![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
ここが変だよ日本のセキュリティ 第3回「台湾HITCON突撃レポート 前編」
無償の啓発セミナーはこれからセキュリティ対策を整備しようというユーザー企業担当者には福音だけど、日ごろから高い問題意識でサイバー攻撃に立ち向かう最前線の人は、もっと新しくて深いネタに飢えている。
特集
特集
●海外カンファレンスの魅力
遠く海外まで行ってカンファレンスに参加する、日数も費用も掛かる。上司の説得も大変だ。帰ってからの報告書も面倒だ。それを押しても余りある魅力があるから、海外に行くのさ。
どうしても国内では、攻撃に悪用される恐れのあるグレーな話は避けられ、スポンサー企業や政府には配慮し、特定企業をネタにすることもしない。無償の啓発セミナーはこれからセキュリティ対策を整備しようというユーザー企業担当者には福音だけど、日ごろから高い問題意識でサイバー攻撃に立ち向かう最前線の人は、もっと新しくて深いネタに飢えている。
最先端の技術トピックや国内では未発表のネタ、国によって違う考え方を体感するには、やっぱ行くっきゃない。脆弱性なら見つけた人から直接聞きたいよね。まだ裏が完全に取れていないネタなんて最高のご馳走だ。
日本でも海外から第一人者を招いているカンファレンスとしてCodeBlue、PACSEC、AVTOKYOがある。そこで海外スピーカーの魅力に取りつかれたら、もうこちらから海外に出て行くしかない。今年のHITCONへの日本からの参加者は、筆者が把握している限りで20人を超えていましたよ。
●海外カンファレンス参加の注意事項
あらかじめ言っておくけど、上司は決して以下のようなことを部下に言ってはいけないよ。
「会社の費用で参加してきたんだ、向こうで学んだことが皆にわかるように報告書を書きなさい」とか、「会社に還元しなさい」とか。
何を学んだかは言えるけど、学んだことを参加していない人にわからせるのは、無理！無理！無理ゲー！ 絶対無理ゲー！
体験を他人に理解させるのは無理です。それができたら、その人は講演者を超えています。
これから書く内容からもわかるように、報告書よりも事前準備をしっかりやらせた方がいい。成果は、参加した人が成長したってことでいいじゃない！
●HITCONの人気がある理由
講演者には、過去のBlackHatスピーカー経験者も多い。つまり内容のレベルの高さはBlackHatに匹敵する。開催メンバーによるCTFチームは世界最高レベルのDEFCON CTFに初参加ながら、米国の強豪PPPに次いで2位になるなど、世界的にも躍進が注目されている。
そんなHITCONには、遠くアメリカまで行かなくても、たった3時間半のフライトで台北に着きます。シェラトン・ホテルで開催のEnterpriseが10,000台湾ドル（2014年9月1日為替レート3.48円で換算し約35,000円）、Playgroundの2日間だけだったら参加費用は2,000台湾ドル（約7,000円）と、国際カンファレンスの相場からみると、かなり安い。
講演は英語か中国語で、中国語の時は英語の通訳の音声が付きます（Enterpriseはレシーバー、PlaygroundはメイントラックのみでStreaming配信）。多くの国がこの2か国語でカバーできるのと、地理的にも来やすいことから、韓国、香港、マレーシアなどからカンファレンスでの講演やCTFでおなじみの著名人が多く参加していたよ。
●事前の情報収集が大事
どれだけ成果を持って帰れるかは、どれだけ準備していくかにかかっている。Enterpriseは２トラック（２本同時）、Playgroundは３トラック（３本同時）のプログラムだったけど、どれを聞くかあらかじめ見当をつけておいた。もちろんその場になって変更は有りだけど、全容を把握していないと、期待した内容と違っていたり、隣の会場でどよめきが起きて隣へ移動するなんてできないからね。
それに毎年トレンドがあって、2年前はAPTやサイバー・テロといった話題が多かったけど、今年はAndroidやフォレンジックの話にシフトしてきている。旬なネタは人気があるので、早めに席を確保した方がいい。
●そして全力で楽しもう
会場のIRCでリアルタイムの呟きが掲載されていたので、面白い講演は後ろのドアからどんどん聴講者が入って増えていく。私も何度か荷物とノートPCを抱えて別会場へ移動しました。
講演が終われば挙手による質問の時間があるけど、それでも聴き足りない人達は前に押しかけて講演者を囲んで質問攻めにしていました。日本だと列に並んで名刺交換という風景が多いけど、こっちは熱い議論ですよ。
この議論を聴きたい人がさらに周囲を囲んで、講演以上に盛り上がっちゃう。スピーカーが英語だと、通訳を交えて中国語と英語がゴッチャになって飛び交っちゃう。聞いているだけじゃない、積極的に楽しむのが一番面白いのさ。
●英語が苦手でも大丈夫
参考までに筆者のTOEICの最高スコアは675、全然大したことはない。でもスライドを読むのと話を聞くのは何とかなる。英語が苦手でも質問したい、議論したいことがあれば、公開されているAGENDAをもとに聞きたい論点を整理して英語に訳しておくといい。パソコンの画面でも印刷した紙でもいい、こうしておけば発音がおかしくても、だいたい大丈夫だ。
後半では主に講演内容を紹介しますよ！
関連記事
![[レポート] 10周年、DEFCON CTF2位、CTF日本人チーム優勝など注目の台湾カンファレンス「HITCON X」 画像](/imgs/p/2w5IdCqve0mMIzS4K5kC-28IDAerBQQDAgEA/11147.jpg)
Scan PREMIUM 会員限定記事
もっと見る-
研修・セミナー・カンファレンスBEC（ビジネスメール詐欺）対策ポイントを２つの代表的被害事例から学ぶ
2017 年の夏に国内大手航空会社が巧妙な詐欺メールで数千万円もの金額をだまし取られた。BEC、ビジネスメール詐欺と呼ばれる手法だが 2018 年には日本語の BEC も確認され、2019 年も警戒が必要なサイバー攻撃だとする専門家も多い。
-
Centreon において Poller の値検証不備により遠隔から任意のコードが実行可能となる脆弱性（Scan Tech Report）
ネットワーク監視用のソフトウェアである Centreon に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
-
華為のウェブに■■■■の脆弱性、■■■■の顧客情報や■■■■にリスクが及んだ可能性、■■■■を修復済（The Register）
どの部分が危険に晒されていたのか、どんな情報が盗まれたり改ざんされたりした可能性があるのか、ファーウェイの業務のどの部分が影響を受けた可能性があるのか、そしてシステム侵入者が穴を利用したのか否かは不明である。
-
ネット人口８億 中国サイバー犯罪 ～ ブロックチェーン推進と暗号通貨規制を模索する当局
中国のサイバー犯罪というと人民解放軍の情報部隊の活動などを想像する人も多いが、経済犯罪、一般的な犯罪も活発に行われている。ネット人口8億人とも言われる中国では、サイバー空間も犯罪者の暗躍と規制当局とのいたちごっこが止まらないようだ。
ソース・関連リンク
- HITCON
- ここが変だよ日本のセキュリティ 第1回「被害総額14億円という規模」
- ここが変だよ日本のセキュリティ第2回「中長期的に効果の高い対策」
- ここが変だよ日本のセキュリティ第3回「台湾HITCON突撃レポート前編」
- ここが変だよ日本のセキュリティ第4回「台湾HITCON突撃レポート後編」
- ここが変だよ日本のセキュリティ 第5回「2014年は脆弱性が豊作!セキュリティ担当者の憂鬱」
- ここが変だよ日本のセキュリティ第6回「2014年は脆弱性が豊作！報告書の書き方」
- ここが変だよ日本のセキュリティ第7回「会社が教えてくれないSNSの歩き方～いいね！ボタンの先に善意はない」
- ここが変だよ日本のセキュリティ第8回「会社が教えてくれないSNSの歩き方～自爆・炎上防止チェックリスト」
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
WordPress用「Category Specific RSS feed Subscription」に脆弱性（JVN）
「Oracle Solaris」に任意コード実行の脆弱性（JVN）
LLVMのArmバックエンドに任意コード実行などの脆弱性（JVN）
複数のOracle製品に脆弱性、製品の存在確認を含め対応を呼びかけ（JPCERT/CC、IPA）
より危険な目的に転用可能なAndroidマルウェアを発見（チェック・ポイント）
Centreon において Poller の値検証不備により遠隔から任意のコードが実行可能となる脆弱性（Scan Tech Report）
インシデント・事故 記事一覧へ
大学教員が前職都立高校在籍時に作成したMLへメール送信（明海大学）
圧着不十分で「口座振替のお知らせ」ハガキ内容漏えいの可能性（オガワエコノス）
2018年度の帳票紛失事案を受けた一斉点検で印鑑届の一部紛失が判明（北越銀行）
一般職向け説明会参加者に案内メールを誤送信（原子力規制委員会）
「やさしいドアWEBサイト」へ不正アクセス、サイトの一部が改ざん（コマニー）
市立図書館システム構築時のテスト用メールアカウントに不正アクセス（小松島市）
調査・レポート・白書 記事一覧へ
経営トップダウンで先手を打つ海外、事故が起こってから後手後手の日本：企業セキュリティ実態調査（NRIセキュア）
「NOTICE」など取組が奏功か、Mirai関連パケット減少--定点観測レポート（JPCERT/CC）
グローバルIPを割り振るモバイルルータなどによる感染事例が国内で増加（Secureworks）
フィルタリングのイメージ、高校生の1割が邪魔なものと否定的に捉える（総務省）
日本などで活動する「HYDSEVEN」に関する調査結果--特別レポート（ラック）
ビルシステム向けのセキュリティ対策ガイドライン策定（経済産業省）
研修・セミナー・カンファレンス 記事一覧へ
国際イベント想定のサイバー攻撃やランサムウェア対応実務など、育成コース最新版（DNP）
BEC（ビジネスメール詐欺）対策ポイントを２つの代表的被害事例から学ぶ
ネット人口８億 中国サイバー犯罪 ～ ブロックチェーン推進と暗号通貨規制を模索する当局
サイバー戦争に必要なルール、民間・政府・国連の取り組み
世界のサイバーインテリジェンスサミット開催（マキナレコード）
「脆弱性診断の内製化」セミナー、体験会も同時開催（SHIFT）
製品・サービス・業界動向 記事一覧へ
EDRの運用サービスに「Trend Micro Apex One」を追加（SBT、トレンドマイクロ）
Carwallの自己防御機能をアルパインの車載システムに提供（アズジェント）
クックパッドが「CrowdStrike Falcon プラットフォーム」を採用（CrowdStrike Japan）
LGWAN接続端末から「kintone」を利用できるサービス開始（サイボウズ、両備システムズ）
EDR製品の運用を支援「EDR原因解析サービス」開始（シーイーシー、ソフォス）
米Sailpoint社の自動ID管理製品の取扱いを開始（アイ・アイ・エム）
おしらせ 記事一覧へ
毎月初に配信されている Scan PREMIUM Monthly Executive Summary とは？ 執筆者に聞くその内容と執筆方針
![[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像](/imgs/std_m/27120.jpg)
[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行
【先着７名】「退位の日」も記載 ～ CSIRT、SOC、IR 担当者向け、地政学的重要日カレンダー CrowdStrike Adversary Calender プレゼント(受付終了)
マクニカネットワークス株式会社 セキュリティサービス室 室長代理 柳下氏を取材しました
![[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ 画像](/imgs/std_m/26608.jpg)
[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ
