2023年8月4日

NECサイバーセキュリティ戦略統括部セキュリティ技術センターの鈴木雅也です。
今回は、OffSec社[1]が提供するペネトレーションテストの認定資格であるOSCP(OffSec Certified Professional) [2] について紹介します。
併せて、OSCPに対応するトレーニングコースであるPEN-200についても紹介します。

注意点

本ブログは、筆者がトレーニングと試験を受けた2022年当時の情報をもとに執筆しています。
OffSec社はトレーニングのコンテンツや試験のルールを定期的に改定しているため、本ブログと最新の状況とでは内容に差異が生じる点をご了承ください。
※本ブログ公開日時点では2023年3月15日の改定[3]が最新の状況。

OSCPとPEN-200について

OSCPはOffSec社が提供するペネトレーションテストの認定資格の一つです。
また、 OSCPに対応するトレーニングコースとして、PEN-200があります。
PEN-200 では、Kali Linux(セキュリティのテストを目的としたDebianベースのLinuxディストリビューションの一つ)[4]を中心とした実践的なペネトレーションテストの方法論・ツール・手法について学習することができます。

OSCPの試験は実技試験であり、実際に試験対象のコンピュータに侵入し、その手順を英語のレポートにまとめる必要があるという非常に実践的な試験です。
多肢選択式や記述式の様に知識を中心に問われる一般的な資格試験とは異なり、実際に手を動かすスキルを習得しないと合格は難しい試験であると、筆者は考えています。

OffSec社は、 OSCPとPEN-200の難易度をFoundation Curriculum(基礎的なカリキュラム)として位置づけています。
OffSec社では他にも、OSCPよりも高難易度のペネトレーションテストやWebアプリケーションセキュリティ・SOC (Security Operation Center)・Exploit開発など様々なセキュリティ分野に関するトレーニングと認定資格を提供しています。

何故OSCP取得を目指したか

これまで筆者は脆弱性診断の業務経験はありましたが、自身の技術領域を更に広げたいと考え、その一つとしてペネトレーションテストへの道がありました。
ペネトレーションテストの学習方法とその実績を示すものとして OffSec社の PEN-200とOSCPが有効であると知ったことが取得を目指したきっかけです。

対外的な評価・業界内での必要性

OSCP取得を目指すことは個人の学習やキャリア形成の点で有効であると考えますが、セキュリティビジネスを行っている会社としても、社員に資格を取得させるメリットがあります。
脆弱性診断サービスが選定される際の基準として、デジタル庁や経済産業省が発行する資料では、資格要件の中でOSCP等を挙げています。[5][6]
OSCPを取得した社員が在籍することで、脆弱性診断の案件獲得の際に有利になり、ビジネスチャンスを増やすことができると考えられます。

申し込み

申し込みはOffSec社のホームページから行うことができ、クレジットカードによる決済が可能です。
決済完了後、本人確認のために政府発行の有効な身分証明書の提示を求められました(筆者はパスポートを使用)。
身分証明書は申し込み時だけでなく、OSCPの試験を受ける際にも改めて提示する必要が出てくるため、有効期限は余裕を持っておくとよいです。

PEN-200トレーニング

PEN-200のトレーニングには学習コンテンツがいくつかありますので、それぞれについて説明します。

教科書

教科書は全て英語で記載されており、PDFで約850ページの資料でした。
また、OffSec社のポータルから個人ページにログインすることでWebブラウザから教科書を参照することもできます。
この場合、Webブラウザの拡張機能を利用することにより、日本語へ翻訳した上でトレーニングを進めることもできます。

動画

教科書の内容に沿った解説とデモが約17時間分の動画で提供されていました。
教科書と同じ内容であったため動画を全て見るのではなく、理解が不十分なトピックを学習する際などに、補助的に動画を活用するようにしていました。

エクササイズ

トピックごとにエクササイズが数問ありスキルの定着を図ることができました。
エクササイズはCTF (Capture The Flag)の様に、問題が解けるとflagが入手できるような形式になっていました。

ラボ

VPNで接続するラボでは、計75台のマシンが稼働していました。
マシンは、Windows OSやLinux OS、サーバやクライアントとして稼働しているものなど、様々な種類がありました。
また、ラボの中は複数のネットワークで構成されており、自身の端末から直接アクセス可能なネットワークもあれば、特定のマシンを踏み台サーバとして悪用し、トンネリング等の手法を用いてアクセスするネットワークも存在していました。
トレーニングコンテンツとしてはネットワーク構成もマシンの台数も規模が大きく、実際の企業のネットワークを模したように作りこまれているため、ペネトレーションテストの学習に最適な環境であると感じました。

OffSec社のLab Machines Key to Success [7]によると、
ラボのマシンを50台以上攻略した場合に、試験の合格率が高くなるという統計が出ています(51台～60台で合格率74%、61台～70台で合格率85%)。
そのため、筆者は試験までに50台以上のマシンを攻略することを目標にし、最終的には51台のマシンを攻略した上で試験に臨みました。

フォーラム（掲示板）

PEN-200トレーニング受講者とOSCP合格者専用のフォーラム(掲示板)にログインできるようになります。
フォーラムではエクササイズやラボの問題について話し合われています。
攻略のヒントとなるような書き込みもあるため、自力での攻略が難しいと感じた場合はフォーラムを覗くことで攻略が進むようになるかもしれません。
ただし、ネタバレになるような過度なヒントや、攻略に直接繋がるようなツール名・コマンドなどの書き込みは禁止されており、そのような書き込みは削除されています。

その他、OSCP対策に有効な学習サービス

筆者はOSCPとPEN-200の申し込み以前に、Hack The Box [8] とTryHackMe [9]というサイバーセキュリティの学習サービスを利用していました。
どちらもペネトレーションテストのスキルを学べるコンテンツが豊富で、初心者でも学習が継続しやすいサービスとなっています。
このサービスを通じて得た知識やスキルをもとにPEN-200トレーニングに取り組むことで効率的にOSCP合格に至ることができたと考えています。

OSCP試験ルール

試験ルール概要

試験ルールの概要を記載します。
※実際には詳細な要件や禁止事項などが定められています。試験を受ける際はOSCP Exam Guide [10]を必ずご確認下さい。

ボーナスポイント

下記の要件を満たすことで10ポイントのボーナスポイントを獲得することができます。

OSCP試験において10ポイントの比重は大きいため、ボーナスポイント獲得をモチベーションにエクササイズとラボに取り組むと良いと考えます。
筆者はボーナスポイントを獲得し、10ポイント分余裕を持って試験に臨むことができました。

OSCP試験当日から結果発表

試験

試験当日は最大約48時間近くの長期戦になるため、 休暇を取得することで試験に取り組む時間を確保しました。

試験開始直前には身分証明書の提示とWebカメラによる部屋の中のチェックがありました。
Webカメラで部屋全体や机の下を映すように指示をされるため、ノートPC内蔵のカメラではなく、取り回しの良い外付けのカメラの方がスムーズに試験を開始できると思います。

実技試験の最中は、監視ツールとWebカメラによって、PCに表示している画面と受験者本人が常に監視されています。
休憩や睡眠時間については、試験官の方にチャットで連絡すれば自分の任意のタイミングで取得することができます。(ただし、監視は継続されます)

試験問題の具体的な内容については公開が禁止されているため、筆者の得点結果のみを記載します。
なお、OffSec社による採点結果は通知されないため自己採点結果を記載しています。
また、レポートの内容不備により減点されていた可能性も否定できません。

レポート

レポートにはマシンへ侵入した際の詳細な手順や実行したコマンドの記載と合わせて、スクリーンショットが必要となります。
試験時間終了後は環境へアクセスができなくなるため、マシンへ侵入できた際にはレポート作成に使用する記録を確実に行うように心がけていました。
レポートのひな型については、GitHubに公開されているOSCP-Exam-Report-Template [11]というOSCP向けのテンプレートをもとに作成しました。
レポートは英語で記載する必要があるため、Google翻訳を活用しながら英訳しました。
筆者が作成したレポートは、表紙を含めて58ページ・約6200単語程度の文量になりました。

結果

レポート提出から約12時間後にOffSec社のマイページにログインすると、「CONGRATULATIONS! 」という文字が表示され、試験に合格できたことを知りました。

また、レポート提出から約25時間後にはメールでも合格通知がありました。

合格通知後、合格証書と認定バッジを電子データで受け取りました。
(合格証書の画像は一部の情報をマスクした上で掲載しています。)

最後に

筆者が所属しているリスクハンティンググループでは、 OSCPを含めOffSec社の資格取得を目指しているメンバーが多数在籍しています。メンバー間で研鑽しあうことでグループ全体の技術力向上を目指すとともに、筆者自身も今後はOSCPよりも上位の資格を狙っていきたいと考えています。

本ブログでは、 OSCPとPEN-200の概要・申し込みから試験合格までの流れを紹介いたしました。OSCP合格を目指すことでペネトレーションテストに必要な基礎的な知識やスキルの習得につながると考えます。ペネトレーションテストに興味のある方は、ぜひ目指してみてはいかがでしょうか。

参考文献

執筆者の他の記事を読む