CTF-соревнования в России

Первые российские студенческие CTF-соревнования под названием UralCTF прошли весной 2006 года в Екатеринбурге. Турнир был организован по инициативе команды «Хакердом» (HackerDom)*.

*Команда «Хакердом» (HackerDom) появилась осенью 2005 года на математико-механическом факультете Уральского Государственного Университета (г.Екатеринбург). Основной деятельностью команды являются изучение компьютерной безопасности, участие в соревнованиях Capture the Flag, а также проведение собственных соревнований. За последние 15 лет они провели более 40 соревнований и обучили около 12 000 студентов.

Тогда в них участвовали всего две команды. А уже в 2008 году были организованы всероссийские соревнования, в которых приняли участие команды из семи российских городов. В 2009 году был проведен международный турнир CTF, в котором участвовали 43 команды со всего мира: из университетов России, Индии, Германии, Вьетнама, Австрии, США, Франции, Италии, Хорватии, Норвегии и Аргентины. С этого времени каждый год количество участников росло.

На сегодняшний день такие мероприятия активно проводятся в различных регионах страны, например турниры: CyberSibir CTF (г.Томск), SPbCTF (г.Санкт-Петербург), VrnCTF (г.Воронеж), TyumenCTF (г.Тюмень), Moscow CTF School (г.Москва) и др.

Так, с 14 по 18 мая с.г. в Воронеже прошёл CyberCraft 2025 – первый чемпионат по спортивному программированию и кибербезопасности. Его особенностью стала оригинальная легенда: участникам предстояло спасти чертежи кораблей времён Петра I от «Теневого шкипера». Организаторы подготовили комикс, а также использовали Unreal Engine для визуализации хода соревнований: действия команд влияли на состояние виртуального флота. В рамках чемпионата прошло три основных соревнования:

• VrnCode (14–15 мая) – соревнования по алгоритмическому программированию.
• VrnCTF (17 мая) – Task-Based CTF, где участники решали отдельные задачи из разных категорий ИБ.
• CenterCTF (18 мая) – Attack–Defense, где команды атаковали и защищали собственные сервисы.

Следует отметить, что организатором или главным партнёром многих таких соревнований по кибербезопасности является Ассоциация руководителей служб информационной безопасности (АРСИБ)*, председателем правления которой, а также идейным вдохновителем и главным организатором CTF-движения в России является Минин Виктор Владимирович.

Так, АРСИБ и его партнеры являются организаторами «Кубка CTF России», открытого онлайн турнира республики Татарстан по защите информации Go CTF, M*CTF (совместно с Московским техническим университетом связи и информатики), турнира BRICS+ CTF и др.

Стоит также отметить, что помимо организации и поддержки CTF-соревнований, АРСИБ является основателем «Летней школы CTF» – ежегодном мероприятии для школьников и студентов по специальности ИБ, членов CTF-команд и ИБ-специалистов. Летняя школа проводится в формате лагеря, в котором занятия по информационным технологиям сочетаются с активным отдыхом на природе.

*Ассоциация руководителей служб информационной безопасности (АРСИБ) была создана в 2010 году инициативной группой, в состав которой вошли руководители и специалисты подразделений предприятий различных отраслей промышленности, представители профессиональных общественных объединений.

Информация о сообществе CTF в России размещена на онлайн-площадке CTF News (ctfnews.ru). На сайте представлены новости, различные руководства, рекомендации и другие полезные ресурсы, связанные с этим направлением.

Ключевые российские соревнования

Согласно международной платформе CTFtime.org Россия занимает третье место в рейтинге стран по количеству команд, на первом месте – США, на втором – Индия.

Сейчас самые весомые российские соревнования в рейтинге – это RuCTF, CTFZone и VolgaCTF.

RuCTF – одно из крупнейших мероприятий по компьютерной безопасности в России, проводится с 2008 года по классическим правилам CTF – «Атака/Защита».

Организатор – команда HackerDom Уральского Государственного Университета (г.Екатеринбург). Основным партнёром является АРСИБ.

До 2022 года включительно соревнования проходили в два этапа: отборочный – RuCTFE* (с участием международных участников) и финальный – собственно RuCTF. Участие в RuCTF могли принять только те российские и иностранные студенческие команды, которые прошли отборочный этап – показали необходимый результат на соревновании RuCTFE или победили на региональных российских студенческих CTF-соревнованиях.

*RuCTFE – международные соревнования, которые были впервые проведены в 2009 году. В них участвовало 43 команды со всего мира: из университетов России, Индии, Германии, Вьетнама, Австрии, США, Франции, Италии, Хорватии, Норвегии и Аргентины. Первые соревнования RuCTFE проходили в режиме онлайн на протяжении 10 часов. За RuCTFE-2009 последовали следующие игры, в которых ежегодно принимало участие всё больше и больше команд, расширялась также и география участников – стало больше представителей стран Азии, Европы, Африки, есть участники из Австралии, Южной и Северной Америки. В 2019 году в RuCTFE сражалось уже более 180 команд из разных стран мира.

С 2023 года произошли изменения: отборочный турнир был переименован в RuCTF (вместо RuCTFE), а финальный получил обозначение RuCTF Finals.

RuCTF Finals 2023 проходил в смешанном формате: предполагалось как очное, так и участие в онлайн-формате (для команд, которые не имели возможности приехать в Екатеринбург). Соревновательная часть проходила на протяжении классического для Attack-Defense времени – 8 часов. За это время участникам предстояло решить 9 заданий.

Стоит отметить, что информация о проведении RuCTF Finals и RuCTF в 2024 году отсутствует, а в календаре мероприятий на платформе ctftime.org на 2025 год они не значатся. Российский организатор этих мероприятий HackerDom на своём ресурсе ситуацию не комментирует.

CTFZone – мероприятие, проводимое компанией BI.ZONE c 2016 года.

Турнир CTFZone 2023 собрал 1326 команд из 117 стран мира. В числе прочих в соревнованиях участвовали 172 команды из России, 134 из Индонезии, 118 из Китая, 84 из США и 78 из Вьетнама. Финалистами стали команды из России, Индонезии, Китая, Южной Кореи, Чехии и Франции.

На этом мероприятии в отборочном турнире командам необходимо было решить 26 заданий в 7 категориях, включая спортивное программирование, эксплуатацию уязвимостей, расследование кибератак, криптографию и другие направления кибербезопасности. Так, в рамках одной из задач участникам необходимо было обезвредить вредоносный файл на скомпрометированном компьютере. Другим примером задания стала расшифровка сообщения, отправленного с помощью защищенного мессенджера.

CTFZone помогают участникам не только поддерживать и развивать навыки, но и получать новые знания в динамичном формате состязаний. Соревнования не имеют четких границ и критериев, в них может принять участие любой человек с необходимыми навыками – вне зависимости от того, в какой стране он живет.

VolgaCTF – международное межвузовское соревнование по кибербезопасности, которое собирает более 1000 команд со всего мира. Соревнование состоит из двух этапов: отборочного, который проводится онлайн, и финального, который проходит в г. Самаре. Мероприятие организовывается Самарским университетом совместно с Департаментом информационных технологий и связи Самарской области.

Кубок CTF России

Кубок CTF России (проводится с 2016 года) – всероссийские соревнования по информационной безопасности. В турнире участвуют команды высших, средних профессиональных и общеобразовательных учреждений, а также молодые специалисты в возрасте до 27 лет. Соревнования разбиты на два этапа: отборочный (проходит онлайн без ограничения числа участвующих команд), полуфинал и финал (проводятся в очном формате с участием команд, успешно прошедших отборочный тур).

Организаторы мероприятия – Ассоциация руководителей служб информационной безопасности (АРСИБ) и Всероссийское общественное движение наставников детей и молодёжи «Наставники России».

Турнир 2024 года был проведен в классическом формате Attack-Defence. В общей сложности на нем зарегистрировалось 517 команд: 313 в академическом зачете, 72 – в школьном и еще 108 в смешанном. Хотя кубок был локальный (российский), уже второй год правила разрешают в смешанном зачете участвовать иностранным командам. Поэтому в отборочном этапе приняли участие кибердарования из: Албании, Азербайджана, Китая, Индии, Индонезии, Казахстана, Кыргызстана, Монголии, Пакистана, Таиланда и Вьетнама.

В общем, на российских CTF доминирующим форматом для финалов является Attack-Defense (RuCTF, Кубок CTF России). Многие мероприятия имеют образовательную направленность, а задания для повышения привлекательности и зрелищности соревнований разрабатываются на основании оригинальных сценариев вроде «борьбы с диктатором виртуальной Литии».

Сравнение с зарубежными CTF: в каждой стране и на каждом континенте превалируют свои форматы и задачи. В России, например, больше WEB-задач и реверса (анализа бинарного кода). На американских же соревнованиях DEF CON CTF, самых старых и крупных, преобладают задачи по эксплуатации уязвимостей в бинарных приложениях и реверс, в Азии превалирует PWN-задачи, а на популярных международных турнирах типа Pwn2Own* – это компрометация реальных систем и поиск уязвимостей «нулевого дня».

*Pwn2Own – это соревнование, на котором выявляются уязвимости в популярных устройствах и программах, что позволяет оценить достижения в сфере кибербезопасности по сравнению с предыдущим годом.

С момента своего основания на конференции по безопасности CanSecWest в 2007 году в канадском Ванкувере соревнование Pwn2Own стало пользоваться популярностью, и теперь проводится три раза в год.