セキュリティ・アディッショナルタイム

2024年も7月4〜6日に、サイバー犯罪に関する白浜シンポジウムと並行し、第19回情報危機管理コンテストの決勝戦が開催された。約20年、人材を輩出してきたコンテストは、どのような思いの下で進化し続けたのか。今後はどうなっていくのか。

20年にわたって継続してきたセキュリティ・キャンプには、どんな意義があるだろうか。中学生など低年齢層を対象に、若い世代に伸び伸びと学んでもらう場として開催されている「セキュリティ・ジュニアキャンプ」を中心に“コミュニティー”の存在意義を探る。

2004年からセキュリティ人材の発掘、育成を目的に継続してきた「セキュリティ・キャンプ」。コロナ禍でオンライン／ハイブリッド開催を余儀なくされた時も工夫しながら継続し、ついに20年目を迎えた。2023年は久しぶりにオフラインの講義が主体となり、受講生や講師が4泊5日の期間中、顔を突き合わせ、密にコミュニケーションをとれる場が復活した。

国際的なCTF（Capture The Flag）大会、「International Cybersecurity Challenge」（ICC）が米国サンディエゴで開催された。米国、カナダ、欧州、アフリカ、南米、オセアニアなど各地域の代表チームが参加し、日本の若手セキュリティエンジニアも「Team Asia」の一員として活躍。そのTeam Asiaのメンバーとオーガナイザー、コーチ陣に話を伺った。

セキュリティ人材不足、IT人材不足はたびたび指摘され、VPNなどセキュリティアプライアンスの脆弱性を狙った攻撃が近年頻発している。今の課題について「2022年クラウドセキュリティレポート」を基にFortinetに聞いた。

McAfeeのエンタープライズ事業とFireEyeの統合で設立された新しいセキュリティ企業Trellixは2022年9月28日、カンファレンスをラスベガスで開催し、一部をオンラインで配信。リサーチ部門Trellix Advanced Research Center（ARC）の設立を発表した。ARCが15年前に公表したPythonのtarfileモジュールに存在するパストラバーサル脆弱性について約58万の公開レポジトリを調査したところ、今なお存在する割合は高いものだったという。

国内外問わずさまざまな組織が被害を受けるランサムウェア。被害が多発する背景には、どのような攻撃手段があるのか、それらの攻撃にどう対処すればよいのかをMenlo SecurityのAmir Ben-Efraim氏とPoornima DeBolle氏にインタビューした。

「CISOは事業部門と共通の目標を持つこと」は教科書的な言葉で聞く方も「また抽象的な話か……」と飽き飽きするだろう。だが、東京オリンピック・パラリンピック2020では「事業部門と共通の目標を持つ」ことに成功し、さらにその目標を無事に達成した。その要因は何だったのだろうか。

COVID-19によりテレワークが広まり、デジタル化の必要性が高まっている。この大変動に伴って、サイバーセキュリティの世界はどのように変わり、何に備えるべきなのだろうか。

2020年5月29、30日に「第15回情報危機管理コンテスト」の決勝戦が開催された。運営側は、競技、審査、その模様のライブ配信を全てオンラインで行うという初の試みに挑んだ。

サイバー攻撃に立ち向かう人材をどう育てるかは、日本に限らず各国共通の課題だ。その解決を図るべく、アジア各国のコミュニティーの有志が集い「Global Cybersecurity Camp」を開催した。

20年という時間がたてば、インターネットの環境も、サイバーセキュリティの動向も様変わりする。AVARはその間ずっと、セキュリティコミュニティーのナレッジ共有の場として機能してきた。

複数人でチームを組んでビジネスを「衛る」技術を競うイベント、「Hardening 2020 Business Objectives」が沖縄で開催。「ビジネスの目的」は何なのか、それをどのように守っていくのかを9チーム、約100人の参加者が体験した。

DigiCertが2020年1月に年次カンファレンス「DigiCert 2020 Security Summit」を開催。DigiCert、そしてWebブラウザのベンダーや電子証明書発行サービスを提供する事業者からなる業界団体であるCA/Browser Forumの取り組みを聞いた。

国内最大規模のCTF大会「SECCON CTF」。予選を勝ち抜いた世界9カ国の14チームが2019年12月21、22日の2日間にわたって行われた国際大会に出場し、問題に取り組んだ。

Sophosのチーフ・リサーチ・サイエンティストに、2019年のサイバー脅威、3つの変化と2020年に注意すべき傾向を聞いた。

米国のセキュリティ企業FortinetでPrincipal ASIC Design Engineerを務める坂東正規氏は、何を思い渡米し、キャリアを築いていったのか。これからのセキュリティエンジニアは何を学ぶべきかなどを聞いた。

日本におけるセキュリティ技術の標準化団体「JPAAWG」が2019年5月に正式に発足。その活動の狙いと今のインターネットの課題を、会長を務める櫻庭秀次氏と事務局の末政延浩氏に尋ねた。

2019年8月8日、9日にかけて大阪でRSAが「サイバーインシデント シミュレーション チャレンジ」を開催。奈良先端科学技術大学院大学（NAIST）でセキュリティ関連の研究に取り組む学生10人が「セキュリティに関する知識やスキルを身に付けたい」と参加した。

インシデント対応に備え、さまざまな手順やツールを整え始めた企業は多いことだろう。だが、全てを担当者の思い通りに制御できる環境はない。さまざまな制約や初見の機器といった、「アンコントロール」な環境の中でこそ、真の対応力が問われることになる。

2018年1月に不正アクセスを受け、顧客の約580億円相当の仮想通貨「NEM」が流出した仮想通貨取引所「Coincheck」がクラウドベースのSIEMサービスを導入。その背景を聞いた。

ソフトウェアに含まれるバグや脆弱性を見つける者たちが1カ所に集まり、集中的に脆弱性を見つけ出す「バグハンター合宿」をサイボウズが開催した。なぜ、わざわざ脆弱性報奨金制度を展開し、合宿まで実施するのだろうか。

セキュアな開発やコードスキャンに取り組むだけでは防ぎ切れないリスクとして「サプライチェーン攻撃」がある。Kaspersky Labは、2019年4月9〜10日に開催した「Security Analyst Summit 2019」で、その実態を紹介した。

DigiCertは2018年1月31日に開催した年次カンファレンスにおいて、Microsoft Researchらと共に進めている耐量子コンピュータ暗号研究の背景と状況を紹介した。

証明書事業を手掛けるDigiCertは年次カンファレンス「DigiCert Security Summit 2019」で認証と暗号化、完全性の担保という3つのセキュリティ対策の重要性を訴えた。

2018年11月21日、22日に沖縄県宮古島で「Hardening II SecurEach」が開催される。その開催を前に、過去のHardening競技会と、そこから派生した「Micro Hardening」の取り組みを振り返ってみよう。

デジタルトランスフォーメーションの加速と同時に、セキュリティ品質に対するユーザーの目の厳しさが増す中、DevOpsのプロセスにいかにセキュリティを取り組むかは大きな課題だ。このような中、「IAST（Interactive Application Security Testing）」というカテゴリーのツールに注目が集まっている。

「ガートナー セキュリティ＆リスク・マネジメント サミット 2018」に合わせて来日したガートナーのリサーチ・ディレクター、マーク・ホーヴァス氏に、安全なアプリケーション開発を実現するコツを尋ねた。

「脅威インテリジェンス」の重要性が認識されるようになる前から、ほぼ20年にわたって、スパムメールの送信元IPアドレスや悪意あるドメイン名をリスト化し、コミュニティーに提供し続けてきたSpamhausプロジェクト。その狙いをあらためて尋ねてみた。

2018年8月にセキュリティカンファレンス「Black Hat USA 2018」が開催された。Googleによる基調講演や、「モグラたたきを終わらせ、根本的な原因を解決する」ための取り組みを実践した企業による講演の模様をお届けする。

2018年5月24〜26日に行われた「第22回サイバー犯罪に関する白浜シンポジウム」と併催の「第13回情報危機管理コンテスト」決勝戦では、23校35チームの中から予選を勝ち抜いた5チームが、技術だけでなくコミュニケーション能力も含めた総合的な解決力を競った。

サイバー攻撃から自社の事業を「守る」技術を競い、培うことを目的とした「Hardening 2017 Fes」は個人の技術力を試すことにとどまらず、さまざまな新機軸を取り込んで発展してきた。2017年11月23〜25日に淡路夢舞台国際会議場（兵庫県淡路市）で開催された様子を報告する。

缶詰め状態で集中して脆弱（ぜいじゃく）性を見つけてもらう「バグハンター合宿」を、サイボウズが2017年11月3〜4日に実施。予想以上に多くの報告を受理しただけでなく、サービス開発者とバグハンターの双方に気付きが生まれた。

Webサイトが攻撃されたとき、いかに被害の広がりを抑え、企業の信用を保つことができるか。大企業では部門間の壁があだとなり、スムーズな対応ができない場合がある。ヤフーの実践演習「Yahoo! JAPAN Hardening 2017」からは、顧客に寄り添う対応がいかに難しいのかが分かったという。インシデント対応のツボとは？

複数のサーバ群からなるサービスサイトをサイバー攻撃からリアルタイムに防ぐ演習「Hardening Project」。高いセキュリティ技術だけでは勝ち残れず、サービス本体の売り上げを高める目的がある。サービスを守る技術を競う同様の取り組みを併せて4つ紹介する。

日々、手順に沿ってこまごまとしたインシデントに対応しながらも、「本当にこのやり方でいいのかな？」と不安を抱くセキュリティ担当者はいないだろうか。率直に意見を交わすことで、互いの知見を共有し、より良い方法を模索する場を日本シーサート協議会（NCA）のワーキンググループが設けている。事例分析の結果、何が分かったのか紹介する。

さまざまなセキュリティインシデントに対応する能力をコンテスト形式で鍛える「第12回情報危機管理コンテスト」の決勝戦が、2017年5月25〜27日に和歌山県田辺市で開催された。競技シナリオにもない脆弱（ぜいじゃく）性を見つけたチームあり、意識的に初参加者を加えたチームあり、これまでのコンテストの枠を超えた戦いが繰り広げられた。

連日公表されるソフトウェアなどの脆弱（ぜいじゃく）性情報。2016年12月1日に行われた「Internet Week 2016」では、「脆弱性情報と賢く付き合う〜発見から対策までの最前線〜」と題したプログラムが開催された。

日本国内でも幾つかの企業が採用し始めている「脆弱性報奨金制度」（バグバウンティプログラム）。果たしてどれだけの効果があるのか。また課題は？　実際に制度を運営する3社に聞いた。

2017年1月28日、29日にかけて、国内最大規模の情報セキュリティ競技会「SECCON 2016」の決勝大会が行われ、世界各国から集った強豪チームが熱戦を繰り広げた。会場では同時に、競技の幅や裾野を感じさせるさまざまな企画も催され、多くの参加者を集めた。

Black Hatの前日に開催された「CodenomiCON」は、米シノプシスが開催するユニークなカンファレンスだ。複数の政府関係者とセキュリティ研究者によるざっくばらんなパネルディスカッションからは、海の向こうのセキュリティと共通する「悩み」はもちろん、「すごみ」も感じることができた。その模様をお伝えする。

2016年8月に米国ラスベガスで開催されたセキュリティカンファレンス「Black Hat Briefings」と「DEF CON 24」では、ありとあらゆるモノを対象に、脆弱性の存在と今後の改善の必要性を呼び掛けるセッションが繰り広げられた。

2016年7月20日から22日にかけてシンガポールで開催された「RSA Conference Asia Pacific & Japan 2016」の模様を紹介する。

本稿では、2016年6月27日に実施された「JASA 情報セキュリティ監査セミナー」の模様を紹介し、同セミナーを通じて見えてきた情報セキュリティ監査の意義について整理する。

「守る」技術を持ったエンジニアを発掘し、育てることを目的とした競技会「Hardening 100 Value x Value」は、回を重ねるごとに進化している。

「サイバー犯罪に関する白浜シンポジウム」の会場で同時開催される「情報危機管理コンテスト」は、技術力だけでなく、コミュニケーション能力やマネジメント能力も含んだ総合的な運用力を問うユニークな腕試しの場だ。昨年に続き、その模様をお届けする。

先日開催された「Japan IT Week」の中で大きな比重を占めたテーマが「セキュリティ」、それもさまざまなものがつながるIoTの世界のセキュリティだ。IoTをめぐる脅威が指摘されるようになって久しいが、具体的にどのような対策が可能なのだろうか？ セミナーや展示からそのヒントを探る。

2016年4月、国内の複数のWebサイトで相次いで個人情報の流出事件が発生した。原因は、Webサイト構築に利用していたCMSのプラグインソフトに存在した脆弱性だった。

米国で開催されたRSA Conference 2016では、開発・運用とセキュリティ担当者の距離を縮め、「セキュアでビジネスニーズに合ったサービスを素早く提供する」という共通の目的を達成するためのキーワード「DevSecOps」に関連するセッションが多数行われた。

2015年11月7日、8日の両日にわたって沖縄県名護市で開催された「Cyber3 Conference Okinawa 2015」には、複数の閣僚や企業トップが参加。「サイバーコネクション」「サイバーセキュリティ」「サイバークライム」という三つのトラックに分かれ、議論を交わした。

アスリートの育成には、トップレベルの選手の育成と裾野の拡大の両方が必要だ。セキュリティ人材の育成にも同じことが言えるだろう。今、国内では人材育成を目的に、それぞれの問題意識に沿った特色を持つさまざまな取り組みが進んでいる。

インターポールが、民間企業も含めたコラボレーションを通してサイバー犯罪撲滅に取り組むための拠点として設立した「The INTERPOL Global Complex for Innovation（IGCI）」を見学する機会を得た。

ブログやリポート、調査など、日々増え続けるセキュリティ関連情報の中から気になるものを掘り下げて紹介する新連載。第1回は、かつてないほど話題が多かった2014年のセキュリティ脅威リポートの「想定内」「想定外」を尋ねてみた。