TA

BL

EO

FCO

NTE

N

T

S

新実行委員長に聞く SECCON 2018 の見所と楽しみ方
花田智洋 インタビュー… ……………………………………………………………………… 3●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2018. All rights reserved.

2

新実行委員長に聞く

SECCON 2018 の見所と楽しみ方
花田智洋 インタビュー
取材・文・撮影 = 斉藤健一

規模拡大を続ける SECCON
斉藤（以下）：2018 年 3 月に SECCON 実行委員長を竹迫良範氏から引き継いだと聞いています。12 月の開催直前の時期で恐縮ですが、今回の SECCON について話を伺いたいと思います。よろしくお願いします。
花田（以下）：こちらこそ、よろしくお願いします。
まず、SECCON の開催時期について伺います。
これまで毎年 2 月に開催されてきましたが、今回は 12 月へと前倒しとなりました。この理由を教えてください。
理由はいくつかあります。まず、2 月は年度末を目前に控えた時期であり、業務が立て込んで時間の確保が難しいスタッフが多数いるという点。また、2 月～ 3 月はサイバーセキュリティ月
間で、さまざまなイベントが目白押しとなりスケジュールの調整に苦労する点。他にも 2 月だと

花田智洋（はなだ ともひろ）

CTF に参加する学生が試験の時期と重なってしま

2005 年日本アイ・ビー・エムに入社。銀行基幹系システムの開発にプロジェクトマネージャーとして携わるかたわら、九州を拠う点などが挙げられます。点に活動する情報セキュリティ勉強会「ばりかた研究会」を主催。

開催を前倒しにすると、その分準備期間が短2017 年 NICT 入所。主任研究技術員として、ナショナルサイバー

くなりますが、何か苦労されたことなどはありま

トレーニングセンター 3 大事業の CYDER、CYBER COLOSSEO、
SecHack365 に携わる。2018 年 3 月 SECCON 実行委員長に就任。

すか。
仮に準備期間をどれだけ長く取ったとしても、開催直前の忙しさはさほど変わらないと思っの日程を変更するよう懇願されました。

ています。やはり覚悟を決めてことにあたるしかそういう事情があったのですね。今回、国際ないですね。ただ、今回残念だったことが 1 つあ

大会出場チームの顔ぶれを見ていて欧米からの出ります。

場チームが少ないとは思っていました。本戦開催

それは何でしょう。

がクリスマスの時期だからと予想していたのです

開催時期の変更に伴い CTF のオンライン予選が、オンライン予選の日程衝突だったとは。

の日程を変更したのですが、それが Google 主催

はい。これまでオンライン予選の参加人数はの CTF 大会と重なってしまったのです。SECCON右肩上がりで増えていたのですが、今年は昨年とに毎年出場するような欧米の常連チームから予選比較して減少してしまいました。
3

SECCON 2018 国際大会の出場チーム
チーム名
Blue-Lotus
TSG
CodeRedNaruseJun
BlueBananaKing
DCUA
noraneco
Pwnight
urandom
217
Balsn
GYG
CyKor
n5y5u1d5@AIS3（招待）PDKT（招待）

SECCON 2018 国内大会の出場チーム

国籍
中国
日本
韓国
日本
韓国
ウクライナ
日本
韓国
日本
台湾
台湾
韓国
韓国
台湾
インドネシア

dodododo
Bluemermaid
YOKARO-MONTeam Enu
yharima
ids-TeamCC
m1z0r3katagaitai
killswitch
spookies
ICSCoE0x4556368625
insecureynuctfHarekaze

SECCON 2018 のプログラムを見ると、昨年

問題作成で苦労する点などがあれば教えてくと比べてカンファレンスやワークショップの数がださい。

増えるなど規模が拡大しています。これに伴ってCTF では出題して解かれてしまった問題は次実行委員も増員されているのですか。

に使うことができません。入門から初級・中級レ

数年前に増員しましたが昨年と比較して実行

ベルの問題であれば、各ジャンルの基本的なテク委員の数はそれほど変わっていません。個々のニックやスキルを問うものを、その時々に応じて企画は各実行委員のほか外部の協力者も加わっ作成できます。しかし、上級レベルになると、新た「プログラミングコミッティ」というグループたなテクノロジーや日々発見される脆弱性などをで運営されています。カンファレンスやワーク問題に取り入れなくてはなりません。皆さん頭をショップの内容も、このプログラミングコミッ振り絞って問題を作っているのが現状です。そこ

ティ内でアイデアを出し合い、良い案が採択されで昨年からはじめた取り組みなのですが、前年度るという形をとっています。

に優勝した韓国チームの CyKor にオンライン予選の問題作成で協力をお願いしています。

何か特徴的な企画はありますか。
親子で参加できるワークショップを企画しまよいアイデアだと思います。

した。「IT かるたを作ってみよう」「初心者向けプ他にもコンピューター・サイエンスの論文をログラミング体験ワークショップ」の 2 つです。

題材にしたものも作成しています。例えば暗号の海外のイベントでは、参加者も運営スタッフも子実装を問う問題で、復号するには論文を読んでプ供を連れてくるケースが目立ちますし、親子で楽ログラムを書く必要があるといったものです。こしめる企画もあります。実行委員会内で意見が出れは参加者にもっとコンピューター・サイエンスて SECCON でも実施することにしました。

に触れてほしいと思っているからです。

それは楽しみです。ワークショップ会場に足CTF とセキュリティ人材を運んでみたいと思います。話は変わりますが、CTF の運営の方はどうですか。
実行委員会の他に問題作成で協力をお願いし次に人材育成ツールとしての CTF について伺ているメンバーがいます。今年は国際大会と国内います。今でこそセキュリティ人材育成にとって大会が同時に開催されるので、CTF に携わる方にCTF は欠くことができない存在として認知されてはより多くのパワーが要求されると思います。

いますが、SECCON が開始された 2012 年当時だ
4

SECCON 2017 国際大会の会場風景と「ただの遊びではないのか」という意見もあっわかりました。現在では自組織内で CTF を開たかと思います。このあたりの変化について感じ催する企業も出てきました。セキュリティとは直ていることがあればお願いします。

接関係しない開発系の部署のメンバーが CTF で力SECCON 開始当初からすると現在の評価は信を発揮したといった具合に、人材を発掘するツーじられません。元々海のものとも山のものともつルとしても活用されているそうです。この点につかないものが、今では NISC（内閣サイバーセキュいても何か意見があればお願いします。

リティセンター）などの方針で重点的に取り組む大企業ではそのとおりですね。開発者の中に施策として取り上げられるようになったわけですはセキュリティエンジニアとスキルセットが似てから、見方が 180 度変わったといってもいいくらいる人もいると思います。CTF はそういった人に脚いです。

光を当てて発見する場でもあります。話はそれまところで、人材育成において CTF が有効だとすが、CTF ではシニア層のエンジニアも発掘できま思われる側面はどこにあると思いますか。

す。昔のエンジニアは低レイヤーを扱っていた人前実行委員長の竹迫氏も言っていましたが、も多く、マルウェアの解析をバリバリこなします。

ハッキングにはネットワークの知識をはじめ、確かに。おっしゃるとおりかもしれません。

CPU の仕組みや暗号技術、リバースエンジニア

かつて私が勤務していた日本アイ・ビー・エリングにいたるまで、幅広い要素が含まれます。

ムでも社内 CTF を開催したことがありました。運CTF には競技者が持つスキルのレベルを可視化で営側にいるメインフレームの開発者から「汎用機きる側面があると思います。

のスキルセットを活用した問題を作りたい」といそうですね。

う申し出もありました。

さらにもう 1 つ、CTF は競争であるという点汎用機とはユニークですね。

です。「勝ちたい」という感情がスキルの向上に一方で問題を解く側もセキュリティとは関係良い影響を与えていると考えています。多くのない顧客対応の現場のエンジニアが優勝しましCTF では競技終了後に答え合わせの時間がありまた。昨年の SECCON 本戦に日本アイ・ビー・エム

す。例えば自分 1 人だけが問題に正解し、そののチームが出場したのですが、チーム 4 名のうち、解法を皆に説明する状況になったとしたらどうで2 名はセキュリティ部隊で、残り 2 名は社内 CTFしょう。それは CTF プレイヤーにとって名誉なこの成績優秀者という構成だったそうです。

とです。CTF はそういった感情をかき立てる競争

セキュリティ人材育成において、SECCON がの場として有効なのだと思います。

果たしてきた役割について何か意見はあります5ビューの時点（12 月 10 日現在）では Web に公開されていないコンテンツがあります。SECCONを支援するスポンサー企業によるショートプレゼ
ンで SECCON STAGE で開催されます。現在企画を募集しているところですが、セキュリティ先進企業の取り組みを見ることができると思います。
昨年からセキュリティ関連ツールを紹介する
YOROZU というコーナーが始まりました。今年の応募状況はどうなのでしょうか？

NIRVANA 改による CTF 競技の可視化

具体的な数は把握していないのですが、より多くの参加者を募集するべく締め切りの日程をずか。
非 常 に 難 し い 質 問 で す。 と い う の も、らしました。あくまで想像ですが、ツールを制作

SECCON だけで判断できるものではなく、セキュする人は、そもそも少ないのではないかと考えてリティキャンプや SecHack365 といった他のイベいます。セキュリティの物作りに興味がある人がントとも密接に関わっているからです。上記のイまだまだ少ない印象です。
そうかもしれませんね。

ベントでは運営や講師が重なっていますが、参加する学生も同様に重なっていることが多いのでもし、来年も YOROZU を設けるのなら、オーす。少なくとも過去にこうしたイベントに参加しプンソースカンファレンスといった物作りのコてくれた学生が現在のイベントをスタッフとしてミュニティと連携するのがよいと考えています。

支えてくれるようになったことだけは確かで、しそしてこれは SECCON 全体の課題でもあります。

かもその輪は確実に広がっているということだけ

例えばプログラミングする人にも来てもらいたは断言できます。

い。それは問題を作る側としても来てもらいたいし、CTF プレイヤーとしても来てもらいたい、ということです。

幅広い人たちになるほど。

SECCON を楽しんでもらうために多くの方々から「SECCON イコール CTF」だ

あくまで個人的な意見ですが SECCON の良と思われていますが、CTF はあくまで提供するコ

いところは、専門家ではない幅広い人たちに向けンテンツの 1 つです。SECCON はさまざまな人のて情報を伝えてくれるところにあると思っていま興味に応じたコンテンツを提供するイベントを目す。それは、CTF 競技の可視化であったり、過去指しています。今のお話は実は質問しようと考えていまし問題の解説であったりします。
根底には情報を共有しようという意識がありた。SECCON は Security Contest の 略 で す か ら、ます。CTF では過去問の WriteUp を読めば解法はやはり CTF が中心に据えられていると思っていたわかります。しかし、一般の人からするとそれはのですが、より大きく広げようとしているのです

ハードルが高いことです。ですから、昨年は平易ね。答えが聞けたようでうれしく思います。

に解説する場を設けました。今年は一歩進んでハはい。CTF オンライン予選を勝ち抜いた人たンズオンで昨年の決勝戦で使った問題を体験してちだけのものではなくて、この場所に集まった人もらおうと思っています。

たちが面白いと思ってくれる何かを提供し続けた
いと考えています。

これまた個人的な意見ですが、興味深い企画わかりました。本日はどうもありがとうござも多いので、SECCON に参加される方には是非ともいました。

プログラムを隅々まで見てほしいと思っています。
あ り が と う ご ざ い ま す。 実 は こ の イ ン タ6