ここが変だよ日本のセキュリティ 第3回「台湾HITCON突撃レポート 前編」
無償の啓発セミナーはこれからセキュリティ対策を整備しようというユーザー企業担当者には福音だけど、日ごろから高い問題意識でサイバー攻撃に立ち向かう最前線の人は、もっと新しくて深いネタに飢えている。
特集
特集
●海外カンファレンスの魅力
遠く海外まで行ってカンファレンスに参加する、日数も費用も掛かる。上司の説得も大変だ。帰ってからの報告書も面倒だ。それを押しても余りある魅力があるから、海外に行くのさ。
どうしても国内では、攻撃に悪用される恐れのあるグレーな話は避けられ、スポンサー企業や政府には配慮し、特定企業をネタにすることもしない。無償の啓発セミナーはこれからセキュリティ対策を整備しようというユーザー企業担当者には福音だけど、日ごろから高い問題意識でサイバー攻撃に立ち向かう最前線の人は、もっと新しくて深いネタに飢えている。
最先端の技術トピックや国内では未発表のネタ、国によって違う考え方を体感するには、やっぱ行くっきゃない。脆弱性なら見つけた人から直接聞きたいよね。まだ裏が完全に取れていないネタなんて最高のご馳走だ。
日本でも海外から第一人者を招いているカンファレンスとしてCodeBlue、PACSEC、AVTOKYOがある。そこで海外スピーカーの魅力に取りつかれたら、もうこちらから海外に出て行くしかない。今年のHITCONへの日本からの参加者は、筆者が把握している限りで20人を超えていましたよ。
●海外カンファレンス参加の注意事項
あらかじめ言っておくけど、上司は決して以下のようなことを部下に言ってはいけないよ。
「会社の費用で参加してきたんだ、向こうで学んだことが皆にわかるように報告書を書きなさい」とか、「会社に還元しなさい」とか。
何を学んだかは言えるけど、学んだことを参加していない人にわからせるのは、無理！無理！無理ゲー！ 絶対無理ゲー！
体験を他人に理解させるのは無理です。それができたら、その人は講演者を超えています。
これから書く内容からもわかるように、報告書よりも事前準備をしっかりやらせた方がいい。成果は、参加した人が成長したってことでいいじゃない！
●HITCONの人気がある理由
講演者には、過去のBlackHatスピーカー経験者も多い。つまり内容のレベルの高さはBlackHatに匹敵する。開催メンバーによるCTFチームは世界最高レベルのDEFCON CTFに初参加ながら、米国の強豪PPPに次いで2位になるなど、世界的にも躍進が注目されている。
そんなHITCONには、遠くアメリカまで行かなくても、たった3時間半のフライトで台北に着きます。シェラトン・ホテルで開催のEnterpriseが10,000台湾ドル（2014年9月1日為替レート3.48円で換算し約35,000円）、Playgroundの2日間だけだったら参加費用は2,000台湾ドル（約7,000円）と、国際カンファレンスの相場からみると、かなり安い。
講演は英語か中国語で、中国語の時は英語の通訳の音声が付きます（Enterpriseはレシーバー、PlaygroundはメイントラックのみでStreaming配信）。多くの国がこの2か国語でカバーできるのと、地理的にも来やすいことから、韓国、香港、マレーシアなどからカンファレンスでの講演やCTFでおなじみの著名人が多く参加していたよ。
●事前の情報収集が大事
どれだけ成果を持って帰れるかは、どれだけ準備していくかにかかっている。Enterpriseは２トラック（２本同時）、Playgroundは３トラック（３本同時）のプログラムだったけど、どれを聞くかあらかじめ見当をつけておいた。もちろんその場になって変更は有りだけど、全容を把握していないと、期待した内容と違っていたり、隣の会場でどよめきが起きて隣へ移動するなんてできないからね。
それに毎年トレンドがあって、2年前はAPTやサイバー・テロといった話題が多かったけど、今年はAndroidやフォレンジックの話にシフトしてきている。旬なネタは人気があるので、早めに席を確保した方がいい。
●そして全力で楽しもう
会場のIRCでリアルタイムの呟きが掲載されていたので、面白い講演は後ろのドアからどんどん聴講者が入って増えていく。私も何度か荷物とノートPCを抱えて別会場へ移動しました。
講演が終われば挙手による質問の時間があるけど、それでも聴き足りない人達は前に押しかけて講演者を囲んで質問攻めにしていました。日本だと列に並んで名刺交換という風景が多いけど、こっちは熱い議論ですよ。
この議論を聴きたい人がさらに周囲を囲んで、講演以上に盛り上がっちゃう。スピーカーが英語だと、通訳を交えて中国語と英語がゴッチャになって飛び交っちゃう。聞いているだけじゃない、積極的に楽しむのが一番面白いのさ。
●英語が苦手でも大丈夫
参考までに筆者のTOEICの最高スコアは675、全然大したことはない。でもスライドを読むのと話を聞くのは何とかなる。英語が苦手でも質問したい、議論したいことがあれば、公開されているAGENDAをもとに聞きたい論点を整理して英語に訳しておくといい。パソコンの画面でも印刷した紙でもいい、こうしておけば発音がおかしくても、だいたい大丈夫だ。
後半では主に講演内容を紹介しますよ！
ソース・関連リンク
- HITCON
- ここが変だよ日本のセキュリティ 第1回「被害総額14億円という規模」
- ここが変だよ日本のセキュリティ第2回「中長期的に効果の高い対策」
- ここが変だよ日本のセキュリティ第3回「台湾HITCON突撃レポート前編」
- ここが変だよ日本のセキュリティ第4回「台湾HITCON突撃レポート後編」
- ここが変だよ日本のセキュリティ 第5回「2014年は脆弱性が豊作!セキュリティ担当者の憂鬱」
- ここが変だよ日本のセキュリティ第6回「2014年は脆弱性が豊作！報告書の書き方」
- ここが変だよ日本のセキュリティ第7回「会社が教えてくれないSNSの歩き方～いいね！ボタンの先に善意はない」
- ここが変だよ日本のセキュリティ第8回「会社が教えてくれないSNSの歩き方～自爆・炎上防止チェックリスト」
関連記事
![[レポート] 10周年、DEFCON CTF2位、CTF日本人チーム優勝など注目の台湾カンファレンス「HITCON X」 画像](/imgs/p/2w5IdCqve0mMIzS4K5kC-28IDAerBQQDAgEA/11147.jpg)
Scan PREMIUM 会員限定記事
もっと見る-
![フロリダ州浄水システム攻撃／APOMacrosploit 仏人関係者／とびきり大きなデータリーク ほか [Scan PREMIUM Monthly Executive Summary]](/imgs/std_l/33615.jpg)
脆弱性と脅威フロリダ州浄水システム攻撃／APOMacrosploit 仏人関係者／とびきり大きなデータリーク ほか [Scan PREMIUM Monthly Executive Summary]
私見ですが、現在中国の APT グループは、2018 年以降から大きく変容している印象を持っています。現在の脅威アクターを知る上でも本レポートは参考になるものだと思います。
-
英学校で生徒に配布したノート PC、出荷段階でマルウェアがインストール
イギリスではロックダウン下で学習する子供たちのために教育省が学校にノートパソコンを提供しているが、ある回の出荷で PC にマルウェアが仕込まれていた。本誌 The Register が独占報道を行った。
-
ビジネス OSINT とは何か？ 経営に正しく役立てる方法 ～ 日本ハッカー協会 代表理事 杉浦氏講演
「ビジネスOSINT」という言葉をご存じだろうか。1年ほど前から海外では使われ出している言葉だという。公開情報をベースとした企業向けの高度な情報分析のことだ。日本ハッカー協会 代表理事 杉浦隆幸氏がビジネスOSINTについて解説する。
-
CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）
2020 年 2 月に、CMS Web アプリケーションである CMS Made Simple に、遠隔から任意のコード実行が可能となる脆弱性が報告されています。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
![フロリダ州浄水システム攻撃／APOMacrosploit 仏人関係者／とびきり大きなデータリーク ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/std_m/33615.jpg)
フロリダ州浄水システム攻撃／APOMacrosploit 仏人関係者／とびきり大きなデータリーク ほか [Scan PREMIUM Monthly Executive Summary]
Exchange Server の脆弱性悪用、マイクロソフトが新たな国家支援型サイバー攻撃を解説
GMOインサイト製のE START製品のインストーラにDLL読み込みに関する脆弱性
ウイルスバスタークラウド（Windows 版）にコードインジェクションの脆弱性
Apache Tomcat の脆弱性に対するアップデート公開
CMS Made Simple において遠隔から任意のコード実行が可能となる Server Side Template Injection の脆弱性（Scan Tech Report）
インシデント・事故 記事一覧へ
送信元アドレス誤設定しメールマガジン配信、情報漏えいもメール内容の誤りもなし
クラウド型メール配信システムで誤送信、テスト配信作業中に配信用アドレスを使用
JALマイレージバンク会員情報が漏えい、スイス SITA 社に高度に洗練された標的型攻撃
新型コロナウイルスワクチン接種予定者リストを誤送信
ソフトバンク顧客情報を販売代理店店員が不正取得、別件で逮捕済み
「知財総合支援窓口事業」委託先事業者がセキュリティポリシー逸脱しEmotet感染
調査・レポート・白書 記事一覧へ
公安調査庁 サイバー空間脅威概況 2021 公表、中露北等を名指し糾弾する米英の「パブリックアトリビューション」事例多数紹介
2020年不正アクセスの実態を公表、犯行手口はフィッシングサイトからの入手が最多
警察庁のサイバー空間脅威情勢、サイバー攻撃に新型コロナ関連情報が大いに悪用された2020年
警察庁 定点観測、Printer Job Language 標的とした探索行為再び増加 ほか
日経225企業の75％がドメインなりすまし未対策、ProofPoint 調査
日本の IoT シェア後退、総務省が 2019年実績 国際競争力指標公表
研修・セミナー・カンファレンス 記事一覧へ
文部科学省「with コロナ時代の情報モラルを考える！」ウェビナー開催
ビジネス OSINT とは何か？ 経営に正しく役立てる方法 ～ 日本ハッカー協会 代表理事 杉浦氏講演
「アカウントは漏洩している前提で備えるべき」～ ソリトンシステムズが提案する「Soliton OneGate」とは
ニューノーマルの３つの特徴と VMware が考える３つの包括的解決アプローチ
応募多数で参加枠２倍に「NRI Secure NetWars 2020」入賞者発表
