はじめに
こんにちは！在宅勤務に慣れすぎて最近出社するイメージが湧かなくなってきた事業開発部の清水ですw
本日は先日社内で開催したWAF業務体験研修について紹介したいと思います。
WAF業務体験研修とは
SSTでは、ScutumというWAF(Web Application Firewall)サービスを提供していますが、Scutumを特定顧客向けにカスタマイズしたWAFサービスの提供も行っており、こちらのWAFについてはSSTが開発・運用を担っています。
WAF業務体験研修は、そんなWAFの運用をしているSSTならではの学習機会として、運用に興味のある脆弱性診断や研究開発のメンバーを対象に、WAFチームの業務内容説明や、別途構築した研修用環境においてWAFで検知した攻撃検知ログの監視体験をしてもらう機会として企画しました。
興味のあるメンバーはどれくらい？
企画をしてみたものの実際どれくらいの技術メンバーが、本研修に対して興味を持っているか未知数であったため、開催前に社内アンケートを取ってみました。
脆弱性診断員の方は回答必須とさせて頂きましたが、アンケートを取ってみると、約6割の方が「非常に興味がある」、その他4割の方も「日程や業務調整が付けば興味がある」との嬉しい結果となりました。
興味を持って頂けている方には全員参加してほしいという思いと、オンライン開催でもきめ細やかなフォロー体制を実現するため、WAF業務体験研修では日程を複数回設定することにし、開催の日程調整を行いました。
研修当日の様子
研修では、普段のWAFチームの業務内容の説明を行い、業務への理解を深めて頂いたうえで、研修で体験してもらう検知ログの監視業務*1が業務内でどのような役割を果たしているのかの説明を行いました。また、シグネチャ*2のポリシーチューニング*3についても理解を深めて頂くため、WAFの検知の仕組みやチューニング実例なども解説しました。
研修内容については基本的な脆弱性を一通り知っている方ならだれでも参加できるよう、基礎から説明するように心がけ、WAFについても「WAFとは何か」という基礎から解説するようにしました。
基礎から解説し、分からない点を残さないようにすることで、参加者の理解度と満足度を上げるように努めました。
当日は運営側2名と参加者2名という少人数のメンバーで実施していたため、アットホームな雰囲気での研修になり、質問もしやすい環境にすることができたかと思います。
たくさん質問を頂き回答をする中で、自分の理解度が低く説明がいまいち上手くできない部分も同時に明らかとなったので、複数回の研修の中で説明内容を少しずつブラッシュアップし、自分自身の理解度も深めていくことができました。
ある参加者の方は、研修中で解説した正規表現に興味を持って頂いたようで、参考となる書籍を紹介したところ、実際にその書籍での学習を始めるきっかけとなったと後ほど伺いました。
参加者アンケート結果
開催後の参加者アンケートでは、満足度は非常に高く、94.4%の方に「非常に満足した」と回答頂きました。開催してよかったな～と思う瞬間です。
また、以下のような嬉しい感想も頂きました。
参加者は主に脆弱性診断のメンバーだったので、普段はどちらかというと攻撃視点での作業となりますが、一方でWAFは防御視点のサービスとなるので、いつもと異なる視点に触れる機会となり、研修内容を新鮮に感じて頂けたようです。Webアプリ診断に活かせそうと思ってもらえたのも嬉しい感想ですね。
今回の研修では特に実際に監視業務を体験してもらう機会を設けたため、実際のサービスの運用業務での工夫や、課題を肌感覚で感じて頂ける貴重な機会にもなったかと思います。
また、今度は診断の業務体験も考えてみたいという、今後のチーム間交流の種もまくことができたような感想も頂きました。
おわりに
今回初めて開催側として社内研修に関わらせて頂きましたが、終了後に参加者の方に「楽しかった」と言ってもらえるのがすごく嬉しかったです。
同じ技術メンバーであるものの、業務が違うと関わり合いも少なくなってしまいがちですが、今回こういう形で一人一人と話すコミュニケーションの場にもなったのは自分自身としてもよい機会となりました。
今後も、さらなる社内間の連携を強めていくために、定期的にこのような交流の機会を作っていき、お互い切磋琢磨していくことができたらと思います。