はじめに
"Shield Stone #ZERO-DAY" というハードニングイベントに参加してきました。
今回は記念すべき第1回ということで、運良く抽選で参加できることになりました。
クラウドファンディングで実現した新しい競技 "Shield Stone" の今後に期待です！
Shield Stoneってなに？
サイバーセキュリティをこよなく愛する専門家集団が新しく考案した ハードニング をベースとしたサイバーセキュリティ競技会です。
ハードニングというのは、「守り」に特化したセキュリティの大会 のことで、競技者にECサイトなどの環境が与えられ、その環境を攻撃から守り、売り上げやSLAを競う大会となっています。今回の ShieldStone では、売り上げやスコアだけでなく、インシデント報告書やインシデント発生時の顧客対応などもスコアの対象になっていました。
「攻め」の CTF と「守り」のハードニング
当日までの準備
競技当日の２週間前にチーム分けが決定し、２週間かけて競技の環境への理解を深めつつ、チームと協力して「堅牢化」の準備をしていきます。
各々仕事もある中、平日夜からオンラインで集まって打ち合わせを行いました。残業で参加できなくなったり途中で体調を崩すメンバーがいたりしながらも、積極的に頑張れたのかなと思います。
競技資料を見ながら、できるだけ網羅的にかつ効果的に堅牢化を行えるように、TODOを洗い出していきました。
結果
売り上げは３位だったものの、他の点数で巻き返し、２位を取ることができました！
当日の流れ
土曜出社するぞ！
２週間オンラインで話してきたメンバーと当日は顔を合わせて集まることになりました。
架空の会社の従業員になりきっている（↓）
沖縄から東京まで来た学生にお菓子をもらいました。
エナドリ飲みながらお仕事するブラック企業！
攻撃中
あまり詳しいことは言えないのですが、普通のハードニングとは違ったイベントやミッションもあり、振り回されながらも楽しくインシデント対応が出来ました。用意していた堅牢化の半分くらいしか実行できず、ログ監視も出来なかったので、次はもっといろいろ試してみたいです・・・
攻撃中は、同時並行でタスクをこなさないといけないのですが、他のチームは事前にリスクアセスメントを実施して、会社としての対応方針・優先度を決めていたようで、私たちもやればよかったなと思いました。
インシデント報告
他のチームに対して、社外向けのインシデント報告会 を実施しました。
タイムリーにKADOKAWAがランサムウェアに攻撃されてプレスを出していたのでこちらを参考に、顧客や関係者向けの謝罪文＋原因分析＋根本原因分析なども追加してまとめてみました。(必須ではなく私が勝手に書いた)
技術的な部分は社外向けなので最小限とし、
- 組織的に情シス部門を軽視していた → これから予算を増やす
- 脆弱性管理、構成管理、変更管理など出来ていなかった → プロセス化する、脆弱性診断などやる
- 担当者のスキル不足・手順書不足 → 教育を強化する
のような組織的な反省点も記載しました。
インシデント発生時はかなりバタバタしているので、事前にフォーマットを用意しておいて良かったです。
まとめ方は自由なので会社(チーム)によって個性があり、楽しい報告会となりました。
私が壮大な計画を書いたせいで、中小にしては壮大すぎない？と言った指摘をもらい、「身の丈にあったセキュリティ」 という基本を再認識する機会にもなりました。
打ち上げ
2週間の事前準備と当日一緒に過ごしたメンバーと打ち上げをしました。
サイバーセキュリティの普段聞けないような話も聞くことが出来、刺激的な時間を過ごすことが出来ました。
事前準備が一番大切！！！
会社をインシデントから守るには・・・
「事前準備」
これに尽きると思います。攻撃を受けている最中に、堅牢化の手順を調べている時間なんてないし、あらゆる攻撃を想定して「いかに準備できているか」が肝になってくると思います。
実際の業務においても、
- 手順書はあるか？メンテナンスされているか？
- 手順書の有効性は？訓練は？
- 組織内での役割分担の認識合わせは出来ているか？
- 報告フローは整備されているか？
- プレスの文面は用意できているか？
- 手順書を実行できる人的リソースは十分か？
- 原因特定するための構成図などの資料一覧は揃っているか？
- 保有する脆弱性の一覧はあるか？
- 普段から脅威や脆弱性情報を収集し活用できているか？
みたいなところがしっかり出来ていないと、影響範囲の拡大や事業継続への影響、顧客からの信用失墜などに繋がります。また、上記のようなことを単発でやるのではなく、しっかりとプロセスに落とし込むことも大切だなと感じました。
なかなか難しいことだとは思いますが、今回学んだことをもとに、日々の業務に対峙していきたいと思います。
おわりに
今回はこのような貴重な機会をいただき、運営のみなさま、クラウドファンディングでご支援いただいたみなさま、誠にありがとうございました。
コーポレートセキュリティ部門の自分にとって、このような具体的な実践が出来る機会は大変貴重で勉強になりました。
次回はもっと成長してサイバーセキュリティ意識向上に貢献できるように頑張ります！