70年代には、通常の笛が電話ネットワークへのハッキングに使用されました。90年代には、エイドリアンラモは、ブラウザの機能のみを使用して、インターネット経由で銀行をハッキングしました。サイバーセキュリティの世界は静止しておらず、常に複雑になり、ITで最も興味深く刺激的な分野の1つであり続けています。特に研究所ですでに興味を持っている人にとっては、2年連続の「Rostelecom」と「Rostelecom-Solar」は、個々の大会「サイバーチャレンジ」で彼らの強さをテストする機会を与えてくれます。それで、カットの下で-これらの大会がどのように開催されるかについて、何が最も困難であることが判明したか、そして彼らが情報セキュリティに関する詳細なコースのためにNTU「シリウス」にどのように行ったかについての昨年の勝者のタスクとストーリーの例。
何をハッキングする必要がありますか？
何もありませんが、それでも面白いでしょう。Cybercallは2段階でオンラインで実行されます。主な楽しみは最初にあります。参加者は、暗号化、バイナリ脆弱性の検索と悪用、インシデントの調査、プログラミング、およびWebセキュリティの問題を2日以内に解決する必要があります。ドライブの場合、サイトにはリアルタイムで結果が表示されるスコアボードがあります。
タスクは6つのカテゴリに分類されます。
- Crypto-暗号情報の保護。
- PWN-実際の脆弱性の検索と悪用。
- PPC-セキュリティサブシステムのプログラミング（プロのプログラミングとコーディング）;
- リバース-ソフトウェアの開発と研究をリバースします。
- WEB-Webの脆弱性の検出。
- フォレンジック-IT分野でのインシデントの調査。
このカテゴリは2〜6個のタスクで構成されており、各タスクで「フラグ」（文字のコードセット）を送信してポイントを取得する必要があります。すべての競合フラグの形式は同じです：CC {[\ x20- \ x7A] +}。例：CC {w0w_y0u_f0und_7h3_fl46}。フラグは、分析されたサービスの脆弱性を見つけるか、提供されたファイルを調べることによって抽出する必要がある秘密情報として使用されます。送信されたフラグは自動的にチェックされ、実行結果はスコアボードでリアルタイムに確認できます。
最初のステージの後、最も多くのポイントを獲得した70人がRostelecom-SolarスペシャリストとのSkypeインタビューに行き、そこで知識をテストし、NTUSiriusのバンキングサイバーセキュリティに関する教育プログラムへの招待状を配布します。
Kali LinuxとWireSharkをダウンロードしますか？
だけではありません。たとえば、Webカテゴリでは、参加者はWebの脆弱性を悪用してユーザー特権を増やす必要があるサービスを提供されました。Cryptoカテゴリの別のタスクでは、秘密鍵が不明なメッセージを復号化する必要がありました。
各課題で、私たちは推奨事項を提供し、明らかに悪い決定から参加者を救おうとしました。たとえば、事前に役に立たないポートスキャナーは使用しないでください。同時に、便利なユーティリティのリストを用意しました。
- Cryptoカテゴリ：Cryptool、Sage、xortool、John the Ripper;
- PWNカテゴリ：OpenStego、Steghide、GIMP、Audacityの実際の脆弱性の検索と悪用。
- PPC: Python, Sublime Text, Notepad++, Vim, Emacs;
- Reverse: GDB, IDA Pro, OllyDbg, Hopper, dex2jar, uncompyle6;
- Web: WireShark, tcpdump, netcat, nmap, Burp Suite;
- Forensic: binwalk, ExifTool, Volatility.
過去1年間のすべてのタスクは、リンクで表示できます。これらは、情報セキュリティの専門家が直面する実際の脅威と脆弱性に基づいて作成されました。両方の段階を無事に完了した人のために、私たちはロシア銀行と協力して、銀行部門のサイバーセキュリティに関する2週間のコースを準備しました。
そして、何が面白いでしょうか？
昨年の勝者にpingを送信すると、彼らはTRUEを返し、同時に前回のサイバーコールで起こったことのログを破棄しました。
Vasily Brit：「夏、大学1年生を卒業後、友達とDota2をプレイした後、「サイバーチャレンジ」についてのチャットへのリンクが張られました。これまでCTFに参加したことがなく、賞品を獲得できるとは思っていませんでした。 「ソチだけに行けない」ことを自分や他の人に証明してください。
Crypto、Web、Forensic、PPCのカテゴリの問題を解決しました。最も難しいカテゴリーはリバースでした。課題は専門家によって作成されたものであり、彼らのための十分な時間がなかったため、ほとんど誰もそれを解決しませんでした。 honggfuzzおよびwfuzzフェイザーとF12キーは、Webの解決に役立ちました。暗号タスクは、xortoolとcyberchiefを使用して解決されました。実際、ユーティリティはタスクで指定されており、適切なツールを探すのに時間を無駄にすることはできませんでした。最もクールなタスクはフォレンジックであることが判明しました-RAMのダンプが与えられ、ブラウザ、デスクトップで何が開いているかを調べ、すべてのデータを取得する必要がありました。
ソチへの旅行は、タスクを解決することでそれらの必死の24時間の価値がありました-シリウスの教師は、Webからそれらを見つけるためのツールを備えたバイナリの脆弱性まで、情報セキュリティについて話しました。彼らは実践と例を用いて、すべてについて非常に簡潔に話しました。今年は絶対に参加します。」
Dmitry Zotov：「CTFをプレイするのはこれが初めてではなく、Cyber Challengeのタスクは私にとって非常に興味深いように見えましたが、非常に困難でした。解決しなかったものの、Webおよびリバースカテゴリのタスクが好きでした。動的スコアリングのおかげで、競技中にそれを見ることができました。誰がどのタスクを解決したか。解決した人が多ければ多いほど、ポイントは減りますが、追跡して難しいタスクを選択することができます。そのため、Webカテゴリのタスクの1つで発生しました。私以外に、解決したのは2、3人だけでした。 Webを解決するために、最も便利なツールはChromeの開発者コンソールと最も単純なコンソールユーティリティ（curl、wget、python）ですが、最もクールなタスクはリバースカテゴリからのものであることが判明しました-Windowsサービスが提供され、一見何も明確ではありませんでした。大会終了後も彼を離れることができず、解決を終えました。
Siriusでは、この分野のさまざまな標準から、Windowsでのマルウェアの動作方法や、それを検出するために何を調べるべきかなど、サイバーセキュリティに関する多くの有用な情報が提供されました。かっこいい人と出会って、とても休んだ。今年は絶対に挑戦して、みんなにお勧めしたい」と語った。
Roman Nikitin：「私は定期的にCTFコンテストに参加していますが、Cyber Challengeには、これまで遭遇したことのない便利で新しいタスクがたくさんありました。私の意見では、最も興味深いタスクは、リバース、フォレンジック、Webのカテゴリでした。Webでは脆弱性XXEを見つける必要があり、これは動的なブロック解除のための最も「高価な」タスクの1つでした。最も困難なカテゴリはリバースでした。タスクのレベルは他のカテゴリよりもはるかに高かった-それは予想外であり、十分な時間がありませんでした。しかし、大会全体で最もクールだったのは、もちろん、シリウスへの旅行という形での賞でした。今年も間違いなく戦います。」