川口 洋氏×野溝 のみぞう氏×Ｓｋｙ情報システム部座談会ハードニング競技会からひも解くSKYSEA Client Viewの真価

Ｓｋｙ情シスM

まずはハードニング競技会を知らない読者のために、競技の概要を説明していただけますか？

川口氏

端的に言うと、セキュリティの堅牢化技術をチームで競う大会です。100人を超える参加者を1チームあたり8～10人ほどに振り分け、チームごとに競技用環境でECサイト事業を運営してもらいます。そして、私たち運営側が仕掛けるサイバー攻撃を8時間にわたって防ぎながら事業を継続し、その売上額を競うというものです。

Ｓｋｙ情シスM

セキュリティ競技会なのに売上額を競う点がユニークですよね。

川口氏

競技会の始まりは、「セキュリティ技術やそれを磨く競技イベントは充実しているのに、なぜ企業の事故・事件はなくならないのか」という問いかけでした。そこから、“事業を運営するためのセキュリティ技術”を競う大会が必要なのではないかと考え、この形式にしています。

Ｓｋｙ情シスM

2012年の初開催以降、この場にいる弊社社員も含めてたくさんの人が参加してきました。のみぞうさんは、2020年の初参加で見事優勝されていますね。

のみぞう氏

チームメンバーに恵まれたのが大きかったです。ハードニング競技会はチーム一丸で頑張れるかどうかがカギになりますから。

川口氏

チームビルディングは大事ですよね。どのチームも1か月半くらいかけてオンラインで入念にミーティングや模擬演習をされていて、すごいと思います。

Ｓｋｙ情シスS

私も参加時は自己学習や環境準備に追われて、正直大変でした。ただ、他社の情シスの方などとたくさん交流して、他社での取り組みなどを知れたのはすごく刺激的でしたね。

川口氏

いろいろな組織の人が参加するのも魅力ですよね。ちなみに、皆さんはどんなきっかけで参加されたんですか？

Ｓｋｙ情シスM

私は2021年が初参加です。当時は、私が所属する弊社のCSIRTが発足してから3年ほどで、腕試しとスキルアップのために参加しました。

Ｓｋｙ情シスF

私はMからの紹介です。普段はMと同じチームで、万が一の際のインシデント対応やセキュリティ対策計画の検討などを業務にしていますが、リアルなサイバーインシデントへの対応はなかなか体験できないと思い、参加を決めました。

川口氏

実務では有事が起きないようにするのが基本ですもんね。Sさんは実際に参加して、何か変化はありましたか？

Ｓｋｙ情シスS

さまざまな攻撃を実体験できたおかげで、有事への心構えは大きく変わりましたね。社内でもサイバー攻撃を想定した演習を実施していますが、どんな事態にも落ち着いて対処できるようになりました。

川口氏

一度経験をしておくって大事ですよね。

のみぞう氏

経験といえば、私は「呼び出しイベント」に苦労しました。運営の方が演じる“経営層”に、発生したインシデントの詳細や今後の対応を説明するロールプレイだったんですが、初めてのときは何も資料を準備せずに臨んでしまい、めちゃくちゃ怒られました。

川口氏

現実でも上司への説明に手ぶらで行ったら怒られるでしょうね（笑） この競技会は、セキュリティ技術に限らず「ビジネスを阻害する要因を排除する力」を競う場にしたいので、そのようなイベントも取り入れています。

Ｓｋｙ情シスS

大会によっては、呼び出しイベントが“謝罪会見”のときもありますね。

川口氏

はい。記者役の運営メンバーがきつい質問をするので、かなりリアリティーがありますよ。過去の参加者の中には「謝罪会見の体験をしに来ました！」という企業の広報部の方もいたくらいです。

Ｓｋｙ情シスM

どんな部署であれ、セキュリティは切っても切れない時代ですし、ぜひエンジニア以外の方にも参加してほしいですね。

Ｓｋｙ情シスM

ハードニング競技会ではスポンサー企業が用意したさまざまなセキュリティサービスを活用でき、弊社もSKYSEA Client Viewを提供しています。競技会での導入メリットについて、川口さんはどうご覧になっていますか？

川口氏

私は運営側なので競技での利便性はわかりません。ただ、衛らなければならないシステムの数が多いため、異変を素早く、楽に発見できる点にSKYSEA Client Viewの価値があると思います。競技者として実際に活用したFさんはいかがでした？

Ｓｋｙ情シスF

私が特に便利だと感じたのはログですね。SKYSEA Client Viewはアプリケーションログやシステムログ、exeを実行したログなど幅広く取得できます。競技中はPowerShellスクリプトを悪用した攻撃にもすぐに気づき、被害を阻止することができました。

川口氏

PowerShellは攻撃者が使うプログラムの筆頭ですよね。どうせ攻撃者しか使わないんだからすべて止めてしまえ！ って言いたくなりますけど、意外とシステム管理者は頻繁に使うからそうもいかない。

Ｓｋｙ情シスS

そうですね。Active Directoryの設定変更や自動化で必要になりますし、情シスとしてはPowerShellの使用を禁止されると仕事にならないです。

川口氏

完全に使用禁止にするのが難しいからこそ、ログで操作の詳細を記録したり、不審な操作とそうでない操作を識別する必要がある。まさにSKYSEA Client Viewの腕の見せ所ですね。

Ｓｋｙ情シスS

逆に攻撃者の視点から見て、記録されると嫌なログってなんですか？

川口氏

Windows端末の操作ログですかね。Windowsの標準機能だと、特定のイベントログとして残る条件はあるにせよ、記録されない操作の方が多いじゃないですか。それをしっかり可視化されるのは嫌でしょうね。

Ｓｋｙ情シスM

攻撃者に何をされていたのか、後でしっかりと証跡をたどれるのは重要ですよね。

川口氏

そうですね。「こういう目的でログを見たい」というユーザーの意思があってこそ効果を最大限に発揮するツールだとは思いますが、そのようなユーザーの意思を実現可能な環境を提供できるのがSKYSEA Client Viewの大きな強みだと思います。

Ｓｋｙ情シスF

実際、私も競技後にSKYSEA Client Viewのログをチェックすることで学習や反省に生かすことができましたし、それが一番の導入メリットだったかもしれません。最終日には、各チームが振り返りのプレゼンを行う「Softening Day」がありますが、その発表用レポートも詳細に作ることができました。

のみぞう氏

ログの重要性について話してきましたが、実際に情シスとしてSKYSEA Client Viewを活用しているSさんはどう感じていますか？

Ｓｋｙ情シスS

自社商品ながらよくできていると思います。弊社では約1万2,000台の端末を管理していて、人力での管理は困難です。ですから、資産情報が毎日自動で更新され、あらゆる挙動がログとして記録されるのは非常にありがたいです。

のみぞう氏

でもログの量が膨大だと、分析が大変ですよね。

Ｓｋｙ情シスS

そうですね。インシデント調査のときにかえってわかりづらくなってしまうので、収集するログは適宜調整しています。あとは、ログの種類を指定して検索する機能なども活用しています。

川口氏

ちなみに、サーバーには導入しているんですか？

Ｓｋｙ情シスS

はい。SKYSEA Client Viewの「サーバー監査」機能で、各サーバーのイベントログを自動で収集しています。万が一、攻撃者にイベントログを削除されてしまっても、SKYSEA Client Viewのサーバーにはログが残っているので、攻撃の詳細を確認できるようになっています。

川口氏

なぜこれを聞いたかというと、サーバーにSKYSEA Client Viewを導入している組織が少ない気がするんです。

のみぞう氏

確かに。クライアントに導入するツールというイメージが強いのかもしれませんね。

川口氏

最近はサーバーを狙う攻撃による被害を受けた対策として「サーバーにもEDRを導入します」という事例をちらほら見かけます。ただ、根本的な問題としてサーバー側でいつ、何をされたのかわからないと困りますからね。だったらサーバーにもSKYSEA Client Viewを入れたらいいじゃん、って思います。

Ｓｋｙ情シスM

SKYSEA Client Viewがフォレンジック調査を支援できることについて、もっと広めていかないといけませんね。

川口氏

ハードニング競技会でアピールしないとですね（笑）