บันทึกกันลืมอีกเช่นเคย คราวนี้เป็นงานที่จัดโดย TB-CERT

การแข่งขันจะแบ่งออกเป็น 2 งานย่อยแยกจากกัน คือการแข่งสำหรับ Blue Team และ Red Team กำหนดจำนวนสมาชิก ทีมละ 3 คน โดยผมมีโอกาสได้เข้าร่วมแข่งทั้งส่วนของ Blue Team และ Red Team ซึ่งประสบการณ์ที่ได้เป็นประมาณนี้

Blue Team

แข่งเมื่อวันที่ 30 สิงหาคม 2564 ระยะเวลา 7 ชั่วโมง มีทีมเข้าร่วมการแข่งขันจาก sector ธนาคารเป็นหลัก นอกจากนั้นก็มีด้านความมั่นคง โทรคมนาคม พลังงาน และภาครัฐ รวมแล้ว 45 ทีม

การแข่งจะใช้แพลตฟอร์ม Boss of the SOC v5 ของ Splunk โดยก่อนแข่งจะมี training ให้ด้วยประมาณ 2 วัน 👍

รูปแบบตอนแข่งก็คือจะมี scenario มาให้ เป็นเนื้อเรื่องประมาณ 6 scenario แล้วให้หาคำตอบโดยการค้นหาข้อมูลจากใน Splunk (ร่วมกับการทำ OSINT) ตอบถูกได้คะแนน ตอบผิดโดนหักคะแนน 😂

โดยส่วนตัวผมว่าสนุกดี แต่เวลาน้อยไปหน่อย ซึ่งก็เข้าใจได้เพราะเหมือนเป็นการแข่งความชำนาญในการใช้ Splunk เป็นหลัก คนที่คุ้นเคยกับ Splunk ค้นหาได้เร็ว รู้ว่าต้องหายังไง ก็จะได้คะแนนเยอะ ส่วนคนที่ไม่เคย/ไม่ค่อยได้ใช้ ค้นหาได้ช้า ก็จะได้คะแนนน้อย อะไรทำนองนี้

ผลการแข่งขัน ได้ลำดับที่ 12/45 คิดว่าอาจจะทำได้ดีกว่านี้ถ้าแบ่งงาน + บริหารเวลาให้ดี 🤔

ปล. ชอบ scenario เรื่อง Work From Home (หรือ Remote Working นี่แหละ) ได้ทำไปแค่ 2-3 ข้อตอนใกล้หมดเวลา แต่ดูแล้วน่าสนใจและมีประโยชน์ดี

Red Team

แข่งเมื่อวันที่ 16 กันยายน 2564 ระยะเวลา 12 ชั่วโมง มีทีมเข้าร่วมการแข่งขันจาก sector ธนาคารเป็นหลัก นอกจากนั้นก็มีด้านความมั่นคง โทรคมนาคม พลังงาน และภาครัฐ รวมแล้ว 45 ทีม

การแข่งจะใช้แพลตฟอร์ม CTF ของ Hack The Box ก่อนแข่งจะมี training ประมาณ 2 วัน และหลังแข่งมี debriefing ให้อีก 1 วัน 😙

รูปแบบตอนแข่งจะมี VM/Docker มาให้ แบ่งตามระดับความยาก

  • ส่วนที่เป็น VM โจทย์จะเป็นสไตล์ Hack The Box คือต้อง compromise เครื่อง เพื่อให้ได้ user flag และทำ privilege escalation เพื่อให้ได้ root flag
  • ส่วนที่เป็น Docker จะออกแนวคล้ายๆ CTF มากกว่าหน่อย คือให้ exploit web/service แล้วจะได้ flag มาตอบเลย บางข้อจะมี source code พร้อม Dockerfile มาให้ ลองรันบนเครื่องตัวเองได้

โดยส่วนตัวผมว่าสนุกดี (สนุกตลอด 555+) ถึงปกติจะไม่ค่อยชอบโจทย์แนว Hack The Box เท่าไหร่ (รู้สึกว่ามันซีเรียสเกิน 😅) และทำให้ได้ฝึกทักษะหลายๆ ด้านนอกจากการทำ pentest เช่น programming และ DevOps เพราะต้องมีการวิเคราะห์โค้ด และการใช้งาน Docker เพื่อลอง exploit บนเครื่องตัวเองก่อน ฯลฯ 🙃

ผลการแข่งขัน ได้ลำดับที่ 5/45 ดีกว่าที่คาดไว้เยอะมากกก 🎉

สิ่งที่อยากพูดถึงคือเรื่องสิ่งที่ผมได้จาก “Enumerate Harder” นี่แหละ ไม่รู้คิดไปเองไหม แต่ระหว่างแข่งรู้สึกว่าตัวเองมี mindset เปลี่ยนไปนิดหน่อยในการทำโจทย์ คือไม่รู้สึกเครียดเท่าตอนแข่ง 2021 RTARF Cyber Security Contest อารมณ์ประมาณว่า “เฮ้ย เราต้องทำได้สิ” (แต่เอาจริงๆ ก็ทำได้ตามสกิลที่มีอยู่ดี 555+)

บรรยากาศตอนแข่งคือ พอทำไปสักพักแล้วรู้สึกว่าไปต่อไม่ได้ ก็พักกินข้าว กินขนม แล้วมาลองทำใหม่… ที่พีคสุดคือช่วงโค้งสุดท้ายที่เหลือเวลาประมาณชั่วโมงกว่าๆ นั่งทำโจทย์ข้อนึงอยู่นานแต่ไม่สำเร็จ เลยบอกทีมงานว่าไปอาบน้ำก่อนนะ 🚿 ปรากฏว่าพออาบน้ำเสร็จออกมาลองใหม่ ทำข้อนั้นได้เฉย 🤣

Summary

สรุปว่าเป็นประสบการณ์ที่ดี และทำให้สมาชิกในทีมรู้สึกจุดไฟติดขึ้นมา 🔥 ในการพยายามพัฒนาตัวเองต่อ คหสต. คิดว่าการเข้าร่วมการแข่งขัน Cyber Combat กับหน่วยงานภายนอก เป็นสิ่งที่มีประโยชน์มากๆ กับทั้งองค์กรและตัวผู้เข้าร่วมแข่งขันเอง เป็นกิจกรรมที่ควรมีต่อไปยาวๆ 😃