仮想マシンの「弱点」を見つけ出せ！中高生向けサイバーセキュリティ競技「CyberSakura」（前編）

2020年東京オリンピックの頃から、ニュースで頻繁に見かけるようになった「サイバー攻撃」。水や道路と同じように、インターネットを日常的に使う時代になったことで、サイバー空間（＝インターネットの中の世界）への攻撃の被害が、直接生活に降りかかることも増えてしまっています。

• インターネットがないともはや生活が難しい昨今。そこに降りかかるサイバー攻撃を防ぐのが「サイバーセキュリティ」です

とはいえ、もちろん攻撃されっぱなしではありません。サイバー攻撃への防御を「サイバーセキュリティ」と呼びます。

サイバーセキュリティはIT企業や専門家だけが扱うものではなく、一般ユーザーのみなさんにも大いに関係のあるもの。実はそんなサイバーセキュリティを、中学・高校・高専生が学んで参加できる競技が2021年からスタートしています！

チームでワイワイ意見交換しながら、得意分野で参加できる構成となっています（サイバーセキュリティは様々な知識・スキルが求められ、超人が一人だけでは出来ないのです）。

今回はまずサイバーセキュリティとはどんなものかを解説したうえで、その競技の面白さを紹介していきたいと思います。

サイバー攻撃って本当に起きてるの？

国の行政機関のWebサイトが長時間停止、大企業の工場がストップ、医療機関のシステムダウン、海外の子会社から個人情報が流出……。様々な種類のサイバー攻撃被害のニュースが連日報道されています。

しかしながら、サイバー空間の攻撃は目で見ることが難しいのが実情で、本当に起きているの？と考えてしまうこともあるかと思います。

そこで一つ、サイバー攻撃を地図上に可視化しているサイトを紹介します。情報通信研究機構（NICT）が行っているNICTERプロジェクトのAtlasを見てみましょう。

• NICTERプロジェクトのAtlasは、世界地図上で攻撃関連パケットをアニメーション表示する可視化エンジン

中心にある日本に向けて、世界中から矢印が飛んできています。この矢印の一つひとつが、攻撃関連パケットと分類される通信です。他人の家のドアノブを次々に回して、扉の鍵が開いているか閉まっているかを確かめる行為と考えてください。

NICTが発表している2022年レポートでは、一つのIPアドレスあたり年間183万回とあります。1日あたりに直せば、一件あたり5,000回もの訪問を受けているともいえます。毎日5,000回もピンポンダッシュされた日には、たまったものではないですよね……。

サイバーセキュリティって？

こうしたサイバー攻撃から、情報やシステムを守る・防御することをサイバーセキュリティと呼びます。

大きなニュースが多いので、サイバーセキュリティって、大人や大企業だけがやることじゃない？と思ってしまいますが、そんなことはありません！インターネットを利用しているすべての人の取り組みがとても重要です！

まず、身近なところで日常の「セキュリティ」について考えてみましょう。

通学中カバンの口は閉めて歩く、財布を学校の机の上に置いたまま教室を出ない、自宅に帰ったら玄関に鍵をかける、住所録などの個人情報資料を捨てるときにはシュレッダーにかける……といったことが、日常の「セキュリティ」にあたります。自分の大事な情報・資産・身の安全を守るための大切な行為ですね。

次に、「サイバーセキュリティ」に目を向けて見ましょう。

例えば、使用頻度の高いスマホやタブレットの場合。顔認証や指紋認証をかけてデバイスの不正利用を防ぐ、SNSやオンラインゲームに難しいパスワードを設定してアカウント乗っ取りを防ぐ、知らない電話番号からのショートメッセージやメールに書いてあるURLを無視する（クリックしない！）といったことが、自分の大事な情報資産を守るサイバーセキュリティです。

• パスワードや指紋認証などでデバイスを保護するのも身近なサイバーセキュリティ。逆に、受信する心当たりのないURLをクリックするのは危険。とはいえ、近年は大手サイトになりすました詐欺サイトも増えているのが厄介です

日常でインターネットを活用することが増えた現代、サイバー空間におけるサイバーセキュリティへの取り組みが、現実世界と同様にとても大事になってきています。

そのため、サイバーセキュリティを担う人材は今後さらに必要とされていくと予想されています。自分の仕事がサイバー攻撃を防ぎ、安全で便利なインターネットを守ると考えると、ちょっとワクワクしませんか？

サイバーセキュリティの分野

サイバーセキュリティと一言でいっても、インターネットが利用されているありとあらゆるところで必要とされ、職種やジャンルは無数にあります。

一つの切り口として、次のようなジャンル分けを考えてみました。

• コンピューターサイエンス　（数学、情報理論、OS、暗号等）
• プログラミング　（アルゴリズム、データ構造、コンパイラ等）
• クライアント・サーバー
• ネットワーク
• ハードウェア

ある大手自動車会社で活躍しているセキュリティエンジニアの方は、Webサイトの脆弱性に興味があり、プログラミング・ネットワークの分野からこの道に入り、現在はIoTなどのハードウェアも含めた製品開発に携わっているとお話されていました。

様々な入り方がありますが、自分の好きなジャンルを見つけるべく、身近なものから挑戦してみるのが良いと思います。

今回紹介する競技は、クライアント・サーバーを中心に、コンピューターサイエンスとネットワークを少し含んだ分野を、手を動かしながら挑戦できます。

CyberSakura(サイバーサクラ)とは？

ここまで読み進めた方は、もう充分サイバーセキュリティに興味を持っていると言っていいと思います。

ここからは、中学・高校生・高専生（３年次まで）が参加できるサイバーセキュリティの競技「CyberSakura(サイバーサクラ)」 を紹介します。大人の方にとっても「今、日本でこんなサイバー教育をやっているんだ」と興味を持っていただけたら嬉しいです。

サイバーサクラは、NPO法人エル・コミュニティが2021年から実施している、中高生向けのサイバーセキュリティ競技です。

2009年からアメリカで始まった 「CyberPatriot（サイバーパトリオット）」という競技を日本展開しているもので、他にカナダ、イギリス、オーストラリアなど世界各国でも取り組まれています。

• CyberSakuraロゴ

競技にはチームで参加します。最初は提供される学習資料をベースに、チーム内で学習を行います。その次に手を動かして競技環境に慣れ、そしていよいよ12月にオンライン開催される予選に参加s。

予選で上位となったチームは、翌年3月に福井県鯖江市で開催される決勝への挑戦権が得られ、決勝で日本一を競い合うという内容です。

具体的な競技環境は、仮想マシン（＝VM）として用意された Windows10やUbuntu DesktopなどのOSと呼ばれるものです。皆さんが使っているPC、それと同等の画面で競技をするとイメージしてください。

• デモ画面

競技は、仮想マシンにあらかじめ含まれている脆弱な設定や、シナリオ想定に反する状態の解消を行うことで、スコアを得られます。

例えば、パスワード未設定のユーザーがいるOSは大変危険な状態につながるので、適切なパスワードを設定してあげることも得点対象です。あるいは、ファイアウォールが動作してないOSには、ファイアウォールを設定してあげるなど、脆弱な状態の解消に取り組みます。

単にサイバーセキュリティの資料を読むだけではなく、実際にOSを操作する点が特徴です。

第2回サイバーサクラの紹介

2022年に開催された第2回サイバーサクラでは、全国から応募のあった19チームで競いあいました。中学校の仲間たちとの参加、学校の部活、プログラミング教室の友達など、様々な構成チーム。年代も中学1年生から高校3年生まで、初のサイバーセキュリティ競技参加から第1回大会の経験者まで、多様な参加者が集まってくれました。

各チーム学習・練習、セキュリティエンジニア講演などを経て、2022年12月のオンライン予選に参加。所定の2日間の間に、チーム毎に課題VMを起動して課題を探しスコアを競いました。

そして2023年3月の決勝は、予選上位6チーム（白雉、詫間情報安全管理局、たけのこの山、オオワシ、チームHana、Shibuya Squad）が、福井県鯖江市に集結しての開催。3.5時間にわたるWindows10, Ubuntu Desktop20.04, Windows Server2019の課題VMでの競技の結果、チーム白雉（武蔵高等学校中学校）が、日本一を獲得しました！

• 第2回サイバーサクラ決勝で撮影した記念写真

決勝参加チームはもとより、すべての参加チームが、それぞれにサイバーセキュリティに対するスキルアップを果たしてくれたのではないかと思います。

第3回サイバーサクラ、もうすぐ募集開始します！

2023年の第3回サイバーサクラに向け、運営チームはまさに今開催準備を進めています。募集開始は6月下旬を予定。次回は、先取りして仮想環境で遊ぶ方法や、参加申込みの詳細をお伝えしようと思います。