![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.png){kind=logo}
ここが変だよ日本のセキュリティ 第3回「台湾HITCON突撃レポート 前編」
特集 特集
●海外カンファレンスの魅力
遠く海外まで行ってカンファレンスに参加する、日数も費用も掛かる。上司の説得も大変だ。帰ってからの報告書も面倒だ。それを押しても余りある魅力があるから、海外に行くのさ。
どうしても国内では、攻撃に悪用される恐れのあるグレーな話は避けられ、スポンサー企業や政府には配慮し、特定企業をネタにすることもしない。無償の啓発セミナーはこれからセキュリティ対策を整備しようというユーザー企業担当者には福音だけど、日ごろから高い問題意識でサイバー攻撃に立ち向かう最前線の人は、もっと新しくて深いネタに飢えている。
最先端の技術トピックや国内では未発表のネタ、国によって違う考え方を体感するには、やっぱ行くっきゃない。脆弱性なら見つけた人から直接聞きたいよね。まだ裏が完全に取れていないネタなんて最高のご馳走だ。
日本でも海外から第一人者を招いているカンファレンスとしてCodeBlue、PACSEC、AVTOKYOがある。そこで海外スピーカーの魅力に取りつかれたら、もうこちらから海外に出て行くしかない。今年のHITCONへの日本からの参加者は、筆者が把握している限りで20人を超えていましたよ。
●海外カンファレンス参加の注意事項
あらかじめ言っておくけど、上司は決して以下のようなことを部下に言ってはいけないよ。
「会社の費用で参加してきたんだ、向こうで学んだことが皆にわかるように報告書を書きなさい」とか、「会社に還元しなさい」とか。
何を学んだかは言えるけど、学んだことを参加していない人にわからせるのは、無理！無理！無理ゲー！ 絶対無理ゲー！
体験を他人に理解させるのは無理です。それができたら、その人は講演者を超えています。
これから書く内容からもわかるように、報告書よりも事前準備をしっかりやらせた方がいい。成果は、参加した人が成長したってことでいいじゃない！
●HITCONの人気がある理由
講演者には、過去のBlackHatスピーカー経験者も多い。つまり内容のレベルの高さはBlackHatに匹敵する。開催メンバーによるCTFチームは世界最高レベルのDEFCON CTFに初参加ながら、米国の強豪PPPに次いで2位になるなど、世界的にも躍進が注目されている。
そんなHITCONには、遠くアメリカまで行かなくても、たった3時間半のフライトで台北に着きます。シェラトン・ホテルで開催のEnterpriseが10,000台湾ドル（2014年9月1日為替レート3.48円で換算し約35,000円）、Playgroundの2日間だけだったら参加費用は2,000台湾ドル（約7,000円）と、国際カンファレンスの相場からみると、かなり安い。
講演は英語か中国語で、中国語の時は英語の通訳の音声が付きます（Enterpriseはレシーバー、PlaygroundはメイントラックのみでStreaming配信）。多くの国がこの2か国語でカバーできるのと、地理的にも来やすいことから、韓国、香港、マレーシアなどからカンファレンスでの講演やCTFでおなじみの著名人が多く参加していたよ。
●事前の情報収集が大事
どれだけ成果を持って帰れるかは、どれだけ準備していくかにかかっている。Enterpriseは２トラック（２本同時）、Playgroundは３トラック（３本同時）のプログラムだったけど、どれを聞くかあらかじめ見当をつけておいた。もちろんその場になって変更は有りだけど、全容を把握していないと、期待した内容と違っていたり、隣の会場でどよめきが起きて隣へ移動するなんてできないからね。
それに毎年トレンドがあって、2年前はAPTやサイバー・テロといった話題が多かったけど、今年はAndroidやフォレンジックの話にシフトしてきている。旬なネタは人気があるので、早めに席を確保した方がいい。
●そして全力で楽しもう
会場のIRCでリアルタイムの呟きが掲載されていたので、面白い講演は後ろのドアからどんどん聴講者が入って増えていく。私も何度か荷物とノートPCを抱えて別会場へ移動しました。
講演が終われば挙手による質問の時間があるけど、それでも聴き足りない人達は前に押しかけて講演者を囲んで質問攻めにしていました。日本だと列に並んで名刺交換という風景が多いけど、こっちは熱い議論ですよ。
この議論を聴きたい人がさらに周囲を囲んで、講演以上に盛り上がっちゃう。スピーカーが英語だと、通訳を交えて中国語と英語がゴッチャになって飛び交っちゃう。聞いているだけじゃない、積極的に楽しむのが一番面白いのさ。
●英語が苦手でも大丈夫
参考までに筆者のTOEICの最高スコアは675、全然大したことはない。でもスライドを読むのと話を聞くのは何とかなる。英語が苦手でも質問したい、議論したいことがあれば、公開されているAGENDAをもとに聞きたい論点を整理して英語に訳しておくといい。パソコンの画面でも印刷した紙でもいい、こうしておけば発音がおかしくても、だいたい大丈夫だ。
後半では主に講演内容を紹介しますよ！
関連記事
![[レポート] 10周年、DEFCON CTF2位、CTF日本人チーム優勝など注目の台湾カンファレンス「HITCON X」 画像](/imgs/p/2w5IdCqve0mMIzS4K5kC-28IDAerBQQDAgEA/11147.jpg)
ソース・関連リンク
- HITCON
- ここが変だよ日本のセキュリティ 第1回「被害総額14億円という規模」
- ここが変だよ日本のセキュリティ第2回「中長期的に効果の高い対策」
- ここが変だよ日本のセキュリティ第3回「台湾HITCON突撃レポート前編」
- ここが変だよ日本のセキュリティ第4回「台湾HITCON突撃レポート後編」
- ここが変だよ日本のセキュリティ 第5回「2014年は脆弱性が豊作!セキュリティ担当者の憂鬱」
- ここが変だよ日本のセキュリティ第6回「2014年は脆弱性が豊作！報告書の書き方」
- ここが変だよ日本のセキュリティ第7回「会社が教えてくれないSNSの歩き方～いいね！ボタンの先に善意はない」
- ここが変だよ日本のセキュリティ第8回「会社が教えてくれないSNSの歩き方～自爆・炎上防止チェックリスト」
Scan PREMIUM 会員限定記事
もっと見る-
国際医療・教育・金融・保険・公共 ～ 産業別の個人情報漏えいリスク（The Register）
世界中で起こるデータ漏えいの4分の1以上が組織の「内部関係者」の椅子とキーボードの間（の人間）から生じたと知っても、組織の経営陣は驚かないだろう。もちろん、それはそのような内部関係者が怪しげなリンクをクリックしたということではない。
-
シリアの病院爆撃、遠隔医療支援時の英国人医師PCから情報窃取か（The Register）
戦争により疲弊するアレッポで、インターネット越しに手術を手引きしたイギリス人外科医が、仮設病院を狙うために自分のPCがハッキングされ、そして病院が爆撃されたのではないかと懸念している。
-
ロシアが世界に仕掛ける「ハイブリッド戦」の鍵となる自称民主主義とサイバー戦闘力
図1はロシアが展開しているハイブリッド戦争のおおまかな流れである。
-
Adobe Flash Player の Primetime SDK における Use-After-Free の脆弱性（Scan Tech Report）
Adobe Flash Player に含まれている SDK に、ポインタ制御の不備が報告されています。
-
投資家向けにセキュリティ対策状況を開示すべきか、悪用を恐れ開示しないべきか～英上場企業実態（The Register）
FTSE100（ロンドン証券取引所上場銘柄時価総額上位100）企業のうち、オンラインでのビジネス保護について実施する診断についての情報開示を行っているのはわずか5社である。
-
暗号を民主化した男～64歳現役ハッカー15の未来予測
RSA暗号を開発した1人 アディ・シャミア博士の、将来15年間に起こるであろう暗号とサイバーセキュリティに関する15の予測をレポートします。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
長期休暇における対策を紹介、偽セキュリティソフトなどの相談事例も（IPA）
マインクラフトユーザーを狙ったマルウェア問題への対策を実施(Mojang)
Oracleが複数製品のクリティカルパッチアップデートを公開（JPCERT/CC、IPA）
「不正アクセスで支払い方法を変更された」ソフトバンク騙るフィッシング（フィッシング対策協議会）
「Drupal」の脆弱性を狙うアクセスの増加を確認（警察庁）
ECサイト構築システム「EC-CUBE」に任意の操作を実行される脆弱性（JVN）
インシデント・事故 記事一覧へ
豊洲市場都民見学会の当選者宛のメール38名分を誤送信(東京都中央卸売市場)
メール誤送信で49名のメールアドレスが漏えい(下関市)
「はるか夢の址」アップロード者3名を逮捕、昨年逮捕された9名と共謀（ACCS）
メールアカウントを不正メール送信に利用された件で、再発防止策を発表（GSX）
消費者啓発員へ依頼通知の際、38件の個人情報記載の名簿を誤同封（堺市）
内視鏡手術画像データ他126名の個人情報含む外付HD紛失（相模野病院）
調査・レポート・白書 記事一覧へ
2017年のDDoS攻撃、ビットコイン投資家増の韓国が標的に（CDNetworks）
子どものスマートフォン利用、16.2％は何らかのトラブルに遭遇(東京都)
WebサーバやCMSの脆弱性を悪用する、送信元を秘匿した攻撃が一時的に増加（ラック）
2017年に盗難・漏えいしたデータ数は前年比89％増加の26億件（ジェムアルト）
Spring Frameworkにおける、リモートOSコマンド実行の脆弱性を検証（NTTデータ先端技術）
54％のWebアプリ、32％のホストにMedium以上の脆弱性--診断レポート（ラック）
研修・セミナー・カンファレンス 記事一覧へ
サイバーインテリジェンス入門～マキナレコード軍司氏講演
初心者向けハッキングハンズオン研修が盛況
エンドポイントへのサイバー攻撃を実体験するハンズオンセミナー開催、ジャパンネット銀行 CSIRT リーダー岩本氏 基調講演
トップとビリで売上3倍差！セキュリティへの取り組みが命運を分けた Hardening 2017 Fes
過去10回の総括、そして未来を見据える「Hardening 2017 Fes」
![[配信予告] 情報漏えい事故後の謝罪記者会見ワークショップを取材しました 画像](/imgs/std_m/22971.jpg)
![[配信予告] あの方に今年の Black Hat USA 2017 の見どころを聞きました 画像](/imgs/std_m/22623.jpg)
![[配信予告] 新連載「Heart of Darknet - インターネット闇の奥」開始のおしらせ 画像](/imgs/std_m/22570.jpg)
![[配信予告] 新連載「ペネトレーションテスターは見た！」開始のおしらせ 画像](/imgs/std_m/21969.jpg)
