Лабораторія тестування на проникнення v.9: немає нічого неможливого



20 травня 2016 р. була запущена чергова, дев'ята за рахунком лабораторія тестування на проникнення «Test lab v.9», яка представляє собою віртуальну компанію «CyBear 32C», що займається розробкою різних систем і додатків, в тому числі систем забезпечення ІБ.

11 днів знадобилося учасникам для того, щоб скомпрометувати всі елементи інфраструктури. У статті розглянуто подробиці, імена переможців, відгуки учасників та посилання на часткове проходження.


Учаснику, який виступає в ролі зовнішнього порушника, було необхідно провести пошук та експлуатацію вразливостей, долаючи різні системи захисту: антивіруси, WAF і Firewall, системи контролю доступу і т. д. Основна відмінність лабораторій «Test lab» від CTF-змагань полягає у реалістичному сюжеті: компрометація одного вузла може дозволити розвинути атаку на інші елементи мережі.

Статистика
До поточного моменту кількість зареєстрованих учасників перевищує 9 000. В середньому за добу в лабораторії реєструвалося близько 40-50 учасників. Максимальна кількість одночасно підключених учасників становить 141. За 2 тижні роботи лабораторії сумарно був зібраний 161 токен.

Географічне розподіл учасників:

  1. Росія — 434
  2. США — 87
  3. Індія — 64
  4. Україна — 61
  5. Німеччина — 54
  6. Італія — 48
  7. Англія — 44
  8. Австралія — 33
  9. Ізраїль — 30
  10. Нідерланди — 2
На даний момент проходять лабораторію учасники з 63 країн. Пройти всю лабораторію вдалося 12 учасників. За 2016 рік приріст нових учасників склав 3267 осіб.

Середня мережева активність становила 30-40 Мбіт\сек, пікове навантаження — 230 Мбіт\сек.

За перші два тижні нами зареєстровано 75.504.503 подій. Більшість атакуючих використовує загальновідомі утиліти і сканери: найпопулярнішими інструментами з аналізу вразливостей веб-додатків були сканери вразливостей Acunetix, w3af і утиліта Dirbuster. Наприклад утиліті Dirbuster за тиждень в журналах було зафіксовано 3.640.044 подій. За добу з основного сайту (Mainsite) збиралося більше 2 ГБ логів.

Ні одному учасникові не вдалося обійти Web Application Firewall, для компрометації захищеного сайту використовувався доступ з довіреної сегмента мережі.

Уразливості в лабораторії, які не перебувала стандартними сканерами (наприклад ssh з нестандартним greetings банером і PAM) — відразу відсіяли величезний відсоток атакуючих.

Створення лабораторії
У створенні лабораторії беруть участь всі співробітники нашої компанії, використовуючи свій практичний досвід і досвід наших колег. Для розуміння, як це відбувається, представляємо невеликий відгук від Олександра Дмитренка sinist3r:
Ідея для завдання прийшла в процесі побудови мережі зберігання даних (СЗД, або Storage Area Network, SAN).

При розгортанні обладнання і дискових полиць з'явилася думка на рахунок потенційних вразливостей і можливих векторів.

А після того, як вже були деякі чорнові напрацювання, з'явилося гучне опис злому компанії hacking team (https://xakep.ru/2016/04/18/hacking-team-hack/), що дуже вчасно допомогло дошліфувати завдання. І таким чином воно набуло закінчений вигляд багатоступінчастої завдання і з кількома дрібницями, які обов'язково змусять задуматися.

При реалізації будь-якого завдання найбільшу складність становить фактор великої кількості учасників, причому одночасно можуть якимось чином взаємодіяти 50-60 людей.

Крім того, в процесі розробки завжди доводиться враховувати можливі деструктивні дії, які в самому негативному сценарії можуть привести до повної непрацездатності сервера. Для превентивної боротьби з такими ситуаціями скрізь, де це можливо намагаємося урізати права учасників, якщо ж це неможливо, то тоді доводиться користуватися завданнями в планувальнику, і періодично скидати все на первісний стан.

Час розгортання завдання зазвичай займає не дуже багато часу (3-4 дні), особливо якщо на початковому етапі були сплановані всі основні деталі. Потім вже настає період тестування під різними умовами. На цьому етапі часто вносяться різні дрібні зміни, які покликані поліпшити стабільність роботи, захист від деструктиву і тому подібне.

Варто зазначити, що дуже часто в процесі розробки завдань спостерігається своєрідний побічний ефект, який полягає в тому, що приходить більш глибоке розуміння роботи того чи іншого сервісу, а іноді купуються нові знання про раніше зовсім невідомих фичах і тонких нюансах.
Також, у створенні лабораторії були використані деякі ідеї Богдана Лукіна і Кирила Р. (Санкт-Петербург).

Учасники
Кваліфікація учасників, інструментарій і методи були досить різноманітні: деякі учасники досить довго зламували черговий сегмент мережі, а проходження інших нагадувало якийсь speedrun — сервіси віртуальної компанії зламувалися по 2-3 на годину. Це обумовлено як практичному досвідом серед учасників були члени найсильніших світових СTF команд, а також security-професіонали зі всього світу, наприклад g0tmi1k.

Відгуки наших учасників:

Alehandro Red
Хоч я не взяв ще жодного сертифіката, залишаю позитивний відгук. Т. к. уразливості які знаходяться на першому сервері досить актуальні і з'явилися відносно не давно, я б дуже хотів допомагати в розробці таких лабораторій, що б бути в курсі всіх нових вразливостей, їх експлуатації та захисту від них.
Maxim Khazov
Лаба, як і попередня, дуже сподобалася! Аналогів такого формату проведення CTF, близького до тестування реальної інфраструктури мережі, не знаходив.

Ця лаба була, можливо, ще складніше попередньої. Намагатися пройти її в поодинці одним з перших дуже важко, тому доводилося також нерідко спілкуватися з іншими учасниками. Найбільший респект тим, хто пройшов, ні з ким не спілкуючись)

З завдань на цей раз найбільше сподобалися: site-test, portal і звичайно, ssh-test, що всі лідери пройшли останнім. Багато завдання вимагали знання певних конкретних технологій, якщо з ними раніше не стикався, було важкувато.
R0с
Лаба дуже сподобалася, отримав задоволення вирішуючи завдання. Не зустрічав нічого схожого
Артем Димитрієв
Дуже подобаються ваші лабораторії, з нетерпінням чекаю наступного.
Беручи участь, дізнався для себе багато нового, придбав багато знайомих.
Спасибі Вам велике за виконану роботу.
Mister_Bert0ni (Богдан Лукін, аналітик з інформаційної безпеки)
Скажу чесно — все дуже сподобалося. Спасибі величезне організатором лабораторії. Все дуже цікаво, уразливості всі актуальні. Сюжет продуманий цікаво. Радує і те, що наші закордонні друзі активно беруть участь у лабораторії і ТестЛаб виходить на світовий рівень)) Це я вважаю дуже велике досягнення. Саме завдяки організаторам лаби люди отримавши задоволення від її проходження відразу ж будуть ділиться враженнями серед своїх колах спілкування — що і пояснює різке зростання числа учасників в лабораторії.Ще для кожного учасника який проходить лабораторію гріє душу, що він один з 9000 учасників який зміг пройти до кінця) Це так само важливо, я вважаю)) І ще пару років — я думаю що Pentestit та її сертифікація про навчання зможе потягатися з Offensive Security ( Ну мені б хотілося) Так що всім велике дякую) Все було дуже круто!))
Сипан Варданян , CISO. noyer
Лабораторія Pentestit v9.0 це щось унікальне.
Я працюю у сфері ІБ вже кілька років, і у вільний час часто беру участь у різних CTF: це допомагає ефективніше засвоювати нову інформацію, досліджувати нові вектори атак, і як правило — методи їх нейтралізації, проте, майже завжди уразливості «підроблені», явно синтетичні.
Пентестит створює щось інше — тут все наближене до реальних умов проведення аудиту ІБ, що, безсумнівно радує. У кожному завданні, з яким учасник стикається під час проходження лабораторії можна часто спостерігати реальні проблеми, які зустрічаються в польових умовах.
Відмінна ідея, і просто бездоганне виконання!
Спасибі організаторам і команді розробників.
Mokhon Yuri
я Є співробітником відділу інформаційної безпеки. В один прекрасний момент керівництво дало завдання провести пентест в мережі. Але тут як виявилося потрібні і практичні знання. Ось так була знайдена лабораторія pentestit. Я брав участь в останніх трьох лабораторних. Всі завдання були мені дуже цікаві, багато я знав в теорії, і нарешті зміг побачити як це втілюється на практиці. Так само за допомогою лабораторних навчився деяким трюкам і хитрощів, якими користувалися більш досвідчені гравці. Бажаю вашій компанії успіхів і процвітання. І якщо буде можливість, то обов'язково запишуся на курси. Дякуємо за лабораторію і непередавані відчуття.
n0z3r0
Я беру участь вдруге і чесно скажу мені дуже подобається те, як організована лабораторія, наскільки чуйні хлопці, які стежать за її роботою. Рівною за якістю і організації в інтернеті мабуть не знайдеться такої лабораторії, в основному всі обмежені однією машиною і з уже заїждженими образами, які можна знайти на Vulnhub. Або ж обмежені за часом кілька діб, так що якщо ти запізнився, то значить і прийняти участь, отримати досвід не вийде. Тут же
можна не тільки отримати досвід, але і масу емоцій. Дуже радує що час існування лабораторії достатньо, щоб не поспішаючи пройти її, відпрацювати ті чи інші види атак, прокидання портів, побудови реле і т. д.


Переможці
1-е місце Вячеслав Чернігів
Від імені всіх учасників хочу подякувати організаторам за проведену лабораторію! Це моя п'ята за рахунком лабораторія. Лабораторія здалася трохи легше попередньої, кілька токенів були взяті на автоматі, але все одно були моменти, коли потрібно було шукати рішення. Дуже сподобалося завдання ssh_test, на його рішення у мене пішло близько п'яти годин, але коли результат був отриманий, перше що прийшло в голову, коли його знайдуть, знизиться самооцінка (до речі його можна взяти відразу після входу на ssh!). Щоб проходити такі завдання адмінам потрібно думати як хакери, а хакерам думати як адміни, тоді буде гармонія.
З нетерпінням будемо чекати наступну лабораторію, всім спасибі за
підтримку і участь. Всім удачі.

До речі, коли я взяв останній токен, число учасників було рівно 9000!
2-е місце Олексій Столітній alexeystoletny
Лабораторія у Pentestit як завжди вийшла відмінною. Я беру участь в третій раз, і хочу щиро подякувати компанії за організацію лабораторій — в них кожен момент вартий окремої згадки:

• Цікаві і пізнавальні завдання, які насправді відображають сучасні вектори атак — тут немає нудних SQL ін'єкцій на ASP сайтах і інших артефактів десятирічної давності — кожне завдання це спосіб дізнатися про актуальної проблеми, її експлуатації та методикою вирішення.
• Чудовий змагальний аспект: зібратися з однодумцями і повоювати на полі віртуальної компанії — що може бути цікавіше? А враховуючи те, що колектив Pentestit і спільнота сама по собі активне і швидко розвивається, стає ще крутіше!
• Говорячи про спільноту, хочеться відзначити, що навколо лабораторій збирається унікальна аудиторія цікавих людей зі всього світу, з кожним з яких дуже цікаво познайомитися, обговорити спільні питання і завдяки цьому продовжити зростати.

Окремо вдячний компанії Pentestit за активну популяризацію напрямки ІБ в цілому — курси, defcon.ru, інформування про сучасні загрози, створення і модерування співтовариства, і, звичайно, лабораторії — все це дозволило особисто мені дізнатися багато нового, отримати практичний досвід і познайомитися з приємними і цікавими друзями і колегами.

Лабораторія ще буде відкрита досить довго, так що приходьте, реєструйтесь, і ви точно не пошкодуєте.
3-е місце Кирило Фірсов, isis — співробітник нашого улюбленого Хабрахабра.
Добре продумана лабораторія дозволяє проэкплуатировать різного виду уразливості в реальних умовах.
Баги від heartbleed до вірусів в ворді. Було здорово! Прийму участь і в наступний раз.




Для тих, хто хоче спробувати свої сили, але не знає з чого почати — ми публікуємо частковий врайтап по проходженню.

Якщо Ви вже спробували себе в бойових умовах лабораторії, але у Вас виникли труднощі при проходженні завдань, пропонуємо Вам підвищити свій професійний рівень знань. Для фахівців, зацікавлених в отриманні якісної практичної підготовки в області інформаційної безпеки і тестування на проникнення, нами розроблено «Корпоративні лабораторії», які знайшли захоплені відгуки від системних адміністраторів, працівників підрозділів інформаційної безпеки найбільших банків Росії, IT-компаній та державних структур.

Чекаємо Вас в числі учасників! До зустрічі!
Джерело: Хабрахабр

0 коментарів

Тільки зареєстровані та авторизовані користувачі можуть залишати коментарі.