情報セキュリティの力試し・アドベンチャーゲームで遊ぼう

情報セキュリティの知識を遊びながら学べるゲームソフトの紹介です。

IPA(独立行政法人・情報処理推進機構)がリリースした、ゲーム形式でセキュリティを学べる「安全なウェブサイト運営入門」をプレイしてみました。

シナリオの途中でプレイヤーがクリックした選択肢に沿って展開が変わり、最後に用意された６段階のエンディング（評価）が表示されるアドベンチャーゲーム形式。

全部で７つの章に分かれていて、章が終わるごとに詳しい予備知識を画像付きで説明してくれるセクションに飛ぶこともでき、遊びながらセキュリティに関する知識を得ることができます。

シナリオは、輸入雑貨を取り扱う企業がネットショップを開くことになり、あなたはそのプロジェクトを進めるリーダーとなって準備や運営を行うというもの。

第１の事件「電子メールの誤送信」

サーバーやセキュリティについて何の知識もなかった主人公が、書店でネットショップについて書かれた本を買ってくるところから始まっています。
僕も以前、ネットショップに興味を持ち、本屋さんで本を選びながら「どれがいいかな？」と悩んだ経験があったので、かなり感情移入できました。
電子メールは誰もが使うツールなので、ここで起こる事件は既に経験したり、あるいはしそうになったことがある人が多いのでは？




第２の事件「クロスサイト・スクリプティング」
第３の事件「SSL（Secure Socket Layer）サーバ証明書の期限切れ」

この辺になると、実際にホームページやネットショップを運営したり、これから始めようと思っている人じゃないと身近な問題として感じられないかもしれませんね。
クロスサイト・スクリプティングとは、本物のサイト上に偽のサイトが表示されてしまう問題のことです。
もしよく分からないようなら、ざっとプレイして次に進める感じでもいいと思います。




第４の事件「ウイルス感染」

これはパソコンを使っている全ての人に関係のある事件です。
Windows Updateなどを使って常にOSを最新の状態にしていない上、セキュリティソフトを入れずにネットに接続すると、約５時間でウィルスに感染するという実験結果もあるそうです。




第５の事件「サービス運用妨害 （DoS: Denial of Service）」

サーバーに過負荷をかけてサービスを停止させたりレスポンスを悪くさせたりする攻撃です。
時々ネットニュースなどで見かけますね。
ターゲットになるのは多くの人が利用する検索エンジンやネットショップ。あるいは企業内にこうした攻撃をするウィルスをメールなどを通して感染させるといったことがあります。




第６の事件「セッション管理の不備」

いわゆる「なりすまし」アクセスによる、ユーザーアカウントの不正使用がテーマです。
ユーザーアカウントを持っている側では防ぎようのない分野ですので、ショップ側などでの対応が求められます。




第７の事件「SQL（Structured Query Language）インジェクション」

こちらも大きな事件に発展してニュースになることのある問題です。
ネットショップのショッピングカートなどに入力された情報を処理するプログラムのミスが主な原因ですが、フリーで配布されているカートスクリプトなどにもこの問題を含んだものがあります。




「プレイにかかる時間は？」
シナリオをプレイして補足事項をざっと見通すだけなら７章までのプレイ時間は１時間半～２時間ほど。
ウェブサイト運営者だけでなく、一般のネット利用者も知識をつけておくことで被害を未然に防ぐことができるかもしれません。
このゲームはIPAのサイトから無料でダウンロードすることができます。

安全なウェブサイト運営入門 - ７つの事件を体験し、ウェブサイトを守りぬけ！ (IPA)