nmtysh.log

Tech系のネタや日々の独り言などを書いています。

Hardening 1010 Cash Flowに参加しました

06/23,24に行われたHardening 1010 Cash Flowに競技者として参加しました。
Hardeningには1年ぶりの参加となりますがまだまだ学ぶべきことは多いです。


(写真提供: Hardening Project)

今回ネットワーク周りの把握や設定変更に手を出しましたが普段使うnet-tools系(netstatなど)とは違うiproute2系(ss)のコマンドに戸惑いました。
どうにかfirewallのルールを作っても上手いこと適用させきれず……
その上、動いているシステムを動かしながらネットワークの設定変更をするという緊張感もかなりのものがありました。

失敗すると最悪の場合、その後の競技ができなくなってしまう恐怖。
本番さながらのオペレーションが体験できるHardeningは素晴らしいイベントです。
イベントを開催しているWASForum、Kuromame/Iromameの皆様、そしてスポンサーの皆様ありがとうございます!
今回優勝は出来ませんでしたが、バラクーダ賞をいただくことが出来ました。バラクーダ様ありがとうございます!

箇条書きになってしまいますが、今回あったこと・感じたことなどを

  • ペッパーくん再び。パスワードを漏らされる
  • CentOS 7 / Ubuntu 混在
  • firewalld / ss に苦戦
  • 設計・構築段階でセキュアになるように作るのが大事だなと実感
  • 運用入ってからの構成変更はハードルが無茶苦茶高い(下手したら止まるし
  • VPSレンタルサーバー(という想定のサーバーが登場)
  • mastodon まともに使えず(使わず
  • RDP環境は性能があまり良くない(使い慣れた普段の環境って大事だなと実感)
  • 8時間→10時間耐久
  • 1チーム20台近く
  • WordPress, EC-Cube, welcart, Ninja forms, WordPress Files Upload, Struts1/2, Tomcat Manager, …
  • Firefox / Thunderbird 重い
  • IMAPのメールが数千件超。初回同期に時間がかかる。振り分けも大変
  • 軽いメーラー必要
  • bind脆弱性
  • rndc(namedのリモートコントロールツール)
  • Tomcat管理マネージャー
  • ImageMagic脆弱性
  • 事件はほんのささいなことから
  • 起きた後の動きが重要
  • (こういったインシデントを)体験したことがあるかどうかが大切
  • 高度な脆弱性・欠陥ももちろんだが、何も考えずに世の中にある手順書を行うと知らず知らずのうちに脆弱な設定を作ってしまう
  • その設定が悪用されてしまうおそれがある。それらの標準機能や標準プロトコルはそれ自体は異常な通信ではないため、セキュリティ製品はアラートを上げられない場合がある

二日目のSoftening Dayの様子はYouTubeで公開されていますのでこちらもご覧いただくとよりHardeningの雰囲気が伝わるかと思います。

H1010CF Softening Day - 全チーム・プレゼンテーション

H1010CF Softening Day - Kuromame6プレゼンテーション

H1010CF Softening Day - スコア発表/表彰/講評

H1010CF Softening Day - 午後の部

Hardeningから派生したMINI Hardeningを運営していますが会を重ねるうちにMINI Hardeningに参加して、そしてHardeningにも参加したという方も増えてきました。
着実にHardeningの裾野が広がってきていると感じています。

プレッシャーも増してきていますが、MINIももっと発展できるように自分自身のスキルをより高めていこうと実感しました。

Hardening Projectは2014年以降沖縄で年2回開催されていました。ですがついに沖縄を飛び出します。
次回は淡路夢舞台で3日間開催予定(Hardening Project 2017 FES. 2017/11/23-25)です。


(写真提供: Hardening Project)

最後に改めて、
イベントを開催しているWASForum、Kuromame/Iromameの皆様、スポンサーの皆様、そして参加した皆様ありがとうございました!

Web Application Security Forum – WASForum
Hardening 1010 Cash Flow 競技参加者募集 | Web Application Security Forum - WASForum
MINI Hardening Project | Welcome MINI Hardening Project!

Hardening 1010 Cash Flowの1日目。 - Togetterまとめ
Hardening 1010 Cash Flowの2日目。 - Togetterまとめ
#h1010cf