Hardening 100 Weakest Linkに参加しました!

Pocket

はじめまして、山下@情シスです。

全国からセキュリティの猛者が集まる大会、
「Hardening 100 Weakest Link」に参加してきました!

大会の詳細については公式サイトをチェック!

大会があったのが2016年11月1・2日で、
なぜこのタイミング(大晦日)で投稿なのかというところですが、
今年の垢は今年のうちに落としましょうということで、大晦日の投稿となります!笑

そもそもhardeningとは?

参加の理由

個人情報の漏洩事故が多発する昨今、自分の会社は多分大丈夫ということはなく、
いつ攻撃の対象になってもおかしくない時代です。

自分が使っているPCや会社のサーバ、ネットワークは本当に安全なのだろうか?
実は踏み台にされているのでは?
バックドアが仕込まれているのでは?
自分が仕事で担当している部分は責任を持って大丈夫!と言えるよう
スキルを磨くべく大会参加を決意しました。

大会までの流れ

人によっては何も準備せずに当日を迎える人もいますが、
基本はチームプレイなので事前の準備をおこないます。
チームが発表されるのが一ヶ月前なので、
その日から大会は始まっていると言っても過言ではありません。

事前に準備・やったこと

知識的なもの

私はそもそもセキュリティエンジニアでもサーバエンジニアでもWEBエンジニアでもなかったので、
基礎能力の強化のために以下の試験を受験して基本を学習しました。

  • LPIC level1の取得
  • セキュリティスペシャリストの受験

また当日に触るであろうサーバを自分で立てて設定やログの確認方法をおさえました。

  • BIND
  • WEBサーバ(wordpress)

過去の参加者に話を聞いたり、大会参加者のブログを読んで、
過去の攻撃内容、当日やったトラブルシューティングの内容を把握しました。

ソフトウェア的なモノ

過去の参加者の話を聞くと、
「大会中に守る環境は資料にあるもの以外信じてはいけない」とみんな口を酸っぱくして言っていたので、
過去の資料を参考に以下のソフトをもっていきました。
※沢山持って行っても競技環境に転送するのに時間がかかるため、多くは持っていけない

  • 7zインストーラ 解凍ソフト
  • chromeインストーラ ページ閲覧用
  • Thunderbirdインストーラ 社長やお客様からのメール受信用
  • rlogin(sshクライアント)
    複数のサーバにsshできて、画面分割やキャプチャなど機能豊富
  • NonwebCeck(WEBサイトの差分チェックするツール)
    ページの死活監視・改竄検知に準備←.net frameworkが古くて使えなかった

チーム内の打合せ

本大会は一人で戦うのではなく、チームプレイです。
チームビルディングも良い成績・結果を残す重要な要素です。

私のチームはメールとslackとskypeでやり取りを行いました。
基本はslackでやり取りを行い、
顔合せは東京にてメンバー3人が集まって、そこに神戸からskypeで参加しました。

hardening当日

会場

主なインシデント

当日は様々攻撃が主催者側からされました。
チームによっては謝罪会見をやっているところも。

主なインシデント

  • DNSダウン
  • DDos攻撃
  • PC物理ハッキング
  • ランサムウェア
  • 情報漏えい

などなど
※正直気づいていない攻撃もたくさんあるとおもいます

終わった後は皆で拍手

softning当日

各班の振り返り発表と表彰などをおこないました。

私のいたチームは11チーム中6位!ちょうど真ん中の順位でした。

そして最後はカシャーシを皆で踊って退場。

感想

企業に勤めていると会社独自のルールを知っているかどうかなど別の要素が必要になってきますが、
この大会では純粋に人としての力試しだったように感じます。
チームとしてのトータルの対応力(技術力と周りを把握する力、判断力)が求められる場で、
自分がチームに対して何ができるのかをよく考え、行動するのが大事です。
linuxやセキュリティに詳しい方が確かに有利ですが、
それがすべてではないので自分ができることを最大に活かすことが大事だと思えました。
謝罪会見なんてほとんどの人がやったこともありませんし、
この時必要なのはlinuxの知識ではなく対人力になります。
非エンジニアだけど、自分に与えられた仕事をきっちりとこなしてチームに貢献している人もいました。
チーム内でしっかりと役割分担をして各々の強みを活かし、
良い雰囲気のチームが強かったように思います。

最後に

過去に勉強した試験の内容や、現職・前職での経験などがそのまま大会に活かされたと感じました。
バリバリのエンジニアの中で自分の強みがわからず不安に思うこともありましたが、
終わってみると怖さや不安は自分の幻想だったなと思います。

この大会では技術的なことだけではなく、チームビルディングや対応力、コミュニケーション力など様々な要素が求められます。
目的を持って挑めば多くのことを学べる大会です。

非常によく考えられて完成度の高い大会です。
みなさんも是非参加してみてはいかがでしょうか?

その後

大会一ヶ月後に振り返り会が開催されました。
どんな攻撃が実は裏でしていたのかがわかって非常に良かったです!

Pocket

The following two tabs change content below.
山下高範
2015年に神戸デジタル・ラボへ中途入社し、情シス業務を担当。ネットワーク、サーバ、PCキッティング、ライセンスその他細々したものまで幅広く対応します。 前職は携帯通信業者で基地局や上位ノードの管理・監視に携わり、通信業界の進化速度を体感する。 もともとはモノづくりが好きで電気の勉強をしていたのに、気づいたらITエンジニアに転身していました。 最近はセキュリティ分野とpythonを勉強中。
最新記事 by 山下高範 (全て見る)
Recommend
No articles