第8回北海道セキュリティ勉強会に参加してきました。
第8回北海道セキュリティ勉強会（セキュポロ）に参加してきました。
今回の参加目的はお菓子は当然のごとく、
なによりMicrosoft北海道支社のセミナールームに入れるってことで行ってきました。
開場
土日は人通りの少ないJRオフィスタワーのエレベーターを使い、20Fへ。
そして、目的の「Microsoft北海道支社」！
受付の部屋にKinectが置かれており（参加者の私物らしい）、
いかにもって感じでした。
なにより、20Fの高さがあったので、窓から見た景色はとても綺麗。
何か、これを見に来ただけでこの勉強会に来たかいがありました！
開会〜自己紹介タイム
時間になり、前回参加時同様、勉強会参加時の注意事項のお知らせと、自己紹介タイム。
皆さん大半はセキュリティに強い関心があるという中で自分は、
「北見から来ました。高速無料化がなくなって残念です。」
と、セキュリティに一切関係ないことを言ってきました！
でも、場所がインパクトあったのか、誰か彼かに
「北見からお疲れ様です。」
といってもらいました。
・・・うちも気さくに声掛けれる様になりたいものです！
セキュリティ対策の王道(理想)と現実を考える(前)
小野寺匠さんによる講演でした。
前回同様どんな人なのかということを調べずに聞きに行きました。
行く人行く人本当にお話が上手で、内容が濃くて楽しい内容でした。
・・・が、この楽しい話をここに書いちゃうと、
うっかり書いちゃダメなことまで書いちゃいそうでコワイので割愛。
お話のはじめに言われたのですが、数字とか出しちゃうとヤバいらしいですよ。
最近の攻撃手法として、APT(Advanced Persistent Threat)があったらしいです。
どんな手法かというと、
という段階を踏んで攻撃してくるらしいです。
昔はウィルスメールをばらまいて攻撃していたのが、
今はピンポイントに1,2通しか送られない。
よほど勘のいい人じゃないと気づかないぐらいに、攻撃手段が巧妙になっている。
そして、気づかれにくく攻撃されてから約9ヶ月後にようやく気づいた事例などで説明してくださいました。
（事例といっても「実在する人物、団体とは一切関係ありません。」という前置きもあった）
休憩（お菓子タイム）とグループディスカッション
はい、今日のメインイベント（違）
お菓子タイムです。
今日は旭川の「梅屋」というお菓子屋さんのお菓子！
買ってきてくださった方のおすすめケーキを手にとりました。
前回のStella marisのケーキも美味しかったですが、今回のケーキも美味でした！
今回の参加は学生０だったのらしいのですが、これを目当てに来るのは絶対ありだと思います。
（後輩たちは多分来たら同日行われていた「札幌 "9leap" HTML5/enchant.js ゲーム開発ハッカソン : ATND」の方に参加してただろうけど・・・）
お菓子タイムが落ち着いたら次はグループディスカッション。
グループディスカッションというと就職活動などのお固いイメージがありますが（前回そう思ってた）、
そんなことは全然無く、自分の興味ある話題をグループで話し合い、最後に代表者が「こんなこと話したよ！」
とする時間です。
主に自分の参加グループでは、「パスワードの管理」に関して盛り上がりました。
- 結局パスワードをサイトごとで使い分けてる人って少ない
- 銀行の暗証番号と同じのりでパスワードをつけちゃってる
- 会社のお偉いさん方は、「このPCパスワードなくしてくれ」という要求をする所も
等々いろんな話が出ました。
「その他にもAPTは実は昔からあったあり、名前だけがその時その時により変わってる。」
という話もありました。
セキュリティ対策の王道(理想)と現実を考える(後)
後半は前半の対策に関してのお話。
対策方法（理想）として
- 最新を維持
- ID・ネットワーク
- 構成管理
- 資格管理
- モニタリング
とあり、それぞれの要所要所を説明して頂きました。
一番印象に残ったのが「最新パッチの適用ができない理由」で
サーバを止められない
という理由がよく聞くと思います。
しかし、実際は社員のいない夜にパッチを当てることが可能だったり、
そもそも重要なサーバならクラスタリングを組んで運用するだろうという観点から、
ほとんどは面倒か、構成管理の管理の次点でミスが生じているとのこと。
あと、どんなに対策してもハッカーさんたちは、斜め上の発想で攻撃してくるので、
事故前提で対処し「想定外」とか言わないセキュリティ対策をする必要がある。
でも、斜め上から攻撃してくるなら「アンチウィルスソフトとかいらないよね！」ということにはならない。
なぜなら、既存のウィルスだってうようよしてるわけなので、
そいつらから身を守るのに必要だからである。
あと、弱者から芋づる式で情報を取得していくことが多いので、
「自分のPCは大事なデータないから大丈夫」という事にはならず、
ハッカーさんたちにはすべて有用な情報なので、一人一人が意識して対策に講じる必要がある。
等々いろいろと興味深い対策方法を説明して頂きました。
懇親会
懇親会はケータリングスタイルで行いました。
そしてなかなか話の中にはいっていけない自分。
・・・けど、今回はそれなり繋がらない会話が多かったですけど、
なるべく前へ前へ出ていったつもりです！
そして、懇親会LTをしてきました。
というか、@smokeymonkey さんにさせられました！
はじめはLDD’11/Fall in 釧路のご紹介で @tenyawanya さんが、
つぎにTwitterの危険ということで、ストーカー行為をやるための手段として、 @smokeymonkey さんが、
そして最後は、勉強会と車ということで２年前の使い回しで自分が発表しました。
至らない点がありすぎるLTでしたけど、
「至らない」という点がわかるようになって来ただけでも進歩だと思います。
数をこなさなきゃわからない。これは何にだって言えることだと思います。
そして、せっかく遠出してるのでこれをネタに別のLTをつくろうかと決心しました。
