Hardening Project
から学ぶインシデント対応の勘所
株式会社インターネットイニシアティブ
セキュリティ情報統括室
WASForum Hardening Project
実行委員
根岸 征史 @MasafumiNegishi

お伝えしたいこと
Hardening Project ってなに?

Hardening Project から得られたものは?

2

自己紹介
IIJグループの CSIRTチーム所属 (IIJ-SECT, 2001年結成)
https://sect.iij.ad.jp/
SANS JAPAN 公式インストラクター (2007〜)
OWASP Japan アドバイザリーボード (2012〜)
WASForum Hardening Project 実行委員 (2012〜)
http://wasforum.jp/hardening-project/@ITで動画連載始めました!「セキュリティのアレ」← New!!

3

Hardening Project とは

4

Hardening Project

WASForum(通称ワスフォーラム：ウェブアプリケーショ
ンセキュリティフォーラム) は、セキュリティ・イベント「Hardening Project」を実施してきました。このイベントは、最高の「守る」技術を持つトップエンジニアを発掘・顕彰するものであり、技術競技(コンペティション)の形式で実施しています。
最初の2012年４月に開催された「Hardening Zero」、ひき続いて同年10月には、よりチャレンジ力の求められる形として発展した「Hardening One」を実施してきました。
2013年7月、さらなるアレンジを施した発展形として「Hardening One Remix」を開催。2014年はさらに進化をめざし、2014年6月、ついにHardening 10 APAC、「Hardening 10 Evolutions」として、競技とともに議論を深める技術交流の機会となりました。

Focus on prevention
techniques and process

Engineering awards andtalent discovery

Perspective forstakeholder communication

2015年度の活動により、さらに堅牢化技術の価値を最大化することを目指してまいります。
WASForum Hardening Project 実行委員会
実行委員長 門林 雄基
5Hardening Project の歴史
2012年 4月 Hardening Zero (東京)2012年10月 Hardening One (東京)2013年 7月 Hardening One Remix (東京)2014年 6月 Hardening 10 APAC (沖縄)
2014年11月 Hardening 10 Evolutions (沖縄)2015年 6月 Hardening 10 MarketPlace (沖縄)2015年11月 Hardening 10 ValueChain (沖縄)
6

Hardening 10 ValueChain
8:””
E10A

BCD

76E

F・”

”

””

競技 演習 訓練
CTF (攻防戦形式、クイズ形式など)
重要インフラ事業者 (13分野 18セプター) 分野横断的演習(NISC)
電力・ガス・ビル・化学分野のサイバーセキュリティ演習 (経済産業省)
実践的サイバー防御演習 CYDER (Cyber Defense
Exercise with Recurrence) (総務省)
情報危機管理コンテスト (白浜シンポジウム)8Hardening → Softening(1) Hardening Day: 実践の場
8時間耐久での堅牢化競技(2) Softening Day: 学びの場
健闘の振り返り、気づき、学びを深める(3) WASNight: 共有の場
発表することによる新たな気づき
得られた知見、経験を広める

9

MINI Hardening Project
過去の Hardening 参加者の中から有志が自主的に立ち上げた、初心者向けの競技イベント
東京、大阪でこれまでに 4回開催
http://minihardening.connpass.com/
https://twitter.com/minihardening

10Hardening Projectから得られたもの

11

H10VC
競技環境
192.168.3.0/24.1

10.2.xx.0/24

192.168.xx.0/24.101.254

DNAT

IP

8.254

.253

.254

.254
.254

.2

192.168.2.0/24

192.168.1.0/24.3.1.4.2.5.6.3.6.7

172.31.xx.0/24.1.4.5.2.3.4.8
8

IP 1 1 NAT.5

172.30.xx.0/24
ESSID Teamyya

512インシデントへの対応
売り上げの最大化

サービスの安定稼動
サイト堅牢化に必要な技術力

インシデント対応

臨機応変で的確な対応力

重要な情報/システムの保護
脆弱性の発見、修正
コミュニケー
ション力

外部サービスの活用

顧客/社外/社内への連絡
マネジメント力13

スコアボード14シナリオ(1) 標的型攻撃
マルウェア感染の疑いがあり、外部に対して不審な通信を行っている可能性あり、とのメールが第三者から届く

そもそもどこの窓口に連絡がくるのか

WHOIS

外部への不審な通信とは何か、どうやって検知したのか

C2サーバ、DNS

何が起こっているのかで、いったい何をすればよいのか
15さあ動け！
社内関係部署への連絡
マルウェア感染端末の特定、調査- Firewall, Proxy, DNS等のログの調査- メモリ、ディスク等の証拠保全、調査- マルウェア検体の保全、調査
感染原因の特定、調査
被害内容、影響範囲の特定
通信遮断、通信監視
社内への注意喚起
警察への被害届、外部への情報提供
外部へのアナウンス、顧客対応
16

視点と役割視点： 攻撃者、開発者、運用者、経営者、サービス提供者、インフラ事業者、…
(実際にその立場で関わるわけでなくても、その視点で物事がどう見えるか考える)

役割： リーダー、脆弱性対応、インフラ、アプリ、広報、…
(どのように連携して動くことが必要か)

17

その他のシナリオ例
実際のインシデント事例をもとに、緊迫感と臨場感のある実践的なシナリオを実施
DDoS攻撃による脅迫
広告からのマルウェア感染 (Malvertising)
Webアプリケーションの脆弱性による情報漏洩
ソフツトウェアの既知の脆弱性による Web改ざん
リスト型攻撃による不正ログイン

18どうする?
サイトをどう止めるか
問題点をどう見つけるか
顧客にどう伝えるか
社内にどう伝えるか情報をどう共有するか
19

準備がすべて！!
頭でわかっていても、いざインシデントが発生すると体が動かない負荷のかかった状況で冷静に的確な対応をするには何が必要か
あらかじめ起こりうる事を想定して、やるべき事、判断基準、優先順位、役割分担をしっかり決めておくこと
想像力 → それぞれの行動がもたらす結果、影響についてあらかじ
め考える
意思決定者はだれなのか20よくハマるポイント
視野狭窄に陥りがち堅牢化した結果、自分達にも影響業務に必要だから安易に止めちゃダメなサービス
競技環境として変更してはいけない設定変更
セキュリティサービスへの過信
攻撃者への責任転嫁「脆弱性のあるサイトで買い物なんかしたくない」

21

まとめ
Hardening Project に興味をもっていただけたでしょうか?
Hardening / MINI Hardening Projectにぜひ参加してみてください。お待ちしております！

22