Apteka #2
150 - именно столько человек пришло на проект.
Итак, команды изначально формировались как отдельные мини группы по 10-20 человек. Идея отбора была сформирована таким образом: группы были собраны для совместного поиска уязвимостей на публичных программах BB. Никакого обучения, влияния, настройки внутри не происходило. Во главе стояла идея формирования маленького автономного и саморазвивающегося коллектива. В такой парадигме по законам природы должен был объявится лидер, специалист какого-либо направления (возможно несколько) и люди готовые помогать в достижении общей цели.
Представьте себе картину, где лидеры групп обладают разными компетенциями в разных направлениях:
Представьте себе например такой состав команды, на изображении он конечно же усечен, но если ужать со смыслового остатка, то такая команда не сможет взломать любую компанию, с любого сектора и любого размера - это какой-то процент компаний с сотрудниками, которые плохо проинструктированы и не обучены противодействию атак. Но представим, что единственным вектором на внешнем периметре будут уязвимости веба или какого-либо сервиса, или вообще нужно будет злоупотребить уязвимым шаблон в ADCS. В таком случае наша группа скорее всего обречена на провал с большой долей вероятности. Успех будет только в том случае, что встретится уязвимость, сервис или плохо лежащий файл или что-то еще, что наш студент, решающий лабы уже когда-то находил. Вывод группа может делать простые проекты, но в большинстве случаев должна быть дополнена другими специалистами.
В такой конфигурации шансов становится намного больше, но есть "но". Ребята заточившие свои мозги под CTF, будут сильно удивлены что багу надо искать не разбирая хеш из изображения, а разбирая исходный код, различные движки и фреймворки. Ни в коем случае не хочу сказать, что CTF-ры ребята не шарящие, наоборот - это профессионалы но с достаточно специфической подготовкой и мышлением. "Внутрянщик" в этой группе может найти баги в сервисах, которые торчат наружу, потому что можно посканить порты, проанализировать что на них висит, поработать с поиском неправильных конфигураций и избыточных разрешений. Шанс на успех есть и в парадигме реальных проектов выше чем у первых ребят. Поэтому данная команда тоже не может работать автономно с гарантией хорошего качества и вероятности успеха 100%. Хотя 100% дать вообще никто не может.
Данная группа имеет огромный потенциал на поиск пробива, компрометацию и выявления "дизастера" для атакуемой компании. Но есть маленькое "но". Баг Хантеры работают под призмой поиска любых баг, чтобы в моменте получить вознаграждение, а нам то нужен полноценный взлом. Безусловно, такие ребята могут найти очень страшные вещи, которые будут страшнее эксплуатации RDCB, Self Relay и MS17-10. Но их мышление заточено не на пробив с целью поковырять инфраструктуру, а найти на поверхности вещи, которые могут привести к остановке ресурса, доступу к ПДн и прочему. То есть расчитывать, что эта группа расколупает и проведет анализ защищенности внутреннего периметра не стоит. Но данная связка сильнее предыдущей для RT проектов.
Такая группа - это диверсанты в полях. У нас есть "Физик", есть аналитик и сетевик - такой бригаде не нужно искать что-то на вебе, они зайдут пешком на объект и поломают вашу Циску, настроят маршруты через малину на свои рабочие станции и спокойно будут сидеть в вашей инфраструктуре, пока ее не одолеют, попутно разбираясь с тем, как ломаются "кишки" компании по типу 1С, СУБД, порталы и другое. Такая команда имеет шансы на успех большие, но будет ряд компаний, где нужна будет поддержка и другими компетенциями - внешка, железо, внутрянка и т.д. Такая группа эквивалентна группе, рассмотренной выше.
Вот это опасная комбинация людей, оговорюсь я тут подразумеваю опытного сисадмина, разраба и менеджера. Такая группа будет заходить через сложные вещи, связанные с обратной разработкой, поиском мисконфигураций, бизнес логикой, социалкой и другими направлениями. Шансы на успех у такой группы приличные, но скорость и производительность будут иметь низкие показатели. Этой команде явно будет нужно набрать разных компетенций, но начать вокруг себя копать информацию и выполнять проект они смогут, не имея методологии по тестированию.
Давайте еще один вариант рассмотрим, который был отмечен. Очень интересная группа, которая может двигаться по следам компрометации пентестеров, хакеров, да вообще кого угодно. Такая комбинация специалистов сможет выполнить небольшую часть от общего числа проектов, но за то это будет изящно и максимально скрытно.
Но как вы понимаете из огромного количества людей осталось совсем немного. И не потому что кто-то был плох, а кто-то хорош. Некоторые не смогли удержаться из-за отсутствия времени, кто-то взял резкий старт и потом словил стагнацию, у кого-то не совпали ожидание-реальность. Это естественный процесс отсеивания команды. В итоге у нас сформировалась группа, с которой все и началось. Это была единственная группа с высоким уровнем самоорганизации.
Пока другие решали лабы, думали как разработать малварь или стартанули заливать на свои SSD тонны курсов и книг, лидирующая команда развернула сетевую инфраструктуру, обзавелась почтой и настроила базу знаний. У ребят во главе был лидер с большим опытом управления - это бесспорно "чит". Но стоит отметить, что в других группах были люди, которые самостоятельно выполняли задания и сдавали об этом отчет.
А были те, кто говорил, у нас нет лидера, никто не делает минутки встреч и вообще я не понимаю что происходит. Это тоже нормально, но каждому из участков выпал шанс реализовать себя, пройти тестовые задания чтобы попасть в ту саму группу, которая на момент конечно переброса людей составляла 25 человек.
С этого места все и началось. Именно на этом моменте происходила отладка, интервью кандидатов, создание методологии и архитектуры будущего проекта. На этом моменте сформировалась команда этичных хакеров, которые начали свой совместный путь.