Capture The Flag (CTF) là một loại đặc biệt của các cuộc thi an toàn thông tin. Thường có ba dạng CTFs đó là: Jeopardy, Attack-Defence và kết hợp giữa hai loại đó.
Các cuộc thi CTFs được thiết kế để thử thách người tham gia trong việc tổ chức, phản ứng với các loại tấn công được tìm thấy trong thực tế. Để hoàn thành cuộc thi rất nhiều các kĩ năng cần phải có, như là: Reverse-engineering, network sniffing, protocol analysis, system administration, programming, cryptanalysis... Do đụng chạm đến nhiều kĩ năng như vậy cho nên đội nào có các thành viên có kĩ năng và kinh nghiệm trải đều trên các kĩ năng khác nhau thì cơ hội chiến thắng sẽ cao nhất.
+ Jeopardy style: cuộc thi sẽ có một tập hợp các câu hỏi (vấn đề) cần giải quyết, các câu hỏi này được sắp xếp vào các loại khác nhau, ví dụ như Web, Forensic, Crypto, Binary hoặc là cái gì đó... trong mỗi loại này các câu hỏi lại được sắp xếp theo thứ tự tăng độ khó (cũng là thứ tự tăng dần điểm số). Các đội sẽ giải các câu hỏi này và lấy được điểm của câu hỏi đó. Đến cuối cùng đội nào dành được nhiều điểm nhất trong thời gian ngắn nhất sẽ là đội đứng đầu. Cuộc thi nổi tiếng nhất cho dạng CTF Jeopardy là DEF CON CTF Qualifier (Offical URL: https://legitbs.net/). Vừa rồi cũng vừa mới diễn ra cuộc thi này của năm 2013 (http://2013.legitbs.net) và đã có một đội của Việt Nam lọt vào top 12 (đó là đội CLGT - Cửu Long Giáng Thế) và sẽ được tham gia cuộc thi DEF CON CTF (cuộc thi này dạng Attack-Defence chứ không phải Jeopardy) tại Last Vegas tới đây.
+ Attack-Defence: dạng này thì mỗi đội sẽ được cung cấp riêng một máy chủ (hosts) hoặc một mạng riêng (network) mà chúng chứa các lỗi bảo mật (vulnarable services). Nhiệm vụ của các đội là vá lỗi bảo mật của mình đồng thời tấn công vào hệ thống của đối thủ. Bảo mật tốt sẽ được điểm Defence và tấn công tốt sẽ được điểm Attack. Cuộc thi nổi tiếng nhất về dạng này là DEF CON CTF (được xem như là World Cup của các cuộc thi CTF - Offical URL: http://ddtek.biz/).
Các bạn có thể tìm hiểu nhiều hơn về CTF tại trang: https://ctftime.org/. Ở trang web này có tất tần tật mọi thứ về CTF, đây là trang lưu trữ của các cuộc thi CTF. Các bạn có thể tìm thấy các thông tin như: các cuộc thi đã diễn ra, sắp diễn ra, thứ hạng của các đội, các bài viết (writeups) của các đội sau khi đã giải quyết được các vấn đề trong cuộc thi ...
CTF thường được tổ chức theo mô hình trò chơi chiến tranh, tập trung vào hai kỹ năng tấn công và phòng thủ mạng máy tính của người chơi. Các đội tham gia CTF sẽ được cấp một máy chủ (hoặc một mạng máy chủ) đã cài đặt sẵn nhiều chương trình chứa các lỗ hổng bảo mật. Nhiệm vụ của đội chơi là tìm ra các lỗ hổng đó, tấn công các máy chủ của các đội khác để ghi điểm, đồng thời phải nhanh chóng vá các lỗ hổng trên máy chủ của đội nhà, để tránh bị tấn công bởi các đội khác.
CTF hấp dẫn và thu hút giới hacker bởi lẽ các cuộc thi này phản ánh rất chân thật công việc hàng ngày và đòi hỏi người chơi phải có các kỹ năng của một hacker thực thụ. Muốn chiến thắng ở một cuộc thi CTF, người chơi không chỉ phải "rành sáu câu" các kỹ năng phát hiện và khai thác lỗ hổng bảo mật, mà còn phải thật sự lành nghề trong việc bảo vệ sự an toàn và duy trì tính liên tục của hệ thống mạng trước các đợt tấn công dồn dập từ bên ngoài. Với cường độ và áp lực rất cao, cho nên mặc dù thể lệ CTF thường cho phép cá nhân tham gia, nhưng chiến thắng thường thuộc về các đội có nhiều thành viên có trình độ cao và có khả năng "phối hợp tác chiến" hiệu quả.
Dẫu ít hay nhiều thành viên, để thi đấu tốt một đội CTF bắt buộc phải có các thành viên thành thạo các kỹ năng như lập trình, quản trị hệ thống (sysadmin), dịch ngược phần mềm (reverse code engineering), điều tra vụ án số (digital forensic), phân tích mật mã (cryptanalysis), cũng như phát hiện và khai thác lỗ hổng bảo mật trong các phần mềm ứng dụng (application security). Đây là những kỹ năng cao cấp, không phải ngày một ngày hai là có được, mà đòi hỏi một quá trình rèn luyện học tập cũng như làm việc thực tế lâu dài. Đề bài ở các cuộc thi CTF cũng xoay quanh những nhóm đề tài này.
Một điểm hấp dẫn khác của CTF là ngoài chất xám ra, để chiến thắng các đội tham gia cần phải có sự chuẩn bị rất tốt về mặt tổ chức nội bộ cũng như...thể lực. Các cuộc thi CTF thường diễn ra liên tục trong vòng từ 24h đến 72h, do đó tất cả các đội đều phải lên kế hoạch thi đấu để làm sao lúc nào đội nhà cũng có người trực chiến. Phân phối sức lực hợp lý, phân chia công việc rõ ràng và làm việc theo nhóm hiệu quả là những yếu tố ảnh hưởng rất lớn vào sự thành bại của các đội.
Các cuộc thi CTFs được thiết kế để thử thách người tham gia trong việc tổ chức, phản ứng với các loại tấn công được tìm thấy trong thực tế. Để hoàn thành cuộc thi rất nhiều các kĩ năng cần phải có, như là: Reverse-engineering, network sniffing, protocol analysis, system administration, programming, cryptanalysis... Do đụng chạm đến nhiều kĩ năng như vậy cho nên đội nào có các thành viên có kĩ năng và kinh nghiệm trải đều trên các kĩ năng khác nhau thì cơ hội chiến thắng sẽ cao nhất.
+ Jeopardy style: cuộc thi sẽ có một tập hợp các câu hỏi (vấn đề) cần giải quyết, các câu hỏi này được sắp xếp vào các loại khác nhau, ví dụ như Web, Forensic, Crypto, Binary hoặc là cái gì đó... trong mỗi loại này các câu hỏi lại được sắp xếp theo thứ tự tăng độ khó (cũng là thứ tự tăng dần điểm số). Các đội sẽ giải các câu hỏi này và lấy được điểm của câu hỏi đó. Đến cuối cùng đội nào dành được nhiều điểm nhất trong thời gian ngắn nhất sẽ là đội đứng đầu. Cuộc thi nổi tiếng nhất cho dạng CTF Jeopardy là DEF CON CTF Qualifier (Offical URL: https://legitbs.net/). Vừa rồi cũng vừa mới diễn ra cuộc thi này của năm 2013 (http://2013.legitbs.net) và đã có một đội của Việt Nam lọt vào top 12 (đó là đội CLGT - Cửu Long Giáng Thế) và sẽ được tham gia cuộc thi DEF CON CTF (cuộc thi này dạng Attack-Defence chứ không phải Jeopardy) tại Last Vegas tới đây.
+ Attack-Defence: dạng này thì mỗi đội sẽ được cung cấp riêng một máy chủ (hosts) hoặc một mạng riêng (network) mà chúng chứa các lỗi bảo mật (vulnarable services). Nhiệm vụ của các đội là vá lỗi bảo mật của mình đồng thời tấn công vào hệ thống của đối thủ. Bảo mật tốt sẽ được điểm Defence và tấn công tốt sẽ được điểm Attack. Cuộc thi nổi tiếng nhất về dạng này là DEF CON CTF (được xem như là World Cup của các cuộc thi CTF - Offical URL: http://ddtek.biz/).
Các bạn có thể tìm hiểu nhiều hơn về CTF tại trang: https://ctftime.org/. Ở trang web này có tất tần tật mọi thứ về CTF, đây là trang lưu trữ của các cuộc thi CTF. Các bạn có thể tìm thấy các thông tin như: các cuộc thi đã diễn ra, sắp diễn ra, thứ hạng của các đội, các bài viết (writeups) của các đội sau khi đã giải quyết được các vấn đề trong cuộc thi ...
CTF thường được tổ chức theo mô hình trò chơi chiến tranh, tập trung vào hai kỹ năng tấn công và phòng thủ mạng máy tính của người chơi. Các đội tham gia CTF sẽ được cấp một máy chủ (hoặc một mạng máy chủ) đã cài đặt sẵn nhiều chương trình chứa các lỗ hổng bảo mật. Nhiệm vụ của đội chơi là tìm ra các lỗ hổng đó, tấn công các máy chủ của các đội khác để ghi điểm, đồng thời phải nhanh chóng vá các lỗ hổng trên máy chủ của đội nhà, để tránh bị tấn công bởi các đội khác.
CTF hấp dẫn và thu hút giới hacker bởi lẽ các cuộc thi này phản ánh rất chân thật công việc hàng ngày và đòi hỏi người chơi phải có các kỹ năng của một hacker thực thụ. Muốn chiến thắng ở một cuộc thi CTF, người chơi không chỉ phải "rành sáu câu" các kỹ năng phát hiện và khai thác lỗ hổng bảo mật, mà còn phải thật sự lành nghề trong việc bảo vệ sự an toàn và duy trì tính liên tục của hệ thống mạng trước các đợt tấn công dồn dập từ bên ngoài. Với cường độ và áp lực rất cao, cho nên mặc dù thể lệ CTF thường cho phép cá nhân tham gia, nhưng chiến thắng thường thuộc về các đội có nhiều thành viên có trình độ cao và có khả năng "phối hợp tác chiến" hiệu quả.
Dẫu ít hay nhiều thành viên, để thi đấu tốt một đội CTF bắt buộc phải có các thành viên thành thạo các kỹ năng như lập trình, quản trị hệ thống (sysadmin), dịch ngược phần mềm (reverse code engineering), điều tra vụ án số (digital forensic), phân tích mật mã (cryptanalysis), cũng như phát hiện và khai thác lỗ hổng bảo mật trong các phần mềm ứng dụng (application security). Đây là những kỹ năng cao cấp, không phải ngày một ngày hai là có được, mà đòi hỏi một quá trình rèn luyện học tập cũng như làm việc thực tế lâu dài. Đề bài ở các cuộc thi CTF cũng xoay quanh những nhóm đề tài này.
Một điểm hấp dẫn khác của CTF là ngoài chất xám ra, để chiến thắng các đội tham gia cần phải có sự chuẩn bị rất tốt về mặt tổ chức nội bộ cũng như...thể lực. Các cuộc thi CTF thường diễn ra liên tục trong vòng từ 24h đến 72h, do đó tất cả các đội đều phải lên kế hoạch thi đấu để làm sao lúc nào đội nhà cũng có người trực chiến. Phân phối sức lực hợp lý, phân chia công việc rõ ràng và làm việc theo nhóm hiệu quả là những yếu tố ảnh hưởng rất lớn vào sự thành bại của các đội.
