PHDays CTF: "Противостояние" глазами "защитника". Часть 1. Описание

Глазами "защитника": как мы участвовали в Positive Hack Days CityF "Противостояние". Часть 1.

17-18 мая 2016 года на конференции Positive Hack Days в Москве проводился характерный для крупных событий по практической информационной безопасности конкурс Capture The Flag (CTF). В этом году организаторы несколько модифицировали состязание, придав ему формат "противостояния" сил добра и зла в виртуальном городе, как и анонсировалось на сайте конференции PHDays-2016.

Естественно, что желающих попробовать свои силы в конкурсе было немало. Участников разделили не на 2, а на 3 функциональных направления:

• Хакеры - естественно, их целью было получить несанкционированный доступ к защищаемым ресурсам.
• Защитники - как очевидно из названия, главной задачей является предотвращение взлома и/или быстрое устранение его причин и последствий.
• SOC - оперативный мониторинг подозрительных событий информационной безопасности, оповещение "защитников", совместный анализ и реагирование на инциденты.

Поскольку я участвовал в этом соревновании в качестве члена команды "защитников" инфраструктуры телекоммуникационного оператора, то дальше расскажу о мероприятии глазами инженера по защите информации.

Защитники и SOC работают в тандеме, защищая свои сервисы. Наш тандем оказался действительно очень продуктивным, как и принято в России :)
По результатам двух дней "противостояния" вкратце скажу, что нам в партнеры как SOC досталась команда профессионалов из JSOC, с которыми мы понимали друг друга с полуслова (не рекламы ради, но констатации факта для). Настолько плотно, как с JSOC'ом в этом конкурсе, мы не всегда работали даже с "родственными" подразделениями в своей компании. Звучит пафосно, но это правда, из песни слов не выкинешь.
Хакеры, само собой, в конкурсе работают отдельно от своих оппонентов (чтобы не было драки), пытаясь получить несанкционированный доступ к защищаемым ресурсам.

Получилось довольно интересно, но подробности состязания позже. Я во многих случаях пытаюсь понять изначальную причину любой трансформации в сторону усложнения. Логично, что конференция должна идти в ногу с мировыми тенденциями, но тут, возможно, на волне впечатлений от участия в состязании, скажу, что Positive Technologies, похоже, даже шагнула на полшага вперед (прогиб засчитан? :)) - надолго ли? (компенсация прогиба для сохранения нейтральности :)).

Итак, явных причин несколько, часть из которых является следствием других.

1. Обратить внимание государства и бизнеса на:

• необходимость защиты "Интернета вещей" и других подключаемых к публичным сетям систем управления критической инфраструктурой.
• необходимость соблюдения мер информационной безопасности при работе с банковскими системами;
• финансовый эффект последствий взлома банковских систем;
• возможные последствия для организаций, у которых информационная безопасность развивается по остаточному принципу.

2. Дать специалистам почувствовать, что такое работа при постоянной угрозе взлома инфраструктуры в некотором приближении к реальности (почему некотором - об этом позже).

3. Придать мероприятию масштабности.

4. Продвижение на рынке:

• продуктов и услуг информационной безопасности;
• тестирование и популяризация среди услуг ИБ такого сервиса, как SOC (Security Operation Center).

Что из вышеперечисленного первопричина, а что следствие - думаю, очевидно.
На полноту и широту анализа не претендую, потому что свой угол обзора описал ранее.

Продолжение следует: Часть 2. Подготовка