nagata (@_iloveinternet_)


参加する勉強会

2/15 (火)

376bc271e38880b47067684cc7291579 WEST-SEC
セキュリティを守るために身に着けるべき基本知識および実践技術を、CTFを通じて「楽しく」学びます。
「8割解けるCTF」をコンセプトにしたWEST-SEC CTFの8回目を開催! 毎回新しい問題を出していますが、今回は、過去の回に参加できなかった方を意識し、第1回~3回までの問題の良問を集め、若干のアレンジを加えて出題します。第1回~3回に参加された方も参加可能ですが、同じ問題、類似問題が中心であることをご理解ください。 WEST-SEC CTFの内容 WEST-SEC CTFは、セキュリティの基礎知識・技術を網羅的に学習するためのコンテンツです。CTF(Capture The Flag)といえば、SECCONに代表される鬼のようにレベルが高い旗取りゲームです。しかし、WEST-SECのCTFは全く別物です。CTFのツールを活用しますが、相手と競う「競技」というよりは、みんなで学ぶ「学習」です。セキュリティを守るために身に着けるべき基本知識を、一部コマンドを打つなどの実践も踏まえて学びます。 まずは、以下のプロモーション動画で概要をご確認ください。 なぜCTFの形式なのか セキュリティを学ぶには、テキストの学習や実務、資格取得など、いくつかの方法があります。 どの方法も大事な学習ですが、ゲームを使った学習方法であるゲーミフィケーションも高い評価を受けています。ゲーミフィケーションの魅力は、なんといっても「面白さ」「楽しさ」でしょう。 たとえば、単に聞くだけではなく答えるという双方向性、日常ではあまり触れることができない実機に触れる喜び、正解か不正解かというハラハラ感、スコアが出てライバルと競い合う高揚感、短期間で全体像を学習できる満足感などを味わうことができます。 WEST-SECでも、CTFというツール使うことで、皆さんが回答した答えに正解・不正解が表示されます。さらに、チームスコアも表示されます。スコアを競うことを第一にしたものではありませんが、モチベーションを高めて参加していただくためのアクセントにしてください。 出題テーマ  過去の第1回~3回の良問を集めて出題します。 セキュリティを広く学べるようにしており、主な出題テーマは以下です。  -企業がセキュリティ対策として知っておくべき基本用語   -暗号、認証、ディジタル署名を含むPKIの基本技術  -SQLインジェクション、ディレクトリトラバーサル、ブルートフォースなどの攻撃手法  -DNSやメールサーバなどの、セキュアな設定  -ログ解析 ※実際のログを解析してもらいます。  -バイナリ解析  -ITの基礎知識 ~パケットキャプチャ含む  -UTMの設定の確認   -クラウドセキュリティ  -インシデント対応の考え方  -脆弱性管理、ポートスキャン  -セキュリティに関する法律  など ※WEST-SECで準備した数ある問題の中から、制限時間とのバランスを見て出題する問題を選択します。1回の出題としては、これら全てが出題されるわけではありません。 従来のCTFとの違い CTFdのツールを活用していますが、内容や難易度は従来のCTFとは異なります。 違い①難易度 SECCONなどのCTFは非常に難易度が高いです。一方、WEST-SECのCTFは、難易度がかなり低く、また、チームで相談したり、調べたりすることで、誰もが8割を正解できることを意識して作問しています。  短い時間ですが、問題の難易度を下げ、また、チームで相談できるため、問題をたくさん解いてもらうことができます。結果として、幅広いセキュリティの知識に触れることができます。 違い②内容 CTFはプログラミング技術やLinuxのコマンドを駆使したりして、フラグを見つけるものが中心です。WEST-SECのCTFでは、基本的なセキュリティ用語を学ぶため、単純な知識問題もたくさんあります。また、一部、コマンドを投入したりWiresharkを見たりすることもありますが、その場合でも高度な技術スキルが求められるわけではありません。 参加対象者 特に制限はありませんが、以下の方を意識しております。 ・情報システム部門でセキュリティ対策の基礎を改めて再確認したい方 ・セキュリティに興味があり、セキュリティ対策をもっと深く知りたい方 (※学生さんもOK) ・セキュリティの仕事に携わっているが、実践的な経験が少ないので少しでも経験してみたい方 ・CTF(Capture The Flag)には興味があるけど、本家のCTFは敷居が高すぎて・・・という方 ・この研修で得た知識をセキュリティ対策のみに活かし、悪用しない方 →つまり、非エンジニアの方、セキュリティの初学者、大歓迎です! 必要なもの ・ブラウザ(Google Chromeなど。IEやEdgeは非推奨)が入ったインターネットに接続できるPC。スマートフォンからの参加も可能ですが、SSH接続やログ分析などもしていただくため、一部の競技の参加が厳しいと思います。 ・Web会議ツール(CiscoWebEXやZOOMなど)の環境。 ・TeraTermなどのSSHに接続するツール(無い場合は一部の問題を解くことができませんが、チーム戦なので画面共有等でお互いにフォローしていただくという手もあります。) ・パケットキャプチャのソフトであるWireshark( 〃 ) ・ご自身のグローバルIPアドレスを主催者へ通知 お願い ・CTFに始めて参加される方は、以下のサイトをサラリとご確認ください。当日は超簡単な説明にとどめさせてもらいます。 https://west-sec.com/entry ・CTFのサーバそのものおよび、一部のサーバへのアクセスは、送信元IPアドレスを制限させていただきます。参加者のPCに割り当てられたグローバルIPアドレスをお聞きします。 ・Web会議ツール(CiscoWebEXやZOOMなど)で、開催の説明等や簡単な解説までを行いますが、主催者およびチーム内で、良好なコミュニケーションをとっていただけるよう、よろしくお願いいたします。 ・今後のカリキュラムや運営の向上のためにアンケートをお願いします。 ・当日の感想をブログやfacebook、TwitterなどのSNSに投稿願います。投稿してもらえると、とてもうれしいです。※答えは書かないで欲しいです(お願いします) 当日の流れ (1)タイムスケジュール(予定) 項番 時刻 内容 Program0 18:45~  Web会議の部屋を空けます。 Program0-2 19:00 ~ 19:05  Splunkの簡単な操作説明を行います Program1 19:05 ~ 19:20 競技の簡単な説明  from t_tani Program2 19:20 ~ 20:45 ・ユーザおよびチーム登録 ※手順は(4)・送信元のグローバルIPアドレスを主催者に通知・CTF競技開始 Program3 20:45 ~ 21:15 簡単な解説および、質疑   from Fijiアンケート記入 Program4 終了後 当日の感想をブログやfacebook、TwitterなどのSNSに投稿願います。答えは書かないで欲しいです(お願いします) (2)Program0について ・自分のグローバルIPアドレスの調査をお願いします。→競技開始後、チーム単位で報告をしてもらいます。 ・踏み台サーバへの接続テストをお願いします。 (3)Program1について 以下の点を説明します。 ①冒頭あいさつ、趣旨の説明 このconnpassのサイトに書いてあるような、競技の主旨を簡単に説明します。→「楽しく」やりましょう! ②競技の簡単な説明  ・競技用のサーバ群の接続先、アカウント情報を説明  →画面にて、競技用のサイト、FortiGate、踏み台サーバからAPサーバへのログインを実演します。  ※注意点:FortiGateや踏み台のWebサーバは、複数の人が同時に入るとキャパシティの関係で接続できない可能性があります。その場合、グループで1人のログインをお願いしたり、IPアドレスで制限させてもらう場合があります。 ・CTFのサイトをオープンします。  競技開始後、みなさんには、このあとの(4)の手順に従い、ユーザアカウントを作成し、チームを作ってください。 ・Flagの入れ方は、flag{abc} とはせずに、答をズバリ入れてください。(「フラグ入力のテスト」問題で実演します) ③競技開始後の説明 ・1チーム4名によるチーム戦ですので、ブレークアウト機能でチームの部屋に分かれてもらいます。 ・チーム内で軽く自己紹介などのコミュニケーションを取ってください。(チームで協力して進めていただくよう、お願いします。) ・ユーザ登録をして、チームに参加してください。(手順はこのあとの(4)) ・ログインできた方から、CTFの競技を開始してください。 ・(必要に応じて、)チーム内でグローバルIPアドレスをまとめ、チーム名とともに報告してください。(途中から送信元IPアドレス制限をかけます) ④スコアを競うことを第一義としていません! 冒頭にも記載しておりますが、WEST-SECの目的は、「相手と競う「競技」というよりは、みんなで学ぶ「学習」」です。チーム内の誰かが解いた問題であっても、皆さん全員が自分で考え、解いていただくことを期待しています。 チームで問題を解いた方は、解けていない方へのフォローやアドバイスをお願いします。 ⑤アンケートのお願い 提示するアンケートURLにて、アンケートのご協力をお願いします。 (4)ユーザおよびチームの登録 https://west-sec.com/entry のページも参考にしてください。 ①主催者から案内するCTFのURL(当日に案内します)にアクセスしてください。 ②右上のRegisterボタンでユーザ登録をしてください。  ※メールアドレスはダミーをお願いします。 ③Registerからユーザ登録します。 ④ユーザ登録後、Join Team でチームに参加してください。 チーム名は、team1、team2、・・・となっています。チーム番号は、ブレイクアウトループの部屋番号と同じで、パスワードは指示されたものを使ってください。 申し込みに関して ・チームで参加をされたいとしても、全員のお申し込みが必要です。(代表者1人だけではありません) ・同じチームになりたい場合は、共通の3文字を付けてWeb会議システムに参加してください。たとえば、abc_Suzuki、abc_Sato、abc_Katoといった感じです。それを見て、同じチームに振り分けます。 過去のWEST-SEC開催履歴 項番 時 イベント 補足 1 2020/8/16 WEST-SEC#1 WEST-SECの記念すべき1回目 2 2020/9/16 某大学様向けCTF セキュリティに興味をもつ学生と社会人向け 3 2020/10/272020/11/5 WEST-SEC#2 参加者多数のため2回に分けて実施 4 2020/10/29 愛知総合工科高等学校様の学生向けにCTF授業#1 特別授業として講義させていただきました 5 2020/11/10 某企業のセキュリティエンジニア向け勉強会 6 2020/11/21 enPiT-Pro@九州大学 主に社会人の現役エンジニアのための 大学院レベルの教育プログラム 7 2020/11/27 大阪府立大学様の教職員様向けCTFによるセキュリティの基礎勉強会 セキュリティに明るくない利用者であっても楽しめる問題に調整。セキュリティ啓発目的 8 2020/12/11 某企業のCSIRT向けCTF 9 2021/1/17 SECKUN 九州大学サイバーセキュリティセンターが受託した厚生労働省教育訓練プログラム開発事業 10 2021/1/19 WEST-SEC#3 11 2021/2/9 WEST-SEC for Student セキュリティに興味がある学生様向け 12 2021/2/16 某企業でのグローバルイベント 某企業の世界中のセキュリティエンジニア向け 13 2021/2/19 SecurityDay2021春 Tokyo 株式会社ナノオプト・メディアが主催する国内最大級のセキュリティイベント 14 2021/3/3 愛知総合工科高等学校様の学生様向けにCTF授業#2 高校生向けに問題をアレンジ 15 2021/3/23 WEST-SEC#4 フォレンジック解析に関する出題あり 16 2021/6/15 WEST-SEC#5 MicrosoftのADに関する出題あり 17 2021/8/31 WEST-SEC#6 ADのログ分析問題、WiresharkとWebの連携問題含 18 2021/9/22 大阪府立大学様 CTF2021 教職員様向けセキュリティ啓発目的 19 2021/10/7 愛知総合工科高等学校様の学生様向けにCTF授業#3 学生向けに、セキュリティの謎解き系問題を多数出題 20 2021/11/6 enpit-pro@九州大学 CTFに加え、FortiGateをチームに1台準備し、攻撃とその防御を実習  21 2021/11/16 WEST-SEC#7 Splunkの実機操作問題、OSコマンドインジェクション問題を含む  22 2021/12/上旬 某企業向けセキュリティ研修   23 2021/12/17 日本CSIRT協議会(NCA)のAnnual ConferenceでのWEST- SEC CTF for NCA CSIRT向けに内容をアレンジ 24 2022/2/15 WEST-SEC#8(リバイバル版) WEST-SECの第1回~3回の問題から良問を、若干のアレンジを加えて出題 主催メンバー ・粕淵 卓(特技はUTMと情報処理技術者試験) ・谷口 貴之(OWASP Nagoya所属、CISSP) ・藤田 政博(セキュアプログラミングの作問担当) ※セキュリティに長年携わるメンバーです。 協力メンバー ・宮本 久仁男(アドバイザー,作問協力) ・T.Suzuki(作問協力) ・DustInDark(作問協力) ・中山 義康(チェック・ポイント,作問協力) 後援 ・OWASP Nagoya Chapter   Webアプリケーションのセキュリティを学びたい方には、OWASP top 10をオススメします。   OWASP top 10 ・Palo Alto Networks ・エムオーテックス株式会社 (MOTEX Inc.) ・チェック・ポイント・ソフトウェア・テクノロジーズ株式会社 ・株式会社マクニカ ※順不同


過去の勉強会

9/26 (日)

D2d57f496d985655fdf9cf3063583aa8 情報科学若手の会
情報科学若手の会とは 情報科学若手の会とは、情報科学に携わる学生、若手研究者、エンジニアのディスカッションと交流の会です。幅広い分野から参加者を募り、互いの交流を深めることで新たな発想が生まれることを目指しています(前回の開催報告)。インフォーマルな雰囲気ですので、これから研究を始めるという方も是非ご参加下さい。 不明な点は info at wakate.org までご連絡下さい。 招待講演 反転講演実験「学び方のデザイン 〜問題解決の選択肢を増やす」 こんにちは、西尾です。情報科学若手の会は、自分も20代前半から何回か参加していて、懐かしく思っています。 そんなわけで今回招待講演を引き受けたわけですが、正直なところオンライン講演で一方的に喋るだけではあんまり皆さんにとっての価値につながらない気がします。参加者の皆さんはITリテラシー高めなのだから、もっとITを駆使してより良い体験を作り出していけないかを模索したいです。 そこで、今回は講演部分を動画として事前に共有し、みなさんが好きな時間に好きな再生速度で視聴できるようにします。反転授業という手法の応用です。みなさんは講演を視聴して疑問に思ったことなどを、いつでも好きなタイミングでScrapboxに書くことができます。講演を聞くことも質問を書くことも、同期的である必要がないので疎結合な設計にしたわけです。 イベント当日は同期的にしかできないことに注力しましょう。一方的な講演ではなく、パネルディスカッション形式で司会の方と対話的に進める予定です。 講演者: 西尾 泰和 様 2006年、24歳で博士(理学)取得。2007年よりサイボウズ・ラボにて、チームワークや知的生産性を高めるソフトウェアの研究、今に至る。2013年『コーディングを支える技術』2018年『エンジニアの知的生産術』を出版。2014年技術経営修士取得。2015年より一般社団法人未踏の理事を兼任。2018年より東京工業大学 特定准教授を兼任。 未修正の脆弱性の探し方 -世界平和を目指して- ソフトウェアのバグの中でも、第三者が悪用可能なものを「脆弱性」と呼ぶ。脆弱性はサイバー攻撃の根本的な原因の一つであり、悪用されるとユーザに金銭や社会的な被害が及ぶ。そのため新しい脆弱性が発見された場合、パッチを配布/適用し脆弱性を塞ぐのが望ましい。しかし現実には、技術的/社会的/運用的な問題により、未修正となっている脆弱性が大量に存在する。  本講演では、様々な理由から生じてしまった未修正の脆弱性(専門的には1-Dayの脆弱性と呼ぶ)を、いかに発見するかを主軸に話をする。具体的には、アセンブリレベルのマッチング技術や類似画像検索技術などを駆使して発見した、著名なシステム(Windows)や、著名なIoTベンダの製品の未修正の脆弱性を紹介する。 講演者: 中島 明日香 様 1990年生まれ。サイバーセキュリティ研究者。2013年に慶應義塾大学環境情報学部卒業後、日本電信電話株式会社(NTT)に入社。入社後はソフトウェアセキュリティ分野の中でも、とくに脆弱性発見・対策技術の研究開発に従事。研究成果は情報セキュリティ分野における世界最大級の国際会議BlackHatやACM AsiaCCSなどで発表。また、日本初となる女性セキュリティコミュニティ「CTF for GIRLS」を発起人として設立・運営。著書『サイバー攻撃』(講談社ブルーバックス/発行部数約2万部)。SoftwareDesignでも連載。2021年にはBlackHatUSAのReviewBoard(査読者)に就任。第十五回情報セキュリティ文化賞受賞。サイバーセキュリティに関する総務大臣奨励賞 個人最年少受賞。Twitter: @AsuNa_jp 開催形式について 例年は9月・10月にプログラミング・シンポジウムのイベントとして 2泊3日 の合宿が行われていますが、昨年に引き続き新型コロナウイルスの流行状況を踏まえ、一日オンライン開催の形式とさせていただきます。 また、今回は新たな試みとして、ブースト会議形式(仮)での開催を予定しています。 発表形式の要約 事前に発表者が発表動画を撮影し、参加者へ共有する 参加者は(可能であれば)事前に発表動画を視聴し、コメント/質問を (Scrapboxへ) 投稿する 当日は発表動画を再生しつつ、発表者がコメント/質問へ応答していく形で議論する 参考 (talk.cppの例) 上記にもあります通り、発表者の皆様には事前の動画撮影をお願いします。動画の公開方法は、限定公開でYouTubeへ投稿して頂くことを想定しています。詳細は発表者の決定時に追ってご連絡いたします。 参加者/登壇者の皆様には、事前にScrapboxへ登録していただき、可能な範囲で事前に発表資料等をご覧頂いた上で一言コメント等を残して頂きたいと考えております。 当日は集まったコメント等を対話に近い形式で発表ができればと考えております。 例年と同様、本会後はナイトセッションを用意しております。参加者の方々は是非ナイトセッションにおける飛び入りLT発表もご検討下さい。 配信環境について メインセッション メインセッションでは、Zoomでの画面共有による登壇者の皆様の発表をYouTube Liveを用いたライブ配信にてお届けします。登壇者の皆様へのご質問等がありましたら、ぜひYouTube Liveのチャットにてお寄せください。 参加用のYouTube Liveの配信URLは、後日 connpassのメッセージにてお送りいたします のでこちらをご参照ください。 ナイトセッション ナイトセッション (18:00〜予定) では、Discord、またはSpatialChat等を用いたコミュニケーションの場を提供する予定です。 こちらの招待リンクにつきましても、YouTube Liveの配信URLと同様、後日 connpassのメッセージにてお送りいたします 。 発表者募集 講演内容は情報科学に関わる内容であれば、オペレーティングシステム、分散システム、プログラミング言語、機械学習、メディア情報処理、自然言語処理、スタートアップ、その他情報技術に関することなど何でもOKです。みなさまの発表の申し込みをお待ちしております。 今回は、発表時間・質疑応答時間が固定の発表枠と、可変の発表枠をそれぞれ用意しています。 発表希望の方は、当connpassページより、希望する発表枠を選んで申し込みください。 発表枠については、できるだけ早いタイミングで確定のご連絡を差し上げる予定です。最も遅い場合、2021/9/11(土)にconnpass上において枠の抽選結果が発表されます。 ブースト会議形式における発表者の方への事前動画投稿は、2021/9/20(月)を締め切りといたします。参加者の方へ入っていただくScrapboxに動画を投稿して頂く形となります。詳細については、確定後にご連絡しますScrapbox内の案内をご確認ください。 発表希望の方へ 発表者枠は通常・LT共に抽選となっておりますが、発表者枠に入れなかった場合でも参加をしていただけるようにしておりますので、安心して申し込みください。また、 ナイトセッションは飛び入りLT を基本としていますので、そちらでの発表も可能です。 幹事 武田 真之 久下 柾 (東京都立大学) 黒崎 優太 (株式会社サイバーエージェント) 高橋 真奈茄 (ヤフー株式会社) 田中 京介 和田 佳大 (株式会社サイバーエージェント) スケジュール メインセッション: 時間 内容 発表者名 発表タイトル 13:30 - 14:00 開場 14:00 - 14:10 オープニング 14:10 - 14:30 通常発表1 森瑞穂(@morimolymoly) LinuxでJIS版Magic Keyboardを動かすまで。そしてパッチ。 14:30 - 15:20 招待講演 西尾 泰和 反転講演実験「学び方のデザイン 〜問題解決の選択肢を増やす」 15:20 - 15:30 休憩 15:30 - 15:50 通常発表2 青見 樹 Pythonを用いたPDFデータからの情報抽出 15:50 - 16:25 若手特別講演 中島 明日香 未修正の脆弱性の探し方 -世界平和を目指して- 16:25 - 16:55 LT発表x2 逢坂 大河、puhitaku / 末田 卓巳 16:55 - 17:05 クロージング 行動規範 すべての参加者は情報科学若手の会が定める 行動規範 を一読した上で、スムーズな進行にご協力ください。 個人情報の取扱について 本イベントでは、情報科学若手の会が定める プライバシーポリシー に従って、申し込みの際に頂いた情報を利用させていただきます。