[レポート]ZANSIN, Babbly - 第2回目 CyberTAMAGO - CODE BLUE 2024 #codeblue_jp

こんにちは、臼田です。

みなさん、セキュリティ対策してますか？(挨拶

今回はCODE BLUE 2024内で行われた第2回目 CyberTAMAGOの以下セッションのレポートです。

ZANSIN: Zero-based Automated New SecurIty traiNing

ZANSINは、複雑化・高度化するサイバー攻撃に対処する実務者を育成するためのサイバーセキュリティ・トレーニングツールです。本ツールを通じて、利用者は実践経験豊富なペネトレーションテスターが設計したサイバー攻撃シナリオを疑似体験し、実践的な防御手法や対応力を養うことができます。 　　具体的には、利用者は脆弱性を多く含む実環境に近いソーシャルゲームの運用担当者となり、様々なサイバー攻撃からシステムを守ります。限られた時間内で脆弱性や設定不備を修正し、システムを堅牢化する必要があります。適切な対処を多く行うことで、高い評価ポイントを獲得できます。 　　この実践的なサイバー防御演習を通じて、利用者はシステム堅牢化のスキルを磨き、サイバー攻撃への対処に関する洞察を得ることができます。ZANSINは多様なスキルレベルや学習スタイルに対応する柔軟な設計を持ち、包括的なサイバーセキュリティ教育プラットフォームとして機能します。

Speakers: 高江洲 勲, 一ノ瀬 太樹, 喜屋武 慶大

Babbly

「Babbly」は人工無能（Artificial Incompetence）を特徴とするペネトレーションテスト支援ツールです。AIに依存せず、自然言語処理と音声認識により直感的な対話型操作を実現します。アイズフリー・ハンズフリーに対応し、音声指示だけでテストを実行できるため、画面確認なしで他の作業と並行して効率的なセキュリティテストが可能です。人間らしい会話形式のインターフェースにより、初心者でも使いやすく、高い柔軟性を備えています。AIが主流の時代に、あえて人工無能を採用することで、親しみやすさと実用性を両立した新しいアプローチを提案します。

Speakers: Mr.Rabbit

レポート

ZANSIN

• 自己紹介
  • 9-10人でイベントを開催している
• 概要
  • ZANSIN
  • 残心が語源
    • サイバーセキュリティのトレーニング環境
    • プロジェクトで活動している
  • 過去20回以上このツールを使った活動をしている
    • OWASP Japan / AVTokyo / HITCONなど
    • 今年の4月にBlackHatでも発表した
  • セキュリティエンジニアではなく開発などを行っている人にトレーニングとして使ってもらいたい
  • 運用している間にEOLが来て脆弱になったり、引き継いだ環境が脆弱になったりしたものを、動かしながら安全にしていくというトレーニングツール
• 動作説明
  • コントロールサーバーとトレーニングマシンを建てれば動作する
  • 攻撃が色々飛んでいくようになる
  • 要件
    • ubuntuが2台あればいい
    • ZANSINユーザーを作成する
    • SSHでアクセスできるように
• デプロイ
  • SSHでは入れればzansinコマンドをもってきて打つだけでいい
    • インタラクティブに2台をセットアップできる
  • 展開するとMINI QUESTというアプリが動く
    • ゲームができる
    • しかし対処する人は堅牢化で忙しいのでゲームできない事が多い
  • ゲームが脆弱になっている
  • 割とモダンなアーキテクチャを採用している
    • NGINXの裏でDockerでredisとか
  • ゲームはユーザーを作ってログインしてプレイできる
• 何をするのか
  • ゲームとインフラ両方とも問題がある
    • ゲームを始めるとクローラーが走る
    • 普通の通信に混じって攻撃が来る
  • 止めずにいかに堅牢にするのか
• どうやってスコアを付けるか
  • 2つある
  • クローリングモジュール
    • ソーシャルゲームなのでサービスが立ち上がっていてゲームがプレイできる必要がある
      • クローラーは一般ユーザーの動作を再現している
      • 正常にクロールできないとスコアが伸びない
    • SLAの観点
  • 技術的な対処の評価
    • 場当たり的な対策をしているか、根本の対処をしているか
• 今後やりたいこと
  • シングルプレイの状態
    • 複数人でプレイできるようにしたい
  • 攻撃のバリエーションも増やしたい
  • MLを利用してトレーニング受ける人のサポートができるようにしたい
• GitHubで公開しているのでやってみてください
• どういった能力の人ができそうか
  • 素のPHPがある程度読めればなんとかなる
  • テキストは公開しているものはないがイベントではある
  • GitHubに解説はあるので一回やったあとはそちらを見るといい

Babbly

• 疑似AIを用いた局地的な環境におけるペネトレーションテストのアプローチ
• このツールは子供の頃の夢を叶えたいおじさんの願望を満たすために作った
  • 新世紀GPXサイバーフォーミュラ
  • NieR:Automata
  • アイアンマン
• 要するに
  • AI(機械)の相棒と一緒に仕事したい
• Babblyを作った
  • babble
  • 人工無能
• 特徴
  • 人工無能搭載
  • 自然言語処理機能を持ち日本語または英語を理解
  • オフラインでの利用が可能
• 人工無能とは
  • Artificial Incompetence(人工無能)
  • こちらが予定したものしかやらない
  • フォネティックコードを使用する
  • 「ターゲットアルファへポートスキャンして」と命令する
• 従来ツールとの違い
  • カスタマイズ性の向上
    • ユーザーのニーズに応じたテストシナリオの作成が可能
    • 特定の業界に特化したテストが簡単に実施できる
  • オフライン対応
    • 極限環境でも利用可能
  • 学習方法
    • ユーザーも学習していく
• 強み
  • 簡単な操作性と高いカスタマイズ性
  • オフラインで利用可能
  • 実践的なノウハウの反映による信頼性
  • アイズフリー、ハンズフリーでの操作性
  • トム・クルーズみたいに侵入した時でも案員
• デモ
  • 起動すると音声入力できる
  • 自己紹介させた
  • 他にもホストディスカバリーしてターゲット登録などできる
• 最終的にはラズパイなどに入れて持ち運びたい

感想

ZANSINは色んな人に使ってもらいたい学習ツールですね。今度試してみます。
Babblyは夢がありますね。私はアシスタントなら伺かのようなスタイルもありだなと思いました。ロマンですね。