6月23日から2日間に渡り、「衛る技術」の価値を最大化することを目指すセキュリティ・プロジェクト『Hardening 1010 Cash Flow』が、沖縄県宜野湾市の沖縄コンベンションセンターで開催された。2012年4月の開催から10回目を迎えるHardening Project、今回は過去最大のチーム数である15チームの競技参加者、その他登壇者、スポンサー、スタッフなど、全部で約200名ものセキュリティ・パーソンが沖縄に集った。競技日である初日、Hardening Dayのレポートはこちら。今回は、初日の取り組みと学びを共有する2日目、Softening Dayについてレポートする。

競技日が終わってようやく、Hardening 1010 Cash Flowは折り返し地点。

Hardening Dayで10時間の『衛る』競技を終えた後、仮想ハッカー集団“kuromame6”のメンバーたちを含む実行委員たちは、休む間も無く各チームの“評価者”となり、15チームの採点を行う。仮想購入者のクローラーの購買行動を読みながら、種々の販売用商品や集客用広告を仕入れることで伸ばす売上額、また今回は「キャッシュフロー」が大きなキーワードとなっており、資本の借り入れと返済などにも思考を割かなければならず、エンジニアリングに偏った対応では評価が低い。

採点対象となるのは「技術点」「対応点」「顧客点」「経済点」「強調点」の５つだ。Hardening Projectは脆弱性のあるECサイトでの売上げを競う競技ではあるが、その採点基準が脆弱性やマルウェアの技術対応に留まらず、インシデントが起こった後の復旧対応、ユーザーサポートや情報保護、マーケットプレイスでの購入などを通じた市場活性化、そして市場での協調までもが評価対象となる。この非常に複雑な評価付けを行う為、その対応は深夜に及ぶ。

一方、競技参加者たちも10時間のHardeningに耐えきり、ホッとするのもつかの間、翌日のSoftening Dayでの発表の為、振り返りプレゼン資料の作成に移る。朝9時までの提出締切に間に合わせる為、各チーム深夜までの作業となる。しかし準備段階、10時間競技時間の全てを5分のプレゼン時間内で伝えることは不可能。そのためプレゼンターは要点整理も欠かせない。Softening Dayで問題を共有し、行動の振り返りを相互に行い、本番のインシデントに備えるまでがHardening競技であり、初日夜は折り返し地点に過ぎないことを全員が理解しており、緊張感の途切れない空気が印象的なHardening Dayの終わりであった。

第2日目：Softening Day -『衛る』競技を通して得た学びを共有する-

Softening Dayでは参加した15チームのプレゼン全てがYouTubeで生中継され、現在でも閲覧が可能だ。それぞれ、チーム名の由来から準備してきたこと、当日の報告を次々と行い、また問題対応の中から印象的な出来事などを語った。競技終了1時間前からはスコアボードの表示がオフになっており、自チームの最終的な資産や売上は把握できていない時点でのプレゼンとなる。これはそれぞれが他チームの対応をニュートラルに聞くということに貢献していたように思う。

▼15チームのプレゼンの様子

沖縄の高専生4人と東京勤務の社会人2人という、学生が主体のチームであるにも関わらず好成績をキープし注目を集めていたチーム「術中Hack」は、6人中4人が参加2回目以上というリピーターの多いチーム。沖縄と東京という地理的条件は厳しかったが、Slackを利用し活発なコミュニケーションをとっていたという。「チームリーダーはメール対応やインシデント発生時の優先度判断を担うと決めたのをはじめ、役割分担が明確だった為、バランス良く対策が取れたと感じている」と語った。一方で、注目度が高い企業故に謝罪会見対応などが求められたチームでもあった。「個人情報流出の際は会見までの短時間でデータベースの情報が集められなかったことが反省点」と述べ、謝罪対応で食べ物がのどを通らないほど辛く感じたメンバーもいたとのこと、リアルを追求したHardeningならではの報告であった。

結果、グランプリを、このチーム「術中Hack」が受賞。実行委員長の門林氏から、グランプリ表彰として豪華副賞と共に賞状が贈られた。また特徴のある成果やマーケットプレイスなどでの協業から評価を受け、スポンサーベンダーから「LAC賞」「CISCO賞」「DMM.com Labo賞」「CTC賞」「Barracuda賞」などが授与され、それぞれ喜びの表情を浮かべた。第2位「シーサーとゆかいな仲間たち」、第3位「ななちゅーばー」にも沖縄サイバーセキュリティネットワークの事務局を務める内閣府沖縄総合事務局から泡盛が贈られた。

▼各賞受賞の様子

振り返りプレゼン中、CISCOへ「圧倒的感謝」を捧げていたチーム「・・−−−（トントンツーツーツー）」は「CISCO賞」を受賞。副賞として両手いっぱいに抱えるサイズの段ボールが一人ずつに贈呈された。怪訝な表情のメンバーに、中身はセキュリティライセンスがプリインされたルーターだと告げられ、会場中がどよめき拍手が起こる一幕も。「ScanNetSecurity賞」は、パクリサイト疑惑が生じた時いち早くコンテンツを購入したチーム「NearMULL」に贈られ、上野宣編集長から副賞として一年間購読無料のライセンスが発行された。また15チーム中最も技術点が低かったチーム「AWAMORI」には「KBC賞」として学校法人KBC学園の次年度入学願書が副賞として贈られた。淵上副校長からは「世界で唯一Hardening部という部活を持っている学校。次年度から是非入学して技術力を磨いて貰いたい」と述べられ、なんとも言えない表情を浮かべながらの受賞となった。

今回初の試みとして、実行委員会はマーケットプレイス参加ベンダーの評価を実施し、結果として参画15社中1社、MVP賞（Most Valuable Provider）の表彰を行なった。「販売額」、「利益率」、「テストベット負荷」、そして「チームへの貢献度」を各チームプレゼンを加味して総合的に判断。伊藤忠テクノソリューションズ（CTC）に授与された。

▼マーケットプレイス参加ベンダーMVP賞発表

kuromame6から種明かし、JPCERT/CC、NICT、沖縄からのセキュリティセッション

この他、技術担当“Kuromame6”代表として、川口洋氏（株式会社ラック）が登壇し、2ヶ月かけて構築した環境の意図や種明かし、攻撃の詳細を解説した上で「高度な技術的能力も大切だが、多くの事件はほんの些細なミスから起こっている。これをまめに潰していくのが皆さんの仕事になる。何か起きた後の動きが重要。普段事業に関わっているだけでは、転ぶ体験をすることが出来ない。Hardeningのような場で一度転んだ経験は、後々必ず生きてくる」と述べ、Hardening Projectと実務業務が延長線上にあることを改めて意識させられるスピーチとなった。

▼[H1010CF] Softening Day - Kuromame6プレゼンテーション

またJPCERT/CCから、阿部真吾氏が登壇。組織概要の説明などはもちろん、今回のHardening Projectにおけるサービス購入数などに言及した。注意喚起や早期警戒情報を配信してくれるJPCERT/CCのサービスは無料だ。最終的に12チームが登録した。競技終了後に、本サービスを採用したチームのメンバーに理由を聞いたところ、「参加経験者から『JPCERT/CCは購入しておいた方が良い』というアドバイスを受けたから」という意見があり、横の繋がりでの情報交換が有益な情報への架け橋になっている様子をうかがえた。

阿部氏からは、「競技終了までに注意喚起4件、早期警戒4件を配信することができた」として、特に様々な情報提供をしたチーム「NearMULL」への謝辞があった。阿部氏は情報共有の重要性について「現在は自分の組織だけで対応するのは難しい。断片的な情報をあつめたら脅威情報に導かれるかもしれない。また他の組織での対応を参考に出来る。対応の確実性を高め、自信を強めることにも繋がる。皆で力を合わせて世界を平和に導きましょう」と締めくくった。

▼JPCERT/CC阿部氏、NICT宮地氏、沖縄セッション

続いて情報通信分野を専門とする唯一の公的研究機関、情報通信研究機構 北陸StarBED技術センター センター長 宮地利幸氏から、Hardening Projectでの環境構築と利用機材の流れ、トポロジの変遷が説明された。第1回には5台だった競技環境台数は、10回目の今回では21台に。今回はチーム数が増加し、更にマーケットプレイスの利用台数も増えた為、541台という台数になったことに触れ、この大規模台数を一人で管理する同研究所の研究員、安田真悟氏へ拍手が沸き起こった。またStarBEDの特色である、持ち込み機材の持ち込みについて、今回手で運んで組み込んだマーケットプレイス参加者もあったことを明かした。

更に開催地である沖縄県でのサイバーセキュリティに関わる取り組みを聞くセッションが、淵上真一氏（学校法人KBC学園）をチェアーとして開催。観光に次ぐリーディング産業として情報通信を位置づけている沖縄のこれまでとこれからについて、内閣府沖縄総合事務局　地域経済課 多和田 情報政策専門官、沖縄総合通信事務所 情報通信課 末吉課長、沖縄県 情報産業振興課 IT戦略センター準備室兼村主幹、沖縄県警察本部サイバー犯罪対策課 景山サイバー犯罪対策官の4名からそれぞれの取り組みに関する話を伺う機会を得た。

これまで沖縄では、地域の行政・民間のサイバーセキュリティ情報共有のため、「沖縄サイバーセキュリティネットワーク」が構築されてきたほか、Hardening Project支援、セキュリティミニキャンプ開催など人材育成に関わる取り組みを推進してきた。また沖縄県警では、ついにサイバー犯罪対策課が設置されサイバーセキュリティに関する対応に大きく一歩進んだことが報告された。こうした流れを受け、さらに今後、沖縄県によるIT産業振興について専門のセンターの準備が進んでいることが共有された。Hardening競技会では今回も少なからぬ沖縄県内からの参加者の活躍が見受けられた、こうした人材の社会サイドの受け入れ態勢や推進の取り組みに期待が寄せられている。

次回開催は日本標準時子午線の通る淡路島

2012年4月に第1回目『Hardening Zero』から、10回目を迎えたHardening Project。過去最大の15チームの参加者、過去最長の10時間という競技時間を乗り越え、過去最高の盛り上がりとなったのは間違いない。屋外で開催された開放的なフェアウェルパーティでは、これまで10回に渡るkuromame 6メンバーたちの労をねぎらう為、沖縄名産 豚の丸焼きが登場。沖縄に住んでいてもなかなかお目にかかれない料理とのこと、県内県外の出身に関わらず、最高のサプライズとなっていた。

次回、第11回目となる『Hardening Project 2017 FES.』は、これまでの10回の開催を総括し次のビジョンを構築するため、日本のへそを象徴する日本標準時の東経135度にある淡路島にて、2017年11月23日〜25日の3日間の日程で開催予定。更なる盛り上がりが期待出来そうだ。

Hardening 1010 Cash Flow 開催概要

Hardening Day: 2017年6月23日 9:00-20:00
Softening Day: 2017年6月24日 9:00-20:00

場所：宜野湾市 沖縄コンベンションセンター A棟
主催：WASForum Hardening Project
共催：内閣府 沖縄総合事務局

公式サイト：https://wasforum.jp/hardening-project/