やまざきです。

『Black Hat USA 2018』＆『DEF CON 26』の参加レポート第2回の今日は　『Black Hat USA 2018 Briefing & Business Hall 編』です。

8月8日～8月9日：Black Hat USA 2018 (Briefing & Business Hall)

トレーニング期間が終わるとブリーフィングとビジネスホール(展示会)が始まります。そのため、この日から一気に参加者が増えます。
マクニカネットワークスにおけるここでのミッションは、
ブリーフィングを聴講して、最新の技術動向やサイバーセキュリティ業界におけるトレンドをキャッチアップする
ビジネスホールで展示されている様々なベンダーブースを見て回り、各社のプロダクトやメッセージのトレンドを掴む
面白い技術やソリューションを持ったスタートアップ企業を発掘したり、打ち合わせを行い、次の取扱いベンダーの種を見つけ出すこと
になります。

2.は、マクニカネットワークスの別の部隊が専門で行ったので、ここでは1.と3.について触れたいと思います。

まずブリーフィングです。

Black HatのOpeningを飾るキーノートは、GoogleのParisa Tabrizさんによる
「Optimistic Dissatisfaction with the Status Quo: Steps We Must Take to Improve Security in Complex Landscapes」でした。

講演の内容は、毎日のように発見されるバグや脆弱性に対応するような、モグラ叩き(WHACK-A-MOLE)のような現状を打破するために、以下の３つの観点に注目すべきというものでした。

01 Tackle The Root Cause
　TOYOTAで行われている「なぜ？」を5回繰り返す方式を例に挙げ、根本的な原因に対処することの大切さ述べていました。
　例えば、RCE(Remote Code Execution)の脆弱性が発見された際に、「なぜこのバグがRCEを引き起こすのか？」「なぜもっと早く発見できなかったのか？」「なぜこれを発見するテストやファジングの手法も持っていなかったのか？」「なぜアップデートに時間がかかるのか？」「なぜ修正のテストに5週間もかかるのか？」といった具合です。
　そして、GoogleでのProject Zeroの経験と実績から、大きな目標に取り組むために、より一層の透明性とコラボレーションが必要であるとのことです。

02 Pick Milestones & Celebrate
　現状を維持し続けるのではなく、常に良い方向へ変化し続けなければならない。そのためには、戦略的なマイルストーンを公開し、時には反対や抵抗に会うが、それらの意見も聞いたうえで、前に進む必要があることを述べていました。そして、進捗を喜ぶこと祝うことも重要とのことでした。
　ここでは、安全ではないHTTPから暗号化されたHTTPSへの移行を世界的に進めるために、どのようにマイルストーンを公開しながら周囲と連携して進めてきたかを例にしていました。

03 Build Out Your Coalition
　Chromeブラウザの開発話を交えながら、望む未来を実現するための良いチームを作ることが重要であることを述べていました。そこで注意しなければならないことが、「マネジメントによってプロジェクトが潰されること」「助け合いの欠如」「エコシステムの肥大化に伴う発散」とのことです。

Youtubeでも公開されておりますので、よろしければご覧ください！
https://www.youtube.com/watch?v=py2qmGbyhlw

その後は、２日間各々が好きなセッションを聞きに行く、といったスタイルとなります。
トレーニングで学習したようなハッキング手法について講演時にきくと勉強した内容の
復習ができるとともに、より深くを知ることができ、勉強になりました。
その他にも様々なセッションがありましたが、いくつか面白かったのをピックアップします。

・「Are You Trading Stocks Securely? Exposing Security Flaws in Trading Technologies」
⇒株取引のアプリケーションにおける脆弱性についてのセッションでした。
　通信が暗号化されていない、データが暗号化されて保存されていない、認証のセッション
　管理が正しくおこなわれていない、等々様々な角度から株取引のアプリケーションの脆弱性
　について述べていました。デモが数種類用意されており、実際の通信のパケットを
　解析した結果等がわかりやすく紹介されていました。・「TRITON: How it Disrupted Safety Systems and Changed the Threat Landscape of Industrial Control Systems, Forever」
⇒昨年、世間を騒がせた産業制御システムを対象としたマルウェアのTRITON実行時のデモはとても刺激的でした。彼らは、既に現在は産業制御システムへの攻撃へのハードルが驚くべきほどに低くなっていると言っています。それを示す例として、某中華サイトにて本物の制御システム用のソフトウェアが3USDで購入できてしまうなんていうことも紹介されており、驚かされました！

・「Report: Using Intelligence to Predict the Next Payment Card Fraud Victims」
⇒クレジット取引の増加に伴い、不正使用が増加していることが問題となっています。
　それを対処するために複数の企業にまたがって、Dark Web Intelligenceとして
　情報を共有することで、被害を未然に防ぐようなアプローチが必要、といった話でした。

なかなかすべて書ききることは難しいですが、どれも聴き応えのあるセッションでした。
Youtube等でも公開されるものもございますので、ブログ読者の皆様もよろしければご覧ください！

3.の、「次の取扱いベンダーの種を見つけ出す活動」ですが、私は3つの企業と打ち合わせをしてきました(弊社の商材開拓専任チームは、もっとたくさんのベンダーと打ち合わせをしたようです)。残念ながら、今の時点でどのような企業と打ち合わせをしたかはお伝えできないのですが、どちらも今まで見たことのない新しいアプローチを用いてこれからのセキュリティ対策を提案する企業で、非常に興味深かったです。

もしかすると、数年後にはマクニカネットワークスの正式な取扱い商材となり、お客様の問題を解決する人気のプロダクトになっているかもしれませんね。新しいトレンドを察知し、新しい技術にいち早く触れ、その第一線の人たちと直接コンタクトを取る今回のような活動は、マクニカネットワークスの未来を支える上で、とても重要なことなのです。また、日本には無い新しいテクノロジーに真っ先に触れる機会が多いので、エンジニアにとっても非常に刺激的です!

次回は『DEF CON 26 編』をお届けします！！