💡

CEHの取得と維持の戦略

2023/12/18に公開

インフラ

はじめに

EC-CouncilのCEHを取得する機会に恵まれたのだが、この資格は有名になってきているのに取得体験や維持実績についての記事が全然無いので書いてみる。なお私はインフラエンジニアのキャリアを元々歩んでいて、途中でクラウドプラットフォームのAWSを身につけた。持っている資格はそんなに多くないし、更新していない資格もあるけどざっくり下記の通り。CEHを取るのに必要な前提知識がどういうものなのかの参考になれば幸い。

AWS Solutions Architect Professional
AWS Certified Specialty - Security
以下は昔とったもので失効してるはず
- LPIC1
- JP1 Ver10くらい
- ITILv3 Foundation
- あとなんかMSのSQL Server的な何か

CEHとは

米国のEC-Councilという団体が実施している。団体名の日本語訳は「電子商取引コンサルタント国際評議会」だけど、長いから自分はEC-Councilという呼称を使っている。そしてCEHとはCertified Ethical Hackerの略で、直訳すると「認定倫理的ハッカー」である。世間一般では「認定ホワイトハッカー」と呼ぶ人が多く、こちらの名称は聞いたことがある人も多いだろう。この資格はEC-Councilの資格の中で「上級」に分類されるらしい。

特にアメリカ国防総省では、その情報システムへアクセスする人に必ず取得を求めるものだとか。

資格が示してくれるもの

サイバーセキュリティについて、 攻撃者の視点 からシステムの防御策を練ったりテストしたりする実力があることを示してくれる。サイバーセキュリティの資格は管理系と技術系があるけれど、CEHは技術系に分類される。一部の解説サイトでは技術系サイバーセキュリティ資格のうち最高難易度の1つとして数えられている。

CEH取得に向けた流れ

おおまかに次のような流れとなる。

受験資格を得る
受験する
合格したらEC-Councilに年会費を支払う

受験資格

CEHを受験するには、受験資格を得る必要がある。ほとんどの人にとっては有償講習の修了が楽だろうけれど、やっぱ値段が･･･ね。

EC-Councilと提携している企業の有償講習を受講する
- 純粋に値段がかなり高くつく(55万くらい)
- GSX社が提供している
2年以上のセキュリティ業務経験があることをEC-Councilに認めてもらう
- EC-Councilに業務経験を示す際には審査料がかかる

試験の仕様

資格試験にせよ入学試験にせよ、まずは試験の仕様を知ることが対策を行う上で非常に重要である。CEH試験の仕様は公開されていて、下記の通り。

CBT申込み先：ピアソン経由、もしくはEC-Council直接
問題数：125問
回答方式：選択式
試験時間：4時間
言語：日本語のみ、または英語のみ
合格基準：70%以上
備考：ピアソン経由CBT会場ではメモ用紙2枚の使用が許可される

このような仕様であり、問題数に対して試験時間が長く見える。しかし問題はそこではなく、言語が日本語のみまたは英語のみという点にある。日本語版の試験は機械翻訳へ適当に投げた結果が使われているようで、日本語がおかしい設問が複数あった。加えて英語原文を表示させるオプションが提供されないため、問題文の意味がよくわからないまま回答しなければいけないケースもある。ここだけは直してくれよEC-Council。

試験対策について

私は職歴として元々試験対策のプロ･･･要するに学習塾で働いていたことがある。なので試験対策としてどういうことをするのが正道かという点については、まぁそこそこ理解している方だと自負している。しかし私にとってのCEH試験は正道だけでは無理で、邪道に頼らざるを得ない難易度だった。ここで言う正道というのは、「その回答が正しいと確信を持てるようになることを目指す勉強法」のこと。そして邪道とは「この文脈でこの単語が出てくる選択肢は確実に×」のような、変なアプローチの仕方で点数を得ようとする勉強法を言う。この邪道的アプローチは用語問題に類するタイプならば正道と言えるのかもしれないが、我々ITエンジニアにとっては流石に正道とは言えないだろう。
でもさ･･･合格したらそれはもう合格だもんね？

教材

EC-Council公式教材の日本語版は有償講習の受講者には提供されるが電子テキストのみが標準提供で、物理テキスト(紙の本)は別途オプションの有償提供である。それ以外に教科書的な書籍の日本語版は存在しない。問題集の日本語版も存在しない。私が利用した教材は下記の通り。

Pocket Prep
- PCにDeepLを突っ込んで翻訳しながら無心に解きまくった
- ただし収録されている問題は実際の試験と結構な乖離が会ったと思う
- やっておけば確実にプラスだが、100%繋がっているような問題はほとんどない
CEH Certified Ethical Hacker Practice Exams, Fifth Edition (English Edition)
- 旧版の問題集なので微妙だが、一応最新の出題範囲の一部になっている
- こちらもDeepLに突っ込んで翻訳して解いていくことになる

合格後

合格したらEC-Councilに年会費として$80(2023年現在)を支払う必要がある。年会費なので、次年度以降も支払い続けることになる。ただし他のEC-Council資格を持っている場合でも、一律$80で済むようだ。

CEHの維持

CEHはISO17024認証を受けている。この規格は「要員が技能・技術を維持できていることを確認する」ということを求めているので、例えばIPAの各種資格のように1度合格したら生涯有効ということにはならない。

維持条件

認定の有効期間である3年間のうちに、ECE(EC-Council Continuing Education)クレジットという更新ポイントを120点貯める必要がある。雑に平均化すれば、1年当たり40点稼げば十分に間に合う計算と言える。ECEクレジットを獲得するためにはいくつかの方法があって、個人でも獲得しやすいのは下記のカテゴリだろう。

勉強会やセミナー、カンファレンスに出席(1ポイント/時間)
勉強会やセミナー、カンファレンスで登壇する(3ポイント)
本や記事を読んでレポートを書く(5ポイント)
トレーニングコースを受講・修了(要修了証・1ポイント/時間)
セキュリティ系業界団体の会員になる(3ポイント)
EC-Council外のセキュリティ系資格試験に合格(40ポイント)

勉強会やセミナー、カンファレンスには参加費無償のものでもカウントしてくれるし、自分の会社が外部企業に依頼して開催してもらうようなタイプの研修でもカウントしてくれる。
一応、もう一度CEH試験やEC-Councilのその他の試験に合格すれば120ポイント獲得(つまり即クリア)となるが、ぶっちゃけあのCEH試験は･･･2度と受けたくないorz

ECEクレジット承認の実例

まだ1年目なので却下された例が無いのだが、下記は承認された。結構色々な勉強会や研修を認定してくれるようなので、地道ではあるがコツコツECEクレジットを獲得していく方法が良いだろう。

対企業向けに行われているサイバー攻撃演習(オンライン)
対企業向けに行われているクラウドプラットフォーム上のインシデント対応演習(オンライン)
NCA TRANSITS - 日本CSIRT協会が開催する合宿型ワークショップ

これらが普通に承認されるということは、例えばOWASPのチャプターミーティングやCODE BLUEに加え、アメリカのBLACK HAT USAへのオンライン参加といったケースでも大丈夫ではないかと考えられる。

終わりに

取得しての率直な感想は「NKT(長く苦しい戦いだった)」の一言である。インフラ屋なので資格がカバーする知識範囲の大部分を最初からある程度持っていたのは僥倖と言えるものの、それでも内容は非常に高度かつ広範にわたるため結構な勉強時間を必要とした。特に厄介だったのは実際のサイバー攻撃手法に関してで、例えばSQLインジェクション1つをとっても手口が細かく分類されることには苦しめられた。そんなこともあって、勉強時間は確実に100時間以上費やしたと思う。でも、おかげで今の会社では唯一のCEHホルダーとなることができた。この時間的投資は大いに意味のあるものだったと言えよう。

受験資格を得ること、試験に合格することという2つのハードルが厳しい資格だが、インフラのキャリアを持つエンジニアであれば挑戦するための前提知識は既に持っている可能性が高い。今の時代はクラウドコンピューティングやクラウドプラットフォームが当然のように使われる時代なので、インフラの仕事をしていたら大抵セキュリティの話も出てくるだろう。逆にセキュリティの仕事をしていたらインフラの話が出てくることも割と普通であり、もしかすると両者の垣根はほとんど無くなってしまったのかもしれない。でも、そういう時代だからこそインフラ屋にCEHという選択肢がマッチするようにも考えられないか？　あなたのキャリアの参考になれば幸いである。