初めに
今年もHardeningの季節がやってきました。ということで今回もMicro Hardening Basic にオンラインで参加させていただきました。ありがとうございます。前回の参加記録も見ていただけると嬉しいです！
Micro Hardening Basicとは
セキュリティをゲーム感覚で学ぶ競技 Micro Hardening の超入門編です。
参加者(皆様)は販売サイトの運営の主人公となり、迫りくる攻撃(不正アクセス、データ改ざんなど)から防衛し、スコアを競います。2人1組のチーム戦となります。(3人1組になる可能性もあります)
== 攻略難易度 ==
Micro Hardening v1, v2では販売サイトを運営するスキル (Webサーバやデータベース、Wordpress管理など) が求められますが、初学者にはなかなか難しかったという声からBasic版が誕生しました。感覚的な攻略推奨レベルは下記のとおりです。
Micro Hardening Basic (攻略推奨レベル 3) [今回]
Micro Hardening v1 (攻略推奨レベル 10)
Micro Hardening v2 (攻略推奨レベル 15)
引用元（https://sc4y.connpass.com/event/316767/）
上記に書いてある通り超入門編、前回参加した経験があったので今回はHardening競技初参加の同級生1人と超優秀な下級生１人の計３人で競技に挑みました。
事前準備等に関しては前回の記事に書いてある通りに進めていきました。また、競技内容も昨年と同じように感じたので今回の記事では反省点等を中心に書いていこうと思います。
※来年度も開催されるはずなので技術的要素（実際に行ったセキュア化、コマンド等）はネタバレになる可能性があるので書きません。ただ文から推測ができる可能性があるので「事前情報なしでまっさらな状態で参加したい！」という方はブラウザバックをお願いします。
反省点
-
何もすることがなかった
反省点といっていいのかわかりませんが何もすることがありませんでした。というのも2人が初参加とは思えない優秀さで、特に下級生の子がLinux触りたてのはずなのに自分よりスラスラとコマンドを打っていて何もすることがありませんでした。
-
設定ファイルを触るときは慎重に
設定ファイルを編集しているときに記述ミスがあり、それに気づかずにサービスを再起動してしまいECサイトが止まってしまいました。
-
AIと喋りすぎ
セキュア化をするために質問をしたのにAIと喋るのが楽しくなって競技そっちのけでお喋りしてしまいました。多分AIをギャルにしたのが失敗ですね。
-
スクリーンショット等記録を残さなすぎ
Hardening競技に参加して参加記録を書くたびに書いていると思います。競技前は意識して記録取ろうといっていてもいざ始まると忘れてしまうんですよね。気を付けます。
-
何となくでやろうとする
ログイン失敗のログがあり、127.0.0.1が失敗していてループバックアドレスなのにも関わらず「失敗してるからヤバい奴だろufwでブロックしよ」と思ってブロックしようとしてしまいました。途中で気づいたので良かったですが...何をしているんだろうか。自分でもよくわかりません。
-
違う環境のコマンドをそのまま打ち込む
これは事前準備の段階で本番環境ではUbuntuなのに何故かAlma Linux でコマンドの確認をしていました。前日に気づいて修正できる部分はしましたがそれ以外は事前確認なしで打ち込んでいました。
-
競技に関係のない話をしていた
関係のない話をしていた気がします。集中します。
-
プロセスの確認
不審なプロセスの確認を怠っていました。メンバーが気づいてくれましたが自分でも確認するようにします。
-
パスワード管理
「パスワード変更とかは先にやろう」とメンバーに言っておきながら自分の使用しているユーザーの変更を忘れていました。
-
パーミッションの確認
完全に忘れていました。AIが教えてくれるまで完全に忘れていました。
-
ログ
ログに関してAIに聞いていたら話すのが面白くてログを見ていませんでした。
良かった点
-
コミュニケーション
競技中もコミュニケーションをとり続けながら作業に取り掛かれたので良かったと思います。
コミュニケーションをとることによって進捗を整理したり、質問しやすい環境が作れたりするので改めて大切だなと思いました。初対面ならなおさら大切なのではないでしょうか。
-
事前準備
事前準備には力をいれていたので本番何をするのか、コマンドは何を打てばいいのかと困ることがなかったので良かったです。準備に関してはやりすぎぐらいがちょうどいいですね。
まとめ
反省点をまとめてみましたがどれも基礎的なことばかりですね。
基礎的なことでもできていないことが多いなと感じました。まだまだセキュリティ初心者なので基礎から勉強しなおしていこうと思います。
10月のHardening競技に参加したいなと考えているので選考を通過しないと始まりませんがそれまでに勉強し続けていこうと思います。