7 ноября в Омске завершился XII межрегиональный чемпионат по кибербезопасности OmCTF 2026 «Киберкрепость». В студенческом зачёте победила miniCUT из Центрального университета: команда набрала 28 тысяч баллов и опередила ближайшего соперника почти на девять тысяч. Второе место заняла KEKW из ОмГУПС. За бронзу до последних раундов боролись две команды ОмГУ имени Ф. М. Достоевского — 4V4NG4RD и 0xa046ad8c336e2e00. Турнир прошёл в формате Attack/Defense и завершился на 210-м раунде. Среди школьников первое место заняли «Утята из Ада» из омской школы №94.
По легенде чемпионата, каждая команда защищала свой цифровой Омск. Его поддерживали четыре системы: «Вода», «Казна», «Связь» и «Ворота». Под современным городом скрывались исторические и мифические слои — от Омска 1919 года до курганов Асгарда. Состояния сервисов были связаны с этой историей: работающие системы удерживали город в настоящем, а сбои отправляли его в прошлое.
Михаил atoroe из miniCUT рассказал, что на OmCTF приехали трое участников основного состава CUT и четверо студентов младших курсов Центрального университета — без большого опыта в Attack/Defense. Постоянно закреплённой была только роль DevOps: остальные задачи разбирали по ходу игры и при необходимости менялись.
«Тем не менее, этот факт не помешал каждому из членов команды внести вклад в общую победу», — говорит Михаил.
Начало подготовки команда немного упустила. По словам Михаила, участники не сразу поняли, что первый час отведён на работу с сервисами до открытия сети, а учётные данные уже получил капитан. После этого miniCUT быстро выгрузила файлы, начала анализ и подготовила скрипты для соревновательного сервиса. На старте, вспоминает участник, нагрузка была небольшой: нетривиальные уязвимости давали время изучить код.
Сам Михаил занимался «Казной». По его описанию, сервис представлял собой стратегическую игру: на ограниченный бюджет команды покупали и расставляли юнитов, отдельно собирая наборы для атаки и защиты. Затем эти наборы сражались с наборами соперников. Каждые шесть минут условия покупки и характеристики юнитов менялись, поэтому к следующей игре приходилось готовиться заново.
«Это правило совсем не давало расслабляться на протяжении всего соревнования», — рассказывает Михаил.
Больше всего сложностей miniCUT доставила «Вода» на 1С. В начале игры команда хотела целиком переписать сервис на Rust или другой подходящий язык. По словам Михаила, эта затея привела к недопониманию внутри команды и продолжительной утечке флагов:
«Решилось все тем, что мы бросили эту затею и наконец починили сервис, а затем и вовсе нашли новую уязвимость и собрали большое количество дорогих флагов».
По данным организаторов, miniCUT сдала 7 679 флагов «Казны». На «Воде» SLA команды составил 95,24%, а общий вклад сервиса в её результат превысил 10,2 тысячи очков. В последнем раунде «Вода» у miniCUT находилась в статусе DOWN, однако команда завершила турнир с отрывом от KEKW в 8 935,50 балла.
KEKW набрала 19 079,85 балла. Команда ОмГУПС сдала 3 762 флага «Казны». На «Связи» её SLA составил 90,95% — выше, чем у miniCUT, у которой этот показатель остановился на 87,62%.
Борьба за третье место закончилась гораздо плотнее. Как сообщают организаторы, к 205-му раунду 0xa046ad8c336e2e00 шла третьей и опережала 4V4NG4RD почти на тысячу очков. За оставшиеся пять раундов команды поменялись местами.
На финише «Связь» у 0xa046ad8c336e2e00 находилась в статусе DOWN, а у 4V4NG4RD — UP. Итоговый SLA этого сервиса составил 71,90% и 75,24% соответственно. На «Казне» 4V4NG4RD получила 100% SLA и 11 891,05 очка за флаги — по сводке организаторов, это был лучший результат по очкам за флаги на этом сервисе среди всех команд.
4V4NG4RD завершила чемпионат с бронзой и результатом 15 693,85 балла. У 0xa046ad8c336e2e00 — 15 653,19 балла и четвёртое место. Две команды одного университета разделили 40,66 балла.
Визуализация лидерборда во время игры
В первой восьмёрке все команды получили 100% SLA на «Казне». При этом на «Связи» самый высокий SLA среди этих команд был у fTerryDavis — 92,86%, хотя в последнем раунде сервис находился в статусе MUMBLE. Статус показывает состояние сервиса в конкретном раунде, а итоговый SLA — результат его проверок за игру.
Первая восьмёрка студенческого зачёта по итогам 210-го раунда. В ячейках указаны статус сервиса на финише и итоговый SLA:
| Место | Команда | Баллы | Ворота | Связь | Вода | Казна |
|---|---|---|---|---|---|---|
| 1 | miniCUT | 28 015,35 | UP / 95,71% | UP / 87,62% | DOWN / 95,24% | UP / 100% |
| 2 | KEKW | 19 079,85 | UP / 85,71% | UP / 90,95% | DOWN / 75,71% | UP / 100% |
| 3 | 4V4NG4RD | 15 693,85 | UP / 78,57% | UP / 75,24% | MUMBLE / 82,38% | UP / 100% |
| 4 | 0xa046ad8c336e2e00 | 15 653,19 | UP / 82,86% | DOWN / 71,90% | UP / 83,81% | UP / 100% |
| 5 | W@zz4bi | 14 787,81 | UP / 79,05% | UP / 91,90% | UP / 91,43% | UP / 100% |
| 6 | fTerryDavis | 14 499,22 | UP / 78,10% | MUMBLE / 92,86% | UP / 68,10% | UP / 100% |
| 7 | ashab tamaev | 13 228,42 | UP / 93,81% | UP / 90,95% | UP / 72,86% | UP / 100% |
| 8 | Keva | 13 213,78 | UP / 84,76% | UP / 90,95% | DOWN / 76,67% | UP / 100% |
Серьёзных проблем с инфраструктурой Михаил не отметил. В начале игры возникли сложности с развёртыванием командных инструментов на хостах вне игровой сети, но, по его словам, их быстро решили. Чекеры работали стабильно. При этом проверки одного из сервисов показались ему предсказуемыми: по его оценке, это позволяло отфильтровать почти весь входящий трафик других команд.
За помощью к организаторам miniCUT, по словам Михаила, обращалась только по поводу атак одной из команд, которые он описывает как DoS. В остальном он положительно оценил организацию: регламент был понятным, а оповещения работали.
Визуализация процесса игры одной из команд
Михаилу понравилась визуализация жюрейской системы, которую он описывает как захват баз:
«Выглядело очень прикольно и самобытно, хотелось бы видеть что-то подобное и на последующих соревнованиях».
В школьном зачёте призовые места распределились так:
- «Утята из Ада» — БОУ г. Омска «СОШ №94».
- «Почка мопса» — МБОУ «Магистральная СОШ».
- «Фуфырик» — БОУ г. Омска «Лицей №166».
Чемпионат организовали Министерство цифрового развития и связи Омской области, Ассоциация развития социальных и информационных технологий (АРСИТ), ОмГТУ и АРСИБ. Вместе с индустриальными партнёрами они вручили призёрам кубки, подарки и почётные грамоты с символикой Омской крепости.
