пятница, 26 мая 2017 г.

ИБ. Обучение. ИБ соревнования KubanCTF и анализ уязвимостей

Достаточно долгое время, пока CTF-ы проходили в других регионах РФ, в Краснодаре не было ни играющих команд, ни соревнований.  Ещё в апреле  ребята из КубГТУ сами первый раз поучаствовали в CTF, а уже в мае решили сами провести всероссийские соревнования KubanCTF.  

Каким-то чудесным образом ребятам за такой короткий срок удалось организовать и успешно провести CTF? Возможно сказалась поддержка мероприятия со стороны депутата Краснодарской думы Андрея Раззоренова, администрации КК, территориальных органов безопасности, местных лицензиатов ФСТЭК и ФСБ, организаторов CTF из других регионов... либо были какие то ещё факторы. Наша компания также поддерживала KubanCTF. Тут выложен отчет о мероприятии

Было интересно пообщаться с коллегами и студентами на пленарке в первый день соревнований. Помимо живого обсуждения актуальных вопросов давали 15 минут на небольшой доклад. Я решил немного порассуждать о востребованности навыка по анализу уязвимостей (который прокачивается в классическом CTF): ещё лет 10 назад, какому-нибудь региональному победителю CTF, некуда было применить свои навыки – в организациях это не было востребовано.  Но ситуация меняется (не без участия российских пентест-компаний и багоискателей), появляется спрос на анализ уязвимостей, продукты с этим связанные и даже находит отражение в свежих НПА. 

Выкладываю свою презентацию с пленарки. Возможно, кому-то будет полезной, тем более что в КубГТУ показ презентаций – это слабое место: маленький экран, не виден докладчику, да ещё дядя Ваня вместо кликера, которому нужно махать через зал.



Также задал несколько вопросов команде организаторов из КубГТУ, которые возможно будут интересны CTF комьюнити:
 0.        Когда и почему появилась команда CTF в политехе?
Команда в КубГТУ зарождалась долго, а окончательное ее формирование закончилось в начале года, сидя в маке мы придумывали название и нам хотелось представить команду с неповторимым названием, были разные идеи, но окончательный выбор пал на BlackTrack.
1.               В каких CTF раньше доводилось участвовать?
Не так давно наша команда впервые приняла участие в очном CTF соревновании, которое прошло в Волгограде, там же мы заняли призовое место, что положительно отразилось на настрое BlackTrack.
2.               Почему решили провести свой CTF?
Среди участников данного направления соревнований ходит шутка, что у каждой команды должен быть свой CTF, вот и мы решили, что пора этой шутке стать реальностью. К тому же на Кубани еще не было подобных мероприятий и нами было решено это исправить, положив начало этому движению.
3.               Сколько времени заняла подготовка этого CTF?
Подготовка в KubanCTF-2017 заняла много времени, так как мы не то чтобы не организовывали подобных мероприятий, но даже не участвовали в них. Также нам пришлось полностью разрабатывать собственный игровой движок, что отнимало не мало времени, благо нам помогала группа профессиональных разработчиков-программистов вместе с опытными дизайнерами. Много времени отнимала организационная деятельность, однако мы имели козырь в рукаве, нам помогал опытный человек уже не раз проводивший подобные мероприятия. Но самое главное в CTF это конечно же сами таски, ради которых к нам приехало много команд из разных регионов нашей страны, что является лучшим показателем уровня соревнования.
4.               Какое задание получилось самым сложным (решило меньше всего команд)?
Удивительно, но меньше всего решили задание с QR кодами, которые были разбросаны по всей площадке проведения CTF. Это задание было занесено в категорию Misc, мы рассчитывали, что игроки, которые устанут сидеть за своими компьютерами разомнутся и немного походят, поищут QR коды, в которых были спрятаны части флага, однако главной сложностью было то, что многие команды неправильно воспринимали полученную информацию и искали в ней подвох. На мой взгляд лучшим показателем тасков (задач) является не ее невыполнимость, а результат голосования о том райтапы на какие задачи игроки хотят видеть в первую очередь. 

5. Планируете ли в будущем ещё проводить CTF, с какой периодичностью?
Конечно, в будущем мы хотим продолжать проводить CTF, однако раскрывать тайну, когда будет проводится следующее соревнование мы не спешим, так как KubanCTF-2017 для нашей команды еще не окончено, перед нами стоит важная задача разобрать все трудности и недочеты, с которыми мы столкнулись, сделать соответствующие выводы необходимые для улучшения и того высокого уровня проведения мероприятия чтобы в следующий раз сделать его еще лучше. Мы уже наметили новые вектора развития этого движения на Кубани по которым уже сегодня проводим работы. Можем сказать лишь одно, что в следующий раз Вы удивитесь еще сильнее)



Комментариев нет: