.NET製のDLLデバッグの効率化のためにSimpleDllLoaderを作成した

マルウェア解析

はじめに

マルウェア解析を行っていると、たまにファイルレスなマルウェアの解析を行うことがある。多くは、PowerShellなどでダウンロードした.NET製のDLLなどをロードして実行するものだ。そこで、PowerShellのスクリプトなどを改変して、対象の.NETのDLLをディスク上に出力する。しかしながら、.NET製のDLLは、WindowsのネイティブなDLLのように、rundll32.exe hoge.dll,#1のように実行することができない。そこで、普段どのようにこうした.NET製のDLLを分析しているのかの解説と、それを手軽に行うためのツールを作ったたので、紹介する。

.NET製DLLの分析手法

.NET製のバイナリであれば、まずはdnSpyを使うことが最も早い。しかしながら、.NET製のDLLの場合、単体で実行することができない。もし詳しい人がいたら、単体で動かす方法を教えてくれると嬉しい。そこで、多くのケースでは、対象の.NET製のDLLをロードする簡易なローダをC#などで記載して、それをdnSpyで読み込んで分析する。しかしながら、毎回そのようなコードを書くのも煩わしい。 そこで調査したところ、SharpDllLoaderと呼ばれるツールが結構使いやすそうだったので使ってみていた。 github.com

.NET製DLLで呼び出したいクラスやメソッド、またその名前空間を引数として設定することで、dnSpyでデバッグを行うことができるようになる。具体的な使い方はREADME.mdに記載されているので参考にしてほしい。dnSpyでデバッグをしていき、最終的に呼ばれるInvokeメソッドをStep Intoで入ると、目的の.NET製DLLにたどり着くといったところだ。

SharpDllLoaderの欠点

欠点と言ってしまうと失礼で後で回収するが、どうしてもこうしてしまったほうがツールが作りやすいというものではある。何が欠点かというと、本ツールでは対象とするクラスのコンストラクタに引数が無いケースのものしか扱えないようになっている。具体的にはコードの下記の部分だ。Activator.CreateInstance(type)のような渡し方をするとこのような事象になってしまう。

private static object GetClass(Type type)
{
    object classObj = null;
    if (type.IsAbstract == false)
    {
        classObj = Activator.CreateInstance(type);
    }
    return classObj;
}

マルウェアによって、どうしても最初のバイナリで文字列を引数として渡す形で、.NET製DLLのメソッドを使うケースも出てくる。そうした際に本ツールだと扱えなくなってくる。

SimpleDllLoaderの紹介

ブログ記事として書いている割には、実は出来が甘くてまだ結構なケースでこけてしまう気がする。しかしながら、そうするといつまでたっても公開できなくなってしまいそうな気がしたので、いったん公開してしまう。ちなみに、こけやすいのは独自に実装しているコマンドラインパーサーの部分であって、あまり本質的ではない。 github.com

本ツールでは、クラスのコンストラクタやメソッドを探す際に、型情報も必要とする形としている。

C:\>SimpleDllLoader.exe -h
usage: SimpleDllLoader v1.0.0

A Simple Loader for .NET DLL

required arguments:
  -d, --dll DLL_PATH    Specify a path for DLL
  -c, --class CLASS     Specify a class

optional arguments:
  -h, --help    Show this help message and exit
  -ca, --cctor-args ARGS        Specify constructor arguments
  -ct, --cctor-types TYPES      Specify constructor argument types
  -n, --namespace NAMESPACE     Specify a namespace
  -m, --method METHOD   Specify a method name
  -ma, --method-args ARGS       Specify method arguments
  -mt, --method-types TYPES     Specify method argument types

例えば、コンストラクタにSystem.String型の引数を取るメソッドを実行したい場合は下記のように行うことができる。

C:\>SimpleDllLoader.exe -d C:\FakeDll.dll -c FakeDll -ca Test -ct System.String

また、仕組みとしては同じなので、SharpDllLoaderと同様にdnSpy上で実行することで、dnSpyで当該メソッドのデバッグなどもできる。

実装のめんどくささの実情

今回SharpDllLoaderの欠点を解決するためにツールを作ってみたわけだが、作ってみて作りにくさを感じた。やはり、.NET製のDLLがどんなクラス・引数の型のものが入力としてされるかわからないため、汎用的に作るのが難しい。例えば、.NET製のDLLのクラスが、System.Byteの配列を引数にとる場合を考えてみよう。この場合、引数から受け取った情報をその型に変換する必要があるが、その仕組みを実装するのも若干めんどくさい。また、ユーザ定義のクラスだったりしてしまったら、もはやそれを予測実装することは不可能だ。おそらくこうした点から、SharpDllLoaderでは引数なしのコンストラクタのクラスしか受け入れないようになっているのだと思われる。

つまり、汎用的にツールで解消するよりも、都度C#でミニマムなローダを書いたほうが早いと思われるというのが、作ってみての感想である。つきましては、SharpDllLoaderや拙作のSimpleDllLoaderの実装を参考に、.NET製のDLLをAssembly.LoadFileなどでロードしたり、TypeやMethodInfoなどのいわゆるC#のリフレクション機能を使うコードを学ぶのがおすすめであるという結論にして終わりたいと思う。

おわりに

.NET製DLLの分析のめんどくささと、それを解消するための既存ツールの紹介、そして既存ツールで足りない部分を解消するために作ったツールSimpleDllLoaderを紹介した。まとめとしては、都度作ったほうが楽で漏れがないという点である。そこまで大したコード量にもならないので、都度C#でローダを書いてしまうほうが楽だと思う。.NETバイナリの解析をしたかったら、とりあえずみんなC#を勉強しよう。

Python.NETを用いた.NETバイナリのリソース抽出

マルウェア解析

はじめに

.NETマルウェアの解析を行っていると、自動化スクリプトのために、.NETバイナリ内に含まれるリソースを抽出したい時が出てくる。なぜならば、.NETマルウェアの多くは、次に実行するマルウェアの本体や設定情報などをリソースに格納しているケースがあるからだ。こうした状況において、基本的には.NET対応言語であるC#でプログラムを書くほうが良いが、個人的にはそこまでC#を習熟していないので、Pythonで書きたいと考える。そこで、本記事ではPythonを使って.NETバイナリに含まれるリソースの抽出のPoCを紹介する。

Python.NETとは

github.com

Python.NETは、Pythonから.NETのCLR（共通言語ランタイム）の機能を使うことができる外部ライブラリである。.NET Frameworkに対応したCLRだけでなく、.NET CoreのCoreCLRにも対応している。下記のようにpip経由でインストールすることができる。

pip install pythonnet

リソースを含む.NETバイナリのサンプル

目的のスクリプトを作る前に、適当なリソースを含む.NETバイナリを作成した。Visual Studio 2022で、下記のようにTestResourceという名前のリソースを含めてコンパイルした。

ターゲットとなるリソースを含んだ.NETバイナリ
なお、ソースコード自体は特筆すべきことはなく、当該リソースの値を標準出力するのとデバッグ用に標準入力を待ち受けているだけ。

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;

namespace Sample
{
    internal class Program
    {
        static void Main(string[] args)
        {
            Console.WriteLine(Properties.Resource1.TestResource);
            Console.ReadLine();
        }
    }
}

.NETバイナリのリソース抽出するスクリプトの解説

初めにスクリプト（resource-viewer.py）の全体を記載する。

import sys

import clr
from System.Resources import ResourceReader
from System.Reflection import Assembly

def load_assembly(path: str) -> Assembly:
    buf = open(path, "rb").read()
    asm = Assembly.Load(buf)    
    return asm

def main():
    if len(sys.argv) != 2:
        print("Usage: resource-viewer.py <.NET Framework Assembly>")
        sys.exit(1)

    path = sys.argv[1]
    asm = load_assembly(path)
    for resource_name in asm.GetManifestResourceNames():
        print(f"Found resource: {resource_name}")
        stream = asm.GetManifestResourceStream(resource_name)
        res = ResourceReader(stream)
        for dict in res.GetEnumerator():
            print(f"{dict.Key}: {dict.Value}")

if __name__ == '__main__':
    main()

C#を書きたくないから、Pythonでやろうとしたものの、結局C#で抽出する処理を書いている。GetManifestResourceNamesでリソース名の一覧が取得できる。今回は、1つのリソースしかない。見つかったリソース名を用いて、リソース用のストリームを取得する。当該ストリームは、ResourceReaderに渡すことで、実際にリソースの中身を取得できるようになる。リソースの中にある値も今回は1つのキーバリューだが、走査するGetEnumeratorでループ処理を記載している。これにより、リソース名がわからなくても、とりあえずすべて抽出することができそうである。

スクリプトの実行結果は、下記の通りである。リソース一覧から、Key Value形式で意図したリソースを抽出することができている。

resource-viewer.pyの実行結果

おわりに

本スクリプトを拡張することで、.NETマルウェア解析用のスクリプトをPythonだけで書くことができるようになる。どうしてもPythonでスクリプトをまとめておきたいなど、かなり母数が少ない人向けの内容だが、役立ったら幸いである。

CISSP（Certified Information Systems Security Professional）合格体験記

資格

はじめに

2022年9月4日の朝起きたとき、ふと「よしCISSPを受けよう！」と思い立ち下記の公式問題集をKindleで購入しました。ここから始まったCISSP合格までの流れの紹介します。簡単にまとめると、英語ベースでの勉強をしよう！という感じです。下の写真は、日本語問題集ですが、途中で伏線が回収されていきます。
CISSP公式問題集 | マイク・チャップル, デイビッド・ザイドル, 笠原久嗣, 桑名栄二, 井上吉隆, 小村誠一, 石井中, 西田晴彦, 中川貴之, 福井将樹, 根本徳人 | 趣味・その他 | Kindleストア | Amazon CISSP公式問題集のAmazonスクリーンショット

勉強方法

独学で受験するということもあり、トレーニングなどが受験できないため、受験体験記を調査して勉強手法を決めました。方針としては、公式問題集を解きながら知識を習得していくことにしました。なおこれは、自分が代表的なセキュリティ系の資格を複数保持しているということを前提として決めています。

しかしながら、色々な合格体験記を読む中で、「これだけだと合格は厳しいのでは...」という気持ちになり、図書館で公式ガイドブックを借りて参考書として使いました。借りた当初は、全部読もうと考えていましたが、私生活の状況からしてその時間を生み出すことは難しいため、気になったトピックを拾い読みするなどしました。しかしながら、やはりたいして読めず返却期限が来てしまいました。終わってから考えると、あまりこの行為は合格には影響が無かったかなと思いました。

問題集は、2週間ほどで1周しました。このときは、どのドメインも7割取れていない、ドメインによっては5割ぐらいのものもありました。その後、復習して再度2週目をやるころには、8割から9割り程度まで上がっていました。そして、最終的には4周ほどしていたと思います。通しで解いていた時もあれば、1問ずつ解答の知らない単語を調べながら丁寧な復習をしていたときもあるためです。その際には、Notionを使って情報を整理していましたが、レスポンスがちょっと遅いなと感じて、Google Slidesにまとめ直しました。そして、Google Slideもいまいちな気がして、最終的には、HackMDにまとめたりしていました。 CISSPチートシート

また、10月に入ってからは、英語の方の公式問題集を購入して勉強をはじめました。きっかけは、英語でCISSPの情報を調べてたときに、日本語問題集より新しい版が原本はあるということを知ったためです。
Amazon.co.jp: (ISC)2 CISSP Certified Information Systems Security Professional Official Practice Tests (English Edition) 電子書籍: Chapple, Mike, Seidl, David: 洋書 英語版のCISSP公式問題集のAmazonスクリーンショット

正直なところ、最初からこちらをやればよかったなぁと後悔しました。そもそも、2021年に試験範囲が変わっており、日本語の問題集はそれ以前のものになっています。英語の問題集は2021年に発売され、その更新に対応した内容となっています。そのため、問題もいくつか異なっています。各ドメインや模擬試験ごとに1、2割ほど日本語問題集では見たことない問題が出題されていました。こちらの問題集も合計すると3週ほどやっていたような気がします。

見てきたように問題集ばかりやっていましたが、Overfittingを防ぐために定期的に、高い視点で各ドメインの内容のメモを読み返したり整理したりしました。また、たまたま見つけたYouTubeの動画がわかりやすくて、非常に参考になりました。各ドメインを網羅する動画で一本7時間ぐらいありますが、資料が公開されているので、そちらに目を通すだけでも良いかもです。 youtu.be

試験日の予約。そして、突然のリスケ。

ある程度勉強してきて、9月の下旬頃に試験予約をしました。仮に、あと1ヶ月ぐらい勉強してもダメなのであれば、根本的な勉強の仕方や対策、事前知識が足りないのだろうと思えると考えて、10月末尾に受験日を設定しました。そもそも、Twitterで見かけた再受験ポリシーの情報を見て、落ちても2回目が無料で受けれるならば、とりあえず10月にしておいたほうが無難だと思っていました。試験会場は、東京の帝国ホテルタワー18Fで、朝8:00開始コースを選びました（これしかなかった）。

しかしながら、10月に入ってから、その日会場が使え無くなってしまったと連絡が入りました。すぐに試験日を変えようとしましたが、リスケにはお金がかかるというポリシーの存在を思い出して、ピアソン側に連絡をして確認をしました。そしたら、リスケ費用は無しで変更させてくれました。ここで、連絡せずに予約日などを変更していたら、お金が掛かっていたようで、同じ事象に遭遇した方は、ピアソン側に連絡することをおすすめします。リスケしたことにより、試験日が1週間前倒しになりました😇

試験前日

前日は、義母が娘の面倒を見に来てくれたので、少し外出して気分リフレッシュかつ模擬試験の解き直しをやりました。また、自分のメモを改善したり、全ドメインを俯瞰しながら、CISO-likeな人格を作り上げていきました。寝る前には、当日持って行くものなど準備や、当日の電車時刻の確認などして9時ごろには娘と寝ていました。

試験当日

朝4時ぐらいに起きて復習しつつ準備（と言っても基本的なのは前日に済んでた）していました。娘の寝顔を見てから家を出て、始発で最寄り電車に乗り、乗り継ぎ駅で朝飯食べ、会場の最寄駅まで行きました。会場に着いた頃には、7:00ごろで、「7:30ぐらいに開けますのでお待ちください」と言われて外で待ちながら復習していました。

開場したら、注意事項や、本人確認、電子端末の電源オフなどをしました。その後、ロッカーに荷物を入れるのですが、1つのロッカー内で、飲食物と荷物を分けて入れる必要があるので、コンビニのビニール袋などであらかじめセグメント切っておくと良いです。あと、ロッカーがそんな大きくないので、当日の手荷物は少ないほうが良い気がしました。まぁ、受付とかに預けられるかもしれませんが。

そして、8:00からと思いきや、早く受けられるとのことだったので、7:45には試験開場に入り、着席して試験を開始しました。

例の如くNDAを結んでいるため内容については、触れることはできませんので割愛します。本来は、休憩を取る予定でしたが、そこまでキツく感じなかったので、ぶっ通しで解きました。約3時間でしょうか。最後の問題まで来て祈りながら終えました。

フロントに行ってレポートをもらう訳ですが、印刷されて出てきた瞬間に、不合格時に出る各ドメインの評価表みたいなものが無いことが透けて見えたので、受け取る前に合格を確信しました。

試験勉強の内容を振り返る

合格したので、自分がやっていた勉強内容についての評価をしようと思います。合格に大きく寄与したと考えられるのは下記の3つの勉強かなと思いました。公式ガイドブックを読むのは、自分のようなバックグラウンドを持つようなタイプにとっては、試験に合格するという観点だけであれば不要かなと思います。もちろん、勉強にはなると思います。

  • 英語問題集での勉強
  • 公式出題概要をベースに、メモに知識を整理していく行為
  • YouTubeの動画

まず、英語問題集での勉強は、非常にやっておいて良かったなと思いました。日本語問題集と異なり、最新の問題集で備えられたこと、また英語でデフォルト勉強していたことから、当日（質は悪いが）翻訳があるという状況になり、非常に楽な気持ちになった。英単語で覚えるほうがしっくり来る表現とかもありました。そのため、英語によほど自信が無いとかでなければ、英語問題集の利用をおすすめします。

次に、メモに知識を整理していくという行為です。公式ガイドブックなどをがっつり読み込んでる人やトレーニング受けた人は不要かもしれませんが、自分のような独学者には必須かと思います。問題集で断片的に得られる知識を再整理して、CISSP-Exam-Outlineを参考に各ドメインの出題範囲のサブドメインレベルで整理していきました。これにより、まったくリーチできていない範囲が明確になり、知識の抜け漏れを詰めて行く時に役立ちました。なお、これを丁寧にやったからか、CBKはもっと綺麗に整理できるだろうなぁ〜みたいな感情すら持てるようになりました。

最後に、勉強内容で紹介した、YouTubeの動画の資料や視聴は、非常に良かったです。これらの動画が、かなり上手くCBKを再整理しており、無駄な重複が少なく、勉強効率が良いと思いました。特に、試験で問われるようなパートに重点を置いたシリーズの動画があり、最低限それだけでも見て再確認や知識整理に使うと良いです。アメリカの法律系、暗号、定量的リスク評価の計算などが個別の動画で解説されています。 youtu.be

おわりに

とりあえず無事合格して一安心しました。試験勉強自体、朝2-6時とかの間の起きれた時間にやる異常起床タイミングがメインでしたし、途中北海道旅行に行って記憶抜け落ちたり、不合格だったら協力してくれた妻に合わす顔がなかったので、ひと段落して良かったです。認定のための手続きなどの準備をしないと。。。 家族のサポートなしでは、合格できなかったと思うので、妻と娘には大変感謝です。

下記に参考にさせていただいた受験体験記やリンク集を掲載しています。これから受験を考えている方は、ぜひご参考にしてみてください。応援しています。

Certified Kubernetes Security Specialist（CKS） 合格体験記

資格

概要

  • 約1.5ヶ月程度の勉強期間を経てCKS(v1.22)にスコア89%で合格
  • LFS260(Killer.sh含む)とKodeKloudで学習

f:id:encry1024:20220110091649p:plain
Credly

教材

Kubernetes Security Essentials(lfs260)

training.linuxfoundation.org

Cyber Monday Sale 2021で安くなっていたため、CKSと対応トレーニングである本トレーニングが一緒になったパックを約23,000円で購入して利用しました。本トレーニングは、環境自体自分で用意しなくてはいけないため少し大変です。試験に直結する話題以外にも、CloudNative初心者にとっては勉強になる内容もあり個人的にはまだまだ復習したいぐらいです。また最近では、Killer.shと呼ばれる、本番に似た内容の模擬試験が2回受けることができるものも付与されてきますので、こちらも活用しました。最初どこから利用できるのか、いまいちわからなかったのですが、試験スケジュールを申し込むところに、小さくリンクが貼られていました。

KodeKloud

kodekloud.com

CKAの受験の際にお世話になった人が多いであろう、KodeKloudのトレーニングコースを以前格安で購入していたので利用しました。Udemyでは、本コースは提供されていないため、直接KodeKloudから買うしかありません。Kubernetesクラスタのバージョンが、v1.20と古いためカバーしきれていない分野があります。2022年1月現在の本トレーニングだけだと合格は厳しいように思います。

Docker/Kubernetes開発・運用のためのセキュリティ実践ガイド (Compass Booksシリーズ)

amzn.to 比較的新しい、この分野のセキュリティ本。非常に質が高くて、まだまだ何回も読みたくなるスルメのような本です。試験は終わりましたが、引き続き読み返したりすると思います。CKSより高度な内容も含まれていますが、第5章Kubernetesクラスタのセキュリティだけでも読んでおくと、LFS260やKodeKloudなど英語教材が苦手な人にとっては、いい準備になるかもしれません。

Kubernetes完全ガイド(第2版)

amzn.to 言わずとしれたKubernetesの名著。CKA/CKADだけにとどまらず、CKSにも通じるような話が混ざっています。ただ、僕自身はCKAの復習という側面で読んだりした部分が多かったように思います。辞書的に持っておくには非常に良い本だと思います。そろそろ第3版来るかな?

勉強方法

主な勉強方法としては、下記の通りです。CKA合格後、約半年のブランクがあるため、最初の方はkubectlコマンドの使い方や感覚を呼び戻すのに時間を費やして大変でした。

  1. 試験勉強用にKubernetesクラスタを作成する
  2. KodeKloudをやる
  3. 並行してLFS260を読む(あまり演習はしっかりやらなかった、気になったところだけ)
  4. CKAの復習
  5. Killer.sh(1回目)を受けて、できなかった問題や出題傾向を把握
  6. LFS260/KodeKloudの復習
  7. 受験(1回目)

受験戦略

ここでは、オススメの受験戦略を共有します。Killer.shでも言われているような話もありますが、一応記載しておきます。

Namespace指定忘れ対策

k -n dev get podのようにして、必ずNamespaceの指定をコマンド冒頭で行うように訓練する。

aliasの設定

下記を$HOME/.bashrcに記載して反映させる。前者は、Manifestファイルを作成するときに使うやつで、後者はPod削除の時間を短縮するためのもの。

export do="--dry-run=client -oyaml"
export fg="--force --grace-period 0"

下記を$HOME/.vimrcに記載する。EmacserなのでVimのことはよくわからないが、おそらくYAMLなどをコピペしたり書いたりするときに有効なんだと思う。これを記憶しておくことが本試験の対策で一番むずかしいと思われる。

set smartindent expandtab ts=2 sw=2

当日の様子

10分遅延で開始

1月9日のAM 9:00開始で試験を申し込みました。15分前には、監視セッションへのログインができるので、入って待機していました。少ししたら、監視官が入ってきて、いろいろ説明をされました。CKAを受けていたので「こんな感じだったなぁ」と思いながら、外部ディスプレイ使う話やパスポートを見せたり、部屋の中をラップトップ持って徘徊して見せたりしました。
試験開始予定時刻から10分ほど遅れて試験が開始されました。試験内容に関して詳細を触れることができません。しかしながら一言何か言うとすれば、「Killer.shより難しくね？w」という感情を抱きました。そのため、あれだけに頼ってしまうのは、個人的には微妙かなぁと思いました。もちろん基礎力があれば応用できるかもしれませんが。。。

ラップトップのバッテリーが切れる？！

そして、試験中盤に入ろうとしている中、トラブルが発生しました。USB Type-Cのハブのせいか、ラップトップ側のコネクタがうまく刺さっていなかったのか、真偽の程はわかりませんが、充電しながら利用していたにも関わらず、気づいたら動作が重くなり、ラップトップのバッテリーが6%まで下がっていました。そこで急遽、チャットでバッテリーがやばくて、ディスプレイが起因な気がするから外すという旨を伝えて外しました。しかしながら、そのタイミングでなぜかChromeをクラッシュしてしまい、再度立ち上げても監視セッションに入れません。何度リロードしても、Webカメラは問題なくて、画面共有だけうまくいきません。チャットでも焦りのメッセージを飛ばしたりしましたが、結局もう一度Chromeを起動し直したらうまく動作しました。おそらく時間にしては15分~20分程度のものだと思いますが、解くテンポが一気に乱されて大変でした。

試験終盤に一気に解答

そんなトラブルを経て、時間は残り15分ぐらいになった頃です。なぜかうまくいかなかった大きめの配点の問題がぽんぽんと解けて(もしかしたら正当ではなくて部分点とかかもしれませんが)、おそらく合格できるだろうという配点になりました。また、トラブルもあったせいか試験時間が延長され、最終的に11:10終了予定が、11:29になっていました。UI上はexpiredと出ているのですが、試験官曰く続けて良さそうな雰囲気だったので、ギリギリまで粘って、最後の1分で解けた問題などもありました。しかしながら、しっかりとした動作確認を全部はできていなかったので、解けた問題が本当に正しいか否かは確認できず試験が終了しました。

試験結果通知

11:30ぐらいに試験が終わり、翌日1月10日のAM 9:06分に合格した旨のメールが来ていました。

f:id:encry1024:20220110131958p:plain
合格メール

点数を見てみると89%となっており、CKA合格時の88%とほぼ同等ぐらいで合格していました。おそらくやった内容がほとんどあっていたんだなぁという感じです。

おわりに

本資格取得を通じて、かなりKubernetesのセキュリティに関しての勘所を育てることができたと思います。学習範囲も非常に良くできており、満足度の高い資格取得勉強でした。間接的に様々なことを学ぶことができたと思います。Kubernetesセキュリティに興味があるのであれば、ぜひ受けることをおすすめします。
本試験を突破する一番大きなコツは、「正しく機能を理解すること」だと思われます。とりあえずコマンドを叩けるだけだと合格できない可能性があります。しっかり、理屈や機能に対する根本理解を深めながら勉強すると良いと思います。

謝辞

最後に、今回も静かな受験環境を作るために、娘を連れておでかけしてくれた妻といい子にしていてくれた娘に感謝します。また、書籍「Docker/Kubernetes開発・運用のためのセキュリティ実践ガイド (Compass Booksシリーズ) 」は、Twitter上でとある方にプレゼントしていただいたものなので、それもガッツリ活用できたので、この場で感謝の言葉を伝えようと思います。ありがとうございました。

参考文献

github.com qiita.com tetsuya-isogai.medium.com zenn.dev blog.vpantry.net www.hidekazuna.org bswen.com zenn.dev container-security.dev

2021年を振り返る

日記

2021年の終わりも見えてきた。気が向くうちに、今年の振り返りを書いておく。と言っても、みんなのように毎月振り返る気力が無いので適当に箇条書きしてみる。技術的なこと、家庭的なこと色々混ざっているし、時系列でもないので注意。

2021年の振り返り

プライベート

  • 娘1歳
  • 保育園探し、登園生活
  • 土日のワンオペ
  • 結婚3年目
  • 積立NISA開始
  • 転職検討
  • 家族旅行(USJ スーパーニンテンドーワールドの旅)
  • 娘のオーディション2次審査合格
  • 脱毛開始
  • Cyber Punk 2077 (トロフィー99%)

自己投資

  • TOEIC自己ベスト更新
  • Black Hat Training USA 2021でActive Directory Pentestの受講
  • Certified Kubernetes Administrator(通称CKA)の合格
  • Offensive Security Certified Professional(通称OSCP)の合格

まとめ

保育園生活が始まり、とても忙しい毎日を送っているが、妻の支えもありなんとか自己研鑽はできた1年のように思える。他者から見るともっとがんばれるのでは?と思うかもしれないが、プライベートとのバランスを考えると、これでも結構頑張ったほうだと思う。数社、転職のお誘いを受けて面談をさせていただいた、その中でより転職を意識し始めた1年だった。反省点としては、あまりプログラム組んだり、コーディングしたりする機会や時間が無く、雑な一枚岩スクリプトみたいなのしか書かない1年だったなぁと。業務でもあまり書く機会はないので、ちょっと危機感を感じてる。

2022年の抱負

プライベート

  • 生活予備貯金や老後貯金、娘の学費貯金を引き続き頑張る
  • 初の北海道旅行
  • 娘の最終オーディション
  • 転職
  • 仲良くしてくれる人、娘含めて遊んでくれる人(パパ友、ママ友)を増やして出かける

自己投資

  • TOEIC自己ベスト更新
  • Certified Kubernetes Security Specialist(通称CKS)の合格
  • 各CSP(Cloud Service Provider)を実際に使ってみて構築系の勉強
  • CloudやCloudNativeなどのセキュリティの学習
  • 何かもう1つぐらい資格を受ける
  • プログラム組んだり、コーディングをする

まとめ

横浜市の待機児童問題があるため、徒歩圏内の保育園の転園に失敗する可能性が高いので、おそらく大変な電車登園生活は今年も続くだろう。また、土日のワンオペの引き続き継続だろう。それらを踏まえた上で、自分自身や家族に負担をかけない範囲で自己研鑽を頑張っていきたい。また、娘がより活発に成長していくだろうから、しっかりと見守っていきたい。あとは、もうちょい世帯所得を上げて、妻が悩んでる仕事をやめさせてあげたいし、貯金なども頑張っていきたい。しかしながら、あんま転職したくないので、あと何十年と働けそうなところに転職したいという願望が強い来。来年も頑張っていこう。

Offensive Security Certified Professional (OSCP) 合格体験記

資格

概要

  • Offensive Security Certified Professional (OSCP) に合格した
  • 合計勉強時間は、4ヶ月ほどでおよそ200時間ちょっと
  • 勉強法
    • Lab のMachine を全部解く
    • よく使うけど毎回ググってるようなコマンド系をcheatsheet にまとめる
    • HackTheBox のOSCP-like なマシンを解く/writeup を読んでcheatsheet に加える
    • 他の人の合格体験記などを読む
    • 解けなかったときの振り返り
      • なぜ解けなかったのか、どうすれば解けたのかを考察する
  • Lab のレポートは書いていない

はじめに

今回、Offensive Security Certified Professional (OSCP) というペネトレーションテストの入門資格の試験に合格しました。例のごとく試験内容などは、触れられないため当たり障りの無い感じで、これから受ける人のためになるようなことを書いていきます。

この手の話は筆者のスペックを語っておいた方が勉強時間や勉強方法などの参考になると思うので少し触れておきます。私自身は、学生の頃(もう4,5年前とか)にCTF でBinary Exploitation やReverse Engineering を専門にやっていました。また、会社入ってからは、インフラエンジニアのような職務内容であるL2/L3設計やネットワーク機器の設定、サーバのメンテナンスなどの運用作業、新規構築プロジェクトなどに携わっていました。また、同時にセキュリティエンジニアのような職務も行っており、主にマルウェア解析を担当しています。そのため、ある程度ペネトレーションテストで問われるようなOffensive Security な知識は持ち合わせていましたが、体系だって勉強したことはありませんでした。特に、Web Security 周りは結構弱いです。また、トレーニング内容や試験内容自体も全部英語なのですが、私自身は英語の読み書きはまぁ普通ぐらいできて、会話も海外旅行程度ならできるといった温度感です。プライベートでは、1歳の子供がいるため、毎日家事育児に追われるお父さんをやっています。以上がざっとした現状のスペックです。

OSCP とは

この話は、公式サイトを見ていただいたほうがわかりやすいと想うので簡単に箇条書きでまとめます。

  • Penetration Testing with Kali Linux (PWK) というペネトレーションテストの入門コースに対応した資格試験
    • PWK では、Lab への期限付きアクセス権(私は、90日コースで申し込みました)やPDF/動画教材などが配布されて、基本的に自学自習していくスタイルです
    • 受講者専用のForum などがあり、そこでわからないことは質問したりできますが、直接的な解答はNG とされているため、自力でLab のマシンを解いていく必要があります
  • 23時間45分以内に数台のマシンを攻略して、その攻略手順や調査手法などを英語のレポートにまとめて、翌24時間以内に提出します
  • マシンを攻略した証であるProof ファイルの提出やそのスクリーンショット、レポートの出来などから総合的に判断されて、ある一定のポイントを超えたら合格となります
  • 最初の23時間45分は、カメラで自分自身や操作しているPC の画面を監視されます
    • なお試験用のチャットで連絡することで、自由なタイミングで寝食や休憩などができます

勉強方法

昨年

実は、もともと昨年OSCP を受験しようと思っていたのですが、いろいろタイミングが悪くなり今回受けた運びになります。そのため、昨年にHack The Box のOSCP-like なマシンを一部解いたりしており、いわゆるマシン攻略がどんな感じなのかといったことはある程度把握していました。

コース申し込み前1ヶ月(2021年5月)

PWK では、コースの教材のシラバスが公開されているため、事前に目次を読んで自分が知らなそうなことを列挙したり、軽く調べておいたりしました。具体的には、知らないツール名のツールをググって使ってみたり、知らない概念など、忘れかけている知識らへんを復習しました。これをやっておいたおかげで、コースの教材はかなり読みやすかったです。また、同時に試験の公式ルールだったり、試験内容やレポート内容など総合的なこの資格試験に関する情報も収集してまとめていました。他の方の合格体験記や、海外の方の合格体験記など合計10つぐらいは見て内容を抽出したような気がします。

1ヶ月目(2021年6月)

まずは、コースの教材として渡されるPDF を2週間で終えることを目標にはじめました。前述したとおり、見るべき箇所など調べておいたので、わかるところはさらさらと斜め読みして、苦手なところや知らないところはしっかり読むということをしました。この間は、特にLab のマシンは実施しませんでした。
コースの教材を終えたら、その後2週間でLab のマシン攻略に着手しました。もともとHack The Box をやっていたというのもあり、ポートスキャンから初めて、各ポートで動作しているソフトウァやそのバージョンの特定、PoC の検索といった流れは知っていたため、それ通りにやっていきました。最初のうちはなかなか攻略できず、1日1台を目標にしていましたが、できない日も多かったです。家事育児に追われてたというのもあります。また、事前に知っていた、ポートスキャンや各種チェックを行ってくれるAutoRecon というツールを使うことで寝てる間に検査して朝起きてそれをチェックしながらやっていくというスタイルをとっていました。大体1ヶ月で、33台のマシンを攻略していました。

2ヶ月目(2021年7月)

先月に続いてひたすらマシン攻略をやっていました。この頃には、だんだんと慣れてきてサクサク解けるようになってきましたが、Lab のマシンは依存関係があるものが多く、詰まった時はすぐForum を見てヒントを探していました。前述したように直接的な解答はないことが多いので、なんとか推測して読み解いたりしていました。また、この月の中盤には、この当時の全台である75台を攻略しました。その後の半月は、各マシンの復習をしつつcheatsheetを作成することをしていました。また、あえて明言は避けておきますが、慣例的に出るという言われている内容のマシンが存在するため、それに特化した練習をしたりもしていました。そして、残った月でレポート執筆の練習をしていました。

3ヶ月目(2021年8月)

私の申し込みタイミング的に、この月の26日でLab へのアクセス権は終了でした。そのため、マシンの復習をしつつレポート執筆の練習を継続していましたが、仕事や家庭が忙しくなり、あまり勉強できていない月でもあります。また、この月には、Udemy で下記の2つのコースを購入して受講したりしました。これらの教材は、前述したAutoRecon の作者によるもので、どちらもOSCP に向けた権限昇格手法について体系的にまとまった教材なためおすすめです。しかしながら、これだけで受からないだろうという感じです。

この月の下旬には、試験の申し込みをして日時を確定させました。私は、2021年9月26日(日) 8:00 (JST) 開始にしました。この試験時間に関しては、様々な考え方ありますが、私の場合は子供が毎朝5:30に起きるため、昼までどうせゆっくりはできないだろうと思いこの時間帯にしました。結果として頭がよく動く午前中の時間が多かったので良かったと思っています。
そして、Lab へのアクセス権が終了しました。

4ヶ月目(2021年9月)

Lab へのアクセス権がすでに終了しているこの月は、Hack The Box のOSCP-like なマシン攻略に挑戦していました。ググればすぐ出てくるGoogle Spread シートのOSCP より難しいというやつ以外は全部確認しました。また、レポート作成の練習をダラダラと継続していました。後の反省点にも繋がりますが、もっとしっかり気持ち入れてレポート作成練習はやるべきだったなぁと思います。ただ、この月も相変わらずプライベートが忙しく（妻が土日休みではないため、土日基本ワンオペをしているため）後半は、解く時間もないためWriteup だけを読んでcheatsheet にまとめるということをしていました。そうこうしているうちに、試験1週間前になってしまいました。この週では主に以下のことをやりました。

  • 試験の注意事項ページや試験時間の監視に関する注意事項ページを読み直す
  • 試験中の飲食物の用意
  • 当日のイメトレ

前日や当日の様子

この商では前日や当日の様子について記載していきたいと思います。

試験前日

主に不測の事態が起きたことを考えて下記のようなことを行っていました。 - VM のスナップショット作成と別ラップトップでの展開(試験用マシンが壊れたときのようの対策) - モバイルルータの充電(自宅のインターネット回線が死んだ時ようの対策) - 試験フォルダの定期バックアップとGit 管理の自動スクリプトの作成とcron 設定(万が一rm 全消ししたときにすぐに復旧できるようの対策)

試験直前

朝は6時ぐらいに起床し、朝ごはんを食べて7時ぐらいには座席についていました。その後、7:45になったら監視ツールの確認などが始まりました。パスポート見せたり部屋の中を徘徊したりしました。予定時刻の8時になったら試験環境へアクセスするためのVPN のコンフィグなどが送られてきたのでつなげたり、試験のインストラクションを読んで各マシンの配点や何をすればいいかなどを確認しました。このインストラクションかなり重要なのでちゃんと読んだほうがいいです。ちなみに、VPN の設定をsystemd サービス化して、パスワードファイル作成してそれを読み込むようにしたら、受講者番号やパスワード入力している画面が見れないからダメと言われました。

試験中

かなり本質的な部分なのであまりかけることは少ない気がしますが、だいたい3時間ぐらいで初めて1台の攻略に成功しました。その後5時間ぐらい何も解けず、「あ、やべぇ」と焦っていましたが、糸口を見つけた問題を皮切りにして1時間単位ぐらいで解けていき、12時間ほど経過した時点ではすでに合格点数を超える想定の水準まで達していました。残すところ1台のマシンだけだったのですが、どうしてもわからないためある程度のところで見切りをつけて、レポート作成のための証拠保全やスクリーンショットの再確認や、もはやレポートを書き始めることもしていました。もともと4時間ほど睡眠を取る予定でしたが、結局時間が足らず2時間の睡眠で乗り切りました。起きてからもひたすらレポート作成をしたりしていましたが、いかんせん取り忘れたスクショやスクショのときに変なタブ開いてて前後で遷移にずれがあるなどで何回も最初からやり直したりとかしていて無限に時間を溶かしました。論理的な飛躍が生じないように、理屈の通った攻略手順を残せるように冷静になって証拠を保存していくのが良いと思います。結局試験ギリギリまで最後のマシンは何も手がかりがわからずタイムオーバーしました。

レポート作成/提出

試験が終わって朝ごはんを食べて、すぐ続きを着手していましたが、やはり途中で力尽きて仮眠を入れました。仮眠してスッキリしてから着手したほうが効率が良かったです。結局朝から日付が変わるころまで執筆して、1時間ぐらいかけて提出方法の再確認やファイル名に間違いがないかなどを確認した後に提出しました。朝起きてから見直して提出するか寝る前に提出するか非常に悩んだのですが、もう仮にレポートで落ちても、自分の中ではマシン攻略で合格水準に達していたため、もういいやという気持ちが後押しして寝る前にレポートを提出しました。ちなみに、Lab のレポートは書いていなかったため提出しませんでしたし、何も解けなかった1台のマシンに関してはレポートに記述すらしていませんでした。
レポート提出の際には、PDFや7zファイル名、容量、解凍したときに余分なファイルや階層が入っていないか、7z に誤ってパスワード付けていないかなど、予め列挙しておいたチェックリストを満たすように検査してから提出しました。

これから受ける人へ

レポートの練習をしっかりしてしておこう

少ない時間をうまく有効活用して結構勉強していたつもりなのですが、1つ大きな個人的な反省点を上げるとすれば、レポート作成の練習だったと思います。これが事前にしっかりできており、当日撮るスクリーンショットなども想定しておけば、試験時間やレポート作成事態もここまで大変ではなかったように思います。例えば、一部準備していたものもありますが、主に下記のような点を想定しておくと良いと思います。

  • 主語はI なのかWe なのかwe
  • 基本的に、現在形で書くのか、過去形で書くのか
  • マシンの攻略手順で論理的な飛躍が生じないように、ちゃんと順を追った記録を撮るように練習しておく
  • 攻略の手順は、テキストベースで残すのか、スクリーンショットベースで残すのか
  • マシン攻略の際に必要となるスクリーンショットの想定
  • どのレベルの手順を記載するのか
    • 例) Burp を使ってPOST パラメータを書き換える場合は、Burp の起動やプロジェクトの新規作成のようなところからスクリーンショットを撮るのか否か

試験後バイアスな気はしますが、この試験内容が極端に難しすぎるということはないです。ただし、レポートに関しては準備不足だとかなり大変なので、しっかりやることをおすすめします。

OSCP Exam Guide を頭に叩き込む

OSCP Exam Guide と呼ばれる受験やレポート作成/提出の諸注意が記載された本ページは、受験者にとっては必須のページです。認識のズレがないように不安ならば問い合わせて確認したりしてもよいレベルです。私自身何度も読み直しました。

試験中はこまめな休憩を取ること

私自身は、予め試験中のスケジュールを立てていました。そのスケジュールでも、こまめな休憩を取るように心がけていました。具体的には1時間に1回5分の休憩ははさみ、昼食や夕食は30分時間を取っていました。なかなか試験中に休憩をするというのが、難しくて試験のことを考えてしまいますが、なるべく頭を空っぽにしてただ休むことに全力を注ぎました。

おわりに

OSCP は今まで自分が受けてきた資格試験の中で、最も準備が大変な資格試験でした。特に、小さい子供がいる我が家では勉強時間の確保や当日の試験場所の整備は大変でした。勉強を始めた5月末から合格通知が出るまでの間、かなり妻には協力していただきました。特に試験の日は、集中できるようにと娘と二人で昼過ぎぐらいまでおでかけしてくれたり、お風呂やご飯なども全部一人でやっていただきました。改めて、妻に、そしていい子にしててくれた娘に感謝したいと思います。
本記事が、これからOSCP を受けようと思っている方の参考になれば幸いです。ぜひ、がんばってください。

Certified Kubernetes Administrator (CKA) 合格体験記

資格

はじめに

2021年5月16日に、Certified Kubernetes Administrator (CKA) を受験し88%で合格したので、勉強内容や受験時の振り返りをする。一言で感想を言う慣れば、決して難しい試験ではないと思うが、油断してると足元すくわれるいい難易度の試験だと思った(試験問題に関しては口外禁止なため触れない)。また、試験要項や注意事項、禁止事項などは変わる恐れがあるので、常に最新の情報を確認してもらいたい。

Credly でのバッジが増えて嬉しい。
Credlyでの所有バッジ

試験勉強

試験勉強としては主に以下の2つのコンテンツを利用した。

  • Certified Kubernetes Administrator (CKA) with Practice Tests
    • 動画での学習サービスのUdemy のコース
    • 通常時は24000円ぐらいするがセール時には2000円切ることもあるので安いときに買うと良い
    • 自分でクラスタを組む必要もなく無料で利用できるクラスタで解く独自の試験問題もついており最も合格に貢献したコンテンツである
  • Kubernetes完全ガイド 第2版
    • 副読本として読んだ
    • 完全理解はオーバーキルだと感じたので必要な箇所だけピックアップして優先的に読んだ(後日読んでいない章を楽しむ予定)

その他、過去の受験体験記を色々読み漁ったりした。ただ、本試験は受けた時期によって試験要項 や試験時間などが異なっているため注意が必要である。また、勉強する際に気をつけたこととして以下が挙げられる。 - 勉強しながらブックマークを作成していく - 試験では許可されたWeb リソースのみ閲覧可能なため、できるだけ多くブックマークを作成しておく - しかしながら、ある程度勉強したり使い慣れている人だとあまり見る場面も多くない気がするので自分のスキル感に合わせて用意する - kubectl run busybox --image busybox -oyaml --dry-run=client --env key=value --command sleep 4800 > busybox.yaml のように宣言的にリソースを作る練習をしておくこと - 一部この方法では設定できないパラメータなどがある(例: kubectl expose で nodePort の設定はできない)ためYAMLを作成してから手で編集することにも慣れておく - PersistentVolume や PersistentVolumeClaim を始めとしてこのような作り方ができないリソースに関しては、Kubernetes Documentation の該当ページの例をコピペして編集する - CKA は管理者試験なので、Kubernetes クラスタの構築や各コンポーネントの役割なども理解する

試験前日

今回は自宅で受験するためデスク周りの掃除をした。特に机の上には必要最低限のものしかおいてはいけないため、不要物は隠したりした。実際のイメージとしては、以下の写真を参考に。

試験場所

その他、MacBookPro自体のDockから不要なアプリケーションを消したり(誤って起動するのを防ぐため)、Chrome でCKA 専用のプロファイルを作成するなどした。タブを3つ開いてはいけないという決まりもあったので、ショートカットで誤ってタブ開かないようにタブ数を制限するExtension などを入れたりしていた。

受験当日

受験当日は11:00 - 13:00 で試験の予定だったが、10:45になっても試験官がやってこなかった。試験ページにチャット機能が備わっているためそこで連絡したが結局11:00になって試験官がやってきた。そこからパスポートを見せて本人確認したり、部屋の中をMacBookPro の内蔵カメラで移しまわったりしたため試験開始は11:30頃となった。
試験開始してすぐに.vimrc を書いたり、alias k=kubectl などやる予定だったが変に緊張してしまいそれを忘れて問題を解き始めた。前述したとおり冷静になればすぐ解ける問題も少し焦ってしまいとりあえず解けそうな問題から着手することにして、徐々に得点率を稼いでいくスタイルでやった。最終的に数問勉強不足でわからない問題があり最後それを粘って終了だった。受験後は24時間以内に合否連絡が来るとメールが来ていた(36時間経っても音沙汰なければ問い合わせろともか書かれていた)。実際自分は、約24時間で合格通知が来た。
また、様々な受験体験記に、Proctor ツールが停止してブラウザ再起動したや試験環境フリーズしたなどを見かけたが自分は一度もそんなことなく試験時間が遅れたこと以外は何も不自由なく試験完了できた。

おわりに

初めてセキュリティ以外の実技試験が含まれる資格試験を受けたので緊張していた。終わったときは正直落ちていたと思っていたので、合格したことに結構驚いている。また、合格したとしても合格点すれすれだと思っていた。この資格取得のための勉強を通して浅く広くKubernetes のことについて学ぶことができたのはすごく自分にとって良い経験になった。まだ、自宅でKubernetes 環境をしっかりと構築していないので、合間見つけてやっていこうと思う。また本業であるセキュリティエンジニアとしての職に、この資格で学んだことを活かしていきたいと思う(業務はまったく関係ないが...)。

謝辞

試験時間を確保するために雨の中娘を抱っこして家を開けてくれた妻、そしていい子にしててくれた娘には感謝です。