हालिया हैक खोज के बारे में प्रतिभागियों की कहानियाँ

"एथिकल हैकर", हैक खोज का एक सदस्य है

यहां सूचना सुरक्षा पर सम्मेलन से रिपोर्ट है , जिसमें मिटनिक आया था। समानांतर में, एक ऑफ़लाइन गेम था - कॉर्पोरेट नेटवर्क सिम्युलेटर में सीटीएफ , सिमेंटेक साइबर रेडीनेस चैलेंज। ऑनलाइन मंच गर्मियों में हुआ, और यह अंतिम था, इसका विजेता हमारे देश के सम्मान की रक्षा करने के लिए नाइस में अंतर्राष्ट्रीय टूर्नामेंट में जाता है।

हमारे प्रतिभागियों द्वारा झंडारोहण की गति ने इंग्लैंड के सिमेंटेक तकनीकी विशेषज्ञों को आश्चर्यचकित और प्रसन्न किया।

नीचे प्रतिभागियों की कहानियाँ हैं।
हमने मेल द्वारा संचार किया, इसलिए जानकारी को थोड़ा पुन: व्यवस्थित किया गया, थोड़ा सही किया गया और एक साथ संवाद से एकत्र किया गया।

फ़ैंटम ने आत्मविश्वास से साबित किया कि एक घरेलू सूचना सुरक्षा विशेषज्ञ या "एथिकल हैकर" हमेशा तैयार रहता है। तथ्य यह है कि वह तीसरे स्थान पर रहने वाले प्रतिभागी की तरह, ऑनलाइन टूर्नामेंट में नहीं खेले। और वहाँ कार्य कुछ स्थानों पर ऑफ़लाइन के समान थे। यही है, बिना तैयारी के प्रेत टूर्नामेंट के नए प्रारूप में प्रवेश किया और तुरंत पुरस्कार ले लिया।

प्रेत (द्वितीय स्थान)

दूर तक उन्नत?
- ईमानदारी से, मुझे याद नहीं है। ऐसा लगता है कि 20 से अधिक झंडे लेकर तीसरे स्तर पर रुक गए हैं।

खेल के बुनियादी ढांचे के साथ कुछ हिचकोले थे, अन्य खिलाड़ियों के कार्यों के कारण कुछ झंडे को पकड़ना संभव नहीं था। सामान्य तौर पर, सब कुछ सरल था, यदि, निश्चित रूप से, आप जानते हैं कि उनके माध्यम से कैसे प्राप्त करें। कोई मुश्किल काम नहीं था, लेकिन ऐसे लोग थे जिन्हें हल करने से पहले अनुमान लगाने की आवश्यकता थी।

उन झंडों के लिए जो मैं पहुंच गया, मेरे कौशल पर्याप्त थे, लेकिन, अगर मुझसे गलती नहीं है, तो ऐसे कार्य थे जो आवश्यक थे, उदाहरण के लिए, "कल्पना" से एन्क्रिप्शन एल्गोरिदम का ज्ञान।

सामान्य तौर पर, प्रवेश परीक्षक के लिए आवश्यक सभी ज्ञान की आवश्यकता होती है। यानी प्रोटोकॉल, नेटवर्क, OS, क्रिप्टोग्राफी, सरलता।

अन्य टूर्नामेंट से क्या अंतर है?
- कार्यों का प्रारूप - अन्य टूर्नामेंटों में या तो "कहानी लाइन" का अधिक स्पष्ट रूप से निर्मित तकनीकी पक्ष है, या यह बिल्कुल भी मौजूद नहीं है। इस मामले में, बीच में कुछ था।
मुझे खेल की गतिशीलता पसंद थी।

पास के अन्य खिलाड़ियों के बारे में क्या है - उनकी उपस्थिति को विचलित करना?
- बल्कि प्रेरित करता है। हर कोई इतना एकाग्र है कि आप दूसरों को बिल्कुल भी नोटिस नहीं करते हैं।

संगठन के बारे में क्या?
- सब कुछ शीर्ष पर था। छोटी चूक में से (यह हब पर नहीं लिखा जा सकता है) - छोटे और असुविधाजनक टेबल।

आप कहां काम करते हैं?
- मैं सूचना सुरक्षा में काम करता हूं, अन्य कंपनियों के सिस्टम की सुरक्षा का परीक्षण करता हूं।

दूसरे, तीसरे, चौथे और पांचवें स्थान के बीच का अंतर महत्वहीन था - शाब्दिक रूप से एक साधारण ध्वज, एक संकेत या खेल के कुछ मिनटों में। पिछले आधे घंटे से, हमने स्टैंडिंग को स्क्रीन पर नहीं दिखाया है - इस समय शीर्ष पर स्थानों के लिए एक बहुत भयंकर संघर्ष चल रहा था।

बेक्ड (तृतीय स्थान)

आप कब से हैं?
- स्तर 3 तक पहुंच गया। उन्होंने 23 झंडे लिए। यह सब इस तथ्य के कारण है कि मुझे पर्याप्त नींद नहीं मिली, और मेरे सिर पर चोट लगी)

"बुद्धि" के क्षेत्र से कई सरल कार्य थे। सबसे बड़ी कठिनाइयाँ बहुत तार्किक कार्यों के कारण नहीं हुईं, जहाँ कुछ का अनुमान लगाना आवश्यक था। उन्होंने एक ध्वज द्वारा संकेत लिया - वह जहां उन्हें RC4 के साथ एन्क्रिप्टेड फ़ाइल के लिए पासवर्ड ढूंढना था।

पैठ परीक्षण पर काम करने का अनुभव, साथ ही, ज़ाहिर है, सीटीएफ प्रतियोगिताओं में भाग लेना, जो आपको सिखाता है कि बहुत तंग समय में कई समस्याओं को कैसे हल किया जाए।

क्या बदलेगा?
- खेल का प्रारूप पारंपरिक CTF प्रतियोगिताओं से कुछ अलग है, लेकिन यह बुरा नहीं है। कार्य सरल हैं, लेकिन उनमें से कई हैं, इसलिए यह टूर्नामेंट स्कोरबोर्ड पर एक ड्राइव और एक मकसद बनाता है, एक तंग लड़ाई है, जो मुझे पसंद है। संपादित करें ... ठीक है, आदर्श रूप से, निश्चित रूप से, अनुमान लगाने वाले प्रश्नों को पूरी तरह से बाहर करें। और अधिक पुरस्कार =) होगा।

संगठन भी अपने सर्वश्रेष्ठ में था, जो अच्छी खबर है।

क्या अन्य खिलाड़ियों को देखना दिलचस्प था?
- हाँ, हम लंबे समय से कई के साथ जानते हैं और संवाद करते हैं।

आप कहां काम करते हैं?
- मैं Informzashita कंपनी के सुरक्षा विश्लेषण विभाग में काम करता हूं। मैं हायर स्कूल ऑफ इकोनॉमिक्स के गणित संकाय में अध्ययन करता हूं।

AV1ct0r (IV स्थान)

खेल कैसा है?
- मैंने 2 स्तर पूरी तरह से ले लिए, 3 आंशिक रूप से।
सिद्धांत रूप में, सब कुछ सरल है, बस पर्याप्त समय नहीं है;) मुझे लिनक्स कंसोल पर थोड़ी मदद मिलनी थी।

आपको सबसे ज्यादा क्या पसंद आया?
- डीएनएस और एफ़टीपी

एक ही साइट पर प्रतिद्वंद्वियों की उपस्थिति को विचलित या प्रेरित करना?
- प्रेरित करता है

संगठन के बारे में क्या?
"बहुत अच्छा।" वातावरण काम और आराम कर रहा है, लेकिन यह समझने के लिए पर्याप्त समय नहीं है कि लोग काले रंग में क्या करते हैं। )

अब एक पेशेवर गतिविधि क्या है?
- NRNU MEPhI में स्नातक छात्र और सहायक, भविष्य में मैं आईएस में सबसे अधिक काम करूंगा।

शीर्ष दस खिलाड़ी (सभी नहीं)

हीहाबरोव (वी स्थान)

आपको कितने झंडे मिले?
- मैंने कितने ध्वज एकत्रित किए, मुझे याद नहीं है। स्तरों के लिए, मैं 3 में लाने में कामयाब रहा। उस पर लगभग 30% कार्यों को हल करना संभव था, और परिणामस्वरूप मैं अंतिम तालिका की 5 वीं स्थिति में समाप्त हो गया।

मेरे लैपटॉप ने मुझे निराश कर दिया: नेटवर्क कार्ड के साथ समस्याएं थीं, मुझे समय-समय पर नेटवर्क को फिर से जोड़ना पड़ा। इसके अलावा, मेरे द्वारा तैयार की गई आभासी मशीनों में से एक भी शुरू नहीं हुई।

कुछ कार्य बहुत सरल हैं (वैसे, यह ऑनलाइन गेम पर भी लागू होता है)। उदाहरण के लिए, एमएक्स रिकॉर्ड का प्राथमिकता मूल्य या ग्रीटिंग संदेश में प्रदर्शित नेटवर्क सेवा के संस्करण की परिभाषा। एफ़टीपी सर्वर के साथ कार्य के कारण सबसे बड़ी कठिनाइयाँ हुईं, जिस पर SITE EXEC कमांड को निष्पादित करना आवश्यक था, साथ ही एक चालाक ग्राफिक सिफर के साथ क्रिप्टोग्राफ़ी कार्य। इन कार्यों के लिए मुझे सभी उपलब्ध सुझाव लेने थे।

पर्याप्त ज्ञान प्रतीत हो रहा था, लेकिन कुछ उपयोगिताओं के अनूठे उपयोग के कारण, मुझे उनके उपयोग के "Google" उदाहरणों की आवश्यकता थी। और अगर ऑनलाइन गेम में जानकारी खोजने के लिए पर्याप्त समय से अधिक था, तो एक ऑफ़लाइन गेम में केवल साढ़े चार घंटे तक चलता था, हर मिनट महंगा था। एक बार फिर मुझे यकीन हो गया कि ऑटोमेटिज्म के लिए कुछ उपयोगिताओं के कौशल को लाना आवश्यक है।

ऑनलाइन की तुलना में कार्य कितना कठिन है?
- मैंने दो बार ऑनलाइन खेला। एक बार एक रूसी टूर्नामेंट में, और दूसरा सिमेंटिक द्वारा आयोजित टूर्नामेंट में ब्लैक हैट 2013 सम्मेलन के हिस्से के रूप में। कार्यों का स्तर बिल्कुल समान है, सिवाय इसके कि ब्लैकहैट टूर्नामेंट में कार्य अधिक दिलचस्प थे (गूंगा MySQL पासवर्ड ब्रूसरफोर्स नहीं, लेकिन CVE-2012 प्रमाणीकरण बाईपास बग्स का शोषण)। -2122, या रिवर्स इंजीनियरिंग और फॉरेंसिक के लिए असाइनमेंट)।

आपको खेल में क्या पसंद आया और आप क्या बदलेंगे?
- मुझे सब कुछ पसंद है)। क्या बदलेगा? जब गेम वीपीएन चालू होता है तो संभवतः इंटरनेट उपलब्ध कराएगा।

अन्य टूर्नामेंट से क्या अंतर है?
- मैं इस सवाल का जवाब नहीं दे सकता, क्योंकि इससे पहले मुझे केवल ऑनलाइन हैक quests में भाग लेने का अनुभव था।

आपको सबसे ज्यादा क्या पसंद आया?
- मुझे पहले पाँच ऑनलाइन टूर्नामेंटों के लिए ऑफ़लाइन गेम के लिए संगठित यात्रा पसंद थी। इस अवसर के लिए धन्यवाद)।

एक ही साइट पर प्रतिद्वंद्वियों की उपस्थिति को विचलित या प्रेरित करना?
- प्रतिद्वंद्वियों की उपस्थिति ही मुझे प्रेरित करती है। अपने प्रतिद्वंद्वियों को देखना हमेशा दिलचस्प होता है। भूखंड में नाटकीय प्रदर्शन से थोड़ा विचलित, जो खेल के दौरान साइट पर खेला जाता था।

मैं किसी के साथ बात करने में कामयाब रहा, लेकिन किसी के साथ नहीं। VOs के साथ, खेल के विजेता, मैं CTF टीम के संगठन के बारे में अधिक बात करना चाहूंगा। मैंने पहले ही विश्वविद्यालय में एक टीम को इकट्ठा करने की कोशिश की है जहां मैंने अध्ययन किया, लेकिन कोई फायदा नहीं हुआ। मैं "अनुभवी" सीटीएफ-एर से सीखना चाहता हूं कि उनकी टीम कैसे एकत्र हुई, वे कैसे प्रशिक्षित होते हैं, आदि।

संगठन के बारे में क्या?
- संगठन शीर्ष पर था। Minuses के - यह हॉल में बहुत ठंडा था जहां कार्यक्रम आयोजित किया गया था।

भविष्य के लिए आपके क्या विचार हैं?
- मैं 7 साल पहले भी आईएस से जुड़ा था, जब मैंने विशेष "स्वचालित प्रणालियों की व्यापक सूचना सुरक्षा" में एक विश्वविद्यालय में प्रवेश किया था। और फिलहाल मैं क्रास्नोयार्स्क पनबिजली स्टेशन पर सूचना सुरक्षा विभाग के प्रमुख के रूप में काम करता हूं। उसी समय मैं अपने ही विश्वविद्यालय के स्नातक विद्यालय में वैज्ञानिक कार्य में लगा हूं।

@ v0s (विजेता)

टूर्नामेंट के बारे में
- इस बार 40 में से 37 झंडे लेना संभव था, और पास - 36: एक कार्य आखिरी मिनट में तय किया गया था, और डिलीवरी के लिए फॉर्म में उत्तर की प्रतिलिपि बनाने के लिए पर्याप्त दस सेकंड नहीं थे।

ऑफ़लाइन चरण पिछले एक के समान था, जो ऑनलाइन आयोजित किया गया था, इसलिए खेल के दौरान कोई आश्चर्य नहीं हुआ। और इस बार संगठन आम तौर पर सभी प्रशंसा से ऊपर था, और साइट पर सिमेंटेक से बैलिस्टिक समर्थन बहुत मददगार था, इसलिए कोई समस्या नहीं थी। हालाँकि नहीं, वहाँ एक था: अंत से एक घंटे पहले, मैं बेतहाशा सोना चाहता था।

सबसे सरल बात यह है कि एक अजीब तरह से आयोजित यात्रा के लिए एक ऑफ़लाइन दौरे पर आना चाहिए। Respektische। सबसे मुश्किल बात यह है कि हंसना नहीं है, यह देखना कि बिना किसी अपवाद के सभी प्रतिभागियों ने खुद को लैपटॉप में दफन कर लिया, मंच पर विकसित होने वाली प्रतियोगिता की किंवदंती की साजिश को अनदेखा कर दिया। ओह, और कैसे एलेक्स लॉकवुड और जाइल्स नॉक्स रूसी बोलते हैं :-)

ऐसा लगता है कि एक जिम्मेदार व्यक्ति रिकॉर्ड डोमेन का अनुरोध कैसे किया जाए।

ऑनलाइन दौरे के समान ही कार्य 100% हैं।

क्या बदलेगा?
- एक ऑफ़लाइन दौरे के लिए - मैं हॉल में माहौल को कम उदास बनाऊंगा। संगीत पंप के बजाय जीवंत है। वैसे, मुझे सिमेंटेक के लोगों से कार्यों के लिए परिचालन समर्थन पसंद आया।

अन्य टूर्नामेंट से क्या अंतर है?
- मैंने पहले से ही ऑनलाइन चरण में जो कहा है, इसके अलावा, हमला-रक्षा प्रतियोगिताओं को आमतौर पर ऑफ़लाइन चरणों में आयोजित किया जाता है: प्रतिभागी एक-दूसरे पर हमला करते हैं, और गति कार्यों को हल नहीं करते हैं जैसे कि उन्होंने यहां किया था।

आपको सबसे ज्यादा क्या पसंद आया?
- मैंने प्रतियोगिता शुरू होने से पहले क्वेक III में कुछ विरोधियों को लात मारी।

एक ही साइट पर प्रतिद्वंद्वियों की उपस्थिति को विचलित या प्रेरित करना?
- विचलित करना :-) विशेष रूप से एक व्यक्तिगत प्रतियोगिता में: प्रत्येक अपने लिए, पास में कोई टीम समर्थन नहीं है। लेकिन सभी एक ही स्थिति में, और किसी से बात करनी है।

संगठन के बारे में क्या?
- जाम के बिना सब कुछ शांत है। 5 मिनट के लिए लापता, इंटरनेट की गिनती नहीं है। यहां तक ​​कि एक खाली गिलास भी था, अगर मैं पीना नहीं चाहता था ;-)

क्या अन्य खिलाड़ियों को देखना दिलचस्प था?
- बिल्कुल। इस तथ्य के अलावा कि मैं पहले से ही कई लोगों को जानता था, ऐसे लोग थे जिनके साथ हम अनुपस्थित में परिचित थे। मिलते हैं।

अब आप कहां काम करते हैं?
"मैं काम नहीं करता।" सुझाव ;-) अब मैं अपने अंतिम वर्ष में हूं, निश्चित रूप से मैं सुरक्षा के क्षेत्र में काम करने की योजना बना रहा हूं।

कुछ और तथ्य

• शीर्ष दस में, केवल तीन ऑनलाइन नहीं खेले।
• खेल में भाग लेने वालों में 30 लड़के और 2 लड़कियां थीं।
• सबसे पहले मितानिन ने पूछा कि जब वह गेम हॉल में गया था तो विजेता कहां था। ऐसा लगता है कि वह व्लाद का शिकार करने की कोशिश करना चाहता था।
• खेल के प्रतिभागियों में दोनों छात्र और अभ्यास प्रणाली प्रशासक, प्रोग्रामर, सूचना सुरक्षा विशेषज्ञ और यहां तक ​​कि सूचना सुरक्षा विभागों के प्रमुख भी थे।
• पहले 9 प्रतिभागियों (27%) ने लगभग आधे पुरस्कार अंक लिए। यह मानक वितरण से बहुत दूर है - अर्थात, सभी प्रतिभागी काफी सघन समूह में चले।
• ऑनलाइन टूर्नामेंट के सभी पांच विजेताओं ने ऑफ़लाइन भाग लिया।
• अब व्लाद रोसकोव रूस से यूरोप, मध्य पूर्व और अफ्रीका के फाइनल में चैंपियनशिप के लिए बोलने के लिए जाएंगे, जो 8 अक्टूबर को होगा।