こんにちは！人事の白崎です。

先日、26年新卒を対象に、初めての学生向けインターンシップを開催しました！
GMOサイバーセキュリティ byイエラエ株式会社（以下、GMO イエラエ）では、本格的な新卒採用を始めて約2年。これまでの採用イベントは会社説明会のみの開催でしたが、もっとGMO イエラエのことを深く知っていただきたいという強い思いから、今回新たにインターンシップを企画しました。

それぞれ2日間の短期集中型プログラムではありましたが、実際の業務に近い体験を通じて、セキュリティ業界の魅力やGMO イエラエの雰囲気を感じていただける内容を目指しました。4つの体験コースを設け、エンジニアとの密な交流を通じて学びを深められるプログラムに、7名の学生の皆さんが熱心に参加してくださいました！
この記事では、当日の様子や参加者の声を交えながらその魅力をお伝えします！

体験コース紹介

GMO イエラエのサービスは多岐にわたり、部門ごとにサービス領域が分かれておりますが、今回のインターンでは以下の4つの体験コースを用意しました。それぞれのコースで実際の業務に近い環境で体験しできるプログラムを組み、充実した内容となるよう工夫しました。以下に各コースの概要と業務内容をご紹介いたします！

1. IoT診断コース

ネットワークカメラに対してハードウェアとソフトウェアの両面から診断を行いました。実務に近い環境の中で、2日間にわたり専門的な作業に取り組んでいただきました。

初日は、ハードウェア解析とファームウェア抽出を行いました。具体的には、カメラ基板上のICチップを取り外し、専用機器を用いてファームウェアを吸い出す作業に挑戦していただきました。初めての作業に戸惑う方もいらっしゃいましたが、
「ICチップを取り外し、ファームウェアを抜き出す経験は印象深かった」
といった感想を多くいただきました。

2日目は、抽出したネットワークカメラのファームウェアを解析し、LANからの攻撃を想定した脆弱性調査を実施しました。まずアタックサーフェスを特定し、攻撃シナリオを設定した後、静的解析ツールを用いて手動でファームウェア解析を行いました。この一連の作業を通じて、ネットワークカメラ特有のセキュリティリスクを深く学んでいただけたと考えています。

このコースを通じて、IoTセキュリティ診断の実務的な流れを体験するとともに、ハードウェア・ソフトウェア解析に必要な基礎スキルについても理解を深めていただくことができました。

2. ソースコード診断コース

「Webペネトレーションテスト」の業務に近い体験ができるプログラムを実施しました。2日間にわたるインターンで、調査型とシナリオ型の2つの異なる視点からセキュリティ診断を体験していただきました。

初日は、調査型の視点によるソースコード解析の流れを体験していただきました。既知のCVE番号をもとに、修正箇所を手がかりにソースからシンクまでを追い、ホワイトボックス環境でのコードリーディングに取り組んでいただきました。複数のプログラミング言語を扱いながら、クライアントサイドやサーバーサイドの脆弱性を解析し、さまざまなパターンの脆弱性に触れていただく内容となりました。

2日目は、シナリオ型のペネトレーションテストを実施する視点で脆弱性調査とPoC（Proof of Concept）の作成に挑戦していただきました。擬似案件形式でシナリオとゴールを設定し、Webアプリケーションの脆弱性を調査する実践的なプログラムです。発見した脆弱性について、どのように脅威を証明できるかを検証し、最終的にはPoCを作成することで、実際の業務に近い流れを体感していただきました。

このコースを通じて、Webペネトレーションテストの基礎的な流れを学びながら、調査型とシナリオ型の2つの視点から、実際に手を動かして作業することで、より深く業務への理解を深めていただける内容となりました。参加者からは
「実践的な作業を通じて多くの気づきを得られた」
「セキュリティの視点を具体的に学べた」
といった感想をいただきました。

3．ハードウェアと暗号コース

「暗号プリミティブ」に注目が集まりがちな中、今回のインターンでは軽視されがちな「鍵管理」に焦点を当て、YubikeyやTPM 2.0といったデバイスとの通信を通じてその重要性と実践的な活用方法を学んでいただきました。

初日は、YubikeyやTPM 2.0を例に、システムのセキュリティを支えるデバイスの役割とその構造を学ぶセッションを実施しました。特にシステムにおける「root of trust」の構築において、セキュアエレメントの耐タンパ性や物理的なセキュリティの重要性を解説しました。認証・認可の基本概念から、PKIにおけるCRL（証明書失効リスト）の管理・運用まで、幅広いトピックに触れていただきました。

2日目は、セキュアエレメントそのものの信頼性に注目し、アテステーション（証明）の存在意義や実際のプロトコルについて学ぶプログラムを行いました。Yubikey PIVおよびTPM 2.0のそれぞれのアテステーションプロトコルを実際に操作しながら、デバイスごとの特性や目的の違いを体験的に理解していただく内容です。具体的には、Yubikey PIVが個人の認証に焦点を当てる一方で、TPM 2.0はシステムの完全性担保を目的とするなど、それぞれの特性について深く学んでいただきました。

このインターンは単なる講義形式にとどまらず、実務に直結した内容を短期間で学び、理解を深めていただく構成としました。実際の業務において鍵管理体制の評価や、脅威モデリングを行う際には、基礎知識を幅広く持ちつつ、対象システムを短期間で正確に理解する能力が求められます。こうようなスキルの習得を目的とした今回のプログラムは、参加者にとって実務への応用可能性を実感する良い機会になっていたら嬉しいです。

4．フォレンジックコース

最後に、デジタルフォレンジックサービスの提供プロセスを体験できるプログラムを実施しました。実際の業務に近い環境で、専門的な作業に挑戦していただきました。事前に用意されたシナリオと侵害端末を使いながら、情報収集や保全作業、解析作業、さらには報告書作成まで、一連の流れを体験していただきました。現場の調査員が丁寧に指導し、使用するツールや手法も実際の案件で活用されているものを取り入れることで、よりリアルな調査環境を再現しました。

インターン生の中には、PC筐体の分解や侵害シナリオの取り扱いが初めてという方も多くいました。しかし、仮に失敗しても問題のない環境を用意しているため、安心して新しいことに挑戦できる状況が整っています。その結果、失敗を恐れず多くのことを吸収する機会となり、
「学びの多い充実した体験ができた」
という声もいただきました。

作業終了後には、可能な範囲で実際の過去案件の報告書も閲覧していただきました。これにより、各工程における具体的な手順や必要な情報を、現場の視点から幅広く知ることができると思います。

フォレンジック調査の基礎から応用までを実感できるこのプログラムは、インターン生にとって大きな成長の場となりました。専門的なスキルを学びながら、実務への理解を深める貴重な2日間となったのではないでしょうか。

参加学生の声をご紹介！

インターン終了後、参加いただいた学生の皆さんにアンケートにご協力いただきました。2日間の短いインターンにもかかわらず多くのありがたいお言葉をいただきました。
すべてお伝えしたいところですが、今回はインターンならではのリアルな体験を通じて、貴重な学びや発見について特に印象的だった2名の学生の声をご紹介させていただきます。

参加者Aさんの感想

実際にPCを分解し、メモリを取り出して保全するという体験は初めてで、とても印象に残りました。また、パートナー※の方が親身に相談に乗ってくださり、働きやすい環境だと感じました。

※GMOインターネットグループでは、社員のことをパートナーと呼んでいます

参加者Bさんの感想

これまで経験がなかった「チップオフでファームウェアを抜き出す」という作業が非常に面白かったです。常に「今、何を目標にしているのか」を意識しながら診断を進める大切さを実感しました。
率直に、もっと長くインターンをしたかったなと感じています。大変充実した二日間でした。

パートナーとの交流や実践的な内容が、参加者の皆さんに新しい視点や意欲を与えられる場になったことを嬉しく思います！

来年は5日間！もっと深く知れるインターンを検討中！

今年のインターンでは2日間という短い期間ながらも、学生の皆さんとパートナーが親密にコミュニケーションを取り合い、多くの気づきと学びが生まれる時間となりました。非常に充実したプログラムだった一方で、
「もっと時間が欲しかった」
「より日数を伸ばしたインターンに参加したかった」
というお声も多くいただき、時間が足りないという課題を改めて認識しました。

そこで、来年はさら深く業務に取り組んでいただけるよう、5日間のプログラムを来年夏に実施予定です！今回ご紹介した4つのコース以外の体験コースの実施も検討しております。

​おそらく27年新卒向けのインターンになるかと思いますが、多くの皆さんにご参加いただけると嬉しいです。