無慈悲な専門家チーム「kuromame6」の暗躍に負けず勝利をつかんだチームは？：川口洋のセキュリティ・プライベート・アイズ（55）（2/2 ページ）

毎回、そのときどきの旬な攻撃手法が反映されるHardening。「Hardening 10 MarketPlace」もその例に漏れず、kuromame6によるさまざまな仕掛けが襲ってきました。

[川口洋（株式会社ラック チーフエバンジェリスト CISSP），＠IT]

マーケットプレイスの活用

　今回の「Hardening 10 MarketPlace」で新たに導入した「マーケットプレイス」には、スポンサー企業の方々やHardening Projectの過去の参加経験者が用意した以下のようなサービスが提供されていました。

• WAF（Web Application Firewall）
• ウイルス対策ソフト
• セキュリティ診断サービス
• 不正アクセス調査サービス
• 不正アクセス監視サービス
• コンサルティングサービス
• よろず相談サービス
• 単純なマンパワー提供サービス

マーケットプレイスのWebサイト

　実のところ、参加者は目の前で頻発するセキュリティインシデントに対応することに精一杯で、競技の前半はマーケットプレイスのサービスや製品を検討する余裕はなかったようです。

　一方、サービス提供者側は手ぶらでは帰ることはできません。競技会場では各製品やサービスのPRプレゼンや営業活動が活発に行われていました。しばらくするとぽろぽろとサービスや製品の購入が行われるようになりました。最初に購入したチームには契約締結の証となる固い握手の瞬間を撮らせていただきました。

マーケットプレイスの最初の購入チーム

　提供者としてはさまざまなサービスメニューを取りそろえたのですが、参加者側からすると導入効果が見えにくく、採用を躊躇していたケースもあったようです。あるマーケットプレイスの提供者に対して、あるチームの参加者が放った言葉が胸に刺さりました。サービス提供者側として、とても考えさせられる内容でした。

15分とか30分とかの時間、（サービス提供者の人に）居てほしいわけじゃないんです。目の前にある問題のどれかを片付けてほしいんです。

　最終的にはマーケットプレイスの製品やサービスが活用された結果、さまざまなドラマが生まれ、このシステムを導入した甲斐があったと実感しました。次回以降の競技にマーケットプレイスを導入する場合には、活用を促すために、事前に提供予定のサービスや製品に関する資料を提供することも検討したいと考えています。

熱き戦いの結果は……？

　8時間にわたる熱き戦いが終了した時点のスコアのグラフは以下のようになっていました。後半は参加者全体に巡回するクローラーの数を2倍、3倍と増加させたため、全体的に後半のグラフの傾きが大きくなっています。売上拡大を狙うチャンスでもありますが、ショップの負荷対策ができていないチームは脱落してしまう難しい状況でもありました。

最終スコア

　一番上にあるグラフは、スコアの標準を示すkuromame6のシステムのグラフ（1）です。いろいろと折れ曲がっているところに涙なしでは語れないドラマがあったのですが、それはまた別の機会にお話します。

　序盤戦で大量の在庫を購入して最下位になってしまったチーム（2）もありました。あのままショップを稼働し続け、在庫をさばくことができていれば上位に食い込むことができたかもしれませんが、残念ながら序盤で勝負は決まってしまっていたようです。

　このスコアをベースにして、競技中の対応結果を採点し、加点減点が行われ、最終的なグランプリが決定しました。

　競技終了間際、kuromame6を除く1位のグラフ（3）と2位のグラフ（4）が僅差で交差しています。ラスト1時間で1位の「binja」の売上が停滞したところを追い上げた「Aigis6（アイギス ムーチ）」がグランプリとなりました。それ以上に猛烈に追い上げていた「まさかやー」（5）は惜しくもタイムアップとなり、追いつくことはできませんでした。競技終盤のグラフはスタッフのみが参照できるようにしており、スタッフブースでも終盤のデッドヒートにテンションが上がりっぱなしでした。

グランプリの「Aigis6」は、劇的な逆転劇を演出してくれました

　6月20日のHardening Dayの翌日はSoftening Dayです。参加者やkuromame6は寝る間も惜しんでプレゼン資料を準備します。各チームが競技を通して得た知見や経験を発表し、その体験を全員で共有するという貴重な機会です。Hardening Projectの競技シナリオは答えがあるものばかりでありません。答えがない課題に参加者全員で取り組み、その取り組みの結果を共有して全員の血肉にしていくのです。

　全員の発表が終わればグランプリやスポンサー賞の発表です。この時間帯になると、会場にはさわやかな笑顔が増えてきます。表彰のときのステキな笑顔を見れば、参加者が得たものがいかに大きいか、お分かりいただけるでしょう。

CTC賞の「コアダンプ」。迅速に自チームに必要なサービスを契約していました

NEC賞の「binja」。SECCONをはじめとするCTFで活躍している技術力を発揮してくれました

ラック賞の「まさかやー」。マーケットプレイスを最大限活用してくれました

11月のHardeningに向けて

　1年ぶりの「セキュリティ堅牢化の８耐」の熱い戦いが終わり、参加者とHardening Projectスタッフ、スポンサーや関係者の方々とアラハビーチで楽しいバーベキューが開催されました。降水確率70%という天気予報を吹き飛ばし、青い空の下で参加者の交流が行われました。

アラハビーチの打ち上げでご機嫌な岡田社長

　次回のHardening Projectは11月上旬に開催されます。そのときはさらにまた新しいネタを仕込んで、Hardening Project一同で皆さんの参加をお待ちしています。私は次のシナリオの打ち合わせのために今日もkuromame6と飲みにいくのでした。

Hardening Projectのslack bot

著者プロフィール

▼ 川口 洋（かわぐち ひろし）

株式会社ラック

チーフエバンジェリスト

CISSP

ラック入社後、IDSやファイアウォールなどの運用・管理業務を経て、セキュリティアナリストとして、JSOC監視サービスに従事し、日々セキュリティインシデントに対応。チーフエバンジェリストとして、セキュリティオペレーションに関する研究、ITインフラのリスクに関する情報提供、啓発活動を行っている。Black Hat Japan、PacSec、Internet Week、情報セキュリティEXPO、サイバーテロ対策協議会などで講演し、安全なITネットワークの実現を目指して日夜奮闘中。

2010年〜2011年、セキュリティ＆プログラミングキャンプの講師として未来ある若者の指導に当たる。2012年、最高の「守る」技術を持つトップエンジニアを発掘・顕彰する技術競技会「Hardening」のスタッフとしても参加し、ITシステム運用にかかわる全ての人の能力向上のための活動も行っている。

「川口洋のセキュリティ・プライベート・アイズ」バックナンバー

• 「DNS通信」記録していますか？――万一に備えたDNSクエリログの保存方法
• Web広告からのマルウエア感染「Malvertising」にどう対処すべきか
• 中の人が振り返る「Hardening 10 ValueChain」――学びにつながった「トラブルの数々」とは
• 無慈悲な専門家チーム「kuromame6」の暗躍に負けず勝利をつかんだチームは？
• 外部リソースの活用もポイントに、「Hardening 10 MarketPlace」開催
• Hardening Projectから派生した「MINI Hardening Project」に行ってみた！
• 「これさえしておけば助かったのに……」を避けるため、今すぐ確認すべき7項目
• アップデート機能を悪用した攻撃に対抗セヨ！
• 工夫、工夫そして工夫――Hardening 10 APAC“運営”レポート
• ウイルスとは言い切れない“悪意のあるソフトウェア”
• 2013年のセキュリティインシデントを振り返る
• ここが変だよ、そのWeb改ざん対応
• きっかけは不正侵入――私がセキュリティ業界に足を踏み入れたワケ
• CMSが狙われる3つの理由
• FacebookやApple、MSまで……Javaの脆弱性を狙う攻撃の手口
• Hardening One、8時間に渡る戦いの結果は？
• そのときStarBEDが動いた――「Hardening One」の夜明け前
• ロシアでわしも考えた
• 実録、「Hardening Zero」の舞台裏
• ちょっと変わったSQLインジェクション
• 官民連携の情報共有を真面目に考える
• アプリケーションサーバの脆弱性にご注意を
• IPv6、6つの悩み事
• スパムが吹けば薬局がもうかる
• JSOCに飛び込んできた不審なメール――これが標的型攻撃の実態だ
• 東日本大震災、そのときJSOCは
• ペニーオークションのセキュリティを斬る
• 2010年、5つの思い出――Gumblarからキャンプまで
• 9・18事件にみる7つの誤解
• 曇りのち晴れとなるか？ クラウド環境のセキュリティ
• Webを見るだけで――ここまできたiPhoneの脅威
• 不安が残る、アドビの「脆弱性直しました」
• ともだち373人できるかな――インターネットメッセンジャーセキュリティ定点観測
• 実録・4大データベースへの直接攻撃
• Gumblar、いま注目すべきは名前ではなく“事象”
• Gumblarがあぶり出す 「空虚なセキュリティ対策」
• 新春早々の「Gumblar一問一答」
• 実はBlasterやNetsky並み？静かにはびこる“Gumblar”
• ECサイトソフトウェアはなぜ更新されないのか
• 狙われるphpMyAdmin、攻撃のきっかけは？
• 学生の未来に期待する夏
• 米韓へのDoS攻撃に見る、検知と防御の考え方
• 分かっちゃいるけど難しい、アカウント情報盗用ボット対策
• 狙われる甘〜いTomcat
• 表裏一体、あっちのリアルとこっちのサイバー
• 世間の認識と脅威レベルのギャップ――XSSは本当に危ないか？
• 急増したSQLインジェクション、McColo遮断の影響は
• ○×表の真実：「検知できる」ってどういうこと？
• ところで、パッケージアプリのセキュリティは？
• レッツ、登壇――アウトプットのひとつのかたち