SSTエンジニアブログスマートフォン用の表示で見るSSTエンジニアブログSSTのエンジニアによるWebセキュリティの技術を中心としたエンジニアブログです。Hardeningに参加してきましたイベントはじめにこんにちは!異世界カルテットの転校生が誰だか気になってあまり仕事のやる気が出ない岩間です。Hardeningのイベントレポートになります!競技内容については非公開のため、残念ながら細かく書くことができませんが、書ける範囲で体験したことを書いています。2019/6/30開催されたイベントをもとにしているため、他の回では異なる場合があります。Hardening公式サイトの紹介文を引用します。Projectの競技に参加される皆さんは仮想環境上に構築されたシステムの担当者として様々なセキュリティインシデントやトラブルに対応するシナリオを体験いただきます。3時間という限られた時間の中で与えられた環境について脆弱性を発見・修正し、度重なるサイバー攻撃からシステムを守りつつ、チームメンバーで協力しながら困難を乗り越えて、最終的に社長へ報告書を提出していただきます。最終的に、体験いただいた内容を振り返りつつ、堅牢化いただいた結果を総合的に評価してフィードバックいたします。Projectと共通である「いかにビジネスを継続するか」となります。何も把握していない状態で、脆弱性がてんこ盛りのWebサイトを迫りくるサイバー攻撃から3時間耐えてサイトを落とさないようにし、社長のご機嫌も取る競技です!色々と語弊はありますが、大体あってるはず。Projectというプロジェクトがあり、8時間だと大変だからカジュアルな位置づけとして発足されたようです。Projectについて詳しく知りたい方は、公式サイトをご覧くださーい。付いているから内容もMiniかと言うと、そんなことない。攻撃はえげつないし、全然Miniじゃない。回転ずしでネタが流れるように次から次へと問題がやってくる。競技の流れってどんな感じおおまかな当日の流れは、connpassのイベント説明欄に記載されています。事前に分かるのは、チームメンバと簡単な競技概要ぐらいです。コミュ障の自分は、当日まで会話できませんでした。̆)当日は、競技開始前に話し合える時間があるので、その時間で作戦会議ができます。言っても30分ぐらい。真横に別のチームの人がいるので重要な情報などは注意が必要になるかもしれません。(後半になると、そんな余裕もなくなるので口頭で情報共有してましたが・・・。)競技始まった後ってどんな感じ私たちのチームについて書いていきます。競技スタート後は、いきなり攻撃が始まるわけではなく、まず競技環境へのアクセスを行います。(気付いていないだけで、攻撃されているのかもしれませんけどね)競技環境がやや特殊なので、慣れていない人はここで若干躓きます。メンバー全員がアクセスできるのに30分ほど掛かってしまいました。競技環境へアクセスできたら、サーバ構成の把握やサイトの構成を理解したり、作成会議で話した作業を行うなどしてました。してからサイトに異変が起こったり、不審なログが表示されたりで攻撃に気付き、後は回転ずし状態です。岩間「あーそうゆうことね。参加者ってどんな人がいたの私たちのチームは、Sierの人、SOCの人、最近セキュリティ部署に配属された方でセキュリティ寄りの人が多かったです。他のチームでは、学生さんやアプリエンジニア、新卒で研修中のエンジニアなど色々な人がいました。役割について私たちのチームでは、web担当2人、サーバ担当、社長との連絡担当でした。3時間の猛攻を4人で耐えられないといけないため、一人一人の力が大きくチーム全体に影響します。そのため役割分担が重要だと感じました。関係ないですが、スプラトゥーン2では4人対4人の構成でバトルしますが、1人でも欠けると実力のあるプレイヤーが居ても人数不利で勝率がグッと下がります。人数不利が無かったとしても、チーム全員が同じ武器の場合だと、同じ射程で同じ性能のため、お互いをカバーしにくいという編成不利の状況に陥ります。(皆同じ事をするのではなく、それぞれ得意な領域で力を発揮しつつ、メンバーの短所を補うような編成のほうが勝率があがる。)一方で、始めたばかりの人のような初心者でも、敵との接触を控えて自陣付近を塗ったり、スペシャルウェポン(必殺技)を使ったりなど、実力差があってもチームに貢献できる方法がいくつもあります。Hardeningでは敵は存在しませんが、チームの役割で見るとスプラトゥーンのチーム連携と同じ事が言えるのではないでしょうか。Hardeningの楽しむ方法は色々あると思いました。サイバー攻撃の宝石箱と言わんばかりに多彩な攻撃を肌身を持って感じれるので、非日常感を体験できたり。結果どうだったの偉そうな事を言ってますが、実はなんと私たちのチームは最下位でした。別にふざけてはいません。最後まで尽力していました。サイトは改ざんされ、バックアップは無くなり、データベースは消えてしまい、競技時間もあとわずかだったため、復旧はもう無理と判断しサイトを閉鎖することにしました。閉鎖するなら、お問い合わせ先は必要だよなぁーと思い、社長のメールアドレスを問い合わせ先にする暴挙に出てみました。資料に社長以外の連絡先書いてないから!え、自分のメールアドレスを貼ればよかったんじゃないかって?クレームメールなんて受け取りたくない・・・。英語なのは、マルチバイト対応の余裕がなかったからです。したらまさか-100pt!問い合わせ先は書かないか、自分のメールアドレスを貼るか、事前に社長に了承をもらっておくのいずれかにすべきでした。チームのみんな本当ごめんなさい。Hardeningはそれの全く逆で守りのスタイルが求められました。頭の中では判っていてても実際に手を動かすと、全然コマンドが打てなかったので両方のスタイルの知識が必要だと痛感しました。人数が少ないためフルスタックが求められたのも良い刺激になりました。実践的な環境でサイバー攻撃と堅牢化対応が体験でき、目の前の環境がどんどん破壊されていくのを眺めつつ、己の無力さを痛感できたイベントでした!WASForum様からの差し入れ。おはようございます!事業開発部の清水です。2019」をたのしみたい!わたし的準備レポート。こんにちは、かをるです。reserved.スターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。