Standoff 365 — это платформа для всех, кто хочет на практике проверить и улучшить свои навыки в кибербезопасности. В зависимости от своих целей и уровня подготовки участники могут выбрать подходящий продукт.

Для проведения киберучений на платформе разворачиваются сегменты полигона, в которых воссоздаются максимально реалистичные ИТ-системы. Как правило, сегмент — это определенная отрасль экономики или компания, которая ее представляет.

Каждый сегмент может включать один или несколько сервисов, которые регулируют деятельность виртуальной организации внутри отрасли или обеспечивают ее информационную безопасность.

Например:
— инфраструктурные сервисы: почтовый сервер, FTP-сервер, база данных клиентов, система документооборота;
— АСУ ТП: система управления светофорами, ветрогенераторами;
— СЗИ: межсетевой экран.

Для каждой кибербитвы собирается новая подборка сегментов с частично измененными заданиями. Это помогает постоянным участникам получать новые знания и проверять свои навыки в современных реалиях.

Во всех киберучениях есть две ключевые роли.

Кибербитва — это ежегодные международные киберучения, которые проходят на базе платформы Standoff 365. Для кибербитвы мы готовим расширенную инфраструктуру с разными отраслевыми сегментами и собираем лучшие команды защитников и атакующих, чтобы они проверили свои навыки.

Обычно кибербитва длится четыре дня с перерывами на ночь и может проходить в трех форматах.

Главная задача красных команд — первыми реализовать как можно больше критических событий и выявить максимальное количество уязвимостей. Обычно атакующие получают доступ к заданиям только в ходе мероприятия, однако в некоторых случаях мы публикуем их заранее.

На онлайн-полигоне можно атаковать сервисы только по определенным адресам, которые предоставляют организаторы. Атаки на другие адреса не учитываются при начислении баллов и могут привести к штрафу или запрету на участие в киберучениях.

В карточке каждого задания будет указано:

1. Описание события или уязвимости.
2. Задание.
3. Количество баллов за реализацию.

Пример задания по реализации критического события во время кибербитвы.

Чтобы заработать баллы за реализацию критического события, нужно сдать отчет о реализации критического события на платформе Standoff.

О том, как правильно заполнять отчеты, читай в нашем гайде.

Все отчеты проверяются вручную. После сдачи отчета дальнейший ход событий будет зависеть от качества и правильности заполнения отчета.

Чем выше уровень сложности задания, тем больше баллов можно получить. Расчет баллов динамический: участник или команда, реализовавшие критическое событие первыми, получают максимальный балл, каждая последующая реализация события другими участниками приносит на 15% меньше.

Количество баллов уменьшается до тех пор, пока не достигнет 40% от значения в задании. Теперь все последующие участники, реализовавшие это событие, получают не больше этого количества баллов.

Чтобы заработать баллы за уязвимость, нужно сдать отчет об уязвимости или флаг — набор символов, который необходимо найти в анализируемой информационной системе. Что именно нужно сдавать — зависит от расположения узла.

Жюри принимает отчеты только об определенных типах уязвимостей.

Чтобы повысить шансы на получение баллов, при сдаче флага или отчета об уязвимости учитывайте следующее:

1. Root-права должны быть получены в основной системе, а не в контейнере. В отчете необходимо предоставить вывод /etc/shadow.
2. Один способ реализации LPE на Windows можно сдать только один раз в рамках одного сегмента полигона. Если найден другой способ, его можно сдать в рамках того же сегмента.
3. Одинаковые классы уязвимостей, но в разных параметрах, на одном узле являются дубликатами.
4. Баллы за уязвимости на Gate-узлах выдаются при сдаче флага. Отчеты по ним не принимаются и будут отклоняться.
5. За уязвимости, проверяемые жюри, можно получить до 1500 баллов на узел.
6. За уязвимости с автоматической проверкой можно получить не более 500 баллов.

Чтобы получить техническую поддержку, напиши в наш телеграм-бот для атакующих. Специалисты техподдержки отвечают только через такие заявки.

Обрати внимание, что в контексте векторов атак специалисты отвечают только на вопросы об их работоспособности.

При поиске уязвимостей и реализации критических событий у красных команд есть ряд ограничений. В случае нарушения правил команда может получить штраф или лишиться возможности участвовать в битве.

Если атакующим удалось проникнуть на узел SCADA-системы, нужно сообщить об этом в чате с организаторами. Таким образом, если несколько команд почти одновременно проникнут на один и тот же узел, организаторы помогут участникам выстроить очередь, выделив по 1−1,5 часа на команду.

Сотрудники Positive Technologies не должны принимать участие в кибербитве Standoff, в том числе по приглашению капитанов.

В случае несогласия со штрафом или дисквалификацией капитан команды может подать апелляцию один раз за игровой день. Порядок и формат подачи можно уточнить в чате с организаторами. В ходе апелляции капитану нужно доказать, что нарушений со стороны команды не было.

Примерно за месяц до кибербитвы команды защитников получают доступ к инфраструктуре для ознакомления. Чтобы получить доступ к онлайн-полигону, капитану команды нужно написать организаторам и попросить предоставить OpenVPN-конфигурацию.

Команде предоставляются:

1. Конфигурационные файлы.
2. Данные учетных записей для подключения.
3. Сканер уязвимостей для ознакомления с инфраструктурой. Учетные записи объектов инфраструктуры для запуска инвентаризации и сканирования защитникам выдают организаторы. Команда может использовать любой другой сканер уязвимостей, но в таком случае нужно установить его самостоятельно.
4. Другая информация, необходимая для участия.

После ознакомления с полигоном команда предоставляет организаторам список средств защиты, которые она планирует использовать, а также схему их размещения. В общем случае команды ограничены следующими классами средств защиты.

Использование других средств защиты согласовывается с организаторами отдельно.

Основные цели защитников — обнаружение и расследование инцидентов, вызванных действиями атакующих. Для оценки действий команд учитывается количество обнаруженных инцидентов и среднее время расследования одной атаки.

В ходе киберучений команды защитников привязываются к конкретной отрасли, в которой им предстоит выявлять и расследовать атаки. Информация о результатах команды публикуется на сайте кибербитвы и на платформе Standoff 365.

Например, вот так выглядели результаты защитников во время кибербитвы Standoff 12.

В процессе киберучений защитники могут сдавать отчеты о выявленных инцидентах. Мы составили гайд, который поможет командам защиты понять, как правильно заполнять отчеты.

Все отчеты защитников проверяют и оценивают организаторы. Если в отчете недостаточно информации, организаторы не принимают отчет и оставляют соответствующий комментарий. После корректировки отчет можно сдать повторно.

После того как организаторы примут отчет о реализации критического события от атакующих, эта информация становится доступной защитникам.

Задачи защитников — расследовать это событие и сдать отчет. На портале появляется таймер, который ведет отсчет времени с момента начала расследования.

Все отчеты оцениваются командой жюри. Если в отчете недостаточно информации о действиях атакующих, отчет не принимается, а на портале появляется специальная отметка. По оставленному организаторами комментарию защитники могут провести дополнительное расследование, доработать отчет и повторно отправить его на проверку.

После того как организаторы приняли от команды защитников отчет о расследовании реализации критического события, фиксируется время, за которое расследование было выполнено. При этом время, когда отчет находился на проверке у организаторов, не учитывается.

Так выглядит схема для расчета среднего времени расследования.

Для наглядности мы собрали таблицу с типами отчетов, которые нужно сдавать защитникам.

В некоторых кибербитвах есть возможность участвовать в режиме реагирования. В этом случае, помимо выявления инцидентов и расследования атак, защитники также могут пресекать действия атакующих. Для этого они могут использовать следующие инструменты.

У защитников есть возможность временно блокировать узлы инфраструктуры, а также учетные записи. Время блокировки определяется условиями кибербитвы, обычно оно составляет не больше 15 минут. Такое ограничение нужно, чтобы команды атакующих могли дальше развивать свои атаки и реализовывать критические события.

При участии в режиме реагирования помимо информации об обнаруженных инцидентах у защитников будет дополнительный показатель предотвращенных инцидентов.

Чтобы получить техническую поддержку, напиши в специальный телеграм-бот для защитников. Обрати внимание, что специалисты техподдержки отвечают только через такие заявки.