PHDays पर विजय 9. हम तीन हिस्सों में जीवन हैक साझा करते हैं। भाग ३

सभी को नमस्कार! हमारी जीत के कई हफ्ते हो चुके हैं, भावनाएं कम हो गई हैं, इसलिए जो हम सफल नहीं हुए, उसका आकलन और विश्लेषण करने का समय। यह हमारे काम में कोई फर्क नहीं पड़ता - हमने प्रतियोगिता जीती या एक वास्तविक परियोजना में भेद्यता पाई, लेकिन बग पर काम करना और यह समझना हमेशा महत्वपूर्ण है कि क्या बेहतर किया जा सकता है। वास्तव में, अगली बार प्रतिद्वंद्वी टीमें अधिक मजबूत हो सकती हैं, और ग्राहक के बुनियादी ढांचे की बेहतर सुरक्षा होती है। सामान्य तौर पर, जो लेख मैं आपको नीचे पढ़ने का सुझाव देता हूं वह विवादास्पद है और काम करने वाले व्यंजनों की गारंटी से अधिक विवादास्पद है। हालांकि, खुद के लिए न्यायाधीश।

ट्रेनिंग

जैसा कि मैंने पहले भाग में लिखा था, तैयारी हमारी जीत का एक महत्वपूर्ण तत्व थी। इस चरण के हिस्से के रूप में, हमने भविष्य की जीत की नींव रखी। लेकिन साथ ही, कुछ गलतियों को देखते हुए, हमने इस नींव में कई बार बम लगाए जो पूरी संरचना को विस्फोट कर सकते थे।

1. टीम

हमारी टीम में 20 लोग शामिल थे, और ईमानदार होना - यह बहुत कुछ है। वस्तुतः, अब समय बीतने के बाद सब कुछ बदल गया, मैं देख रहा हूं कि उसी आत्मविश्वास से भरी जीत के लिए हमारे पास 7-8 लोग थे। और कम आत्मविश्वास के लिए, 4-5 परिणाम-उन्मुख विशेषज्ञों के लिए पर्याप्त होगा। टीम में जितने अधिक लोग होते हैं, संघर्ष की संभावना उतनी ही अधिक होती है, क्योंकि इस तरह की प्रतियोगिताओं में एक बड़ा तनाव होता है, खासकर प्रतियोगिता के दूसरे दिन और सामान्य नींद के बिना। दुर्भाग्य से, वास्तविकता यह है कि आपको 20 समान रूप से अच्छे हैकर नहीं मिलेंगे, जिसका अर्थ है कि आपको अभी भी युवा विशेषज्ञों के कुछ गुणवत्ता आश्वासन करना होगा, जिसके परिणामस्वरूप उनके काम का दोहराव होगा।

एक महत्वपूर्ण कारक प्रतियोगिता के दृष्टिकोण में अंतर हो सकता है। मैं एक वर्ष से अधिक समय से भाग ले रहा हूं और लगभग हर बार मुझे निम्न स्थिति दिखाई देती है: टीम के सदस्यों में से एक 18-19.00 पर "कार्य दिवस समाप्त हो गया है" शब्दों के साथ छोड़ता है, और यह बहुत ही दृढ़ता से बाकी को ध्वस्त कर देता है। और एक तरफ, यह सही लगता है, क्योंकि कई लोगों के लिए यह सिर्फ एक नौकरी है। और दूसरे पर - यह उन लोगों को बहुत ही ध्वस्त कर देता है जिनके लिए ऐसी प्रतियोगिताओं का मतलब सिर्फ काम से ज्यादा है। उनके लिए, यह जीवन का हिस्सा है। शायद ऐसी चीजें प्रतिस्पर्धा शुरू होने से पहले टीम के भीतर चर्चा करने के लिए समझ में आती हैं।

टीएल; डीआर: मात्रा की तुलना में गुणवत्ता अधिक महत्वपूर्ण है। कई प्रतिभागी हमेशा अच्छे नहीं होते हैं।

2. एटिपिकल कमजोरियों का शोषण

निष्पक्ष रूप से, यह भी इरादा के अनुसार काम नहीं किया। जैसा कि आपको याद है, हमारे लिए अज्ञात कमजोरियों की तैयारी में, हमने मानक दृष्टिकोण लिखे और इस तरह के हमलों को अंजाम देने के लिए उपकरण भी डाउनलोड किए। यह सही कदम था, लेकिन कुछ और लोगों को करना पड़ा। सबसे पहले, ऐसी प्रतियोगिताओं की तैयारी में, सबसे पहले, समाधान के तकनीकी आधार और वास्तुकला का अध्ययन करना आवश्यक है। उदाहरण के लिए, औद्योगिक नियंत्रण प्रणालियों के मामले में, हमारी टीम में इस क्षेत्र के लिए जिम्मेदार सभी लोगों ने नियंत्रक, एससीएडी और उन सर्वरों के बीच अंतर को समझा, जो इधर-उधर बिखरे हुए थे। जिससे अंततः प्रतियोगिता के दौरान यह सब अध्ययन करने की आवश्यकता हुई। इतना कीमती समय बीत चुका है। ठीक है, निश्चित रूप से, आपको एक ऐसे व्यक्ति की आवश्यकता है जो न केवल सभी आवश्यक उपकरण डाउनलोड करने में सक्षम हो, बल्कि यह समझे कि आपको इसकी आवश्यकता क्यों है और इसे कैसे स्थापित किया जाए, बल्कि आभासी मशीनों पर सभी आवश्यक सॉफ़्टवेयर को पूर्व-इंस्टॉल किया गया है।

PHDays के साथ एक उदाहरण: आवश्यक सॉफ़्टवेयर के वितरण में से एक में 16 डिस्केट की छवियां शामिल थीं (पुराने को याद किया जाता है), केवल विंडोज एक्सपी पर स्थापित किया गया था और इसे चलाने के लिए फ्लॉपी डिस्क ड्राइव में एक डिस्केट की आवश्यकता थी। हम इसे स्थापित करने में सक्षम नहीं थे।

टीएल; डीआर: एक महीने में या उससे भी पहले तैयार करना शुरू करें। स्क्रिप्ट किड मत बनो, मूल बातें समझो।

3. उपकरण तैयार करना

यह कोई रहस्य नहीं है कि बहुत बार प्रवाह की स्थिति में रहने के लिए मौन और शांति की आवश्यकता होती है। खैर, हम केवल शांति का सपना देखते हैं, और PHDays पर चुप्पी आमतौर पर एक समस्या है। इसलिए, मैं हमारे लेखों में सूचीबद्ध सभी उपकरणों के अलावा, आपके साथ कान प्लग और साउंडप्रूफ हेडफ़ोन का एक सेट लाना सुनिश्चित करता हूं। वे आपको भीड़ के हुड़दंग और अप्रत्याशित साउंडचेक से दोनों को बचाएंगे।

TL; DR: अपने साथ ईयर प्लग लें। बेहतर है कि कुछ लोगों को छोड़ दें, अन्य प्रतिभागी आपके लिए बहुत आभारी होंगे।

प्रतियोगिताएं

4. समन्वय

टीम समन्वय पर महत्वपूर्ण मार्ग लिखना मेरे लिए बहुत आसान है, क्योंकि मैं इसमें लगा हुआ था, और मैं निश्चित रूप से यहाँ किसी को भी नहीं जीता था। इसलिए, प्रभावी समन्वय के लिए, आपको एक ऐसे व्यक्ति की आवश्यकता है जो यह अच्छी तरह से समझता है कि यहां क्या चल रहा है, पंच कैसे काम करता है, जंजीरों को मारता है और सामान्य रूप से, उसे प्रत्येक व्यक्ति के काम की बारीकियों को समझना चाहिए। जाहिर है, यह एक पंचर पृष्ठभूमि वाला व्यक्ति है जो सक्रिय रूप से अभ्यास कर रहा है, या हाल के दिनों (छह महीने से कम) में अभ्यास किया है।

दूसरी ओर, लोगों को किसी चीज को तोड़ते हुए देखना मुश्किल है, कहीं से गतिरोध के तरीकों की तलाश करना है, लेकिन किसी भी समस्या में शामिल नहीं होना बहुत कठिन है। यह मेरे लिए एक समस्या बन गई, और मैं उद्देश्यपूर्वक इसका सामना नहीं कर सका। कुछ बिंदु पर, मैं सक्रिय रूप से डेटा के बहिष्कार में लगा हुआ था और प्रतिस्पर्धी टीम से लड़ने में मदद करने लगा। इस वजह से, 3-4 घंटों के लिए, टीम का हिस्सा (लगभग 30% प्रतिभागियों) बस खो गया और पता नहीं था कि क्या करना है। अब मुझे एहसास हुआ कि टीम के सदस्यों में से किसी एक को यह कार्य सौंपना और प्रतियोगिताओं की समग्र तस्वीर की निगरानी करना जारी रखना अधिक सही होगा। आखिरकार, समन्वयक को हमेशा पता होना चाहिए कि प्रत्येक कार्य क्षेत्र में क्या हो रहा है।

PHDays IX के साथ उदाहरण: प्रतियोगिता के दूसरे घंटे में, हमने बिगबग्रुप डोमेन और सीएफ-मीडिया के बीच संबंध देखा। परिणामस्वरूप, एक एंटरप्राइज़ व्यवस्थापक खाता होने के बाद, हमें केवल 5 घंटों के बाद एहसास हुआ कि इसका उपयोग दूसरे डोमेन में भी किया जा सकता है। पहले, किसी ने कनेक्टिंग डोमेन पर ध्यान नहीं दिया, जो दोनों कार्यों में दिखाई दिया। मुझे लगता है कि यदि हम इस खाते का उपयोग करते हैं, तो हम आधिकारिक रूप से घोषित विलय से बहुत पहले दूसरे डोमेन का नियंत्रण ले सकते हैं और बहुत समय और तंत्रिकाओं को बचा सकते हैं।

टीएल; डीआर: समन्वयक को विवरणों में खुदाई न करने की कोशिश करनी चाहिए, लेकिन तस्वीर को समग्र रूप से देखें।

5. आयोजकों के साथ बातचीत

विशेष रूप से, हमारे मामले में इस क्षण ने एक घड़ी की तरह काम किया। लेकिन हमने देखा कि कई टीमें आयोजकों के साथ बहुत निष्क्रियता से बातचीत करती हैं या बिल्कुल भी बातचीत नहीं करती हैं। सबसे पहले, आपको टेलीग्राम चैट में अपडेट की सावधानीपूर्वक निगरानी करने की आवश्यकता है। कई टीमों ने सामाजिक परिणाम भी नहीं देखे। इंजीनियरिंग, जब तक उन्हें दृश्य से घोषित नहीं किया गया, लेकिन तब तक बहुत देर हो चुकी थी। हम सभी इंसान हैं और सभी के लिए गलतियाँ करना आम बात है। इसलिए, खेल के ढांचे में, हमने 3-4 कीड़े पाए जो सीधे हमारे बिंदुओं को प्रभावित करते थे, आयोजकों को सूचना दी और उन्होंने स्थिति को ठीक किया। वही ध्वज प्रारूप के लिए जाता है।

टीएल; डीआर: आयोजकों की हर बात पर ध्यान दें। बेझिझक उनसे पूछें कि क्या आपको अचानक कुछ समझ नहीं आ रहा है।

6. कागजात

एक पंक्ति में दूसरे वर्ष के लिए, आयोजकों ने अपनी रिपोर्ट के ढांचे में, अनुसंधान के बारे में बात की, जो, अन्य बातों के अलावा, स्टैंडऑफ के ढांचे में इसका आवेदन मिला। इसलिए, आपको निश्चित रूप से ऐसे व्यक्ति या लोगों के समूह की आवश्यकता है, जो स्टैंडऑफ के करीब के विषयों के साथ तकनीकी रिपोर्टों के साथ सभी वर्गों में जाएंगे और उन लोगों के लिए संक्षिप्त रीटेलिंग करेंगे जो स्टैंडऑफ साइट पर लड़ रहे हैं। विशेष रूप से, इस वर्ष एक रिपोर्ट थी, जिसके उपयोग से औद्योगिक नियंत्रण प्रणालियों में से एक प्रणाली तक पहुंच प्राप्त करना संभव था।

टीएल; डीआर: किसी व्यक्ति या लोगों के समूह को उजागर करने का प्रयास करें ताकि वे सभी तकनीकी रिपोर्टों में भाग लें।

मैं खुद प्रतियोगिताओं पर थोड़ी प्रतिक्रिया के साथ लेखों की इस श्रृंखला को समाप्त करना चाहूंगा। जैसा कि मैंने एक से अधिक बार कहा है, पिछले 3 वर्षों में गतिरोध का मुख्य तथ्य एक और एक ही तथ्य है: सुरक्षा हमेशा से रही है और कार्यक्षमता, प्रयोज्य और सुरक्षा के बीच समझौता का एक हिस्सा होगा। और वास्तविक जीवन के मामले में, कार्यक्षमता और प्रयोज्यता बहुत मजबूती से व्यवसाय का बचाव करती है।

सुरक्षा अपने आप में एक अंत नहीं है, लेकिन सिर्फ एक उपकरण है जो व्यवसायों की मदद करता है। और सूचना सुरक्षा विशेषज्ञों की सभी इच्छाएं पूरी नहीं होती हैं। ठीक है क्योंकि वे व्यवसाय के हितों के लिए काउंटर चलाते हैं। प्रतियोगिता के दौरान एक से अधिक बार हम ऐसी स्थिति में आए जहां हैकर्स को एक संवेदनशील सेवा मिली, और रक्षकों ने इसे बंद कर दिया। कल्पना कीजिए कि यह एक बैंक में होता है। कुछ हैकर ने आरबीएस सिस्टम में एक भेद्यता पाई और इसका अध्ययन करना शुरू किया, और आईएस सेवा ने, यह देखते हुए, इस प्रणाली को बंद कर दिया, और एक घंटे के लिए नहीं, बल्कि कई दिनों के लिए। कंपनी को भारी नुकसान उठाना पड़ेगा। एक कर्मचारी जिसने सेवा को अक्षम करने का फैसला किया, उसे निकाल दिया जाएगा, और सेवा को तुरंत बहाल कर दिया जाएगा। लेकिन अफसोस, यह प्रतियोगिता के मौजूदा प्रारूप में संभव नहीं है, और यह मुख्य कारक है जो हमें वास्तविक दुनिया में वास्तविक तस्वीर दिखाने से रोकता है, जहां दुर्भाग्य से, आईएस "हैकर्स" की क्षमताओं के साथ पकड़ता है, और इसके विपरीत नहीं।