「ハッカー視点のセキュリティレポート」の気になる中身【前編】

ハッカーが評価する「脆弱性攻撃ツール」の種類とは？　独自調査で判明（2/2 ページ）

公開 2017年04月25日 15時00分

更新 2018年07月20日 18時09分

著者

Michael Heller

[TechTarget]

印刷する

多様なツールを組み合わせるハッカー

　OSSツールの利用者が多い主な理由は「優れたセキュリティツールにOSSのものがあるからだろう」とモンセガー氏は語る。OSSツールは無料で自由に入手して利用できるため、OSSツールを使用しているセキュリティ研究者は少なくない。同氏によると、OSSツールを使用しているセキュリティ研究者は、独自のエクスプロイトキットを作成したり、カスタムツールを記述したり、OSSのペネトレーションテスト向けOS『Kali Linux』のような環境をセットアップしたりしている。

　「『ペネトレーションテスターによる市販ツールの使用率が高い』という思い込みは、ベンダーのマーケティング努力とペネトレーションテストプロセスに対する誤解によるものだろう」とブランケンシップ氏は話す。セキュリティテストの提案書には、ペネトレーションテスターが使用するツールのリストが含まれていることが多い。ほとんどの場合、そのリストは市販ツール、OSSツール、ペネトレーションテスター自身が開発したツールで構成されている。

　ブランケンシップ氏によると、熟練のペネトレーションテスターは、ハッカーが使用するOSSソースツールと自作ツールの組み合わせをまねて、さまざまなツールを使用している。

サイバーセキュリティレポートの統計値

　The Black Reportでは、53％の回答者は特定のグループで活動しているわけではないことが明らかになった。これらの回答者は、プロのペネトレーションテスターやハッカー、技術を学んでいる学生などだ。動機については、66％が「ハッキングやペネトレーションテストに挑戦するのがとにかく好きだから」だと答えている。

　調査に参加したハッカーの学歴は、高校卒業、大学卒業、大学院修了とさまざまだ。それぞれの割合は21％、37％、28％。一方で「学校教育がばかげている」と考える人が14％と非常に多い。多くの回答者が「技術的な資格は履歴書の見栄えを良くするだけで、それ以上の価値はない」と考えており、保有資格が3種未満の人は66％を占め、76％は資格が能力を証明するものだと考えていないことが分かった。

　これは「セキュリティ社会が抱える共通のテーマ」だとポーグ氏は語り、資格を過信しないよう採用担当者に注意を呼び掛ける。「セキュリティ業界には、幾つもの資格を持つ優秀な人材と、幾つもの資格を持つ落ちこぼれが同じ数だけ存在している。それと同様に、資格を1つも持たなくても腕が立つセキュリティの専門家もいる」と同氏は説明する。資格は役に立つもので、不可欠な場合もあるが、雇用主は資格に過度な価値を見いださないように気を付けなければならない。