Виктор Минин, 19/01/24
Кадровый голод в области информационной безопасности – это актуальная проблема, возникающая из-за недостатка квалифицированных специалистов на фоне стремительно растущего спроса на компетентность в сфере кибербезопасности. Он отчетливо ощущается как в коммерческих компаниях, так и в госорганизациях. Но просто найти молодых специалистов мало: от них требуются не только хорошие теоретические знания, но и практический опыт. Выходит замкнутый круг: опыт нужен, но взять его негде. Решением этой проблемы служат соревнования в формате CTF.
Автор: Виктор Минин, председатель правления Ассоциации руководителей служб информационной безопасности
Что такое CTF?
Capture the Flag (CTF) – формат соревнований в области кибербезопасности, где участники решают различные задачи с целью поиска "флагов" – информационных токенов. Соревнования носят разносторонний характер и затрагивают целый спектр знаний и умений в области ИБ. Многие соревнования предполагают командное участие, что развивает навыки коллективной работы.
Одним из наиболее масштабных соревнований такого типа является Кубок CTF России, который с 2006 г. проводит АРСИБ при поддержке ведущих отечественных компаний. В этом году Кубок прошел в 7-й раз. За эти годы вырос уровень как самих соревнований, так и подготовки участников. В 2023 г. в отборочном этапе Кубка CTF России были представлены все федеральные округа России, 60 субъектов и 121 населенный пункт. Но еще больше поражает количество образовательных организаций: участники представляли 112 вузов, 54 СПО, 150 школ и один центр дополнительного образования. Участие приняли команды не только из нашей страны, но также и из Бразилии, Беларуси, Казахстана, Киргизии, Монголии и Узбекистана.
Не обходится и без забавных ситуаций. На одном из школьных отборов на Кубок CTF России участвовал очень талантливый юноша, который то и дело выигрывал один турнир за другим. Примечательным было то, что делал он это в одиночку, так как не видел смысла в создании команды. В результате его все же удалось уговорить присоединиться к группе других ребят, чтобы к профессиональным навыкам добавился опыт командной работы.
Одним из наиболее масштабных соревнований такого типа является Кубок CTF России, который с 2006 г. проводит АРСИБ при поддержке ведущих отечественных компаний.
Классические типы CTF-соревнований, которые применяются и в Кубке CTF России, это:
- Jeopardy – викторина, где участники решают отдельные задачи в различных категориях, зарабатывая баллы за каждую успешно решенную задачу. В категории входят криптография, веб- и сетевая безопасность, AppSec и др.
- Attack-Defense (Атака-Защита), где команды соревнуются в защите своей инфраструктуры от атак и одновременно пытаются атаковать инфраструктуру других команд.
Форматы со временем развиваются: усиливается антураж классических типов CTF, добавляются новые сценарии. Соревнования проходят как онлайн, так и очно. Некоторые из них организовывают университеты, компании и сообщества.
CTF – кузница кадров для ИБ
CTF не только предоставляет участникам возможность практически применять свои знания, но и служит важным инструментом для обучения и развития навыков в области кибербезопасности.
Этот формат играет важнейшую роль в нахождении и воспитании юных талантов в области информационной безопасности за счет создания уникальных условий для выявления и оценки кандидатов.
Все это дает возможность попробовать себя в роли реального специалиста: сценарии кибератак моделируются максимально правдоподобно, а задания похожи на ситуации, с которыми сталкиваются эксперты по ИБ в своей повседневной деятельности.
Решение задач требует понимания уязвимостей, навыков анализа кода и применения других умений. Все это формирует у участников бесценный практический опыт, который, несомненно, пригодится им в ИБ-карьере.
Участие в CTF выявляет у кандидатов конкретные навыки: знание криптографии, владение инструментами сетевой безопасности, опыт в обнаружении и анализе уязвимостей и др. Но от участников также требуются умения аналитически мыслить и быстро выявлять и локализовывать проблемы. Соревнования часто проводятся в условиях временных ограничений, что заставляет участников принимать быстрые и обоснованные решения. Кандидаты, успешно участвующие в командных соревнованиях, демонстрируют свою способность эффективно работать в коллективе, разделять обязанности и обмениваться знаниями с коллегами.
Охота за головами
Участие в CTF не только позволяет эффективно и объективно оценивать кандидатов, но также способствует формированию качественного и многостороннего портфолио для успешной карьеры в области информационной безопасности.
Многие работодатели отслеживают наиболее интересных участников, приглашают их на стажировку и впоследствии трудоустраивают. Рекрутеры используют успехи в CTF в качестве фильтра при предварительной оценке, выявляя тех кандидатов, кто продемонстрировал хорошие навыки в сфере кибербезопасности. То есть для большинства компаний участие соискателя в соревнованиях CTF-формата является серьезным аргументом при найме.
Еще выше ценится опыт организации подобных соревнований. Одним из захватывающих и уникальных аспектов является возможность участников создавать и предлагать свои собственные задачи. Эта практика расширяет область интересов, стимулирует творческое мышление и поддерживает свежий взгляд и разнообразие в заданиях CTF.
Советы по подготовке к CTF
- Перед участием в соревнованиях важно иметь понимание основных принципов кибербезопасности, включая сетевые технологии, криптографию, веб-безопасность и реверс-инжиниринг.
- CTF включает в себя разнообразные задачи, ознакомьтесь с их примерами в различных категориях – не зацикливайтесь только на одном аспекте.
- Регистрируйтесь на онлайн-платформах CTF и участвуйте в соревнованиях, это даст вам практический опыт и поможет развить навыки, необходимые для решения задач в реальном времени.
- После завершения соревнования изучайте решения других участников, чтобы узнать новые методы и техники и пополнить свой арсенал.
- Многие CTF ориентированы на работу в команде, поэтому практикуйтесь в коллективной работе, обсуждайте стратегии и делитесь знаниями с другими участниками.
- Создайте портфолио, включающее в себя ваши достижения в CTF, выполненные задачи, а также описание использованных методов. Это поможет вам при поиске будущего места работы.
- Ландшафт угроз и инструментов в информационной безопасности постоянно меняется. Посещайте профильные конференции – это отличная возможность познакомиться с профессионалами отрасли, получить новые знания и завести полезные знакомства.
Заключение
Несомненно, элементы CTF стоит включать в учебные программы по информационной безопасности. Лабораторные работы и проекты помогут студентам ознакомиться с основами и принципами безопасности в максимально удобной манере, а регулярные внутренние соревнования помогут студентам не только применять полученные знания на практике, но и развивать их в условиях недостатка времени.
С другой стороны, важно оказывать поддержку ученикам и студентам, стремящимся участвовать во внешних соревнованиях, таких как Кубок России CTF. Образовательные учреждения могут предоставлять ресурсы и менторство для подготовки.
Преодоление кадрового дефицита является одной из основополагающих задач в деле информационной безопасности России, и CTF, безусловно, является одним из наиболее удачных форматов для развития и закрепления теоретических и практических навыков, так востребованных в будущей карьере.
