NFLabs. エンジニアブログ

セキュリティやソフトウェア開発に関する情報を発信する技術者向けのブログです。

はじめての海外のカンファレンスに行ってきました@DEF CON

セキュリティ イベント参加

TL;DR

  • 弊社社員による BSides Las Vegas 2024 の登壇と DEF CON 32 体験記(聴講者視点)です。
  • 本稿は、DEF CON 32 聴講者視点での体験記です。海外カンファレンス登壇背景や発表内容につきましては、DEF CON に行く。そして、BSides Las Vegas でプレゼンする。 にてご紹介しておりますので、ぜひご一読いただければ幸いです。
  • BSides Las Vegas 2024 も DEF CON 32 も最高でした！ぜひ現地で楽しんでください！

はじめに

みなさんこんにちは @strinsert1Na と宮澤です。

本稿では BSides Las Vegas と DEF CON に参加してきた両名が、発表・聴講それぞれの視点で経験したことを綴る体験記を投稿する予定となっており、本稿は聴講者視点の内容となります。現地の様子や雰囲気を知ることで、カンファレンスの参加に興味がある方やこれから参加しようと思っている方の参考になれば幸いです。

きっかけは突然に

そもそも筆者は今年の6月までラスベガスに行く予定もなく、カンファレンスへ参加するモチベーションも特段ありませんでした。しかし @strinsert1Na の BSides Las Vegas 登壇が急遽決定し、NFLabs. の内部で「若手1名同行させたらどうか？」という話題があがり、いつの間にか代表として選出される運びとなりました。

話を伺った際は BSides Las Vegas のみに参加するものだと思っていましたが、それに加えて「BSides Las Vegas だけでなく、Black Hat USA (以下 Black Hat と表記)、DEF CON への参加も自由に検討してよい」という大盤振る舞いな回答が NFLabs. から返ってきました。会社から積極的に支援いただけるのは一社員として嬉しい限りですが。スケジュールの検討をした結果、最終的に BSides Las Vegas とDEF CON のみの参加としました。Black Hat への参加を見送った理由は、Black Hatの参加費やトレーニング費が他のカンファレンスと比べて高額であること、Black Hat のBriefings の内容は DEF CON の Villages でも大いに聞けることが多いという情報を耳にしたためです。

きっかけとしては外発的な動機づけがあっての参加ではありましたが、全力で NFLabs. に貢献するためにも、個人目標として下記の3点を胸にラスベガスに向かいました。

  • トレーニングビジネスや社内のエンジニアの参考になるような情報を持ち帰ること
  • 参加実績やカンファレンスの現地参加の魅力を伝えることでチームメンバのモチベーションアップにつなげること
  • 現地参加を経て、自身の成長につなげること

慣れない海外であること、そもそも自身の対外活動経験に乏しくカンファレンスのいろはも知らないこと相まって不安に思うところも多かったですが、筆者なりに調査して DEF CON 会場へ向かいました。

DEF CON 32

DEF CON とは？

DEF CON は世界最大級のセキュリティイベントの1つで、毎年8月のラスベガスで開催されています。今年は8月8日(木)から8月11日(日)の開催でした。世界中からセキュリティの専門家が集うことで知られており、「ハッカーの祭典」とも呼ばれています。

もともとは1993年、Jeff Moss が友人の送別会として行ったイベントだそうです。同時期に開催される他のカンファレンスと比べても、ビジネス観に縛られない自由な場という印象をうけました。

DEF CON は扱うテーマ毎に Villages と呼ばれる単位でコミュニティが構成されており、Villages 内でも CTF や Workshops、Talks セッション等が開催されています。

DEF CON 会場までの移動手段

会場までの移動手段はいくつかありますが、公共の乗り物を利用する場合は以下の3つのどれかを利用する方が多かったです。

  • Las Vegas Monorail ( +VEGAS LOOP )
  • BSidesBus
  • Uber

モノレールの駅の近くに宿泊する場合は Las Vegas Monorail がおすすめです。Las Vegas Monorail はおよそ5分前後の間隔で運行しています。紙の切符の場合、片道 $6、1日乗車券 $15、4日乗車券 $39 でチケットを購入でき、電子チケットは割引価格で販売されています。 DEF CON 会場( LVCC West Hall )と最寄り駅( Las Vegas Convention Center Station )間は、VEGAS LOOP を利用することで無料で移動できます。筆者は利用していませんが、暑いなか外を歩く時間が短縮されるのでモノレール利用者にはおすすめです。

BSides Las Vegas 会場である Tuscany Suites & Casino 若しくはその付近に宿泊される場合は、BSidesBus が便利です。BSidesBus は、 Black Hat、BSides Las Vegas、DEF CON 会場間を周遊しているバスです。会場間を無料で往復することができます。1時間に1本程度の本数ではありますが、BSides Las Vegas 会場など各会場の近くに宿泊している場合、無料で便利な移動手段になります。

bsideslv.org

筆者と同様にどちらも利用が難しい場所に宿泊している場合は、配車サービス Uber 一択になるかと思います。Uber は、目的地の伝達、運賃やチップの支払いをアプリ内で完結させることができます。ここで挙げている移動手段の中では一番お金がかかりますが、現在地から目的地までピンポイントで移動できます。ラスベガスでは、会場以外への移動にも重宝しました。

1日目

DEF CON 初日は Data Duplicate Village 等の一部の Villages を除きほとんどのVillages が閉まっているため、同日に開催されている Black Hat と行き来する方も多いようです。 DEF CON 会場に足を運ぶほとんどの方は DEF CON 会場への入場に必要なバッジの受け取りや物販が目的のようでした。

会場は初日から多くの人で賑わっており、会場の広さと参加者の多さに圧倒されました。100mは超えるであろう長蛇の列が作られており、会場の雰囲気は、日本のコミックマーケットやデザインフェスタに近いです。

待機列の様子

行列は2種類あり、まず1つ目はDEF CON 会場への入場に必要なバッジを受け取るための受付のブースの待機列です。(俗に Line Conと呼ばれるそうです。)こちらはおよそ1時間ほど並ぶとバッジを受け取ることができます。また、午後であればほとんど並ばずにバッジを受け取ることができたそうなので、時間に余裕がある場合や初日に物販に並ぶ予定が無い場合は午後から会場に足を運ぶ方が効率的かもしれません。

DEF CON 32 のバッジとパンフレット

2つ目の行列は物販の待機列です。物販では、Tシャツやステッカーなど、DEF CONグッズが購入できます。現金のみの取り扱いとなるためご注意ください。 物販の待機列はLine Conよりも更に長い待機列が作られていました。筆者の場合、朝9時30分頃から夕方16時頃まで約6時間ほど並んでやっと購入することができました。 待機列に並んでいる間は、聴講したセッションの内容をまとめたり、エンジニアブログの執筆や、DEF CON のセッションのスケジュール確認をしていました。 物販は2日目以降も常に待機列が作られている状態で、DEF CON開催期間中は1時間ほど並ばなければならないことが多いようです。

また、真夏のラスベガスの気温は40度を超える日もあるものの、会場内はエアコンが効いているため少し肌寒く感じられました。現地で参加される方は羽織れる薄着の上着を1枚持参することをおすすめします。

2日目以降

昼食

DEF CON会場では食事の販売やフードコートのようなスペースも用意されています。お昼の時間は混雑するので会場外へ食べに行くのもおすすめです。

  • Tacos El Gordo
    • 会場徒歩圏内のタコスのお店
  • Cafe 325
    • 会場の向かいのカフェ

ボリューム満点ハンバーガー

Talks

Talksは広いホールを4区画に区切ったTrackで開催されていました。30分~1時間毎に様々なテーマのセッションが行われており、DEF CON の規模の大きさを体感できました。 Villages は待機列に並ばないと入ることができないこともありますが、Talks のスペースは十分に広く、基本的に待ち時間なく参加することができました。 一部講演の内容が会場配布のパンフレットと異なることがあるため、会場の案内板またはWebサイトで最新の情報をご確認ください。

Villages

各Villagesでは、講演やWorkshop、CTFが開催されており、当日はどのVillages もにぎわっていました。 Recon Village やAppSec Village等、Villages によっては、入るために1時間ほど待機列に並ばなければならないほど大盛況でした。 ここではいくつかのVillages の様子についてご紹介します。

Adversary Village

Adversary Tradecraft やPurple Team に焦点を当てたWorkshops や講演、CTF が行われました。 OpSec 向上のためのペネトレーションテスト用ツールの改修や、サイバーセキュリティ・フレームワーク「MITRE CALDERA」の紹介など、ハンズオン形式で学べる内容となっており、手を動かしながら実践できるのが印象的でした。

RedTeam Village

Offensive Security における最新のスキルや Tactics 等をテーマとしている Village です。講演も Workshops も参加希望者によって終日長蛇の列が形成される盛況ぶりで、特に Workshops は人気が高く、常に待機列が形成されている状態でした。 先着順のため、並び始めるタイミングによっては参加できなかったというケースもあり、「1時間待ったが入れなかった」、「待機列に並んでいたものの入りきれず断念した」という声も聞きました。 Threat Emulation の専門家によるTalkセッションや、OSINT のツールやテクニックに関する Workshops など、様々な催しが行われており、充実した内容となっていました。

Red Team Village の待機列の様子

IoT Village

IoT Village は常設の展示が充実しており、IoT デバイスのファームウェアの解析や、脆弱性の発見、Exploit を体験できるコーナーが数多く並んでいました。IoT Village では、金庫をハッキングして中の賞品を獲得するハンズオンや、Exploit を行うことでルート権限を取得するハンズオンなど、様々な体験をすることができ、参加者でにぎわっていました。資料も丁寧に作られていること、実際に手を動かしてコマンドを入力しながら理解できるように作られていることから、初心者でも学びやすい内容になっており、とても参考になりました。

IoT Village のハンズオン

その他のVillages, Community

ハードウェアのハッキングを扱うHardware Hacking Village やはんだ付けのスキルを競って盛り上がっていた Soldering Skills Village 、人によっては懐かしさを感じるPCが展示されている Retro Tech Community 、企業ブースなど、多種多様な展示が行われていました。扱われるジャンルのバリュエーションもDEF CON の魅力の1つと感じました。

Retro Tech Village の様子

セッション内容のご紹介

参加したセッションをいくつか紹介させていただきます。

Hands-on workshop: Modifying Impacket for Better OpSec (Ryan O'Donnell)

ペネトレーションテストでもよく用いられる Impacket を OPSEC の観点から改修していくハンズオン形式の Workshop です。 Impacket のスクリプトの改修を通して、痕跡を減らす方法や検知リスクを減らすために必要な観点を学び、スキルを高めることができます。

Impacket は筆者も使ったことのあるツールでしたが、このセッションではただ実行して結果や痕跡を確認するだけでなく、ツールが動作する仕組みに焦点があてられていて、とても参考になりました。

ツールのカスタマイズというプロセスを通して仕組みを理解し、様々なテクニックを学ぶことができるところは、弊社のトレーニングビジネスのヒントになりそうだと感じました。

Threat Emulation 101 (Trey Bilbrey)

Threat Emulation に関する講演です。Threat Emulation における情報収集やテスト項目の検討、実施におけるフローや考え方が説明されていました。

Threat Emulation では、組織のセキュリティを強化するために、現実的な脅威を模倣して攻撃を行うことでセキュリティを精査します。 Threat Emulation の一連の活動の中で、どのようにして情報を集め、インテリジェンスからシナリオを作成し、現実世界の脅威を再現しているか詳しく知ることができました。

ラスベガス初心者へ向けた注意点

宿泊時の注意事項

  • トコジラミ対策
    • スーツケースはバスルームに置いておく
    • ホテルに着いたらまずシーツの裏を確認し、血がついている場合は変えてもらう
  • 盗難対策
    • 部屋の鍵は二重にかける
    • 部屋にいる場合でも貴重品はセーフティボックスにしまう
      • ネバダ州の法律では、セーフティボックスが設置してある部屋でセーフティボックスを利用せずに盗難に遭った場合、ホテル側は責任を負わないとしているためです
  • 日本の宿泊施設と異なり、ホテルのアメニティに歯ブラシやスリッパは含まれないことが多いので持参する

特に、貴重品の盗難についてはカンファレンス開催前に在サンフランシスコ日本国総領事館から注意喚起が行われていたので身の引き締まる思いでした。 www.anzen.mofa.go.jp

Workshops の予約は熾烈

BSides や DEF CON の Workshops には、無料で事前先着予約できるものがあります。筆者がWorkshops の参加要領を知ったのは予約の締め切り後だったので、予約制の Workshops には参加できませんでした。Workshops の予約競争は激しく、特にDEF CON は数分で完売するので、Workshops に参加したい方は予約開始時刻に素早く予約しましょう。

各 Village の Workshops は先着順

筆者の思い込みで「Workshops = 予約必須」と勘違いしており、当日まで「各Village の Workshops もすべて事前予約制である」と勘違いしていました。各Village で開催される Workshops はたいてい当日先着順で案内されるので、参加したいWorkshops には時間に余裕をもって行動すれば参加することができます。

最新の情報の確認を

また、会場配布のパンフレットを参考にどのセッションに参加するか計画していたのですが、それが裏目に出ることもありました。当日の開催スケジュールに変更があったようで、いざ参加してみたらパンフレットとは全く別の内容のセッションだったということがありました。ごく稀なことだとは思いますが、最新の情報も確認すべきというのが筆者の反省点です。

時間が足りない…

スケジュールの都合上、筆者は DEF CON 期間4日のうち3日の参加でした。参加前は「3日もあれば興味があるところはだいたい見れるのではないか？」と思っていたのですが、大間違いでした。実際は、まだまだ聴講したいセッションを残しつつも、時間が足りず泣く泣く会場を後にすることになります。

今年の DEF CON は Villages や Talks 等の会場が一拠点に集中したことで、各ブース間を移動しやすくなった反面、様々なセッションで待機列が発生していました。行列に並ばなければならないので、セッション時間ギリギリに着いても席が無くて入れないということも多々あるようです。筆者も DEF CON では少なくない時間を行列で過ごしました。

結局、3日間参加しても気になるところを全てまわることができませんでした。時間が経つのがあっという間で、気が付いたら帰りのフライトの時間になっていました。聴講したいセッションがまだ沢山あり、「最終日まで参加したかった…!!」というのが正直な感想です。

おわりに

筆者は初めて Bsides Las Vegas, DEF CON に現地参加しましたが、何よりも規模の大きさ・扱われるジャンルの多彩さに圧倒されました。最初は新しい環境に身を置く不安が大きかったですが、今では参加してよかったと心から感じています。この場を借りてカンファレンスの参加を支援いただいたNFLabs. の皆様に感謝申し上げます。ありがとうございました。 また、ここで得た経験・スキルをもとに、今後より良いトレーニングの提供とセキュリティ人材の育成に貢献していきたいと思います。

DEF CON はブースでの展示が多いためか、コミュニケーションも取りやすく、筆者のようなカンファレンス初心者にとっても様々なエンジニアと交流しやすい空気を感じました。 最先端のセキュリティ技術に触れ、学ぶことができたという点も大変貴重な経験となりましたが、それ以上に会場の熱量を肌で感じ、エンジニア同士で交流できたことも良い経験となりました。 また、今回のラスベガス行きに伴い、8月にラスベガスでセキュリティカンファレンスに参加する日本人の Facebook グループに参加していたのですが、事前の情報収集や現地情報のリアルタイムでの共有だけではなく、社外の方との交流の機会も多く、様々な話をすることができました。

今回の経験を通じて、カンファレンス参加に対する心理的ハードルが少し下がった気がしています。ラスベガスで得た繋がりをきっかけに今後は対外的な活動も少しずつ初めていきたいと思いました。 DEF CON は筆者のようなカンファレンス初心者のエンジニアも楽しむことができるコミュニティとなっておりますので、セキュリティに興味がある方はラスベガスまで足を運んでみてはいかがでしょうか。

弊社では今後も様々なカンファレンスに参加し、最先端の情報を収集してまいります。NFLabs. でいっしょに活動する社員を募集中ですので、ご応募をお待ちしております。