NECセキュリティスキルチャレンジ2020開催報告: NECセキュリティブログ

Tweet
Share

2021年4月9日

NECサイバーセキュリティ戦略本部セキュリティ技術センターの山﨑です。
2020年度も「NECセキュリティスキルチャレンジ(NSSC)[1]」(NECグループ全社員を対象にしたCTF)を開催しました。6回目となるNSSC2020では、過去開催時の参加者アンケートなどを参考に、いくつか新しい取り組みを行いました。本ブログでは、取り組みの内容や参加者の声をお伝えします。

NSSC2020開催報告に向けて

NSSCでは、毎回イベント終了後に参加者アンケートをとり、セキュリティ技術の習得に対する有用性の確認や問題内容の感想など、様々な意見を収集しています。内容については、9割以上の人が「セキュリティ技術の習得に繋がった」と回答する一方で、開催方式や運用面については、「期間を延ばしてほしい」、「問題を解くコツをレクチャーしてほしい」、「過去問を公開してほしい」といった意見が毎年多くありました。
これまで開催プロセスを確立・安定することを目標としてきたため、過去開催を踏襲するかたちで実施してきましたが、2020年度は過去5回の開催をしっかりと振り返り、アンケート結果を参考に大きく以下3つの取り組みに新しくチャレンジしてみました。

取り組み	概要
シーズン制の導入	各月でNSSCを開催し、開催期間を拡大。
問題解説会の実施	各シーズン終了後にリモートで問題解説会を実施。
出題構成の変更	過去問、および新ジャンル問題を出題。

シーズン制の導入

過去5回はいずれも2月に2週間(100問)の期間で開催していました。NSSC2020では、2シーズンに分けて開催しました。「毎年2月は業務の都合で参加できないけど3月なら・・・」、「2週間で100問は厳しいけど、50問なら全部の問題に取り組めるかも」というアンケート結果を取り入れ、より多くの人に参加していただき、多くの問題に取り組んでもらうことが目的です。

シーズン1：2月1日 18:00～ 2月15日 0:00(50問)
シーズン2：3月1日 18:00～ 3月15日 0:00(50問)

シーズン1終了後からシーズン2開始までは、シーズン1で出題した問題の解説公開期間としました。また、シーズン毎に出題問題は全て異なり難易度は同程度になるよう調整しています。

問題解説会の実施

各シーズン終了後にリモートで問題解説会を開催しました。参加者は200人を超え、当日参加できなかった人のために用意した録画動画も本ブログの執筆時点で450以上プレビューされています。問題解説会では、フラグゲットに向けた考え方やアプローチ方法、出題意図(問題からの学び)を中心に解説しました。
シーズン1では手も足も出なかった人も、問題解説会を通して問題を解くためのアプローチ方法やコツをつかみ、シーズン2で「解ける」経験をしてもらうことで、短いサイクルでセキュリティ技術力向上を実感できたと思います。

出題構成の変更

過去問の出題

過去5回の開催で出題した過去問を出題しました。出題当時に流行していた攻撃やセキュリティトピックを振り返るきっかけとすること、また、反復学習による技術力の定着が目的です。
一方、更なる技術力向上のためには新しい問題に取り組み技術を身に付ける必要があります。そこでNSSC2020では、新たに「ペンテスト」ジャンルを出題しました。

新ジャンル「ペンテスト」

ペンテストとは、様々な攻撃技術を使って攻撃者の目的が達成可能かを検証し、目的達成に繋がる脆弱性や設定ミスを探すテストのことを言います。
ペンテストジャンルからは3問出題しました。Linuxマシン上の設定ミスや脆弱性を突いてLow_userから最終的にrootユーザの権限を奪取するまでを問題にしています。
以下の図にあるように、問題1をクリアしなければ問題2に進めず、問題2をクリアしなければ問題3にはチャレンジできないという少し意地悪な設定です。

ペンテスト問題は以下のような構成で出題しました。
参加者は、事前に配布されている認証情報を用いてNSSC2020サーバのXXXXX番ポートにSSH接続します(①)。認証に成功すると、SSHサーバコンテナにログインできます(②)。その後、参加者毎に問題コンテナが起動し、参加者はLow_userとして問題コンテナに接続します(③)。
※XXXXXポートへのSSH接続、認証後、自動で問題コンテナの起動および接続をするため、ユーザからはSSHサーバコンテナを介さず直接問題コンテナに接続しているように見えます。
SSHサーバコンテナは、起動時にNSSC2020サーバのdockerソケットファイルをマウントしているため、SSHサーバコンテナ上からdockerコマンドを使用してNSSC2020サーバ上に問題コンテナを起動する仕組みとなっています。また、参加者の同時接続数やセッション有効時間の管理などの役割も持っています。

参加者からの声

例年と同様に、NSSC2020の終了後にアンケートを実施しました。その結果、それぞれの取り組みについて以下のような結果が出ました。いずれの取り組みも良かったという結果となりました。

また、コメントも多く頂きました。抜粋して紹介します。
※(+)：好意的なコメント、(-)：改善提案のコメント

取り組み	コメント
シーズン制の導入	(+)シーズン1で復習した結果をすぐにシーズン2で試すことができる。 (+)一つ一つの問題に向き合える時間、取り組める問題数が増えた。 (-)シーズン1で全力を尽くしすぎて、シーズン2では体力が残っていない。
問題解説会の実施	(+)解説文を読むだけでなく、説明を聞くことで理解が高まる。 (+)非常に有益。日頃セキュリティ技術に触れる機会がないので、解説会のおかげですごく勉強になった。 (-)初心者向け、中級者向け、上級者向けと分けて開催希望。
出題構成の変更 (過去問の出題)	(+)前回途中までしかできなかった問題が解けるようになったり、逆に解けていた問題が解けなくなったり、今の実力を確認できる。 (+)過去問=解きやすい=ポイントが獲得できるのでモチベーションが上がる。 (-)新規問題のフラグをゲットした時の方が喜びが大きい。解法が分かっているため、勉強要素が薄いと感じる。
出題構成の変更 (ペンテスト問題)	(+)より攻撃者目線の技術要素であり、新鮮。 (+)実際の業務で陥りがちなポイントを題材にした問題であると感じる。 (-)1問目を解けないと次の問題にチャレンジできず、残念。