第3回千葉大学セキュリティバグハンティングコンテストの結果
- 1 コンテスト実施状況
- 実施期間･･･平成30年8月6日～平成30年9月10日
- ハンターライセンス取得人数･･･25名
- 実際に脆弱性検査を行い、レポートを提出したチーム数 ･･･6チーム
- 2 審査結果
- ↑表彰された学生の皆さんと、コンテスト主催の石井副学長
- 参考 審査委員名簿
|
RussianBlue |
優秀賞 |
たいざんぼく |
奨励賞 |
The Irritating Ants |
| 委員名 | 所属 |
阿 部 巧 |
ソフトバンク・テクノロジー株式会社
|
大 塚 由梨子 |
サイボウズ株式会社 グローバル開発本部 東京品質保証部 |
大 熊 隆 志 |
千葉県警察本部 サイバー犯罪対策課 サイバー犯罪特別捜査官 警部補 |
久 保 正 樹 |
国立研究開発法人 情報通信研究機構（NICT） |
凌 翔 太 |
マクニカネットワークス株式会社 |
下 村 正 洋 |
特定非営利活動法人日本ネットワークセキュリティ協会 理事・事務局長 |
長谷川 陽 介 |
株式会社セキュアスカイ・テクノロジー CTO研究開発部部長 |
福 田 鉄 平 |
株式会社サイバーセキュリティクラウド |
松 浦 知 史 |
国立大学法人東京工業大学 学術国際情報センター 准教授 東工大CERT 統括責任者 |
お知らせ
表彰式・懇親会
以下の日程で表彰式及び懇親会を開催します。
ハンターライセンス取得者であれば、レポート提出の有無に関わらず参加可能です。
興味のある方は是非ご参加ください。
※懇親会への参加は事前申し込みが必要です。
moodle2018の専用フォームより、お申し込みをお願いします。
| 表彰式 | 日時 | 10月24日（水）16:10～17:10 | |
| 場所 | アカデミック・リンク・センター1階 コンテンツスタジオ（ひかり） | ||
| 懇親会 | 日時 | 同日 17:15～19:20 | |
| 場所 | けやき会館1階 コルザ | ||
| 内容 | コンテストアドバイザーの長谷川陽介様による解説や、受賞チームによるプレゼンテーションを予定しております。 また、審査委員を務めていただいたセキュリティ業界で著名な方々も出席されます。 | ||
セキュリティバグハンティングコンテストとは
千葉大学では、昨年度に引き続き学内の情報システムとウェブサイトを対象としたセキュリティバグハンティングコンテストを2018年8月6日から開催いたします。
当コンテストは、指定のウェブサイト上にセキュリティに関わるバグや脆弱性等が存在しないかどうかを、一定の研修を受けた学生がサイトの安全性向上のために調査を実施し、腕を競うコンテストです。
本コンテストは、海外の多くの企業が導入し、日本でも一部の企業が導入を始めている「セキュリティバグ報奨金制度（Bug Bounty Program）」をモデルとしています。
- セキュリティバグ報奨金制度（Bug Bounty Program）とは
- ルールに則って、ウェブサイトやネットワーク上でセキュリティに関わるバグや脆弱性等の問題点を発見した人に報奨金を支払う制度のこと。
開催目的
昨今のサイバー攻撃に対し、人材不足とされる情報セキュリティの分野において、セキュリティの技術だけでなく、法律・倫理の知識を併せ持つ優れたセキュリティ人材（学生）の輩出を目的としています。
参加条件
本学の学生で、8月6日～10日の間に開催される講習会を受講して「ハンターライセンス」を授与された方であればどなたでも参加いただけます。昨年度のハンターライセンスでは参加できません。今年度のものを取得しなおしてください。また第2タームに基本的な知識の取得ができる初心者向け講習を開催しますので、経験のない初心者でも参加可能です。
4名までのチームで参加していただきます（1名のチームでも構いません）。
チームで協力してバグを探してください。
※表彰、副賞及び参加賞の授与は、チームに対して行われます。
実施スケジュール
日程 |
時間 |
内容 |
6月7日（木） |
16:10～17:40 |
「情報セキュリティ分析（入門）」 |
7月2日（月） |
9:00～ |
参加受付開始 |
7月31日（火） |
～17:00 |
参加受付終了 |
8月6日（月） |
8:50～10:20 |
「情報セキュリティ分析（実践）」 |
10:30～16:00 |
「情報セキュリティ分析（実践）」 |
|
8月7日（火） |
8:50～16:00 |
「情報セキュリティ分析（実践）」 |
8月9日（木） |
8:50～10:20 |
「情報セキュリティ分析（実践）」 |
10:30～16:00 |
「情報セキュリティ分析（実践）」 |
|
8月10日（金） |
8:50～10:20 |
「情報セキュリティ分析（実践）」 |
10:30～16:00 |
「情報セキュリティ分析（実践）」 |
|
講習受講終了後 |
～23:59 |
セキュリティバグ探索、レポート作成期間 |
9月10日（月） |
|
レポート審査期間 |
11月中 |
|
表彰式 |
※法律・倫理講習、技術講習は、それぞれ８月６日・９日・１０日に開催される講習のうちいずれか1回の受講が必須です。
講習会
①初心者向け講習会
|
日時 ・場所 |
６月７日(木) 16:10～17:40（5時限） |
| 概要 | 情報セキュリティ調査や、脆弱性調査及びその調査報告書の作成についての基礎的な講習です。 |
|
| 講師 | 今泉貴史 統合情報センター教授 |
注）以下、②．③の両方を受講しないとハンターライセンスは交付されません。
② 法律・倫理講習
|
日時 ・場所 |
８月６日（月）8:50～10:20
|
| 概要 | 刑法、不正アクセス禁止法、事例紹介などについて講習を行います。 |
|
| 講師 | 石井徹哉 副学長 |
③ 技術講習 |
日時 ・場所 |
８月６日（月）10:30～16:00
|
| 概要 | 実践的な脆弱性調査方法、報告書作成方法などについて講習を行います。 | |
| 講師 | ８月６日・９日・１０日 長谷川陽介氏
|
コンテスト参加に必要なツール
パソコンはご自身のものを使ってください。（大学では用意しません）
脆弱性を検証するツールについても自身で用意されたツールを使用して頂いて構いません。
検査対象のウェブサイト
今回のコンテストのために特別に用意されたウェブサイトと、学内で実際に運用している特定のウェブサイトを検査対象とする予定です。詳しくは後日発表します。
レポートの提出について
コンテスト参加チームには、検査した結果をレポートとして提出してもらいます。
提出されたレポートは有識者により審査を行い、優秀者は表彰します。
なお、セキュリティバグを発見できなかった場合でも、調査を行った範囲に関してサーバに問題がなかった点をレポートしていただければ審査の対象となります。
また、昨年度の審査基準は以下のとおりです。（今年度は変更になる場合があります）
(a) 網羅的に調査している
(b) ツールによる検査結果だけでなく、手動で検証している
(c) 目の付け所が良い
(d) 重大な脆弱性を見つけた
(e) 脆弱性が無かった箇所について、適切に指摘している
(f) 脆弱性が与える影響まで考察している
(g) レポートが分かりやすく書かれている
表彰
成績優秀者には、副学長より表彰状が授与されます。
※副賞のひとつとして、著名な情報セキュリティ関係企業のインターンシップ優先参加権を予定しています。
Q & A
- 何をやるんでしょうか？
- 千葉大が運用管理しているWEBサイトにセキュリティ上のバグがないかどうかを皆さんに調べてもらい、レポートにまとめていただくものです。
第2タームの木曜5時限（6/7～）に初心者向け講習会を実施しますので、是非ご参加下さい。
この講習会の受講は任意です。
また、履修登録していなくても受講できます。 - 参加者のレベルはどのくらいですか？
- セキュリティに興味のある学生であれば、どなたでも参加いただけます！勿論、普段CTFに参加しているような上級者の参加は大歓迎です！
- チームでの参加の場合、講習会への参加は代表者だけでよいですか？
- 代表者以外も受講を完了してメンバー全員がハンターライセンスを取得しないと参加できません。
- どうやってバグを探せばよいのですか？
- 8/6(月)、8/9(木)、8/10（金） に総合校舎5階 情報演習室1で開催する技術講習会にてご説明します。
- パソコンやツールは大学側から提供されるのでしょうか？
- ご自身のパソコンやツールを使ってください。大学では提供しません。
- 学外から探索できますか？
- 学外のネットワークから探索することも可能です。
- Windows/Linuxについてよくわかりませんが、参加できますか？
- Linuxのコマンドが分かると幸せですが、WEBの仕組みさえ分かれば大丈夫です！初心者向け事前講習会に是非ご参加ください！
- プログラミングがわかりませんが、参加できますか？
- PHP や Javascript がわかると幸せですが、全く出来なくても大丈夫です！
- 院生ですが、参加できますか？/留学生ですが、参加できますか？
- 院生の方も留学生の方も参加できます。
- 教員ですが、参加できますか？
- 教職員の方の参加はご遠慮ください。
- 課題の提出が間に合わなかった場合にペナルティなどはありますか？
- 特にペナルティはありませんが、審査の対象とはなりません。
- 講習会に参加することができませんが、コンテストへの参加は認められますか？
- 「法律・倫理講習」「技術講習」の２つに参加することで参加資格が得られますので、講習会に参加できない場合は、コンテストへの参加は認められません。
- コンテストの内容をブログ等に書いても構いませんか？
- コンテスト周知用ウェブサイトに掲載されている情報等、既に公知となっている情報についてブログ等に記載することは問題ありません。ただし、本コンテストを通じて知り得た「未公開の脆弱性情報」については、コンテストの実施期間中であるか否かを問わず、C-csirtの許可を得ずに第三者に開示、公開、漏えいしてはいけません。違反した場合は、ハンターライセンスが剥奪され、表彰及び副賞を授与済みであった場合にはそれらを返還するものとします。さらに、場合によっては攻撃行為とみなされ、刑事罰の対象にもなり得ますので、絶対に行わないでください。
- 参加するとどんな良いことがありますか？
- 期限内にレポートを提出したすべてのチームに参加賞を進呈します！
また、履歴書に活動実績を書けます。
さらに、最優秀賞（１チーム）、優秀賞（若干チーム）には、石井徹哉副学長（専門法務研究科長）から表彰状を授与します。（これも履歴書に書けます！） また、副賞として著名な情報セキュリティ関係企業のインターンシップ優先参加権を予定しています！
参加申し込み及び問い合わせ先
参加申込受付期間
7月2日（月）9:00 ～ 7月31日（火）17:00
申し込み及び問い合わせ先
千葉大学moodle2018にて受け付けます。
なお参加申し込みの際は、moodle2018の「FD・SD活動」内のコース「第3回セキュリティバグハンティングコンテスト（登録キー：bughun2018）」に登録したのち、「エントリー」メニューより参加登録を行ってください。
Moodle2018はこちら