00:00
あおぞらFM第63回目。第63回目はゲスト に、nilfyさんをお迎えしております。
nilfyさん、よろしくお願いします。
nilfyさん よろしくお願いします。
おだしょー じゃあ、早速軽く自己紹介をお願いします。
nilfyさん はい。nilfyという名前で、ネット上で活動しております。
本業はですね、今のところセキュリティ のエンジニアということで、Webアプリケーション
とかの脆弱性ですね。要は荒探し をしております。その前は、普通に
JavaをメインでWebアプリケーション の開発をしていたという感じですね。
それぞれ10年くらいのキャリアがあります。 仕事はそんな感じです。
おだしょー いいです。そんな感じで大丈夫ですか。
nilfyさんと初めてお会いしたのは、
去年の4月の技術書店ですよね。
おだしょー そうですね。はい。
nilfyさん あれは6?
おだしょー 6でしたっけ。昔のことすぐ忘れちゃうんですけどね。
nilfyさん 確か6だった気がするんですけど、6は僕が確か、違う。あれ4月?
秋の技術書店でしたっけ。秋な気がしてきたな。
nilfyさん 7?
おだしょー 7。秋ですね。秋の技術書店だ。
nilfyさん 確か7で落ちたんですね。そういえば。
おだしょー そうですよね。僕6落ちて、おかしんさんという人に
委託させてもらって、7は僕が受かって、誰か落ちた人一緒に出ませんかって話を
したのが確か7でしたね。
nilfyさん なるほど。
おだしょー そうだそうだ。
nilfyさん 技術書店5、6と連続で参加できて、自分の書いた本が売れて、
よしよしと思って7に応募したら落選の通知が来て、え、こんなタイミングで落ちるんだって。
それは当選する人もいれば落ちる人もいるっていうことで、ちょっとびっくりしたんですよね。
びっくりする必要はないんですけどもね。そもそも何で今後当選すると思い込んでたのか
は不明なんですけど。で、老人誌書いて売るっていうのはすごい楽しかったんで、
物理的に。これ途切れるのはもったいないなと個人的に思ったところで、たまたま
技術書店というキーワードで検索してたら、コルテさんに巡り合ったと。
そうなんですよね。なんで半年ちょいぐらい、6月7月ぐらいに多分申し込みとかやってたんで、
もう半年というよりは1年近い感じなんですけど、サークル名は脆弱性診断研究会ですよね。
そうです。
はい。脆弱性診断研究会っていう名前で本を出されていて、基本的にそのセキュリティ系の本、
03:05
毎回ツールの名前を忘れるんですけど。
OWASP ZAPっていう。
そうだ。OWASP ZAPですね。Java製の脆弱性診断。ウェブアプリですよね。
ウェブアプリの脆弱性。
インスタのようなスイング系で。
アプリでしたっけ。
アプリですね。
診断対象はウェブアプリ。
そうです。そのツールを使って診断するのは、その辺にあるウェブアプリケーションに対して。
ウェブアプリを対象にした診断、Java製の診断ツール。OWASP ZAPっていうツールに関する技術同人誌を書かれているって感じですよね。
はい。
で、二重書店ならでそれで委託で一緒にやらせてもらって、そこから某都内にある錬金術ラボというところでよく飲んだり、同人誌の話をしたりみたいな感じの付き合いって感じですね。
そうですね。
で、今回その流れでアウトライフウェブぜひって話で出ていただいたんですけど、特にこういうテーマで話をしたいっていう感じじゃないって話だったんで、
何となく自己紹介をツッツキながらというか深掘りしながらザックバラに話していければいいかなって思うんですけど、そもそもエンジニアになろうと思ったきっかけというか、なんでエンジニアになったんですかってあたりから聞いてもいいですか。
そうですね。私今今年で52なんですけど、もういいおっさんなんですけど、自分は小学校6年生の時にYMOという的なバンドが、ユニットが出てきて、それでだいたい知り合いというか友達も含めて小学生とかがやられたんですね。
音楽にガツンとピコピコかっこいいと。で、それはコンピューターで作っているということが分かって、さらにインベーダーゲームブームっていうのがちょうど同じような時期にあって、喫茶店にゲーム機が置いてあって100円通りで遊ぶっていうゲームセンターができたりとか、そのゲームっていうのもコンピューターを使って作られているという、
その2つの遊びというか趣味がコンピューターでできているということを知って、コンピューターって楽しそうだなと面白そうだなと思ったのが、そもそものITに興味を持つきっかけというかですね。そこから来てる。
なるほど。なんかその世代、ある種世代というか。たぶん10年20年前だと本当テレビゲームですよね。そのスーファミとかプレイステとかああいったゲームとかにはまる。で、たぶん今だとスマートフォン、スマホとかタブレットとかに何て言うんですかね。興味を持つというか。
06:23
そういった部分に流れてきたというか。YMOだったりインベーダーゲームだったりって感じですよね。
はい。その当時出たコンピューターって今から見るとすごく多くて、ファミコン以下のしかなかったんですけど、これが故にちょっと勉強すれば、中身を把握するのは子供でもいけたんですね。要はCPUの仕組みとして、レジスタがあってとか、あとすごい簡単な文法なのでちょっと気合を入れた小学生だったら覚えてしまうみたいな。
そんな感じで手に届く範囲に知識があったというかですね。なのでハマった子供が自分も含めて友達も結構ハマってる人が多くてですね。マイコンブームっていうのがあったのも要因というかちょうどやればできるというか。
今どきのスマホのゲームとか、あとコンシューマーというかね、製置型のゲームパッと見てですね、自分にも作れそうってなかなか思えないと思うんですよね。ものすごい難しい。
確かに。
ラフィックとか使ってて、いろんな才能とか知識が必要に見えて、自分が気づいたっていうかハマった頃のマイコンと言われた頃は、それを本当にちょっと勉強すれば、物が変えるかどうかは別として、知識として身につけるのはそんなに難しくなかったっていう印象があったので勉強したっていうのは覚えてますね。
それはいわゆる学生時代、高校とか大学って感じですか?
小中高と趣味で雑誌を買いながら、コンピューターとか言語の勉強とかを独学で趣味の延長でしてたと。
当時ってPC98とかの世代ですか?
そうですね。98は自分の中では結構末期というか、後期に出てきた時期ですね。自分が興味を持った時には、NECはPC8000っていうZ80が世に出て、それがだいぶ売れて、めちゃめちゃ売れて、それに対抗してMZ80シリーズっていうのをまた出してですね。
NECとか富士通も同じようなマイコンを出してて競争してたっていう時期ですね。そういうのが一通り8bit機が落ち着いた頃に、仕事にも使えますよって予定で98がデビューしたと。
ただ、すごいあんまりゲームに使えそうな雰囲気が、後々ゲームのプラットフォームとしては一流になるんですけども、その当時はゲームが上がったんでちょっと興味がなかったっていうのも最初はありましたけど。
09:08
なるほど。じゃあそれで、いわゆるマイコンからそうやって触りいじり倒してきたから、そのままプログラミングというかエンジニアになるかっていう感じだったんですね。
当時はですね、ただ北海道の片田舎に生まれ育ったので、そもそもそういう仕事が身近になくて、20代の頃は田舎でパチンコ屋の店員やってました。
田舎というか、東京に出るみたいな選択肢は特に北海道とか地方にいる方に話を聞くとよく聞くんですけど、そうしなかった理由って何かあるんですか?
一応高校卒業したら上京して予備校通って大学には行こうとしたんですね。ただその時ですね、新聞小学生という制度で新聞配りながら、一生働きながら学費を肩代わりしてもらって、それで通うっていうのを選択したんですけど、
根が踏んまじめなので、予備校に入るという段階で、これをもし合格してあと4年続けるっていうのはちょっとしんどいなと。もともと個人的に大学行きたいなと思ってたんですけど、あまり勉強するっていうよりはコネクション作るというかですね。
この人と知り合うと友達を増やすというような目的の方がどっちかというと大きかったので、でも朝から晩からこの仕事をしながら通うとそんな暇ないんじゃないかと、ほんと軟弱な気持ちに支配されて、もうちょっと諦めて。
まあでも北海道で新聞配達は寒いですよね。
新聞配達は東京の販売所に入って、東京の大学に行こうとは思ったんですけど。
あ、それでだったんですね。なるほど。
現役で受かるつもりもなかったので、最初予備校に帰ったんですけど、それでしんどいなと思って、ちょっと1、2年遊んで田舎に戻ったと。
20代ほぼまるまる田舎に戻った後に、そんな状態の若者がつける仕事、テトリブックをつける仕事がパチンコ屋ぐらいしかなかったので、そこにとりあえず収まった。
なるほどな。
そのパチンコ屋で働きながらも、趣味としてのコンピューター、パソコン、マイコンというのは継続して追っかけてたんですね。
雑誌を買ったり、テレビ放送で教養番組みたいなのもあったので、それは欠かさず見たりとか、
手元にパソコン、作家人だから買ってたので、そこでプログラミングしてみたりとかいうのは、趣味は継続していたと。
12:06
それでパチンコ屋の定員をやりつつ、マイコンとかパソコンに興味がある感じでやってきたのもあって、30代ぐらいからエンジニアになったって感じですかね。
そうですね。30になった頃にちょうど、大人なじみが東京で、今で言うとSESとかっていうのかな、人を集めて現場に送り込むみたいな、そういった会社をやっててですね。
そこで声かけられたと。コンピューターとかパソコンとか詳しいんだろうと、プログラミングとかもしてるんだろうと。だったら上京してエンジニアになってみないかと誘われて。
決断は早いので、もともとコンピューターで飯食いたいなと思ってたので、うまくいくかどうかわからないけど、チャレンジしようということで再上京というか、再び上京するという感じぐらいですね。
そこから20年ぐらいはエンジニアやっていると。
そうですね。
大先輩。
いえいえ。ちょうどそれぐらい開発のエンジニアとセキュリティのエンジニアが10年10年で半々ぐらいですかね。
そうですね。
最上京してきて、SESというか派遣みたいな感じで行って最初にやったのがJavaだったんですか。
最初はCとかC++だったかな。一番最初はそんな感じですね。その後にJavaの現場に入って、そこからJavaを覚えたのは。
Java面白いなと。C++より簡単だなと。語弊がありますけど。文化とかもないし。
そうですね。確かに。
実際どうだったんですか。東京にもう1回出てきて、エンジニアとしてプログラミング、プログラマーを始めて楽しかったとか辛かったとか、どんな感じだったんですか。
もうちょっとやっただけで、これだよと。やっぱりテンション高かった。10年10年と歳を重ねても、コンピューター大好きだなと。プログラミング面白いなと。
気持ちが全然。だから仕事感がなくてですね。仕事なんでそういうのない時もありますよ。
特にフリーランスでやってたので、基本的に入る現場はもうデスマーチ現場なんですよ。フリーランスがポッと入るような現場なんで、これも他にも語弊があるかもしれませんけど、そういう感じのちょっとどうしようかみたいなところに投入されるってことが多かったので。
だから残業とか休出とか、あと帰れないっていうのも毎週毎月のようにあったんですけど、ただフリーランスなんで、契約がっちりと決まってるんで、どんなにしんどくても半年あったら抜けられるという、あと希望を出せばちゃんと抜けられるっていう良心的な会社経由で仕事してたので、辛さはほとんどなかったです。
15:23
おだしょー 終わりがあるって本当に大事ですよね。
瀬尾 大事です、本当に。もう1週間帰ってないけども、あと2週間で契約が終わると。で、絶対にしんどいところに生きみつつ頑張るみたいな。
おだしょー めちゃくちゃわかる。なるほどな。え、でもそこから10年、いわゆるプログラマーとしてやってきて、さっき最初もOASP ZAPとかセキュリティの話しましたけど、脆弱性とかセキュリティ方面に行ったというか、行こうと思ったきっかけとか経緯ってどんな感じだったんですか?
瀬尾 それはフリーランスで活動してるときに、お付きというかですね、案件を見せてくれる営業さんがいたんですよ、婚姻している。その営業さんがたまたまこのセキュリティ脆弱性診断という仕事があるんだよって、どうっていうふうに紹介してくれたんですね。
その現場ではコードを書くことはないし、コードを読むこともほとんどないんだけども、そのいわゆる脆弱性診断として、セキュリティ的なテストをするんだと。で、セキュリティの知識は全然その当時正直なかったんですけども、クローサイトスクリプティングとかキーワードだけは聞いたことがあるっていうレベルで。
でも、もちろんそうだから、その面接に行ってみたら、開発経験があった方がいいっていう現場の思いもあって、すぐ採用されて、最初の面接というか紹介されたセキュリティベンダーでですね、紹介されたところで採用されたので、そこでちょっと期間忘れましたけど、3ヶ月なのか半年なのか忘れましたけど、
セキュリティエンジニアとしてひたすらお客様のウェブサイトをテストを診断していたと。それが非常に楽しくてですね。やっぱり開発やってたから、裏側どういうふうに組んでんだろうとか、どういう設計してんだろうっていうのは大体想像がついたり、ある一定度動きを見たりすると分かるわけですね。
そういう裏側の構造とか実装を想像した上でテストをすると、やっぱりこのキーワードでこんな反応したということは、もしかしてこんなふうにコードを書いてるんじゃないかみたいな感じで、知的好奇心を満たされつつ仕事も進むという、これはひとつの美味しい仕事だなってそのときは思ったんですね。
半年くらい契約が切れて一旦セキュリティエンジニアというところから離れて、また開発の現場に戻ったんですけど、そこでやっぱりこれからはセキュリティじゃないかとちゃんとやらないと情報を盗まれたり、画面を書き換えられたりとか、いろいろ良くないことが起こるというのは仕事で学んだので、それをちゃんと進めていかないと、いくら開発のスキルが上がっても、やっぱりセキュリティエンジニアというところから離れて、また開発の現場に戻ったんですけど、そこでやっぱりこれからはセキュリティじゃないかとちゃんとやらないと情報を盗まれたり、画面を書き換えられたりとか、いろいろ良くないこと
18:20
もダメだなという風に、将来性を感じて、セキュリティベンダー、専門のベンダーに今度就職してみようと、会社員として。今までフリーランスでそれこそ10年堪能したので、フリーランスはいいなと。
性社員として働いたらどんな感じになるんだろうと思ったのが、セキュリティエンジニアとして申し入れて働くというきっかけというか思いというか、こんな感じですね。
そこでフリーランスからサラリーマンになろうって思ったら、10年やってきたからっていうのはあるにしても、手続きがいろいろめんどくさい、税金関係がめんどくさいとか、仕事が安定しないというか、ないかもしれないみたいな、そういう側面もあったりしたんですか?
いや、まず手続きとか税金とかの面は確定申告毎年してたんですけど、全然不満とか不安とかはなく、粛々とやってたし、あと将来性っていう意味でも、その頃はバブルじゃないですけども、案件は選ばなかったらいくらでもあるという状況だったんですね。
だから、フリーランス通勤っていったらそのうち仕事がなくなるんじゃないかっていう不安は全くなくて、そういう意味ではなくて、単に好奇心として普通に頑張ったらどうなるんだろう、もしダメだったらまたフリーランスやるかぐらいの軽いノリでやってみたと。
で、そこからそれ以来最初にセキュリティベンダーに正社員に入って以来、ずっと会社いろいろ変わりましたけども、正社員で常に入ってますけど。
僕なんかそうなんですけど、もう新卒からいわゆるサラリーマンでやっていて、フリーランスになる気もないし、全然その気も起きないけど、逆にフリーランスの方からすると、フリーランスやってもいいんだけど、サラリーマン一回やってみるのもいいなみたいな、ダメだったら戻ればいいしみたいに思えるのはすごい。
うらやましいって言うとちょっと違いますけど、そういう選択ができるのはすごいなーってちょっと今思っちゃいました。
そうですね、選べるっていうのは幸運でしたね。どちらも気持ちにストレスがないっていう、実力があるかないかじゃなくて、自分の性格的にやってダメなら何とかまた別のこと考えればいいやっていう思考ができるっていうかですね、好きな性格なので、あんまり不安にならないようにしてるっていうか、不安を寄せ付けないというか、そういう楽天的楽観的な性格だからこそフリーランス10年できたし、その後正社員もお試しできた。
21:27
そういうのかなっていうのは、大田さんと話して自覚した。
なるほど。フリーランスとサラリーマンの違いを聞いてもあんまり自明すぎるというか、当たり前すぎるかもしれない。
聞くとですね、いいところしか見ないので、めっちゃいいじゃんっていう感想を聞いた人は思うじゃないですかね。要はフリーランスなので契約期間が決まっているということは、マイナスに考えると契約終わった後どうしようっていつも不安になると言うんでしょうけど、私的には先ほど言ったように、どんなしんどい状況でも3ヶ月半年1年で抜けられる。
ちゃんとした放置国家なので、放置国家なのにひどいところもあるようですけども、もう行かない、契約進めないって決めればそれ以上押し込まれることもないっていう、そういう現場ばっかりだったので、そういう自由があると。
フリーランスやってたときはですね、ガッと人稼ぎして3ヶ月全く仕事入れないで日本一周旅行っていうのもありました。それもフリーランスやらないと難しいなっていう。
たしかに、なるほどな。やっぱり実際やってみないとわかんないこと多いですもんね。
10年間サラリーマンで転職もされて、今現職にいらっしゃるってことだと思うんですけど、OWASP ZAP自体はその10年間で仕事で触ったりとかされてたんですか?
OWASP ZAPに触れたのが、そもそも先ほど言ったフリーランスのときにたまたま紹介されたセキュリティエンジニアの案件。
なるほど。
その会社でOWASP ZAP、それだけじゃないですけどね。他の有償なツール。OWASP ZAPはオープンソースの無償で、他のちゃんとしたメーカーが作っている有償の診断ツールとかも含めて使っていて、
今まで散々書いてきたJavaにこんなセキュリティのツールがあったんだって知って、Javaを書いてたんで、オープンソースなのでソースコードも公開されているっていうのもあって、勝手に親しみを覚えてずっと使っているという感じですかね。
24:00
いいですね。今実際現職での仕事でも使うことはあるんですか?
正直言うとですね、仕事ではバープスイートっていう有償のツールがあって、普通のプロのセキュリティエンジニアはバープスイートを使うと思います。
会社でやってる人もそうだし、私も個人的にライセンスを購入してて、私のMacの上でもその有償版のバープスイートが動いてたりとかしてて。
1ライセンス1年間で4万円くらいかな。それを本業にしてて趣味にしてるんだったら、年間4万円というのはツール代としては重ねると大変な額になりそうですけども、それなりに集中して専門的に趣味とか仕事を追っかけてるんだったら包外な値段ではないかなっていうのもあって、導入してる人は結構いますね。
四万なら確かにいけそうな感じ。
はい。GoID今はフルセットよりは全然安いと思うね。
そうですね。それは分かる。
そういうパブスク。私パブスクも登録してますけどね。イラストレーターとかPhotoshop好きなんで。
最初に触ったきっかけはあったにしても、そこからあまり業務では触らなくなったWaspZapの技術同人誌を書こうみたいなのって、その辺はどういう経緯だったんですか?
それはですね、そもそも私が今ちょっと中断してますけども、やっている毎月のハンズオンセミナーですね。それをやった経緯を説明しなきゃいけないんですけども、
セキュリティエンジニアになって大体4、5年経ったくらいに、お客様から依頼があって、自宅で診断をすると、何らかの自宅勢が出ますと。クロスサイト、スクリプティングとかSQLインジェクションというのが出ますと。
それを報告会で報告するっていう仕事をずっとやってたんですけども、あるお客さんがですね、お得意さまで毎年毎年発注してくれるんですけども、同じシステムで担当者も変わってないのに、毎年毎年同じ自宅勢が出るんですね。
クロスサイト、スクリプティングが去年も今年も出ましたと。同じサイトの同じ箇所でみたいな。あれこれ何本やるんですかと。よく聞いたら窓口の担当は変わってないけども、実際にコードを書いたり設計してる人っていうのはエンジニアは変わると。
27:07
ベンダー変えたりとか、社員が辞めたり入ったりするので、それはいつまでも同じ人が書いてるとは限らないというのは分かるんですけども、せっかくそれなりのお金をいただいて診断して報告書まで収めたのに、その次の年にまた同じことを指摘される、同じようなお金を使ってるっていうのも、何なんだろうなっていう思いがあってですね。
単純に開発しているエンジニアの不勉強だと指摘するのは簡単なんですけども、その一方でセキュリティベンダーというかセキュリティエンジニアというか、大きな話大きく出ちゃいますけど、理由は責任が全くないのかなっていうのをふと思ったんですね、個人的に。
贅沢性診断をして、報告書を書いて、こういうふうに修正してくださいと偉そうに言うのはいいんだけども、それができてないってことは、そもそも伝え方とか伝える相手とか立場とかが見えてんじゃないかなっていうような疑念がちょっと湧いたんですね。
どんな会社も利益を追求してるはずなので、毎年毎年無駄な金を使っていいっていう会社はほとんどないはずなんですよ。
贅沢性っていうのは要はバグなので、バグを出さない方法っていうのはしっかりとあるわけでして、設計とか実装でですね、これを実装したらこういうバグが出るって分かってるんだったら、そういうバグが出ないような規約を作るのか教育するのか分からないですけども、
それができてないっていうのは、その開発ベンダーの責任が100%とは言い切れなくて、やっぱりその贅沢性の仕組みとか原因とか対策方法を伝えるセキュリティエンジニアとかセキュリティベンダーの方にも責任といった思いですけども、なんかやらなきゃいけないことがまだあるんじゃないかっていうふうに思ったんですね、個人的に。
そこで贅沢性診断研究会っていうのを立ち上げて、人が来るかどうか分からないけども、セミナーを開いてみようと。
そこで昔チラッと使ったWASP ZAP、Javaでオープンソースなので誰でも簡単にソースコードを入手できるし、JavaのJREというかJDKというのが入っていれば誰でもパソコンの上でWindows上とかで動かすことができると。
昔はJava全盛期があったりしたので、とりあえず普通にJRE入ってますっていう時代があったので、導入もある意味楽だろうというのもあって、最初の特化かかりとして贅沢性診断のやり方を教えるにはただだし、オープンソースだし、動作環境も作るのも簡単だということで、
30:01
WASP ZAPに再び着目したという感じですかね。
実際、ある種1回の単なるエンジニアが勉強会というか講習会みたいなのを開くのって結構勇気がいると思うんですよ。
その辺り始めた当初ってどうだったんですか。
それが不思議と全然躊躇がなくて、何だったんでしょうね。
1回のエンジニアだからこそ、別に失敗したところで誰かが困ったり、誰かに馬鹿にされたりってことがないっていう気楽さは感じてました。
それなりに地位があって、それこそ業績残したとか、部長やってるとか、役職持ってるとかっていう立場があると、失敗したりしてこけると、あいつあんなことやらかしたぜみたいなことをTwitterとかでつぶやかれるんじゃないかっていう不安はある。
自分は別にもともと誰も知らないので、誰も知らない人がひっそりとセミナーやって、誰も来なかったとしても人が辞めちゃえばそれで済むっていうか、そんなのもあったかなっていう存在が知られることなく消えるのも、それはそれで別に自分的にはマイナスにならないというか、もともとなかったところが立ち上げてるんで、元に戻るだけなので、不利益にはならないっていう判断はありましたね。
なるほどな。実際、初めて何回かはお客さんというか来てくれる人結構いらっしゃったんですか?
まず第1回目にドアキーパー会員としてイベント立ち上げたら、エントリーが2人で、募集期間内で2人エントリーして、1人ドダキャンして、当日1人は来てくれたんですね。1人でも来てくれたらということで、その1人に対して、その人は別にセキュリティの仕事をしてなかったんですけど、趣味でセキュリティが好きで色々やってたんですけどね。
その人に対して、セミナーの時間2時間いっぱいずっと2人でセキュリティ団員をして終わったっていう。もう誤解はないな感じで。これ毎月やろうと思ってたんで、第2回もイベントは立ち上げて募集はしてたんですよ。
今度は3人とか4人とかエントリーしてくれればいいなっていう。継続してたらそのうちに知られるだろうと、一応ツイッターの通訳紙みたいなことで思ってたら、幸運なことに2回目のイベント立ち上げた後に、セキュリティエンジニアの中では有名な方がいて、その方がセキュリティ専門のメーリングリストの中で紹介してくれたんですね。
33:08
紹介というか、連絡性診断縁やでっていうふざけた名前で今でも言ってるんですけど、もともとはフルネームというか長い名前、正式名称は連絡性診断自分でしても縁やでっていうのが正式なタイトルで。
なんかあの、連絡性診断って難しそうだから、普通に専門家に頼むしかないんじゃないの?っていう疑問が出た場合にも、OWASP ZAPっていう無償のツール使ったら、ただでなんかスキャンできて自動的に定着性が分かるらしいよということを広めたいという意味で、ZAP使ったら縁やでっていう、そういうサブタイトルつけてたんですね。
その縁やでっていうのが、関東の人が面白がって喋る関西弁みたいな感じで捉えられて取り上げてくれたという。本人はわからないですけどね。
今ではその方も自分のこと知ってるし、何なら何回か飲んだことも一緒にあるので、いいんですけども、その当時はもう神の上の存在みたいな感じで、その人にメールインリストで言及してもらったおかげで、もうあっという間に店員を超えてキャンセル待ちが溢れたんですね。第2回にして。
すごい。有名人は本当にすごいなと。一言以上メールインリストでつぶやいただけ、その投稿だって何万人が読んでるわけじゃないんですよ。セキュリティエンジニア向けのフローズフォーじゃないですけども、そんなに誰も彼も入るようなメールインリストじゃないのにも関わらず、エントリーが5人、10人、15人と。
キャンセル待ちが出るたびに店員を増やしてたんですね。5人、15人、10人、15人と。会場がコワーキングスペースなので、柔軟に増やせたっていうのも大きくて、オーナーと仲良くさせていただいてたので、そこの最初は8人掛けの1島だけをキープしてたのが、5人、10人とかエントリー来たのでっていうと、じゃあ2島抑えましょう。
20人にしたら20人埋まっちゃいました。じゃあ4島にしましょうって感じで、柔軟に場所を確保してくれたので、どんどん増やせた。こんな感じで2回目はたくさん来てくれてって感じで。
ただ、それも私何回も言ってますけど、文明の人間がオアスポダップっていう得体の知らないツールの話をするっていう意味でも、こんなにたくさん人が来るようなもんじゃないだろうなと思ってたんで、たまたまバブルが、有名人バブルでドカッときたけど、次からまた5人とかせいぜいエントリーするぐらいなんだろうなと。
36:00
作為防止になってまたなくなるっていうのも確保しつつやってたんですけど、なんかおかげさまでですね、一旦広まったものが、なかなか波が引くことなくですね、毎回コンスタントに4人というエントリーをしてくれたおかげで、どんどんと会場も大きくしてっていう感じで、今に至るという感じですね。
その勉強会の中で、その本を書こうっていうところにつながっていったのはどういう感じだったんですか。
形に残したいっていうのが一番ですね。セミナーやってスライドを起こして、あとはハンズオンセミナーなので、手元のザップを動かして学びましょうっていう体制でやってたんですけども、そうは言っても、それのツールを使いながら参照できる何かドキュメントがあったほうが便利だろうなっていうのはずっと思ってて、そんなこんなやってるときに技術書店っていうのを知ったんですね。
最初はただ買う人だったんだけど、買う人をやってるときに、じゃあ自分の今の趣味というか仕事の知見を本にするっていうのもありじゃないかというふうに思った。文章を書いて本にしたい。本がもともと好きだっていうのがありますね。
書店だったら小さくても大きくても一日中いられるっていうぐらい本が好きなので、自分の本を書いてみたいっていう野望は子供の頃からあるにはあったんですよ。技術書店同人誌っていうのはそれを実現できると。そんなにお金をかけなくても自分の好きな部数だけすればいいっていう。
で、Uberは毎年2回とか提供されてるっていうのを知ったんで、よしじゃあセミナーの教科書として使えるかもしれないっていうんで書いたっていうのが最初ですね。
実際本書いてみてどうでした?
書いて一番良かったのは自分の知識とかを伝えなきゃいけないっていう思いを一旦整理できたというのが一番大きい。
そうっすよね。
こういうことを書きたかったんだ、こういうことを伝えたかったんだと。
最後にできた本を読んで、足りないところがあらがいっぱい見えるわけですね。あれ書けばよかった、あれは書く必要なかったとかっていう。
でまぁ、ちょっと筆が遅いのもあって、なかなか審判を書けないというのは申し訳なく思いつつも、それを改訂するっていうのもやりたかったんだけど、その足りなかった部分っていうのをまたリアルなハンゾーのセミナーで補っていくっていう風に結びついたっていう。
なんかリアルな活動とその執筆活動がすごいリンクしたんですね。
うん。やっぱ本書くと、本に限らないですけど、アウトプットすると自分の知識が整理されるっていうのは本当によく言われますし、やっぱ本だと結構、なんだろうな、形に残る、大体残るんですけど、
39:12
より強く残るので、やっぱ結構、なんて言うんですかね、真剣になるというか慎重になるというか、熱が入るみたいなのは結構ありますよね。
相当ありますね。最近ですね、新刊ザスザス詐欺が続いてしまって、結局今回の8位も出せなかったんですけど、これの原因はもう明確で、要は書きたいことができすぎて、
そのまま書けるのか、俺みたいな、なんか萎縮しちゃったっていうのも原因の一つとしてある。怠けてるサボってるっていうのももちろん一番大きいんですけども、書くからにはみたいなちょっと自分らしくない気合が入りすぎてるっていうのも、もっと気軽に書けばいいんですけどね。
うーん、いやーでもなんか3冊目、2冊目もそうだけどやっぱ3冊目ってなると、そうなんのかな、2冊目3冊目って結構勢いだけじゃみたいなところはあったりしますよね。
最初から最初に書いた時は、あんまり苦労した思いがないんですけど、それ以降は本当に面倒くというか。
分かる。なんか後になればなるほど苦労するイメージありますね、確かに。
そういう意味ではフルテさんはすごいですよ。ちゃんと本を出してるから。
まだ言うて3冊。
3冊が重いんですよ、本当に。
3冊目はまだ、その芸術書店8の影響もあって、紙をまだ出せてないので。
なるほど。
タイミング的に今擦れないっていうのはあって、難しいっていうのはあるんですけど。
そうですね。自分は逆に今擦れないかなと思うんですよ。
ああ、そっかそっか。
オフラインでできませんけど、オンラインでハンズオンセンターをずっとやっているということで、そこでオンラインで売るっていうのも何ならリアルですね。
ハンドはともかくいろいろありますけど。だから擦ってしまっても、いつかそれを裁く時が来るし、
あの技術書店5だったか6だったかは、自宅から発送っていうのを何回かやってましたね。
ああ、はいはいはい。
大した売れなかったんで、できましたけど。
30とか50とか発注来たら多分嫌になると思ったんですけどね。
そんなに来なかったんで、マイペースに発送ができたんで良かったんですけど。
うーん、なるほど。
42:01
いやー、そうだよなー。
そんな感じで、セキュリティエンジニアとして技術同人誌書きつつ今に至るみたいな感じだと思うんですけど、
このご時世でなかなかイベントとかやりづらいっていうのはあるにしても、
これからエンジニアの領域とかセキュリティの領域とかで、
これ今までやってなかったけどやってみたいんだよなーみたいな。
やってみたいことってあったりするんですか?
やってみたいこと。
ハンズオンセミナーを5,6年前に始めて、
それを毎月続けられたっていうのは、
さっき色々偉そうなこと言いましたけど、教育がどうのこうのとか。
そもそも人前であることないことを話すのが大好きなんだなっていうのを
自分自身に意識したんです。
話し好きだっていうのは分かってたんですけど、
よく毎月毎月知らない人がたくさん来る会場で、
ベラベラと2時間も3時間もお話できるなと、
自分で自分に関心しててですね。
内容はともかく。
ネット、Twitterかなんかで見たんですけど、
自分が簡単にできることを楽しくできることっていうのは、
多分それはほとんどの場合強みになっていると。
だから好きなこととか楽にできることとか楽しいことっていうのを突き詰めると、
それは例えばビジネス面で利益というかですね、
結果が出るんだよっていうのをネットで見かけて、
確かにそうだなと。
人前で喋るっていうことをなりわいにしようと思った時に、
それこそ1日中喋ってられるなと、喉が持てば。
っていう感をそのハンズオンセミナーを通して得たんですね。
なので、これからはそれをきちんと体系化して、
自分の中で人に、それはオンラインでももちろんいいんですけども、
言葉で伝えていくということを、
より明確に重要視してやっていきたいなというのは、
エンジニアとしてありますね。
今までの10年多数10年の知見で、
そんな入っていくというか尖った技術力があるわけではないんだけども、
自分なりに学んできたところを分かりやすくできれば、
エンジニアじゃない領域の人に分かりやすく伝えることができたらなと、
そのための訓練しなきゃいけないなっていうのは最近思ってますね。
なんかその伝えるってすごい難しいなって思うし、
結構いろんな人と発信をしている人で、
伝えるの難しいよねって話をよくするんですけど、
結構受け手の問題っていうのは責任転換をしたいわけではないんですけど、
45:06
受け手の状態によっても伝わる伝わらないって結構変わってくるじゃないですか。
変わります。
多分ここ何回かというかずっとこの話をしている気もするんですけど、
なんかよくあるSIRの文脈だと、
今SIRでいわゆる外の世界を全然知らないエンジニアがすごい苦労していて、
ちょっと転職とか勉強会とかに出てくると、
こんな違う世界があったんだみたいなのを何度も見ているので、
その選択肢を教えてあげたいというか、
別に転職じゃなくてもいいんですけど、
ちょっと仕事つらいなって思ったら勉強会に来ようとか、
この集まりに、もちろん技術書店とかもそうなんですけど、
イベントに来ようみたいな感じでも全然いいと思うから、
そういうのを知ってもらいたいな、伝えたいなって僕も思うんですけど、
なかなかそこに至るパスがないというか、経路がないなって。
そうなんですよね。
一生分かり合えない人の方がいいという状況を見つけられる人に伝えようとすると、
特定な人というか、新しい人に伝えようとすると、
お前の話なんかっていう否定的な態度を取るならまだしも、
そもそも何か知られないというか、認識されないというか、
これを伝えなきゃいけないってなったときは本当にしんどいというか。
その辺りで意識しているというか、もっと広げようみたいな、
さっき言ったエンジニアじゃない領域の人にも伝えていきたいみたいな話ありましたけど、
その辺りで意識されていることってあったりするんですか?
意識してるというか、具体的に難易度に気をつけるようになりましたね。
セミナーやってて。
最初始めた頃はセキュリティのエンジニアというか、
ずっと開発で技術的な勉強をし続けているので、
エンジニアが満足するような内容にしていこうというふうに思ったんですね、初期の頃は。
なるべくマニアックなネタとか難しそうなネタとか、
あんまり人が気づいてないようなところっていうのを探してたんですけど、
そういうのを続けていっても限界があるなと思ってたときに、
あるときアンケート取ったら、最近ちょっとセミナーの内容が難しすぎて、
もうついていけなくなったので行ってませんみたいなアンケート回答があったんですね。
それを見てガツンと承認書を受けてですね、
48:01
ちょっとずれてしまったなと。
自分はもともとセキュリティなんて知らないよっていう人に対して、
重要性とかを生かしてもらうっていう意味合いも込めて、
無償でハンズオンセミナーを続けているのに、
何回か参加したけどわけわかんないとかついていけないとか、
あまり自分にとって有益じゃないという思いで離れていった人がいるという現実を見てですね、
いかんいかんと。
そんな冒頭の方に言いましたっけ、
エンジニアとしてはデビューが遅いというかですね、正直。
本当にできるエンジニアってそれこそ10代とか20代の頃に当格を表すというかですね、
結果を出して、すごい最先端の技術を持って公演したりとか本題したりとか、
あるいはCTFで優勝したりとかですね、そういった大会で優勝したりとか、
そういうコンテストで一目置かれるみたいな、
そういう状況になっている人が多いんですけども、
そういう人に後から追いつけ追い越せっていうのも無理な話だなというのは最初から思ってて、
公開に入った時に。
自分自身そういう技術力を高めようとしたところで、
後から来た人が追いつくほどの甘やさしいもんじゃないと。
じゃあ自分でできることはって言って、
人前で分かりやすく伝えるとかいうのを目指してきたはずなのに、
そういう分からない人を置いていこうとしてるっていうのに気づいたので、
そこは変な話レベルを上げないようにするというか、
ちゃんとニーズっていうか、
私の話す内容はこういうレベルの内容ですよっていうのを明確に提示しておくと。
そしたらその内容だったら知りたいっていう人が来るし、
あ、そんな簡単な内容だったらいらないわっていう人は来ないで済むと。
せっかく何か言いようと思ってきたら、
なんだそんな簡単なことやるのかって変えられるのもお互いにとって不幸なので、
そのレベルがあるっていうのは明確にしなきゃいけないなっていうのは気をつけてますね。
なるほど。
いやーでもそうですよね。
最初に何でやろうと思ったかみたいなところはすごい大事だと思いますし、
なんかブレてるときって、
それがITにもやっぱ伝わることってあると思うし、
伝わらないなっていうのはそういう部分もありますよね。
なるほど。
ざっくり大体1時間弱ぐらい今、
エンジニア技術同人誌含め話してきたんですけど、
なんかエンジニア同人誌関連で、
これは言っておきたいみたいなことあります?
言っておきたいのは、
フォルダさんも同じ思い持ってると思うんですけど、
いいから書いてみろってこと。
51:02
本当にそれ。
最初に言いたいのは、意外となんとかなるから書いてみろっていう。
分かる。
思ったよりも反応あるから書いてみろっていうのもありますね。
結構本書くは、なんだろう。
労力に対してインパクトがでかいというか、
なんかチンプな表現ですけど世界が広がるというか、
相当広がりますよね。
なかなか単調というか、最初から一冊丸っと書くのはきついって人も、
合同誌書くっていう。
毎回この話してるんですけど。
僕に言っていただければ、
合同誌書く場所を喜んで提供いたしますので。
フォルダさんと知り合って一番良かったのは、
合同誌という考え方というか存在というか仕組み。
これは素晴らしいなと。
書きゃいいって言いましたけど、
実際書くのはしんどいんですよ。
Twitterにつぶやくのもしんどい人もいるし、
ブログだって週に1本書くのも大変だと。
それは難しいとかじゃなくて、
アウトプットっていうこと自体が抵抗があるとか、
ハードルが高いというか、
難癖つけられたりしたらどうしようとかですね。
そういうのもあるんですけど、
合同誌は変な意味、いい意味で埋もれるということですね。
お作戦紛れて寄稿してしまえば、
活字にはなって本になって嬉しいし、
うっかり読んでもらえるチャンスも増えるし、
責任が分散してますよね。
合同誌と言いながら、
50ページとか書いたらその人の責任相当大きいですけど、
それこそ半ページのコラムでもいいから書いてみると、
また全然こんなんでいいんだっていう。
フロントさんに紹介してもらった合同誌については、
そんなレベルでもいいから書けっていうふうに、
間口を広げていただいているので、
助かるなっていうのがありますね。
ありがとうございます。
でも本当にそうで、
何て言うんですかね、やりようはいくらでもある、
みたいな本当にあると思っていて、
本当この20代、30代、40代、50代って、
本当年齢関係なくいろんな人が初めて書くんですよって言って、
一緒に合同誌書いている人が多いので、
本当今回この話聞いて興味を持った人がいたら、
本当一緒にやりたい、やろうって思いますね。
じゃあエンジニア的なところはこんな感じにして、
大体このポッドキャストは趣味なんですかって話をしてるんですけど、
あんまりニルフィーさんと趣味の話をしたことがないような、
54:04
あるようなって感じなんで、
大体酒飲むことが多いって感じなんですけど、
趣味ってニルフィーさん何なんですか。
趣味は、もともとはコンピューター、ITが趣味で、
その趣味の延長で仕事してるので、
趣味という言葉なんですけども、
それじゃ身も蓋もないので、
それのもう一方が、一番最初に言いましたけどYMOっていうか音楽ですね。
音楽は歌うのも好きだし、演奏するのも好きだし、
もちろん聴きまくったしっていうのがあって、
音楽のない生活は考えられないっていう状況で言えば、
趣味と言えば趣味ですね。
まだ単独作曲になったことがないんですけど、
作曲もチャレンジしてて、
もともとMac買ったのも作曲しようと思って買ったんですけど、
AメロとBメロしかできてないっていうレベルです。
でも良い時代になったので、
曲作ったらインターネットで公開ができると、
歌われてもらえたら嬉しいなっていう目標というかモチベーションがあったりするので、
いい加減やらないかなとは思ってるんですけど。
なるほどな。YMOっていわゆるあれはテクノっていうジャンルになるんですか?
そうですね。ジャンル分けするとしたらテクノといわれていますね。
局長的にテクノじゃない普通のポップスとかもいっぱい作ったり提供してはいるんですけど、
そのテクノって言い方も人によってはYMOはテクノじゃないって言い出す人もいるかもしれない。
なかなか難しいと思うんですけども。
なるほど。実際今聴いてるのもテクノ系が多い感じなんですか?
いや、それは最近は全く聴いてなくてですね。
なるほど。
バンドを今やってまして、J-POPのバンドでリーダーとかボーカルがC替えたり曲替えたりして、
オリジナル曲も何曲かあるんですよ。
年に2回ライブやって、それをお詫びするっていうような活動をもう5、6年とかになるのかな、これも気がつくと。
そこでずっとドラムを叩いてて、下手くそなんですけども楽しんで楽器演奏をしてると。
いや、いいっすね。
楽器はいいですよ、とりあえず。
ドラムやろうって思ったら、なんかこの人に憧れたとかこの曲が良かったみたいなのあるんですか?
いや、ドラムはですね、ドラマは実は全然特定ですね。特定の人に憧れてとか尊敬してっていうのはほとんどなくて。
強いて言えば、カシオペアっていうバンド、今でもありますけど、メンバーが結構変わってるんですけども、
そこのジンボアキラっていう神レベルのドラマーがいて、このジンボアキラみたいに叩けたらいいなという思いはあるけども、
57:05
それは無理だろうというのも分かってるので、真似事ができればいいかなっていうのはありつつも、
ただ、バンドでJ-POPを叩いてて思ったのは、とにかく簡単なパターンでも人前で演奏していくのは本当楽しいなっていうのは分かったので、
難しいことをできるようになるっていうよりは楽しく演奏するっていうことをずっと継続したいなと。
いやー、でも楽しむの大事ですよね。
でも、バンド活動はこのご時世的にライブハウスみたいなところは難しいっていうか無理だと思うんですけど、
なんかちょっとスタジオに集まって練習みたいなことはできる感じなんですか?
そのスタジオ練習も結局全部キャンセルしましたね。
4月に集まろうっていう、あと3月の末とか下旬とかに練習っていうスケジュールは立ててたんですけど、
この状況で集まってなんかあったら大変だっていうことで。
やっぱそうっすよね。
最初は元々のメンバーが家族会議の結果、そういう狭くて密閉されている空間に何人も集まるっていうのは良くないからということで、
参加しませんと辞退したんですね。
バンドから外れたわけじゃなくて、その練習にはしばらく参加しませんと。
その人を外して集まろうかと思ったんだけども、確かにそうだよなと。
こういう状況で練習してうっかり誰かが感染したら大変だということもあって、今は集まってスタジオに入るのは自粛しています。
やっぱそうなっちゃいますよね。
一人で練習に行ったりとかはされるんですか?
一人で行くことは以前からあったんですけど、今のところまだ行ってないですね。
ただそのスタジオに行かないと全体練習はしない、個人練習もしないとなるとヨヨヨ叩けなくなるんで、
一人でスタジオに入る分には誰とも密閉しないので大丈夫だと思うんですけどね。
やっぱり影響がでかいというか、なかなか難しい感じですよね。
僕も全く音楽はやってきてなくて、学生の頃音楽の授業でやったぐらいなんですけど、
僕は高校って工業高校だったんですけど、電気系の工業高校で音楽の授業があったときに、
なんでかギターをやる授業で、そのときはアコースティックギターだったんですけど、
1:00:07
このアコースティックギターがすごい面白かったので、いつか趣味としてやりたいなって思って、
もう10年以上って感じなんですけど、いつかアコースティックギターはちょっとやってみたいなって思ってますね。
これはもうやるべきですね。
部屋で練習しやすいと思うんですね。ドラムに比べて。
そうですよね。
楽器に当たっての一番の問題は、自宅で練習できるのか問題っていうのがあってですね。
そりゃあですよね。ドラムとか金管とかはきついですよね。
相当きついので、田舎だったらその辺の原っぱとか河川地域とかでいいんですけど、
その点、例えばエレキギターとかだと、アンプに繋がらなかったらそんな大したことないので、
指の練習とかにもなるみたいな。
ドラムもですね、練習ドラム、今手放したんですけど、前住んでたところではドラムを導入してて、
できないこともないんですけど、ただ床にいろいろシート貼ったりとか、それなりの防音対策をしないと迷惑なことには変わりがないので、
ちょっと大変だなっていうのはありますね。
そう、それなんすよね。
30万とかぐらいの個人防音ルームみたいな、組み立てしてみようみたいなあったりしますけど、
そこまではやっぱりなっちゃうんで、なかなかそこは難しいですよね。
あと音楽、音楽はそれぐらいかな。
なんか他に趣味関連でこれは言っておきたいみたいな話題とかあったりします?
いや、他にはないかな。
じゃあこんな感じですかね。
はい。
他なんか全般的にこれも話しておきたいみたいなことあれば。
いや。
まだ大丈夫ですけど。
大丈夫ですか?
大丈夫です。
いいっす。
じゃあ、まずポッドキャストの締めをやってから、
その後ちょっと告知をもらえたらいいかなって感じなんで、そんな感じでちょっと締めていきますね。
はい。
このポッドキャストはazure.fmではゲストを募集しております。
話したい楽しいことがあれば誰でもOKです。
今までポッドキャストに出たいけどハートルが高いなとか、そんなすごい話題なんてないよって人でも大丈夫です。
普段楽しんでいること、趣味、仕事の話、何でも大関係なのでお気軽にご連絡ください。
なお、現在ゲストの収録給が溜まっております。
今ご連絡をいただくと半年以上は先になってしまう可能性が高いのでご了承ください。
連絡方法はTwitterのDMなど何でも大丈夫です。
また、Aozora FMではご感想やご意見をお待ちしております。
1:03:02
Twitterでハッシュタグ、シャープAozoraFM、シャープAozoraFMをつけてツイートしてください。
配信ページのお便りボタンからもお便りを送れますのでよろしくお願いします。
あと、Discordでポッドキャスト好きが集まるコミュニティスパキャスというのを主催しておりますので、興味があれば配信ページのリンクからご参加ください。
ということで、ニルフィーさんから何か告知があればお願いします。
はい、告知なんですけど正直特にないですね。
そうですね、なかなかイベントとかもやりづらいと思うので、機関のブースのURLとか本の内容とかあればぜひ。
はい、そのURLは?
後で配信ページに貼っておきます。
なるほど。
なんでブースかなとかに出てるんで、こんな感じの本出てるんでみたいのがあれば。
ちょっとブースもですね、内容を変えようと思ってる矢先なので、あまり紹介しなくてもいいのもあったりしつつ。
なるほど、そうするとあとブログですかね、じゃあ。
ブログも全然更新してないんで、ちょっと停滞してるんですよね、個人的にいろんな活動が。
なるほど、じゃあ活動再開した時にTwitterか何かでまたいろいろ出てくると思うんで、Twitterフォローしといてくれって感じですかね。
はい。
ブースの方はリンク貼らない方がいいですか?
いや、貼ってもいいですけど、古い本しかないし。
別に今出てるのは全然、それはそれでアリだと思うんで。
はい。
じゃあ、OWASP ZAP本がブースにて期間が出てますんで、ぜひそちらをって感じですかね。
そうですね。
はい、じゃあそんな感じで興味ある人はぜひ配信ページのリンクから見てみてください。
で、一番最後に毎回Podcastの収録どうでしたって話をしてるんですけど。
はい。
収録は初めてでしたっけ?
もう生涯初めてですね、これが。
なるほど、どうでした?
やっぱり楽しいですね、想像通り。
あー、あざっす。
とにかく、変な言い方ですけど、自分の話を理解してくれる人と話すっていうのは楽しいので。
しかもこれが残るのでまた聞けると。
で、話す仕事をメインにしたいと思ってるので、聞き返してですね。
これは良くないとかこれは良くないっていうので、また2度楽しめるというか個人的には。
非常に楽しいという意義でした。
うーん、いやー、あざっす。
なんかこのPodcastも、ちょっと次いつになるかわかんないですけど、全然2回目3回目出れるんで。
1:06:05
はい。
なんか新刊書いたから宣伝させろとか、なんかこういうのやってきてこう思ったみたいな話とか全然大歓迎なんで。
また良かったら是非遊びに来てください。
はい。
はい、じゃあ第63回目ですね。第63回目はゲストにNilfyさんをお迎えしてお送りしました。
Nilfyさんどうもありがとうございました。
ありがとうございました。
