CTFは何を学べるのか — Cyber Challengeを「競技」で終わらせない
CTF（Capture The Flag）は、サイバーセキュリティの知識や技術を問題形式で試す演習です。しかし、速くFlagを見つけることだけが目的ではありません。Cyber HiroshimaではCTFを、これまで学んだ知識を使い、自分に不足しているものを発見して次の学習へ進むための「Challenge」として捉えます。
CTFとは
CTFはCapture The Flagの略です。
サイバーセキュリティに関する問題を解き、問題の中に隠された「Flag」と呼ばれる文字列などを見つける形式が広く使われています。
問題には例えば、
- Web
- Network
- Cryptography
- Forensics
- Reverse Engineering
- OSINT
- Vulnerability Analysis
など、さまざまなテーマがあります。
個人で挑戦する場合もあれば、チームで協力する場合もあります。
競技として順位や得点を競うCTFもありますが、CTFの価値はそれだけではありません。
CTFは知識を「使う」場所
本や講義で学んだときには理解できたと思っていた内容でも、問題として提示されると解けないことがあります。
例えば、
「HTTPについて説明できる」
ことと、
「不自然なHTTP通信を見つけて原因を説明できる」
ことは同じではありません。
暗号方式の名称を知っていることと、与えられたデータを見て、
「何が使われているのか」
を判断することも違います。
CTFでは、問題が最初から、
「Network SecurityのChapter 3を使ってください」
とは教えてくれません。
自分で状況を観察し、
何の問題なのかを考えるところから始まります。
ここにChallengeとしての価値があります。
解けなかった問題にも価値がある
CTFで最も大切な成果は、得点だけではありません。
例えば問題を解けなかったとき、
「自分には何が足りなかったのか」
を考えることができます。
Linuxの知識でしょうか。
ネットワークでしょうか。
暗号でしょうか。
ログの読み方でしょうか。
Webアプリケーションの仕組みでしょうか。
あるいは、知識は持っていたものの、それを問題へ適用する経験が不足していたのでしょうか。
CTFをこのように使えば、
Challenge → Gap Discovery → Learning
というサイクルを作れます。
解けなかったことが、次に何を勉強すべきかを教えてくれるわけです。
「一度やって終わり」にしない
CyBOKのHuman Factorsでは、CTFを含むSecurity Awareness Gamesについて、脆弱性がどのように悪用されるかを見ることで防御側の理解につながる可能性を説明する一方、ゲームやシミュレーションを一度きりの活動にするのではなく、計画された学習・行動変容の取り組みの中へ位置づける必要性を指摘しています。
これはCyber HiroshimaがCyber Challengeを考える上でも重要なポイントです。
イベントの日だけ楽しかった。
Flagを何個取った。
順位が何位だった。
それだけで終わってしまうと、学習効果は限定されます。
終了後に、
- どの問題が解けたか
- 何が分からなかったか
- どの知識が不足していたか
- 次に何を学ぶか
を振り返ることで、CTFがLearning Pathの一部になります。
CyBOK → SudoRange → Challenge
Cyber Hiroshimaでは、CTFを単独のイベントとして考えません。
基本となる流れは、
KNOW — CyBOKで知る
↓
PRACTICE — SudoRangeで試す
↓
EXPLORE — AIや資料を使って理解を深める
↓
CHALLENGE — CTFで自分の力を試す
です。
Challengeで分からないことが見つかれば、またCyBOKへ戻ります。
つまり、
ChallengeはLearning Loopの終点ではなく、次のLearningの入口
でもあります。
初心者でも参加できる
CTFという言葉から、
「専門家でないと参加できない」
と感じる人もいるかもしれません。
しかし問題の難易度を適切に設計すれば、初心者にも利用できます。
例えば、
- IPアドレスを調べる
- Linuxでファイルを探す
- 簡単なログから情報を見つける
- Webページの構造を確認する
- 公開情報からヒントを探す
といった問題から始めることができます。
重要なのは、誰でも同じ難しい問題に挑戦させることではありません。
現在の知識より少し先にある問題へ挑戦すること
です。
できることと、まだできないことの境界に学びがあります。
チームで取り組む意味
Cyber Challengeには、個人の技術だけでは測れないものもあります。
チームで取り組むと、
「自分はネットワークを見る」
「こちらはWebを調べる」
「誰かが情報を整理する」
と役割分担が生まれます。
分からないことを説明したり、他の人の考え方を聞いたりする機会も増えます。
実際のサイバーセキュリティ業務も、一人ですべてを完結するとは限りません。
そのためChallengeは、
技術力だけでなく、問題解決、コミュニケーション、協働を経験する場
にもできます。
HiroshimaとWalesをつないだCyber Challenge
Cyber Hiroshimaでは、すでに国境を越えたChallengeにも取り組んでいます。
2024年のCyberFirst関連イベントでは、Cyber Hiroshimaが東京でCTFを運営し、SudoCyberがウェールズのBreconからSudoRangeを利用した演習環境を提供しました。英語と日本語によるCyber Challengeが行われています。
これはCTFを、
Competition × Learning × International Community
として活用する一つの例です。
今後も学生向けだけでなく、
- 教育機関での演習
- 企業向け研修
- チームの能力確認
- 初心者向けCyber Experience
- 日英合同Challenge
など、目的に応じた活用が考えられます。仕様書でもこれらをCyber Challengeの展開例として整理しています。
Challengeから次の学びへ
CTFで最も重要な問いは、
「何問解けたか」
だけではありません。
終了したあとに、
「何を学んだか」
「何がまだ分からないか」
「次に何を学ぶか」
を考えることです。
Cyber HiroshimaではCyber Challengeを、学習の成果を競うだけの場所ではなく、
自分の現在地を確認する場所
として育てていきます。
CyBOKで知識を得る。
SudoRangeで練習する。
AIや資料を使って理解を深める。
Challengeで試す。
そして、また学ぶ。
Learn. Practice. Understand. Challenge.
その循環の中にCTFを位置づけることで、Challengeは一日のイベントから継続的な学習環境へ変わります。
次に読む
Cyber Challenge
Cyber Hiroshimaが考えるCTF、教育利用、企業研修、国際交流型Challengeについて紹介しています。
知識を実践に変える — Cyber RangeとSudoRangeで何が学べるか
Challengeへ進む前に、Cyber Rangeでどのように実践経験を積むかを紹介しています。