SECCON 2015
特別編集版

SECCON 2015
特別編集版

T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

SECCON 2015 横浜大会レポート… …………………………………………………………… 3
SECCON 2015 広島大会レポート… …………………………………………………………… 9
SECCON 2015 福島大会 + 大阪大会 レポート………………………………………………… 12
SECCON 九州大会レポート……………………………………………………………………… 19
本文書は、HISYS Journal でこれまで掲載してきた SECCON 2015 地方大会のレポート記事を集め再編集したもです。初出記事の URL は各記事のタイトル部にあります。なお、本文書に記載されている「前号」「次号」や「本年」「来年」といった表記は、記事初出当時のものを指しています。

●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2016. All rights reserved.

2

SECCON 2015 横浜大会レポート
取材 + 文 = 斉藤健一
初出 HISYS Journal Vol.13

http://www.shield.ne.jp/ssrc/contents/doc/HISYSJournalVol.13.pdf

SECCON 2015 最初の地方大会は事前に課題を配布しゲームクラッキングが題材に !

大会当日はプレゼン対決

SECCON は情報セキュリティの分野でグローバ

セッションの冒頭、挨拶に立った竹迫実行委員

ルに活躍できる人材の発掘・育成を目標にした取長は、2015 年度の大会概要や 2014 年度の決勝戦

り組みで、2012 年より JNSA（日本ネットワークの模様などを紹介。引き続き今回の競技内容の説

セキュリティ協会）内で組織された実行委員会が明も行った。
競技は、架空の企業が自社で開発した Android

運営にあたっている。
本誌では、昨年度の SECCON 2014 に関して、

ゲームアプリのセキュリティ診断を各チームに依

日本各地で開催された地方大会や全国大会の模様

頼したという前提で行われる。診断を行った各をお届けしてきたが、本年度の大会もいよいよ本チームはアプリの問題点や対策案を報告書にまと格スタートとなった。

め、企業向けにプレゼンテーションを行う。

地方大会の第 1 弾となる横浜大会は、8 月 26

事前に 2 つの Android ゲームアプリが用意され、日・パシフィコ横浜においてゲーム開発者向けカ

参加者はダウンロードして調査を行う。調査に許ンファレンスである CEDEC の 1 セッションとしされた時間は 8 月 1 日～ 10 日までの 10 日間だ。

て開催された※1

竹迫氏によれば 120 チームのエントリーがあり、。

SECCON の地方大会では、それぞれにテーマを実際に報告書を提出したのが 15 チーム。審査員

据えた特色ある競技となっているが、今年の横浜の精査を通った 5 チームが会場でプレゼンテー

大会はゲームクラッキングを題材としたものとションを行う。

なった。かつてゲームクラッキングは「裏技」な審査員は、往年の名作「ゲームセンターあらし」

どとも呼ばれ、大目に見られていた時代もあった。

作者のすがやみつる氏、ネットエージェント会長

しかし、主流が Android などオープンプラットの杉浦隆幸氏、enish プロダクトディレクター岩

フォームのネットワークゲームへと移行し、さら崎啓眞氏が務める。

にアイテム課金なども当たり前となった現在にお優勝者には、SECCON 2015 全国大会出場の切

いては、企業の収益にも影響を与える脅威となり、符と、副賞として「ゲームセンターあらし」35 周

セキュリティの重要性に注目が集まっている。

年記念版の直筆サイン本が贈られる。

その証拠に、セッション開始前には参加者の長課題となるゲームアプリの概要

蛇の列ができ、120 名ほどが入れる会場はすぐさま満席、立ち見が出るほどの盛況ぶりで、中には竹迫実行委員長の挨拶に続き行われたのが、課入場制限で入れなかった参加者もいたという。

題アプリの 1 つを作成した愛甲健二氏（FFRI）によるアプリの概要などの解説だ。愛甲氏はゲーム※ 1 SECCON 2015 x CEDEC CHALLENGE ゲームクラッキング＆チートチャレンジ
http://cedec.cesa.or.jp/2015/session/ENG/10405.html

3漫画家 すがやみつる氏。かつて漫画執筆で忙しく、ゲームをプ

ゲーム業界で長年活躍している enish の岩崎啓眞氏は、どんなレイする時間がなかったことからチートをしたことがある、とチートが出てくるか楽しみにしたいと発言

経験談を語ってくれた

・SUNIDRA（スニドラ）
こちらは 3DCG のアクションゲーム。プレイ
ヤーはキャラクターを操作してフィールド上の敵を倒す。こちらも時間制限があるゲームで、ドラゴンを倒してクリアしたときの残り時間で順位を競う。キャラクターのヒットポイント（HP）や残り時間がゼロになるとゲームオーバーとなる。
ま た、 愛 甲 氏 は ゲ ー ム を 作 成 す る 際 に、
sandbag で は CodeGuard に よ る 難 読 化 を 行 い、
SUNIDRA では、AppFuscator による難読化に加え、通信の暗号化や apk ファイルの改ざん検知処理とチートが仕事（アプリの検査業務）だというネットエージェン

いったチート対策を行ったと述べた。

トの杉浦隆幸氏。プロの目から厳しく審査したいとコメント

参加者に配布されるものは、apk ファイル、ゲーを取り巻く環境の変化からセキュリティの重要性

ムの説明書（PDF）などで、得られる情報は一般が増していることに触れ、主催者側が用意したのプレイヤーと同じものだという。

ゲームを参加者にクラッキングやチートをしてもなお、ゲームが使用するエンジンやライブラリ

らい、その手法などを発表し共有することで社会の解析、およびゲームサーバーへの DoS 攻撃は禁の役に立てるのではないかと考えている、と述べ

止となっている。

た。
各チームの個性が際立ったプレゼン対決

主催者側が用意したアプリは以下の 2 つ。

プレゼンの持ち時間は 15 分間で、これに質疑

・sandbag（サンドバッグ）

応答の 5 分間が加わる。発表は事前のくじびきでサンドバッグにボールをぶつけて得点するという決まった順に行われた。

シンプルなゲーム。起動時にユーザー名を入力し、スタートボタンをタップする。10 秒間でのスコアを

なお、発表では多くのチームが同じ問題点を指競うゲームで、得点上位のユーザーはオンラインの摘しているので、紙幅の都合もありこの記事では、ランキングに表示される。また、やりこみ要素もあり、重複する問題点は初出のチームで言及し、続くチー

プレイ回数に応じてアイテムを獲得できる。

ムの発表では割愛させていただくこととした。
4しかしながら、各チームともにセキュリティ診断に異なるアプローチを採っており、興味深い点も多々あるので、可能なかぎり誌面に反映させている。
・vulscryptos（ヴァルスクリプトス）
社会人主体の Vuls と学生主体の scryptos による混成チーム。最初の発表者ということで、やや緊張した面持ちだった。発表順が遅ければ、発見した問題点やその対策について簡単な説明で済ますことも可能だろうが、トップバッターではそれができないため、発表の時間配分で苦労していたようだ。

根気強くリバースエンジニアリングを続けた vulscryptos

彼らは sandbag でいくつかの問題点を発見している。まずは、スコア登録時に UUID（ソフトウェ

デフォルトの 100 から 6 万 5535 へ変更するといっアが生成する端末固有の識別子）を出力しているた具合だ。

点。この情報は直接個人情報と結びつくわけでは

このチートを行うには、root 化した Android 端

ないとしながらも、出力してよい情報とそうでな

末にプロセスメモリエディターを導入する方法

い情報を精査する必要があると指摘した。

と、PC に Android エミュレーターと PC 用のプロ

次に挙げたのが、スコアサーバーとゲームアプ

セスメモリエディターを導入する方法があるが、リの通信が平文で行われているため、データを書

発表者は後者を選んだという。この環境でプレイ

き換えることで、任意のスコアが登録可能だといを続けると、HP の減少・回復がメモリ上のどのう問題。対策としては、HTTPS を使用するとしな箇所で行われているか変数を絞り込んでいくこと

がらも、HTTPS の環境でも盗聴する余地は残されが可能となる。

ており、対策としては万全ではないことから、スれても体力が減らない、一撃で敵を倒す、移動の

コアデータを暗号化して送信することも提案して速度を速くするなどのチートが紹介された。

いた。

発表ではデモも行われ、攻撃さ対策としてはメモリの書き換えが可能な環境の一方、SUNIDRA の方では 3 つの問題点を発見排除だ。root 化された端末やエミュレーター環境

している。1 つ目は、任意スコアデータが登録可

ではプレイできないようにすることを提案してい能であるという点。sandbag と同じ手順で任意のた。さらに、メモリ内の値をそのまま保持するのスコアデータが作成できないか、その可能性を探ではなく、ビット反転するなどの処理を加えるこるため、アプリをデコンパイルしてソースコード

とも提案。こうすれば、プレイ画面上の値と、メの調査を行った。

モリ内での値が一致しないため、変数の絞り込み

前述のとおり、SUNIDRA では難読化および通信が難しくなる。簡単な処理なので、アプリのメンの暗号化が行われているものの、解析者が根負け

テナンス性も損なわないのがメリットなのだそうするほどのレベルではなかったといい、C# で同じだ。

動作をするコードを作成し、任意のスコアをサーそして 3 つ目の問題はサーバー側でのデータ認バーに送信することができたそうだ。

証の不備。これは、スコアサーバー側で登録ユー対策はイタチごっこになるが、解析の手間を増

ザー名のデータをチェックしていないことに起因

やすようにすることが重要だと述べた。

している。本来、オンラインランキングに表示

2 つ目の問題は、メモリ書き換えによるチート

されるのは 10 位までだが、ユーザー名の欄に、が可能だという点。これはチートの中ではよく使HTML の改行コードとニセの 11 位以降のデータ

われる手法で、メモリを書き換えることで、ゲーを埋め込むことで、あたかも 11 位以降もランク

ムをカスタマイズするというもの。例えば HP をインしているかのような画面を表示させることが5

通信の書き換えで数々のチートを披露した Bono

技術力ではピカイチの urandomできる。

易に改変することができ、アイテムなどを不正に取得できる問題についても言及している。

仮にスコアサーバー上に何かしらの脆弱性があった場合に、悪用される恐れがあるため、クラ対策としては、端末内のデータは読まれる可能

イアントから送信されたデータをサーバー側でも性があるものとして考え、暗号化したり、ハッシュ

チェックする必要性があると指摘した。

化・デジタル署名を付与したりするなどして、改変を検出可能にしておく必要性を挙げた。

発表者のしゃろ氏は、かつてゲームのチートをたしなんだことがあるそうで（本人談）、どんな

一方、SUNIDRA の方でもいくつかの問題を指摘対策を講じられたら攻撃者が嫌がるのか、その気しているが。ここではそのうちの 1 つを取り上げ

持ちを理解した発表は興味深く感じられた。また、たい。サーバーから発行された暗号鍵が何回でも根気の入ったリバースエンジニアリングに対して使えるという問題で、データ送信時に内容が不正は審査員からも賞賛の声が上がっていた。

でないか検出する仕組みがないことから、同じス
コア、同じユーザーがランキングに大量に出現してしまうというものだった。

・Bono（ボノ）Bono は 1 人のチームで、発表者の本業はゲー

Bono の発表は、端末の root 化および HTTP プ

ム業界でもセキュリティ業界でもないといい、個ロキシを使ったチートでも多くのことが実行でき

人の時間を使ってこつこつと調査を進めたのだそることを示した。プレゼンテーション資料も図やうだ。

動画が使われ、審査員からもわかりやすいと好評を得た。

vulscryptos がリバースエンジニアリングを中心に解析を行ったのとは対照的に、Bono は通信の・urandom（ユーランダム）

内容を調査、HTTP プロキシなどを駆使して値を筑波大学の学生および OB で構成されるチーム。

書き換えることでチートを行った。
sandbag の 問 題 点 に つ い て は、vulscryptos とSECCON CTF において 2013 年度・2014 年度と連同様、スコアが容易に改変できることを指摘。加

続で全国大会出場を果たし、SECCON 2014 札幌大

えて、スコアの記載方法や内部での扱いにも問題会では DNS Spoofing Challenge の競技運営を任があり、プレイ中に獲得した点数、ゲーム終了時されるなど、技術力の高さには定評がある。

の点数、オンラインランキングに表示される点数

sandbag の 問 題 点 に つ い て は、vulscryptos、がそれぞれ異なることがあり、プレイヤーの混乱

Bono が指摘した平文での通信、設定ファイルがを招くとも指摘している。

平文 XML で保存されていることを挙げ、改ざん

また、ゲームアプリの設定ファイルが平文のが容易であることを指摘した。対策についても前

xml ファイルであり、root 化した端末などでは容2 チームとほぼ同様のものを提示していたが、他
6

発表のわかりやすさが印象的だった m1z0r3

ネットワーク診断に注力した TeamCにも正規ユーザーとチートとを区別するために、

MWS Cup 2014（マルウェア解析コンテスト）準

ゲームプレイ中の得点推移をサーバーに送信する優勝などの実績を持つ。
彼らの発表を聞いていると、発見した問題のことを提案していた。
一方、SUNIDRA の調査ではユニークなアプロー

数や対策の掘り下げといった技術面では前述の 3

チが採られた。ゲームの仕様でも触れたとおり、チームと比較して今一歩の部分もあったが、内容

このアプリでは改ざん検知処理も行われているのわかりやすさという面では群を抜いていた。

が、彼らはこれを無効化した上でゲーム上での体今回の競技は調査依頼があった企業に対して報力や制限時間といったパラメーターを改ざんでき告を行う形式となっている。依頼企業の出席者のるようパッチを当てたのだそうだ。この方法なら中には経営者など技術に詳しくない人が含まれる

root 化していない端末でのプレイでもチートが可

ケースも多く、一定の配慮も望まれるが、その意能になるという。

味では彼らの発表は合格点だった。

対策としては、サンドバッグの対策でも言及さ発表では、まずユーザー・開発者・経営者、それたゲームプレイ中の得点推移などをサーバー

れぞれの視点から見たセキュリティの重要性を説に送信することや難読化の強化、さらに解析されき、問題の深刻度に関する説明も丁寧に行っていることを前提とし、“HP”（ヒットポイント）やた。また、対策においても技術面だけでなく、開“timeRemaining”（残り時間）など、推測しやす

発コストやユーザビリティといった他の要素も加い変数名を使わないといったものを挙げた。

味した案を提示しており、審査員からも高い評価を得ていた。

対策の基本的な考えは、チートによる利益よりもチートの手間を大きくするというものだが、彼・TeamC（チーム・シー）

らの発表では、特定の命令パターンを入れるとデコンパイルできないようにするものなど、一般に社会人 CTF チーム GanbareTigersJr のメンバー

はあまり知られていないものも含まれていた。

であるカプコンの松本純氏による 1 人チーム。診発表を聞くと技術力の高さを伺い知ることがで

断は sandbag のみに留まっているが、他のチーム

きるが、必然的にその内容は解析に関するものがとは異なる手法を使っている。前述の 4 チームが中心となり、聴衆へのわかりやすさという点では行った通信の改ざんに加え、スコアサーバーに対やや配慮が足りない印象を受けた。

してセキュリティ診断を行ったという。その結果、
SQL インジェクションの脆弱性があることを唯一発見し、会場のどよめきを誘っていた。

・m1z0r3（みぞれ）早稲田大学情報セキュリティ研究室有志によまた発表の後半では、ペネトレーションテス

る チ ー ム で、 過 去 に は SECCON 全 国 大 会 出 場、トに特化したディストリビューションである Kali7

プレゼン対決の結果優勝した urandom チーム

Linux をはじめとする各種セキュリティツールの対処する「技術力」に加え、内容のわかりやすさ

紹介なども行われた。

を示す「表現力」や他チームにないオリジナリティ

ゲームクラッキングという競技の趣旨からは外の「一芸力」を加味して行われた。その結果は写れた内容ともいえるが、会場にいるゲーム開発者

真のとおり。技術力や一芸力の高さを活かしたがセキュリティに対して興味を持つきっかけとし

urandom が見事に優勝を果たし、全国大会への切ては、十分に役立つものだったと思われる。

符を手に入れた。
なお、出題されたファイルやそれぞれのアプリのソースコードは公開されているので、興味のある方

勝敗の行方はは、ぜひともチャレンジしていただきたい。※ 2

プレゼン対決の審査は、アプリの問題を発見・※ 2 問題ファイル一式

http://1drv.ms/1OT4ZLd

sandbag ソースコード

https://github.com/SECCON-CEDEC/SUNIDRA ソースコード（公開予定） https://github.com/kenjiaiko/8

SECCON 2015 広島大会レポート
取材 + 文 = 斉藤健一
初出 HISYS Journal Vol.15

http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201511.pdf

ディレクトリには Flag.txt が置かれている。また、各サーバープログラムには脆弱性があり、それぞ

SECCON 2015 地方大会第 2 弾が開催

れの実行ファイルもダウンロードできるように
SECCON ※ と は 情 報 セ キ ュ リ テ ィ の 分 野 で グなっている。

ローバルに活躍できる人材の発掘・育成を目標に参加者は、実行ファイルを逆アセンブルなどしした取り組みだ 。JNSA（日本ネットワークセキュてサーバープログラムの脆弱性を見つけ出し、そリティ協会）内に組織された実行委員会が 2012

れを利用して Flag.txt の内容を表示する Exploit

年から運営に当たっている。2015 年度においても、

コードを作成し、それぞれのサーバーに送信する。

6 月に開催された横浜大会を皮切りに本格的にス

そして、表示された Flag.txt の内容をスコアサー

タートした。

バーに登録すれば得点となり、競技終了時点で得点のもっとも多い参加者が優勝となる。競技時間

地方予選第 2 弾となる SECCON 2015 広島大会

は 3 時間だ。

は、10 月 24 日、広島市立大学サテライトキャン
パスで開催された。SECCON では地方大会ごとに競技サーバーにはアーキテクチャーごとに難易テーマを据えた特色ある競技を行っているが、今度が異なる 2 つの問題（1 問につき 100 点）のほ

回の広島大会では「熱血シェルコード」と銘を打か、「CTF とは何の略 ?」といったトリビア問題（1ち、さまざまなアーキテクチャーに対して Exploit

問につき 10 点）も用意されていた。

を実行する競技となった。ここでいうシェルコー
攻略のポイントドとは、シェルを起動することを目的としたアセ
ンブリのプログラムを指している。

今回の競技で取り上げられたアーキテクチャー

当日、会場に集まった参加者は 34 名。大会冒は以下のとおり。

頭に行われた参加者の自己紹介を聞くと、学生が3 ～ 4 割、社会人が 6 ～ 7 割という構成だったように思われる。社会人には職業プログラマーや業

・ARM

・H8

・MIPS

務でセキュリティに携わっている人、中にはマル・PowerPC

・SH

・CRIS

ウェア解析をテーマにセキュリティカンファレン

・FR-V

・M32R

・M-COREスで講演を行った人なども含まれ、他の大会と比・MN-10300

・SH64

・V850

較して参加者のスキルは高いように感じられた。

・Thumb・MIPS16

・Blackfin

・CR16

・M32C

・RX

競技のルール
代表的なアーキテクチャーである x86 は含まれ競技サーバー上ではさまざまなアーキテクていない。正直なところ、筆者は名前を知っていチャー（詳細は後述）の仮想サーバープログラム

るアーキテクチャーの方が少なかった。おそらくが稼働しており、それぞれのサーバーのカレント

多くの参加者も馴染みのないものが多かったはず※ SECCON 2015

http://2015.seccon.jp/

9SECCON 2015 広島大会の会場となった広島市立大学サテライトキャンパスの様子

デモも行われた。配布物の中に V850 の Exploit コーだ。
競技前には岩村誠氏（NTT）と問題を作成した

ドのサンプルが含まれており、デモもこのサンプ

坂井弘亮氏（富士通）によるオリエンテーション

ルが使われた。つまり、V850 はサービス問題で、が行われた。岩井氏は、Flag.txt の内容を読み取

参加者はこのコードをビルドしてサーバーに送信るためにはシステムコールの発行が必要だと説明すれば得点を得られるというわけだ。

し、今回の競技で問われる知識として、システム
苦戦する参加者と勝敗の行方

コールの呼び出し方、システムコールへの引数の渡し方と戻り値の取得方法、文字列の取得方法、競技開始後、参加者によってトリビア問題と空きバッファを確保する方法を挙げた。
競技サーバーのプログラムは GDB シミュレー

サービス問題が次々に解かれ、会場のスクリーン

ター上で動いており、システムコールの発行方法に表示されるスコアボードの動きも活発だった。

を調べるのに GDB シミュレーターのソースコー

しかし、次第にその動きも鈍くなり、しばらくすドを見るように勧めていた。岩村氏は他の攻略ポ

るとこう着状態となってしまった。

イントとして、競技参加者に配布されているクロ接したことのないアーキテクチャーのプログラ

スコンパイル環境についても言及した。この環境

ムの脆弱性を探し、その Exploit コードを書くとは坂井氏が問題作成にも使用したものだ。この中いうことがどれだけハードルの高いことなのか、にはシステムコールを発行しているサンプルプロ

参加者は実感していたに違いない。
しかし、時間が経つと、断続的ではあるがサーグラムも含まれており、こちらも参考にできるとビス問題である V850 以外のアーキテクチャーでいう。
一方、坂井氏によるオリエンテーションでは得点する参加者が現れた。nubia 氏と el 氏の 2 名V850 というアーキテクチャーを例に、サンプルだ。実際のところ、今回の競技には 34 名が参加プログラムの C 言語のソースコードと出力されしたが、トリビアや V850 以外の問題を解いたのたアセンブリのコードを対比させながら、シェルはこの 2 名だけであった。

コードを書くためのポイントを紹介した。坂井氏

競技中は終始 nubia 氏がリードを保ち、終了時によれば、1 つのアーキテクチャーが解析できれには 1220 点を獲得、2 位の el 氏に 400 点の差をば、他のアーキテクチャーの特徴も推測できるよ

付けて見事に優勝を果たした。nubia 氏には来年うになるという。

1 月末に開催予定の SECCON 決勝大会への出場権が与えられた。また副賞として坂井氏の著書「ハまた、オリエンテーションでは、Exploit 実行の10

会場スクリーンに映し出されるスコア。それぞれの円が参加者

見事優勝を果たし賞状と副賞の書籍を手にした nubia 氏を表している

キテクチャーも家電や自動車といった身近なもの

ロー “Hello, World”」のサイン本も贈られた。
競技終了後、nubia 氏に話を聞いたところ、プに搭載され、その制御に使われているという。そログラムの解析を進めるうちに、冒頭のオリエン

こで、来るべき IoT 時代に備えて、こういったアー

テーションで坂井氏が述べた各アーキテクチャー

キテクチャーのセキュリティにも目を向けてもらの特徴が推測できるようになった、と勝因を語っう機会を作りたかった、と競技の意図について話てくれた。

してくれた。
また、Exploit というと多くの人がブラックボッ

さまざまなアーキテクチャーをクス化しているように考えがちだが、初見のアー取り上げた理由

キテクチャーであっても、調べることで Exploitが可能であることも知ってほしかった、と竹迫氏はつけ加えている。

SECCON 実行委員長である竹迫良範氏（リクルートマーケティングパートナーズ）に、今回の大会について話を伺った。競技で扱うアーキテク

SECCON 地方大会は引き続き福島や大阪で開催

チャーがマニアックすぎるのではないかという質されているが、本誌でも次号でその模様をレポー

問を投げてみたのだが、竹迫氏によると、どのアートする予定だ。

●参考 URLSECCON 2015 広島大会の問題は坂井氏が自身の Web サイトで公開している

11

http://kozos.jp/seccon/

SECCON 2015
福島大会 + 大阪大会レポート

取材 + 文 = 斉藤健一

初出 HISYS Journal Vol.16

http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201512.pdf

サイバー甲子園と銘打たれた福島大会
ルールを守ってハッキングに勤しむ

18 歳以下の学生だけが参加できる CTF
本年 8 月にスタートした SECCON 2015 地方大サイバー甲子園には 15 歳～ 18 歳の学生 20 名会。これまでに開催された横浜大会と広島大会のが集まった。1 チーム 2 名の構成で計 10 チーム

模様は、それぞれ本誌 Vol.13 ※ 1 と Vol.15 ※ 2 でとなる。内訳は高校生チームが 4、高専生チーム

紹介してきた。今回も福島大会と大阪大会のレが 4、高校生と高専生の混成チームが 2 となってポートをお届けする。

いた。学校は東北・関東・関西・九州・沖縄と幅SECCON ※ 3 の説明はもはや不要とも思われる広い。なお、参加者には主催者より交通費の補助が支給される。

が、簡単に紹介すると、情報セキュリティの分野
でグローバルに活躍できる人材の発掘・育成を目

開会の挨拶に立った警察庁情報通信局情報技術標にした取り組みで、2012 年より JNSA（日本ネッ

解析課、課長補佐の大塚氏は、日本年金機構のトワークセキュリティ協会）内に組織された実行情報漏えいやインターネットバンキングを狙う事

委員会が運営に当たっている。

案などが発生している現状に触れたうえで「サイ地方大会第 3 弾となる福島大会は、11 月 7 日、

バー犯罪についても殺人や強盗事件などと同様、会 津 大 学 先 端 ICT ラ ボ LICTiA に て 開 催 さ れ た。

被疑者を追跡・逮捕するべく賢明に努力している」

SECCON では地方大会ごとに特色ある競技を行っと警察の取り組みについて語った。また、セキュているが、今回の福島大会は「サイバー甲子園」

リティ人材育成については、警察だけに限らず関と銘打ち、参加者を 18 歳以下の学生に限定した係各所と協力し政府をあげて進めているとし、「特大会となった。

に今回の大会に出場している若い世代の人たちのレベルを引き上げる SECCON のような大会は非常余談だが、大会会場の会津大学では同日に、「パに重要だ」と述べた。

ソコン甲子園」というイベントも開催されていた※ 4。こちらは高校生や高専生がプログラミング

また、競技開始前にはオリエンテーションが行能力などを競う大会で、2003 年から開催されてわれたが、参加者全員がティーンエイジャーといいる。主催は会津大学や福島県など。SECCON 実

うことを考慮して、情報倫理の簡単な講義も含ま

行委員長の竹迫氏によれば、この 2 つのイベントれていた。その内容は不正アクセス禁止法が定めはそれぞれ独自に運営を行っているが、双方の関る不正行為の解説や、仮に脆弱性らしき事象を発係者が互いに見学するなどの交流があるという。

見した時でも、自ら深追いはせず、IPA セキュリ
ティセンターへの相談を促すといったものだ。講※ 1 HISYS Journal Vol.13 http://www.shield.ne.jp/ssrc/contents/doc/HISYSJournalVol.13.pdf※ 2 HISYS Journal Vol.15 http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201511.pdf※ 3 SECCON 2015
※ 4 パソコン甲子園

http://2015.seccon.jp/
http://web-ext.u-aizu.ac.jp/pc-concours/

12

サイバー甲子園の会場となった会津大学先端 ICT ラボ LICTiA の様子師を務めた佳山実行委員は「仮に善意から脆弱性

binary 以下のジャンルでは難易度に応じて 100を指摘したとしても、指摘を受けた組織は攻撃さ～ 300 点の問題があり、合計で 19 問が用意された。

れたと思ってしまうこともある」と述べ、自分の問題のレベルは他の地方大会と同等だという。会身を危険に晒さないためにもルールを守ってほし

場には各チームの得点状況をリアルタイムで表示

いと強調していた。

するディスプレイの他、パトランプも設置されており、どこかのチームが得点するとランプが灯り、機械音が鳴る仕組みとなっていた。

競技のルール

勝敗の行方

サイバー甲子園はクイズ（ジェパディ）形式のCTF となる。参加者は競技ネットワークに接続してさまざまな問題にチャレンジし、解答（フラグ）

競技開始直後から各チームの動きは活発で、会をスコアサーバーに登録して得点を獲得する。競場は鳴り止まない機械音に包まれた。序盤から技は 13 時から 16 時 30 分までの 3 時間半。終了

快調に得点を重ねてトップに立ったのは、渋谷

時点で最も得点の高いチームが優勝となる。なお、

教育学園渋谷校と東京高専の混成チームである

3 位までに入賞したチームは、2016 年 1 月に開催

scryptos だ。それを追うのが奈良高専生チームのされる SECCON 2015 決勝大会（インターカレッ

insecure と、宮城県立工業高校と奈良高専の混成ジ）への出場権を獲得できる。

チームである omakase だ。ちなみに omakase は当日会場で結成された即席チームなのだそうだ。

出題のジャンルは以下のとおり。

話は少しそれるが、CTF では参加者に集中力が求められる。運営側は妨害コンテンツと称して大・		 sample：競技ネットワークへの接続やフラグ登録のテストを行う問題

きなスクリーンにオモシロ動画を流したり、大音・		 binary：バイナリ解析

量で音楽をかけたりして参加者の集中を削ごうと・		 crypto：暗号する。これも競技の一環なのだそうだ。今回のサ・		 network：パケット解析

イバー甲子園では、競技中に運営側から各チーム

・		 programming：プログラム作成

へインタビューが行われたが、これが妨害コンテ・		 web：Web の解析

ンツにあたる。
各チームには事前にアンケートが配布されてお・		 unknown：上記ジャンルに属さない問題

り、メンバーの得意科目・特技・将来の夢などを
13

会場のディスプレイに表示されるスコアの状況

見事優勝を果たした scryptos

記入する。インタビューではこれらの項目を掘りたが、そのまま終了の時間を迎えることとなった。

下げていくのだが、まじめに回答するチームもあscryptos は全 19 問のうち 18 問を解くという優秀

れば、ふざけた回答をするチームもあり、運営側

な成績を修めた。
優勝のインタビューでは、解けなかった 1 問がの軽妙なツッコミとあいまって笑いを誘う場面も得意分野のバイナリだったので残念だと悔しさを多かった。
最も印象的だったのが、参加者で唯一の女性

語っていた。前述のとおり、優勝した scryptos、チームである浦和明の星女子高の bijo だ。チーム

2 位 の insecure、3 位 の omakase は、SECCON

名の由来について聞かれた彼女らは「バイナリで2015 決勝大会（インターカレッジ）へと駒を進きない女子」と答えて会場を沸かせていた。

めることとなった。

話を元に戻そう。競技では scryptos がトップに

今回の福島大会は、甲子園の名に違わず学生た

立ち、それを insecure と omakase が追う展開に

ちのひたむきさが感じられる大会だったと言える

大きな変化はなかった。点差が縮まる場面もあっだろう。決勝大会にも期待したい。

ボードゲームでインシデント対応のスキルを競う大阪大会もいたが、参加者の多くにとってインシデント対応における意思決定という作業は初体験だったにコンピューターを使わない異色の予選

違いない。
SECCON 大阪大会が開催されたのは福島大会の1 チームは 4 名で構成され、ゲームでは各メン翌日となる 11 月 8 日。会場はグランフロント大

バーが CIO（最高情報責任者）、CFO（最高財務責

阪 慶應大学大阪シティキャンパス。「CSIRT 演習」

任者）、CSIRT 担当者、広報担当者に扮する。参加と題された今大会は、インシデント対応における者は現実世界での自分とは異なる立場からインシ意思決定の過程をボードゲームで体験し、その内デント対応に関わることとなり、ゲームを通じて容をプレゼンで発表するというもので、SECCON

新たな視点や気づきなど何かしらのフィードバッ

史上初のコンピューターを使わない大会となっクを得ることができる。そして、これこそが運営た。

側の狙いの 1 つであり、大会名に「演習」をつけ加えた理由でもある。

他の地方大会と同様、今大会の優勝チームには2016 年 1 月に開催される SECCON 2015 決勝大会

ボードゲームの概要への出場権が与えられる。会場には日本各地から、社会人を中心に 15 チーム・60 名が集まった。決勝大会への切符を手にする目的で参加したチーム

今回の競技は、Web 通販会社の大手である A

も多く、中には業務として CSIRT に携わる人たち

社を舞台としたインシデント対応というシナリオ
14

「 自 社 Twitter ア カ ウ ン ト に Anonymous か ら 脅
迫 !」（青）「CIO が休暇！」（青）「CSIRT 担当者が休暇 !」（青）「ユーザーから不正購入があったと連絡 !」（赤）「自社を騙るスパムメールが大拡散」（赤）「自社サービスが応答不能 !」（赤）「ファイルサーバーのファイルが開けない !」（赤）「大手新聞で自社インシデントが掲載」（赤）ボードゲームの様子「自社のインシデント情報が拡散 !」（赤）に基づいて行われる。A 社はインターネット黎明

一方、アクションカードは以下のものなどがあ期より事業を開始し、現在でも大きな売り上げがる。アクションによっては費用がかかり、資産ポ

あるものの、セキュリティは置き去りになっておイントがマイナスになるものも含まれている。

り、脅威対策製品の導入も進んでいないという設定なのだそうだ。

「パスワードを変更する」

このゲームではボード上に「イベントカード」 「公的機関・外部機関に連絡する」と「アクションカード」という 2 種類のカードが「関係者に詳細をヒアリングする」

配置される。イベントカードは伏せられた状態で「対象機器を調査する」

置かれ、アクションカードは内容が表示された状「社員教育を行う」

態で並べられている。

「バックアップから正常なファイルを復旧する」

また、ボードの左下には「資産ポイント」と「ブ「外から内への特定の通信を停止・遮断する」

ランドポイント」も配置されている。資産ポイン「社外向けサービスを停止する」

トとは被害に遭ったときの損害や対策にかかる費「セキュリティエキスパートを呼ぶ」

用のことであり、ブランドポイントは被害に遭「脆弱性にパッチを当てる」

うことによって低下する企業イメージを表してい「自社の公式見解を出す」

る。
イベントカードの例は以下のようになる。それ

ゲームはイベントカードを 3 枚引くところからぞれのカードにはイベントが発生したときに失う

スタートするが、公正を期すためにあらかじめ運

資産ポイントとブランドポイントが明記されてお営側によってシャッフルされたカードセットが配り、ポイントへの影響がない軽微なものは「青」。

布されている。このため、出てくるイベントカー

失うポイントが大きい深刻なイベントは「赤」とドの種類はチームによって異なる。青いカードだ

なっている。

けで済むこともあれば、赤いカードが同時に出て大きなダメージを被る場合もある。
各チームはこういった状況で、どのような対応「アドウェアを検知 !」（青）「着信したメールからウイルスを検知」（青）をするか協議して、使用するアクションカード 2「自社サイトに脆弱性報告」（青）枚を決定する。例えば、インシデント対応をより「管理ツールへの不正ログインを検知」（青）確実なものにするために「社外向けサービスを停「社員からマクロ付きファイルを開いたと連絡 !」止する」といったアクションカードを選択するこ（青）ともできるが、Web 通販企業である A 社にとっ「取締役のメールアドレスリストを紛失」（青）ては営業損失を招き、死活問題にもなりかねない。

「外部から自社サイトが改ざんされたと連絡 !」技術的な視点の他、経営的な判断も求められる場

（青）

面だ。
15

大阪大会の会場となったグランフロント大阪 慶應大学大阪シティキャンパスの様子

対応するイベントを選んでいくこととなる。

ゲームは 1 ラウンドにつき 40 分間で、これを3 ラウンド繰り返すが、それぞれのラウンドには

勝敗はプレゼンで決まる !

時系列的なつながりがある。また、アクションカー
ドはラウンドが終了するたびにリセットされ、新しいラウンドが開始される時にはすべてのカード

前述のようにチームごとに出てくるイベントが再度使えるようになっている。なお、プレイのカードは異なるため、ボードゲームのポイントだ

過程で資産ポイントもしくはブランドポイントがけでは運に左右されて優劣を決めることはできな

ゼロになってしまうと、その時点でゲームオーい。勝敗はゲーム終了後に作成されるプレゼンのバーとなる。

審査によって決定する。審査の基準は、インシデントの分析能力、アクションの妥当性、説明のわ

各ラウンドの終了時には、出たイベントカード

かりやすさなどだ。

の種類と選んだアクションカードを運営側に伝えることとなっている。同時に各チームは、出たイ

ただし時間の制約上、参加 15 チームの全てがベントカードをどのように分析し背後にどのようプレゼンを行うわけではなく、提出したアクショな脅威があると想定したのか、そしてどのようなン決定シートやプレゼン資料を元に予備審査が行理由からアクションカードを選んだのか、広報担

われ、上位 5 チームだけが会場でプレゼンを行う

当者が書記となり「アクション決定シート」と呼こととなっている。

ばれる書類に記入しておく。このアクション決定
インシデント対応を楽しむ参加者

シートは、ボードゲーム終了時に運営側に提出するとともにプレゼン作成のための資料となる。
これまでの説明を読むと、赤のイベントカード

現実世界のインシデント対応は、深刻だったが出ずに青ばかりが出てくるチームの方が有利だ

り、緊急を要するものだったりと、負のイメージと感じるかも知れない。しかし、発生するイベンがつきまとうものだが、ゲームとなれば話は別だ。

トが軽微なものばかりだと、インシデントを分析

競技が開始されると参加者はみな活発に議論を始する材料が乏しくなり、イベントの背後にある脅

め、会場全体が賑やかとなった。3 ラウンドを通威が見えにくくなってしまう。一方で、赤いカー

して多数の赤いカードが出るチームもあれば、赤ドが同時に出てしまい、2 枚のアクションカード

いカードが全く出ずに逆に頭を抱えるチームなど

では対応しきれない状況となる可能性もあるが、状況はそれぞれだ。また、インシデント対応を進

この場合もチーム内で協議を行い、より優先的にめる中で生じた疑問はゲームマスター（実行委員）
16

に質問できる。
勝敗の行方は ?

どのチームもゲームを楽しんでいる様子で、おそらく 1 ラウンド 40 分間という時間が短く感じ

5 チーム分のプレゼンの紹介は紙幅の都合もあられたに違いない。
ボードゲームが終了すると、各チームはアクり割愛させていただく。ここでは、入賞した 3 チーション決定シートおよびプレゼン資料を作成すムについて、順位とあわせて筆者の個人的な感想る。与えられた時間は 30 分間。その後、運営側を書かせていただく。

による予備審査が行われたが、審査をパスした 5組のチームは以下のとおりだ。

・第 1 位「NW」

・indo8メンバーも含まれる強豪だ。ゲーム中で出てきた・NW

イベントカードの内容から「自社の Web サイト

・binjaが改ざん、マルウェアが設置され、水飲み場攻撃

・Bremenに利用される」というシナリオが浮かび上がって・Ganbare Tigers Jr.

くる。

このチームは業務として CSIRT に携わっている

NW は、ゲーム序盤に出てきたイベントカード
これはチームの番号順による並びで、プレゼンの端的な事象から、的確にこの脅威を推測した。

もこの順番で行われる。各チームの持ち時間はプ

また、ポイントの減少を最小限に留めるアクショ

レゼンが 5 分間、質疑応答が 5 分間、あわせてンを決定するなど、適切な対応をしているように

10 分間となっている。

思われた。また、プレゼン資料の質も高く、短時間で作成したとは思えない出来栄えで、優勝もうなずける。

運営側はどんな脅威を想定していたのか ?

・第 2 位「binja」

出てくるカードの違いによって各チームが経験したイベントが異なるため、話の順序は入れ替わ

記事中で青いカードしか出てこないチームは不るが、先に運営側が想定していた脅威について紹利と記したが、まさしく binja がこの状態だった。

介しておこう。

イベントカードから得られるヒントは他のチーム

インシデントは社内の OA 環境に起因するものに比べて少なかったが、運営側が想定した「Webと社外的なものの 2 つに大別できる。前者には「暗サイト改ざんとマルウェア設置による水飲み場攻号化型ランサムウェアの感染」や「外部からの通撃」を当てたことは称賛に値する。
また、アクション方針の立て方も見事で、事実報によって発覚した内部情報の漏えい」、「標的型確認（報告者は信用できるのか ?）や、CSIRT 担攻撃のバックドアの感染」などだ。
一方、後者は「自社を騙るスパムメールの拡散」

当者不在時の対応など、細かな点にいたるまで配「自社 Web サイトの改ざんおよびマルウェアの設慮が行き届いている印象だった。優勝した NW と置」「DDoS 攻撃による自社 Web サイトのダウン」の違いを挙げるとすれば、技術的な解決に注力し、などで、どの脅威も現実世界で話題になっている

資産やブランドイメージへの配慮がやや足りなものばかりだ。

かったところだろうか。

また、セキュリティを取り巻く昨今の状況にお・第 3 位「Bremen」

いては、「メディアによる報道」や「SNS での自赤いイベントカードが多く出て苦戦した様子

社へのネガティブ発言の拡散」なども対策すべきだったが、このチームも「Web サイト改ざんとマ

重要な課題だとしている。

ルウェア設置による水飲み場攻撃」を推測した。
ただし、事象の分析やインシデント対応の方針
17

については、上位 2 チームと比べてしまうと、掘り下げ方がやや足りない印象だった。
また、プレゼン冒頭をお詫びの記者会見風に演出したことで時間を取ってしまい、プレゼン自体
が途中で時間切れになってしまったのは残念だった。
優勝チーム「NW」へのインタビュー
見事優勝を果たした「NW」チームに話を伺った。
実際に CSIRT に携わっている人がこのボードゲー

見事優勝を果たした NW

ムをプレイしてどのような印象を持ったのだろう

るブレインストーミングの道具として、新入社員

か。

などがプレイするのがよいだろうと語ってくれた。

NW によると、ゲームでは CIO・CFO・CSIRT・広報と役割が決められていたが、議論が進むにつ

今回の大会はコンピューターを使わない異色なれて、本業の CSIRT メンバーの立場として意見をものだったが、それでもセキュリティについて多述べてしまったと感想を語ってくれた。
また、このゲームがインシデント対応を学ぶにくのことを学べる機会だったように思われる。こあたって役に立つかという質問に対しては、リスのボードゲームが SECCON だけに限らず、より多クマネージメントの考え方がうまく取り入れられくの人たちにプレイされるようになることを願いていると回答。同時にセキュリティについて考え

たい。

18

SECCON 九州大会レポート
取材 + 文 = 斉藤健一
初出 HISYS Journal Vol.17

http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201601.pdf

競技用に作成されたダミーの個人情報が格納されており、さまざまな攻撃手法を用いてこの情報を学生を対象にした攻防戦形式の CTF

奪取することが目的となる。Game サービスでは
昨年 8 月にスタートした SECCON 2015 地方大プレイに必要なライセンスキーの奪取が目的。一会。本誌ではこれまで日本各地で開催された大会

方、Crypto サービスでは、暗号プログラムのアッの様子をレポートしてきたが※ 1 ※ 2 ※ 3、その最後

プロードおよび、そのプログラムを使い入力したを飾るのが今回紹介する九州大会となる。

テキストを暗号化する CGI が動いているものの、九州大会は、2015 年 11 月 28 日、九州工業大

競技開始時点ではどのように攻略するかは示され学飯塚キャンパスにて開催された。SECCON ではていない。

地方大会ごとに特色ある競技を行っているが、今また、競技では攻撃ポイントとは別に防御ポイ回の九州大会は「Attack & Defense」と題し、参ントも用意されている。運営側は上記のサービス

加者を学生に限定した攻防戦形式の CTF となっが各チームのサーバーで稼働しているかを定期的た。当日会場には日本各地から 10 チーム、36 名にチェックしており、稼働が確認できれば加点さの学生たちが集まった。

れるというものだ。
競技時間は 11 時から 16 時までの 5 時間で、競技終了時点で得点が最も多いチームが優勝とな

競技のルールる。なお、上位 3 チームには本年 1 月 30 日に開催される SECCON 2015 決勝大会（インターカレッ

競技では各チームに同一仕様のサーバーが用意

ジ）への出場権が与えられる。

される。このサーバーでは脆弱性があるいくつかのサービスが稼働しており、参加者は、自チームサーバーの脆弱性を修正して防御しつつ、敵チー

勝敗の行方

ムサーバーの脆弱性を突いて特定のデータを奪う。そしてこのデータを運営側が用意したスコア

競技は序盤から「MMA」（電気通信大学）が攻サーバーに登録することで得点を獲得する。この撃ポイントを積み重ねてリードする展開となっポイントのことを攻撃ポイントと呼び、奪われるた。それに続くのが、「tuat_mmc」（東京農工大学）

側のチームがその時点で持っている総得点の 3%と「松屋 AdventCalendar」（九州工業大学）だ。

を得ることができ、一方奪われたチームは同等の競技中盤になると、攻撃ポイントが獲得できる得点を失う。したがって、どのチームからポイン

チームとそうでないチームの差が広がり、一方的トを奪うかという点も戦略上の鍵となってくる。

にポイントを奪われ総得点がマイナスになるチー

サーバーで稼働しているサービスには、Web・ムが出てきた。しかし、ここで面白い現象が起きGame・Crypto の 3 つがある。Web サービスにはる。「wasamusume」（東京電機大・筑波大・九州※ 1 HISYS Journal Vol.13「SECCON 2015 横浜大会レポート」 http://www.shield.ne.jp/ssrc/contents/doc/HISYSJournalVol.13.pdf※ 2 HISYS Journal Vol.15「SECCON 2015 広島大会レポート」 http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201511.pdf※ 3 HISYS Journal Vol.16「SECCON 2015 福島大会 + 大阪大会レポート」
		

http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201512.pdf

19

SECCON 2015 九州大会の会場となった九州工業大学飯塚キャンパスの様子

工大・山口大の混成チーム）がマイナス得点のチー

攻略法などが話し合われた。多くのチームはいく

ムへの攻撃を成功させたところ、攻撃ポイントがつかあるサービスのうち Web を攻略の中心に据マイナスとなってしまったのだ。このことから、えていたようだ。運営側によると、Web サービス

攻撃ポイントで得られる総得点の 3% というのはには多くの脆弱性が作り込まれていたとのこと。

マイナスも含まれるということがわかった。競技

本来なら管理者権限でないとアクセスできない領

設計上のミスとも思われるが、運営側の説明によ

域にユーザー権限でアクセスできたり、SQL イン

ると「そういう世界観」なのだそうだ。しかし、ジェクションが可能なページが存在したりと、参この世界観が競技終了間際に波乱を起こすきっか

加者からもさまざまな攻略法が挙がっていた。
また、競技の性格上、敵チームからの攻撃パケッ

けとなる。
競技終盤、MMA が 2 位に 20 万点近くの差をつ

トを解析すれば、Web サービスにどのような脆弱けるという圧倒的なリードを保ち、以下、tuat_

性があるのかを発見・修正し、他チームへの攻撃

mmc と「barylite」（渋谷教育学園渋谷校・沖縄高専・に転用することも可能だ。ただし、多くのチーム

京都府立亀岡高校・会津大学の混成チーム）が続が同じように解析を行っているので、敵チームのく。4 位 の wasamusume も 2 位 の tuat_mmc かサーバーがすでに修正済みで攻撃が不発に終わる

らポイントを奪いはじめ、2 以下の順位争いが熾ことも多かった、と参加者は語っていた。やはり、烈になる。

得点を稼ぐにはいち早く脆弱性を発見し、攻撃するスピードが求められるようだ。

そして競技終了間際、首位の MMA がポイントを奪う相手を間違え、マイナス得点の「セキュリ

また、Game や Crypto サービスでも、バッファティ讃歌」（岡山大学）を攻撃してしまい、このチーオーバーフローやサンドボックスの制限を超えてムが一気に首位へと浮上するハプニングが起こっ

任意のコードが実行できる脆弱性が作り込まれてた。最後の数分間はめまぐるしく順位が動き、会いたようだが、競技時間の制約からか、こちらの場も大いに盛り上がった。

サービスを攻略しようと考えるチームはほとんどなかったようだ。

競 技 終 了 時 点 で の 上 位 3 チ ー ム は、1 位 がMMA、2 位がセキュリティ讃歌、3 位が barylite

決勝大会への出場チームが決定という結果となり、SECCON 2015 決勝大会（インターカレッジ）へと駒を進めることとなった。

SECCON 2015 決勝大会は 1 月 30 日にインター

競技終了後には、運営側を含め各サービスへの20

会場のスクリーンに表示される各チームの得点状況。上部は攻競技の状況を可視化する NIRVANA 改 SECCON 九州大会バージョ撃に成功したチームが表示され、下部では順位や得点の状況がン。1 チームだけ色が異なっているが、チーム名がカラーコード

表示されるに由来するとのことで、NIRVANA 制作チームが敬意を払い変更
したとのこと優勝した MMA チーム

各チームに提供されるサーバーは Raspberry Pi 2 で構築されている

カレッジ大会、1 月 31 日に国際大会が予定され式サイトにて出場チームが発表されているので、ている。出場枠は各地方大会の上位チームの他、気になる方はご覧いただきたい※ 4。

オンライン予選の上位チームが加わる。こちら

昨年の SECCON 決勝大会では優勝したチームには 2015 年 12 月 5 日～ 6 日にかけて国際大会とDEFCON CTF 決勝戦へのシード権が与えられるこして開催され、日本チームの他、米国・ロシア・とも手伝って、世界中から強豪チームが集まり大ルーマニア・韓国・台湾のチームが上位入賞を果

きな注目を集めた。今年の決勝大会は優勝特典とたしている。さらに、「ASEAN Cyber SEA Game」、してのシード権はないものの強豪チームの名前も「HITCON CTF」など SECCON と連携する CTF 大会

いくつか見られ、また開催規模も大幅に拡大しての上位チームの参戦も予定されており、インター

おり、国際大会の名にふさわしいものとなっていカレッジ大会・国際大会それぞれで 18 チームがる。会場となる東京電機大学で繰り広げられる熱一堂に会することとなる。なお、SECCON 2015 公戦が今から楽しみだ。

※ 4 SECCON 2015 決勝大会

http://2015.seccon.jp/finals.html

21