ただのにっき

■ 「コメダのグラコロ」こと「グラクロ」を食べてきた

そろそろ寒くなってきたのに今年もグラコロは12月まで始まりそうにないなぁ……とやきもきしていたら、なんとコメダが先行してグラコロを始めるという。その名も「グラクロ」。なるほど「クロケット」と言いかえて商標問題をクリアしたか(笑)。

コメダで食事をした人ならわかると思うが、あそこのサンドイッチ系はなんでも大きいので、これも大きい。グラクロ1個でグラコロ2個分くらいある。ので、かみさんと半分ずつ分け合って食べた。

厨房できちんと調理しているコメダゆえに、料理としての完成度はやはりマクドナルドを上回る。揚げたてクロケットはアツアツ、ニンジン混じりの千切りキャベツもたくさん。

一方、ソースへのこだわり、チーズやエビなど、味のバリエーションは先行するマクドナルドがさすがに上。グラコロは毎日食べても飽きない。

というわけでどっちも捨てがたいですなぁ。グラクロも期間限定じゃなくて定番メニューになってくれればいいのに。

さすがにバーガー半分では足りないので、同じく期間限定で提供されている小枝シロノワールも頼み、分け合って食べた。意外にもコラボ商品は初めてなのだとか。チョコ味はあまり得意ではないけど、小枝成分がポリポリしてて美味しい。

■ AVTOKYO2018へ行ってきた

AVTOKYOは酒が入って毎年記憶が怪しくなってしまうし、騒がしくて知り合いに合っても会話もできないしで、今年はどうしようかなぁと悩んでいたんだけど、去年・一昨年に続いてまたうちのチームのメンバが発表することになってしまったので行かざるをえなくなってしまった。

というわけでトップバッターの「不都合な真実: Windows 10でRansomware Protectionを回避」がそれである。よかった、酔っ払う前に聞ける(笑)。Wannacry大流行をうけてWindows 10に鳴り物入りで導入されたランサムウェア対策機能が、実は簡単に無効化できるという話。Microsoftの基準では脆弱性ではないのだが、実はこの機能が新たなセキュリティバウンダリを導入してしまっているのでは、という問いかけでもある。

続く「Play with FILE Structure - Yet Another Binary Exploit Technique」も面白かったですねぇ。FILE構造体に付加されているvtableを書き換えて任意の動作をさせてしまう話。C言語怖い。

「Farewell, WAF - Exploiting SQL Injection from Mutation to Polymorphism」はWAFが普通にブロックするようなSQLiを、SQLの文法上等価になるように自動的に変換してWAFを突破させてしまうツールの話。安直に機械学習を使わず、ちゃんと文法解析してるところがよかった(が、こういうのは今後は機械学習の独壇場になるのでは?)。

このあと、だんだん記憶が怪しくなってゆく。北朝鮮からの脅威にさらされ続けている韓国の事情は、韓国独特の環境が被害を大きくしてる気がするね。フォレンジックの話は小話としては面白かったけど、セキュリティぜんぜん関係ない(笑)。

■ 「Security Engineering Casual Talks #1」へ行ってきた

先日Twitterに流れてきたSecurity Engineering Casual Talks #1というイベント案内をつかまえてサクッと参加登録。明日からのCODE BLUE*1を手始めにAVTOKYO*2、PacSec、それから今年からはBSides*3まで開催される日本の「サイバーセキュリティ月間」の前哨戦になる……かというと客層がかぶってない気がするけど(笑)。クックパッドでの開催ということもあって、かなりしっかりした料理が提供され、酒類も豊富に並んでいた(ストロングゼロがちょいちょい混じっているというトラップ付き)。

1つめの発表は主催者にして会場提供のクックパッド@kani_bさんによる、開発者用のAWSアカウントを運用してる話。本番用とは別に開発者が自由にAWS上で実験できる環境を提供、よほど危ない機能以外はオープンにして、その代わりオペレーションログも含めてあらゆるログを取得、開発者には触れない場所に保管している。競争力を維持するのに必要な開発スピードとフットワークを損なわないために、リスクを許容してすばやく事後対処するのはとても正しい。しかもオフィスネットワークも含めたトータルな監視体制(といっても開発者の仕事は徹底して妨げない感じ)は、さすがクックパッドは徹底してるなー。

続いてFOLIO社の@ken5scalさんはTeleportを使ってsshをなくす話。日ごろからいろんなサイバー攻撃手法を研究してると、サービスの表口はけっこう硬いから裏口を使って侵入しようというのが定番なんだけど、そうなるとやっぱり開発・運用者個人が一番弱い。そんな人たちがローカルにssh秘密鍵を置いてる状況をなんとかするソリューションがいくつかあって*4、Teleportもそのひとつ。単にブラウザから使えるターミナルというだけでなく、セッション共有による共同作業やsshトンネルまで提供していて、なかなか便利。運用面ではまだ課題を抱えているようだけど。他にもTeleportサービスがダウンしているときのバックアップ用にKryptonを使ってた。へー、Kryptonを実運用してるの初めて見た。

最後はCyberAgentのokzkさんが、AWSの暗号化サービスを紹介。コンテナ内から環境変数経由で復号データを渡すラッパーの紹介など実用的。ほぼ同等なサービスが複数あったりするところにAWSのカオスさを感じるw そういえば冒頭の参加者リサーチで、AWS / GCP / Azureの利用者数がほぼ同じだったのはけっこう意外だった。AWS一強の時代は終わっていたのか。

クラウドを主戦場とするWeb企業がそのセキュリティについて語り合うという場はなかなかないので、イベントとしてはいい差別化だと思う。刺激をもらったので次回もあればできるだけ参加する。