セキュリティキャンプ全国大会2016に参加してきました。
事前課題とかについてもなかなか触れられなかったので、この記事で一気に書いていきます。次回以降、参加する方の参考になれば幸いです。
～Day0 非公式前泊（東京観光）
キャンプ参加が決まってからは、色々な事を済ませなければなりませんでした。TODOリストは以下の通りです。
- 新幹線の切符購入
- 様々な提出書類
- 名刺作成
- 宿泊道具の事前発送
- 事前課題
新幹線の切符購入
キャンプ日程は8/9~8/13となってましたが、お母さんと一緒に東京観光もしたかったので8/8東京行きの切符を購入しました。日程がお盆と重なることもあって、新幹線の切符購入は購入可能日にすぐに買いに行きました。（その時活きたのが、切符購入は乗車日の一か月前から購入可能だという知識。知識は多いに越したことは無いなぁ）
バイトとか学友会とかプロジェクトとかとかとか…色々な予定が重なって、購入が難しいと思った切符に関してはお母さんに買ってもらいました。いつもお世話になってます。
様々な書類提出
50人近くの学生を集めるので、何があってもおかしくないということもあり、キャンプ参加に先立って保険や保護者の同意を求める書類などが送られてきました。
大学生にもなると、印鑑を押す書類が増えてきたなぁと、なんとなく大人への第一歩を踏み出している感覚に浸りながら処理していました。働いたらこんなことが増えるのかな？いやきっとうそうなんだろうなぁ。
名刺作成
キャンプには参加者・チューター・講師・企業の方・その他関係者など、たくさんの人が集まります。田舎者の私としては、これ以上に人と関わる機会はない！と思って、名刺作成には力を入れました（入れたつもりでした）。
直前まで忙しかったという言い訳をしながら、名刺が完成したのは東京へ出発する前日。100枚ぐらいあるといいよ！というIPAの方から伺ったので、150枚印刷しました。
印刷した名刺はこんな感じです↓
中学から高校まで小説を書いていて、その時のキャラクターを名刺にしました。絵は描けないので頼みましたが…(;´･ω･)
名刺を作ってくれる業者に頼めばよかったのですが、ぎりぎりと言うこともあってWordで作成しpdf化してからコンビニで印刷することに。その時に余白の設定などを完璧にできなかったせいか白の部分が目立ってます。しかもそれを裁断機で切ったので、お世辞にもきれいな仕上がりとは言えません。
次回からは絶対に業者に頼んでやる。そう思った次第です。くそぅ…(´;ω;｀)
宿泊道具の事前発送
4泊5日（+1）の日程だったため、着替えなどの準備が必要でした。しかしそれを当日に持っていくのでは荷物になりますし、折角の東京観光も楽しめない。ということで、会場のクロスウェーブ幕張へ事前に送ることにしました。
その時に初めてクロネコヤマトの集荷を依頼しました。本当に指定した時間通りに来てくださって、荷物を持っていって下さいました。
その時に、「伝票ありますか？」と聞かれて伝票が何か分からなかったのは内緒です。疲れてたんでしょうかね。
事前課題
多分みなさんが気にするのはコレ。事前課題は、自分が選択した講義をよりスムーズにするために、予め課せられている課題です。といっても、講師・参加者共に忙しい為に、事前課題は必ずしも必須というわけではありませんでした。
私の選択した講義も「事前課題が無いor事前課題（提出）は必須ではない」のどちらか大半でした。
事前課題を余裕にこなすかたもいらっしゃいましたが、私は無理でした。はい。事前課題ですら躓くレベルで…ここで既に警鐘が鳴り響きます。
後述しますが、事前課題はしっかりやってください。でないと、当日は何もできなくなります。いや、何もできなかったのは私ぐらいですかね。地の学力が十分ではなかったので。
東京へ出発！
いよいよ新幹線に乗って出発です。東京に行くのはMOS学生世界大会表彰式（日本代表には選ばれなかったけど）以来で、今回はその時に回り切れなかったところに遊びに行く感じになりました。
まずは原宿です。前回は夜にしか行けなかったために、ほとんどの店が閉まっている状態でした。その時の印象は、「なんだかクレープ屋が多いなぁ」って程度でした。でも今回は昼間から原宿に繰り出せるということで、楽しみでした。
うわぁ！人がいっぱいだ―！活気に溢れすぎているー！Σ(･ω･ﾉ)ﾉ！
なんだか楽しそうな雰囲気の中、人込みを突き進むことに。夏真っ盛りで人込みのダブルパンチと言うことで、ものすごく暑かったです。
人も多かったけど、やっぱりクレープ屋さんも多かった。
すれ違う人も色んな服装をしていて、コスプレしてる人もまれに見かけました。そして私は初めてスカウトなるものを目撃しました。東京でスカウトって、やっぱり存在するんだなぁとか思ったり。ちなみにスカウトされていた人はコスプレしていましたが、クオリティが高すぎました。
途中で、サンリオのキャラクターグッズが売っているお店に入りました。ぐでたまとマイメロディのグッズが欲しくてつい入ってしまった。そこではぐでたまのメモ帳やクリアファイル、マイメロディの端末防水袋（名称はよくわからない）を購入しました。
ぐでたまはあのやる気のなさ加減が好きです。マイメロディはアニメを見て非常に癖になってしまいました。何度も笑わせてくれたマイメロディが私は好きです。
＜＜＜サンリオのお店に入ったらお母さんに「えー」って言われました＞＞＞
通りを進んでいき、道路を出たあたりにLINE FRIENDS（？）を発見したので、そこにも行ってみました。中は、LINEのキャラクターであるサニーとかたくさんいました。
東京っていいなぁ。真新しくて面白そうなものがたくさんあるし、色々と不自由しないんだろうなぁ。都会は違うなぁ（）
そこで友達へのお土産を少し買いました。お母さんもいくつか買ってたような。普段お世話になっているトークアプリなのでここで少しのお礼をしました。
少しそこで過ごしてから、時間もお昼を軽く過ぎたころもあり、気になっていたクレープを食べました。
（※ボケてますが気にしないでください）
すごい、クレープの上にプリンが乗っている！なんてことだ！アニメでしか見たことなかったものが目の前に！大きくて甘そうなクレープを、おなかが減っている状態で食べたらとても美味しかったです。クレープまた食べたいです。あ、買ったクレープ屋さんはLINE FRIENDS前にありました。名前は忘れてしまいました。すみません。
原宿は全体的にかわいらしいところでした。人混みの多いところは苦手ですが、たまにはこういうところも悪くないのかなぁと思って楽しんでました。また行きたいですね。今度は原宿のいろんなお店も見て回りたいです。
次は新宿です。南口NEWoManにある800° DEGREESというピザのお店に行きました。ここはお母さんの希望で、なんでもピザを自らセレクトして焼いてくれるのだとか。ピザ生地からトッピングまで全て自分好みにできます。
幼い頃、地元の宅配ピザ屋さんがやっていたパイナップルのピザが好きでしたが、不人気だったのかいつのまにかメニューから消えていました。それ以来、パイナップルの乗っているピザと言うものが食べたくて仕方なかったので、迷うことなくトッピングに追加しました。
とってもおいしそう！本格窯焼きピザなんてそう簡単に食べられるものではないので、感謝の気持ちを込めながらいただきます。
ピザの上に載っているパイナップルが、口の中を潤してくれるのがまたいいですね。都会はちｇ（ｒｙ
ピザも食べて満足したところで、今度は新宿西口近くのビックカメラにお邪魔しました。
あらかわいい。
ここではお母さんが足のマッサージ器を探していました。前回の東京旅行では気に入ったものが見つからなかったらしく、再度探したいとのこと。
私はと言うと、まだそんな年齢じゃないので本に興味津々。”サイバーセキュリティテスト完全ガイド”を購入しました。
サイバーセキュリティテスト完全ガイド ~Kali Linuxによるペネトレーションテスト~
- 作者: Peter Kim,八木橋優,前田優人,美濃圭佑,保要隆明,株式会社クイープ
- 出版社/メーカー: マイナビ出版
- 発売日: 2016/08/01
- メディア: 単行本（ソフトカバー）
- この商品を含むブログを見る
キャンプの講師の方の中にこの本の関係者の方がいるので、思わず購入。サイン貰うつもり満々です。
余談ですが、そこにインサイドWindows第6版[上]がありました。買いたかったけど、電子書籍を持っているので断念。出版社に問い合わせても手に入らないと言われて諦めていたときに、こういうところで見つけるとすごくがっかりします。やっぱり品ぞろえが違いすぎますね。いいなぁ、都会はｔ（ｒｙ
あ、お母さんは結局気に入ったものを見つけられなかったようです。結構購入するか悩んでたとこまで行ってたんですがね。私は当分いらないかなぁと思いました。マッサージ器を使っていると体が痛くなったので。
周りが暗くなり始めたころ、Tokyo Dome CityのTeNQに行ってきました。ここのプロジェクターが素晴らしいということで、中を見て回ることに。
宇宙に関係するものがたくさんありましたね。面白い。
ここで気になったのが、宇宙食というもの。テレビで見たことはあったけど、直接見るのは初めて。後で載せますが、なんだか宇宙食っぽい。
もちろん、ここのシアターも見てきましたよ！
シアターはすごかったですね。迫力満点。中に東京大学の研究室もあったりと、ここは面白いところだと感心していました。VR,AR,プロジェクションマッピングとかに興味のある友達にこのことを教えるつもりです。
東京観光も終わり、ようやくホテルへ。クロスウェーブ幕張近くにあったところにチェックイン。東京駅で買ってきたおいしそうなものや宇宙食などを食べました。
宇宙食の中身はこんな感じでした。フリーズドライ製法とかで、水分を飛ばしているらしい。なんというか、変わった味でした。一度は体験したいものだったので満足です。食べて思ったのは、やっぱり地上でそのものを食べたいってことですかね。
千疋屋のデザートはおいしかったですね。その時に感動したのがスプーンの形状でした。四角い入れ物の中でも余すことなく食べることができるというのが感心させられました。あれはまた食べたいです。スプーンの形状について感動を周りに教えたいです（？）
そういえば東京に来て芸能人を見かけることはできませんでした。一度くらいはチャンスあるかなとか思ったのですが。
Day0の戦利品は以下のようになります。
Day1 東京観光＋セキュリティ基礎＋特別講演＋チューター成果報告＋グループワーク（１）
ホテルをチェックアウトした後は、海浜幕張駅まで移動し、近くのイオンで時間を過ごしていました。そこで似顔絵を描く方を見つけたので、物珍しさに思わずお願いを地元じゃなかなかそういうのはないですからね。。内藤美奈子さんと言う方がお母さんと私の絵を描いてくださいました。似顔絵は流石に載せられないのですが、とても良いものを描いてくださいました。
11時頃になり、そろそろということで、お母さんとはここで解散。
その時、「たくさん挫折してきなさい」と言われました。うーん、挫折はなるべくしたくなかったんだけど、多分キャンパーは圧倒的能力を保持していること間違いなしなので、何回かは挫折するだろうなぁとか思っていました。
（この後お母さんはもう一度800° DEGREESに向かい、ピザを食べましたとさ）
さて、ここからが本番です。↑までただの旅行記ですね。
いよいよ会場に到着しました。ここに来て、本当にキャンプに参加するんだなと期待と不安で感情がオーバーフローしそうでした。
会場内では既に名刺交換が始まっており、後れを取るまいと私も名刺を積極的に交換していきました。予め決められていた自分の席には大量のアメニティと講義資料、そして貸し出しされるPCがありました。
もらったものに関しては後でお見せします。
とにかく、名刺交換をしていく中で気づいたのは、そもそもの学力的な差ややってきていることのレベルの違いです。自分より年下の方もいれば、未踏クリエイターになった人、通っている学校がレベルが高いところだったりと…一言で言えば場違いな気がしたのです。この時はまだ、めげずに名刺を配り続けることはできましたが、心の内ではこの五日間が大丈夫なのかどうか心配になってきました。もう、圧倒されそうで胸が痛い。
それとは別に、事前でTwitterで絡んだ人が現実に会うとイメージと全く違うことも分かりました。それは面白かったです。本名より、アカウント名で呼び合うことの方が多かったです。今後参加する方は、Twitterなどで絡んでおくとより親しみやすくなると思います。「はっぴーのーとさん」と呼ばれるのは何気に嬉しかったです。
その後、開会式があり、とてもえらい方々のありがたいお言葉を頂きました。目の前にそういう方がいるかと思うと、なんだか不思議です。
なおここからの話は、メモしてきたことが多いので（記憶容量の問題）、もしかしたら発言している人や内容が間違っているかもしれません。書いてはいけないことなど、間違っていたらご指摘ください。よろしくお願い致します。
セキュリティ基礎（講師：上野宣さん）
まずはセキュリティについて上野宣さんが講義をして下さいました。この講義ではセキュリティの難しいところとは「何が問題か？」が分かる能力、つまり「問題発見能力」が重要になるということだそうです。
その問題発見能力を養う練習として、キャンプの応募用紙提出システムにおける問題点をグループディスカッションすることになりました。
分野がWeb系となっており、私は相槌を打ったりするしかありませんでした。しかもそこで発表者としてディスカッションのまとめをみんなの前で言わなければならないとなり、とにかくメモしまくって「それっぽいこと」を言いました。ああ、あの時チームのみんなには申し訳なかった。
ディスカッションとかは学校で慣れていたつもりだったけど…根底にある知識が全く無かった。悔しい思いをしました。どっちかというとバイナリ系の人間なので、Web系はさっぱりなのです。バイナリ系でも何もできませんが。
ディスカッションの後は、セキュリティ人材が足りないという話を伺い、上野さんが行ってきたDEFCONの話になりました。CGCというCTFの自動化に関する競技が行われていたことや、セキュリティ人材はいるにはいるんだけど、その大半はスキルが足りないということも伺いました。この二つの話から、現在はセキュリティ人材の不足が叫ばれているが、今後は脆弱性診断などが自動化され、時代が変わり人材不足などなくなるかもしれないともありました。
現状で私達に求められていることは、セキュリティの研究・開発、人材育成、啓発活動、製品を導入すること、この四点についてです。特に啓発活動については、平易に伝える技術が必要だとおっしゃっていました。
特にセキュリティの啓発活動についてとても共感しました。私は中学校でセキュリティの啓発講演をしてきたことがあります。また地頭が悪い分、分かりやすく解釈しないと覚えられない人間なので、今後は自分の身の回りだけでもセキュリティに関して啓発活動を行えたらいいなと思いました。
特別講演（１） ZENIGATAになりたくて（講師：福森大喜さん）
第一線のエンジニアとして働く福森さんに「技術とは何か」について講演頂きました。技術と聞かれて想像するのは何かに対してのスキルだとか、能力だとかを意味すると思うのが普通ですが、福森さんの考える技術とは「手へんに支えると書く、つまり誰かを支えることができること」だそうです。
福森さんは大学時代、それほどまわりより技術があったわけではなかったそうです。大学の課題としてFTPクライアントの作成をしていたとき、脆弱性があると指摘されたことをきっかけに文献などを漁っていたら自然とExploitができてShellも取っていたのだとか。現状の能力だけでは人を測ることはできず、努力次第で上に進むことができるのだと思いました。
ちなみに、福森さんの意見では、バイナリ系をやっているひとはCTFで何でもできるようになる傾向があるそうです。私も頑張ってバイナリ系をやろう。
他にも働いているときに出会った脆弱性についての話など、興味深い体験談をたくさん聞きました。
特別講演（２） サイバー犯罪の実態とこれに対処するための取り組み（講師：間仁田祐美さん）
犯罪とは一体何かについて、間仁田さん（愛称：マニータさん）にお話を伺いました。
現状はネットワーク利用犯罪の数が多く、詐欺などは一定レベルを保って数が多いそうです。ここでマニータさんは、人間が一番の脆弱性だと言っていました。言い換えればレイヤー８：人間だそうです。
DD4BCと呼ばれる組織のDDoS攻撃や、法人メールの詐欺など、実例を交えてどんな犯罪があるかなどを教えて下さいました。圧縮ファイルやWordファイルなどによる標的型攻撃も増えてきているのだとか。特にWordファイルは気を付けた方がいいらしいです！
マニータさんは、犯罪は「自分がやりたい欲求をすることで誰かが困るかどうか」が基準だとおっしゃいました。最終的には、誰と繋がるかが大切だとも仰っていました。私もこのセキュリティキャンプで得た人とのつながりを大切にしていきたいと思います。
チューター成果報告
セキュリティキャンプ全国大会の修了者が自らのやってきた成果を発表するというものでした。詳しい内容は話せませんが、もうとにかくレベルが違いすぎました。同じ学生とは思えないほどのクオリティの高さと、レベルの高さを感じました。ただこれを見て絶望とか人権を喪失したとかはありませんでしたが、私も発表してくださったチューターのような事がしたいと強い憧れを持ちました。来年度のキャンプでチューターになれるよう勉強が早くしたい！と感化されました。
ちなみに、あるチューターの方は勉強のうち9割の時間は読書に費やすのだとか。やっぱり読書は大切ですね。
グループワーク（１）
同じチームのメンバーとある議題を決め、それについてディスカッションするというものです。提示されたお題は以下の４つです。
- 未来：10年後のIT社会のセキュリティのあるべき姿
- 倫理：こどもたちに正しくIT技術を身につけさせるために～ホワイトハッカーにするためには～
- 対策：小規模企業（100人未満）におけるセキュリティ対策として何を行えばいいか
- 回避：攻撃者に狙われない為に何をすればいいか
自己紹介の後、この４つのテーマから１つを選び、さらにチーム名を決めることになりました。
チーム名->めも帳（あいでぃーいー）
テーマ->倫理
教育という分野に興味があったので、倫理になってよかった。でも、チーム内でテーマを決める時に分かれてしまったから、いずれは他のテーマについても議論出来たら良いなと思っています。
この後、キャンプの会場にいる人なら誰でもいいので、自分たちで質問を決めて聞いて来いとのこと。各担当講義の講師の方などに聞いてみることにして、Day1を終了しました。
この時点で、22:00です。早く寝ないと翌日の講義に支障が出るため、アニメなどは見ずにお風呂に入って就寝。気づいたら24:00でした。みんなは他の人の部屋に行ったりしてたらしいおとなしく寝てたらしい。
（地方だから深夜にアニメがやっているなんて感覚すら無かったのだ…(´;ω;｀)）
そしてここからの講義内容はこんな感じになります。
- 1-D Dissecting Malware - x86 Windows malware analysis -
- 2-A スマートフォン向けゲームのセキュリティ
- 3-C 脆弱性検出実践（ファジング技術と脆弱性報告）
- 4-A クラウドセキュリティ基礎
- 5-B USBメモリからブートしてみよう
- 6-D リバースエンジニアリングを自動化せよ
- 7-B 組込みリアルタイムOSとIoTシステム演習
これらを選んだ理由は前のエントリをご覧ください。全部書いてあります。
Day2 講義1・2＋CTF
1-D Dissecting Malware - x86 Windows malware analysis - （講師：中津留勇さん）
多分一番まともに受講できた講義です。もともとWindowsしか使わなかったので、Windowsのマルウェア解析は興味がありました。ある程度練習していたこともあり、事前課題はなんとか終わらせることができましたが…本番の講義はもっとレベルが高く、ついて行くのがやっとでした。
他の受講者のマルウェア解析手法で、IDAの使い方が上手い例として自分のやり方が取り上げられていたことが嬉しかったです。努力した甲斐がありました。人に褒められるととても嬉しいですね。でも他の人の方が見習うべきベストプラクティスだったので取り入れていきたいです。
ちなみに、その手法とは、
- とにかくコメントを付ける
- 理解に基づいた名前を付ける
- 定数を定数名に置き換える
- 関数のまとまりだけでなくコードブロック単位でコメントする
- 関数そのものにコメント、中身ではない
- コードフローに色を付ける
といった感じです。
また、最近のマルウェアのトレンドも伺いました。最近はばらまき型メール攻撃やマルバタイジングを介したランサムウェアが多いのだとか。ばらまき型メール攻撃による被害が急増している背景として、その文面が非常に完璧に近い日本語になってきているのだとか。昔の英語だけのメールや下手な日本語は通用しなかったのが、今では自然な日本語になっているらしいです。
基礎知識として、PEファイルフォーマットや仮想メモリの仕組み、関数呼び出し規約やCOMインターフェースなどを知っておくと良いとのこと。
今回の講義は中津留さんの前回の講義にパワーアップした感じで、主にパックと難読化について取り上げられていました。ちょうど私自身が躓いていた分野なので、受講してよかったと思いました。
解析の前に注意事項があり、
- 全部のコードを読まず、効率的に読むこと
- IDAをうまく使いこなし、IDAが間違っていれば正すこと
- 解析自体は「目的」ではなく人に伝えて解決・報告するにはどうすればよいかを意識すること
とありました。
なお、講義資料は全て英語で、普段から作成する資料については英語にしているのだとか。そのやり方を見習ってこれから英語で書くことを始めてみようかと思いました。
最後には持ってきた本のリバースエンジニアリングにサインを頂きました。サインも英語、カッコィィ！
2-A スマートフォン向けゲームのセキュリティ（講師：杉山俊春さん）
一番最初に挫折を味わったのがこの講義。何故ならWeb系の知識が乏しかったからです。プロキシツールを使ったことはあっても、Fiddlerしか使ったことが無く、Burp Proxyを使うのが初めてだったというのも挫折の理由の一つです。
まずBurpの起動で躓く。演習用PCには予めインストールされているはずなのに、どこにあるかが分からなくて聞いたら目の前にjarファイルとして存在していました。てっきり、アイコンがあるのかと思ったのに、恥ずかしかった。
次に、Burpの使い方が分からなくて躓く。プロキシツールを設定するのは慣れないので、講師の方に教えてもらいながら進めて行きました。
さらにさらに。PHPのコードが渡され、そこから特定の動作を実行させるためには何を入力させればいいかを指示されたのですが、それすらわからず…隣の参加者の方に教えてもらいました。多分みどりんごさんかな？本当に迷惑を掛けました…
まぁ、失敗談ばかりじゃつまらないと思うので、座学の内容を。
スマートフォン向けゲームのセキュリティ対策を行うにはゲームそのものの仕様を知らなければならず、対策はいたちごっこ。そしてチートは課金利益が損失するなどしてゲームの寿命を著しく縮めてしまうのだとか。チートユーザーは巧妙な人になると発見が難しく、BANをすることが難しいらしく、損失が少ないのであれば無視するという手法もやむを得ない場合があるそうです。
具体的なセキュリティの対策は、リクエストとレスポンスの内容を改ざんできないようにすること、メモリ改ざんやデータファイル・アプリ自体の改ざん防止など、様々な手法が挙げられました。今回はhttpを用いましたが、独自のプロトコルによる通信も増えており、なかなか難しいのだとか。
総じて、対策が容易なものから困難なものまで多種多様に渡るため、BANした方が早い場合もあれば、対策を取ったほうが良い場合もある、つまりバランスが大切になるそうです。
あとサイン貰いたかったんですが…すみません、時間が無くてもらえませんでした。またどこかでお会いしたらサインください( ;∀;)
CTF
結構な不安要素だったのがこれです。何せ初心者向けの常設CTFの一番最初ぐらいしか解けないので、不安でした。
会場に向かうと、チーム名が書かれたボードが設置されていました。
いいですねぇ。気に入ってます。
問題形式は常設CTFやSECCONのような形式とは異なり、全ての形式を混ぜ込んだ感じだから名称募集中なのだとか。ちなみにその形式は、
- Jeopardy形式：一問一答する感じ
- Attack and Defence形式：自分のサーバーを持って攻撃と防御を行う感じ
- King of the Hill形式：一台のサーバーに向かって各チームが攻撃を行う感じ
をミックスしたらしいです。えっ、Attack and Defenceやるの？
これは勉強会のメンバーに良いネタを持って帰れるぞ！と思ったのに、いざ始まってみると「問題がどこにあるかすら分からない」。最終的にヒントとしてポート番号と問題のある場所を教えてくれたので、何とか問題を発見することができました。しかし解ける問題はせいぜいシーザー暗号しかなく、私はそれを報告して他の問題を発見しようとしただけでした。私自身は一度もフラグをSubmitできませんでした…
結局、Attack and Defenceの要素を体感することができませんでした。常設CTFと変わらない。
私はチームの役に立つことはできず、本屋を運営していましたとさ。おしまい。
この一日で自分の人生をすべて否定された気分になりました。目頭が熱くなり、やけくそ気味でした。他の参加者でも鬱になった人がちらほら。自分だけじゃないとは分かっていても、悔しいことには変わりありませんでした。そんな感情を抱いて、Day2を終了しました。
やけくそ気味でもちゃんと早く寝てました。アニメなんて見てませんよ。褒めてください（）
Day3 講義3・4・5＋企業・団体プレゼンテーション（１）＋グループワーク（２）
朝起きて、ブログにアップする物が少ないことに気づき、部屋からの写真を撮ってみることに。
残念ながら曇天。タイミングが悪い。
なお、朝食は毎日必ずバイキングで、自分のお腹の調子と相談して食べることができます。
おいしそう。贅沢です。ここ本当に研修施設なんですかね。某研修も見習ってｈ（ｒｙ
3-C 脆弱性検出実践（ファジング技術と脆弱性報告）（講師：山下勇太さん、篠原祟宏さん）
対象のシステムなどにバグを引き起こしそうなデータを送り込み、その挙動を確認することで脆弱性を発見するファジングと言う技法を用いて、実際の製品に対して脆弱性検出を行いました。どんな機器があったのかは言えませんが、本当に色々ありました。見た時は「嘘だろこんなのもファジングするの？」って思いましたから。
ファジングするときは調べたい対象によってツールを選ぶ必要があり、今回は様々なツールを使用させていただきました。この講義中に脆弱性の一つぐらい見つける気持ちでいたのですが、残念ながら今回は発見できませんでした。
（まぁ簡単に発見できるなんて考えが甘すぎたんですよね…）
ネットワーク系の知識が少しだけ役に立ったのか、講義自体はついて行くことができました。ただファジングって暇なんだなぁとか思ったり、ファジングの設定自体もVMなどの機構を介していると複雑になって大変だなとか思ったり…
色んなファジングをやっているなかで、そのファズの内容を見てみると色々な文字列や数字などが送り込まれていたので、もしかしたらそれがExploitの勉強に役立つかも…しれない。（やっぱりまだよくわかってない）
後は、脆弱性を発見した後にどうやってそれを報告するか、報告時の注意などについても伺いました。ただ脆弱性を発見して「ありました」で終わるのではなく、どういう環境下でどういう再現性のあるものを与えるとどういう状態を引き起こすのかなど、発見してからもやるべきことは多いみたいです。いずれは脆弱性をみつけてIPAとかに報告したいですね。頑張ります。
4-A クラウドセキュリティ基礎（講師：仲山昌宏さん）
クラウドというものが良く分からなかったので、この講義を受講しました。なんでもAWSを使ってサーバを立ち上げ、その中でサーバソフトをインストールしたりできるらしくて面白そうと思いました！
自分でサーバを立ち上げたことが皆無で、クラウドとか怖くて使えなかったというのもありました。何せ課金とか怖くて怖くて…プリペイド以上の課金システムがあると手を出せずにいましたが、今回は指示通りにやっていれば課金は発生しないとのことで、安心して取り組むことができました。
内容としては、まず与えられたアカウントを用いて仮想サーバを立ち上げます。そのサーバで認証情報などを取得し、それを用いて仮想サーバへログイン、linuxコマンドを使いながらApacheサーバソフトをインストールします。
ここでも情弱ぶりを発揮し、周りの方々に教えてもらう羽目に。ご迷惑をおかけして申し訳ありませんでした…
インストールのためのコマンドをググったりしながらなんとか進めていけたのですが、confファイル？を編集する際に、テキストエディタをどうやって使うか分からなかったのでどうすればいいか聞いてみたら
「Vimはいいぞ」と一斉に言われました。えっ、えっ、ちょっと待って、同時に言わないで頭がパンクしそう（）
いやまぁ、テキストは今までWordかTerapad、Eclipseぐらいでしか編集できなかったので、こうやって布教してくれるのはとても嬉しいのですが、やっぱりびっくりします。
この講義はちょっと成長できた気がしました。知らないLinuxコマンドがたくさんあるんだなぁとか思ってました。そういえば、CTFのチーム名がVimとEmacsがあったね。宗教戦争できるのはある意味楽しそうです。混ざりたいので勉強します。
5-B USBメモリからブートしてみよう（講師：内田公太さん）
この講義ではUSBメモリからOSの力を借りずにブートするというものです。USBメモリの先頭の領域にアセンブラ言語で記述したプログラムを流し込むことで、BIOSを用いて文字を表示することができるというものでした。
BIOSの中にあるセキュアブートという仕組みなど、普段触らないことをしているので良く分からないけど動くんだなとか思ったりして、ハードウェアに近い何かをいじるのは楽しかったです。
ちなみに事前課題として参考図書を頂きました。これになります↓
自作エミュレータで学ぶx86アーキテクチャ コンピュータが動く仕組みを徹底理解！
- 作者: 内田公太,上川大介
- 出版社/メーカー: マイナビ出版
- 発売日: 2015/08/28
- メディア: Kindle版
- この商品を含むブログを見る
この書籍の内容は半分ぐらいまで勉強できていたのですが、全部終わらなかったので少し不安でした。ですが同じくたくさん教えてもらったのでなんとかUSBメモリからブートすることができました。
アセンブラの中身をじっくり読みながら、何か変えられないかなぁとか思ってましたが、とてもそんな時間はなく、この辺については事後学習の必要性を感じました。それと低いレイヤーに行くにしたがって僕の心がワクワクしているのを感じられた講義でした。こういう講義いいですね、是非ともハードとソフトの両方を学べる書籍や講義が増えてくれると嬉しいです。
ゆくゆくは、自分もそういう書籍を出せたらいいなぁ。
あ、そういえばこの書籍もサイン貰いました。ここで感じられたのが、皆さんサインするとき「字が下手ですが…」とおっしゃるのですが、そんなこと言わないでください、僕の難読化された文字列の方が字が汚いです。サイン頂けるだけで光栄なのですよ！ありがとうございます！(*´ω｀*)
企業・団体プレゼンテーション（１）（株式会社野村総合研究所）
実はDay2だったかにどの企業・団体のプレゼンテーションが聞きたいかアンケートが配られます。私は幸いにも第一希望だけが通ったので良かったです。
その内の一つ、まずは野村総合研究所の方のお話を伺いました。以前こちらの企業の方と関わりがあり、興味を持っていたのでお話を聞けて良かったです。
一言でセキュリティの企業と言っても、やることは様々で、それぞれに役割が分かれているのだとか。セキュリティ診断という仕事においては、顧客のサービスに対しての脆弱性を発見し、それを報告するだけでなく、どうすれば脆弱性を減らすことができるかなどの継続的なサポートまで行うそうです。すごい、そこまでサポートするんだ…
とても貴重な話を聞けて満足です。ノートまで頂いておなかいっぱいです。ありがとうございます！
グループワーク（２）
講義の合間に集めた質問とその答えをとりあえず共有して、次に質問するべき項目などを決めようということから始まりましたが、今回は一時間しか時間が無く、次の質問を決めるだけで終わってしまいました。やはり、グループワークというものは難しい。学校でやっているグループワークとは環境が違いすぎてうまく進めることができず、どうも進捗を生めない日でした。
そしてこの日もすぐに就寝。みんな、ちゃんと寝てるかな？とか思ってTwitter確認してたら結構TL上が賑わってたりと…
Day4 講義6・7＋企業・団体プレゼンテーション（２）＋グループワーク（３）
6-D リバースエンジニアリングを自動化せよ（講師：岩村誠さん）
自動化ってかっこよくないですか？と言いたくなるぐらい、自動化には興味がありました。アナライジング・マルウェアなどの書籍を書いた本人が講義をしてくれるとのことなので、選ばないわけにはいきません。というわけで早速ワクワクしながら講義を受けたのですが…バイナリExploitが全くできない私にとっては講義を見ているだけしかできませんでした。
特に、ここでもLinuxのコマンドが使えなかったのが致命傷で、そもそもELFファイルの実行方法すらわからないという恥ずかしいところをお見せしてしまいました。他の参加者の方は結構問題を解いていたようですが、私は一門も解くことができず、座学内容をメモすることで必死でした。
何にもできないのが悔しくて悔しくて、この講義が一番何もできなくて、一番悔しいものとなりました。負の感情MAXです。人権喪失再び、挫折以上を味わった気分です。
ここで私はセキュリティキャンプに参加したことを後悔するとともにセキュリティに向いていないのではないかと思い始めました。講師・チューターの方に質問してばかりで、迷惑がられているかもしれないともう散々で…（泣）
ただ、その後に色々とお話を伺いました。岩村さんいわく、過去には全くプログラムを書けなかった人もいたが、そんな人でもDEFCONに行ったりするぐらい成長するので気にしないでくださいと。優しいですね、心のフォローアップまで万全のようです。
とにかくその話を聞いて少しは元気が出ました。少なくとも諦めずにこのまま勉強しようという気にはなりました。今回の講義内容を勉強して色々と自動化していきたいと思います。
ちなみに講義の内容としてはIPythonとangrを使った解析の自動化です。世の中には便利なツールがあふれてるんだなぁ…まだPythonのまともな文法すら使いこなせていない私にとっては知る由もありませんでした。
とにかく勉強不足だということが分かったので、この講義はマスターしたいところです。頑張ります。頑張るぞい！
そして安定のサインを頂きました。岩村さん憧れだなあ…
7-B 組込みリアルタイムOSとIoTシステム演習（講師：松原豊さん）
エンベデッドシステムというものに興味を持ち始めていたころに、キャンプのこの講義を見て、これは是が非でも受けるべきだと思ったのです。IoTというキーワードがこれから当たり前のものになりそうだったので。あと、ES試験に不合格になったから実体験がしたいとも思ったんですね（）
事前課題ではなんと9000円相当もするGR-PEACHというマイコンを頂きました！ありがたい！写真はのちほど。
Webコンパイラというものを使ってGR-PEACH用のC言語プログラムをコンパイルし、それをUSBケーブル経由で流し込んでLEDライトを光らせたり、HTTPサーバを実装したりすることができる講義でした。ソフトウェアが動くならまだしも、マイコンが自分の書いたプログラム通りに動いてくれるのは「結果が目に見えて」達成感があって嬉しいですね。ハードウェアと密接に連携したプログラミングをするのはこれが初めてだったので、慣れるまでが大変でしたが慣れると面白いものです。
RTOSに必要な割り込みなどの概念は理論では分かってはいるものの、実装するにあたってはまだ理解が足りず、講義目標の半分も達成できませんでしたが、この講義はやっていて楽しかったです。
その後松原さんにはGR-PEACHにサインを頂きました。あと、DEFCONのお土産も大量に貰いました。貰ってばかりですが、ありがとうございます！
そして講義終了後、松原さんには私が周りに比べて遅れているとかいうことについて相談を受けてもらいました。松原さんは、「焦らずに自分のペースで着実に進むことが重要だ」とおっしゃってくれました。全講義が終わって、まともに内容が身に付いた気がしなかったので、気落ちしていたところをフォローして頂いて、申し訳ない気持ちとともに感謝の気持ちでいっぱいです。ありがとうございます。
ちなみにですが、GR-PEACHの外箱が舞妓さんになっているのが「マイコンにかけているから？」と聞いてみたところ、松原さんもそうかもしれない？と疑問に思っていました。ちなみに最初の疑問に思ったのは私のお母さんです。お母さん、鋭い…ｗ
企業・団体プレゼンテーション（２）（サイボウズ株式会社）
キャンプの交流のために使われているサービスはサイボウズLiveというもので、私はこのサイボウズLiveをキャンプで初めて知りました。企業としては、脆弱性報奨金制度を日本で唯一扱っている企業だという認識でした。
これはボウズマンというらしいです。かわいらしい。
今回の企業・団体プレゼンテーションでは、質問を多く受け付けてくれたので色々なことを伺ってみました。私はそもそも地方に住んでいるので、テレワークというものがあれば私としても家族としても大変うれしいのですが…と質問したところ、環境はバッチリ整っているとか。実家に帰りながら仕事している方も普通にいるらしく、働きやすい環境はしっかり整備されているらしいです。これはサイボウズにラブコール…
グループワーク（３）
翌日が発表ということもあり、最後の追い込み。だけど当然この時間帯で終わるわけもなく、ある部屋に集まって非公式のグループワークを開始。
ひとまず解散し、私は28時までPowerPointでスライドを編集していました。大変だった…しかし、この後に悲劇が起きます。
Day5 グループワーク（４）＋成果報告会
早寝早起きの生活が続いていた上に、ここにきて仮眠程度しか眠れず、体の調子は絶不調。最高です。
グループワーク（４）
完成した資料を提出し、いよいよ発表です。ですが、ここで悲劇が起きます。
何時間もかかって完成したスライドは、PowerPointの下で編集されていました。ですが、実際に動かしたPCではLibreOfficeが入っており、スライドの表示やアニメーションなど、色々と崩れていました。泣きたい。
最終的には何の評価も得ることができませんでした。私の放送大学のような発表がダメだったのだと思います。スライドだけは評価してほしかったけど、あの表示じゃなぁ…
成果報告会
各講義について参加者が自らの口で伝えるというものでした。選ばれたみんなは講義の内容をほぼ完璧に理解しており、楽しそうに語ってくれました。そこまでのレベルに達していない自分が悔しかったですし、彼らのようになりたいとも思いました。
感想
以上、キャンプはこんな感じで終わりました。当初思っていたのと違う５日間でした。悔しい思いをしてばかりで、自分の浅はかさのあまり自暴自棄になりたい日々でした。
キャンプ中は講師・チューターの方々に何度もご迷惑をおかけし、申し訳ない気持ちでいっぱいです。たくさん教えてもらわないと何もできませんでした。詳しいことは書いていませんが、技術的なことばかりではなく、勉学に対する姿勢やアドバイスなど、休憩時間や食事の時間などで色々とお話を伺いました。本当に、いろんなもの・ことを学ばせていただきました。
だからこそ、教えてもらった分、教えられるようになりたいとも思いました。
とにかく実力不足の穴を埋めるために、勉強し続けます。
ですが勘違いしないでほしいのは、キャンプは悔しい思いをするだけの場所ではないです。今回は私が不甲斐ないばかりに醜態を晒し、主観で物事述べているだけなので、気にしないでください。他のキャンプ参加者もブログなどで綴っているように、参加して本当に良かったと思えるものになるはずです。
私も、参加してよかったと思っています。楽しかったことはありませんでしたが、成長のために繋がる何かを見つけられた気がします。少なくとも「分からないことが何か」が分かりました。周りに負けまいとする気持ちも充電できました。
この悔しい気持ちを糧にして、先に進みたいと思います。
この場をお借りしまして、参加者・チューター・講師・企業・その他関係者の方々にお礼申し上げます。とても貴重な経験をありがとうございました。
ある人の言葉をお借りして、皆さんにお伝えしたいのは
「セキュキャンはいいぞ」
です。皆さんも是非、来年度以降のセキュリティキャンプに参加してください。
お土産
さて、お待ちかねのお土産紹介のコーナーです。一度に写真を撮るのは部屋の広さ的に無理だったので、小分けにして紹介します。
まずは講義資料。今後の成長のために事後学習は必須ですね。
続きまして、キャンプ終了後に貰った書籍です。
お次は7-Bの講義で頂いたGR-PEACHです。
さらに4-Aの仲山さんから頂いた技術本です。サインも貰いました。
LINE株式会社様からはこちら。（横でごめんなさい）
大日本印刷株式会社様からはこちら。
株式会社野村総合研究所様からはこちら。
トレンドマイクロ株式会社様からはこちら。
一般財団法人日本情報経済社会推進協会様からはこちら。
株式会社TCSI様からはこちら。
伊藤忠テクノソリューソンズ株式会社様からはこちら。
富士通株式会社様、富士通エフ・アイ・ピー株式会社様からはこちら。
ヤフー株式会社様からはこちら。
株式会社リクルートテクノロジーズ様からはこちら。
エヌ・ティ・ティ・コミュニケーションズ株式会社様からはこちら。
サイボウズ株式会社様からはこちら。
さくらインターネット株式会社様からはこちら。
こちらは…えっと、分からなかったけどありがとうございます！（すみません）
7-Bの松原さんに貰ったDEFCONのお土産はこちら。
キャンプTシャツもいただきました。
シワシワで申し訳ないです…アイロンが無かったので、すみません。
そして最後に貰ったステッカーの一覧です。
今までステッカーを張ったことが無かったので、この機会に貼りました。キャンプ中にステッカーを求めていろんな人に「ステッカーありますか」って聞いて回ったのは私です。
というわけでステッカー貼ってみました。貼り方にセンスが見当たりません。
でもたくさんもらえて＆貼れてうれしい( *´艸｀)
最終的にこんな感じの賞状を頂きました。
お土産は以上になります。キャンプ参加時には余裕を持った荷物の量でないと全部しまい込めないので、郵送するなりキャリーバッグを２個持ってくるなりした方が良いでしょう。というかそうしました。
また長文になってしまいましたが…ここまで見て頂けたでしょうか？
最後になりますが、この記事が皆さんの参考になれば幸いです。是非ともセキュリティキャンプに参加してください。そこでもし私と会うことがあれば、仲良くしてくださいね。
どうでもいいひとこと：セキュリティの小説が書きたいですね。