攻撃フェーズを丸ごと学ぶことが、防御の精度を変える

 

前回は「CEHってどんな資格？」という概要をお伝えしました。今回はもう少し踏み込んで、CEHが実際に何を学ぶ資格なのかをご紹介します。

「ドメイン」というと少し堅い響きですが、要するに「試験で問われるテーマの区分」です。CEHには19のドメインがあり、それは実際のサイバー攻撃が辿る流れとほぼ一致しています。攻撃者がどう動くかを順番に学ぶ、というイメージです。

全部を細かく説明すると大変なことになるので、SOCの実務と特に関係が深いテーマを中心にピックアップしてお伝えします。

まず「見る」──偵察・スキャン・列挙

攻撃はいきなり始まりません。まず攻撃者はターゲットを徹底的に調べます。これが「フットプリンティング（Footprinting & Reconnaissance）」です。

公開されている情報、WHOIS、SNSの投稿、求人票まで──攻撃者は様々な情報源を駆使して「どこを狙えばいいか」を探ります。そのあと、Nmapなどのツールを使って開いているポートや動いているサービスを特定し、侵入できそうな面を絞り込んでいきます。

これを知ることがSOCにとって意味を持つのは、「外から自分たちの会社がどう見えているか」を想像できるようになるからです。

「このスキャンは無差別なのか、それとも私たちを狙っているのか」という判断も、攻撃者の偵察フェーズを理解しているかどうかで変わってきます。

「入って、潜む」──侵害とマルウェアの手口

次は侵入後の話です。攻撃者がシステムに入り込んだあと、何をするか。

パスワードをクラッキングし、権限を昇格させ、バックドアを仕掛け、ログを消す──「System Hacking」のドメインでは、こういった侵入後の動きを一通り学びます。

マルウェアの種類（ランサムウェア、トロイの木馬、ルートキット……）とその振る舞いも、ここで整理されます。

実際の侵害事例を見ると、攻撃者が侵入してから発覚するまで平均200日以上かかるというデータがあります。これだけ長い時間、気づかれずに潜伏できるのは、攻撃者が「怪しく見えないように動く」ことを熟知しているからです。

その手口を知っているアナリストは、ログの中にある「じわじわとした異常」に気づく目を持てます。

「Webと無線」──現代の攻撃の主戦場

サイバー攻撃の多くは、今やWebアプリケーションや無線ネットワークを入口にしています。

SQLインジェクション、XSS（クロスサイトスクリプティング）、ディレクトリトラバーサル──名前は聞いたことがあっても、「なぜ危険なのか」を実際に手を動かして理解するのがCEHのスタイルです。

たとえばSQLインジェクションについていうと、フォームの入力欄に ' OR '1'='1 と打ち込むと、データベースのすべてのデータが取得できてしまう──そういう「攻撃がどう成立するか」をハンズオンで学びます。概念だけ知っている状態とは全く違う理解が得られます。

無線LAN（Wireless Hacking）についても、偽のアクセスポイントを使った中間者攻撃など、リモートワークが増えた現在の環境でリアルに起きうる手口を扱います。

「検知されないように動く」──回避技術を知ることの意味

CEHの中で、個人的に特に面白いと感じたのがこのテーマです。

攻撃者はIDS（不正侵入検知システム）やファイアウォールをあえてすり抜けるように動きます。パケットを細かく分割する、正規の通信に紛れ込ませる、ハニーポットを見極めて避ける……そういった技術が「Evading IDS, Firewalls, Honeypots」のドメインでカバーされています。

「防御側のツールの盲点がどこにあるか」を知ることで、SOCのアラートルールやしきい値を意味のある形でチューニングできるようになります。「なぜこれが検知できなかったのか」を事後に分析するための視点にもなります。

「新しい領域」──クラウド・IoT・そしてAI

CEH v13では、クラウドセキュリティやIoT・モバイルに加えて、AIを活用した攻撃手法がカリキュラムに加わりました。

自動化された偵察、LLMを悪用したフィッシングメールの生成、AIによる脆弱性の自動探索──2025年以降の現場で実際に起きていることが試験範囲に反映されています。

クラウドに関していえば、AWSのS3バケットが意図せず公開設定になっていたり、IAMの権限が必要以上に広く設定されていたりといった「設定ミス」が、いまも情報漏えいの大きな原因のひとつです。これがどう悪用されるかを知っているかどうかは、現場での判断にじわじわと効いてきます。

「CEH保持者とは何ができる人材か」をひとことで言うと

19のドメインを通して学ぶのは、攻撃フェーズの全体像です。

偵察→侵入→権限昇格→横展開→目的達成──この流れはMITRE ATT&CKフレームワークとも重なり、インシデント対応の現場で「今、攻撃者はどのフェーズにいるのか」を判断する地図になります。

シグネチャやルールは、攻撃の形が変われば機能しなくなります。でも、攻撃者がなぜその手順を踏むのかという原理を理解していれば、未知の手口にも応用が利きます。

当社のSOCが提供しているのは、アラートの通知だけではなく、脅威の意味づけと判断です。その根底には、攻撃者の視点で体系的に学んだ知識があります。

次回は、実際にCEHを取るとはどういうことか、試験の現場感と学習の進め方をお伝えします。資格に興味がある方はぜひ。

次回：「CEHを取るということ──試験の実態と、挑戦する人へのメッセージ」