無料セキュリティ対策に不安がある企業必見！「セキュリティ対策無料相談窓口」

「CTF（Capture The Flag）」とは、旗取りゲームのことです。この記事では、”セキュリティ競技としてのCTF”について解説しています。情報セキュリティは、さまざまな分野の知識が求められ、学習するにも敷居が高いと感じる人が少なくありません。CTFはクイズゲームのように楽しみながら情報セキュリティを学び、スキルを身につけることができる、攻防戦も行ったりするセキュリティコンテストなのです。

今回は、CTFの概要から基本ルール、出題範囲、メリットデメリットと合わせて注意すべき点について、解説していきます。

CTF（Capture The Flag）とは

CTFとは、情報セキュリティのスキルを競い合うセキュリティコンテストです。情報セキュリティのスキルを用いて、課題の中から隠された答えとなるFLAGを見つけ出し、得点を稼ぐ競技となります。

日本最大級のCTFである「Security Contest（SECCON）」は毎年開催されています。情報セキュリティの知識を身に着けたい人、学んだ知識やスキルを活かしたい人を中心に、学生からIT技術者まで、幅広い層に人気のあるコンテストとなっています。

CTFが普及した背景

情報セキュリティの分野は非常に幅広く、学習も単調なものになりがちです。学んだ知識を活かす機会も多いとは言えないため、なかなか身につかないといった側面もあります。

CTFはクイズゲームのように楽しみながら情報セキュリティを学び、実践的なスキルを身につけることができます。CTFで出題される問題は、さまざまな知識を組み合わせながら、トライ＆エラーを繰り返さないと解けないため、知識と実践的なスキルが身につくわけですね。

基本的にCTFへの参加資格は必要ありません。無料で参加できることも含めて、情報セキュリティを学習するための足がかりとすることができる点が、普及した要因と言えます。

CTFの内容

CTFの具体的な内容について解説します。

基本ルール

大会によって個人戦やチーム戦があります。基本的なルールとしては、クイズ形式で制限時間内に多くの問題を解いて得点を獲得した個人・チームの勝利となります。

SECCON CTFを参考に、その他の基本ルールについて確認してみましょう。

参照SECCON CTF 2018公式予選

出題分野

CTFでは、情報セキュリティに関わる技術を利用して問題を解いていきますが、出題範囲が非常に広いものです。出題分野と出題範囲について、大きく分けると次のとおりとなります。

出題分野、出題範囲はこれでも一部です。非常に幅広い分野の知識とスキルが求められます。

未経験・初心者がCTFに出場するための方法

CTF初心者や未経験の人でもCTFに参加することは可能です。ここでは、CTFに参加するまでに行っておいたほうがいいおすすめの手順を紹介します。

SECCON、SECCON以外のCTFのスケジュールを確認

まずはSECCONのサイトからCTFのスケジュールを確認する方法を紹介します。

1. SECCONの公式サイトへアクセス
2. メニューから「スケジュール」をクリック

SECCON以外で開催されているCTFのスケジュールは以下のサイトから確認することができます。

サイトCTFtime.org　https://ctftime.org/

CTFtime.orgのメニュー「Calendar」をクリックすると「Events calender」が表示されるので、ここから世界中で行われているさまざまなCTFの開催スケジュールを確認することができます。参加したいCTFがあったら、イベントの公式サイトから参加の申込みをしてみましょう。

参考書でCTFのルール、必要な知識やプログラミングスキルを身につける

CTFに参加するには、まずルールをしっかりと理解しておく必要があります。ルールを頭に入れたら、CTF用の勉強を始めましょう。プログラミングスキルや情報セキュリティの知識があっても、CTFで高得点を獲得することは難しいとされているためです。

CTFの勉強には、参考書も多く出ていますのでCTF初心者や未経験の人でもじっくりと自分のペースで学習することができます。自分に合ったものを繰り返し学習すると良いでしょう。

勉強会でCTF問題の解き方を教わる

CTFに参加すると決めたら、勉強会に参加するととても効率よく勉強をすることができます。勉強会は、SECCONでもワークショップを開催していますので、公式サイトをこまめにチェックをしておきましょう。

また、Web検索をすると初心者歓迎の勉強会が数多く開催されているので、積極的に参加をして仲間を見つけられるとモチベーションアップにもつながり、勉強も進みやすくなります。

仲間を集めてチームを作る

CTFは個人でも参加可能ですが、できればチームで臨むとさらに好成績を獲得しやすくなります。出題範囲がとても広く、また高度な知識やスキルを試されるため、初心者や未経験の人は自分の得意な分野を集中的に勉強をして、ほかの分野はメンバーにお願いしておくと良いでしょう。役割分担がきちんとできているチームは上位に進みやすくなります。

仲間を集めるには、勉強会やSECCONに関するイベントに参加したり、情報セキュリティ系の会社に所属しているのであれば、社内で集めることもできます。積極的にメンバーを募り、挑戦してみましょう。

常設CTFで問題演習を重ねる

基本的にSECCONが開催しているような期間が決まっているCTFとは別に、期間が設けられておらず、練習問題を公開しているサイトを「常設CTF」と呼びます。常設CTFは、無料で参加することができるので、まずはどんな問題が出てくるのか知りたい人や、力試しをしてみたい人におすすめです。CTFに参加する前に、常設CTFでトレーニングをし、力をつけておきましょう。

参考までに、いくつか常設CTFを紹介しておきます。

• ksnctf
• akictf
• CpawCTF
• Flaggers

SECCONに出場する

勉強をし、自信がついたらSECCONに参加してみましょう。SECCON CTFの参加方法は、SECCONのサイトから開催スケジュールを確認し、オンライン予選に申し込みます。予選はインターネットに繋がっているパソコンであれば、どこからでも参加可能です。

CTFのメリット

CTFに参加することの大きなメリットは、次の4つが挙げられます。

• 情報セキュリティに対する知識が身につく
• 情報セキュリティに限らない広範囲の知識が身につく
• 実践的なスキルが身につく
• トラブルシューティングのカンが身につく

情報セキュリティの範囲は非常に幅広いものですが、CTFの問題1つひとつは、限られた分野の知識やスキルが求められる問題です。多くのCTFの問題を解き進めることで、幅広く深い情報セキュリティの知識を身につけることができます。

セキュリティの分野だけではなく、CTFの問題を解くためにはプログラミングやネットワークの知識なども求められるため、総合的なIT知識を身に付けられます。知識だけを詰め込むのではなく、実際に手を動かして問題を解くため、実践的なスキルを身につけられるのです。

また、複数の知識やスキルを組み合わせて問題を解く、という行為はトラブルシューティングそのものです。限られた時間内に結果を出すためには、問題に対してどのようにアプローチするのか、解決のためにどのような情報を集めればよいか、といったことを考えなければなりません。そのため、トラブルシューティングのカンが身についていきます。

ほかにも、問題を解きながら知識を身につけるため、モチベーションを維持しやすいことや、あなたにとって未知の技術の問題に取り組むことができるため、視野が広げられることもCTFのメリットと言えるでしょう。

CTFのデメリット

基本的にCTFに参加することのデメリットはありません。強いて挙げるのであれば、次の2つが挙げられます。

• 時間が合わないと参加することが難しい
• コンテストによって難易度は異なるため、全く解けずに何もできないことがある

SECCON CTFなどは、開催日時が決まっています。時間が合わないと参加できないことは、デメリットと言えるかもしれません。また、CTFの問題は、比較的難易度の高い問題が多いものです。コンテストによって難易度はさまざまですので、場合によっては難易度が高すぎて何もできない場合があります。

CTFに必要な前提知識

CTFの出題分野は幅広いものです。そのなかでも、必要となる前提知識を紹介します。

プログラミングの基礎知識・スキル

CTFの問題を解くためには、簡単なプログラムが読み書きできる知識・スキルが最低限求められます。どんな言語でも良いので、基礎は身につけておきましょう。

おすすめのプログラミング言語はPythonです。Pythonは、プログラミングの初心者でも習得しやすい言語であるためおすすめできます。あわせて、Webセキュリティに関する問題を解くためにも、PHPやJavaScriptなども学習すると良いでしょう。

Webアプリケーションの基礎知識

CTFの問題の中には、Webアプリケーションの脆弱性を突く問題もあります。SQLインジェクションなどの攻撃手法を使うこともあるため、Webアプリケーションがどのように稼働しているのかを理解しておかなければなりません。Webサーバーソフトウェアやデータベースの知識が求められます。

Linuxの基礎知識、コマンド操作

対戦相手のサーバーへ侵入し、FLAGを奪取するCTFもあります。多くの人が日常的に利用するWindowsと異なり、サーバーにはLinuxが多く利用されています。そのため、サーバーの操作や侵入という行為をするためには、Linuxの基礎知識やコマンド操作スキルが必要となるのです。

ネットワーク・OSの基礎知識

ネットワークトラフィックをキャプチャする問題や、先ほど紹介したハッキングするCTFでも、ネットワークの知識は欠かせません。コンピュータがネットワークを介してどのように繋がり、なぜ通信ができるのか、といった基礎知識が必要です。

ネットワークやサーバーは、コンピュータシステムのインフラです。あなたが普段利用するソフトウェアは、インフラ上で稼働するもの。コンピュータシステムの動作原理を知るためには、ネットワークやOS知識は欠かせない知識と言えます。

CTFの注意点

サーバーをハッキングしたり、ソフトウェアの脆弱性を突いたりするようなCTFがありますが、許可された範囲外で行うと、違法行為となる可能性があります。

CTFのハッキングなどの問題は、出題者が攻撃されることを前提に公開しているものなので問題ありません。しかし、CTFの延長で一般的なWebアプリケーションやサーバーへハッキング（クラッキング）行為をすることは、もちろんNGです。

まとめ

CTFは楽しみながら情報セキュリティを学び、スキルを身につけることができるセキュリティコンテストです。学生からIT技術者まで、幅広い層に人気があります。実践的なスキルや、トラブルシューティングのカンを身につけることができる点など、挑戦することによるメリットは大きいものです。

情報セキュリティについて学びたい、もっと深い知識・スキルを身に着けたいと考えているのであれば、一度挑戦してみてはいかがでしょうか。