CompTIA PenTest+はどんな資格？どのように活かせるのか？

サイバーセキュリティ関連コラム～第6回～

CompTIA PenTest+はどんな資格？どのように活かせるのか？

今回も、クラウドセーフ株式会社の平原氏によるコラムをお届けします。同氏は、以下のコースの講師としても活動されており、お客様個別のご要望にお応えするカスタマイズにも対応いただいております。

• CompTIA PenTest+
• CompTIA Advanced Security Practitioner (CASP+)
• CHFI (Computer Hacking Forensic Investigator)

CompTIA PenTest+が評価するスキルとは？

"今回は、私も講師をしているCompTIA PenTest+はどのようなスキルを証明できる資格かについて紹介します。 また、スキルの証明だけではなく、例えば事業会社の情報システム部の方々が、そこで学んだ知識や技術をどのように活かせるのかについても、最近のセキュリティ事故を例に説明していきます。

CompTIA PenTest+の詳しい認定資格概要 / 試験情報 / 出題範囲 / 類似問題 / 導入活用事例などは、CompTIAの該当ページをご覧ください※1。

CompTIA PenTest+が評価するスキルは以下の通りです。

• サイバー攻撃手法を理解している 　
• その手法を再現することでシステムの脆弱性を発見することができる 　
• どのように堅牢化すれば良いかをアドバイスすることができる

サイバー攻撃の攻撃戦略、攻撃テクニック、手順はMITRE ATT&CK※2 によって形式知にされていることがよく知られていますが、このCompTIA PenTest+においても主な攻撃手法について学ぶことができます。

※1 CompTIA PenTest+ (外部リンク) ※2 MITRE ATT&CK (外部リンク 英語)"

CompTIA Labsをトレーニング内で活用

例えば、CompTIA PenTest+トレーニング内のレッスン2「パッシブ偵察の実行」という章では、OSINT（オシント）と呼ばれるOpen Source Intelligenceについて学びます。OSINTとは、公開情報を収集・分析してインテリジェンスとして活用することをいいます。
このレッスンでは、いくつかのOSINTツールを説明し、公開されてしまっているメールアドレス(意図的か意図的ではないかはさておき)を収集し、Webサイトに公開されているPDFファイルなどからドキュメントの作成者といったメタ情報を収集する方法などを学びます。

また、トレーニング内では収集方法だけではなく、収集した情報をペンテスターや攻撃者がどのように使用するのか、についても触れていきます。さらに、CompTIA Labs(仮想環境に用意された実践的なスキルを学べるツール)を通してこれらのツールを実際に使うハンズオン形式で学ぶことができます。

まずは最低限自衛できる体制構築を

最後に、最近のセキュリティ事故についてですが、４、5月もランサムウェアに感染した複数の企業から対応の相談を受けました。フォレンジックをした企業の中には、FortiGate社の FortiGate VPNサーバの脆弱性「CVE-2018-13379」を突かれ侵入を受けたケース※1も数件ありました。
さらには、その企業の外向けのIPアドレスがダークウェブ上に公開されている「CVE-2018-13379」パッチ未適用のリスト※1に含まれていることが判明したケースもありました。
本インシデントの脆弱性公開から攻撃までのタイムラインを見ても、脆弱性自体は2019年５月に公開、パッチ未適用のリストは、2020年11月に公開、注意喚起がされている事を考えても十分に対策する時間は取れたはずです。

もし自社にCompTIA PenTest+で得られるような知識、技術を持っているエンジニアがいれば、脆弱性情報の収集、定期的なデバイス、ソフトウェアのバージョン管理、定期的な脆弱性診断のいずれかでも実施できたかもしれません。それによって防げた事故もあったのでは。と考えています。

詳しい攻撃の流れなどは、KasperskyのVulnerability in FortiGate VPN servers is exploited in Cring ransomware attacks(外部リンク) を確認することをお勧めします。

※1 Fortinet 社製 FortiOS の SSL VPN 機能の脆弱性 (CVE-2018-13379) の影響を受けるホストに関する情報の公開について(外部リンク)

2002年大手セキュリティメーカーに転職後、18年以上、サイバーセキュリティ分野に従事し、マルウェアに関する動向や解析、サイバー攻撃、サイバー犯罪時のコンピュータ等に残された痕跡情報調査の分野（フォレンジック）を担当。その中で、多くの政府・企業・団体におけるサイバーセキュリティ事故対応を経験。ITをもっと安全、安心に利用することで企業成長に貢献したいという想いから2017年3月クラウドセーフ株式会社を創業。現在は、損害保険会社、上場企業、大手製造業、スタートアップ企業等のサイバーセキュリティ技術活用に関する技術顧問やセキュリティトレーニングの講師として活動。

【保有資格】
GIAC Certified Forensic Analyst
CHFI (Computer Hacking Forensic Investigator) 他

平原氏の主な活動等の詳細はこちら(外部リンク)