Пролог. Как в киберспорте

Участие в битве Standoff я бы сравнил с игрой в Counter-Strike 2 или Dota 2. В CS сильный игрок не гарантирует победы, если команда не знает карты, не умеет разыгрывать позиции, не обменивается информацией и не понимает, когда нужно наступать, а когда лучше спрятаться. В Dota топовый игрок не вытянет матч, если у команды нет распределения ролей, контроля карты, таймингов, хорошего обзора, понимания силы пика и общего плана на игру. Безусловно, индивидуальный скил каждого игрока играет большую роль, но на нем одном далеко не уедешь.

В кибербитве действует та же логика. Команда может состоять из десяти сильных специалистов, но уступить более сыгранным товарищам. Если группа не слажена, не понимает механики сражения, не имеет необходимой инфраструктуры и компетенций, то рассчитывать на достойный результат не стоит. Вот как примерно выглядит формула успеха в кибербитве:

техника × тактика × сыгранность × выносливость × дисциплина = результат

Если хотя бы один из множителей стремится к нулю, общий результат снижается.

Я Bagley. В составе команды True0xA3 участвовал в Standoff 12 и 13. Огромное спасибо парням за то, что погрузили в мир кибербитвы и много чему научили. Сейчас я в составе команды Cyb7rC0d3# — участники Standoff 15 и 17. А еще я ментор красных команд и просто активный пользователь онлайн-полигона Standoff Hackbase.

В этой статье поделюсь своим видением подготовки «красных» (red team) к участию в кибербитве Standoff.

Статья носит исключительно информационный характер и не является инструкцией или призывом к совершению противоправных действий. Авторы не несут ответственности за использование кем-то информации из статьи.

Сила в универсальности

Недостаточно быть просто пентестерами, топовыми архитекторами или DevOps-инженерами, мало круто писать эксплойты или реверсить любые бинарные файлы. Standoff больше не про это. Для лучшего результата у вас должно быть 10 универсальных бойцов с сильной базой во всех областях: и в вебе, и в Active Directory, с пониманием основных тактик и методов атак, а также с умением их воспроизводить. Необходимо (если вы рвётесь к победе, конечно), чтобы вдобавок к этому у каждого участника были уникальные навыки в какой-то отдельной области, например в промышленных системах автоматизации (ICS), безопасности банковских продуктов и систем, навыки в непрерывной разработке и развёртывании программного обеспечения (CI/CD).  

Жизненный цикл red team

Для новичков я уже выпустил пост в своем Telegram-канале. В нем рассказал, что нужно изучить, чтобы начать реализовывать недопустимые события на онлайн-полигоне Standoff Hackbase.

Предположим, что вы уже знакомы с базовыми вещами, понимаете механику Standoff и готовы выступить на кибербитве. Как подготовиться?

Концептуально Standoff — это соревнования. Как и в других дисциплинах, здесь работает сезонный формат, который обеспечивает результативный выход на кибербитву. В спорте в сезоне обычно три этапа, у нас же их четыре:

1. Предсезон — собрать состав, подтянуть индивидуальные навыки, настроить процессы внутри команды.

2. Тренировочный цикл — отработать техники атакующих и командное взаимодействие на платформе Standoff 365, изучить базу знаний и кейсы предыдущих битв.

3. Соревнование — структурировать полученную информацию, выбрать выигрышную тактику, взять под контроль темп и ресурсы команды, реализовать риски.

4. После сезона — разобрать ошибки, сохранить знания и использовать опыт для создания следующего тренировочного плана.

Такая модель помогает уйти от типичной ошибки — тренировок в формате «каждый сам решает лабы». Индивидуальная практика нужна, но на Standoff результат часто зависит от того, насколько хорошо команда ориентируется в инфраструктуре, передает друг другу информацию, строит маршруты атаки, картографирует внутреннюю сеть и фиксирует доказательства для качественного отчета.

Предсезон

Я выделяю этот этап, потому что очень сложно собрать замотивированных экспертов, которые готовы уделять время тренировкам, лабам и команде. Я не раз слышал о ситуациях, когда компании выводили на битву команды, набранные по добровольно-принудительному принципу. И хорошо, если в такой команде найдется хотя бы 3-4 действительно заинтересованных человека, которые будут стремиться реализовать десяток критических событий в инфраструктуре виртуального города.

Обычно на стороне «красных» выступают специалисты, которые так или иначе связаны с наступательной безопасностью: редтимеры, пентестеры, AppSec-инженеры. Поэтому в уровне индивидуальных скилов, как правило, сомневаться не приходится. Если придется набирать людей, я бы смотрел на наличие сертификатов и на позиции в рейтингах CTF-платформ (особенно Standoff Hackbase).

Опыт предыдущих битв привёл нас к следующему формату: основная команда делится на несколько автономных мини-групп, каждая — со своим капитаном. Основной капитан команды совмещает координационную роль с руководством одной из таких групп. Это позволяет параллельно вести работу сразу по нескольким сегментам. Далее каждой мини-команде делегируется область задач, согласно компетенциям и желанию участников.

Тренировочный цикл

В спорте нельзя начать подготовку с участия в финале чемпионата. Сначала спортсмены работают над физической формой и доводят свою технику до автоматизма. Для red team эта самая форма представляет собой скорость работы с инфраструктурой, знание инструментов, уверенность в своих действиях и умение действовать последовательно, двигаясь по привычному сценарию.

Индивидуальная работа редтимера заключается в адаптации скилов под механику полигона. Каждый обязательно должен порешать задания на Standoff Hackbase и понять, как устроен полигон, какие техники чаще всего встречаются в различных сегментах и где именно искать критические события. Перед тем как заканчивать индивидуальную тренировку, нужно «дать пас» товарищам — это может быть короткий плейбук или разбор заданий. Если знания останутся только у одного человека, команда не станет сильнее.

Вспомним деление на мини-группы. Еще один неявный плюс этой практики — мобильность. Собрать на тренировку нескольких человек намного проще, чем всех десятерых. В течение года эти группы могут заниматься самостоятельно, использовать свою инфраструктуру, систему фиксации результатов и обмена информацией. Регулярность тренировок контролирует капитан всей команды.

Где-то за три месяца до главной битвы нужно начать собираться всем составом. Сначала можно провести созвон, чтобы понять, кто точно играет, а также проанализировать результаты тренировок в маленьких группах, выбрать общекомандный С2, систему обмена информацией и хранения данных, договориться о первой общекомандной тренировке. В ходе занятий необходимо «докрутить» инструменты, закупить недостающую инфраструктуру — чем раньше, тем лучше. Будет идеально, если получится занять места на участие в отборочных соревнованиях.

Первая тренировка

Она длится от 4 до 8 часов. Вся команда подключается к онлайн-полигону Standoff Hackbase и согласно специализации мини-групп решает задачи в определенных сегментах. Полностью эмулируем соревнования: от участников требуется максимальная вовлеченность, фиксация найденной информации, взаимодействие с командой, работа с заготовками для инструментов и техник, наполнение и проверка индивидуальных «заметок». После идет разбор тренировочного дня, анализ слабых мест и поиск путей их устранения.

Передача эстафеты

Здесь я имею в виду следующую тренировку. Бывает так, что часть мини-группы переходит в другой сегмент. На скорость их погружения в новое направление влияет качество ведения заметок по сегменту: доступы, учетные записи, алгоритмы нахождения кратчайших путей, проверенные гипотезы, выполненные задачи. На этой тренировке группы специально меняются сегментами и передают друг другу всю информацию с первого занятия. Мини-команда, получив данные, должна максимально быстро восстановить позиции и реализовать новые риски. Таких тренировок должно быть несколько, а вообще их количество не ограничено.

Каждому человеку в команде необходимо иметь заготовки разных действий — от проведения разведки до загрузки определенных инструментов через свой или командный C2. Понадобятся также заготовленные однострочные команды для скачивания и запуска агентов, закрепления в системе и других атакующих шагов. Базовые инструменты должны быть полностью готовы к использованию.

Соревнование

После онбординга у команды уже есть понимание, какая группа на какой сегмент идет. До старта обсуждаются тактики, соответствующие механике битвы, проверяется инфраструктура, виртуальные машины и прочие системы. Запомните: никаких обновлений VM во время битвы! Впереди около 40 часов работы в режиме дикого мозгового штурма — нужен правильный настрой.

Вот базовые правила для «красных», которые помогут достойно пройти кибербитву:

• Самое главное в первый день — найти варианты прохода во внутреннюю сеть, получить первоначальный доступ, определить, какие риски уже видны, проложить маршруты до других сетевых сегментов.

• Нельзя ни на минуту откладывать оформление отчета о реализации риска со всеми пруфами, скринами, командами и последовательностью действий. Стоит сразу делать правильно, чтобы отчет не возвращали на доработку и не отклоняли.

• В конце игрового дня нужно подвести итоги, структурировать полученную информацию и заполнить общекомандное информационное пространство.

• Перед началом следующего игрового дня важно определить алгоритмы дальнейших действий.

• Правила Standoff требуют честной игры, уважения ко всем участникам и соблюдения ограничений. В частности, нельзя мешать другим командам, намеренно нарушать доступность сервисов, удалять данные или обмениваться готовыми решениями. Но есть те, кто эти правила нарушает, и нужно понимать, это вектор сломан или вы просто зашли в тупик. Иногда полезно еще раз сделать то, что уже сделано: может, хост откатили или сломанный вектор починили.

• При необходимости можно менять людей местами: перераспределять по группам, сегментам — вдруг обновленный состав поможет продвинуться.

• Самое главное — не забывать о перерывах. Если в режиме нон-стоп сидеть за решением, на третий день мозг просто откажется работать и будет пропускать очевидные вещи. Техническая выносливость red team — это не способность сидеть у терминала 10 часов без перерыва, это умение четыре дня подряд принимать точные решения и не терять качество работы.

После сезона

После битвы всем нужно отдохнуть. Подводить итоги стоит дня через два после финала, когда еще не вся «боль» забудется, а эмоции немного остынут. Вместе с командой нужно выяснить, какие ошибки были допущены, и определить, как не повторить их в будущем.

Примерные вопросы для разбора:

? Какие направления дали наибольший результат?

? Где команда потеряла больше всего времени?

? Какие доступы были получены, но не были использованы (так как не получилось найти вектор для реализации рисков)?

? Где не хватило технической экспертизы?

? Какие действия дублировались несколькими участниками?

? Какие были ошибки в написании отчетов?

? Какие инструменты помогали, а какие создавали лишний шум?

? Какие техники обнаруживались защитой и не приносили нужного эффекта?

После соревнования стоит обновить внутренние плейбуки, расширить существующие шпаргалки, наполнить базу отчетами о реализованных рисках, записать типичные TTP. Так опыт одной кибербитвы становится фундаментом для следующей, а не исчезает в чатах и личных заметках.

Заключение

В начале статьи я привел формулу для достижения успеха в битве:

техника × тактика × сыгранность × выносливость × дисциплина = результат

Напоследок давайте зафиксируем, что конкретно означает каждая составляющая:

• техника — умение находить и эксплуатировать уязвимости, определять роль каждого хоста в сегменте и его значимость в реализации риска;

• тактика — выбор правильного вектора атаки;

• сыгранность — способность без потерь передавать доступы и контекст;

• выносливость — сохранение качества работы в течение всей кибербитвы;

• дисциплина — ведение заметок, написание отчетов, фиксация пруфов и соблюдение правил битвы.

Команды, которые с 2016 года участвовали в самых первых битвах, набирали настоящий опыт только во время сражений. Они разбирали сложные вопросы уже после Standoff, иногда не имея возможности на практике подтвердить найденные решения. Опыт сохранялся, обогащался и передавался участникам из года в год.

Сейчас у «красных» есть отличный практический инструмент для формирования «спортивной формы» — это онлайн-полигон Standoff Hackbase. Он создает полноценные условия для изучения новых инструментов и отработки техник атакующих, что позволяет тренировать каждый компонент формулы успеха в кибербитве.

Go red team!