#hiisu

Hardening Project って？

Hardening Project  は、Web Application Security Forum ( WASForum ) により、2011年から定期開催されているサイバーセキュリティ競技です。 各チームごとに用意された「架空の企業のサイトとその企業が運営するECサイトのシステム（セキュリティホールやWebサイトとしての要件が満たされていない箇所が残されている状態）」を、それぞれのチームがシステムに必要な対策をしながら売上を競う Hardening day と、競技のふりかえりの Softening day の2日間で構成されています。今回のHardening II SU は、競技参加者全体が東西南北の連合にわかれ、更に連合内を6～7人の3チームに分けて、連合としての売上とチームの売上の二段階評価により優勝者が決定されるというものでした。（競技ルールは毎回違って、連合制は今回で2回めだそうです）

参加した理由

Hardening Project が沖縄で開催されている様子は5年以上前から気になっていて、「沖縄だし、知識も技能も足りないし...」と指をくわえて見ていました。しかし、今回札幌で開催されると知って、「この機会を逃すともう参加できないかも！？参加に向けて数ヶ月の猶予があるから、その間に何かしら準備ができるんじゃないだろうか？まずは、応募しよう！」と、思い切って応募しました。応募にあたり、自分のアピールポイントって何だろう？？？って詰まってしまいましたが、これといった強みらしい強みはないけれど、チームメンバーが能力を発揮できるように協調して働くことならできると思い、正直に書きました。

事前にやったこと／できなかったこと

事前にやったこと

Micro Hardening @ AD sapporo(5/25)に参加して、Hardening 競技の技術面を体験。 HIISUのチーム内では運営担当の予定でしたが、技術面にも興味があったので参加しました。Micro Hardening は、45分1セットの「同じ環境で同じ攻撃を受けながら様々な対策をする競技」を繰り返すので、前のセットできなかったことを次に対策できたりするのでとても勉強になるし、次こそ！って前向きな気持ちで競技に参加できてよかったです。同じチームや連合の参加者の一部とも顔合わせができて、その面でも参加した意味がありました。

チームflagのデザインとステッカーを制作しました。 チームflagは、早い段階で競技経験者の連合リーダーからデザインが必要との情報があり、準備をすすめることができました。結果、インパクトのあるデザインができて、チームメンバーの反応も良くホッとしています。（自画自賛）

前日の資料確認などの準備用会議室の予約をしました。(スペイシーを利用しました) 競技前日の夕方に配布される資料は、ボリュームがあることが見込まれていたし、資料を読みながらチームで作戦が立てられたら良いと思ったので、会議室を予約していてよかったと思います。

できなかったこと

WordPress、EC-Cubeの脆弱性や定番対応内容の事前確認 業務やコミュニティ活動でWordPressを扱う機会はあるものの、EC-Cube は使ったことがなかったので、管理方法や脆弱性情報など下調べをしておきたかったのに、まったく何もできていませんでした。（当日は、商品情報の更新などメニューを探したりして手間取ってしまいました）

メールやサイトのテンプレート作成 一部は作ったものの、細かいところは実際のサイト情報がわかってから詰めようとして、当日はその余裕がありませんでした...とほほ...

その他

連合内でチーム分けのためのスキルシートに記入したりしている頃、柴子犬を家族として迎えました。普段自宅で使っているSurfaceでは競技参加が不安だったので、ThinkPad X1を購入しました。登録セキュスペの集合講習も受講し、「経営視点」と支援の考え方について学習できて「Hardening に役立ちそう！」と思いました。（この時期、なんでも Hardening に結びつけてしまう、Hardening 脳になっていました）

前日の資料読み合わせと作戦会議後、軽くジンギスカンを食べて解散しました。翌朝、競技前に近くの神社で商売繁盛の祈願をしました。

当日できたこと／できなかったこと

できたこと

同じ連合内で売上が伸びないチームがあり、ECサイトの対策のお手伝いをしました。 お手伝いといっても、商品名や商品説明文のネタ出しで、2人でネタを出し合い楽しく適用しているうちに「売上伸びてるよ！」との声がかかって、びっくりしました。

発表資料作成用の場所確保 競技後はすぐに撤収しなければならなかったので、大人座で、コーヒーなど飲みながら発表資料を6人で編集しました。（通常4人席のテーブルを、6人利用予約して確保しました。6人でも狭くなかったし、落ち着いた雰囲気で良かったです）チームリーダーが事前にプレゼンテーションのテンプレートを用意してGoogleスライドで共有してくれていたので、6人がそれぞれ分担して同時編集して、予想よりも早く資料が完成しました。終電の心配もあり、Softening day用の資料作成が不安だったので、本当にありがたかったです！社長（リーダー）ありがとう！

できなかったこと

当日の役割分担として、企業サイトやECサイトの対応を担当していたのですが、午前中 RDP 接続できなくて、午後もモタモタしてしまい、予定の10％くらいしかできなかった...。あとメール対応も、途中から受信できなくなってWebメールも見られなくなって終了...涙

終わってみれば、予定していたことの10%もできなかった印象で、売上も伸びず、対応点も韋駄点も振るわずでした。が、まさかのスポンサー賞！！！環境設定で困っていたときにマーケットプレイスで購入した、株式会社 Blue Planet-works 様にあんなに助けていただいたのに、賞までいただくことができました！びっくり！！！ありがとうございます！Blue Planet-works 社と言えば、AppGuardですが、今回は導入していません。一般的なウィルス対策ソフトとは異なるアプローチが特徴なので、何人かの方に「App Guardどうでした？」ってご質問をいただきましたが、残念ながら使用感はわかりません。自宅PCに導入したら、ブログに書きたいと思います（自腹）。いただいた書籍は、現在社内で回覧中です。

そして、副賞！CLASSICの夏限定「夏の爽快」は、当日チームメンバーで分配したのですが、後日宅配されるメロンとホワイトコーン、イエローコーンが自宅に届きました！

をををー！スポンサー賞が届きましたー！ありがとうございます！（イッヌにチェックされ中） #HIISU #イッヌ pic.twitter.com/NdBCxkROM1

#イッヌ

pic.twitter.com/NdBCxkROM1

さいごに

　スポンサー・マーケットプレイスの皆さま、Hardening Project実行委員の皆さま、関係者の皆さま、大変お世話になりました。ありがとうございます！そして、この競技に参加するまでオンライン・オフラインともに接点のなかった6人のチーム＆連合の皆さん。一緒に競技できて本当に楽しかった！ありがとうございます！　Hardening Project に初めて応募して、審査通過の連絡をいただいたものの「ちゃんとチームの一員として機能できるだろうか？」と不安を感じていました。でも、連合 slack や同 slack のチームチャネルの情報共有、Micro Hardening参加、Zoomでのミーティングと、競技本番までに初参加でも不安を解消できる場面がたくさんありました。本番までの約2ヶ月間、一緒に競技するメンバーとの情報共有ができるのは本当に心強く感じました。 楽しかったけれど、できなかった悔しさもあり、いつかリベンジしたい気持ちです。今回、年齢とか気にせず、興味が湧いたら参加すればいいっていう気持ちになれたので、ctfなどにも参加したいと野望が膨らんでいます（無謀）。

今回応募を見送った方、今後の参加を検討中の方へ

　もしかしたら、自分に何ができるかわからない。何もできないんじゃないだろうか？と応募に躊躇したり不安を感じるかもしれません（自分がそうでした）でも、限られたメンバーで競技するので、それぞれ何かしらの活躍シーンが生まれるチャンスがあります。（6人チームというのは、全員が参加しないと回らない絶妙な人数らしいです）自分でも予想していなかった形で貢献できる場面があるかもしれません。だから、まず、応募することをオススメします・ｖ・ また、開催前に、関連イベントがあり、参加することで準備や情報交換ができます。

Hardening II SU 前に開催された、関連イベント・勉強会

Micro Hardening @ AD sapporo(5/25)

Hardening II SU 事前勉強会＠東京(6/17)

Hardening II SU 事前顔合わせ会＠大阪(6/24)

堅牢化しナイト ～Hardening虎の巻～(6/28)

Mini Hardening Project#3.3@FOLIO(6/30)

少しでも参考になればうれしいです。

おまけ

子犬は、こんなに立派に育っています（まだ成長中）