Splunk主催のCTFイベント “Boss of The SOC v8” 開催レポート

What's Boss of the SOC?

Boss of the SOC (通称BOTS) とは、その名の通りSOCのボスは誰か？を競うSplunk主催のCTFイベントです。BOTSでは、Blue Team(防御側)を想定したシナリオに沿って、Splunkを使ってセキュリティインシデントの調査を行います。Splunk Core、Enterprise Security、SOAR等のSplunk製品をフル活用して、参加チームには4時間に渡ってクイズ形式の問題に挑戦してもらいます。

もし、BOTSについて詳しく知りたい方は過去記事の「Boss of the SOC v4を使って社内CTFをやってみた」をご参考ください。BOTSの学習用公開コンテンツも掲載しています。

2024/7/11開催 Japan BOTSv8 開催サマリ

今回は計174名(47チーム)の参加者が募り、過去最高の参加者数を記録しました。

タイムテーブル

1. 開催概要説明（13:00-14:00）
2. 競技開始（14:00-18:00）※4時間
3. 結果発表&解説（18:00-18:30）
4. 懇親会&表彰（18:30-20:00）

毎年変わるBOTSのシナリオ、今年(BOTSv8)の特徴は？

Splunkのイベントである.confにて、BOTSは毎年新しいバージョンがリリースされ、その時々の旬なテクノロジーや脅威に合わせてシナリオが変化しています。

BOTSv8では、過去のシナリオを踏襲しつつ、新たなシナリオも追加されました。問題に使われているセキュリティインシデントのシナリオは、5種類用意されており、それぞれのシーンでSplunkがどのようにしてお役に立てるのか。イメージをつけていただきやすいコンテンツになっています。またBOTSイベントを初めて参加いただくお客様でも学びがあるように難易度別のシナリオが用意されています。

1. Enterprise Security（難易度：★）
2. Web app attack（難易度：★★★）
3. Advanced Persistent Threat （難易度：★★★★）
4. Splunk SOAR（難易度：★★）
5. Easter Eggs（難易度：★★★★★）

さらに今回は“4.Splunk SOAR”のシナリオ内で、Splunkの新製品であるAttack Analyzerを使って問題を解く場面もありました。Attack Analyzerはマルウェア脅威やクレデンシャルフィッシングが疑われる不審な挙動を自動的に分析・評価する製品であり、Splunk SOARと連携することでリアルタイムな脅威を素早く分析することができます。
※Attack Analyzerの製品情報はこちら

当日の様子

前回に引き続き、LINEヤフー株式会社様のセミナー会場をお貸しいただき、参加者全員が一堂に会する中、オープニングセッションが行われました。

競技開始後はそれぞれのチームのペースで4時間かけて、問題に向き合っていただきました。

Topが何度も入れ替わる苛烈な争いをしていましたが、最終的には僅差でPashiriチームが勝利しました。1問の正誤で順位が変わるほどの点差で、最後まで分からない展開でした。

上位入賞したチームの皆様、おめでとうございます！

4時間ぶっ通しで競技に集中頂いた後には、表彰式を兼ねた懇親会を開催させていただきました。競技を終えた感想や普段の業務におけるSplunkのユースケース等を伺うことができたことは、オンサイトイベントならではの貴重な機会でした。

皆様大変疲れているにも関わらず、爽やかな笑顔と共に記念撮影にご協力いただきありがとうございます。

当日参加した皆様から沢山のフィードバックを頂きました。その中から一部を抜粋してご紹介します。

「初めての参加だったため、手も足も出ないかと思ったが、思いのほか回答できた。また挑戦してみたい。」

「業務では構築側の視点が多いため、実際に活用する側の視点を得られるのは貴重でした。また、AttackAnalyzerについてどういった製品かは聞いていたものの、SOARとの関連という絡みのみでも実際に表示される情報などを知れて勉強になりました。」

「Splunkで提供されている各種機能を想定インシデントに対して実際に利用することができました。」

「ゲーム感覚でSplunkに触れたので楽しかったです！」

次回BOTSは12月11日(水)に大阪開催！

アンケートでもご要望があった関西でのBOTS開催を今年はやります！

東京開催のためこれまでご参加いただけなかった方は、是非ご参加ください。只今、開催の準備を進めておりますので、詳細はSplunkからのメールやイベントページにて改めて告知いたします。

最後に、ご参加いただいた皆様、会場をお貸しいただいたLINEヤフー株式会社様に感謝申し上げます。次回のBOTSでもお会いしましょう。