すべての良いものには終わりがあり、毎年恒例のCTFも残念ながら例外ではありません。この大会が始まったとき、皆さんに、CTFのベテランであろうと新参者であろうと、12の新しい課題に挑戦するようお願いしました。また、Discordサーバーで参加者の皆さんと直接私たちと交流するように依頼しました。放射性降下物によって荒廃し、東海岸と西海岸の間のサイバー内戦の瀬戸際にあるポスト黙示録的な米国を舞台にした、今年の物語に没頭していただきました。あなたがそれを成し遂げたことを発表できることをうれしく思います。
上位入賞チームの審査とソリューションの投稿が終わり、いよいよ受賞者の発表と分析して、ベストコースト™を決定する時が来ました。
受賞者
| 順位 | チーム | キャプテン | 他のメンバー | 忠誠 |
|
1st |
TBG |
TheBadGod |
East |
|
|
2nd |
DeadSec |
DeadSec |
East |
|
|
3rd |
Quoi 2 9? |
movrment |
East |
|
|
4th |
jt |
jt |
West |
|
|
5th |
x0rc3r3rs |
green-panda999 |
r3tZy, annexe |
East |
まず、今年の優勝チームが3900点満点を達成し、しかも大会1週目で達成したことを祝福したいと思います。
図1: 最初の1週間の上位10チームのスコア
約束通り、上位5チームのメンバーには、私たちがデザインしたTrellix HAX 2023チャレンジコインを獲得しました。この大会を開催することで、国際輸送の複雑さを知ることができたのは何よりです。
また、5位チームのキャプテンであるgreen-panda999は、半数以上のチャレンジの詳細なレポートをウェブサイトに投稿しています。彼らはDiscordサーバーにも積極的に参加し、いつも楽しく交流してくれました。
分析
主催者として、私たちが最も嬉しく思っているのは、この「エンゲージメント」です。昨年に比べ、参加者数が5倍近くに増え、これまでで最も多くの方々にご参加いただけたと喜んでいます。
| 順位 | 2022 | 2023 | 増加 |
|
登録ユーザー |
305 |
1467 | 380% |
| 登録チーム |
175 |
955 | 446% |
| Discordメンバーのピーク |
~100 |
~500 | ~400% |
また、100カ国以上から参加者が集まり、米国中心の物語を選んだことが、海外からの参加者を失望させることにならなかったようで、嬉しく思っています。1ダースのコインを海外に発送することは、国際的な関わりを意味するのであれば、小さな代償だと思います。
チャレンジに関しては、100ポイントのチャレンジ「We Need to Break Free」が 250を超える解答で特にアクセスしやすいことを証明し、幅広い難易度をカバーするという目標を達成できたのは嬉しい限りです。より難しい 400-500 ポイントの課題は10未満でした。
図2: 課題ごとの解答数
面白いことに、最も解答数が少なかった課題は、実は「Reachable Fruit」と「A Micro What?」でした。どちらも400ポイント満点の課題です。来年に向けて、もっとスコアの調整に時間をかけるべきかもしれません。
勝者の上限を上位5チームとすることは、一般的に恣意的な閾値ですが、上位5チームが最高得点の3900スコアを獲得し、6位が2700という結果には、その判断が正しかったと思います。順位が気になる方は、最終スコアボードをこちらに掲載しています。
EastとWestの比較という重要な問題ですが、ほぼすべての指標でEastが上位を占めていることに驚きました。1位のチームが東海岸カラーだったほか、上位5チームのうち4チームがEastで、Eas所属チームの累計はWest所属チームのほぼ2倍でした。
| West | East | |
|
チームの数 |
101 |
160 |
| 累積スコア |
26,700 |
51,100 |
| 1チームあたりの平均スコア |
264.36 |
319.38 |
注：上の表は、100ポイント以上獲得したチームのみを対象としています。
今回の戦争では、チーム数が圧倒的に少ないWestが劣勢だったのは確かですが、Eastのチームは個人的にも全体的にも好成績を収め、チームあたりの平均スコアも高くなりました。認めたくないのですが、今回は間違いなくEastがベストコースト™ です。
物語のエピローグ
諜報活動、偵察、そして昔ながらのハッキングの長期的なキャンペーンを経て、東側の人数と専門知識の優位性が決定的なものとなりました。西側のアドホックな国営コンピュータシステムの一枚岩の性質と、その心臓部を攻撃する手段を認識した東側は、最終的なペイロードを準備しました。24時間の間に、東側のハッカーは西側のコアコンピューティングインフラにアクセスし、ドライブを暗号化し、マスターブートレコードを削除し、中央管理システムの70％近くを使用不能にしました。西側諸国では、生存のために国家の支援と物流に依存している数百万人に代わり、西側諸国の政府首脳は無条件降伏に同意しました。デジタルによる締め付けは解かれ、人道的な活動は再開され、二つの海岸にまたがる国は再び一つの旗の下に団結しました。内紛が一段落し、両国は、その旗が海外からそう簡単に奪えないように努めることに戻りました。
最後に
CTF大会を長年開催してきた中で、計画どおりに進まないことが必然的に発生することを学びました。今回は、悪用する側のコントロールが効きすぎる課題があり、必然的にハッカーがハッカーらしいことをするようになりました。
幸いなことに、参加者の皆さんは、何か問題が発生すると必ず私たちに知らせてくれたので、ショーは続行することができました。私たちとしては、このような不都合を教訓に、今後もCTFを改良していくつもりです。同じように、サイバーセキュリティのコミュニティにおいても、私たちは常に研究を改善し、仲間から学ぶ努力をしています。
本書およびここに含まれる情報は、教育目的およびTrellix顧客の利便性のみを目的としたコンピュータセキュリティリサーチを記述したものです。
※本ページの内容は2023年3月17日（US時間）更新の以下のTrellix Storiesの内容です。
原文：Trellix HAX 2023 Capture the Flag Results!
著者：Max KerstenMark Bereza, Jesse Chick