Новости
Разбор заданий конкурса AI CTF
На PHDays 9 мы решили рассмотреть с практической стороны модную сегодня тему безопасности машинного обучения. Для этого мы создали онлайн-конкурс AI CTF (capture the flag) формата task-based, с заданиями, посвященными безопасности применения техник искусственного интеллекта.
Разбор конкурса «Конкурентная разведка» на PHDays 9
Восьмой год традиционный конкурс «Конкурентная разведка» предлагает участникам попробовать свои силы в поиске информации и между делом изучить новые техники OSINT. В этом году все задания были сосредоточены вокруг вымышленной ИБ-компании, позиционирующей себя как компанию — эксперта одной уязвимости. Участники конкурса должны были найти информацию о людях, связанных с этой организацией, не прибегая ко взлому, а полагаясь исключительно на помощь различных источников с просторов сети и на собственную смекалку. Конкурс включал 19 заданий, за каждое из которых начислялось определенное количество баллов по степени сложности: Company real name IDOR specialist username IDOR specialist location IDOR specialist work e-mail IDOR specialist personal e-mail Secret employee mobile phone Secret employee username Secret employee birthday Secret employee university Nightly programmer private username What the flag? Second employee IM username IP used in PoC Alexander's real lastname Peter's primary e-mail Peter's secondary e-mail Peter's password Donation wallet number Software which was downloaded from IP 77.71.34.171 В этой статье мы разберем, как можно было решить каждое задание. Company real name — 10 В начале соревнования участники получили описание некоторой компании: nfsg64ttmvrxk4tjor4q. Для решения первого задания необходимо было воспользоваться поиском Google. На запрос выдавалась информация о домене компании:
Победители кибербитвы The Standoff на PHDays автоматически прошли квалификацию на HITB CyberWeek
Победители кибербитвы The Standoff на PHDays автоматически прошли квалификацию на HITB CyberWeek С 12 по 17 октября на конференции HITB CyberWeek в Абу-Даби 25 лучших CTF-команд мира поборются за приз в 100 000 долларов США. Лучшие атакующие коллективы The Standoff с последних двух Positive Hack Days (True0xA3 и Hack.ERS) получили приглашение участвовать в финале соревнования в ОАЭ. «Организуемая с 2002 года на общественных началах конференция Hack in The Box — одно из важнейших событий в информационной безопасности во всем мире. А HITB CyberWeek можно назвать финалом чемпионата мира среди хакерских команд. Включение в решающую стадию этого CTF-соревнования победителей последних двух The Standoff без конкурса является признанием высокого уровня соревнования на PHDays», — рассказывает Михаил Левин, заместитель директора экспертного центра безопасности Positive Technologies, член оргкомитета PHDays и организатор The Standoff. Напомним, что в 2018 году команда Hack.ERS (Deloitte) вырвала победу на последних минутах кибербитвы. За час до конца соревнования защитники города решили отказаться от системы антифрода, чем воспользовалась команда Hack.ERS, которой удалось опустошить конкурсный банк. Это позволило ей подняться из подвала турнирной таблицы на первое место, сместив команду «ЦАРКА» (победителей 2017 года) на второе место. «Мы очень рады, что PHDays держит высокий уровень, получает признание за рубежом, а победители The Standoff имеют возможность попробовать свои силы против лучших активных CTF-команд мира. Мы позитивно относимся к любой возможности, которая позволяет укрепить командный дух, отработать взаимодействие во время соревнования и ощутить причастность к международному ИБ-комьюнити», — говорит Иван Нагорнов, капитан команды Hack.ERS. В 2019 году True0xA3 («Информзащита») с самого начала соревнования и до конца второго дня не упускали лидерских позиций, показав максимальную диверсификацию используемых техник. Команда выиграла прямое противостояние с другими командами за объекты инфраструктуры и безраздельно владела ими все два дня соревнования. «До сих пор не верится, что мы отправимся в ОАЭ и будем сражаться с такими командами, как PPP и Eat Sleep Pwn Repeat. Победа, конечно, воодушевила каждого из нас на решение более глобальных задач. Тот факт, что победители кибербитвы The Standoff квалифицируются на одну из крупнейших в мире конференций по безопасности Hack In The Box и поедут туда бесплатно, безусловно, не может не радовать, — комментирует Виталий Малкин, начальник отдела анализа защищенности компании "Информзащита", капитан команды True0xA3. — Быть сильнейшей командой в СНГ, конечно, приятно. Но хотелось бы также показать все, что умеем, и в мировом масштабе, а также обменяться опытом». «The Standoff по праву может считаться одним из самых увлекательных конкурсов защитников и атакующих. Команды соревнуются в поиске реальных уязвимостей и имитируют действия хакеров — что может быть интереснее? Мы крайне рады, что победители PHDays 2019 и 2018 присоединятся к нам на CyberWeek PRO CTF. Конкурс пройдет в октябре и станет местом встречи самых ярких и талантливых игроков CTF», — отмечает Диллон Эндрю Каннабиран, основатель и глава Hack In The Box. За подробностями CTF в Абу-Даби можно следить на официальном сайте конференции HITB CyberWeek: https://proctf.hitb.org.
По следам индустриального ниндзя: приглашаем участвовать в онлайн-конкурсе
На прошедшем PHDays 9 мы проводили конкурс по взлому завода по перекачке газа Industrial Ninja. На площадке было три стенда, эмулирующих индустриальный процесс: под большим давлением в воздушный шар закачивался воздух. У каждого стенда был свой уровень сложности (по степени защиты): новичок, бывалый и ниндзя. При этом оборудование и технологический процесс не различались. Перед конкурсантами стояла задача разобраться в технологическом процессе, перехватить управление заводом и спровоцировать аварию: в реальности — сдуть или лопнуть шарик. Однако самое сложное задание так и осталось нерешенным. Мы объявляем новый конкурс. Участникам необходимо выполнить задание, найти флаг, подробно и интересно описать решение. Ответ нужно выслать по адресу i_ninja@ptsecurity.ru до 1 июля. Авторы трех лучших описаний получат фирменные рюкзаки с символикой PHDays и сувениры, а наиболее понравившееся мы опубликуем в нашем блоге на Хабре. Ссылка на задание: Желаем удачи!
Результаты The Standoff
Атакующие | Место | Команда | Результат | | ----- | -------------- | --------- | | 1 | True0xA3 | 3023264 | | 2 | ЦАРКА | 1261019 | | 3 | hack.ERS | 125500 | | 4 | SСS | 76000 | | 5 | SPbCTF | 75000 | | 6 | n0x | 60865 | | 7 | Another Team | 56801 | | 8 | HalfSec | 50000 | | 9 | EvilBunnyWrote | 37000 | | 10 | IER43 | 26000 | | 11 | IPq | 24000 | | 12 | Codeby.net | 22000 | | 13 | Nitro | 15000 | | 14 | CrotIT | 11000 | | 15 | 2old4ctf | 5000 | | 16 | Invuls | 2500 | | 17 | | 0 | | 17 | Lunary | 0 | Защитники | Место | Команда | Результат | | ----- | ------------------ | --------- | | 1 | Jet Security Team | 44040600 | | 2 | SNIFF&WATCH | 43432800 | | 3 | STS | 43269000 | | 4 | You Shall Not Pass | 41142996 | | 5 | Team K | 36015200 |
Итоги музыкального фестиваля Positive Wave
22 мая на форуме PHDays 9 состоялся финал фестиваля музыкальных групп из IT-компаний Positive Wave. В нем участвовали пять коллективов: BriefLove, EDEN, Of Titans and Men, Raev Clan и Savara Laplasa. Группы выступили перед профессиональным жюри, которое возглавил лидер группы «Смысловые Галлюцинации» Сергей Бобунец. Победителем Positive Wave стал коллектив Raev Clan, а приз зрительских симпатий достался группе Of Titans and Men.
PHDays: точно в девятку
Международный форум по практической безопасности PHDays 9 подошел к концу, собрав рекордное число участников — более 8 тысяч человек. Специалисты по информационной безопасности, журналисты, политики, артисты, представители бизнеса и государства из разных стран посетили более 100 выступлений. На площадке взламывали завод по перекачке газа, банкомат, автомобили Tesla и другое оборудование, а вечером на сцену вышел лидер «Смысловых галлюцинаций». Сегодня мы подведем итоги некоторых конкурсов и расскажем о самых интересных докладах второго дня форума.
Торжество критического мышления на PHDays: итоги первого дня форума
Подошел к концу первый день форума Positive Hack Days, который стартовал 21 мая в международном выставочном центре «Крокус Экспо». Форум посетило рекордное число участников — более 6000 человек. Все они собрались, чтобы послушать более полусотни докладов, попробовать себя в мастер-классах, конкурсах и киберквесте, понаблюдать за жизнью города F. Все происходящее на площадке PHDays 9 в этом году посвящено теме «Взлом константы». Делимся самыми интересными событиями первого дня. Смена парадигмы киберзащиты Открыла форум пленарная дискуссия «Безопасный переход в небезопасную цифровую жизнь». Переход к взаимодействию в цифровом пространстве сопряжен с рисками для личности, общества, бизнеса и государства. Умный город, электронное правительство и здравоохранение, интернет вещей, управление потоками людей и товаров и другие системы для цифрового взаимодействия удобны и облегчают жизнь, но также порождают угрозы. Борис Симис (Positive Technologies), Гаральд Бандурин (ГВЦ РЖД), Александр Баранов (НИУ ВШЭ), Игорь Ляпунов («Ростелеком») пытались выяснить, успевают ли решения для защиты за возникающими рисками. Участники дискуссии отметили конфликт между бизнесом и безопасниками: специалисты по ИБ и ИТ могут не знать о каких-то изменениях внутри самой организации, о внедрении новых систем. Зачастую такие динамичные изменения уже заложены в бизнес-стратегию и являются одним из конкурентных преимуществ. В подобных условиях классический подход к информационной безопасности уже не дает нужного эффекта.
«Цифровой стриптиз» или «профессиональная паранойя»: как обеспечить личную кибербезопасность владельцев бизнеса
«Цифровой стриптиз» или «профессиональная паранойя»: как обеспечить личную кибербезопасность владельцев бизнеса Москва, 21.05.2019 — В рамках Positive Hack Days, международного форума по практической безопасности, который проходит в Москве начиная с 2011 года, впервые будет затронута тема беззащитности руководителей, бизнесменов и публичных людей перед лицом киберугроз. Ведущий секции Илья Сачков, глава международной компании Group-IB. На площадке форума, уже 9 лет организуемого компанией Positive Technologies, занимающейся кибербезопасностью, будет обсуждаться зарождение рынка персональной киберзащиты. Эта тема касается владельцев бизнеса, топ-менеджеров, акционеров, а также многих публичных людей. Зачастую большинство из них находятся как за «каменной стеной» под защитой систем безопасности внутри собственного офиса, но за его пределами они оказываются уязвимы перед десятками векторов атак, цели которых варьируются от кражи денежных средств до дискредитации, шпионажа и шантажа. Модератором секции «Информационная безопасность и личность», которая начнется 22 мая в 12:00, выступит Илья Сачков, глава Group-IB, международной компании, имеющей многолетний опыт расследований киберпреступлений в отношении бизнеса и отдельных персон. На площадке соберутся необычные гости, каждый из которых расскажет свою личную историю или кейс, непосредственным участником которого был он сам. Все выступления будут касаться различных типов атак, для реализации которых использовались электронные устройства членов семьи, домашние роутеры, шантаж партнеров по бизнесу, «фейковые» инвесторы, подкуп личных секретарей и многое другое. Таким образом, у слушателей появится возможность услышать о произошедшем как от очевидцев, так и от специалистов по цифровым расследованиям, которые разложат киберинцидент «по полочкам» и расскажут, как это было на самом деле. Также на секции PhD «Информационная безопасность и личность» будут затронуты т Также на секции PhD «Информационная безопасность и личность» будут затронуты темы управления своими «цифровыми следами» в Интернете, контроля своих «кругов доверия», практике представления таких дел в суде, а также нравственных аспектах проблемы личной кибербезопасности. «Мы планируем поднять расхожий тезис о том, что человек часто не представляет, сколько данных о нем хранит Интернет, на уровень VIP-персон – людей, в чьих руках бизнес, деньги, идеи, и все это может понадобится кому-то еще, – комментирует Илья Сачков, генеральный директор Group-IB, – Я попросил всех участников сессии поделиться своими реальными кейсами, которые могли обернутся для них потерей инвестиций, партнерских отношений, репутации. Мы многое выяснили на этапе предварительного обсуждения: беспечность, доверие, незнание основ кибергигиены – все это приводит к тому, что условный предприниматель становится легкой наживой для киберкриминала. Лично я считаю, что пора заканчивать заниматься «цифровым стриптизом» и переходить к здоровой профессиональной паранойе относительно хранения, передачи или использования информации. Если она представляет ценность для вас – она представляет ценность и для кого-то еще». Среди участников дискуссии Вадим Сущик (Интерпол), Екатерина Одинцова (российская телеведущая, писательница, блогер), Григорий Ширин (Klever Group, Chairman), Екатерина Шувякина (детективное агентство «Две Жизни»), Андрей Масалович («Лавина Пульс», автор технологии интернет-разведки Avalanche), Евгений Тимко (сооснователь инвестиционной компании Xploration Capital), Янкин Андрей («Инфосистемы Джет»), Алексей Новиков (Positive Technologies), Кандыбович Дмитрий («Атом Безопасность», компания-разработчик программы Staff Cop) и другие.
«Делойт» на PHDays 9
«Делойт» на PHDays 9 «Делойт», СНГ выступит партнером Международного форума по практической безопасности Positive Hack Days (PHDays). В этом году помимо участия команды «Делойта» в соревновании The Standoff («Противостояние») будет представлена программа Bug Bounty, которая позволяет организациям усилить безопасность разрабатываемых приложений, а участникам — проверить свои навыки этичного хакинга и получить вознаграждение за нахождение уязвимостей. Программа Bug Bounty — это уникальная возможность принять участие в поиске уязвимостей известных приложений. Платформа Bug Bounty позволяет загружать отчеты о найденных уязвимостях и в случае подтверждения их производителем — получать через платформу вознаграждение. Описание программ Bug Bounty на сайте: