Opening

Chiao-Lin Yu (Steven Yu)

Chiao-Lin Yu、別名Steven Yu、Steven Meowは、Trend-Micro Taiwanのセキュリティリサーチャーです。2022年7月、台湾の台北にある国立台湾科学技術大学で電気工学の修士号を取得した。専門はペネトレーションテストとレッドティームスキル。OSWE、OSCP、LPTの資格を持ち、現在はWebセキュリティとハニーポットの開発に注力している。

Jiann-Liang Chen

Chen教授は 1963 年 12 月 15 日に台湾で生まれました。 1989 年に台湾の台北にある国立台湾大学で電気工学の学位を取得しています。1997 年 8 月からは、国立東華大学のコンピューター科学および情報工学科に所属し、理工学大学の教授および副学部長を務めています。 Chen教授は現在、国立台湾科技大学の電気工学科に特別教授として参加しています。彼の現在の研究対象は、セルラー モビリティ管理、サイバーセキュリティ、個人通信システム、モノのインターネット (IoT) です。

HoneyRASP - RASP技術によるハニーポット

本研究では、RASP（Runtime Application Self Protection）手法を用い、未知の脆弱性を捕捉するハニーポットシステムを構築した。このシステムは、マイクロサービス方式を適用し、各サービスを異なるコンテナに配置することで、攻撃の防止、展開、保守を容易に行うことができます。RASP技術により、PHPアプリケーションの制御フローを監視することで、様々な防御回避戦術をターゲットとし、Web Application Firewall（WAF）よりも高い精度に到達することができます。 他のオープンソースのハニーポットとは異なり、発見されやすい。提案システムは、すべての組織のためのカスタマイズハニーポットを構築するために容易に移行する。本研究で提案するコンセプトは、企業が既製品の制限を受けずに、自社製品の脅威を捕捉するのに役立ちます。また、提案システムは、発見されやすいという現行製品の弱点から免除されます。 OWASP Top 10 - 2021とCommon Weakness Enumeration（CWE）に従い、本研究ではPHPにおける5種類のWebアプリケーション脆弱性を提案しました。ディレクトリトラバーサル、ローカル/リモートファイルインクルージョン、コマンドインジェクション、Webシェルアップローディング、SQLインジェクションです。それらをMITRE ATT&CK Enterprise MatrixのTactics and Techniquesにマップします。 本研究では、RESTful API Serverが各ハニーポットノードからデータを受け取り、Webインタフェースを投げてシステムを提示します。システムで表示されるデータには、ソースIP、関数デバッグコールスタック、生のリクエスト、Tactics, Techniques, and Procedures（TTP）が含まれています。 Exploit-DB、GitHub、WPScanから適用された25のCVE脆弱性と、当社のRASPハニーポットシステムにおけるPoCテストのすべてを捕捉しています。最後に、本システムを評価するために、難読化したWebシェルを作成し、本システムに設置することも行いました。難読化したWebシェルは、VirusTotalに登録されているすべてのアンチウィルスシステムを回避することができますが、当社のシステムでは検出することができます。

高山 尚樹

筑波大学 情報学群 情報科学類 在学。個人でマルウェア解析やリバースエンジニアリングに関する研究およびツール開発に取り組んでいる。セキュリティ・キャンプ 全国大会 2022 講師など。

MSIパッケージファイルを介して感染を広げるマルウェアの調査および解析

攻撃者がマルウェアの感染を広げる代表的な手法の一つとして、MSIパッケージファイルを使用するものが挙げられる。これは古くから用いられている手法ではあるが、正規のソフトウェアのインストーラを装ったり、OSの脆弱性を利用したりなど、攻撃手法の巧妙化が進んでいるものも確認されている。本講演ではMSIパッケージファイルの内部構造をもとに、実際にマルウェアの感染拡大に用いられたMSIパッケージファイルを解析する過程、そしてそこから得られた知見を共有する。また、難読化を解除する手法など、解析する上で役立つ普遍的なテクニックについても紹介する。

Sh1n0g1

マクニカセキュリティ研究センター所属。マルウェア解析やペンテストツールの開発、セキュリティサービス開発に従事。趣味はセキュリティ製品の検知回避である。Black Hat ArsenalやDEF CON Demo Labsなどにて自作ツールの発表を実施。

最強の不正Powershellスクリプト検知エンジン「Z9」

PowerShellスクリプトが攻撃で利用されるケースは年々増えており、マルウェアのダウンローダ、エクスプロイト、認証情報のダンプ、バックドアなど、用途は様々です。それほどPowerShellが幅広く悪用されている理由は、難読化が容易であり、ファイルレスで実行でき、.NETフレームワークやWindowsAPIが使え、ネイティブコードが実行できる点です。Z9はそうした不正なPowerShellスクリプトを検知するエンジンです。PowerShellの実行ログをベースに複数の検知エンジン、難読化解除を行います。本公演では検知メカニズムをデモを交えて発表します。

Break

Dennis Kengo Oka

Dr. Dennis Kengo Okaは、自動車業界で15年以上のグローバルな経験を持つサイバーセキュリティの専門家です。コネクテッド・カー向けのソリューションに焦点を当てた自動車セキュリティの博士号を取得。シノプシスの主席自動車セキュリティ・ストラテジストとして、自動車用ソフトウェア開発ライフサイクルおよびサプライ・チェーン向けのセキュリティ・ソリューションに重点的に取り組んでいます。カンファレンス・ペーパー、ジャーナル記事、書籍など70以上の出版物を持ち、自動車およびサイバーセキュリティに関する国際会議やイベントで頻繁に講演を行っています。最新の著書は「Building Secure Cars: Assuring the Automotive Software Development Lifecycle" (Wiley, 2021)があります。

CIパイプラインにおける組込みソフトウェアのファズテスト - 実践ガイド

サイバーセキュリティは、自動車産業にとって不可欠な要素になりつつあります。このため、自動車関連企業では、開発プロセスにおいて様々なサイバーセキュリティ活動を実施しています。例えば、自動車用ソフトウェアの未知の脆弱性を検出するためには、ファズテストや侵入テストなどの様々な種類のテストを実施することが推奨されます。しかし、現在の自動車業界では、ファズテストは手作業で実施されることが多いようです。 本発表では、Zephyr Project RTOSを例に、ファズテストをCI（継続的インテグレーション）パイプラインに組み込むための実践的なステップバイステップのガイドを概説します。ZephyrプロジェクトRTOSは、オープンソースのリアルタイムOSとして初めて機能安全認証を取得し、自動車の組込みシステムに適用することを目指しています。Zephyrは、Bluetooth、Wi-Fi、IP、Ethernet、CANなどの接続性をサポートしています。 当社の実践的なガイドでは、ファズテストプロセスを構築するための様々なステップを説明しています。これらのステップには、ファズする対象の通信プロトコルの特定、いつ、何を、どれくらいの時間ファズするかというテスト戦略の定義、自動化された方法で継続的にファズテストを実行する、対象システムで例外を検出する、テスト結果を管理する、などが含まれます。CIパイプラインにファズテストを組み込むことで、自動車会社はファズテストを継続的かつ自動化された方法で実行することができます。その結果、自動車メーカーは、開発プロセスの早い段階で未知の脆弱性を検出し修正することができ、関連コストを削減し、全体として製品の品質を向上させることができます。

Ta-Lun Yen

Ta-Lun Yenは、リバースエンジニアリング、プロトコル解析、ワイヤレスセキュリティ、組み込みおよびIoT/ICSデバイスセキュリティに関心を持つセキュリティ研究者です。台湾の情報セキュリティコミュニティ「UCCU Hacker」のメンバーであり、Black Hat、CODE BLUE、HITCON、hardwear.ioなどの有名なカンファレンスやイベントで様々な研究発表を行っている。現在、TXOne Networksで攻撃的な研究を中心に活動しています。

大規模なカスタムサービスや複雑なサービスのためのネットワークのスキャン：公開された例の発見 インターネット上のデータ配信サービス

Black Hat EU 2021で、産業制御、航空宇宙、海上、軍事アプリケーションで使用されるプロトコルであるData Distribution Service（DDS）の複数の実装に、リモートアクセス可能な脆弱性があることを紹介しました。ほとんどのベンダーは、ここ数カ月で脆弱性を修正していますが、ユーザーはタイムリーにサービスを更新していない可能性があります。しかし、DDSはその性質上複雑なプロトコルであり、標準的なポート番号では動作しないため、ネットワークの悪用が検出されないようにしながら、独自のスキャナを構築し、多層的なアプローチを実装しなければなりませんでした。 私たちのスキャナーは、仕様に基づき、露出したDDSポートの可能性をスキャンすることで、潜在的なDDSノードを特定します。次に、特定されたノード上のDDSの存在を確認するために、さまざまな技術を組み合わせて利用しました。確認されたDDSノードのリストができると、脆弱なノードとその位置のマップを作成することができます。 その結果、驚くべきことがわかりました。DDSノードのかなりの部分が、私たちがテストした脆弱性のうち少なくとも1つに対して脆弱であることがわかりました。これは、攻撃者がこれらの脆弱性を悪用して、DDSが稼働しているシステムに不正にアクセスできる可能性があることを意味します。 今後も、DDSをはじめとする産業用制御システムのセキュリティに関する調査を継続する予定です。これらのシステムは、私たちが日常的に利用しているインフラやサービスの運用に不可欠であることが多いため、潜在的な脆弱性についての認識を高めることが重要であると考えています。また、ベンダーやユーザーと協力して、これらのシステムのセキュリティを向上させ、潜在的な脅威に対して適切に保護されるようにしたいと考えています。

Richard Orman

Richard Ormanは現在、日本の大手BNPLであるPaidyでSOCリードとして働いています。それ以前は、CACIとGDITという米国の著名な防衛関連企業でセキュリティエンジニアとして働き、Kubernetesバックエンド上でElasticsearchを展開・管理する直接的な経験を有しています。彼は、コンテナ化を導入し、最新のDevOpsツールで開発プロセスを近代化することで、開発者の能力を高める手助けをしています。

ソフトウェア開発プロセスにおけるセキュリティ向上のためのGit Hooksについて

Gitフックは、ソフトウェア開発プロセスにおいて、タスクを自動化し、ポリシーを強制するための強力なツールです。このプレゼンテーションでは、ソフトウェアの開発とデプロイメントにおけるセキュリティを向上させるために、git hooks をどのように使用できるかを探ります。git hooksの種類や使い方など、git hooksの基本的なことを説明します。デモを通して、脆弱性のスキャン、セキュリティテストの実行、安全でないコードのプッシュをブロックするためのフックのセットアップ方法を紹介します。プレゼンテーションの終わりには、参加者はソフトウェア開発プロセスのセキュリティを向上させるためにgit hookをどのように活用できるかをより良く理解できるようになります。

Break

高岡　哲也

主にRed Team OperationsやTLPT等のOffensive Security領域でコンサルティング業務を行なっています。 また、ぺネトレーションテストのトレーニング講師やセキュリティの技術的な知見をブログで知識の共有を行なっています。現在、OSCP、CRTO、鍵士2級などの資格を保持しています。

米山　慶

某サイバーセキュリティ会社で大手金融機関や保険会社などに対するRed Team Operations・TLPTを活用したセキュリティ対策評価を行っています。 8年前からWeb開発からサイバーセキュリティ業界に転向し、Offensive Securityに係る製品評価や脆弱性診断、ペネトレーションテスト、Webアプリケーションセキュリティテスト、Red Team Operations、TLPTに従事してきました。

企業が見過ごしやすい物理セキュリティの穴

RedTeam演習では、サイバー・ソーシャル・物理の3つの観点で擬似的な攻撃を行うことで企業のセキュリティ態勢を評価することが望まれる。しかし、国内企業において、物理評価を行うには建物所有者を含む多方面への関係者との調整が必要などの理由から、物理評価まで取り組む企業が少ないのが現状である。こうした背景の下、複数の国内企業に対して物理を含めた3つの観点で評価を行なった結果、物理を起点とした攻撃によりサイバーやソーシャルよりも容易に企業への侵入や機密情報を模したファイルの奪取が可能であった。 本発表では、今企業が物理セキュリティに取り組むべき理由や評価を行う際に考慮するべき勘所について紹介する。

羽田 大樹

SOC勤務

Power Automate Packing

Power Automate はクラウド上で動作する RPA ツールであり、非常に便利なことから攻撃者にとっても悪用されることが知られている。ノーコードでフローを実行できるためエンジニアでないユーザーでも簡単に利用できる一方で、一般的なプログラミング言語が提供するビット処理などは直観的には実装できない。本発表では、このような制約のもとで RC4 の処理を実装し、Power Automate Management を用いて一時的にフローの生成と削除を行うことでペイロードを実行する Power Automate Packing のコンセプトとデモを紹介する。

Closing