Ну, прошел KubSTU CTF. Этот пост о студенческом комьюнити, о том, каково все это строить, о видении, и о CTF в эпоху ИИ-агентов тоже поговорим. Что такое KubSTU CTF? Это ивент, который делается силами студенческого комьюнити Кубанского государственного технологического университета. Появился он не в кабинетах, не потому, что сверху сказали, — а потому, что когда-то мы смогли собраться, потому что хотели развиваться в ИБ. Что такое быть студентом в регионе? — Ну, вы, как правило, лишены большинства ивентов: единственный вариант увидеть кого-то из ИБ — поехать на конфу в другой город, потратив время и деньги. Конечно, накладно. Другой вариант тоже есть — научиться выигрывать, чтоб вас начали приглашать куда-то. Как? Только волевыми и на желание стать лучшим. Да, ты можешь далеко не всегда выигрывать — крутых ребят много, но цель и стремление — это то, что нужно. Еще для победы нужна команда. А как собрать команду там, где нет студенческих движух? Взять корешей, с которыми вы слушаете одну музыку или сдаете лабы по физике, и заразить их играми по кибербезу. Я считаю, что, если у вас нету комьюнити в вузе, — надо стать тем, кто объединяет, заражает любовью к ИБ и безостановочному росту. Не «глаголом жечь сердца людей», но если в вузе такого нет — стань этим человеком. Вернемся к нашему комьюнити. Со временем, когда наша команда (которая вечно болела от замен, от того, что кто-то терял мотивацию и переставал понимать, зачем ему CTF) начала что-то выигрывать, начали появляться другие команды — в этот момент очень важно не перейти в соперничество, а попытаться найти общий язык, обмениваться опытом и стать чем-то большим, чем просто команда. В комьюнити люди приходили, развивались, кто-то затухал, понимал, что оно ему не нужно, и уходил. Это тоже нормально. У нас за неактив можно получить кик из сборной. Это не плохо и не хорошо, а крайний сигнал человеку, что надо принять решение: ты топишь дальше или идешь куда-то в другую историю. В какой-то момент я начал замечать, что набор из условно 3 команд — это все же не совсем комьюнити. Все сами по себе. И тут появилась идея создать свой CTF. Делать свой ивент, тем более международный, — организационное безумие. Со стороны можно не заметить, но хороший ивент состоит из массы разных решений, часть из них — сильно заранее, и подготовка к новым соревнованиям всегда попытка ничего не упустить. Но ивенты не делаются в соло, и это главное. Подготовка объединила разные команды в общее дело, мы становимся коллегиальным органом, который учитывает мнение и вклад каждого. Ивент решил проблему: мы объединение, но как будто без общей цели. Сейчас мы чуть пересматриваем структуру, усложняем и пытаемся делегировать какие-то задачи, при этом привлекаем новых участников. Что такое быть оргом CTF во время ИИ? С одной стороны, ИИ явно облегчил создание заданий, с другой — ИИ-агенты сделали так, что ручками копается мало. На этом сезоне я захотел бросить сам себе вызов и сделать несколько тасок, которые вайб-кидди пентестеров поставили бы в не очень хорошее положение. Получилось ли? Посмотрим на 2 родственных задания: bank1 (100+ солвов) и bank2 (8 солвов) — в чем разница? В bank1 обычное приложение, где надо выполнить АТО и байпас подписи, в bank2 — телеграм-миниапп с SQL в параметре старта тг-бота. То есть, усложнив саму среду решения задачи, мы видим огромную просадку по решениям. Далее HellDriver — задача в 6 шагов, да с байпасами, кросстенантами и палюшеном, но все это мы уже много раз видели. А вот то, что в таске куча ходов, дающих какую-то ограниченную уязвимость — как бывает в реальной жизни, — и ИИ захлебывается, не может определить верный вектор, это уже что-то новое. Задание решила через 3 минуты после окончания соревнований одна команда. Мое мнение — оргам CTF надо меняться, и это вина организаторов, что у них задачи решаются ИИ-агентами. Делаем выводы и становимся лучше. Должны ли все таски быть гробами? Нет. Очень важно комьюнити расти, оставляйте всегда легкие задачи для самых юных игроков, это очень важно.
