①　セキュリティへの興味喚起
本コンテストを通じて学生の皆様にセキュリティへの興味を高めていただきたいと考えています。

②　現実的な問題へのチャレンジ機会創出
現実味のある課題（2018は攻撃を受けてしまったWebサイトの調査）にチャレンジすることで、セキュリティ業務の一端を体験していただきます。

• 1チーム4名以内とし、課題に取り組んでください。
• 参加者に、課題となる攻撃をうけたWebサイトのシステム（Linux VM）と、改ざんされる前に取得しておいたWebアプリケーションのソースコードのバックアップ(PHP)を配布します。
• このサイトがどの様な攻撃を受けたか、影響範囲はどのくらいかを調査し、企業に対する調査結果のレポートを作成してください。
• このサイトに行われた攻撃に関連すると思われるものであれば、どのような点を報告してもかまいません。PHPアプリに限りません。OSやネットワークに対する攻撃があれば報告してください。一般ユーザーによる操作の内容など、セキュリティに影響のない挙動は報告不要です。
• レポートを元に一次審査を行い、上位10チームで最終審査会を行います。
• 最終審査会では、報告内容から抜粋して発表していただきます。レポート内容とプレゼンテーションに対する審査の総合点を出し、優秀な発表チームを表彰します。

• 攻撃に使われた脆弱性
  • どのような脆弱性を使って、どのような手順で攻撃を行ったのかがわからないと、サイト復旧後もまた同じ被害を受けます。(攻撃に使われなかった脆弱性は様々ありますが）まず何から対策に着手すれば良いのかの判断にも重要な情報です。
• 被害の範囲
  • どのようなデータがどのくらい、漏えいや破壊がされたのかわからないと、事業に与えるインパクトが判断できません。またもしサイト利用者のデータに被害が及んでいる場合は、利用者に対して謝罪をする必要があるかもしれません。
• 対応方法
  • 被害を受けた会社は今パニックになっているでしょう。直近で行うべき暫定対策や、長期的に取り組む恒久対策など、対応方法を提案してください。
• 調査で行った工夫
  • ツールを使った・作った、チームメンバーの役割分担、調査手法など、解析を網羅的・効率的に実施するために行った工夫があれば、ツール名やソースなど具体的に記載しアピールしてください。

①チームエントリー受付

下記のボタンから「チームエントリーフォーム」をダウンロードし、事務局あてにメールで送信してください。（できるだけ学校単位でまとめてください。）

mcsc2018_team_entry.xlsx

②課題提示

事務局からご担当の先生宛に、課題とレポートフォームをダウンロードするURLをお送りします。
（エントリー受付が完了したチームから、10月22日(月)以降順次お送りします。）

③レポート提出

各チームで課題に取り組み、審査観点を確認したうえでレポートにまとめてください。レポートフォームは参考ですので、別の形式で提出していただいても構いません。

レポート提出期限は、2018年11月20日（火）です。提出先は課題と送信時にご案内します。

期限までに提出されたチームのレポートについて、一次審査を行い、上位10チームを選出します。一次審査を通過した10チームは、2018年12月12日（水）に開催される最終審査会に出場できます。
一次審査結果は、審査を通過したチームの代表者に、11月27日(火)に事務局よりご連絡いたします。

最終審査会では、プレゼンテーション内容についても評価し、総合評価で優秀な発表チームを表彰します。

※最終審査会の会場については、近日中に発表いたします。

各賞詳細

その他、健闘されたチームを表彰予定です。

※Burp Suiteは、Webアプリケーションのセキュリティテストを行うための統合プラットフォームで、Webアプリケーション脆弱性診断業務で使われています。無償のFree版と、より高機能なProfessional版があります。

• 許可を得ずに他人のシステムの脆弱性を探す行為は、不正アクセス禁止法違反や業務妨害罪で処罰される可能性があります。本コンテストの課題システム以外を調査する場合は、事前に管理者の承諾を得てください。
• 以下に該当する応募レポートは、審査対象外とします。
  ・本課題以外のシステムに対する攻撃結果や脆弱性情報を含むもの
  ・他人の著作権、肖像権、商標権、プライバシー権等を侵害するおそれのあるもの
  ・意図の有無に関わらず盗作の疑い、もしくは類似と判断されるもの
  ・公序良俗に違反するもの、過度な暴力的描写、性的描写のあるもの
• 応募レポートの著作権は応募者に帰属します。応募レポートの抜粋画像・最終審査会や表彰時に撮影した写真・ビデオ等については、三井物産セキュアディレクション、および【専門学校と経営】Webサイト、Facebook、Twitterで広く紹介させていただく場合がありますので、あらかじめご了承ください。
• 配布するVMやソースコードは、本コンテストの課題として提供するものです。無断転載・無断転用・商業活動などそれ以外の目的での利用はご遠慮ください。学校内・学内のサークルなどにおける自己学習の参考資料などとしての活用は許可します。取り扱いに関して不明点等ある場合には、事務局までお問い合わせください。

• セキュリティのためのログ分析入門 サイバー攻撃の痕跡を見つける技術
• サイバー攻撃の足跡を分析する ハニーポット観察記録

MBSDは情報セキュリティサービスに特化した専門会社です。

主なサービス内容：

プロフェッショナルサービス
Webアプリケーション脆弱性診断
ネットワーク脆弱性診断、ペネトレーションテスト
ソースコード診断、組込診断
セキュリティ監視（IDS/IPS監視、統合ログ監視）
セキュリティ教育
情報漏えい調査（フォレンジック）

コンサルティングサービス
情報セキュリティ対策支援
（リスクアセス、ポリシー策定、等）

本コンテスト実施運営に際して取得した個人情報は、三井物産セキュアディレクションおよび事務局を担当する株式会社ビーアライブの個人情報保護方針に則り、実施事務局が責任を持って管理、運営いたします。

• 三井物産セキュアディレクション株式会社　個人情報保護方針
• 株式会社ビーアライブ（【専門学校と経営】事務局）　個人情報保護方針

※2017年の最終審査会
　・【専門学校と経営】内の報告ページはこちら
　・ScanNetSecurityの掲載記事はこちら