ここが変だよ日本のセキュリティ 第3回「台湾HITCON突撃レポート 前編」
無償の啓発セミナーはこれからセキュリティ対策を整備しようというユーザー企業担当者には福音だけど、日ごろから高い問題意識でサイバー攻撃に立ち向かう最前線の人は、もっと新しくて深いネタに飢えている。
特集
特集
●海外カンファレンスの魅力
遠く海外まで行ってカンファレンスに参加する、日数も費用も掛かる。上司の説得も大変だ。帰ってからの報告書も面倒だ。それを押しても余りある魅力があるから、海外に行くのさ。
どうしても国内では、攻撃に悪用される恐れのあるグレーな話は避けられ、スポンサー企業や政府には配慮し、特定企業をネタにすることもしない。無償の啓発セミナーはこれからセキュリティ対策を整備しようというユーザー企業担当者には福音だけど、日ごろから高い問題意識でサイバー攻撃に立ち向かう最前線の人は、もっと新しくて深いネタに飢えている。
最先端の技術トピックや国内では未発表のネタ、国によって違う考え方を体感するには、やっぱ行くっきゃない。脆弱性なら見つけた人から直接聞きたいよね。まだ裏が完全に取れていないネタなんて最高のご馳走だ。
日本でも海外から第一人者を招いているカンファレンスとしてCodeBlue、PACSEC、AVTOKYOがある。そこで海外スピーカーの魅力に取りつかれたら、もうこちらから海外に出て行くしかない。今年のHITCONへの日本からの参加者は、筆者が把握している限りで20人を超えていましたよ。
●海外カンファレンス参加の注意事項
あらかじめ言っておくけど、上司は決して以下のようなことを部下に言ってはいけないよ。
「会社の費用で参加してきたんだ、向こうで学んだことが皆にわかるように報告書を書きなさい」とか、「会社に還元しなさい」とか。
何を学んだかは言えるけど、学んだことを参加していない人にわからせるのは、無理！無理！無理ゲー！ 絶対無理ゲー！
体験を他人に理解させるのは無理です。それができたら、その人は講演者を超えています。
これから書く内容からもわかるように、報告書よりも事前準備をしっかりやらせた方がいい。成果は、参加した人が成長したってことでいいじゃない！
●HITCONの人気がある理由
講演者には、過去のBlackHatスピーカー経験者も多い。つまり内容のレベルの高さはBlackHatに匹敵する。開催メンバーによるCTFチームは世界最高レベルのDEFCON CTFに初参加ながら、米国の強豪PPPに次いで2位になるなど、世界的にも躍進が注目されている。
そんなHITCONには、遠くアメリカまで行かなくても、たった3時間半のフライトで台北に着きます。シェラトン・ホテルで開催のEnterpriseが10,000台湾ドル（2014年9月1日為替レート3.48円で換算し約35,000円）、Playgroundの2日間だけだったら参加費用は2,000台湾ドル（約7,000円）と、国際カンファレンスの相場からみると、かなり安い。
講演は英語か中国語で、中国語の時は英語の通訳の音声が付きます（Enterpriseはレシーバー、PlaygroundはメイントラックのみでStreaming配信）。多くの国がこの2か国語でカバーできるのと、地理的にも来やすいことから、韓国、香港、マレーシアなどからカンファレンスでの講演やCTFでおなじみの著名人が多く参加していたよ。
●事前の情報収集が大事
どれだけ成果を持って帰れるかは、どれだけ準備していくかにかかっている。Enterpriseは２トラック（２本同時）、Playgroundは３トラック（３本同時）のプログラムだったけど、どれを聞くかあらかじめ見当をつけておいた。もちろんその場になって変更は有りだけど、全容を把握していないと、期待した内容と違っていたり、隣の会場でどよめきが起きて隣へ移動するなんてできないからね。
それに毎年トレンドがあって、2年前はAPTやサイバー・テロといった話題が多かったけど、今年はAndroidやフォレンジックの話にシフトしてきている。旬なネタは人気があるので、早めに席を確保した方がいい。
●そして全力で楽しもう
会場のIRCでリアルタイムの呟きが掲載されていたので、面白い講演は後ろのドアからどんどん聴講者が入って増えていく。私も何度か荷物とノートPCを抱えて別会場へ移動しました。
講演が終われば挙手による質問の時間があるけど、それでも聴き足りない人達は前に押しかけて講演者を囲んで質問攻めにしていました。日本だと列に並んで名刺交換という風景が多いけど、こっちは熱い議論ですよ。
この議論を聴きたい人がさらに周囲を囲んで、講演以上に盛り上がっちゃう。スピーカーが英語だと、通訳を交えて中国語と英語がゴッチャになって飛び交っちゃう。聞いているだけじゃない、積極的に楽しむのが一番面白いのさ。
●英語が苦手でも大丈夫
参考までに筆者のTOEICの最高スコアは675、全然大したことはない。でもスライドを読むのと話を聞くのは何とかなる。英語が苦手でも質問したい、議論したいことがあれば、公開されているAGENDAをもとに聞きたい論点を整理して英語に訳しておくといい。パソコンの画面でも印刷した紙でもいい、こうしておけば発音がおかしくても、だいたい大丈夫だ。
後半では主に講演内容を紹介しますよ！
ソース・関連リンク
- HITCON
- ここが変だよ日本のセキュリティ 第1回「被害総額14億円という規模」
- ここが変だよ日本のセキュリティ第2回「中長期的に効果の高い対策」
- ここが変だよ日本のセキュリティ第3回「台湾HITCON突撃レポート前編」
- ここが変だよ日本のセキュリティ第4回「台湾HITCON突撃レポート後編」
- ここが変だよ日本のセキュリティ 第5回「2014年は脆弱性が豊作!セキュリティ担当者の憂鬱」
- ここが変だよ日本のセキュリティ第6回「2014年は脆弱性が豊作！報告書の書き方」
- ここが変だよ日本のセキュリティ第7回「会社が教えてくれないSNSの歩き方～いいね！ボタンの先に善意はない」
- ここが変だよ日本のセキュリティ第8回「会社が教えてくれないSNSの歩き方～自爆・炎上防止チェックリスト」
関連記事
![[レポート] 10周年、DEFCON CTF2位、CTF日本人チーム優勝など注目の台湾カンファレンス「HITCON X」 画像](/imgs/p/2w5IdCqve0mMIzS4K5kC-28IDAerBQQDAgEA/11147.jpg)
Scan PREMIUM 会員限定記事
もっと見る-
研修・セミナー・カンファレンス楽天ウォレット CIO が語る暗号資産保護のポイント
暗号資産の流出事件の原因や、その対策ポイントについて、楽天ウォレット CIO 執行役員 佐々木康宏氏が「Security Days Fall 2021」で語った。
-
政府がセキュリティ事故当事者に課す報告期限の最短記録 インドで更新
インドの CERT-Inは国内の多くの IT企業に対して、ランサムウェア攻撃やソーシャルメディアアカウントの漏洩など、20 種類の情報セキリュティインシデントを検出後 6 時間以内に報告するよう義務付ける新たな規則の遵守を、喫緊の重大な課題として課した。
-
世界最大の歯科医師会もセキュリティは頭痛のタネ ～ ランサムウェアの脅威と Gmail の問い合わせ先
犯罪組織「Black Basta（ブラック バスタ）」は、米国歯科医師会にランサムウェアを感染させたと表明している。
-
強力な事故調査権限と影響力を持つ NTSB（米国家運輸安全委員会）のサイバー版を作る議論
サイバー攻撃の調査に国家が介入するより、民間企業や専門家が担当するほうが民主的であり何倍もマシであることは確かかもしれない。しかし、インシデントの調査委員は「第三者委員」と言われてはいるものの、当事者による人選で委託されるケースは多い。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
EC-CUBE 用プラグイン「簡単ブログ for EC-CUBE4」にクロスサイトリクエストフォージェリの脆弱性
サイボウズ Garoon に複数の脆弱性
マイクロソフトが5月のセキュリティ情報公開、Windows LSA のなりすましの脆弱性は悪用の事実を確認済み
Intel製品に複数の脆弱性
さくらインターネットを騙るフィッシングメールに注意喚起
Microsoft Windows においてコールバック関数による Window オブジェクトの型検証不備により権限昇格が可能となる脆弱性（Scan Tech Report）
インシデント・事故 記事一覧へ
国産パブリッククラウド「ニフクラ」に不正アクセス、公表されたロードバランサーの脆弱性を悪用
PayPayカードで指定信用情報機関への信用情報を誤登録、与信判断に影響
京都で不動産業を行う長栄のサーバに不正アクセス、現時点で顧客関連情報の流出は確認されず
「MACHATT ONLINE STORE」に不正アクセス、16,093名のカード情報が漏えい
二重チェックでも気付けず、会員専用サイト「レジナビ」内のメッセージに個人情報含むCSVファイル添付
アート専門EC「TRiCERA.NET」のFacebookアカウント連携で7名の顧客情報が閲覧可能に
調査・レポート・白書 記事一覧へ
産業化するランサムウェア ～ 被害インパクトは攻撃者のスキル高低と関係がない
OSSのセキュリティ確保事例、トヨタやソニー、デンソー、サイボウズ、ヤフー他
CrowdStrike 、Dockerを標的にしたクリプトマイニングオペレーション「LemonDuck」を解説
トレンドマイクロ「国内標的型攻撃分析レポート2022年版」公開、4つのグループの特徴を整理
97％の組織が「Kubernetes」のセキュリティに懸念、VMware調査
米国はじめ5ヶ国のサイバーセキュリティ当局、攻撃者が悪用する脆弱性トップ15を公表
研修・セミナー・カンファレンス 記事一覧へ
実践的サイバー防御演習「CYDER」の2022年度の申込み受付を開始
楽天ウォレット CIO が語る暗号資産保護のポイント
GMOサイバーセキュリティ byイエラエ、CODE BLUE 2022のトップスポンサーに
2022年度の「実践サイバー演習 RPCI」の受付開始
強力な事故調査権限と影響力を持つ NTSB（米国家運輸安全委員会）のサイバー版を作る議論
