Итоги The Standoff:
35 команд-участников из России, Белоруссии, Казахстана и других стран.
79 часов работы
343 отчета о зарегистрированных уязвимостях
328 отчетов об обнаруженных инцидентах безопасности
тонны литров энергетиков и кофе выпито участниками
и все это The Standoff 2021 - главное соревнование года по практическому проникновению!
В этом году The Standoff собрал 35 команд из атакующих и защитников. Среди них: победители и финалисты The Standoff предыдущих годов, участники и организаторы различных соревнований CTF ИБ (Российские и мировые чемпионаты), студенты и представители компаний с мировым именем, пентестеры, вирусные аналитики, хакеры, разработчики, специалисты по безопасности.
Как это было
Основная задача, которая стояла перед командой атакующих - реализация бизнес-рисков, несущие последствия колоссального ущерба для организаций на полигоне. Защитники должны были выявить инциденты и устранить их. Для удобства вся инфраструктура города была поделена на шесть компаний-сегментов: газораспределительная станция и электроподстанция, нефтедобывающее предприятие, транспорт, деловой центр, электрогенерирующие конструкции и сеть торговых точек.
При помощи средств поиска и эксплуатации уязвимостей, структурного анализа командой «Астрал Безопасность» были осуществлены бизнес-риски: мошенничество в системе продажи ж/д билетов, сбой в системе регистрации пассажиров, отключение уличного освещения, утечка персональных данных сотрудников и др.
Вот некоторые виды уязвимостей, которые использовали наши парни: LFI, RCE, SQLi Bypass Authentication, Union Based SQL-injection, Path Travelsar, Reverse Shell, Bypass WAF, command injection, CSRF, RFI.
Иван Костенко, Руководитель отдела поддержки продуктов:«79 часов мы соревновались с топовыми командами по атаке и защите киберполигона "The Standoff", где были воссозданы операционные и бизнес-процессы в реальных промышленных, энергетических, транпортных и финансовых компаниях. Нам удалось реализовать несколько бизнес-рисков таких как покупка Ж/Д билетов, получение полной базы пассажиров аэропорта, получение информации о перелетах, реализовать достаточное количество bug bounty, намайнить крипту на чужих мощностях. Это был крутой опыт, что-то абсолютно новое».Наша команда впервые участвовала в мероприятии подобного масштаба!
По итогам четырехдневного марафона и бесперебойной атаки на инфраструктуры полигона - команда «Астрал Безопасность» заняла 12 место!
Наши поздравления!