【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub

「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー

[sho]

後日 YouTube でも詳しく話しました！ https://www.youtube.com/watch?v=FYgnsPszhG0

[hdkINO33]

“ともあれ、多くの社員にトラウマを残す、とてもいい訓練になったようです。みんな、セキュリティ意識が高まりましたね！”

[napsucks]

カオスエンジニアリングの人肉版だ。確かに預かってる情報を考えるとこれぐらいのトラウマは定期的に植え付けてもらった方がありがたいかもしれないね。

[stealthinu]

こっれはすごいな…　でもまあ確かにfreeeぐらいの規模でデータもすごい価値を持ってるところならこのくらい意識していてやらないとまずいのか。それでもすごいわ。

[pribetch]

教導団のアグレッサーだ

[kotas]

社内SNSのセッション盗んで二要素認証リセット依頼… 標的型ならではの経路だなぁ…

[ya--mada]

ｿｳﾅﾝｽﾖ、インフラ担当のクレデンシャルとデバイスは何が何でも死守！シシュ！が大前提というのが現代の限界ナンスヨ。デカい組織だと相互監視という対立構造を作れるんですけどね。

[buzztaiki]

レッドチーム演習だ。一度プロにお願いしてやってみたい。

[udzura]

これたださんが書いていたのか、今認識した...

[iga_k]

訓練のレベルがすごい！

[mkusunok]

ちょ、土佐さんの発案だったのか。パねーな。4BTCという要求も妙にリアリティーありつつ、もうちょっと請求してもいいんじゃね？とも思ったり

[sanemat]

これがそれか　うらやましい

[b-wind]

“多くの社員にトラウマを残す、とてもいい訓練になったようです”

[itboy]

訓練繰り返していると本当に対応しないといけないメールとかも訓練じゃないかって疑りだしたりしますよね（言い訳

[pascal256]

後で読む

[side_tana]

いかつい

[Pasta-K]

これめっちゃすごいな

[tmtms]

これはこわい…

[mainyaa]

怖い（怖い）

[tessy]

後で読むにしていたらイベント逃していた.. 攻撃ストーリー興味深い

[k-takahashi]

『開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされた』

[ynishi2015]

さすがとしかいいようがない。

[rotom]

事業会社でこのレベルの障害訓練できるのすごい…

[vvakame]

すんげー

[noblejasper]

今日の夜に #freeeTechNight で話す本当に怖い話です😎🎤

[kuracom]

良かった

[knok]

「こういう攻撃できるな」というのはつい考えちゃうよね。だからちゃんと対策しないと

[mimosafa]

スリリング！面白かった

[m1104m]

演習大事やな。どこまでやるかは置いといても。

[metatrading]

もはやよくわからないがすごい気がするという素人並みのコメントでお茶を濁したい

[rkosaka]

これは良い訓練。そもそもこういった訓練できる体力がある組織なのが良いというのもありますよね。

[kazuau]

⑤の口が常時開いてるのは構成として脆弱じゃないかなあ。社員自身の悪意もある程度想定しないとまずいし。

[lifefucker]

すごい

[srng]

ITに限らず、トラウマ残すくらいじゃないと非常事態用訓練は効果ないね

[camellow]

なぜランサムにしてもAWSへの侵入にしてもクライアント端末しか入り口がない事になってるんだろ。psirtを名乗ってるけどここの会社のpsirtは自社社員の端末を守るのが仕事なのかな。300ブクマでこの薄さ。内部のサクラか

[programmablekinoko]

やっぱソーシャルエンジニアリングを組み合わせる形になるよな

[sirius_taka]

面白。何か起こると予告していても二段階認証のリセットはすんなり通ったんやなぁ

[iselegant]

ほんとすごい！障害訓練は何度か経験はあるけど、経営陣巻き込んだレベルはなかなかない。 クラウドになって、本番と同等の環境を簡単に作れるのも、良い点。