介させていただきます。 はじめに みなさんは、Security HubやGuardDuty, Trusted Advisorなどを導入したものの、「各チームにご対応いただけない」、「通知が来すぎてしまう」など、うまく運用を回すことができないという状況に直面したことはないでしょうか？ 今回は、Security Hubの横断導入に際して、得られた知見をご共有させていただき、ぜひみなさんが導入・運用改善される際の参考にしていただければと思います。 AWS Security Hub導入の背景 弊社では、従来オンプレミスで運用を行っていた際はもちろん、Security HubやGuardDuty, Trusted Advisorなどの導入は行っておらず、「GMOサーバーセキュリティ by イエラエ株式会社」の「クラウド プラットフォーム診断」を実施させていただり、社内で策定したセキュリティガバナンスに基づいているかを定期的にチェックする、あるいは、問題が発生した（発生してそうと判明した）ときに、手動で検知して対応するしかありませんでした。 そこで、自動的にセキュリティ上の問題を検知・集約化してくれるSecurity Hub導入への機運が高まり、導入に行った次第でございます。 各開発・運用チームに対応いただくための取り組み コントロールの精査 コントロールとは、Security Hubのセキュリティ基準における各セキュリティ項目を指し、何の優先度も付けず、すべてを片っ端から対応を進めていくのは生産的ではないため、弊社では下記のような分類に基づき、優先度付けや対応方針を策定しました。 なお、弊社で導入しているセキュリティ基準は２つであり、「AWS 基礎セキュリティのベストプラクティス v1.0.0」と「CIS AWS Foundations Benchmark v1.4.0」です。 「AWS 基礎セキュリティのベストプラクティス v1.0.0」では、下記４種類の対応方針を定めています。 ◆是正まで追跡　・期限を設定し、検知項目が是正されるまでAWS運用チームが追跡する◆通知のみ　・ユーザーに通知のみ、是正するかは任せる　・通知したら抑制済みとし、セキュリティスコア対象外◆対応しない　・対応する必要なし、抑制済みにする◆無効化　・コントロールを無効化にする 「CIS AWS Foundations Benchmark v1.4.0」については、弊社の使っていなサービスに関する項目や対応が難しそうな項目は「無効化」し、それ以外のすべてのコントロールを「是正まで追跡」と定めています。 また、「AWS 基礎セキュリティのベストプラクティス v1.0.0」については、下記の分類により対応方針を定めています。 ◆必須サービス　・必須で有効化すべきサービスや必要な設定　・サービスや設定毎の特徴があるため、実際はコントロール個別での判断が多い　・対応方針：是正まで追跡◆可用性確保　・マルチAZやバックアップなど　・セキュリティといえばセキュリティだが、今回のスコープでは特に幅の広い要素　・厳密なセキュリティ要件ではないため管轄外　・対応方針：対応しない◆ロギング　・サービスのログ保存など　・本番環境の大体のログは必須とする　・対応方針：是正まで追跡◆通信中の暗号化　・TLSを利用するもの　・現代のインターネットでは必須　・対応方針：是正まで追跡◆保管時の暗号化　・KMSなどを利用したストレージ上の暗号化　・ポリシーと規制要件のためここでは管轄外　・対応方針：対応しない◆使用なし　・現状、使用していないサービス　・検知ステータス：データなし　・対応方針：無効化◆その他　・セキュリティ要件から外れるログの適用等は対応しない　　‐VPCフローログとか　　‐ログだけ運用されないといった事象につながるので必須にはしない　・WAF適用は本番で通知のみ　　‐WAFが不要な対象もあるため、WAF入れてないけど大丈夫かの確認だけ通知する　・OS以上のレイヤーの脆弱性管理は管轄外　　‐SSMパッチコンプライアンスなど、別で管理する場合も多いため　　‐AWS環境のセキュリティを維持する目的からは外れる なお、重要度が「CRITICAL/HIGH」、かつ上記の分類が「是正まで追跡」となっているコントロールはそのまま「是正まで追跡」とし、重量度が「MEDIUM/LOW」、かつ上記の分類が「是正まで追跡」となっているコントロールは「通知のみ」と定めています。また、それ以外の対応方針（「通知のみ」/「対応しない」）は、重要度に関わらず、上記の分類に基づいた対応を実施します。 これらのコントロール別の対応方針は、DynamoDBの「対応方針テーブル」に保存しておき、セキュリティ上の問題検知後、それぞれの対応方針に応じて、対応が実施されます。 通知周りの実装・設定 通知周りの実装は、うまく運用を回す上で、最も重要な部分です。 まずは、Security Hubの検出結果をAmazon EventBridgeにより取得し、その取得結果をStep Functionsに流します。 私が設定しているEventBridgeのルールにおける、イベントパターンは下記の通りです。 { "source": ["aws.securityhub"], "detail-type": ["Security Hub Findings - Imported"], "detail": { "findings": { "Compliance": { "Status": ["FAILED", "WARNING", "NOT_AVAILABLE"] }, "RecordState": ["ACTIVE"], "Workflow": { "Status": ["NEW"] } } } } ここで特筆すべき事項としては、findingsのComplianceのStatusが「FAILED/WARNING/NOT_AVAILABLE」、WorkflowのStatusを「NEW」に限定している点です。 これにより、新たに検知された問題のあるセキュリティ項目のみを取得することができます。 取得されたセキュリティ項目は、下記のStep Functionsにより、対応方針に応じた処理が実行されることになります。 また、その対応方針が「是正まで追跡」である場合は、DyanamoDBに登録したアカウントテーブルからそのアカウントの担当者情報などを取得し、その結果をもとにSlack通知やチケット記票（後述）を行います。 通知の実装をする際には、EventBridgeから取得したデータを基にして、Amazon SNSとAWS Chatbotを使用することで、Slackチャンネルへの検出結果の送信が非常に簡単にできます。 しかし、デフォルトでは英語で通知、詳細な条件分岐によるメッセージの変更など、カスタマイズ性が悪く、今回の要件とはマッチしなかったため、弊社ではAWSに関する通知周りの実装を行う際はLambdaを利用するケースが多いです。 なお、今回対応方針を「通知のみ」に定めたコントロールに関しては、Security Hubの定期的なチェックのタイミングで通知するのではなく、月次サマリとしてすべての対応状況と併せて通知するようにしています。 当初は、対応方針が「通知のみ」のコントロールについても、Security Hubの定期的なチェックのタイミングで通知するように実装を行っていたのですが、「是正まで追跡」を実施するコントロールがSlack上で流れてしまい、管理がしにくくなってしまう懸念が生じたため、仕様変更を行いました。 （チャンネルを分けて、対応方針が「通知のみ」専用の通知用チャンネルを作るという選択肢もなくないですが、みなさんご存じの通り、そのようなチャンネルはまあ見ることはないですよね、、） 月次サマリを実装する際ですが、Security HubのセキュリティスコアをAPI経由で取得する手段はないため、boto3から各コントロールの「成功/失敗」を取得して算出するようにしています。 月次サマリのメッセージのサンプルは下記の通りであり、これだけでは詳細は分かりかねるものの、Security Hubのコンソールや対応状況管理チケットへの導線として機能するようにしています。 ※数値は仮のものを使用しております 2024年4月1日 現在のSecurity Hub検知状況をお知らせいたします。 ◆CIS AWS Foundations Benchmark v1.4.0　・CRITICAL：0　・HIGH：0　・MEDIUM：3　・LOW：5 ◆ AWS 基礎セキュリティのベストプラクティス v1.0.0　・CRITICAL：0　・HIGH：0　・MEDIUM：8　・LOW：10 なお、上記の検知結果は失敗件数でございます。 CIS AWS Foundations Benchmark v1.4.0およびAWS 基礎セキュリティのベストプラクティス v1.0.0の「CRITICAL/HIGH」については、対応必須ですので、期日までのご対応をお願いいたします。 是正までの管理方法 弊社では、対応方針が「是正まで追跡」のコントロールに関しては、Slack通知とともに、自動的に社内のチケット記票を行い、そのチケットを利用して対応状況を管理できる仕組みを構築しています。 なお、上記チケットは弊社では、GMOチケットと呼んでおり、普段のプロジェクト管理にも利用しているため、様々なツールや機能がもともと用意されておりますが、ない場合はどのように対応状況を管理していくかを検討する必要があります。 なお、検出結果に基づく通知するメッセージのサンプルは下記の通りであり、各開発・運用チームは検出されたメッセージを確認して、参考URLから検出された原因やネクストアクションを確認することができます。 最終行に記載がある通り、商材やセキュリティ診断などの事情により許容すべき場合もあるので、その際はスレッドにその旨を記載いただき、ご相談させていただくような形式にしています。 タイトル：重要度: LOW (S3.13) S3 バケットでは、ライフサイクルポリシーを設定する必要があります対応期限：２週間以内に対応してください対象◆AWSアカウント：<Account Name>（<Account ID>）◆リージョン：ap-northeast-1◆リソース：<Resource>◆参考URL： https://docs.aws.amazon.com/console/securityhub/S3.13/remediation◆許容すべき設定の場合はこのスレッドでメンションをつけて理由を説明してください 委任アカウントでの運用 Security Hubでは、権限を委任することで委任アカウントに、検出結果や通知の実装などを集約することが可能です。 しかし、標準機能では、委任アカウント側からコントロールの有効/無効を変更しても、その変更はメンバーアカウント側に伝搬することができません。 そこで、aws-samplesにて公開されているcontrol-disablerというソリューションを導入することで、この問題を解決することができました。 ただし、Security Hubの機能の１つである検出項目の自動修復については、Terraformによりリソースを管理しており、そのstateファイルと不整合が生じる可能性が高く、弊社では利用しておりません。 目下のセキュリティ施策 私たちが実施している目下のセキュリティ施策の一部について、ご紹介させていただきます。 現在、弊社では「継続的な運用」をテーマに、本記事のようなSecurity Hubの通知周りの整備を行ったように、AWS Trusted AdvisorやAmazon GuardDutyについても同様に集約アカウントで管理し、何か悪意のあるアクティビティや異常な動作をモニタリングして、自動で重要度に応じた通知する仕組みを実現しようとしています。 また、オブザーバビリティ向上のために、ログ最適化やX-Rayの導入、障害予測・検知ためにAmazon DevOps GuruのPoCを実施しております。 まとめ セキュリティ施策を実施する上で、重要なのは目的から逆算して、必要な施策を行うことです。ここでの目的とは、セキュリティ上の問題に対して、完璧に０にすることはできなくとも、限りなく０にするために、コスト見合いを行いながら、対応を継続的に行っていくことです。 AWS環境を利用していれば、往々にして「Security Hubを導入しましょう」「GuardDutyを導入して悪意のある動作を検知しましょう」といったサービスの導入部分にフォーカスされた会話になりがちですが、重要なのは導入することが目的なのではなく、継続的にそのサービスを利用して対応を進めていくことです。 しかし、それでもなお、「発見的統制」「予防的統制」「障害予測・検知」において、対策できていない箇所があれば、新たにAWSのサービスや他のツールの導入を検討しましょう。 今後 今後については、足元のセキュリティ施策を完遂させることに加え、本記事で課題として挙げたセキュリティ上の問題の検知→自動修復をTerraformで管理している場合でも、実現できないかという観点を模索したいと考えています。 それが破壊的な変更となっていないか念のために確認するという作業は結局人が行う必要があるものの、自動修復を実現することができれば、少ない工数で最高にセキュアな環境を維持し続けられることができます。 また、そこで削減できた時間を新規開発に充てることができれば、今まで「守り」に費やしていた時間を「攻め」の時間として活用することができると考えております。 参考URL https://tech.gunosy.io/entry/2022/12/04/120000 https://dev.classmethod.jp/articles/devio-2022-how2make-strongest-aws-secure-accounts/ https://github.com/aws-samples/aws-security-hub-cross-account-controls-disabler https://dev.classmethod.jp/articles/get-control-finding-summary-by-boto3/

10月5日（木）に開催された「技育CAMPアカデミア -Vol.03」においてデベロッパーエキスパートの三村 聡志が登壇し「コンピュータの仕組みを知ろう」というタイトルで勉強会を開催しました。勉強会では、普段あまり気にしないようなコンピュータ内のデータの保存の仕組みからOSの仕組みまでを紹介しました。イベント告知： https://developers.gmo.jp/37769/ 登壇者 GMOインターネットグループ デベロッパーエキスパート三村 聡志（@mimura1133 / 親方） 実際に動いているものを見てコンピュータの見方を広げる 今回の勉強会では「実際に動いているものから仕組みを知る」ということにフォーカスを当てました。いくつか勉強会の資料のスライドを用いて説明します。 たとえば「コンピュータが『0』『1』の2つの値の組み合わせで動いている」という話は、学校の技術の教科書にも掲載されているほど、コンピュータの説明としてよく登場する話です。 では、実際にどういう信号が「0」と「1」になっているのでしょうか。下記の右下の図を見てみましょう。よく見ると波形が表示されていることに気づきます。 この波形は、左の図の装置で記録した実際の通信データであり、実際にUSBキーボードの通信を記録したものになります。 コメントを入れて読みやすくしたものが下図になります。（上図で掲載の波形とは少々異なります） 色々とアルファベットが書き込まれていて複雑になってきました。もちろん、今回の勉強会では、このような波形を読めるようになる事はゴールとはしていません。 今回の勉強会では「実際にはこういうことが起きている」とか「教科書に載っているような理想との差（たとえば波形が矩形波ではないということ）がある」ということを知ること、そしてこのような基礎技術の存在を知り見方を広げることが今回の勉強会の大きなテーマでした。 身近なものから高度な技術まで 今回の勉強会では下記の4テーマに触れて進めました。このうち後半の3テーマについて順を追って説明します。 2進数・「0と1」ファイルの中身（フォーマット）プログラムの動く仕組みOSの仕事 ファイルの中身（フォーマット） ファイルの中身をバイナリエディタを用いて開きその特徴を調べました。 まず Bitmap ファイル (BMP) の場合。（ここでは分かりやすくするために 24bit フルカラーのファイルを用います。）下図に示すように、光の三原色がそれぞれ 1バイト (=8bit) で表現されていること、また書き換えるとその部分がそのとおりに色が変わることを紹介しました。 またファイルによっては特徴的なデータ列 (magic) が含まれる場合や、文字列として中身が見える場合などがあり、そのような特徴がファイルによって存在することを確かめました。 プログラムの動く仕組み ここでは nasm を用いて、実際にアセンブル・および逆アセンブルを実施して、簡単なプログラムの作成と解析を行いました。 高度なプログラムも簡単な操作を複数組み合わせることで成り立っていること、そしてもちろん現在のPCで動作するプログラムも基本的な考え方は同じであることを紹介しました。 OSの仕事 ハードウェアの抽象化・リソース管理・スケジューリングについてこれまで話をしてきたことを組み合わせながら説明を行いました。 OS側でケアをすることにより、機器毎の違いをアプリケーションの開発者が気にしなくてもよくなっていること、複数のプログラムを起動しても動いていることなどを実例を交えて説明を行いました。 さいごに 今回の内容は1時間としてはとても濃い内容になっていたと思います。また演習環境の準備の関係上、勉強会の時間内では手を動かせなかったかたもいると伺っています。 いくつかの準備不足等はありましたが、資料は参加者のみなさんには公開していますので、少しでも興味関心が湧く所やもう少し掘り下げてみたいと思える場所が今回の内容から見つかれば嬉しいと思っています。

こんにちは、暗号のおねえさんことGMOインターネットグループ デベロッパーエキスパートの酒見(@ysakemin)です。2023年7月22日〜28日、アメリカ・サンフランシスコでInternet Engineering Task Force (IETF) 117 に参加しました。今回の参加目的としては、IETF117でHackathonに参加すること、IETFにおける暗号技術の動向を調査することです。Hackathonでは低遅延暗号 Areion に関するプロジェクトを立上げたので、今回の記事ではその話題に触れたいと思います。 イベント概要 The Internet Engineering Task Force (IETF)とはIETFは、インターネット技術の標準化を行う団体です。 これまで、HTTP、IP、TCP/UDP、TLS、QUICなどインターネットで使われる多くのプロトコルが標準化されてきました。オープンな組織であり、会合には誰もが参加可能です。活動の生産物として、RFC(Request for Comments)を発行されています。IETFの詳細については、こちらをご参照ください。 以下は、本記事で取り扱う2023年7月に開催されたIETF117の概要です。 イベント：IETF117開催日時：2023年7月22日（土）～28日（金）開催場所：カリフォルニア州サンフランシスコ ヒルトンユニオンスクエア　　　　　オンラインのハイブリッド主催：NOKIA（ノキア） 活動の背景 今回のHackathonでは、低遅延暗号 Areion に関する活動を行ったのですが新規にテーマ登録して参加を行なったので、この活動を実施する上でのノウハウも書かせていただきたいと思います。 この活動の背景としては、NICT Beyond5G研究開発促進事業 委託研究の「リアルタイム暗号技術とプライバシー保護への拡張」があり、この研究テーマでは低遅延暗号Areionをインターネット上で利用できるような環境を増やすことがミッションの一つとなっております。気になる方はこちらのURLを確認してくださいね。 ＜ノウハウ1＞ Hackathonでの「最初の一歩」 Hackathonに参加する際には、IETF Hackathon Wiki の中から興味のあるテーマを見つけるのですが、今回のわたし達のテーマは立ち上げが必要です。 テーマを立ち上げるためには「Champion」になる必要があります。「Champion」とは、テーマの主催者であり、Championとして登録することはテーマを主導していくことの宣言となります。 Championになる方法は簡単で、Hackathon Wikiに下記のような内容を記入するだけです。 ### Your Project Name - **Champion(s)** - Your Name (email at domain.com) - **Project Info** - Your project description here なお、Hackathon Wikiの記入はIETF Datatracker accountの取得が必要となるため、ご注意ください。 例えば、今回の低遅延暗号 Areion ですと、Wikiへの記載例は以下のとおりです。 ＜ノウハウ2＞ Hackathon当日の場所取り Hackathon当日のChampion のミッションとして、お花見でいうところの「場所取り」があります。会場には大きなテーブルがたくさんあるので、どの席がいいか？などを考えて場所を決めます。場所の取り方は原始的で、ホワイトボードの空きテーブルと実際の空きテーブルを確認しながら、確保できそうな場所にテーマ名を記入します。私たちのテーマだと、以下のような感じで確保することができました。 テーブルが確保できたら、テーブルに立て看板が用意されているので、そこにテーマ名を出して場所取り完了です。 今回、いい感じの場所を獲得することができたのですが、真夏のサンフランシスコだったにも関わらず、エアコンの吹き出し口の真下な席で寒すぎて体調を崩したので…次回からはその辺も気にして場所取りしたいですね！ 陣地も獲得できたら、あとは計画していたHackを進めていきます。 Hackathonの2日目に成果発表会があるため、目標を達成して良い報告ができるように活動に取り組んでおりました。成果発表の時間は、IETF Hackathon Wikiにテーマ登録を行い、専用のGitHubリポジトリに登録することで枠をもらえます。 今回のHackathonでの活動 今回は、Areionのリファレンス実装のOpenSSLへの組み込みを行い、TLS1.3でAreionを使えるように対応を行いました。 Areionを組み込んだOpenSSLの実装と発表資料は以下のとおりです。 実装はこちら。発表資料はこちら。 Hackしている時や発表後にコメントやアドバイスを多くいただけたので、今回は大成功だったと思っています。 今後の取り組み 今後は、2023年11月4日から開催されるIETF118に向けて活動を準備していきます。引き続きよろしくお願いします。 当社では、先端技術を用いたコア実装、調査研究、実証実験などの研究支援から、標準化支援、エンタープライズ向けサービス開発まで積極的に実施しておりますので、お気軽にお問合せください。 お問い合わせはこちら

先日開催された、セキュリティ・キャンプ 全国大会 2023に、GMOインターネットグループはシルバーメンバーで協賛しました。当日は企業紹介イベントへの参加や、GMOインターネットグループの社員が講師として参加してきましたので、その内容をレポートしていきます！ イベント概要 セキュリティ・キャンプ全国大会とは 「セキュリティ・キャンプ」のメインイベントとして主に夏休み期間中に実施する合宿形式の勉強会です。 毎年テーマ別に集められるエキスパートが講師となり、専門的・実践的な講義が受講できるほか、合宿の中で同じ趣味を持った仲間との交流もあります。全国大会のほか、全国大会修了生の次のステップとなるネクストキャンプ、小中学生を対象としたジュニアキャンプも同時開催いたします。また会期中には、これまでにセキュリティ・キャンプに参加した修了生がチューターとして学習の支援等も行います。 開催日：2023年8月7日（月）～8月11日（金）開催場所：クロス・ウェーブ府中参加費：無料（事前登録制）主催：独立行政法人情報処理推進機構（IPA）、一般社団法人セキュリティ・キャンプ協議会公式HP：https://www.security-camp.or.jp/IPA HP：https://www.ipa.go.jp/jinzai/security-camp/2023/zenkoku/index.html 会場となるクロス・ウェーブ府中は、勉強する部屋、食堂、ホテルがすべて建物内に入っており、学生たちは過ごしやすそうで勉強に集中しやすい環境が整ってました。 「このはちゃんポーチ」使ってくれたかな？！ 参加者には、各協賛企業からのノベルティが事前配布という形で各自宅に郵送されました。 GMOインターネットグループからは、合宿期間中に使用できるようにと、小物類など持ち運びに使える『このはちゃんポーチ』をプレゼントさせていただきました！！ 弊社のホスティングサービス「ConoHa by GMO」のキャラクターである”美雲このは”です。是非たくさん使ってくださいね～！！ 企業紹介イベント 今回は現場で活躍するエンジニアと人事が参加させていただきました。 前半は人事より、会社説明や働く環境について詳しく説明させていただきました。後半はセキュリティに携わるエンジニア2名より、実際に行っている業務内容や働いていくうえでのモチベーションなど、なかなか聞けないリアルな現場の話をお話しました。 最後の質問タイムではたくさんの声をいただき、有意義な時間になったのではないかなと思います。 参加してくれた方にはGMOオリジナルノベルティをプレゼントさせていただきました！ GMO講師 GMOインターネットグループより、講師として複数名参加いたしました。実際に参加してみての感想やインタビューをいただきました！ GMOペパボ株式会社 紫関 麗王 開発コース│Z2『Rust製Linux向けアンチウィルス実装ゼミ』 Q：全国大会の講師を終えての感想 紫関セキュリティ・キャンプ全国大会には2020年に受講生としてオンラインで参加したため、オフライン会場での参加は初めてでした。今回は講師という立場での参加でしたが、受講生と共に、自分も多くの事を学びました。 Q：学生へのメッセージ 紫関セキュリティ・キャンプは恐らく来年も開催されるでしょう。密度の高く、熱量もある濃密な5日間を過ごすことができる貴重なイベントなので、今年参加できなかった方もぜひ来年またチャレンジしてください。 GMOサイバーセキュリティ byイエラエ株式会社 三村 聡志 専門コース│A4『ローレイヤーから見るファイルシステムの理解』 開発コース│X1『リバースエンジニアリングゼミ』 Q：全国大会の講師を終えての感想 三村今年も昨年に引き続き、専門コースで1講義と開発コースのひとつを担当しました。「ローレイヤーから見るファイルシステムの理解」は、昨年や他のミニキャンプでも行っている内容で、xxd コマンドと grep と電卓だけで FAT32 を読み進めるという講義になります。慣れるまでがとてもハードな内容とはなりますが、今年は終わったあとに「とても楽しかった」という感想をもらう事も出来、私の方もとても楽しかったです。また「リバースエンジニアリングゼミ」は本業で行っている IoT ペネトレーションテストをそのまま一週間行うような講義になっています。全国大会の講師は昨年に引き続きとなりますが、参加者の知識や感性が異なるため、毎回新しい発見や刺激があってとても楽しいコースと感じています。来年も機会があれば引き続き担当出来たらと思っています。 Q：学生へのメッセージ 三村ものごとの仕組みを知る、基礎を知るというのはとても大事なことだと考えています。「USB端子に機器を接続すれば繋がる」ということは知っていても、機器が使えるようになるまでにどのような通信が行われているのか、機器が繋がったことをどうやって知るのか、などそこには通常知られていない様々な技術が隠れています。仕組みを深く知るためにはそれなりの時間や手間が掛かりますが、知ることができればそこから新たな世界が見え、新たな活用方法・攻撃手法の発見に繋がっていきます。是非学生のうちに、ものごとの仕組みや基礎の学習・調査を進め、ワクワクがあふれ出るエンジニアに皆さんがなられることを願っています。 GMOサイバーセキュリティ byイエラエ株式会社 緑川 志穂 開発コース│L1『暗号化通信ゼミ』 Q：全国大会の講師を終えての感想 緑川講師を拝命するのも6回目になりますけれども、受講生の方々のバイタリティには毎年驚かされるばかりです。そして久々のオフライン開催はオンライン指導との違いを改めて感じさせてくれました。開発コースではしばしば事前学習期間に極めて高い比重を置きますし、私の担当したゼミも事前学習期間が寧ろメインの指導期間となっていました。それでもオフラインで開催された5日間は事前学習よりもひときわ濃い印象を残したと感じます。叶うなら来年も是非オフラインで参加したいところです。 Q：学生へのメッセージ 緑川閉講式で言われたことを覚えておられるかもしれませんが、キャンプ修了後に重要なのはモチベーションの維持です。でも本記事の投稿の頃にはそろそろ一度息切れする頃かとも思います。五線譜に描かれる休符に無駄なものが無いように、休むこともまたモチベーションへと寄与します。キャンプ以降幾星霜が経過しても能力を発揮し続けられるよう、頭に留めてもらえると幸いです。 GMOサイバーセキュリティ byイエラエ株式会社 西谷 完太 / 山崎 啓太郎 専門コース│B6『ソースコード解析によるWebアプリケーションの脆弱性調査』 Q：全国大会の講師を終えての感想 西谷去年講義を行った「マイクロサービス／分散モノリス的アーキテクチャへの攻撃手法」では、近年普及が進んでいるクラウドサービスやマイクロサービスアーキテクチャを題材にした各サービス連携時に発生する脆弱性を使った攻撃手法を取り扱いました。今年の講義は「ソースコード解析によるWebアプリケーションの脆弱性調査」ということで、よりアプリケーション単体のロジックにフォーカスし、ソースコードの静的解析による脆弱性調査の楽しさや開発者自身が原因の特定などに役立ててもらうための内容を盛り込んだ内容となっています。また、CodeQLなどWebセキュリティの中でも比較的新しいトピックを講義内容に盛り込んでいるので学生だけでなくエンジニアが興味を持って取り込める内容だと思いますので、興味があれば今後公開予定の資料を覗いて取り組んでもらえると幸いです。 山崎講義は手動でのソースコード解析とツールによる自動化という内容で行いましたが、比較的実践的な内容になったかと思います。専門Bコースでは本講義の他にもWebプロダクトのセキュリティーやその周辺に関連した講義から構成されており、どれも社会人にとっても面白い講義だったのが印象的でした。 Q：学生へのメッセージ 西谷各プログラミング言語やソースコードリーディングだけでなく、様々な知識を必要とする講義で取り組むのが非常に大変だったと思います。ただ、その中でソースコードの静的解析による脆弱性調査の楽しさや開発者自身が原因の特定など、あなた自身のやりたいこと、やっていることに少しでも役立てていただければ幸いです。 山崎今回の講義の後半ではソースコード解析ツールを利用してクエリを書いてもらいましたが、実際には開発者の意図や状況を想定して人間がソースコードや設計書を読み、動作を検証しなければ見つかりづらい脆弱性がまだまだ多く存在しますし、今後も必要とされるスキルだと思います。ソースコードを読んでバグを探す時には様々な知識や経験が役に立つので、本講義が自身の興味を広げたり新しい知識を得る一助になっていると嬉しいです。 ▼講義資料はこちらhttps://gmo-cybersecurity.com/news/security_camp_presentation_slide_20230912/ さいごに セキュリティ・キャンプ全国大会2023にご参加された学生の皆さま、5日間の勉強合宿、大変お疲れさまでした！！皆さんの今後の頑張り・活躍を応援し期待しております！

こんにちは、GMOインターネットグループ株式会社の小林です。今回はセキュリティ対策の一環で導入しました、Yubileyについてご紹介させていただきます。 導入背景 以前よりMicrosoft365を導入していましたが、元々はID/PASSでの認証でした。それでは脆弱な状態であると判断し、全パートナーにスマートフォンを配布して多要素認証を導入しました。しかし、コールセンターや特定の業務のみに従事している場合は多要素認証のためだけにスマートフォンを配布するため一定のリスクが伴います。そのためID/PASSのみの認証にはならずに多要素認証を実装できるYubikeyの導入を決めました。 Yubikeyとは Yubikoという会社が開発したセキュリティキーで、用途に応じて複数の種類が発売されています。今回導入したのは以下画像にあるUSBのような形状のものになります。 種類についての詳しくは日本の公式代理店であるソフト技研のサイトを参考にしてください。 導入方法 Yubikeyが使用できるサービスは様々ありますが、今回は全パートナーに導入済のMicrosoftアカウントの認証に実装してみました（多要素認証を実装するためには事前にMicrosoftのライセンス及びMicrosoftアカウントの設定が必要になりますのでご注意ください） 簡単にユーザーが使用を開始できるまでの方法をご紹介させていただきます。 ①Yubikeyのソフトウエアを使用するPCにインストールします（Yubico Authenticater）②PCにインストールされたYubico Authenticaterを起動します。 ③Yubikeyデバイスをパソコンに接続します。 ④Yubikeyを接続するとアプリが以下の画面に代わります。　「三本リーダー」をクリックします。 ⑤「Add account」をクリックします。 ⑥以下のリンクをクリックし、Microsoft365のセキュリティページにアクセスします。　Microsoft365マイアカウント-セキュリティ確認　「＋サインイン方法の追加」をクリックします。 ⑦「認証アプリ」を選択し、「追加」をクリックします。 ⑧「別の認証アプリを使用します」をクリックします。 ⑨「次へ」をクリックします。 ⑩認証アプリのQRコードが表示されます。　㋐Yubico Authenticaterの「Scan QR code」をクリックします。　㋑Yubico Authenticaterの「Require touch」をクリックします。　㋒Yubico Authenticaterの「Save」をクリックします。　㋓認証アプリの「次へ」をクリックします。 ⑪Yubico Authenticaterにメールアドレスを登録されます。　㋐Yubico Authenticaterに登録されているアカウントの「指マーク」をクリックします。　㋑Touch requiredというメッセージが表示されますので、Yubikeyデバイスの金属部分をタッチします。　㋒認証の番号が表示されますので、認証アプリの「コード入力」場所に入力します。　㋓認証アプリの「次へ」をクリックします。 ⑫認証アプリの登録が完了するとセキュリティ情報に認証アプリが表示されます。 利用方法 次回以降、再認証がMicrosoftのログインページで求められる際はパスワード認証の後に以下の認証が求めらます。表示されたらYubico Authenticatorからコードを取得して入力してログインできれば認証完了となります。 ※Yubico Authenticatorのコードを確認する方法 ①Yubico Authenticatorのアプリを起動します。 ②Yubicoアプリに登録されているアカウントの「指マーク」をクリックします。 ③以下の画面が表示されますので、「Calculate」アイコンをクリックします。 ④「Touch required」のメッセージが表示されます。 ⑤Yubikeyデバイスの指定した場所を「タッチ」します。 ⑥Yubico Authenticatorの認証コードが表示されます。 まとめ Yubikeyの設定自体は簡単で、仕様を理解していれば短時間で導入可能です。 実際の多要素認証の場面では物理的に触れることで認証されるため、業務で利用するパートナーにとっても理解しやすいものとなります。導入によりスマートフォンを使用する多要素認証よりも問い合わせが少なくなり、IT部門と利用者の双方の負担が軽減され、時間とリソースを節約することもできます。ご参考になれば幸いです。

GMOインターネットグループが、12月6日（火）～7日（水）の2日間にわたり開催した「GMO Developers Day 2022」。東京・渋谷フクラスにおけるリアル登壇とオンライン配信のセッションを組み合わせたハイブリッドで開催された今回のイベントでは、Web3、AI、セキュリティ、クリエイティブといった「技術の拡張（Add on）」を、スペシャリストたちが紹介しました。今回はその中から、「プライバシー保護連合学習技術と活用方法について」と題したオンラインセッションをお届けします。登場するのはGMOサイバーセキュリティ byイエラエ株式会社から、AI開発部スペシャリストの伊藤一明です。 登壇者 伊藤 一明GMOサイバーセキュリティ by イエラエ株式会社AI開発部 スペシャリスト 連合学習に暗号技術を「Add on」したDeepProtect インターネット技術の中でもサイバーセキュリティなどに関する事業を展開するGMOサイバーセキュリティ byイエラエ。「誰もが犠牲にならない社会を創る～デジタルネイティブの時代を生きるすべての人が安全に暮らせる社会作りに貢献します～」をミッション＆バリューとして掲げています。 現代の課題の1つとして、伊藤は「複数の組織がデータを持ち寄って分析しないと解決できない課題に対して、データを共有したり開示したりできないという二律背反がある」と指摘します。 これを解決するための技術としてイエラエ社が社会実証・ビジネス化を進めているのが、連合学習と呼ばれる機械学習の手法に、暗号化したまま計算できる特性を持つ準同型暗号を「アドオン」したプライバシー保護連合学習技術である「DeepProtect」です。複数の組織が持つデータセットを互いに秘匿し、プライバシーや機密性を保ったまま共同で機械学習を行える、独自のプライバシー保護連合学習技術となります。 では、そのDeepProtectとはどんな技術でしょうか。 鍵となる技術である「連合学習」は、2017年にGoogleが提唱した機械学習モデルの手法です。Googleでは、キーボードアプリである「Gboard」の予測変換の精度向上に活用しています。 この技術は、機械学習に必要な学習用データを、1つの拠点やサーバに集約せずに作成できるという点が最大の特徴です。散在した学習用データを使っても、作成されたモデルは集約した場合と同等の性能があるとされています。 例えばGboardでは、各スマートフォン上で入力されたテキストデータと入力サジェストのクリック状況等から学習データを生成するのですが、キーボードで入力された文字列やクリック状況は機密性の高いデータになります。この学習データから機械学習を実行し更新モデルを作成するのですが、ここまではGboardをインストールしたスマートフォン内で行われ、学習データはローカルにとどまっています。 その後、更新モデルの差分情報のみがクラウドに送信され、他のユーザーの更新モデルと平均化されて、すべてのユーザーで共有する共有モデルを作成、改善されたモデルを再び共有します。これが個々のスマートフォンにダウンロードされて、再びローカルでの改善、更新モデルの作成に活用されます。これが繰り返されることで、キーボード入力の予測精度が向上する、というのがGboardの連合学習です。学習データ自体はスマートフォン内にとどまり、サーバに集約する必要がありません。 Gboardにおける連合学習の概念図。ローカル内で学習、改善、更新モデルの作成というサイクルを回しつつ、差分情報だけをクラウドに集約して、共有するためのモデルを作成、改善していきます。google資料「Federated Learning: Collaborative Machine Learning without Centralized Training Data」より抜粋 このように、学習モデルを作成する際には個人情報を含むデータの送信が行われず、学習によって得られた差分パラメータ（勾配情報）のみを送信することで、個人情報などの機密データを開示することなく学習モデルを構築できるのが連合学習です。 送信されるのは、プライバシーに関わるような個人情報などではなく、学習モデルの差分パラメータ（勾配情報）のみになります これに「アドオン」する準同型暗号は、その名の通り代数学で知られる「準同型（homomorphic）」の性質を持った暗号方式です。暗号化されたデータに対して加算や乗算といった演算を行った場合、復号した結果が、暗号化しない場合と同じデータ演算結果になる暗号方式です。 例えばEnc(m_1)とEnc(m_2)という暗号化されたデータがあった場合、復号をしない状態でEnc(m_1+m_2)、Enc(m_1×m_2)といった計算が可能で、復号した結果は、もともとの暗号化されていないデータの演算結果と同じとなっています。こうした特性から、暗号化した状態で中身を隠したままデータ処理ができるわけです。 連合学習技術と準同型暗号を組み合わせると、学習モデルの勾配情報を暗号化したまま計算して、その結果を集約して更新するため、データの漏えいを防ぐことができます。送信されるのが勾配情報に限られる上にそのデータは暗号化されているので、中身を見ることができないからです。 勾配情報を暗号化したまま計算する準同型暗号。計算式は図のようになります 厳格なセキュリティ、プライバシー保護によって、組織を横断したデータの利活用が妨げられるという課題に対して、プライバシー保護連合学習技術の「DeepProtect」であれば、個人情報などの機密性の高いデータを開示しなくても、組織を横断したデータ利活用が可能になります。 金融機関における不正取引検知で利用に期待 実例を見てみましょう。JST CRESTでの実証実験として、金融機関における不正取引検知でDeepProtectが活用されました。複数の銀行のデータを使って不正検知の学習モデルを作成するには、これまでは各銀行のデータを集約する必要がありました。口座情報や取引履歴などが含まれるため、通常は外部に出せない情報です。 DeepProtectでは、各銀行内で学習したモデルの勾配情報のみを暗号化し、中央サーバへアップロードします。中央サーバでは集約された勾配情報を、準同型暗号によって暗号化されたまま統合し、集約された勾配情報として更新をします。 各銀行では、この更新された学習モデルをダウンロードして、それぞれの学習モデルをまた更新します。このサイクルを繰り返すことで、精度の高い学習モデルが共同で構築できます。1つの銀行のデータだけではなく、複数の銀行のデータによる連合学習モデルを構築することで、より精度の高い不正取引検知ができるというわけです。 DeepProtectの実例として、金融機関の不正取引検知での概念図。それぞれの銀行の学習モデルの差分パラメータのみを暗号化、中央サーバにアップロードし、集約した差分パラメータを使って学習モデルを更新 実データ自体は外部に送信されず、あくまで差分パラメータという勾配情報のみが、しかも暗号化されたまま処理されるため、データの機密性やプライバシーが確保されているというのがメリットです。 実証実験の結果は、各銀行での被害取引の検知率で比較されています。1つの銀行のデータだけを用いた個別学習モデルと、DeepProtectの連合学習モデルを使った検知精度の比較では、検知率が個別の84％に対して85.3％と、1.3ポイントの向上が見られました。個別学習モデルでは検知できなかった不正取引が検知された事例も確認されました。 実証実験での結果。連合学習モデルの方が高い結果を得られました 銀行における不正取引の被害額は、把握されているものだけで約300億円程度とみられており、1ポイントの向上で3億円程度の不正が防げるということになります。表に出ている被害額は氷山の一角とも言われていますので、実際はもっと被害額を減らせる効果があると考えられます。 実証実験で示されたDeepProtectの高いポテンシャル 不正取得された口座が振り込め詐欺などの金融犯罪に使われる、といった加害取引検知の実証実験では、個別学習モデル単独と、個別学習モデルと連合学習モデルを組み合わせたハイブリッドモデルで検証。加害取引が検知されるとその口座を凍結するのですが、その口座凍結が個別学習モデルと比べて20～50週程度、早く検知できていたそうです。検知率も個別学習モデルで78.9％が、ハイブリッドモデルだと94.7％で15.8ポイントの向上。実証実験によって、DeepProtectの高いポテンシャルが証明されました。 加害取引検知の実験では、ハイブリッドモデルで大幅な性能向上が確認されました 金融機関に対する攻撃は複雑化、巧妙化しています。マネーロンダリングや不正送金、振り込め詐欺などが相次ぐ中、単独のデータだけでは不正対策が間に合わなくなっています。複数の金融機関にまたがってデータの解析を行うことで、不正の検知率が向上すれば、犯罪を未然に防ぐ可能性が高まります。 そのほかにも様々な分野での応用が期待されます。例えば医療・ライフサイエンスの分野では、ウェアラブルデバイスの普及で計測できるバイタルデータが急拡大。電子カルテシステムなどの環境整備も進み、大量のデータが収集されています。こうした極めて機密性の高いデータでも、セキュアに複数の機関やデバイスをまたいだ統合分析が可能になり、医療やライフサイエンスの進歩に貢献できる、と伊藤は話します。 マーケティング分野では、単独企業だけでなくグループ企業や業界内を横断した豊富なデータをベースにした学習モデルを構築。詳細なインサイトやターゲットの発見といった精度の高い分析の実現が期待できる、としています。 製造現場でも貢献できそうです。IoTの導入が進んだ製造現場では、AIを使ったデータ分析も始まっています。これによって、設備などの故障予知、部品の品質管理、製品の異常検知などの分野で活用が期待されています。こうした分析には、1社、1工場のデータだけでは不十分なので、複数企業の工場データを活用できるDeepProtectが「課題解決を支援します」と伊藤は言います。 サービスの分野にも応用できます。電力やガスなどの公益サービスでの需給バランスの最適化、自動翻訳、スパムメールの検出、カスタマーサービスのチャットボット、バーチャルアシスタントサービス、自律走行を制御する車両運行システムなど、伊藤は様々なサービスでの利用を例に挙げ、広く活用が期待できるとアピールします。 さいごに もともと今回の技術「DeepProtect」は、発明した情報通信研究機構（NICT）から技術移転された（ニュースリリース：https://www.nict.go.jp/press/2022/03/17-1.html）もので、サイバーセキュリティや暗号技術、機械学習に関して高い技術力を持つことからイエラエ社が移転先として選ばれました。社会実証やビジネス化を進めていますが、伊藤は、幅広い分野の多くの課題を解決できる可能性がある技術として、「今後に是非とも期待して欲しい」と締めくくりました。 アーカイブ 映像はアーカイブ公開しておりますので、まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://www.youtube.com/watch?v=kx7V6_jNU7U