ホワイトハッカーの教科書

ネットの世界は不正を行うハッキング行為が横行しています。ホワイトハッカーはそれらのサーバーやネットワークへの攻撃を防ぐ仕事です。本書では法令遵守と倫理観を持った専門スキルを活かすハッカーになるためのさまざまな知識やスキルについて学べます。

■序文より抜粋
本書では「ホワイトハッカーになるためにはどうしたらよいのか」という問いについて掘り下げます。ホワイトハッカーに憧れる人がたくさんいるのは日本だけではありません。海外でも多くの若者がホワイトハッカーになりたいと願っています。つまり、全世界でのテーマであるということです。
ハッカー志願者や初心者に向けた本は国内外にいくつか存在します。しかしながら、その多くは技術的な話に終始しています。スキルアップ法やメンタル面について取り扱っている本はごくわずかしかありません。
そういった背景もあり、本書の企画が生まれました。私の体験談に加えて、現役のホワイトハッカーやセキュリティ専門家の体験談を参考にしています。ただし、多くの成功談には再現性のあるものと偶然によるものがあり、それを見極めるのはとても困難です。そこで、私なりに吟味した上で、再現性のあるアプローチを抽出しました。そのために常識的あるいは無難なアプローチばかりに思えるかもしれませんが、万人向けの内容になっているはずです。極端な方法や突飛な方法も一部紹介していますが、それらは本書の中においてあくまでスパイスのようなものにすぎません。
満点を取る方法ではなく、平均点を取る方法を紹介しています。平均点というと簡単に実現できるように思えますが、人生という長い期間継続するのは容易なことではありません。特定の期間だけ満点となる行動をしても十分ではありません。学びは永遠であり、ずっと平均点を維持しなければならないのです。
本書を最後まで読めば「ホワイトハッカーになるためにはどうしたらよいのか」という問いについての 1 つの答えが得られるはずです。
CHAPTER 01 ホワイトハッカーとは
CHAPTER 02 ホワイトハッカーに必要なもの
CHAPTER 03 ホワイトハッカーを目指すために知っておくべきこと
CHAPTER 04 ホワイトハッカーになるための教材
CHAPTER 05 ホワイトハッカーの成長

『ホワイトハッカーの教科書』 (IPUSIRON 著、シーアンドアール研究所、2022 年 5 月刊) は、法令を守り倫理観を持ったうえで専門のスキルを活かすホワイトハッカーになるには何を身につけ、どう学び続ければよいのかを掘り下げた書籍です。紹介文と章立てから見る限り、主題は必要な知識とスキル、教材の選び方、成長の続け方といった学ぶ側の道筋です。ホワイトハッカーを志す人や、セキュリティを学び始めたものの進め方に迷っている初心者に向いた一冊です。

全 5 章の構成、ホワイトハッカーとは何かから成長の続け方まで

章立ては全 5 章です。CHAPTER 01 の「ホワイトハッカーとは」で仕事と立場の輪郭を定め、CHAPTER 02 の「ホワイトハッカーに必要なもの」、CHAPTER 03 の「ホワイトハッカーを目指すために知っておくべきこと」で、目指す前に押さえておく前提を整理します。CHAPTER 04 は「ホワイトハッカーになるための教材」、CHAPTER 05 は「ホワイトハッカーの成長」で、何を使って学び、どう伸び続けるかという実践の側へ移ります。定義から前提、教材、成長へと進む順番は、技術の各論より先に学びの進め方そのものを固めるという本書の狙いをそのまま映した組み立てです。

技術書が手薄にしがちなスキルアップの方法と心構え

版元が掲載している序文の抜粋によれば、ハッカー志願者や初心者に向けた本の多くは技術的な話に終始し、スキルアップの方法やメンタル面を扱う本はごくわずかだという問題意識から本書の企画が生まれました。著者自身の体験談に加えて、現役のホワイトハッカーやセキュリティ専門家の体験談を参考にし、偶然による成功談と再現性のあるアプローチを見極めたうえで後者を抽出したと説明されています。序文はまた、満点を取る方法ではなく平均点を取り続ける方法を紹介すると述べています。セキュリティの分野は攻撃の手口も防御の技術も絶えず入れ替わり、一度覚えた知識がそのまま通用し続けることはまれです。ネットワーク、OS、プログラミング、Web と土台が広いため、短期間に詰め込むよりも、学び続ける習慣と自分に合った教材の選び方を持てるかどうかが、長い目で見た伸び方を左右します。本書が技術の各論より学び方の側に紙幅を割いているのは、この分野の性質に沿った選択と言えます。

法令遵守と倫理観が前提になる理由

ホワイトハッカーの技術は、システムの 脆弱性 を見つけて塞ぐためのものですが、使う技術そのものは攻撃者と重なります。両者を分けるのは、対象の持ち主から明示的な許可を得ているかどうか、そして見つけた弱点を守る側のために使うかどうかです。許可のない相手のシステムに手を出せば、目的が学習や善意であっても不正アクセス禁止法などの法令に触れるおそれがあります。版元の紹介文が法令遵守と倫理観を本書の軸に置いているのはこのためで、技術を学び始める前にこの線引きを身につけておくことは、志願者にとって最初の、そしてもっとも重要な前提です。手を動かす練習には、自分で用意した環境や、競技として攻防を学べる CTF のように許可された場を使うのが一般的な道筋です。

一方で、具体的な攻撃や診断の手順を手を動かして身につけたい人、Web アプリケーションの安全な実装方法を知りたい開発者には、本書だけでは目的に届きません。技術の各論は分野ごとの専門書で補う前提で読むのが適切で、次の一冊を探す際には セキュリティ本の選び方 が手がかりになります。セキュリティの仕事に関心はあるものの何から始め、どう学び続ければよいか分からない学生や、独学で進めてきて伸び悩みを感じている人にとって、学びの道筋と姿勢を一冊で整理できる本書は、遠回りを減らすための投資として元の取りやすい一冊です。