Hardening II SU に参加してきた

はじめに

おひさしぶりの投稿です。id:unimarimo です。Hardening II SU に参加してきました。場所は北海道で行われました。沖縄から北海道に行くのと北海道にいったことがないことに不安を抱えながら行きました。

北海道1日目

北海道1日目はほぼ移動でした。昼の２時から飛行機に乗り５時過ぎくらいに北海道の新千歳空港に着きました。その後快速に揺られながら「沖縄と植物全然ちげぇし涼しぎわろた」などと言いながらテンションアゲアゲでした。そのあとAirbnbでとった宿をとっていたので荷物を置き各々のチームのミーティングに行きました。ミーティングでは主に前日に配られる資料を読み合わせしながらHardeningの当日のための対策を練りました。ちなみに、ここで１０時くらいに居酒屋に行ったのですが最高に北海道の食べ物うまかったです。カレイの丸揚げとか最高でした。

北海道2日目

北海道2日目はHardeningの当日です。まず一番目の課題は朝が早いとうことです。入場開始は8:30なので早起きチャレンジでしたが無事に起きました。そして会場について入場しました

そして会場ついてからはHardeningの実行委員会の方からの説明があって、１０時くらいに競技が開催されました。最初の１時間は競技環境に入ってパスワードの変更などを行い競技環境がどのようになっているのかを観察しました。２時間目からkuromame6からの攻撃が開始しました。パスワードの変更が終わらず一つのサーバは乗っ取られてしまいました。３時間目からは基本自分のチームでは攻撃をどのようにして防ぐかよりもサービスが停止しないことに努めました。

自分たちのチームは学生がほとんど締めるチームでした。なので、現役のエンジニアの方には到底及ばないということで集中してサービスを常に稼働させるということを第一に動きました。また、最初の１時間でのパスワード変更はかなり重要です。ここで、やっていないとではサービスの稼働に支障の対応が段違いであると思います。

私は、主にサービスの再スタートや実際にサイトが改ざんされていないのかなどの調査を行なっていました。ここで思うことは自分の技術力不足と自動化することを怠ったということだと思います。

なので次回にHardeningに参加することがあれば以下のようなことができればいいなと思います。

• パスワードの自動変更(主にシェルスクリプトやAnsible)
• XSSなどの脆弱性などの事前に書いていた脆弱性を防ぐこと(セキュリティの勉強)
• WordPressやEC-CUBEなどの脆弱性についての知識(学内で運営しているWordPressを参考にしたり、Dockerなどで環境を作って脆弱性を知ること)
• 幅広いレイヤー層を警戒すること(今回はIoT機器で電源を落とされることがあったから警戒すること)

ぐらいが思いつくものだと思います。これを次回のHardeningまでに埋めるのは難しいと思いますが、少しでも上記のものが埋めれて行けばいいかと思っています。

そして、今回一番重要に感じたものは「声出し」だと思います。IT系だとSlackだったりのチャットツールでやりとりしていくのかと思いますが、Hardeningは8時間連続で売り上げを伸ばしていく競技です。また、サービスなどが止まったりするなどのインシデントが常に発生している状態が続きます。つまり、声を出すことによってお互いがなにをしているかの確認も容易になります。また、Slackなどのチャットツールに書く時間も省くことができます。やはり、一人で行う競技ではなくチームで行う競技であるためコミュニケーションを大切にしていくことが重要であると思います。

次に、チーム以外の重要なこととしてはMPだと思います。MPはさまざまな攻撃ななどを防いでくれたりなどのチーム間だけではなく連合間でも役に立つことを共有していただけました。しかし、一つだけ注意するべきだとしてはMPのものを使うとクローラーがうまく回ってくれないということがあります。このようなことがあるとうまく売り上げが伸びないうことがあります。なので、MPを選択するのは自分たちのチームを見ながら選択を行なっていくものだと思います。

一旦ここで切り上げます。まだ書きたいことがありますので思い出しながら書き足していくと思います。

北海道3日目

3日目はSofteningです。簡単に言えば振り返り回と攻撃の解説、賞の授与式などを行われます。まずは、振り返り回です。これはHardeningの競技終了後に各チームでスライドを製作し発表を行い競技についてどうだったかを発表を行うものです。次に攻撃の解説です。攻撃の解説は全ての解説を行いません。重要な攻撃に対しての解説を行っていただけました。また、攻撃だと思っていたものは思い込みであることもあり実際には攻撃では自分たちの操作ミスではないのかとありました。これは、実際にすぐに攻撃だと思っていたので今後からも意識して覚えて起きたいです。 そして、興味深かったのはHardeningの環境についてのお話でした。 物理サーバ６２台、インスタンス410、一チームあたり20.3と聞きました。この環境を構築してからかつ実際の競技までに不具合が起こさないようにするのは大変な作業だと思いますし高い技術力をもっているからこそできたことなんだと思いました。本当にありがとうございます。

北海道4日目

ここからはただの観光の話です。朝に車を借りて観光を行いました。行ったところでは小樽に行きました。よくテレビとかに出てる運河があったので本当にあったんだ！と少し感動しました。それと、食べ物ですが美味しかったものはザンギとソフトクリームです。ザンギは唐揚げ？みたいなものですが最高に美味しかったです。また、ソフトクリームはチーズの味がして美味しかったです。夜は居酒屋にいったのですがここのザンギも美味しかったですし、締めの味噌ラーメンも最高に美味しかったです。

北海道5日目

最後の日は１０時の便で帰るので朝は空港について少しお土産を買って終了しました。

総括

今回はじめてHardeinigに参加しましたが本当に楽しかったです。。次回も開催されるのであれば応募したいと思います。

また、自分は人生において初めての北海道だったのですが過ごしやすくてご飯も美味しかったので個人的に旅行なども行きたいと思いました。拙いブログとなりましたがこれで終わろうと思います。見てくださったかたありがとうございました。