「ホワイトハッカー」と一言で言っても、実際何をすることなのか理解できていない部分があると思います。今回はこのホワイトハッカーについて解説をしていきます。
・ホワイトハッカーとは
・ホワイトハッカーの必要性
・ホワイトハッカーになるには
・まとめ
・ホワイトハッカーとは
ホワイトハッカーとは、ブラックハッカーが行うサイバー犯罪などに対応する人のことを指します。例えば、国や企業のウェブサーバに対して、不正なアクセスなどがあった場合、ホワイトハッカーは調査や防御対策を実施します。
普段はネットワークなどを監視・診断して、あらゆる攻撃に対処できるよう情報セキュリティを高めています。
ホワイトハッカーの勤め先は、IT企業にとどまらず民間企業でも採用するケースがみられます。また官公庁などの公的機関がホワイトハッカーの人材を積極的に確保する動きも広まっています。
・ホワイトハッカーの必要性
ではなぜホワイトハッカーが必要なのか。それにはまず、セキュリティ対策の流れについて理解しておく必要があります。
効果的なセキュリティ対策は、リスクに対応することとなります。このリスクを適切に判断するために必要な作業が脆弱性の評価です。ここでいう脆弱性の評価とは、脆弱性の有無ではなくその脆弱性によって悪用されるなどしたときにどれだけの損害が出るかを確認することになります。
脆弱性があっても悪用ができないようなものであれば、リスクとしての対応優先度は低く後回しにできる物もあります。
しかし、ここの判断を誤ってしまうと大変なことが起こります。この誤判断を起こしてしまう理由は担当技術者の知識や技能、利用するツールが古いなどが挙げられます。攻撃者もハッカーですので、攻撃手法を工夫してくることは当然といえます。そのため、攻撃者と同じ観点であらゆる攻撃を想定・試行することは重要になります。
ホワイトハッカーの主な仕事はここになります。単純に「セキュリティ対策」を考えるだけでなく、実際に攻撃者として対応していくことがとても重要です。
・ホワイトハッカーになるには
ホワイトハッカーに必要なものは、以下3点が考えられます。
・倫理観
とても重要なことは倫理観です。持っている知識や技術を悪用してはいけません。人間は色々な環境・コンディションに左右されやすいものです。どんな状況であっても自分を律する必要があります。
・知識
ホワイトハッカーに必要な知識は多岐にわたります。ハッカーとしての知識はもちろんのこと、最新の攻撃に関する手法と今までに実行されてきた攻撃手法についても把握しておく必要があります。また、法律に関する知識も必要になります。
また、知識を暗記していたとしてもそれを生かすことができなければ意味がありません。全てを手広く生かしていくことが必要になります。
・技術
技術を学ぶためには、実際に攻撃を実行してどのような動作が起こるのかを分析・確認することが望ましいです。とはいえ、他人のシステムや本番環境に対して実施するわけにはいきません。
方法としては、以下2点が考えられます。
・仮想環境
・予備環境
予備環境については物理的もしくは経済的制限から難しい場合が多いので、お勧めは仮想環境です。
一から環境構築するだけでも色々な面で勉強になりますし、現環境の改善したほうがよいだろうという発見にもつながります。
クラウド環境を使うこともよいかと思います。ミニマム環境であれば殆ど料金もかからずに構築できてしまうでしょう。注意点は、攻撃をする際にクラウド管理会社への連絡が必要になります。（クラウドへの攻撃として対応されてしまうので）
また、ホワイトハッカーの国際資格であるCEHの講座を受けると、iLab（実習用環境）を利用することができます。ここには様々なOSとハッキングツールが用意されており、シナリオに沿ってハッキングを体験することができます。
ちなみに受講料は約50万円（6か月間）と高額であるため目的を明確にして受講する必要があるでしょう。
※攻撃の方法については後日掲載予定
・まとめ
ホワイトハッカーの概要についてだいたいつかめたのではないでしょうか。
ホワイトハッカーは情報セキュリティにおいて重要な役割を果たします。また「倫理観」「知識」「スキル」については高度なものが求められます。また、仕事に対するモチベーションを高く持ち常に最新の情報を知識・技術として習得し続ける必要があります。
ホワイトハッカーは簡単な仕事ではないですね。
