極楽せきゅあブログ

ときどきセキュリティ

MWS2011の出題者解説を聞いた

pcapファイルが読めないという運用上の問題が出たみたい。
ま、それはさておき競技のスペックはこんな感じ。もう三年目なので全く今更なのだけれども、まあそのあとのネタのために。
課題のpcapデータややられイメージなどからいろいろなブツを掘り出して、それを解析する。解析途中で得られた情報を元に解答する。一つの課題に設問複数で、5問くらいある。間違えると減点(DoS対策)。
んで、出題する側の話↓。
課題の作り込みが必要だけれども、MWSの強みは実際に大量の検体を収集していること。だからサンプルには事欠かないし、それを模した疑似サンプルも作りやすい。同様な問題を作ろうと思うなら、研究用サンプルをもらって許可を得て問題作成に使うという手はあるが、主体である学会やCCCなどの管理の行き届かないところでの競技に使うとなるとちょいと面倒かも知れない。
研究用データを模して自分で作る、というのであればそこはクリアできるだろう。
競技を行う環境は暴発しないように気をつける必要があるし、持ち出されないようにもしたいところ。MWSCupの場合「持ち出さないでくださいね」と言ってる(笑)。エントリーするときはグループ単位みたいだけれど、身元がはっきりしているというところが緩いポリシーを補完している感じ。
検体として用いるデータもIPアドレスを匿名化するとか、そういうアイディアについて論じたセッションもあった>「情報セキュリティ研究用ハニーポット通信データの一般頒布に向けた技術的要件の調査」by東京大学生産技術研究所の細井さん、松浦さんの研究*1

*1:ハニポのIPアドレスはバレないように隠蔽する、という話にIIJの斉藤さんが「実は隠さない方が、攻撃が来なくて良いという考え方もあるよね」とコメントしてたなー。隠蔽操作する同じ手間で、攻撃して欲しくないIPを積極的に埋め込むというのはどうだろう(笑)?