JP2014021959A - 情報セキュリティゲームシステム、情報セキュリティゲーム装置、及び情報セキュリティゲームプログラム - Google Patents

Abstract

【課題】 オープンな環境で実行可能なゲームとして楽しみながら、効率よく情報セキュリティに対する技術向上を図る環境を提供することができる情報セキュリティゲームシステムを提供する。
【解決手段】 情報セキュリティゲームシステムは、会員プレイヤが操作する情報処理端末１０のアクセス先となるゲームサイトを提供するサーバ装置２０を備える。サーバ装置２０は、情報処理端末１０からの要求に応じて所定の攻撃対象マシン２２ａをハッキングする攻撃元マシン２１ａと、出題される問題に応じて情報処理端末１０からのハッキング対象となる予め脆弱性が仕込まれた状態の攻撃対象マシン２２ａとを有する。情報処理端末１０は、攻撃対象マシン２２ａに対して直接アクセス不可とされ、攻撃元マシン２１ａに対してリモート接続して攻撃対象マシン２２ａをハッキングする。
【選択図】図１

Description

本発明は、プレイヤの操作に応じて情報セキュリティゲームを実行する情報セキュリティゲームシステム、並びに、これに利用可能な情報セキュリティゲーム装置、及び情報セキュリティゲームプログラムに関する。

サイバー戦争時代に突入している今日、あらゆる情報セキュリティの脅威から個人や企業、ひいては国家を守るため、情報セキュリティ技術者を育成する必要性が急務となっている。

情報セキュリティ技術の向上を図り、かかる必要性に対応するため、近年では、欧米諸国を筆頭にセキュリティコンテストが開催されている。かかるセキュリティコンテストとは、情報セキュリティ技術を競う競技会であり、例えば、クイズ形式の問題を解答したり、所定のネットワーク内で疑似的なハッキング攻防戦を行ったりすることにより、情報セキュリティ技術に関するスキルを測る催しである。クイズ形式で出題される問題は、暗号、バイナリ、ネットワーク、ウェブ、脆弱性、プログラミング等、そのジャンルは多岐にわたり、セキュリティのみならずプログラミングの知識も必要となる。また、疑似的なハッキング攻防戦についても、攻撃技術、防御技術、解析技術、暗号知識、ネットワーク技術等、広範な知識と経験が必要となる。このようなセキュリティコンテストは、欧米諸国を中心に２０年程度の歴史があり、ＩＴ技術に関する問題解決能力を向上させるための攻撃技術の実戦的経験を積む場として高い評価を受けているが、日本においても、当該コンテストがようやく開催されるに至っている（例えば、非特許文献１参照）。

ＳＥＣＯＮ実行委員会、"ＳＥＣＯＮ ＣＴＦ"、［ｏｎｌｉｎｅ］、平成２４年２月７日、［平成２４年７月１日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／ｗｗｗ．ｓｅｃｃｏｎ．ｊｐ／＞

ところで、既存のセキュリティコンテストは、疑似的といえどもハッキングを行う必要があることから、ネットワークアクセスが可能なオープンな環境において開催すると、犯罪が発生するおそれもあり、公衆衛生上望ましくない。そのため、プレイヤは、原則として会場に出向き、閉じたネットワーク内で競技する必要があり、利便が悪いという問題があった。

また、既存のセキュリティコンテストは、運営者側がクイズの問題を作成したりハッキング対象となる装置の脆弱性を設定したりする一方で、プレイヤは、それに対する解答や作業を行うのにとどまっているが、解答者としてのプレイヤには優秀な者が多く、その知識やスキルを積極的且つ効率的に取り込んでいくことが、技術向上につながるといえる。

本発明は、このような実情に鑑みてなされたものであり、オープンな環境で実行可能なゲームとして楽しみながら、効率よく情報セキュリティに対する技術向上を図る環境を提供することができる情報セキュリティゲームシステム、情報セキュリティゲーム装置、及び情報セキュリティゲームプログラムを提供することを目的とする。

上述した目的を達成する本発明にかかる情報セキュリティゲームシステムは、プレイヤの操作に応じて情報セキュリティゲームを実行する情報セキュリティゲームシステムにおいて、前記プレイヤが操作する情報処理端末と、前記情報処理端末のアクセス先となるゲームサイトを提供するサーバ装置とを備え、前記サーバ装置は、前記情報処理端末からの要求に応じて所定の攻撃対象マシンをハッキングする攻撃元マシンと、出題される問題に応じて前記情報処理端末からのハッキング対象となる予め脆弱性が仕込まれた状態の攻撃対象マシンとを有し、前記情報処理端末は、前記攻撃対象マシンに対して直接アクセス不可とされ、前記プレイヤの操作のもとに、前記攻撃元マシンに対してリモート接続し、前記攻撃元マシンを介して、前記攻撃対象マシンをハッキングし、前記問題の解答を入手することを特徴としている。

また、上述した目的を達成する本発明にかかる情報セキュリティゲーム装置は、プレイヤが操作する情報処理端末のアクセス先となるゲームサイトを提供する情報セキュリティゲーム装置において、前記情報処理端末からの要求に応じて所定の攻撃対象マシンをハッキングする攻撃元マシンと、出題される問題に応じて前記情報処理端末からのハッキング対象となる予め脆弱性が仕込まれた状態の攻撃対象マシンとを備え、前記攻撃元マシンは、前記プレイヤの操作のもとに、前記攻撃対象マシンに対して直接アクセス不可とされる前記情報処理端末からリモート接続されるのに応じて、前記攻撃対象マシンをハッキングすることを特徴としている。

さらに、上述した目的を達成する本発明にかかる情報セキュリティゲームプログラムは、プレイヤが操作する情報処理端末のアクセス先となるゲームサイトを提供するコンピュータ実行可能な情報セキュリティゲームプログラムにおいて、前記コンピュータを、前記情報処理端末からの要求に応じて所定の攻撃対象マシンをハッキングする攻撃元マシン、及び、出題される問題に応じて前記情報処理端末からのハッキング対象となる予め脆弱性が仕込まれた状態の攻撃対象マシンとして機能させ、前記攻撃元マシンは、前記プレイヤの操作のもとに、前記攻撃対象マシンに対して直接アクセス不可とされる前記情報処理端末からリモート接続されるのに応じて、前記攻撃対象マシンをハッキングするように機能することを特徴としている。

このような本発明にかかる情報セキュリティゲームシステム、情報セキュリティゲーム装置、及び情報セキュリティゲームプログラムは、サーバ装置内に攻撃元マシンを設置し、情報処理端末から攻撃対象マシンに対して直接アクセスせずに、攻撃元マシンに対して情報処理端末からリモート接続することにより、攻撃元マシンを介して攻撃対象マシンをハッキングする。

本発明においては、オープンな環境でハッキングゲームを実行することができ、遠隔地からのネットワークアクセスによっても安全にゲームを提供することができる。また、情報セキュリティゲームシステムにおいては、ゲームを楽しみながら情報セキュリティに対する技術向上を図る環境を提供することができる。

本発明の実施の形態として示す情報セキュリティゲームシステムの構成を示すブロック図である。 攻撃元マシンホストの構成を示すブロック図である。 攻撃対象マシンホストの構成を示すブロック図である。 情報処理端末のブラウザに表示されるミッションの第１の具体例を示す図である。 情報処理端末のブラウザに表示されるミッションの第２の具体例を示す図である。 情報処理端末のブラウザに表示されるミッションの第３の具体例を示す図である。 情報処理端末のブラウザに表示されるミッションの第４の具体例を示す図である。 情報処理端末のブラウザに表示されるミッションの第５の具体例を示す図である。 情報処理端末のブラウザに表示されるミッションの第６の具体例を示す図である。 情報処理端末のブラウザに表示されるミッションの第７の具体例を示す図である。 ゲームサーバの構成を示すブロック図である。 トップページの具体例を示す図である。 アカウント登録画面の具体例を示す図である。 ログイン認証画面の具体例を示す図である。 マイページの具体例を示す図である。 アカウント情報変更画面のうち、パスワード変更両面の具体例を示す図である。 アカウント情報変更画面のうち、画像登録画面の具体例を示す図である。 ミッション選択画面の具体例を示す図である。 フィーチャーミッション概要表示部が表示されたミッション選択画面の具体例を示す図である。 ミッション指令画面の具体例を示す図である。 解答入力画面の具体例を示す図である。 制限時間までに正解した場合に表示される演出用アニメーションの具体例を示す図である。 制限時間までに正解できなかった場合に表示される演出用アニメーションの具体例を示す図である。 ミッション作成画面の具体例を示す図である。 本発明の実施の形態として示す情報セキュリティゲームシステムにおいて、ゲームを実行する際の一連の手順を示すフローチャートである。 攻撃対象マシンを攻撃する際のイメージを表したブロック図である。

以下、本発明を適用した具体的な実施の形態について図面を参照しながら詳細に説明する。

この実施の形態は、プレイヤの操作に応じて情報セキュリティゲームを実行する情報セキュリティゲームシステムである。特に、この情報セキュリティゲームシステムは、オープンな環境で実行可能なゲームとして楽しみながら、効率よく情報セキュリティに対する技術向上を図る環境を提供することができるものである。

本発明の実施の形態として示す情報セキュリティゲームシステムは、ウェブサイトとして運営することにより、合法的にハッキングを行う場を提供し、運営側が提供するハッキングに関する問題に対して、実際にサイト内の攻撃対象マシンをハッキングすることによって解答したり、また、プレイヤ間で問題を出題してハッキングしあったりすることができるものである。具体的には、情報セキュリティゲームシステムは、図１に示すように、プレイヤが操作する情報処理端末１０と、この情報処理端末１０のアクセス先となるゲームサイトを提供するサーバ装置２０とを備える。

情報処理端末１０は、例えばパーソナルコンピュータやモバイルコンピュータ等から構成され、情報セキュリティゲームシステムの利用者として登録された会員プレイヤによって操作される。具体的には、情報処理端末１０は、物理的には、少なくとも、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等から構成された主制御部と、プレイヤが操作する操作部と、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）等からなる表示部と、外部機器との間でデータの授受を行う通信部等を備えて構成される。

このような情報処理端末１０は、ブラウザ１１を介してサーバ装置２０のゲームサーバ２３に対してアクセス可能とされ、このブラウザ１１を介して、ログイン操作やゲーム内容の表示等を行う。また、情報処理端末１０は、後述する攻撃対象マシン２２ａをハッキングする際には、会員プレイヤの操作のもとに、ターミナルソフトウェアやＶＮＣ（Ｖｉｒｔｕａｌ Ｎｅｔｗｏｒｋ Ｃｏｍｐｕｔｉｎｇ）クライアント、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）クライアント１２等を介して、サーバ装置２０の攻撃元マシンホスト２１における攻撃元マシン２１ａに対してリモート接続し、この攻撃元マシン２１ａを介して、攻撃対象マシン２２ａをハッキングする。

一方、サーバ装置２０は、情報セキュリティゲームのウェブサイトを提供するサーバ装置であり、攻撃元マシンホスト２１と、攻撃対象マシンホスト２２と、ゲームサーバ２３とを有する。これらの機能は後述するものとする。

このような情報セキュリティゲームシステムにおいて、情報処理端末１０は、図示しない表示部に表示されたブラウザ１１を介して、サーバ装置２０のゲームサーバ２３に対してアクセス可能とされ、会員プレイヤによってブラウザ１１を介して所定のＩＤやパスワードが入力されるのにともない、ゲームサーバ２３にログインする。会員プレイヤは、ログインすると、ブラウザ１１を介して、攻撃対象マシンホスト２２内の攻撃対象マシン２２ａを攻撃（ハッキング）することによって解くことができる問題（ミッション）を選択する。情報セキュリティゲームシステムにおいては、このミッションを参照する、すなわち、指令を受けることにより、ゲームが開始され、所定の制限時間内にそのミッションを遂行する必要がある。なお、ブラウザ１１は、指令を受けてから制限時間までの間、アニメーション等を表示させ、ゲーム進行にともなう演出を図る。

また、情報処理端末１０は、選択したミッションを解くために攻撃対象マシン２２ａをハッキングする際には、会員プレイヤの操作のもとに、ターミナルソフトウェアやＶＮＣクライアント１２等を介して、サーバ装置２０の攻撃元マシンホスト２１内の攻撃元マシン２１ａに対してリモート接続する。会員プレイヤは、リモート接続した攻撃元マシン２１ａを介して、ミッションによって指定される攻撃対象マシン２２ａをハッキングし、問題の解答入手に挑むことになる。

そして、情報処理端末１０は、攻撃対象マシン２２ａをハッキングすることによってミッションの解答を得た場合には、ブラウザ１１を介してその解答を入力させ、制限時間内に正解した場合には、ブラウザ１１を介してその結果を表示するとともに、会員プレイヤのアカウントに所定のポイントを付与する。会員プレイヤは、このポイントを利用することにより、自己が作成した攻撃対象マシンをサーバ装置２０内に設置して他の会員プレイヤに対してミッションを提供したり、ミッションを解くまでの制限時間を延長したり、正解した際のポイントを増大させたり等、当該会員プレイヤにとって利益があるゲーム内アイテムを入手することが可能となる。

つぎに、サーバ装置２０の各機能について説明する。

サーバ装置２０は、上述したように、攻撃元マシンホスト２１と、攻撃対象マシンホスト２２と、ゲームサーバ２３とを有する。

まず、攻撃元マシンホスト２１について説明する。

攻撃元マシンホスト２１は、情報処理端末１０からの要求に応じて攻撃対象マシン２２ａをハッキングするための物理マシンであり、図２に示すように、ホスティング対象となる仮想マシンとして、会員プレイヤ毎に攻撃元マシン２１ａを有する。各会員プレイヤは、１回のゲーム内では、いずれかの攻撃元マシン２１ａのみに接続可能とされ、攻撃元マシンホスト２１自体へのアクセスは不可能とされる。また、セキュリティ対策のため、各攻撃元マシン２１ａにおいて開くＳＳＨやＶＮＣのポート番号は、標準のポート番号ではなく、別のポート番号を割り当て、会員プレイヤに公開する。

ここで、情報セキュリティゲームシステムにおいては、攻撃元マシン２１ａを設けずに、情報処理端末１０から直接攻撃対象マシン２２ａをハッキングした場合には、情報処理端末１０とサーバ装置２０との間のインターネット接続プロバイダによってポートスキャン等が禁止されていることがあるため問題となる。そこで、情報セキュリティゲームシステムにおいては、攻撃元マシン２１ａを設けることにより、この攻撃元マシン２１ａを介して攻撃対象マシン２２ａを攻撃するようにしている。また、情報セキュリティゲームシステムにおいては、サーバ装置２０内に攻撃元マシン２１ａを設けることにより、攻撃元マシン２１ａによって利用可能なコマンドや操作等を制限し、会員プレイヤによるポイント消費に応じて、より高度なコマンドの利用権を付与する、といったゲーム要素の追加も可能としている。

ただし、攻撃元マシン２１ａを踏み台とし、情報セキュリティゲームシステムのウェブサイト以外の外部サイトが攻撃された場合には、恰も当該ウェブサイトが攻撃を行ったような事態に陥ることから、情報セキュリティゲームシステムにおいては、攻撃元マシン２１ａ自体及び攻撃元マシン２１ａをホスティングする攻撃元マシンホスト２１からサイト外へと送信されるパケットを遮断する仕組みを設けている。具体的には、情報セキュリティゲームシステムにおいては、攻撃元マシンホスト２１のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）をいわゆるＬｉｎｕｘとした場合には、Ｌｉｎｕｘに設けられたパケットフィルタリング機能であるｉｐｔａｂｌｅｓの設定を行い、サイト外ポートへのアクセスをブロックしている。

なお、攻撃元マシン２１ａは、万が一改竄されたり、誤操作によって故障したりした場合であっても、他の会員プレイヤへの影響やダウンタイムを最小限に抑えるために、物理ホストである攻撃元マシンホスト２１上で動作する仮想マシンとして構成されている。このようにすることにより、情報セキュリティゲームシステムにおいては、仮に攻撃元マシン２１ａが破壊された場合であっても、初期化済みの仮想マシンから復元するのみで復旧させることができる。

情報セキュリティゲームシステムにおいては、このような攻撃元マシンホスト２１及び攻撃元マシン２１ａを備え、攻撃対象マシン２２ａに対して直接アクセスすることが不可能とされることにより、遠隔地からのネットワークアクセスによっても安全にゲームを提供することが可能となっている。

つぎに、攻撃対象マシンホスト２２について説明する。

攻撃対象マシンホスト２２は、ゲームサーバ２３によって出題されるミッションの実行対象、すなわち、情報処理端末１０からのハッキング対象となる物理マシンである、図３に示すように、ホスティング対象となる仮想マシンとして、予め脆弱性が仕込まれた状態の攻撃対象マシン２２ａを有する。各会員プレイヤは、１回のゲーム内では、攻撃元マシン２１ａを介して、いずれかの攻撃対象マシン２２ａのみをハッキング対象とすることができ、攻撃対象マシンホスト２２自体へのアクセスは不可能とされる。

攻撃対象マシン２２ａは、情報セキュリティゲームシステムの運営者が予め構築して用意するものの他、会員プレイヤがポイント消費することによって購入され、当該会員プレイヤが、自己が作成したミッションとしてホスティングするものが含まれる。後者の場合、攻撃対象マシン２２ａは、会員プレイヤが情報処理端末１０を操作して、ミッションを作成し、後述するサーバ管理機能を利用してブラウザ１１を介してゲームサーバ２３へと送信することにより、攻撃対象マシンホスト２２内に設置される。

なお、ミッションによって攻略すべきターゲット、すなわち、攻撃対象マシン２２ａに仕込まれる脆弱性としては、様々なものが考えられ、例えば、
（Ａ）ウェブサーバの設定ミスによる不正なリモートログインを可能とする脆弱性を仕込んだもの
（Ｂ）一般ユーザ権限でしかないアカウントから管理者権限のアカウントを奪取可能とする脆弱性を仕込んだもの
（Ｃ）ＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）インジェクションによる情報の不正入手を可能とする脆弱性を仕込んだもの
（Ｄ）ＳＱＬインジェクションによる不正アクセスを可能とする脆弱性を仕込んだもの
（Ｅ）コマンドインジェクションによるシステム乗っ取りを可能とする脆弱性を仕込んだもの
（Ｆ）ｃｈｒｏｏｔ（Ｌｉｎｕｘ等においてルートディレクトリを変更する操作）突破による非公開ディレクトリへのアクセスを可能とする脆弱性を仕込んだもの
（Ｇ）クロスサイトスクリプティングによるセッションハイジャックを可能とする脆弱性を仕込んだもの
等、その種類には枚挙にいとまがない。一般に、このようなミッションは、簡単なものであれば１時間程度で考案できるが、難解なものになると数日レベルの考案時間を要する。

例えば、（Ａ）のミッションの場合、図４（Ａ）に示すような問題がミッションとしてブラウザ１１に表示される。また、（Ｂ）のミッションの場合、図４（Ｂ）に示すような問題がミッションとしてブラウザ１１に表示される。さらに、（Ｃ）のミッションの場合、図４（Ｃ）に示すような問題がミッションとしてブラウザ１１に表示される。さらにまた、（Ｄ）のミッションの場合、図４（Ｄ）に示すような問題がミッションとしてブラウザ１１に表示される。また、（Ｅ）のミッションの場合、図４（Ｅ）に示すような問題がミッションとしてブラウザ１１に表示される。さらに、（Ｆ）のミッションの場合、図４（Ｆ）に示すような問題がミッションとしてブラウザ１１に表示される。さらにまた、（Ｇ）のミッションの場合、図４（Ｇ）に示すような問題がミッションとしてブラウザ１１に表示される。

なお、攻撃対象マシン２２ａも、攻撃元マシン２１ａと同様に、ハッキングによって破壊されたりしても、他の会員プレイヤへの影響やダウンタイムを最小限に抑えるために、物理ホストである攻撃対象マシンホスト２２上で動作する仮想マシンとして構成されている。また、攻撃対象マシン２２ａは、リセット動作によって復旧できるように、非永続化ディスク（ｎｏｎ−ｐｅｒｓｉｓｔｅｎｔ ｄｉｓｋ）構成とされる。

情報セキュリティゲームシステムにおいては、このような攻撃対象マシンホスト２２及び攻撃対象マシン２２ａに設定されたミッションをクリアすることにより、ゲームを進行する。特に、情報セキュリティゲームシステムにおいては、攻撃対象マシン２２ａを会員プレイヤが作成したミッションに基づくものを設定可能とすることにより、優秀な問題の作成に要する運営者の負担を大幅に軽減することができる上、出題する問題を考案するという作業を通じて会員プレイヤの学習効果を高めることができる。

つぎに、ゲームサーバ２３について説明する。

ゲームサーバ２３は、図５に示すように、ウェブサーバ２３ａとして実現され、会員プレイヤに対してミッションの出題の他、ログイン認証画面の表示、その他ゲーム性を表現する各種ユーザインターフェースを提供する。また、ゲームサーバ２３は、会員プレイヤのＩＤやパスワード、所持しているポイント数等、会員プレイヤに関する情報を記憶したデータベースＤＢに接続されており、会員プレイヤの状態やゲームのプレイ状態を管理する。なお、ゲームサーバ２３は、セキュリティの観点から、会員プレイヤのブラウザ１１からのアクセスを受け付ける８０番ポート以外へのアクセスは拒否するように構成されている。

具体的には、ゲームサーバ２３は、少なくとも、トップページ機能、アカウント管理機能、ミッション管理機能、アイテム管理機能、サーバ管理機能、および、ポイント管理機能を有する。以下、各機能について詳述する。

まず、トップページ機能について説明する。トップページ機能は、アカウント登録をしていない非会員であっても参照可能なトップページをブラウザ１１に表示させる機能である。トップページは、例えば図６に示すように、トップハッカーのランキング表示部３１と、お知らせ表示部３２と、ナビゲーションバー３３とを有する。

トップハッカーのランキング表示部３１は、現時点で、情報セキュリティゲームシステムにアカウント登録している会員プレイヤのうち、累計ポイント数が多い順にランキング形式で表示するものである。表示情報としては、会員プレイヤのユーザ名の他、必要に応じて、累計ポイント数、アイコン画像、累計ポイントに応じて与えられた称号等が挙げられる。

お知らせ表示部３２は、運営者から一般へ公開するお知らせ情報の他、セキュリティに関する情報の発信を行うための領域である。

ナビゲーションバー３３は、アカウント登録画面へのリンク、既にアカウント登録をしている会員プレイヤのためのログイン認証画面へのリンク、ゲームの趣旨を説明したページへのリンク等、他の画面に遷移するためのリンク情報をまとめた領域である。

つぎに、アカウント管理機能について説明する。アカウント管理機能は、アカウント登録やログイン認証、会員プレイヤに固有に割り当てられるマイページ、アカウント情報変更等の操作を行うための各種画面をブラウザ１１に表示させる機能である。

アカウント登録を行うためのアカウント登録画面は、トップページのナビゲーションバー３３にある「Ｒｅｇｉｓｔｅｒ」リンクから表示可能とされ、例えば図７に示すように、会員プレイヤになろうとするユーザが希望するユーザ名やパスワード、確認の送信やパスワードの復旧のための電子メールアドレス等の情報を入力可能に構成される。ゲームサーバ２３は、入力された情報を会員プレイヤに関する情報としてデータベースＤＢに記憶させる。情報セキュリティゲームシステムにおいては、このアカウント登録画面を介して会員プレイヤになることができる。また、アカウント管理機能は、希望する会員プレイヤ同士をグループとしてまとめてデータベースＤＢに登録し、グループ単位でアイテムやサーバを共有する機能も提供する。これにより、情報セキュリティゲームシステムにおいては、会員プレイヤが個別にミッションに挑戦するモードの他、チーム戦モードも提供することが可能となり、ゲーム性をより高めることができる。

ログイン認証を行うためのログイン認証画面は、トップページのナビゲーションバー３３にある「Ｌｏｇｉｎ」リンクから表示可能とされ、例えば図８に示すように、アカウント登録時に指定したユーザ名とパスワードとを入力可能に構成される。ゲームサーバ２３は、データベースＤＢを参照し、入力された情報に基づいてログイン認証が成功した場合には、会員プレイヤに固有に割り当てられたマイページへと表示画面を遷移させる。また、ログイン認証画面には、パスワードを忘失した場合に、パスワードをリセットするための画面を表示させるリンク等も設けられる。

マイページは、アカウントを保有する各会員プレイヤに固有のページであり、ログイン認証に成功した後に、ブラウザ１１に表示される画面である。マイページは、例えば図９に示すように、メニュー表示部４１と、ステータスや機能画面の表示部４２とを有する。

メニュー表示部４１は、例えば、アカウント管理機能、ミッション管理機能、アイテム管理機能、サーバ管理機能、ポイント管理機能といった各種機能へのリンクを表示する。一方、ステータスや機能画面の表示部４２は、トップページと同様に、トップハッカーのランキングや、非会員に対しては非公開とする会員向けのお知らせ情報を表示する。また、表示部４２は、現在の会員プレイヤ自身の称号や保有するアイテム、サーバの一覧、所持ポイント数等も表示し、さらに、メニュー表示部４１の各メニューが選択されるのに応じて、各機能の提供画面を表示する。この表示部４２に表示された情報は、ナビゲーションバー４３にある「Ｈｏｍｅ」リンクがクリック操作されることにより、元の情報に遷移する。

アカウント情報変更を行うためのアカウント情報変更画面は、パスワードの変更と、会員プレイヤ自身を表現するアイコンとして表示する画像の登録や変更を行う画面である。具体的には、アカウント情報変更画面は、パスワード変更画面として、例えば図１０（Ａ）に示すように、現在のパスワードと変更後の希望パスワードとを入力可能に構成され、また、画像登録画面として、図１０（Ｂ）に示すように、登録又は変更する画像ファイルのパス情報を参照して入力可能に構成される。ここで登録された画像は、トップハッカーのランキングや図示しないグループ管理画面等に表示されることになる。

つぎに、ミッション管理機能について説明する。ミッション管理機能は、ゲームプレイにメインとなるミッションの遂行にあたって必要となるミッションの作成や選択、遂行中の画面制御等を行う機能である。

ミッションの選択は、例えば図１１に示すようなブラウザ１１に表示されるミッション選択画面を用いて行われる。ミッション選択画面は、条件指定によって該当するミッションを絞り込むための検索表示部５１と、検索されたミッションの概要が一覧表示されるミッション概要表示部５２とに大別される。また、ミッション選択画面は、例えば図１２に示すように、作成された間もない新着ミッションや、人気が高いミッション、運営者が選択したミッション等をフィーチャーミッションとして、フィーチャーミッション概要表示部５３に一覧表示することもできる。会員プレイヤは、ミッション概要表示部５２又はフィーチャーミッション概要表示部５３に表示されたミッションの中から所望のミッションを選択し、ゲームを開始することになる。

ゲームサーバ２３は、ミッションが選択されると、例えば図１３に示すようなミッション指令画面をブラウザ１１に表示させ、当該ミッションの詳細内容を会員プレイヤに提示する。ミッション指令画面は、ミッションの詳細内容を表示するミッション詳細表示部６１と、ゲーム性を高めるための演出用アニメーションを表示するアニメーション表示部６２とに大別される。このうち、ミッション詳細表示部６１に表示されるミッションの詳細内容は、先に図４（Ａ）乃至図４（Ｇ）に示したように、ハッキング対象となる攻撃対象マシン２２ａを表すＩＰアドレスと、そこに設定されている脆弱性に対する攻撃手法のヒントとなる情報と、それを解くことによってのみ得られる所定情報を取得する旨の指令とを含む問題からなるものである。ゲームサーバ２３は、ミッションの詳細内容を会員プレイヤに提示すると、当該ミッションに与えられた解答までの制限時間からカウントダウンを開始する。また、ゲームサーバ２３は、カウントダウンに同期して、アニメーション表示部６２に演出用アニメーションを表示する。そして、解答を得ることができた場合には、ゲームサーバ２３は、ミッション詳細表示部６１にある「Ａｎｓｗｅｒ」リンクがクリック操作されるのに応じて、例えば図１４に示すような解答入力画面をブラウザ１１に表示させ、解答を入力させる。なお、演出用アニメーションとしては、例えば、カウントダウンに同期してミサイルが接近し、制限時間までに正解できた場合には、例えば図１５（Ａ）に示すように、ミサイルを迎撃した様子を示すアニメーションを表示し、制限時間までに正解できずにタイムアップとなった場合には、図１５（Ｂ）に示すように、ミサイルが着弾してしまった様子を示すアニメーションを表示するといった、臨場感溢れるものが望ましい。

なお、情報セキュリティゲームシステムにおいては、上述したように、会員プレイヤ自身がミッションを作成し、他の会員プレイヤに対して提供することができる。この際、会員プレイヤは、ポイントを消費することにより、ミッションをホスティングするためのサーバを購入する必要がある。また、作成されたミッションは、運営者の審査を経てから公開される。ミッションを作成するためのミッション作成画面は、例えば図１６に示すように、ミッションの詳細内容や使用するサーバの情報等を入力可能に構成される。ゲームサーバ２３は、このようなミッション作成画面をブラウザ１１に表示させ、入力された情報を受信すると、受信した情報をデータベースＤＢに記憶する。運営者は、データベースＤＢに記憶されたミッション情報を審査し、公開に値すると判断したものを、攻撃対象マシン２２ａに設定する。これにより、作成されたミッションは、会員プレイヤによって参照可能な状態とされる。

つぎに、アイテム管理機能について説明する。アイテム管理機能は、会員プレイヤがポイントを消費して取得可能なゲーム内アイテムを管理する機能である。このアイテム管理機能は、上述したマイページのメニュー表示部４１におけるアイテム管理機能リンクから遷移可能な所定のアイテム管理画面を用いて行われる。なお、アイテムとしては、会員プレイヤがミッションを制限時間内に解くことができた場合に付与されるポイント数を増幅するもの、会員プレイヤがあるミッションを作成して公開しており、そのミッションが他の会員プレイヤによって解かれた場合に、ミッションを提供した会員プレイヤが失うポイント数を減少させるもの、会員プレイヤがミッションを遂行するための制限時間を延長することができるもの等、当該会員プレイヤに利益を与えるものが提供される。また、情報セキュリティゲームシステムにおいては、会員プレイヤが、あるグループに設定されている場合には、その会員プレイヤが取得したアイテムをグループに属する他の会員プレイヤに公開して利用可能とするような設定を行うこともできる。

つぎに、サーバ管理機能について説明する。サーバ管理機能は、会員プレイヤが作成したミッションを他の会員プレイヤに公開するために、当該ミッションをホスティングするためのサーバを設置して管理する機能である。このサーバ管理機能は、上述したマイページのメニュー表示部４１におけるサーバ管理機能リンクから遷移可能な所定のサーバ管理画面を用いて行われる。このサーバは、上述したように、ポイントを消費して購入することができるものであり、いわばアイテムの一種と捉えることもできるものである。購入したサーバに関する情報は、会員プレイヤ毎にデータベースＤＢに記憶されるとともに、上述したミッション作成画面にて選択可能な状態とされ、会員プレイヤの操作のもとに選択されたサーバに関する情報は、ミッション作成情報の一部として、ゲームサーバ２３に対して送信されることになる。

つぎに、ポイント管理機能について説明する。情報セキュリティゲームシステムにおいては、アカウント登録時に、所定のポイントが会員プレイヤに付与され、ミッションをクリアした場合にもポイントが付与される。会員プレイヤは、そのポイントを利用してミッションに挑戦することができるが、全てのポイントを消費してしまった後のミッションへの挑戦や、アイテムの入手やサーバの設置を行うためには、追加のポイントを購入する必要がある。ポイント管理機能は、そのようなポイントの購入を行い、ポイントを管理する機能である。このポイント管理機能は、上述したマイページのメニュー表示部４１におけるポイント管理機能リンクから遷移可能な所定のポイント管理画面を用いて行われる。購入したポイントに関する情報は、会員プレイヤ毎にデータベースＤＢに記憶されるとともに、会員プレイヤの操作に応じてマイページの表示部４２に表示されることになる。

さて、以上のような各種機能を提供する情報セキュリティゲームシステムは、図１７に示すような一連の手順にしたがって実行される。

まず、情報処理端末１０は、図１７に示すように、ステップＳ１において、会員プレイヤの操作のもとにゲームサーバ２３に対してアクセスし、ブラウザ１１に上述したログイン認証画面を表示させてログインする。

続いて、情報処理端末１０は、ステップＳ２において、会員プレイヤの操作のもとに、ブラウザ１１に上述したミッション選択画面を表示させて所望のミッションを選択し、ステップＳ３において、ブラウザ１１に上述したミッション指令画面を表示させる。会員プレイヤは、ミッション詳細表示部６１に表示されたミッションの詳細内容を確認することにより、ミッションの指令を受ける。これにともない、ゲームサーバ２３は、制限時間のカウントダウンを開始し、ゲームを開始する。

続いて、情報処理端末１０は、ステップＳ４において、会員プレイヤの操作のもとに、ターミナルソフトウェアやＶＮＣクライアント、ＳＳＨクライアント１２を介して、サーバ装置２０の攻撃元マシンホスト２１における攻撃元マシン２１ａに対してリモート接続する。なお、攻撃元マシン２１ａへのログインアカウントは、アカウント登録時に同時に作成されており、情報処理端末１０は、このアカウントを利用して攻撃元マシン２１ａに対してリモート接続する。

続いて、情報処理端末１０は、ステップＳ５において、会員プレイヤの操作のもとに、攻撃元マシン２１ａを介して、指令を受けた攻撃対象マシン２２ａに関する情報を収集する。例えば、情報処理端末１０は、ポートスキャンを行うことにより、攻撃対象マシン２２ａにおいて開かれているポート情報を収集したり、バナーチェックを行うことにより、それぞれのポートで動作しているソフトウェアの種類やバージョンを収集したりすることができる。

そして、情報処理端末１０は、ステップＳ６において、会員プレイヤの操作のもとに、収集した情報に基づいて、攻撃対象サーバ２２ａに攻撃を仕掛ける。例えば、情報処理端末１０は、図１８に示すように、攻撃対象マシン２２ａのポート８０８０でウェブサーバが動作していることがわかった場合には、さらに攻撃元マシン２１ａのブラウザから攻撃対象マシン２２ａのポート８０８０を指定してアクセスを試みる。また、ミッションの内容がＳＱＬインジェクションに関するものである場合には、ＳＱＬを入力可能な画面が存在していないかを確認したり、クロスサイトスクリプティングに関するミッションであれば、スクリプトを注入できる画面が存在していないかを確認したりすることにより、攻撃ポイントを探ればよい。

続いて、情報処理端末１０は、ステップＳ７において、制限時間がまだ経過していないと判定した場合には、ステップＳ８において、会員プレイヤの操作のもとに、攻撃に成功した場合に得られた何らかの情報に基づいて、上述した解答入力画面を介して入力された解答をゲームサーバ２３に対して送信する。

情報処理端末１０は、このような動作を制限時間内であって且つ正解するまで繰り返し行う。すなわち、情報処理端末１０は、ステップＳ９において、入力した解答が不正解であった場合には、ステップＳ５へと処理を移行し、攻撃対象マシン２２ａに関する情報を収集する処理から繰り返し行う。

そして、情報処理端末１０は、入力した解答が正解であった場合には、ステップＳ１０において、ゲームサーバ２３の制御のもとに、上述したミッション指令画面のアニメーション表示部６２に、ミサイルを迎撃した様子を示すアニメーションとともに、ミッションに応じたポイントを獲得した旨を表示し、一連の処理を終了する。獲得したポイントに関する情報は、ゲームサーバ２３の制御のもとにデータベースＤＢに記憶される。

一方、情報処理端末は、カウントダウンタイマがタイムアップして制限時間内に正解することができなかった場合には、ステップＳ１１において、ゲームサーバ２３の制御のもとに、アニメーション表示部６２に、ミサイルが着弾してしまった様子を示すアニメーションとともに、ミッションに応じたポイントを喪失した旨を表示し、一連の処理を終了する。喪失したポイントに関する情報は、ゲームサーバ２３の制御のもとにデータベースＤＢに記憶される。

以上説明したように、本発明の実施の形態として示す情報セキュリティゲームシステムにおいては、サーバ装置２０内に攻撃元マシンホスト２１及び攻撃元マシン２１ａを設置し、この攻撃元マシンホスト２１及び攻撃元マシン２１ａに対して情報処理端末１０からリモート接続することにより、攻撃対象マシン２２ａをハッキングすることができる。したがって、この情報セキュリティゲームシステムにおいては、オープンな環境でハッキングゲームを実行することができ、遠隔地からのネットワークアクセスによっても安全にゲームを提供することができる。そして、情報セキュリティゲームシステムにおいては、ゲームを楽しみながら情報セキュリティに対する学習を行うことができるのみならず、会員プレイヤ自身が問題を作成して提供することができるため、効率よく情報セキュリティに対する技術向上を図る環境を提供することができ、運営者にとっても有益である。

なお、本発明は、上述した実施の形態に限定されるものではない。

例えば、上述した実施の形態では、運営者が提供するウェブサイトに対してアクセスすることによって実行されるクラウド型のゲームシステムとして説明したが、本発明は、情報セキュリティの教育材料として、会員プレイヤ自身がローカルネットワーク内に同ウェブサイトを設置し、予め決められたセットのハッキングを体験することができるようなパッケージとして販売することもできる。

このように、本発明は、その趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

１０ 情報処理端末
１１ ブラウザ
１２ ターミナルソフトウェア、ＶＮＣクライアント、ＳＳＨクライアント
２０ サーバ装置
２１ 攻撃元マシンホスト
２１ａ 攻撃元マシン
２２ 攻撃対象マシンホスト
２２ａ 攻撃対象マシン
２３ ゲームサーバ
２３ａ ウェブサーバ
３１ ランキング表示部
３２ お知らせ表示部
３３ ナビゲーションバー
４１ メニュー表示部
４２ ステータスや機能画面の表示部
４３ ナビゲーションバー
５１ 検索表示部
５２ ミッション概要表示部
５３ フィーチャーミッション概要表示部
６１ ミッション詳細表示部
６２ アニメーション表示部
ＤＢ データベース

Claims (7)

1. プレイヤの操作に応じて情報セキュリティゲームを実行する情報セキュリティゲームシステムにおいて、
   前記プレイヤが操作する情報処理端末と、
   前記情報処理端末のアクセス先となるゲームサイトを提供するサーバ装置とを備え、
   前記サーバ装置は、
   前記情報処理端末からの要求に応じて所定の攻撃対象マシンをハッキングする攻撃元マシンと、
   出題される問題に応じて前記情報処理端末からのハッキング対象となる予め脆弱性が仕込まれた状態の攻撃対象マシンとを有し、
   前記情報処理端末は、前記攻撃対象マシンに対して直接アクセス不可とされ、前記プレイヤの操作のもとに、前記攻撃元マシンに対してリモート接続し、前記攻撃元マシンを介して、前記攻撃対象マシンをハッキングし、前記問題の解答を入手すること
   を特徴とする情報セキュリティゲームシステム。
2. 前記攻撃対象マシンは、当該情報セキュリティゲームシステムの運営者が予め構築して用意して前記サーバ装置内に設置されるものと、前記プレイヤが問題を作成して所定のサーバを介してホスティングして設置されるものとを有すること
   を特徴とする請求項１記載の情報セキュリティゲームシステム。
3. 前記サーバ装置は、
   前記情報処理端末からの要求に応じて前記攻撃対象マシンをハッキングするための物理マシンである攻撃元マシンホストと、
   前記情報処理端末からのハッキング対象となる攻撃対象マシンホストとを有し、
   前記攻撃元マシンは、前記攻撃元マシンホストによるホスティング対象となる仮想マシンとして構成されており、
   前記攻撃対象マシンは、前記攻撃対象マシンホストによるホスティング対象となる仮想マシンとして構成されていること
   を特徴とする請求項１又は請求項２記載の情報セキュリティゲームシステム。
4. 前記攻撃元マシン自体及び前記攻撃元マシンホストから前記ゲームサイト外へと送信されるパケットを遮断する手段を備えること
   を特徴とする請求項３記載の情報セキュリティゲームシステム。
5. 前記攻撃元マシンにおいて開くポート番号は、標準のポート番号ではないポート番号が割り当てられること
   を特徴とする請求項１又は請求項２記載の情報セキュリティゲームシステム。
6. プレイヤが操作する情報処理端末のアクセス先となるゲームサイトを提供する情報セキュリティゲーム装置において、
   前記情報処理端末からの要求に応じて所定の攻撃対象マシンをハッキングする攻撃元マシンと、
   出題される問題に応じて前記情報処理端末からのハッキング対象となる予め脆弱性が仕込まれた状態の攻撃対象マシンとを備え、
   前記攻撃元マシンは、前記プレイヤの操作のもとに、前記攻撃対象マシンに対して直接アクセス不可とされる前記情報処理端末からリモート接続されるのに応じて、前記攻撃対象マシンをハッキングすること
   を特徴とする情報セキュリティゲーム装置。
7. プレイヤが操作する情報処理端末のアクセス先となるゲームサイトを提供するコンピュータ実行可能な情報セキュリティゲームプログラムにおいて、
   前記コンピュータを、
   前記情報処理端末からの要求に応じて所定の攻撃対象マシンをハッキングする攻撃元マシン、及び、
   出題される問題に応じて前記情報処理端末からのハッキング対象となる予め脆弱性が仕込まれた状態の攻撃対象マシンとして機能させ、
   前記攻撃元マシンは、前記プレイヤの操作のもとに、前記攻撃対象マシンに対して直接アクセス不可とされる前記情報処理端末からリモート接続されるのに応じて、前記攻撃対象マシンをハッキングするように機能すること
   を特徴とする情報セキュリティゲームプログラム。