Hardeningチームマネジメント技術の定石

1. Hardening 1010 Cash Flow
優勝報告
チーム #3 術中Hack
WAS Night 2017.8
Yuki Mori

2. 森 佑樹 Yuki Mori
 https://www.facebook.com/yuki.mori.54966
 Hardening Project
 Hardening 100 Value x Value (初回・CTC賞)
 Hardening 1010 Cash Flow (2回目・優勝)
 備考
 最近サーバと同居生活開始
 マルウェア解析環境構築中
自己紹介

3. チーム紹介
名前 greenapple 古謝秀人 江川達翔 西銘政紀 森 佑樹 澤谷 英
年齢 18 20 20 21 27 0x25
居住地 沖縄 沖縄 沖縄 沖縄 東京 東京
参加経験 3回 2回 初 2回 2回 初
 Hardening 1010 Cash Flowの中でも尖ったチーム(自称)
 脅威のリピーター率
 脅威の若さ
 脅威の沖縄高専率
 脅威の協調性

4. 競技結果

5. これから話したいこと
協調性0から始める優勝方法

6. Hardening競技とは
 システムを攻撃から守るシステム運用競技
 セキュリティ技術だけでなく、総合的なシステム継続の能力が問われる
 脆弱性調査・対応
 障害調査・対応
 システム調査・管理
 性能チューニング
 商品の在庫管理
 広報・お詫び

7. Hardeningの勝敗を決める要素
セキュリティ技術
ネットワーク
サーバ
各種ミドルウェア
Web技術
プログラミング
チームマネジメント技術
チームマネジメント
課題管理
在庫・広告管理
社内・社外報告
MP調達・管理

8. テクニカルスキルで勝つための工夫
Hardeningチームマネジメント技術の定石

9. ポイント
 組織構築戦略
 動きやすいチームってどんな構造？どこまで役割を詳しく決めればいいの？
 課題管理戦略
 Hardening中に増加していく課題、どうやって管理すればいいの？誰が管理するの？
 投資・運営戦略
 スコアの1つでありながら、ゲーム中に投資にも利用しなければいけない売上高…
どこまで投資に利用すればいいの？在庫管理は？
 MP戦略
 MPってぶっちゃけいっぱいありすぎてわかんない…どうやって選べばいいの？
 いくらまで売上高を投資として回すべきなの？

10. 組織体制
動きやすいチームってどんな構造？どこまで役割を詳しく決めればいいの？

11. 組織体制
 経営/技術に全権責任者をアサイン
 (自分の役割を忘れがちなので) 組織は単純で流動的な構成にしておいた
Web担当
Web担当
経営責任者 技術責任者
インフラ担当
インフラ担当
- 報告 (e.g. アレできました)
- 質問 (e.g. 今どうなってる？)
- 課題管理
- 技術課題管理 (攻撃対応/チューニングなど)
- 対応の要・不要の判断
- 課題のアサイン/撤退の判断
- 経営管理
- メール対応 (上司との報連相)
- MP対応 (発注・検収など)
- 広告・在庫管理
システム変更は
ダブルチェック
- 広告管理
- 在庫管理

12. 競技中…
技術責任者
経営責任者
経営責任者インフラ班
経営責任者Web班
• どのメンバーもどちらかの責任者の隣にいる
• 同じ班のメンバーはダブルチェックのために隣接して座ってもらう

13. 課題管理戦略
Hardening中に増加していく課題、どうやって管理すればいいの？誰が管理するの？

14. 課題管理戦略
 責任者が一人で課題の重要度を算定し、メンバーに課題をアサイン
 進捗管理は責任者の仕事。 メンバーは目先の対応集中！
 課題を時間の消費/投資の観点で2分割。攻撃対応だけに時間を割かない！！
対応 性質 内容 容易さ 必要性 総合重要度
攻撃対応 減点阻止
攻撃の原因調査
対策の実施
低 - 中 高 中
MP対応 減点阻止
MPとの交渉
経営責任者への内容引き継ぎ
高 中 高
脆弱性対応 加点狙い
脆弱性調査
対策の実施
低 低 低
メール対応 加点狙い
攻撃報告(to 上司)
攻撃情報共有(to JPCERT)
高 中 高
チューニング 加点狙い Web、DBのチューニング 中 高 高
加点狙い = 時間の投資
減点阻止 = 時間の消費
正しいかどうかより、
早く分類して適切な人にアサイン

15. 他のチームの対応
 RedmineとかTrelloとか
チーム3では使いこなせませんでした…
- 普段、使い慣れてないから？
- 利用ルールが他チームほど固まってなかったから？

16. 投資・運営戦略
スコアの1つでありながら、ゲーム中に投資にも利用しなければいけない売上高…
どこまで投資に利用すればいいの？在庫管理は？

17. 投資・運営戦略
商品在庫
広告
SLA 売上
コントロール
可能
チームの技術と
時の運

18.  運営戦略は何も考えずに広告全振り、在庫完備が定石
投資・運営戦略
開始直後に
全投資
レーダーチャートを円のまま死守
- サービスを止めない
- メール対応を行う

19. 過去との比較
 100 Value x Valueでは広告レベルは常に最大が定石だった
セキュリティ技術で差がつく
= 本来のHardening！！

20. MP戦略
MPってぶっちゃけいっぱいありすぎてわかんない…どうやって選べばいいの？
いくらまで売上高を投資として回すべきなの？

21. MP戦略
メンバーの
スキル
MPの
スキル
チームの
スキル
足りないものは
全力で足す

22. MP戦略
 MPはHardening至高の制度
 セキュリティ業界関係者: 同業他社のサービスを無料で利用できるチャンス
 組織セキュリティ担当者: 様々な企業のサービス・技術力をデモ以上に詳しく知るチャンス
 学生: セキュリティ業界に就職する際の企業比較情報を得たり、関係者と知り合いになるチャンス
 MPさえ上手く使えれば、優勝しなくても良いとすらいえるレベル
 売上を100% MP投資に回してもあり！
 借金ルールを利用する価値あり！
 開幕ダッシュする価値あり！

23.  優勝時の総資産 : 5238万円
 今回購入させていただいたMP製品 (うろ覚え)
 バラクーダネットワークス様 WAF 80万
 LAC様 謝罪対応マニュアル 100万
 神戸デジタルラボ様 改ざん検知 100万
 オージス総研様 Hardening記録/作業記録作成 201万
 テクマトリックス様 エンドポイントAV 20万
 シノプシス様 脆弱性診断18万
総額 たったの 約600万円！！
MPの費用対効果

24. ここから大人の事情で削除