ラスベガスの DEF CON / Black Hat / BSides に行ってきた！
はじめまして。技術統括部ウェブアプリケーショングループに所属しているたけむらと申します。社会人1年目、入社3ヶ月(2025年8月時点)で、ラスベガスで開催される世界最大級のサイバーセキュリティカンファレンスである「Black Hat USA 2025」「DEF CON 33」「BSides LV」の3つに参加してきました。
弊社には自己研鑽や継続的な学習を支援する社内制度があり、それを活用することで新人でもラスベガス出張できました。今後参加を予定している方の参考になるように、また直接参加しない方にも雰囲気を感じ取っていただけるよう体験を紹介します。
ラスベガス体験記
約1週間の旅程で、3つのカンファレンスを巡ってきました。それぞれのカンファレンスの特色をおさえながら、カンファレンス体験のハイライトを紹介していきます。
BSides LV
まずは8月5日にBSides LVに参加してきました。BSides LVは、後述するDEF CONやBlack Hatに比べると、講演者と聴講者の距離が近い印象のカンファレンスです。弊社の松隈も講演者の一人として登壇しており、__wakeupをバイパスするPHP Object Injectionの手法について講演を行いました。(参考: Unawakened Wakeup: A Novel PHP Object Injection Technique to Bypass __wakeup() https://www.youtube.com/live/8dY-QxHj17E?t=16987s
)
私がまわった中で特に興味深かったのは、Inside the Open-Source Kill Chain: How LLMs Helped Catch Lazarus and Stop a Crypto Backdoor https://www.youtube.com/live/Wld0VVRMN4c?t=29045s
という講演でした。これはLLMを活用してオープンソースサプライチェーンを調査することによって、CVEが登録されていないような脆弱性を大量に見つけることに成功したというものでした。マルウェアのスキャンそのものにはLLMではなく旧来のスキャナーを利用しており、LLMを利用しているのはあがってきたスキャン結果のレビューや、Changelogに対してであるという点がみそでしたね。
Black Hat USA
続いて8月6日からの2日間はBlack Hat USAに参加してきました。
私は主にウェブ系の講演に参加しましたが、今回の目玉として楽しみにしていたのが、James 'albinowax' Kettle氏による新たなDesync攻撃の解説、HTTP/1.1 must die: the desync endgame https://portswigger.net/research/http1-must-dieでした。James氏はウェブ系の方にはおなじみの研究者で、Race ConditionやHTTP Request Smugglingの攻撃手法を格段に拡張した実績で知られています。
私は幸運にも会場でJames氏に偶然遭遇し、話しかけることが出来ました。James氏は気さくに写真撮影にも応じてくれて、話しかけた甲斐があったと思いましたね。普段画面の向こう側の存在でしかない人に話しかけることが出来るという点は、こうしたカンファレンスに参加することの強みだと思います。
Briefingsでは、wrapupというエリアがあり、発表者によっては発表後に個別で質問をすることができます。話を聞きたい人がいれば、この機会を積極的に活用するのがおすすめです。私は実際に講演を聴講したあとで、AI研究者のBrendan Dolan-Gavitt氏に8人ほどしか集まらない少人数の空間で話を聞くことができました。
また、Arsenalの会場では解説者との距離が近く話しかけやすいので、そちらもおすすめです。私の場合、HTTP RaiderというBurp Suite Extensionの実演をしていた、PortSwiggerの研究者であるMartin Doyhenard氏にも「どうしたらWebの分野で良い研究が出来るのか」等、様々な質問をきくことができました。
DEF CON
8日と9日の2日間は皆さんご存知、世界最大級のハッカーイベントであるDEF CONに参加してきました。
私は様々なブースを巡った後、Bug Bounty VillageのCTFに参加してみました。これはバグバウンティ（脆弱性報奨金制度）をテーマにした珍しい形式のCTFでした。CTF用ウェブサイトの脆弱性を見つけてフラッグを取得したら、実際のバグバウンティのような脆弱性レポートを書いて送付し、それをリアルタイムで採点してもらえました。CTFへの参加自体はオンラインでも可能ですが、この脆弱性レポートの採点は現地参加に限定されていました。またCTFに取り組みながら周囲の参加者とコミュニケーションをとれる点が、現地に赴く価値を感じたところでしたね。
なお、DEF CONにはこうした比較的小規模なCTFに加え、メインのCTFとなるDEF CON CTFがあります。こちらには弊社の前田がCTFチームBlue Waterの一員として参加し、世界2位になっております。
また、Adversary Villageで日本の武道とサイバーセキュリティを組み合わせた謎ワークショップを体験したり、Tamper Evident Villageで改ざん防止シールを剥がすワークショップにも参加しました。こうした場は普段自分が触れない分野にも挑戦してみる良い機会ですし、他の参加者とのコミュニケーションが促進されて自然に話せるのも良いところと思います。
あとはBug Bounty Villageで、バグバウンティの実績やメソドロジーで知られるJason Haddix氏を見かけたり、Malware Villageの近くでマルウェア分析で有名で、今回のBlack Hatでもkeynoteスピーカーとして登壇していたMikko Hypponen氏を見かけて話しかけることが出来ました。Mikko氏は日本で開催されるカンファレンスへの登壇経歴もあるので、次に日本に来れるのはいつか聞きましたが、新しいドローンの仕事を始めるところだからわからないとのことでした。このように業界の有名人もしれっと参加しているので、思わぬ邂逅があるのも面白い点です。
Tips
カンファレンス参加のためにラスベガスを訪れる方に向けて、役立つ情報をいくつか紹介します。
-
乾燥対策しっかり
ラスベガスは砂漠の街だけあり、非常に気温が高く乾燥しています。何も対策をせずに行くと、肌はボロボロ、唇はガサガサで痛いという事になります。現地で買うのが不安な場合はクリームを持参していくと良いです。ただし、飛行機への持ち込み条件には注意しましょう。 -
水分補給を忘れずに
ラスベガスは気温が高いものの、日本のように高湿ではないので不快指数が低いです。そうすると水分補給を忘れがちになって、気づいたら熱中症という事になりかねませんので、意識的に水分をとりましょう。なお、Black HatやDEF CONの会場には、ボトルに水を補給できるところが会場内にたくさんありますので活用しましょう。 -
ホテルの部屋は戸締まりしっかり
ラスベガスのホテルでは盗難被害がしばしば起こっており、日本人も被害に遭っています。確実に戸締まりできていることを確認する他、携帯ドアロックを持参するのも手です。
カンファレンス参加を心置きなく楽しみ多くを学べるように、事前準備はしっかりしていきましょう！
おわりに
最初は、初めての海外出張とカンファレンス参加で緊張と不安がありましたが、実際に現地に行ってみると、貴重な機会を楽しみ、多くを学ぶことが出来ました。弊社では先輩や上司という間柄であっても社員同士がフラットな関係なので、不安なことは一緒に行った先輩に気兼ねなく相談出来たのも良かったですね。
やはり現地に実際に行ってみないと体験出来ないことは多いですので、この記事を読んでいるみなさんも、ぜひ参加してみてください！実際に参加するのが難しいという方は、講演の動画をみたり、開催期間中であればオンラインでCTFに参加するという事も可能です。