Réserve citoyenne de cyberdéfense : Challenge CTF 0xCBAD !

Bonjour à tous !

Fin mai avait lieu le challenge technique (Type CTF) "0xCBAD" ouvert aux réservistes citoyens de cyberdéfense à l'Ecole des Transmission (ETRS) de Rennes, petit retour sur cet évènement vraiment réussi !

Pour en savoir plus sur la réserve citoyenne de cyberdéfense vous pouvez lire mon post Réserve citoyenne de cyberdéfense : S'engager !

Ce challenge a réuni environ 90 personnes venant de milieux différents, on pouvait notamment retrouver des personnes de l'ANSSI (Agence nationale de la sécurité des systèmes d'information), la DGA (Direction générale de l'armement), l'Armée de Terre, la Marine National et enfin des réservistes Cyber.

Neuf équipes constituées de 9 à 10 personnes provenant des différents milieux représentés se sont affrontés selon le scénario suivant :

• Chaque équipe représentait un banque
• Chaque banque avait sa propre infrastructure et ses propres services (Site Web, Backend, Firewall, etc...)
• Chaque banque devait valider des transactions banquaires provenant d'une banque centrale pour gagner des points. Difficulté : chaque transaction banquaire devait avoir été double validées, c'est à dire que deux banques devait valider chaque transaction avant qu'elle ne puisse être renvoyée à la banque centrale.
• En cas de perte de services ou problèmes sur l'infrastructure, les équipes perdaient des points.

Le but du challenge était donc de garder les services de sa banque intact afin de continuer à gagner des points, tout en attaquant les banques des équipes adverses pour qu'ils en perdent. Evidement, les sites ainsi que l'infrastructure des banques avaient un certain nombre de failles pouvant être exploitée par les autres équipes, il était donc nécessaire de le repérer et les corriger.

La difficulté principale venait du système de double validation des transactions. En effet; nous ne pouvions pas nous isoler du réseau pour rester en contact seulement avec la banque centrale (et donc être tranquille), ce qui nous obligeait à rester en contact avec les autres banques et donc nous obligeait à rester vulnérable aux différentes attaques.

Les 18 heures de challenge (Début du challenge 8h le mecredi matin, fin 2h le jeudi) ont bien été mises à profit par les différentes équipes. Le type d'attaque le plus employé a été le DDOS mais on a aussi vu des "XML Bomb" et certaines équipes on même réussi à ouvrir des Shell distant en utilisant des failles PHP ! Les organisateurs avaient également prévu des personnes simulant le groupe "Shadow Brokers", à qui ont pouvait acheter différents "exploit" contre des points !

Le mélange des milieux était vraiment une bonne idée puisque chacun pouvait apporter ses compétences en matière d'attaque ou de défense, pour moi c'est ce qui a rendu ce challenge particulièrement réussi ! C'est évidement l'occasion de monter en compétences et de rencontrer des personnes travaillant dans le même domaine que nous. Témoin de la réussite du challenge, tout les participants attendent déjà avec hâte celui de l'année prochaine !

Prochain challenge CTF (Hors cyber réserve), "La Nuit du Hack" au centre de convention à Disneyland Paris !