Hardening 2021 Active Fault 参戦記！

こんにちは、イルグルムのわです。
今回は「衛る技術」を競い合う「Hardening 2021 Active Fault」に参戦したエンジニアが、２カ月間に及ぶ熱い戦いの記録をまとめてくれました。

今回は11月に実施されたHardening 2021のイベント参加レポートです！
イルグルムからはエンジニア2人が参戦してきました。

Hardeningイベントとは

公式サイトには、「衛る技術」の価値を最大化することを目指す、全く新しいセキュリティ・プロジェクトとあります。
端的に言えば、多数の攻撃からECサイトを守り、売上を上げる競技会。脆弱性が意図的に含まれたシステムの担当者となり、様々なインシデントやトラブルを体験する中でハードニング（堅牢化）力の強さを競い合います。

今年のタイトルはHardening 2021 Active Fault、直訳すると堅牢化 2021 活断層です。
タイトルから既に不穏な空気すら感じますが、

我々の足元には、いつか大きなリスクとなって発現するであろう“活断層”がそこかしこに眠っているのだ。
完璧な衛りは、いったい、どこにあるのだろうか。
我々 Hardening Project は、「それでも衛る」ことにこだわりたい。
― Hardening Project 公式サイトより

という熱い思いが込められています。

参戦ファイター

弊社は過去何度もこのプロジェクトに参戦しており、（良くも悪くも）爪痕を残してきました。
過去の参戦記ブログはこちら！

今年は弊社からエンジニア2人が参戦しました。

[右：アプリケーションエンジニア油田]
アプリケーションエンジニアの油田です。古着屋に通うことが生きがいです。
普段はアドエビスの開発業務に携わっていますが、これまでサポート業務に携わっていた経験を活かして、障害対応時の運用面で自分がどれだけ貢献できるか挑戦すべく参加しました。

[左：インフラエンジニア山本]
インフラエンジニアの山本です。サウナが好きです。
サーバの構築/運用等の業務に携わっています。
まだエンジニアとしての経歴が浅く、障害やインシデントの経験が少なかったため、そういった経験を少しでも積むために参加しました。

共にエンジニアとしてのキャリアはまだ浅いですが、先輩からの勧めもあり、チャレンジ精神で本プロジェクトへの参加を表明しました。

イベントスケジュール

過去のイベントでは東京や沖縄の会場に、参加者が一同に介して丸一日かけて実施されていましたが、ご時世的なこともあり今年は数日にわたってオンラインで開催されました。
大きくスケジュールは下記の通りです。

10月末 ~ 11月中旬　：　事前準備期間
11月17日～19日　：　競技詳細資料配布、競技本番
11月下旬　：　競技の振り返り

事前準備

競技当日の約1ヶ月前には参加者、およびチームメンバーが決定します。当日までの期間でチーム名やルール、当日必要となりそうな資料およびスクリプトを各々準備していきます。

我々2人が所属するチームでは、週に一回必ずミーティングをして準備を進めました。
幸いにも過去に参加経験のあるメンバーがいたので準備の方向性に迷うことは無く、どのような資料が必要なのかを整理しつつメンバー間のスキルセットや得意分野・やりたいことを共有していきました。

チームメンバー7人での話し合いの結果、競技に臨むにあたりビジネス面を担う運営チームと、テクニカル面を担う技術チームの二つに分かれて分業をする体制をとりました。

■運営チーム
チーム組織全体の承認フローなどのルール・仕組みの策定、顧客対応および上層部からの依頼対応、また全体の売り上げ状況を確認して在庫補充作業等、サービスの価値を維持するために必要な対応全般を行う。

■技術チーム
外部からの攻撃の対応や、障害復旧、構築中のサーバを稼働させる等、技術的な対応全般を行う。

技術力がいくらあってもビジネスとして成立していないと勝てない、というのがHardeningの面白いところです。
そこで、油田は運営チームで主にメール対応や障害時のお客様対応、山本は技術チームでエンジニアのタスク管理を担うことになりました。

爪痕を残さなければいけない使命感

話は少しそれますが、弊社は過去何度も当イベントに参加しており、金曜の夜に車で大阪を出発し翌日東京でそのまま競技に参加したことや、沖縄会場で登場したドローンが落下した際にメンバーに直撃したなどなど、なぜか毎回何かしらの爪痕を残す伝統（？）があります。

オンライン開催となりどうすれば目立つ（≒爪痕を残す）ことができるかを考えた結果、労力あまりかけなくていいことに無駄に本気出す方針で行動しました。
具体的には、チームそれぞれチーム名を決める必要があるのですが、作る必要のないチームのマスコットキャラクターを用意することにしました。

我々のチーム名は色々あって「しろくま」になったので、友人のデザイナーにお願いして白熊のキャラクターの使用許可をもらい、チームロゴおよびzoomの背景画像を作成しました。

事前準備もそこそこに、いよいよ競技本番が近づいてきます。

本番直前に配布される競技詳細資料

競技当日の数日前から、競技に関する詳細情報などが発表されます。
例えば、MP（マーケットプレイス）に関する情報です。これは、競技での売上を利用して外部サービスを購入する仕組みで、これを活用するとセキュリティの仕組み(WAF)や、ヒトのリソース確保(ベテラン相談サービス)等の支援を受けることができます。
マーケットプレイスでどのサービスを受けるのか、もしくはあえて利用せず挑むのか、全てはチームの戦略次第です。

また、本番直前になりようやく競技環境の情報が発表されます。
前日の18時に資料が開示されるのですが、それがなんと、90ページ越えの資料。。
おかげで、情報の波におぼれそうになります。

チームで手分けして情報を整理し、なんとしてでも押さえておきたい点だけなんとか押さえ、本番当日を迎えました。

競技本番当日

当日は油田・山本の2人は会社オフィスに出社して挑みました。それぞれの役割的に、最もコミュニケーションを取る回数が増えることを加味しての判断でした。

当日どんなことがあったのかは、競技後のスライドにもまとめたので引用させていただきます。

 
ご覧のようにものすごく順調なスタートダッシュを切りましたが、障害に苛まれ続け最終的に地獄のような経験をしました。（いい意味で。）

当日は最初から最後まで障害や想定外のことだらけの一日でした。
4つあるshopが次々と攻撃され、メールが受信できなくなり、shopの証明書が切れ。。ひたすら対応に忙殺されました。
（競技終了後は、放心してました。。）

競技の振り返り

競技本番の翌日にはオンラインで振り返りが実施され、後日より詳細なフィードバックや各チームの奮闘ぶりを共有するためのイベントが東京の会場で実施されました。

油田・山本の両名は、実際東京に赴いてオフラインで参加してきました！
久しぶりの遠出でかなりテンションが上がりました。
また、激戦を共にしたチームメンバーも数名現地に来ており、（2ヶ月くらい濃い時間を過ごしているのに初対面）直に健闘を称え合うことができて感動的でした。

さて、競技の結果ですが、何とか黒字！でしたが、順位としては10位/11チーム中でした。。
色々反省点はありますが、事前に準備していた工程がスムーズにいかずサイトが稼働していない時間が長かった（＝売上が上がらなかった）ことが主要因だと思います。

Hardening 2021に参加してみた所感

[油田]
Hardeningプロジェクトに参加したことで、何よりもまずセキュリティへの興味関心がかなり高まりました。チーム内で同じく初参加のメンバーでも、セキュリティ関連の仕事をメインにしている人が多数参加していて、普段の会話の中でも意識している観点や知識量の違いに刺激を受ける毎日でした。競技当日のインパクトももちろんですが、チームメンバーや運営の方々と色んな話ができたことはかなり自分の中で価値がありました。直接的に業務で扱わない分野でも、貪欲に知識を蓄えて、いずれはリベンジして技術的にハードルの高いチャレンジをしてみたいと感じました。

[山本]
応募してから準備~当日~結果発表まで、約2ヵ月近い期間のHardeningでした。
それなりの工数を使い、大変なこともありましたが、得られたものもあったと思っています。
それはやはり、参加の目的でもあった「障害であわあわする経験」、そして「Hardeningというイベントの参加経験」です。
正直、参加する前よりも、参加後の今のほうがモチベーションが高く、「次回リベンジしたい！」という思いがあります。
ですので、また次回もリベンジして、爪痕を残していきたいと思います！

おわりに

Hardeningプロジェクトに参加することで得られる経験と仲間はかけがえのないものです！
また、この経験を日々の業務に活かせるよう精進していきます！

イルグルムではともに自社製品を企画・開発するエンジニアを募集しています。
ご興味をもっていただいた方は、ぜひイルグルム採用サイトよりご連絡ください。
●イルグルム採用サイト
●募集職種一覧