Per la prima volta la CTF (Capture the Flag) di Interlogica si è evoluta in un evento indipendente: WASTELANDS 2024.
Dal 5 al 7 luglio si è tenuta una sfida online di 3 giorni, progettata dal nostro talentuoso Team di Cybersecurity, che ha offerto a chi ha la passione per la cybersecurity l’opportunità di mettere alla prova le proprie abilità di hacking e risoluzione dei problemi in un ambiente stimolante e competitivo.
Ma entriamo nel dettaglio.
Cos’è una CTF ?
Si tratta di una competizione in cui i partecipanti devono trovare flag nascoste all’interno di sistemi informatici simulati.
Ogni flag rappresenta una vulnerabilità scoperta o un problema risolto.
Queste sfide sono utilizzate non solo a scopo educativo, ma anche per testare e migliorare le competenze di sicurezza informatica.
Esistono diverse tipologie di CTF. Wastelands è di tipo Jeopardy, ossia chi partecipa affronta una serie di problemi o enigmi in diverse categorie, come ad esempio crittografia, reverse engineering e exploitation.
Ogni sfida risolta fornisce una flag che può essere utilizzata per ottenere dei punti.
La CTF ha diversi scopi:
📚 Formazione
Un ambiente sicuro e controllato dove poter applicare le proprie conoscenze tecniche e imparare nuove abilità in un contesto pratico.
Abilità che poi vengono applicate nella realtà durante i Penetration test.
📊 Valutazione delle Competenze
Un sistema usato da aziende e organizzazioni per valutare in modo pratico e oggettivo le competenze del personale o di chi si candida.
🌐 Networking
Riunisce professionisti e professioniste di tutto il mondo, facilitando il networking e lo scambio di idee.
Richiede lavoro di squadra, promuovendo la collaborazione e l’interazione tra componenti del team con diverse competenze.
Può contribuire a farti conoscere dall’azienda che organizza la CTF, capisci i valori e la cultura, vedi che partner raccoglie intorno all’evento, etc.
🥊 Sfida
È un’esperienza divertente, stimolante e gratificante per chi ama risolvere problemi complessi.
Rappresenta una sfida personale per poter misurare le proprie capacità.
Processo di Creazione
La creazione della CTF ha coinvolto l’intero team di cybersecurity di Interlogica, che ha adottato un approccio sistematico e collaborativo.
Ciascuno ha contribuito con le proprie competenze specifiche, dal Penetration testing alla Sistemistica, dalla Programmazione alla Grafica.
Un approccio che ha permesso di creare una varietà di esercizi che spaziano su diverse aree della sicurezza informatica.
Il processo è iniziato con l’analisi di numerose vulnerabilità reali, raccolte attraverso i Pentest. Alcune di queste vulnerabilità, particolarmente insolite e interessanti, hanno ispirato lo sviluppo di scenari di attacco realistici e sfide coinvolgenti.
Dopo l’identificazione delle vulnerabilità da usare come sfide, il team ha definito un filone narrativo coerente.
La particolarità della CTF Wastelands risiede nella sua unicità: tutte le sfide sono interconnesse da una macro-storia, ambientata in un mondo post-apocalittico, che chi partecipa può vivere e seguire risolvendo le varie prove.
Architettura
L’architettura, innovativa e sviluppata da zero, è caratterizzata dalla presenza di due componenti:
1 – Il portale utilizzato dai partecipanti
- È costruito con una grafica accattivante, perché è ciò che vede e usa chi partecipa.
- È completamente integrato con il sistema di management.
- È scritto in Python Flask.
- È integrato con le API di Discord.
- Si interfaccia col server Discord ufficiale di Wastelands.
- Gestisce la creazione dei canali vocali e testuali privati, riservati per ogni team.
- Interagisce con i partecipanti ricevendo e inviando messaggi e comunicazioni.
2 – Il sistema di management
- È il cuore dell’infrastruttura.
- Gestisce in maniera dinamica le Virtual Machine (VM) e i container Docker per ciascun team.
- Gestisce gli accessi tramite VPN.
- Espone delle API che vengono utilizzate dal portale web.
- Utilizza Proxmox e WireGuard su OpnSense.
- È sviluppato in Python.
Le Sfide della CTF
Wastelands comprende una serie di challenge progettate per mettere alla prova le abilità in diversi ambiti della cybersecurity.
Design accattivante e sfide coinvolgenti sono gli ingredienti fondamentali di Wastelands. Chi partecipa si immerge in avventure travolgenti, affrontando vecchi terminali, device IoT, filesystem scomparsi nel tempo.
Diverse sono le categorie coinvolte come:
- Web
Si concentrano sulle vulnerabilità delle applicazioni web.
- Pwn
Per prendere il controllo del sistema operativo del server della sfida.
- Stego
Informazioni all’interno di file multimediali come immagini, audio e video da nascondere o rivelare.
- Reverse Engineering
Si analizza il codice binario di un programma per comprenderne il funzionamento, senza aver accesso al codice sorgente.
Alcune interessanti statistiche
Siamo entusiasti dei risultati ottenuti quest’anno.
La competizione CTF Wastelands ha avuto un enorme successo, dimostrando il suo impatto globale grazie alla sua natura “worldwide”.
I partecipanti provenivano da ben 35 nazioni differenti, arricchendo la competizione con una straordinaria diversità culturale e un vasto panorama di competenze tecniche.
La CTF ha confermato ancora una volta la sua importanza e il suo prestigio nella comunità globale degli appassionati di cybersecurity.
Nel portale web dal 2 al 7 luglio ci sono stati 3480 visitatori, con il picco piu’ elevato rilevato alla data d’inizio della ctf, con 1050 utenti collegati contemporaneamente.
Grafico che mostra i visitatori unici nel periodo 2/7 luglio
🧑💻 Iscritti al portale: 758
🤝 Team attivi: 80
👥 Numero di giocatori in team: 237
🌍 Numero di nazioni partecipanti: 35
🎯 Numero totale delle challenge: 27
⚠️ Numero totale di adv glitch: 22
Per un approfondimento👇🏼
Il team di Cybersecurity è stato protagonista di un’intervista condotta da Rocco Sicilia, appassionato ed esperto di sicurezza informatica, durante la quale hanno svelato i retroscena di una “macchina” complessa come la Capture The Flag (CTF).
Questa è stata un’opportunità imperdibile per scoprire come nasce un evento CTF, il funzionamento dell’infrastruttura su cui abbiamo lavorato e il processo di creazione delle challenge.
Durante l’intervista, il team ha illustrato i vari gradi di complessità delle sfide, partendo dalle singole vulnerabilità fino ad arrivare alle challenge più impegnative e concatenate, offrendo una panoramica completa delle tecniche e delle strategie coinvolte.
TI È PIACIUTO QUESTO ARTICOLO? LEGGI ANCHE:
PenTest: tutto quel che c’è da sapere (e perchè è importante)
Tecnologia e sostenibilità: due parole con Eric Ezechieli
AI, Machine Learning, IoT. La mia esperienza a AWS SUMMIT 2023
