國分 秀紀 の記事一覧

　こんにちは、GMOインターネットグループの國分です。2022年10月7日に開催された、通称Bots（Splunk Boss of the SOC）に参加してきました。Botsがどんなイベントなのか、含め魅力が伝えられたらと思います。 はじめに BotsはSplunk社が主催するイベントです。SplunkはSIEM製品の一つです。SIEMとはSecurity Information and Event Managementの略で、簡単に説明すると様々なログを一元的に管理して、検索出来たり、アラートが設定出来たりするシステムとなります。 Splunk（スプランク）とは サーバー管理者だったり、アプリ開発者だったりすると、ログを見る機会が多いと思います。その際利用するコマンドはLinuxだったら、grepやcat、windowsだったらfindstrを "|"（パイプ）で繋いで諸々ログを確認しているのではないでしょうか。 ログでIPの統計が取りたい！そんな時SIEMがない場合は、 cat access.log | awk -F ' ' '{print $1}' | sort | uniq -c こんなコマンドを打って、統計を取りますが、1つのサーバーの場合は苦ではないのですが、これがロードバランサー配下にWebサーバーが100台あるとなるとどうでしょうか。出来なくはないが、100台のサーバーにログインして、grepだったりcatコマンドを打つことになります。※ログサーバーを準備して一つにログをまとればいいじゃんは、除外！ Splunkがある場合は、 | datamodel Web Web search | stats count by Web.src こんなコマンドで、Splunkで取り込んでいるWebサーバー全部のIP統計が取れます。この構文で、Apache,nginx,IIS等WebのAccessログなら全て検索してくれます。さらに取り込んでいるのがWebログ以外のログもあれば、そのログに対して検索したい文字列で、調査出来ることができます。grepやcatだけでログの調査をしている人にとっては夢のような機能ですよね。 Botsの概要 Splunkで様々なログの検索ができるのを説明しましたが、BotsはSplunkを利用して、回答を導き出すCTF形式で点数を争う競技イベントです。 参加はチーム戦となっており、GMOからはSplunkを普段から利用しているSOCメンバー3名と、サイバーセキュリティを専門とするグループ会社から1名の合計4名チームで参加しました。今回の参加チームは全体で35チームで、チーム人員は最大4名のチームで構成され競い合うことになりました。 各問題はシナリオごとに分別され、シナリオは5つあり、2つのシナリオはSplunkのセキュリティ製品の使い方の問題。3つのシナリオがインシデントに沿った問題となっていました。今回自分ともう一人のメンバーが特定のSplunk有償機能の知見があるので、Splunk有償機能のシナリオ1を担当して、残りの2名のメンバーがインシデント関係のシナリオを解くという作戦で開始しました。 Bots開始 コミュニケーションは完全リモートでの開催だったので、Zoomに集合し、各チームごとにブレイクアウトルームが開設され、そこで会話しながら解いていく形でした。途中経過の点数はスコアボードで確認出来るので、自分のチームがどのくらいに居るのかも確認出来ます。 上位チームのスコア上昇に刺激され各自問題を解いていきます。シナリオ1に関しては知見があったので、ほぼボーナス問題状態で、サクサク回答出来たのですが、シナリオ2の問題は触ったことがない製品の問題だったので、一気に時間が浪費されていき、あと、1時間、いや2時間欲しいというところで終了でした。 9位でした！ まとめ Botsに参加したことで、普段使ったことがない機能の使い方だったり、対象の絞り込みのあたりの付け方もシナリオから学べるので、Splunkをより使いこなしたい方や、セキュリティ製品の導入を検討している人にもおすすめ出来るイベントでした。 また、普段繋がりのないグループ会社の人と一緒のチームで参加することにより、コミュニケーションが促進され、得意分野の共有や、いろいろな意見交換が出来たのは参加してよかった点です。 今後の改善点はお昼をまたいだタイムスケジュールなので、手元で食べれるおにぎりとかパンを用意しておく。シナリオの人員配分を決めておく。この2点を次回参加者へ共有したいと思います。 上位入賞者には商品もありますので、次回開催時には皆様もぜひ参加してみてください。

こんにちは、GMOインターネットの國分です。今回は2021年11月17日~20日、27日に実施されたHardeningイベントについて、魅力をお伝えできたらと思います。 はじめに Hardeningとはコンピューティングシステムのセキュリティを強化、堅牢化することの総称として使われ、今回参加のHardening　2021 Active faultでは仮想Webショップを経営側、インフラ側両方をロールプレイを行いながら、堅牢化を疑似体験するイベントが行われました。 実際のWebショップを触って作業するのは開催5日間のうち1日のみで、他日程についてどんなプログラムが展開されたのかなどをレポートいたします。 【参考サイト】https://wasforum.jp/hardening-project/ チームビルディング Hardeningイベントはチーム戦です。応募した人の中から運営側が6人～8人のチーム編成で割り振られます。約1か月前にチーム確定についてのメールが届き、ミッションが開始されました。 チームにもよりますが、大体イベント開催までの1カ月間で週1回～2回のミーティングを実施して、様々なミッションやイベントに向けた事前準備を行います。 TODO チームリーダー、福リーダーの選定チーム名の決定チームフラッグの作成（Zoom背景やロゴマーク）前回資料からの対策案策定経験者からの事前共有会稟議の書き方の勉強スキルマップの作成担当業務の割り振りマーケットプレイス購入品と落札額の決定インシデント対応フローの作成事前シミュレーション 比較的簡単なことから、時間がかかりそうなことまで事前に準備しなければならないものは、多岐にわたりとても1人ではやりきれないタスク量でした。 今回はオンライン開催だったこともあり、学生から社会人までの幅広い年齢層、かつ外国からも参加されている方もいらっしゃいました。そのため、チーム全員がMTGできる時間帯を合わせてミッションを行うのはとても大変でした。 欠席者が出た場合のフォロー、MTGの際の発言しやすい雰囲気づくり、このあたりがチームの一体感を生むために必要になってきたように感じます。 マーケットプレイスの活用 イベントの2日前には、マーケットプレイスの説明がありました。マーケットプレイスでは、オークション形式でセキュリティ製品を購入することができます。各ベンダーの皆さんがセキュリティ製品のプレゼンを行い、どのセキュリティ製品を獲得して、イベント当日に挑むかの参考になりました。 ※一部このプレゼンの前に提供される製品もありました。また、公式のマーケットプレイスには存在しない、ランサムウェア復旧サービスもありました。 FireWallWebAplicationFireWall(WAF)エンドポイントセキュリティセキュリティ情報サービスJPCERT/CC 前日準備 前日になるとサーバー構成図、ネットワーク図、ミッション、ルール等の情報が記載された資料が配られます。この日になって、やっとどんなOSやどんなサーバー構成なのかが判明するので、担当サーバーを決めたり、初動対応に必要な資料作成に入ります。 今回は前回参加者から事前に「こんなFirewallじゃない？」との共有をうけ、事前学習していたのですが、実際は予想のFireWallとは別のものが登場し急遽その対応方法を調査して、ルール投入方法とバックアップ方法を調査したり。また、接続に関しても特定のソフトウェアで接続テストしていたが別のソフトウェアに変更になったりと色々想定と違っていました。 前日にバタバタとせわしなく、多くの対応に追われながらイベント準備を進めていきました。 イベント当日 イベント当日の9時にはチーム全員がZoomに集合し、全員いることが確認されたチームから競技環境に入り、Hardeningが始まります。 サーバー担当 パスワードの変更各種バックアップ不審なファイルの調査、隔離、削除不審なプログラムの調査、停止FireWallの設定セキュリティ製品ベンダー対応インシデント調査、対応 Web担当 マーケットプレイスで購入した商品の稟議処理購買処理Webショップの修正在庫管理発送業務メール対応広報対応 イベント当日のランキングはYoutubeライブで配信されていますが、対応に追われなかなか見れない。 サーバーは24台、WebShopは4種類あり、7人のチームでしたが基本いつも人が足りない状態でした。それぞれのタスクを各人員が行っている中、Webショップは攻撃され、Webショップが止まったり、Webショップのページが改ざんされたりのインシデントが発生し、その対応を行うなか、「Web担当はインシデントの説明」、「サーバー担当は証跡の作成」を求められるので競技時間で与えられた8時間はあっという間に過ぎていきました。 Softening Day Softening Dayでは、Hardening当日に実施した内容発表する場と、攻撃側の種明かしの日になります。今回はオンラインとオフライン混合で行われ、発表の際に変身する人がいたり、独唱する人が居たりと、予想の上を行くおもしろい発表会でした。 各チームの対応を聞くことで自分たちに何が足りなかったのかも分かる場となっているので、自分たちが気が付かなかったり、見つけられなかったインシデントの内容が聴けるので、どのチームの発表も参考になります。 参加証明書も貰えます。※名前付きのものも別途貰えます。 さいごに 止めてはダメなWebShop、どうして増えないサブスクリプションの人数、IP直で来ないでよ攻撃者等々、イベント当日は色々ありましたが、振り返るとあっというまに時が過ぎていき、各人それぞれ何が足りないかを認識できる特別な時間になりました。インシデントの経験がない人は経験が積め、経験がある人はあの時できなかった対応が今回出来るぞと意気込めるそんなイベントです。セキュリティに興味がある人は経営側、システム側両方の対応が体験できるこのイベントは、どんなセキュリティ参考書よりも記憶に残り、これからの糧になるイベントだと思います。ちょっとでも興味を持ってくれたら、ぜひ参加して爪痕を残してくれればと思います。