NFLabs. エンジニアブログ

セキュリティやソフトウェア開発に関する情報を発信する技術者向けのブログです。

DEF CON に行く。そして、BSides Las Vegas でプレゼンする。

セキュリティ イベント参加


TL;DR

  • 弊社社員による BSides Las Vegas 2024 の登壇と DEF CON 32 体験記(プレゼンター視点)です
  • 夏のラスベガス、めっちゃ楽しい!! みなさんもぜひ一度行ってみてください

はじめに

みなさんこんにちは @strinsert1Na と宮澤です。
8月の Las Vegas といえばなんでしょうか?


......


そうです、セキュリティリサーチャーにとっての祭典である Black Hat USA & BSides Las Vegas & DEF CON がありますよね！
めでたいことに今年は NFLabs. で初めての海外登壇が決まり、BSides Las Vegas プレゼンターとして @strinsert1Na 、聴講者として宮澤が Las Vegas まで行ってきました。

x.com

本ブログでは BSides Las Vegas と DEF CON に参加してきた両名が、発表・聴講それぞれの視点で経験したことを綴る体験記を投稿する予定となっており、本稿はプレゼンター(発表者)視点の内容となります。少しでも多くのリサーチャーが海外カンファレンスに興味をもち、CFP (Call For Paper) を書くモチベーションがあがっていただければ幸いです。

Las Vegas マデノ前奏詩(プロローグ)

刻は2024年1月まで遡る

8月の Las Vegas の話をする前に、どうして BSides Las Vegas で発表することになったかという経緯とそれまでにやったことを簡単に説明します。事の発端は JSAC という日本で行われるセキュリティカンファレンスでのお疲れ様会で行われた会話でした。筆者は NTT Communications の NA4Sec チームに所属しており、そのメンバーと JSAC 当日ハクティビストに関するリサーチ内容をプレゼンして、メンバーと「面白かったって反応もらえてよかったね!」とかなりエモい雰囲気で発表を振り返っていました。当時の様子や筆者の発表内容については先方のブログをご参照ください。(ハクティビストに関する話題のため、具体的な内容はここでは語りません。詳細が気になる方はお問い合わせください。)
engineers.ntt.com

ですがその会話の途中、筆者が英語を活用した仕事の経験がほぼほぼ皆無なのと英語全然喋れないのが話題となりました。NTT Communications のメンズコーチなる方(??)からは「仕事で海外経験ないヤツ、ガチで危機感を持った方がいい。」とコーチングを受け、「(え、自分発表終わってめっちゃ達成感に溢れている状態なのになんでこんな説教受けてんだ??)」という気持ちも湧きながらも言っている内容自体はその通りであり、他のセキュリティリサーチャーと話していても「英語できる? (できないとリサーチしても限界があるよね?)」と再三話題になるため、自身のリサーチ活動をスケールさせるうえでここを避けては通れないというのは紛れもない事実だと思われます。

なので JSAC2024 が終わった次の日から、筆者の国際カンファレンス発表に向けての活動が始まりました。

どこにCFPを出すか、選ばれたのは......

発表内容は JSAC でリサーチしたものをベースに改良すればよさそうですが、次の問題はどこに CFP (Call For Paper) を提出するかということです。NTTセキュリティ さんのブログを見てもらっている方にはわかる通り世界には様々なカンファレンスがありますが、筆者には自分のやっているリサーチはどこが最も適しているかやウケがいい CFP の書き方などほとんど知見がありません。正直なところ、一番当てはまっていると感じていた Botconf は CFP のデッドラインが12月と、検討を始めた1月時点では相性が悪すぎました。

そして様々検討を重ねた結果、筆者らは BSides Las Vegas に CFP を提出することに決めました。
bsideslv.org

BSides Las Vegas とは、セキュリティについて何でも楽しくプレゼンしたりワークショップを行ったりができるカンファレンスイベントです。BSides とはもともと「CD の B面」という意味合いから名づけられたもので、同時期に同じ地で行われている著名なカンファレンス Black Hat USA, DEF CON に採択されなかったけれども価値が高いものを、それらの裏でプレゼンする場として用意されたものでした。現在、この BSides というのはカンファレンスイベントを各々のコミュニティ主体で運営できるようにフレームワーク化されたものを指し、東京を含む主要都市で100カ所近く開催されているようです。

そのため一言で "BSides" と言っても多種多様すぎて一般化が難しいのですが、BSides Las Vegas に関して筆者の個人的なイメージを語ると「商業イベントからは切り離された、ノリがパリピのとてもとても自由で楽しいイベント」です。サンプルまでにカンファレンスが終わった後の会場での After party の様子ですが、ナイトプールでサーフィンしてる感じです。冗談じゃなく水着持って行ってもよかったなぁという気持ちになりました。

After Party の様子

「へーじゃあ筆者ってパリピなことしたくて BSides Las Vegas にCFP出すことにしたんだ?」と思った方がいるかもしれませんが、安心してくださいそんなことはありません。最終的な決め手となったのは以下のような理由からでした。

  • セキュリティリサーチャーなら誰もが憧れる8月の Las Vegas の一連のセキュリティカンファレンスに、プレゼンターとして立ってみたい
  • 内容がなんでもありなので、門はそこまで広くないけど CFP を通せるのではないかという予想
  • 過去に NTT Communications の別のチームが CFP を通した実績がある
  • X (旧 Twitter) で、「尖った面白いカンファレンスなのでぜひ一回行ってみてね!」とオススメされた
  • プレゼンターに要求されるものが JSAC とほぼ同じなので、レビューしてもらった CFP を活用できそう
    • Abstract 200 words
    • Outline 8000 words
    • 45 min. Talk
  • 純粋にカンファレンスが楽しそう

一番の理由は、やはり Black Hat USA & BSides Las Vegas & DEF CON というリサーチャーなら一度は夢見るイベントに行ってみたいというのが強いかもしれません。しかしながら、筆者は英語が超絶苦手なのと、一度もアメリカも国際カンファレンスも経験したことないということが相まって、提出直前まで不安でいっぱいでした。しかし「でもさー、見るだけのカンファレンス参加より、発表もできるカンファレンス参加の方がよくない?」とどこか心のJKに囁かれたような気がして、深く考えることを止めてとりあえず出してみることにしました。

Appcept...って、コト!?

かれこれ CFP を提出したのが4月の上旬でしたが、ここから2ヶ月特に音沙汰がありませんでした。正直なところ「これは脈なしかなぁ」と思い英語の勉強などすっかり頭から抜けていた6月の中旬、一本のメールが届きます。

Accept の通知

......(　ﾟдﾟ) ｱﾚｪｺﾚﾄｵｯﾀﾝｼﾞｬﾅｲ

はい無事に通っていて、JSAC で発表した NA4Sec チームのメンバーと共に初の Las Vegas 行きが決まりました。通ったのは Breaking Ground というメインセッションに該当するようなトラックで、それだけ発表の枠も会場も大きいところでした。
通ったのは素直に嬉しいのですが時期も時期であり、ここからはもう大忙しです。筆者の発表は会社の事業計画にも載っていなかったのですがなんとか数十万円分の費用を捻出していただき、フライトもホテルも埋まったらヤバいと思い大至急予約です。急な支出に対応してくれた弊社には毎日感謝の正拳突きをしながら、発表資料も BSides Las Vegas 用に調整するかたちでデモ多めで楽しめな内容にすることに方針変更、 分析データも JSAC からさらに半年分追加したものにアップデートする作業をしていきました。

さらに筆者が最も課題としている英語の勉強です。とりあえず通勤時間 ABC News を垂れ流し、仕事の合間に中学レベルの英会話を覚えて、発表原稿は ChatGPT に読ませてそれをシャドーイングすることでなんとか耐えようとしていました。
www.youtube.com

とにかくこの期間はあっという間に過ぎて、やることを我武者羅にやっていたらいつの間にかフライト直前になっていました。

いざ、本番当日!

BSides Las Vegas の会場は Tuscany Suites & Casino であり、Black Hat USA が行われている会場 Mandalay Bay と DEF CON が行われている会場 Las Vegas Convention Center の地理的な中間にあたる場所です。会場内部は talk だけでなく DEF CON のような様々なヴィレッジ、CTFイベント、カラオケ(!?) 等も行われており比喩抜きでお祭りのような状態でした。本当はイベント会場の様子を画像でお見せしたいのですが撮影条件が厳しく、基本的にはカンファレンスの様子を撮影してアップロードすることは禁止されているため会場の看板だけでご容赦ください。

BSides Las Vegas の看板

さて筆者はというと発表が1日目の午後ということもあり、開幕から発表までは楽しめるメンタル状態ではなくNA4Sec チームのメンバーと部屋に引きこもって発表の最終調整をしていました。

いざ、発表!!

NA4Secチームでの発表@BSides Las Vegas

深く語ることはありません。なぜなら、緊張しすぎてときどき話すことが頭から飛んだことと最初に一笑い取れたこと以外ほとんど覚えていないからです。プレゼン後に得られたよかった点や反省点などは後ろでまとめます。
詳細な当日の発表につきましては YouTube Live に記録されていますので、これまで非公開だった内容が気になる方はご覧になっていただければと思います。(Live 開始から8時間後付近が筆者らの発表です。)
www.youtube.com


また、同日は Flatt Security に所属するエンジニアの方も発表しその様子をブログに投稿されています。他社様視点でのイベントの様子が気になる方は参考になるため、ぜひご一読してみてください。
blog.flatt.tech

初めての海外登壇でよかったコト・反省してるコト

よかったコト

Las Vegas でもポジティブなコメントを多数もらえた！

自身の活動が多くの人に価値あるものとして認識されたことに対する喜びが、筆者にとって海外登壇における最も印象深い感情でした。きちんと CFP を書き、資料を作りこんだ甲斐があったと感じています。

正直なところ、自身が行っている活動は世界レベルで見て価値のあるものなのか、それを異なる言語で魅力的に伝えることができるのか不安な点が多数ありましたが、発表後のコメントで「この活動無料でやってるの? それは尊い研究だね!」「発表興味深かったよ! どこかで詳細なデータ見せてもらえる?」など複数ありがたいコメントをいただき、「引き続きリサーチ頑張ろう。また海外に挑戦してみよう」という活力を生むことができました。納得のいく発表をして次の発表につなげる、理想的なサイクルの起点を作れたのではないかと思います。

プレゼンター特典が山盛りで現地でも快適に過ごせた

これもかなり大きかったです。Las Vegas 経験者に話を聞くと、BSides Las Vegas や DEF CON 会場への移動や食事をする場合、ホテルから距離があり徒歩だと耐えられない暑さであるため Uber タクシーやモノレールを使った移動を推奨されます。しかしながら、初めてプレゼンターで参加した筆者は一部の苦労をすることはありませんでした。理由は以下のようなプレゼンター特典があったためです。

  • BSides Las Vegas プレゼンターは会場である Tuscany Suites & Casino に安く宿泊できる
    • ギリギリ会社の予算に収まる!!
  • イベントでは朝食・昼食が出るのでご飯に困らない
    • 夜食がないと思ったそこのあなた、基本的にイベント期間中は after party が開かれているのでそこでご飯を食べられます。なので実質三食が保証されています。
  • BSides Las Vegas が開催されていない日程の日でも、Tuscany Suites & Casino から Black Hat USA, DEF CON 会場まで直通のバスが1時間に一本程度出ている
    • つまり、会場に泊まれていれば暑さの影響を受けることもタクシーも使うことなく別のイベントへ行ける


一言でまとめるとめちゃくちゃ快適でした。最悪、次に参加したときにこれがなかったら耐えられないかもしれないです。しかしながら DEF CON 期間中BSides Las Vegas の発表者のリストを使って Tuscany Suites & Casino に対して物理ペンテストを行っている人たちもいるみたいで、泊まる際はより一層の用心が必要となるかもしれません。。。

反省してるコト

乾燥対策不足

インターネットで Las Vegas について調べてみると「日本と比べて熱いけどジメジメしていないから逆に過ごしやすく感じました」という意見もありましたが、筆者にとってはそんなことはなく Las Vegas の湿度が低すぎてすぐに喉がやられました。たしかにジメジメした熱気は感じないですが、代わりに強烈な熱波が常に直撃して来るイメージです。Las Vegas に一緒に来ていた友人は、「乾燥で鼻と喉がやられて常に鼻血が固まっている状態」と話していました。

筆者が喉へのダメージを最も意識したのは発表本番のときで、なんと声を張ろうとしても喉がガラガラで思ったように声が出ないのです。日常会話レベルでは「喉に違和感があって気持ち悪いなぁ」程度だったのですが、発表では明らかに支障が出てしまいました。Flatt Security 様のブログでも書かれている通り、喉が弱い発表者の方は加湿器を持っていって喉を保護する対策をすることを強く推奨します。

リスニング対策不足

海外の英語で最も困ったのは、発表での Technical な質問やフィードバックよりもひょんなことから降られる日常会話の聞き取りです。特に DEF CON に参加したときはそれが顕著に感じられて、1~2 時間近く列待ちしている間に隣に並んでいるエンジニアの方からボソッと会話を振られます。正直、いきなり降られると内容がわからないどころか筆者自身に話しかけているのかどうかすらわかりません。「これが『時々ボソッと英語で語り掛ける隣のハッカーさん』ってやつか。。。唯一の違いは実は俺が英語をまるでわからないってことだな」と心の中で思いながら頑張って中学英語で会話をつないでました。

2ヶ月間ABC News を垂れ流してはいましたが、正直なところ英語が苦手な人が垂れ流したところでリスニング向上するわけがなかったので、きちんとリスニングの教材使って聞き取る練習をしなければいけないというのが大きな反省点です。次回チャレンジするまでの宿題ですね。

筆者は思い出した、ヤツらに支配されていた恐怖を.......

......なんと、コロナも貰ってきて帰国後一週間高熱で寝てました。

完全に油断していた筆者が悪いですが、まぁあんな人混みすごくて換気も悪い環境だとほぼ防げないですかね。。。このブログも咳ゴホゴホしながら書いてます。
帰国の際に発熱していなかったことだけが不幸中の幸いでしたね。

おわりに

NFLabs. として初の海外登壇、そして筆者らとして初の Las Vegas 体験談でした。CFP を書いているときから発表直前までは不安・恐怖・期待様々な感情が入り混じって精神状態が不安定でしたが、いざやってみるとポジティブなリアクションを複数もらうことができ、たいへん楽しくもあり有益な経験を積むことができました。なによりも学生時代から憧れていた舞台に自分自身がプレゼンターとして登れたこと、そして己のエンジニアリングが全世界に対して貢献できたということは、何物にも代えがたい刺激と体験につながったと自負しております。


英語や治安問題など不安に感じる点もいろいろあるかと思いますが、この体験は日本では得られない貴重なモノだと思うので、悩んでいる皆さんもまずはCFPを投稿することから初めてみてはいかがでしょうか!?

また、筆者自身もここで止まらずさらなる調査活動をやっていきたいと考えています。筆者らと一緒に NFLabs. でリサーチをして現場に還元していく仕事をしていきたい方を絶賛募集中ですので、ご応募をお待ちしております。
nflabs.jp

また、共同で本発表を手掛けていただいた NTT Communications の NA4Sec チームも仲間を募集しています。サイバー脅威インテリジェンスアナリスト特化のロールで働いてみたい方にはピッタリなチームだと思うので、こちらもご応募をお待ちしております。
hrmos.co

それでは、次回の Las Vegas 聴講者視点編でまたお会いしましょう👋