CTFnews.ru продолжает рассказывать о том, как проходила Летняя школа «Развитие CTF в России – 2016» в Дубне. На пятый день участникам предстояло стать сисадминами и поднять сеть на VSFI, а ещё — узнать, как обучают и проводят CTF в Швейцарии.
День начался с погружения в мастерскую «Крипто», которую в этот день вели специалисты из «Кода Безопасности». Александр Куклин рассказал о уязвимостях протокола TLS, а Михаил Сидоров, системный архитектор компании, наглядно показал, как находить уязвимости при обращении к web-pecypcy через Континент TLS сервис.
После обеда на Летней школе CTF выступал гость из Европы — Александр Карлов, профессор Университета прикладных наук Западной Швейцарии. Он рассказывал о том, как в швейцарском университете организуются CTF-соревнования, как проходят тренировки, а ещё затронул тему мотивации в участии студентов в CTF.
— **Как в вашем университете студенты узнают о CTF? **
— В нашем Университете прикладных наук Западной Швейцарии есть направление по информационной безопасности, в рамках которого проходят разные курсы лекций, связанные с ИБ. И я со своей стороны стараюсь развивать среди студентов тематику CTF-движения. Через лекции сложно замотивировать студентов углубляться в тему ИБ и дальше. Куда интереснее для них развиваться через CTF-таски. На этих задачках формата CTF они набивают руку, а дальше уже создают их сами, объединяются в команды. Я стараюсь привлекать их к крупным CTF-соревнованиям, которые чаще всего проходят по выходным.
— Зачем вообще им нужен CTF? Понятное дело, что это поинтереснее, чем обычные лекции. Но какая-то глобальная цель, может, есть?
— CTF — это необходимая часть формирования личности, которая будет профессионально связана с информационной безопасностью. Это, прежде всего, хорошо прокачивает практические знания студента и позволяет развить технические знания в разных областях информационной безопасности естественным путем. Если заставлять их на лекциях делать какие-то искусственные лабораторные, то тогда стимула для дальнейшего развития у них не будет.
Есть такой хороший термин — геймификация, это придача игрового момента образовательному процессу. Это как раз про CTF. Через CTF-игры студенты получают дополнительный стимул и «вырастают» как профессионалы гораздо быстрее, чем на лабораторных.
— Какие черты характера должны отличать успешного CTF-игрока?
— Упорство, воля к победе, стремление многое знать. Безопаснику вообще надо уметь впитывать много знаний, он не может сказать: «Я не знаю эту технологию, не могу ничего тут сделать». Не знаешь — должен выучить. Из технических умений отмечу поиск уязвимостей, хороший уровень программирования и знание всего арсенала утилит, которые есть в области информационной безопасности.
— А что бы вы посоветовали командам, чтобы улучшить результаты?
— Я считаю, надо грамотно распределять специализацию для каждого участника команды. Нужно прочувствовать, что кому нравится — этот увлекается программированием, этот хорош в веб-технологиях, — а потом уже давать указания и решать, на кого какая ложится задача.
Вообще, я считаю, что чем раньше человек начинает интересоваться CTF, тем для него лучше. В Швейцарии не так много CTF-команд, но заметно, что они молодеют — и это хорошо. Ребята по 25-26 лет уже говорят — мы слишком старые для CTF-соревнований. После университета действительно труднее выкроить время и найти стимулы для участия.
— Александр Карлов, профессор Университета прикладных наук Западной Швейцарии
** Very Simple Fast Integration **
Уже не первый год на Летней школе CTF в Дубне проводят VSFI. Давайте разбираться, что это, вместе с организаторами турнира для сисадминов этого года — Александром Бабаком и Сергеем Ларченко (по совместительству Сергей и Александр являются соорганизаторами пo технической части на соревнованиях VolgaCTF в Самаре).
— VSFI — это соревнования по системному администрированию. Всем известно, что безопасность и администрирование — вещи неразделимые. Тем не менее, как участники и организаторы мы знаем, что на CTF-соревнованиях эта сторона вызывает у команд большие проблемы. Чтобы это решить, в какой-то момент возник такой специфический формат соревнований, в которых мы по возможности стараемся передать дух жизни системных администраторов с её особенностями взаимодействия с пользователями.
VSFI на Летней школе начался так: команды получили оборудование, и многие просто не понимали, что с ним делать — не хватало знаний по сетям. С чего начать? «С цикла статей ''Сети для самых маленьких'', например», — смеются Александр и Сергей.
— Изначально у них был один кабель, входящий в аудиторию. У многих на этом этапе округлялись глаза, потому что не все работали с реальным коммутационным оборудованием. Сперва им надо было настроить сеть, чтобы она заработала. Далее участники получали задачи на настройку и скрещивание инфраструктур с центральной, которая была развернута у нас. По легенде, инфраструктуру они поднимали для своих программистов в отделе внутренней разработки.
На всё это отводится 4 часа. Времени мало — но ведь в реальной жизни сисадмины сталкиваются и с более экстремальными задачами, которые надо решить в кратчайшие сроки.
— VSFI стал «боевым» крещением для многих студентов, которые раньше с таким не сталкивались. Теперь понятно, что им нужно подтянуть для более успешного выступления на таких соревнованиях, Сети — штука такая: ты прочитал про них и вроде бы всё понял, а подступаешься к ним на практике — и творится какая-то фигня. И вот тут вот многие люди пугаются — когда система ведет себя не так, как надо. А бояться не нужно. Надо пробовать!
Напоследок в этот день о преемственности в CTF-движении рассказал Николай Ткаченко из команды Shadow Servants — один из самых молодых участников, победитель московских соревнований Moscow CTF School на протяжении двух лет.
Оставайтесь на связи с CTFnews.ru — дальше будет ещё интереснее!
