ストーリー

社内CTFの設計

CTFの形式

社内CTF向けJeopardy形式の設計

カテゴリ構成（社内CTF向け）:

■ 全社員向け（Easy）
├── フィッシング検出: 不審メールの特徴を見抜く
├── パスワード安全性: 安全なパスワードの選定
├── 情報分類: 機密レベルの正しい判定
├── ソーシャルエンジニアリング: 攻撃手法の検出
└── 物理セキュリティ: 入館管理、クリアデスク

■ 開発者向け（Medium）
├── Web脆弱性: SQLi、XSS、CSRF の発見と修正
├── 暗号: 暗号化の基礎、ハッシュの識別
├── 認証・認可: セッション管理、JWT の脆弱性
├── OSINT: 公開情報からの情報収集
└── シークレット管理: ハードコードされた秘密情報の発見

■ 上級者向け（Hard）
├── バイナリ解析: リバースエンジニアリング基礎
├── フォレンジック: ログ解析、メモリダンプ解析
├── インフラ: サーバー設定ミスの発見
├── 高度なWeb: SSRF、XXE、デシリアライゼーション
└── 応用暗号: 暗号の誤用による脆弱性

問題設計の原則

難易度バランス

問題設計のポイント

運営の実務

準備スケジュール（初回開催）

推奨CTFプラットフォーム

非エンジニア向けCTF問題例

フィッシング検出チャレンジ

問題: 以下の5通のメールのうち、フィッシングメールを特定し、
その判断根拠を述べよ（各20点）

メール1: 人事部からの年末調整のお知らせ（社内ドメイン）
メール2: 取引先からの請求書（添付ファイルあり、送信元ドメイン1文字違い）
メール3: IT部門からのパスワード変更依頼（外部リンク先）
メール4: 同僚からの会議資料共有（Google Drive正規リンク）
メール5: 宅配業者からの再配達通知（短縮URL）

Flag: 各メールの判定結果とフィッシング指標を提出

CTFの効果測定

測定指標

まとめ

チェックリスト

• CTFの形式（Jeopardy、Attack-Defense等）を理解した
• 社内CTFのカテゴリ・難易度設計を理解した
• 運営の準備スケジュールを把握した
• 非エンジニア向け問題の設計方法を理解した
• CTFの効果測定指標を把握した

次のステップへ

次は「フィッシングシミュレーションの実践」を学びます。最も一般的なサイバー攻撃であるフィッシングに対する組織の耐性を測定し、向上させる手法を身につけましょう。

推定読了時間: 30分