こんにちは。インフラじゃに夫です。
1記事目を読んでくださった皆様、ありがとうございました。
今回は勉強を始めたCEHについてです。
IPAの情報処理安全確保支援士の資格を取った後、次に何を勉強しようかと調べCEHを選びましたが、「そもそもこの資格って何を学ぶんだ？」と最初はかなり混乱しました。
今回は、セキュリティ初心者の自分なりに、CEHがどんな資格なのか整理してみます。
CEHとは？
そもそもCEHって何の略かというと、Certified Ethical Hackerの略で日本語にすると「認定倫理的ハッカー」です。ですが、日本国内では「認定ホワイトハッカー」の名称で知られています。
「Certified（認定）」は、“認定された人”という意味だと理解できました。
「Ethical（倫理的）」は…？最初は正直ピンときませんでした。
「Hacker（ハッカー）」…え、大丈夫な資格なの？ 違法なことを学ぶの？ と正直思っていました笑
もしこの記事を読んでCEHを受験しようと思う方がいましたら、こちらのサイトが対大変参考になると思います。
https://www.fca.ac.jp/qualification/679/?utm_source=chatgpt.com
※受験資格として公式トレーニングの受講もしくは2年以上の情報セキュリティの実務経験が必要となりますので注意してください。
そもそも“エシカル”って何？
ここでいう“エシカル（Ethical）”は、日本語にすると「倫理的」という意味です。
つまり、CEHは不正アクセスや攻撃そのものを推奨する資格ではなく、「攻撃者がどういう手法を使うのかを理解し、防御に役立てる」ことを目的とした資格です。
実際、セキュリティの世界では「守る側も攻撃を知らないと守れない」とよく言われます。
例えば、
- どんな経路で侵入されるのか
- どうやって情報を盗まれるのか
- なぜ脆弱性が危険なのか
などを理解するために、攻撃者視点を学ぶわけです。
ハッカーという言葉から、最初は少し物騒なイメージもありましたが、勉強してみると「防御のために攻撃を知る」という考え方なのだと理解できました。
CEHで学ぶこと
CEHを勉強し始めて最初に感じたのは、「想像以上に範囲が広い」ということでした。
私は最初、「ハッキングの資格だから、攻撃ツールの使い方を学ぶのかな？」くらいのイメージだったのですが、実際はかなり幅広い知識を扱います。
例えば、
- ネットワーク
- OSINT（公開情報調査）
- マルウェア
- Webアプリケーション
- 暗号
- 脆弱性
- フォレンジック
- クラウド
- ソーシャルエンジニアリング
など、本当に幅広いです。
特に印象的だったのは、「技術だけではない」という点です。例えば、人を騙して情報を取得するソーシャルエンジニアリングや、情報収集の考え方なども学習範囲に含まれています。
また、単純に知識を暗記するだけではなく、
- どういう流れで攻撃が行われるのか
- 攻撃者は何を狙うのか
- なぜこの対策が必要なのか
を“攻撃者視点”で理解する必要があり、想像していた以上に「考え方」を学ぶ資格だと感じました。
実際に勉強を始めて感じたこと
実際に勉強を始めてみると、かなり横文字が多く、最初は用語だけで混乱しました。
特に、
- 完全性（Integrity）と真正性（Authenticity）
- Exploit と Payload
- リスクと脅威と脆弱性
など、「似たような単語が多い…！」というのが正直な感想です。
また、「単語の意味はなんとなくわかるけど、結局どう違うの？」となることがかなり多いです。
なので最近は、単純に暗記するというより、「何を対象にしている概念なのか」を意識しながら整理するようにしています。
例えば、
- 完全性 → “何が”改ざんされていないか
- 真正性 → “誰が”本物か
というように、「対象」を意識すると少し整理しやすくなりました。
CEHは単純な暗記試験というより、「概念整理力」がかなり求められる資格だと感じています。
なぜ自分はCEHを勉強しようと思ったのか
理由は1記事目でも少し書きましたが、「セキュリティ領域にキャリアを寄せていきたい」と考えたからです。
私は現在、SIerのインフラエンジニアとして働いています。
これまでサーバ・ネットワーク・運用などを経験してきましたが、仕事を続ける中で、「今後どんな方向にキャリアを伸ばしていきたいか」を考えることが増えました。
その中で興味を持ったのがセキュリティです。
特に私は、
- セキュリティガバナンス
- リスク管理
- 2線業務
などに興味があります。
ただ、その領域を理解するためにも、まずは「攻撃者が何をするのか」を知る必要があると思い、CEHの勉強を始めました。
今後このブログで書きたいこと
今後は、このブログでCEHやセキュリティを勉強する中で、
- 自分が混乱したこと
- 整理すると理解しやすかったこと
- 初学者目線でつまずいたこと
などを発信していきたいと思っています。
例えば最近だと、
- CIAと真正性の違い
- ハッシュ化と暗号化
- サイバーキルチェーン
- MITRE ATT&CK
などを勉強しているのですが、かなり混乱しています（笑）
同じようにセキュリティを勉強し始めた方にとって、「自分もそこわからなかった」と思ってもらえるような記事を書いていければ嬉しいです。
まだまだ知らないことだらけですが、これからもSecurity学習の記録を発信していこうと思います。
同じように勉強中の方、一緒に頑張りましょう。
コメント