【バグハンターインタビュー】Rana Khalil
バグバウンティとはなにか、脆弱性診断の種別などについて詳しく知りたい方は脆弱性診断とは(⾮エンジニア向け)もしくは脆弱性診断とは(エンジニア向け)もぜひご参照ください。
【バグハンターインタビュー】では、印象的な実績や変わった方法論、コミュニティへの価値ある貢献をしているIntigritiのコミュニティメンバーに話を聞いています。今回は、YoutubeチャンネルやMediumでの執筆活動で有名なRana Khalil氏にお話を伺いました。
目次
- 1 Ranaさん、こんにちは。Rana Khalilとはどんな人なのか、あなた自身について少し教えてください。
- 2 ITセキュリティに携わるようになったきっかけは？
- 3 OSCP（ペネトレーションテストの資格）を取得されているそうですね。現在、良い仕事に就くために資格はどの程度重要だと思いますか？
- 4 別の話題に移りましょう。あなたはコンテンツクリエイターであると伺っています。あなたが使っているメディアのプラットフォームについて少し教えてください。また、具体的にどのようなコンテンツを提供しているのでしょうか？
- 5 それはかなり活動的ですね。これだけの数のプラットフォームをカバーされているのですね。今、フォロワーと最も交流があるのはどの媒体ですか？
- 6 声を出して笑ったり、涙が出そうになるような感想やメッセージはありましたか？
- 7 コンピュータハッキングについて語りましょう！ お気に入りのバグ分類はありますか？
- 8 最近追加したツールで、気に入っているものはありますか？
- 9 情報セキュリティの初心者に最初に伝えることは何ですか？
- 10 今後知識を共有する動画を作成したいですか？それともセキュリティ研究の動画を作成したいですか？
- 11 自分の国の大統領とコラボレーションするのと、好きなポップスターとコラボレーションするのとどちらかが叶うとしたら、どちらがよいですか？
- 12 インタビューに答えていただき、ありがとうございました
Ranaさん、こんにちは。Rana Khalilとはどんな人なのか、あなた自身について少し教えてください。
皆さん、こんにちは！Ranaと申します。コンピュータサイエンスの学士号と修士号を取得しています。過去3年間、コンピュータセキュリティの分野で働いてきました。
最初はアプリケーションセキュリティから始めて、今年の初めにペネトレーションテストに移りました。また、私はコンテンツ制作者でもあり、コンピュータセキュリティ関連のトピックについてブログを書いたり、動画を作ったりしています。
ITセキュリティに携わるようになったきっかけは？
簡単に言うと大学を通してなのですが、コンピュータセキュリティの学位は取得していないので、少し説明します。私の学士号はコンピュータサイエンスだけでなく、数学とコンピュータサイエンスの優等学位も取得しています。ですから、数学的なバックグラウンドは非常に強いです。そして、ある授業で暗号について学び「完全準同型暗号」というものを知りました。これには度肝を抜かれましたね。
コンピュータセキュリティで最初に知ったのがこの分野でした。その後、暗号の研究に取り組み、修士課程でもこの分野を専攻することになりました。
OSCP（ペネトレーションテストの資格）を取得されているそうですね。現在、良い仕事に就くために資格はどの程度重要だと思いますか？
2つの視点からお答えします。1つ目は、採用の視点です。住んでいる国や、応募する職種によります。何の資格も持っていないペネトレーションテスターが、その分野のトップとして活躍している国もあれば、採用要件を満たすために資格が必要な国もあります。ですから、採用要件に記載がなければ、資格を取る必要はないでしょう。
2つ目の視点については、人それぞれだと思っていますが、 少なくとも私は基礎はしっかり学びたいので、認定資格を選ぶときは、実用的なものでなければならないと思っています。
別の話題に移りましょう。あなたはコンテンツクリエイターであると伺っています。あなたが使っているメディアのプラットフォームについて少し教えてください。また、具体的にどのようなコンテンツを提供しているのでしょうか？
最初はMedium（という名前のブログサービス）から始めました。OSCPの勉強をしているときに、そこでhack the box（ペネトレーションテストのスキル向上に役立つプラットフォーム）の記事を書いていたんです。そして、今年に入ってから、ブログをフルタイムで書くのはやめ、少しステップアップして動画に移行したいと思うようになったんです。今、私が使っているもうひとつのメディアは、YouTubeです。そこでネットワークペネトレーションテストと比較し、よりアプリケーションセキュリティに関連した内容を取り上げています。
それ以外には、Twitterがあります。新しいブログを公開したときや、新しい動画を公開したときは、ここでお知らせしています。将来的には、Discord（という名前のボイスチャットサービス）でも質問できるようにする予定です。メディアプラットフォームについては以上です。
それはかなり活動的ですね。これだけの数のプラットフォームをカバーされているのですね。今、フォロワーと最も交流があるのはどの媒体ですか？
今は、Twitterのコメント欄です。フルタイムの仕事を持ちながら、コンテンツ制作もフルタイムの仕事のようなものなので、いただいたメッセージにすべてお返事する時間がないのでTwitterのDMや、YouTubeのコメントへの返信は滞っています。ですが、Twitterのコメントには必ず返信しています。今、最も交流が盛んなところです。将来的には、Discordでの交流が最も多くなると思っています。
声を出して笑ったり、涙が出そうになるような感想やメッセージはありましたか？
不思議なことに、「あなたの声が大好きです」というメッセージをたくさんいただきます。そんな自覚はないですし、動画でもいつも通りしゃべっているだけですが、少なくとも週に1回はそんなメッセージが届きます。少しくらいは荒らしがいるものかなと予想をしていたのですが、ありがたいことに、ポジティブなコメントが多いです。
コンピュータハッキングについて語りましょう！ お気に入りのバグ分類はありますか？
「ロジックの欠陥」がバグ分類に入るかどうかは分かりませんが、通常、壊れたアクセス制御や壊れた認証に見られ、私はそれを利用してハッキングします。これらは通常、脆弱性スキャナーでは発見できないもので人が手動で調査する必要があります。これは最も面白く、また最も破壊的なものでもあります。
最近追加したツールで、気に入っているものはありますか？
昔からあるツールですが、Webアプリ関係ではほとんどBurpを使っています。ネットワーク評価には、Nmapやvenomなど、通常のツールを使っています。
情報セキュリティの初心者に最初に伝えることは何ですか？
常に学び続けてください。何事にも粘り強く取り組んでください。今はまだ、解決できないことが多いかもしれません。しかし将来、学んできたことが役に立つでしょう。だから、とにかく学び続け、粘り強くやり続けることです。
今後知識を共有する動画を作成したいですか？それともセキュリティ研究の動画を作成したいですか？
私はバグハントをするのが好きなので、その方法論を一般に公開するのは楽しいんです。新しく見つかった脆弱性をカバーする人たちをたくさん見かけますからね。
バグハントは、YouTubeの世界に欠けているものだと思うんです。ですから、時間があれば取り上げたいと思っています。
自分の国の大統領とコラボレーションするのと、好きなポップスターとコラボレーションするのとどちらかが叶うとしたら、どちらがよいですか？
大統領です。その方がプロフェッショナルだし キャリアにも役立つと思います。
技術的に注目されるし、支持者も増えますしね。
インタビューに答えていただき、ありがとうございました
ーーーーーーーーーーーーーーーーーーーー
出典：Intigriti
https://blog.intigriti.com/2021/07/15/meet-the-hacker-rana-khalil/
———————————————
バグバウンティプログラムを活用してみる
スリーシェイクは欧州を代表するバグバウンティプラットフォームを提供するIntigritiと世界で初めて提携。高い技術力を持ったスリーシェイクのセキュリティエンジニアが、専門的なトリアージ・英語でのコミュニケーションなどの運用を代行。セキュリティ領域の専門家がいない、社内のリソースをかけられない企業もバグバウンティプログラムを活用できます。
