Hardening 2025 Invisible Divide 参加記🐟🪸

こちらは 脆弱エンジニアの Advent Calendar 2025 6日目の記事です☃️

はじめに

こんにちは、ocha-nです。(X: @ochanmogumogu)

2025年10月8日(水) ~ 10日(金)に沖縄空手会館で開催されたHardening 2025 Invisible Divideにはじめて参加してきました。

ハードニングを終えて感じた悔しさをこの記事を読んで思い出せるように、体験記としてこの記事を残します。
とはいえ、競技の詳細については公開できない部分もあるため、スケジュールや雰囲気などを紹介する形で書いていこうと思います。

これから初めて参加する方、参加を迷っている方、ハードニング競技会を知らない方などの参考になれば幸いです。

会場のそばを駆け抜けるセンス溢れる芝刈り機

ハードニング競技会とは

https://wasforum.jp/hardening-project/

ハードニング競技会は、ECサイトなどのビジネスシステムに潜む脆弱性への堅牢化能力を総合的に競うコンペティションです。
（公式サイトより）

参加者はチームを組み、8時間にわたり架空の企業のウェブサイトや社内システムなどを次々と降りかかるサイバー攻撃や障害の対処をしながら運用します。

売り上げを最大化する事が求められ、技術力だけでなく、ビジネススキルやコミュニケーションスキルなど実際の現場で必要とされる総合的な力が求められます。

また、1〜2ヶ月の準備期間や、競技後の振り返りの場である「Softening Day」の存在も特徴の一つです。

Hardening 2025 Invisible Divide

https://wasforum.jp/hardening-project/hardening-2025-invisible-divide/

スケジュール概要

以下のようなスケジュールでした。

日程	内容
6/2～ 8/18(月)	募集期間
8/22(金)	合否通知、準備期間開始
8/29(金)	Boost Event
10/07(火)	現地入り
10/08(水)	Hardening Day
10/09(木)	Analysis Day
10/10(金)	Softening Day

参加した経緯

以前、別のセキュリティイベントに参加した際に知り合った方の紹介で、本競技会の存在を知りました。現実に即した状況の中でインシデントレスポンスを体験できる点が、学生である私にとって非常に貴重な経験になると感じ、参加したいと思いました。

準備期間

使用したツール

• 調整さん
  • 初回ミーティングの日程調整に使用
• Discord
  • コミュニケーション全般
  • 定例会はプライベートボイスチャンネルで実施
• Notion
  • 事前準備タスクの管理
  • 議事録、ドキュメント類の情報の保存
  • チートシート
  • ビジネス系テンプレート
• Google スプレッドシート
  • 各自のスキル確認シート
  • 競技当日の情報管理（パスワード、ミッション、初動対応リストなど）
• Trello
  • 競技当日のタスク管理
  • 稟議・承認フローの管理
• Miro
  • 後日の振り返りに使用
• Google フォーム
  • 各種アンケート（定例会の希望曜日の確認など）
• Google スライド
  • 作業報告資料
  • Softening Day 用資料

チーム結成

私たちTeam7 ハイサイセブンは学生2名、社会人6名の計8人のチームでした。競技参加経験がある方は1名、MP^[1]としての参加経験がある方は複数人いらっしゃいました。

合否通知後すぐにDiscord上でチームでの初回MTの調整が始まり、翌日に実施しました。初回MTでリーダーの決定、チーム名の候補絞り込み（その後Discord上で投票にて決定）、チームプロモーションムービーの構成・担当決めを行いました。

定例会、その他コミュニケーション

• 基本的に週1回、火曜日に1時間の定例会を開催。必要に応じて木曜日にも追加開催。
• 定例会の内容
  • その週にやるべきタスクの洗い出しと割り振り
  • チームで決めるべき事項の話し合い（例：お揃いのTシャツはどこで作る？）
  • 各自やる事が出来ているか確認（例：ホテルの予約は済んだ？）
  • 困りごとを相談員さんに質問

🌟やってよかったこと

• ルール
  • 定例会は基本全員カメラONで参加
  • 毎日1回はDiscordを確認する
  • Discordのメッセージは既読確認のため、読んだら何かしらリアクションをする
• 議事録作成
• 目的確認、意識合わせ

  • 特に競技日直前の再確認

    → 私たちは「失敗を恐れず前のめりに挑戦！」という、成長を重視するスタンスのチームでした（実際、当日に私がやらかした際も「ナイス前のめり！」と言っていただいたのが印象に残っています）

🚩出来たらよかったこと

• 一度対面で集まる機会を設けること
  • 私はPreparation Dayで初めて皆さんにお会いしましたが、対面後に距離感がぐっと縮まったように感じました。可能であれば準備期間中に対面で集まることで、結束力が高まるかもしれません。

事前準備

• 技術
  • 相談員さんによる模擬演習に参加
  • 必要になりそうな設定手順の確認
• ビジネス
  • 社内規定、稟議承認フロー、プライバシーポリシー等の作成
• その他
  • Hardening非公式必修図書である野溝のみぞうさんのハードニングファン★リファクタを読む
  • 会議室の予約
  • お揃いTシャツ作成
  • 緊急連絡先の確認
  • 当日必要な電源タップなどを持参する人を決める など...

🚩出来たらよかったこと

• 自分たちで模擬演習環境を構築すること
• チートシートを早期に作成すること
  • チートシートは作成しても一度で使いこなせるものではありません。どこにどのコマンドがあるかを把握し、適切に活用するためには練習が必要です。

0日目 - Preparation Day

移動日です。
夜ご飯から集合し、18:00〜24:00の間、会議室を借りて最終準備を行いました。
（前日にも新情報が出る可能性があり、急な対応や準備が必要になるかもしれないため、会議室などを予約しておき集まって作業できる環境を整えておくことをおすすめします。）

それぞれがご当地のお菓子を持ち寄り、交換会を行いました🍬

1日目 - Hardening Day

6時半に起きて会場に向かい、8時間かけて攻撃を受けたり自爆したりしながらボロボロになります。8時間は長そうに感じますが、実際はあっという間です…

お揃いTシャツを着て挑みました☆
終了後はチームで打ち上げをしました🍻
一方で、この時間を使ってSoftening Dayの資料作成に取り組むチームもあったようです。（偉すぎる）

2日目 - Analysis Day

午前中はHardening Dayの振り返りをしながらSoftening Dayで使用する資料を作成します。
午後はビーチパーリー BBQです🍖
他のチームの方々や MP の皆さん、Kuromame6^[2] や実行委員会の方々と交流できる貴重な機会です。
学生の方も名刺を作って持参すると良いかもしれません。

肉！酒！海！夏！
パーリーが終わった後は、21:00〜24:00に会議室を借りて資料作成タイムを設けました。
ちなみに午前中のうちに資料を完成させたチームもあったようです。（偉すぎる）

3日目 - Softening Day

チームごとの発表や Kuromame6 によるプレゼンテーション、結果発表および表彰などが行われました。
当日の様子は以下の動画でご覧いただけます。
https://youtu.be/5-VYZ3N666E

後日

11月初めにチーム内で KPT 法を用いた振り返りを実施しました。

私は予定があり参加できませんでしたが、11月末には Team7 のメンバー主催で対面およびオンラインのハイブリッド形式による全体振り返り会も開催されました。

おわりに

社会人経験のない学生が個人でセキュリティを学ぶ際、私だけかもしれませんが、どうしてもベストプラクティスやガイドラインばかりに目が向き、「それが現実に実現可能か」という点まで思考が及びにくいと感じています。
しかし、今回競技会に参加したことで、その意識が少し変わったように思います。
競技会では、本来やるべきであろう対策でもあえてやらない選択をする場面、やるつもりだった対策に手が回らない場面、不適切な運用だと自覚しながらも実施してしまう場面は数多くありました。
「全部を完璧にやる」ことはおそらく（というより確実に）不可能で、それでも容赦なく攻撃は降ってきて、「ああ、こうしておけば……」という後悔が生まれます。
現実も、きっと同じなのだろうと思いました。
ベストプラクティスやガイドライン通りにすべてを実施することはまずほぼ不可能で、完全を目指すのではなく、「何が必要で、何が不要か」「何ができて、何ができないか」を自組織の状況に照らして考え、最終的に「何をやり、何をやらないか」を適切に決断することが重要なのだと感じました。
とはいえ、その選択の結果として攻撃を受け、被害につながってしまった場合には、様々な批判を受けることもあるのだろうと思います。そう考えると、日々そのような判断を下す立場に立つ方々は、本当に大変で、精神的な負荷も非常に大きいのだろうと感じました。
だからこそ、普段インシデントが起きていないときには、そのような方々を称え、感謝し、万が一インシデントが発生した際にも、ただ非難するのではなく、応援されてほしいと強く思います。

また、「やる」と決めた対策を確実に実現するためには、その実行が人の意思に依存する状況を作らないことも重要だと感じました。例えば、何かを禁止する際に「やらないで」と呼びかけるだけでは、必ずやってしまう人が出てきます。そうではなく、「やりたくてもできない」状況を仕組みとして作る必要があるのだと学びました。

今回の競技会は自分自身の技術の未熟さや、圧倒的な準備不足、視野の狭さなども多く痛感する機会となりました。今回の経験を糧に、今後より一層精進していきたいと思います。

いただいたかっこいいバッチ

おまけ

ファミマに売っている “朝すば” が素晴らしいです。168円（税込）とは思えないクオリティ！

脚注

1. マーケットプレイスのこと。サービスや製品を購入し、競技で役立てることができる。

2. 競技の中での攻撃者の方々