【第1回】攻撃者の頭で考える──CEH（認定ホワイトハッカー）とは何か

今日は少し趣向を変えて、私自身が保持しているセキュリティ資格「CEH（Certified Ethical Hacker／認定ホワイトハッカー）」について、3回に分けてご紹介したいと思います。

ただの資格紹介ではなく、私たちがSOCでどんな目線を持って日々の業務にあたっているかという話でもあります。ぜひ最後まで読んでみてください。

「なぜここからスキャンが来ているんだろう」

SOCの業務をしていると、毎日大量のアラートに向き合います。その中にふと、こんなものが混じっていることがあります。

外部の見慣れないIPアドレスから、複数のポートに対して一定のリズムでスキャンが来ている──。

「とりあえず怪しいIPをブロック」で終わらせることもできます。でも、攻撃者の動きを知っている人間の目には、これが全然違って見えます。

このスキャンはどのフェーズなのか。次に何を仕掛けてくるのか。この段階でどう動くべきか。

そういった「攻撃者の思考回路」を体系的に学ぶための国際資格が、CEHです。

CEHは、米国のEC-Councilという機関が発行する資格で、世界145カ国以上・数十万人以上が取得しているグローバルスタンダードです。日本では「認定ホワイトハッカー」という名称でも呼ばれています。

名前に「ハッカー」と入っているのが少し物々しいですが、コンセプトはシンプルです。

「攻撃者と同じ知識・技術を持つことで、初めて本物の防御ができる」

実際、米国防総省はサイバーセキュリティ担当者の資格要件（DoD 8140）にCEHを含めており、政府・防衛系の組織でも広く認められている資格です。日本ではまだ知名度が高くありませんが、外資系企業やグローバルな企業では採用要件に記載されるケースも増えています。

試験の構成は2段階です。まず125問・4時間の知識試験（Knowledge Exam）があり、これを突破したあと、実際の仮想環境でツールを操作しながら20のシナリオを解く実技試験（CEH Practical）に挑みます。両方合格した人だけが「CEH Master」として認定されます。

正直にいうと、CEHを取得して一番実感したのは「知識量が増えた」ことより、ログの読み方が変わったことです。

たとえばWAF（Webアプリケーションファイアウォール）のログに、../../../etc/passwd のようなパスが含まれるリクエストが大量に記録されていたとします。

以前なら「WAFが検知してブロックした、問題なし」で終わっていたかもしれません。でも今は違います。

これはディレクトリトラバーサルを狙った攻撃の試みで、攻撃者がサーバー上のファイル構造を探ろうとしている偵察フェーズだと、すぐにわかります。「次は何が来るか」という視点で構えることができる。ブロックされても攻撃者が手を変えてくる可能性があるから、ここで終わらせていいのか判断できる。

そういった一歩先を読む力が、CEHで養われる「攻撃フェーズを知っている」ことの実務的な価値だと思っています。

もうひとつ、地味に嬉しかったのが「セキュリティニュースがちゃんと読めるようになった」ことです。新しいCVEや攻撃グループの手口が報道されたとき、「攻撃者がなぜそのステップを踏んだのか」の文脈が理解できるようになりました。脅威ハンティングの基礎にもつながる感覚です。

当社では、SOCアナリストをはじめとするセキュリティ担当者が、CEHを含む技術系資格に継続的に挑戦しています。

個人のスキルアップはもちろんですが、それだけではありません。「攻撃者の目線を持った人間がSOCにいる」という事実が、お客様へのサービス品質に直結すると考えているからです。

CEHが証明するのは、攻撃者の思考と技術に対する体系的な理解です。それがあってこそ、アラートに意味を与え、脅威の判断ができる。私たちはそう考えています。

次回は、CEHが実際に何を問うのか──19のドメインの中身を解説しながら、「CEH保持者とは具体的に何ができる人材なのか」をお伝えします。

次回：「CEHが問う19のドメイン──何に強い人材が生まれるのか」