24チームの強豪が参加した決勝大会、ビギナー向けCTF勉強会のもようを現地レポート

SECCON 2016、決勝大会や初心者勉強会で“CTF漬け”の2日間

国内外の強豪24チームが集った「SECCON CTF決勝大会」

　2017年1月28日と29日、東京電機大学で「SECCON 2016」が開催された。サイバーセキュリティに関する知識と技術を競うコンテストの決勝大会だけでなく、講演や勉強会なども併催する国内最大イベントとなったSECCONは、今回で5回目を数える。

　一番の目玉は、やはり「SECCON CTF」だろう。全国各地で行われた地方大会や海外を含む連携大会のほか、世界99か国／地域の1834チームが参加したオンライン予選を勝ち抜いてきた国内外24の強豪CTFチームが一堂に会し、熱戦の火花を散らした。

「SECCON CTF決勝大会」会場の様子

　「CTF（Capture the Flag：旗取りゲーム）」は、情報セキュリティに関する知識や技術力をゲーム形式で競うコンテストだ。基本的には、より多くの問題に解答し、最も多くのポイント（フラグ）を稼いだプレイヤー／チームが優勝する。ただし、ゲームのルールはさまざまで、一問一答のクイズ形式で行われる「Jeopardy」をはじめ、与えられたサーバーを守りながら他チームのサーバーを攻撃する攻防戦形式の「Attack & Defence」、運営側が用意する複数のサーバーを攻略して他チームの攻略を阻むもう1つの攻防戦形式「King of the Hill」などがある。今回のSECCONオンライン予選ではJeopardy形式が、また決勝大会ではKing of the Hill形式が採用された。

　決勝大会では、攻略対象となるサーバーが6つ用意された。5つは攻防戦用、1つは6つの問題を解くJeopardy用のサーバーだ。攻防戦では、サーバーを攻略してフラグを設置することで得られる「攻撃ポイント」と、所定のページに対して5分おきに「Defense Keyword」を書き込んで得られる「防御ポイント」の合計を競う。特に防御ポイントは重要で、いかに他チームがDefense Keywordを書き込もうとするのを妨害し、ポイントを独占できるかが勝敗を分けることもある。

今回も磨きがかかって登場した、CTFの可視化システム「SECCONカスタム Mk-III」。写真はタワーモードで、中央のタワーは6つの競技サーバーを、それを囲むオレンジの六角柱は各チームを表している

　本戦は、システムトラブルなどがあり1時間遅れの12時にスタートした。スタート直後から、台湾の「217」、中国の「eee」、日本の「binja」、韓国の「CyKor」といった優勝候補チームが次々にフラグを獲得し、点数を重ね始める。その後は「CS16」や「Dragon Sector」といったポーランド勢、アメリカの「PPP」や台湾の「HITCON」などが善戦。その結果、トップ6チームの順位は激しく入れ替わり、最後まで見応えのある戦いが繰り広げられた。昨年5月の情報危機管理コンテストで優勝し、出場権を獲得した日本の「fukuitech」も果敢にチャレンジしていた。

果敢にチャレンジするfukuitech

　決勝大会の結果は、1位がCyKor（韓国）、2位がPwnPineappleApplePwn（韓国）、3位がeee（中国）となった。CyKorメンバーによると、どこよりも早くサーバー3を攻略し、メンバーのひとりが他チームのフラグ投稿の完全阻止に専念することで、防御ポイントを大量に稼いだことが優勝の決め手になったようだ。CyKorには、経済産業大臣賞が授与された。

高麗大学の学生サークル「CyKor」（韓国）が優勝

　このほか、日本の学生チームの中で最優秀のチームとしてdodododoが、1人で4つの問題を解いた優秀な個人としてgreenapple氏（fukuitech）が選ばれ、文部科学大臣賞が授与された。

サーバー3から6までを攻略、善戦したdodododo（日本）