Micro Hardening v2.0参加記録

Micro Hardeningとは

Micro Hardening(https://microhardening.connpass.com/)のページを参照。45分1セットのシステムに対する攻撃を3回繰り返して少しずつ守れる範囲を増やしていく。そんな感じの競技です。

 

はじめに

3月21日に開催されたMicro Hardening v2.0に参加しました。今回は昨今の状況(大体コ〇ナの色々)から、当初予定されていたオフラインではなくオンライン開催になりました。正直北の大地に住む身としてはオンライン開催は非常にありがたかったです…。

今回はオンライン開催ということもあって多くの方が参加したと聞いています。下記に簡単にやったことや感想などをまとめていこうとおもいます。

競技

まず1回目、僕は前回のMicro Hardening(この時はv1)にWordPressで悔しい思いをしたこともあり、WordPress周りと真っ先に見に行きました。詳細はネタバレになるので言えませんが、前回Micro Hardeningに参加した時よりはうまくいったのではないかなと思っています。まあ少し言ってしまうとプラグイン周りですね、結局どのプラグインを悪用されたかは分かりませんでしたが、正直脆弱バージョンのものが多すぎるので何とも言えません。あとはサイト状態の報告や改ざんが発生した云々、その辺りを報告しながら1回目は終了しました。

次に2回目、aptで最新バージョンにしちゃおうかという話が出て、僕も「まああと1回あるしここで失敗しても大丈夫か」という感じでお願いしました。見事にWordPress周りが崩壊しましたね。／(^o^)＼他の部分は僕なんかよりずっとつよつよなお方が2人も担当してくださっていたおかげで僕の出る幕はありませんでした。このお二方には今回非常にお世話になったので感謝しています。

最後の3回目、引き続きWordPress周りも色々弄ったのですが、後半でEC-CUBEの管理画面にも手を出しました。報告を受けたインシデントに応じて管理画面から修正していく作業がとても楽しかったです。インシデントの中には笑ってしまうようなものもいくつかあったのですが、ネタバレの関係で割愛。

 

最後に

ごめんなさい。内容めっっっっっっっっちゃ薄くなりました。5時間の間に経験したことはいっぱいあるのですがネタバレ配慮するとこうなりました。このまま締めくくっても悲しいので、最後にスコア表を貼りたいと思います。（掲載許可済）

 

f:id:ohy_s:20200321183315p:plain

僕の入ったチームは16なので、3セット目のスコアは3位ですね。これも前回のMicro Hardeningから見るとかなり伸びたと思います。(まあバージョン違うので言い切って良いか分からないですが…)

また、今回から評価項目にSLAが追加されたということで、ここも結構大きな話だと思っています。なにせ45分しかないですから死活監視を怠ったときの1分2分でも笑えない割合でSLA持っていかれますからね。防御点は…これ多分僕の担当したWP関係結構スカしちゃってますね…思い返しても僕は割と後手後手の対応してた気がするので次回の課題ですね。

自分の中での目標ををいくつか達成することが出来ましたが、その分新たな課題が増えたMicro Hardeningでした。次出る時も今回みたいにちゃんと目標を達成できるように勉強を進めていきたいですね。(もしかしてv2も2回目以降はチームじゃなくてぼっち参加なんですかね…？)

簡単なまとめ方になってしまいましたが、以上で参加記録を締めたいと思います。

 

mh4yの参加記録

 

mh4yとは

Micro Hardening は「衛る技術の価値を最大化することを目指す」プロジェクトであるHardening Projectから生まれたサブプロジェクトです。「セキュアなハードニングをカジュアルに競技形式で学ぶ勉強会」であるMINI Hardening Projectよりもさらにカジュアルに「ゲーム感覚で」サイバー攻撃に対処する能力を磨くことを目指しています。

Micro Hardeningでは、参加者は45分という限られた時間のなかで、提供されたECサイトに対する様々なサイバー攻撃に対処することが求められます。参加者は用意されたECサイトにログインし、スタートコマンドを実行することで、ゲームの開始を任意のタイミングで行うことが可能です。スタートコマンドが実行されると、ECサイトに対して買い物を行うクローラが動き出します。このクローラがECサイトで購入した金額が参加者の得点となり、ECサイトを安定稼働させることが高得点につながります。クローラが動作する裏側では自動的に多数のサイバー攻撃も行われ、ECサイトの安定稼働を妨害します。参加者は次々と発生するサイバー攻撃を防御し、停止したECサイトを復旧することで売上を稼ぎ、さらに防いだ攻撃に応じたボーナス得点(追加のクローリング)を得ることができます。Micro Hardeningの評価は単純に稼いだ得点のみを対象としています。

Micro Hardeningのゲームは45分を1セットとし、複数セット(最低3回以上)繰り返すことを想定しています。毎回、同じタイミングで同じ攻撃が発生するように設定しています。Micro Hardeningは報告書作成や、攻撃手法や防御方法の解説の時間を組み込まない代わりに、毎回少しずつ攻撃の状況を観測し、対処する方法を試すことで、エンジニアとしての能力向上が実現できることを目指しています。理想的にはシューティングゲームのように、敵の攻撃のパターンを覚えることで高得点を稼ぐことができるシステムにしたいと願っています。

（引用、https://microhardening.connpass.com/ より）

続きを読む