自衛のためのサイバー攻撃の仕組み講座（AI時代・エンジニア水準）
区分5 守りを回す仕組みと、学び続ける場所★★この単元で一番大事なことを先に書きます。
試していいのは、自分の物か、書面などで許可された物だけです。
腕試し、善意、勉強のため、どれであっても、許可のない他人のシステムに入ろうとすれば、犯罪になりえます。 「壊すつもりはなかった」は、線を越えたかどうかとは別の話です。
「ハッカー」という言葉は、技術に長けた人を指す場合と、侵入した人を指す場合があります。 この講座では、攻撃を行う側を「攻撃者」、守る側を「守る側」と呼びます。技術があるかではなく、許可があるかで分けるという考え方です。
この法律の対象になる行為と、入っただけでも罪になることは、はじめにの「学び方」で読みました。 ここでは、条文ごとの要点だけを確かめます。条文はe-Gov法令検索で読めます。拘禁刑は、旧・懲役にあたる、刑務所に入る刑の名前です。
大事な点は、禁止の対象が、入る行為だけでなく、入る準備（手に入れる・保管する・入力させる）にも広がっていることです。
偽のログイン画面は、No.04で扱ったフィッシングの手口そのものです。 練習のつもりで作って他人に見せれば、第7条の対象になりえます。
刑法の第168条の2と3に、コンピューターウイルスなどに関する罪があります（はじめにの「学び方」でも触れました）。 「不正指令電磁的記録」とは、使う人の意図に沿った動きをさせず、意図に反する動きをさせる不正な指令を書いた物のことです。
| 行為 | 罰 |
|---|---|
| 正当な理由なく、人のコンピューターで動かす目的で、作る・提供する | 3年以下の拘禁刑または50万円以下の罰金（条文は第168条の2第1項） |
| 正当な理由なく、人のコンピューターで動くようにする（実行させる） | 同上（第2項。未遂も罰する） |
| 正当な理由なく、その目的で、手に入れる・保管する | 2年以下の拘禁刑または30万円以下の罰金（第168条の3） |
ポイントは「正当な理由なく」と「人のコンピューターで動かす目的」です。 自分のPCの中の閉じた環境で、守る側の研究や教育のために扱うことは、この罪とは別に考えられます。ただし、何が正当な理由かは、一つひとつ判断されるので、迷う場合は手を動かさず、専門家に確かめます。
受講生に教える時は、「作る・持つ・見せる・動かす」のどれも、人のPCを巻き込んだ時点で危ない、と伝えれば足ります。
試す前に、次の3つに答えられるかを確かめます。1つでも詰まれば、やりません。
3番は見落とされやすいです。 VPS（借りて使う自分専用のサーバー）やクラウドは、自分が契約していても、貸し主の規約で、試験的な攻撃的な通信が禁止されている場合があります。 自分が契約したVPSでも、貸し主の規約を読んでから、です。
○ 受講生によく聞かれる質問：「自分の会社のサイトなら、勝手に試してもいいですか」
→ 答え方：持ち主が自分（または自社の責任者）なら、その点は満たせます。ただし、サーバーの貸し主の規約と、同じサーバーに載っている他人のデータへの影響を確かめてからです。
○ 受講生によく聞かれる質問：「友人のサイトの弱点を、善意で調べてあげたい」
→ 答え方：許可を書面（メール可）でもらい、範囲を決めてからです。許可がなければ、善意でも第3条の対象になりえます。
○ 関係する単元：No.04 フィッシング（偽のログイン画面）、No.08 OWASP Top 10
一番安全なのは、自分のPCの中だけで動かす、わざと弱く作られたWebアプリです。
代表はOWASP Juice Shop（OWASP＝Webの安全を研究している非営利団体が運営する、学習用のやられ環境）です。 OWASP公式の開発者向けガイドは、これをOWASPの旗艦プロジェクト（団体が特に力を入れて育てている主要なプロジェクト）と位置づけ、OWASP Top 10の全体をカバーしていると説明しています。No.08で読んだ弱点の仕組みを、実物で確かめられます。
守ることは、次の2つです。
起動のしかたは、公式の手順を読むか、AIに頼めばよいです。頼み方の例：「OWASP Juice Shop を、自分のMacの中だけで動かし、外のネットワークからはつながらないようにする方法を、公式の手順で教えて」
CTFは、主催者が用意した環境と問題の中だけで行います。 日本では、JNSA（セキュリティ関連団体）の事務局が運営するSECCONが有名で、初心者向けのSECCON Beginnersのシリーズがあります。
CTFで学べるのは、弱点の見つけ方の考え方や、守りの設計への視点です。 大会の外にある、似た名前のサーバーに試すことは、別の話で、許可がなければ線を越えます。
TryHackMe や Hack The Box は、運営が用意した、わざと弱く作られた環境で学ぶ場です。
規約には、場の外に出ない約束が書かれています。
規約は変わるので、始める前に最新の物を読みます。 ここで身に付けた技術を、許可のない外の世界で使えば、場の中の許可は及びません。
ふつうにサイトを使っていて、おかしな表示や、見えるはずのない情報に気づくことがあります。 その時の基本は、それ以上、深追いしないことです。
追って試すほど、第3条の線に近づきます。 気づいた内容（日時・場所・画面）だけを記録して、届け出ます。
日本には、IPAの脆弱性関連情報の届出制度があります。
制度は、関係者の協力で成り立っています。対応が必ず取られるとは限りません。
届け出る前に、SNSなどで公表するのはやめてください。直る前に公開すると、他の人に悪用されるおそれがあるからです。公表の時期は、JPCERT/CCが開発者と調整します。
バグバウンティは、企業が範囲と条件を決めて公式に募集する仕組みです。 募集ページに書かれた範囲と方法の中だけで行います。範囲の外に出れば、報奨金の対象にならないだけでなく、不正アクセスになりえます。
報奨金の有無や金額は、各社が決めます。募集ページで、報奨金の条件を確かめてから始めます。
| 確かめること | 答えが「いいえ」なら |
|---|---|
| 第1章③の3つの問い（自分の物か許可があるか・範囲の中か・借り物の規約）に答えられるか | 試さない。規約が先 |
| 自分のPCの中に閉じているか（学習用の環境なら） | 外に公開しない |
| 見つけた不具合に、深追いせず届け出たか | 深追いをやめて届け出る |
試していいのは、自分の物か、許可と範囲をもらった物だけ。不正アクセス禁止法とウイルス罪は、入る行為だけでなく、準備や所持も対象になりうる。練習は、自分のPCの中の学習用環境、CTF、割り当てられた環境の中で。バグを見つけたら深追いせず、IPAに届け出る。
問1 友人から「自分のサイトの弱点を調べてほしい」と口頭で頼まれました。まず何をしますか。
問2 学習用に、OWASP Juice Shop をMacの中で動かします。守ることとして正しい物はどれですか。
問3 あるサービスを普通に使っていたら、見えるはずのない他人の情報が表示されました。最も適切な対応はどれですか。
問4 他人のパソコンで動かす目的で、正当な理由なく、不正なプログラムを作ったり、人に渡したりした場合に関係する法律はどれですか。
出典：e-Gov法令検索「不正アクセス行為の禁止等に関する法律」（https://laws.e-gov.go.jp/law/411AC0000000128）／e-Gov法令検索「刑法」第168条の2・第168条の3（https://laws.e-gov.go.jp/law/140AC0000000045）／IPA「脆弱性関連情報の届出制度」（https://www.ipa.go.jp/security/vuln/report/index.html）／OWASP Developer Guide「Juice Shop」（https://devguide.owasp.org/07-training-education/01-vulnerable-apps/01-juice-shop）／SECCON（https://www.seccon.jp/）／Hack The Box「Platform Rules」（https://help.hackthebox.com/en/articles/12325897-hack-the-box-platform-rules）／TryHackMe「Acceptable Use Policy」（https://tryhackme.com/r/legal/acceptable-use-policy）