OSCP合格のリアル｜単なる資格取得ではない「スキル」と「根性」を鍛えるプロセス

私はセキュリティサービス提供企業に新卒で入社し、サイバーセキュリティに関する研究に携わってきました。海外で国際的な法執行機関でコンサルティング業務に従事したのち、NRIセキュアテクノロジーズに入社し、セキュリティ診断やペンテストの提供に関わっています。

実は小心者でして、「日々、安心して生活したい」という思いからセキュリティの仕事に就き、皆さんが安心して眠れる世界を作っていきたいと考えています。同時に、システムのどこに穴やリスクがあるのかを考えていく部分に知的好奇心を刺激されながら仕事をしています。

私は、やや昔の話になりますが、まずベースラインとしてCISSPとOSCP、OSEPを取得し、さらにお客様のSOCが適切に機能するかどうかを評価するためにSOCのマネージャーに求められる知識を問うGSOMを取得しました。他に、SANSの研修でSEC504およびSEC 760のChallenge Coinも取得しましたが、数で言えばもっと多くの資格を取得しているメンバーがいるという印象です。

OSCPには二つポイントがあると思っています。一つは、碓井も触れた応用力です。何だかよくわからない課題をどう乗り越えていくか、その考え方を身につけられる資格試験だと捉えています。

もう一つは報告です。試験では結果をまとめ、最終的にレポートとして提出します。何をやったかだけでなく、その結果、お客様のどこがどう問題なのかをわかりやすくまとめなければいけません。実際のペンテストに携わる前にそういった部分も体験できるのは、とてもいいポイントだと考えています。

そうですね。ペンテストでお客様に提出する最終成果が報告書です。わかりやすくまとめ、またお客様が次に何をされるべきかを提示することが求められますが、実際にはなかなかそうした経験を積む機会は少ないため、貴重な経験になると思います。

GIACでも、トレーニングの最後に用意されているCTFは非常に素晴らしいコンテンツです。OSCPはそういったハンズオンがたくさん用意されている、という感じです。

「ペネトレーションテストというのはお客様のシステムを試すのか、それともテスターの腕を試すのか」というジョークがありますが、お客様に一定の品質のサービスを提供するためにも、部署を挙げて皆で資格を取得しようと取り組みました。過去2年で30名以上のメンバーがOSCPの資格取得奨励活動に参加しています。一年を通して、他にもさまざまな試験を受けているため、時々チャットに「誰々が何に通ったぞ」といった情報が流れてきて、身が引き締まることもありますね。

時間についても、会社として、一人当たり年間168時間を研修や自己研鑽などの能力開発に充てるように目標を定めています。確かに繁忙期は大変ですが、閑散期にまとめて一気に学習するなど、工夫しながら勉強をしています。

ハンズオンか座学のどちらかではなく、双方をバランスよくやっていくことが大事だと思います。座学を通じてベースとなる考え方を学んだ上で、それを実際に「どうやるか」を身につけていくことで、世界に通用するセキュリティ専門家になれるのではないでしょうか。

お客様の防御体制がある程度整い、監視するチームの成熟度も高まってきた今だからこそ、「本当に攻撃を受けたらどうなのか」を確認したいということで、ペンテスト、さらにはレッドチーミングの需要が高まっていると思います。