Standoff 365

Подтягивайся на Standoff Talks 😉

Сергей Зыбнев aka Похек уже провел мастер-класс, где участники обсудили использование ИИ в пентесте. И сейчас в самом разгаре раздача лимитированного мерча за интересные идеи 🧠

Узнать победителей активности можно здесь: ищи свой ник и комментарий в канале Похека.

Если ты зарегистрирован на Standoff Talks и нашел себя в списке — приходи в Кибердом за призом! Крутая панамка и доклады ждут тебя 😉

Итоги второго дня кибербитвы Standoff 17

Ну что же, как мы и ожидали, стало жарче. Команды атакующих лучше разобрались в обновленной инфраструктуре отраслей виртуального Государства F и начали одна за другой сдавать отчеты о реализации критических событий. У синих команд работы тоже заметно прибавилось.

По цифровой копии «Вкусно — и точка» пока отчетов не было — призываем команды уделить ей больше внимания: мы хотим бесплатных бургеров и мороженого. Спасибо.

👽 А теперь к результатам двух дней битвы. Традиционно начнем с атакующих команд, где таблица лидеров менялась буквально на глазах.

• На первое место вышла 🇷🇺 DreamTeam — команде удалось за два дня реализовать 22 критических события и обнаружить 30 уязвимостей (100 983 балла). На втором месте — 🇷🇺 cr4․sh (64 144 балл), на третьем — 🇷🇺 Dataeli&only_f4st (42 091 балла), на четвертом — 🇷🇺🇰🇿 FR13NDS & RHACKERS (34 275 баллов), на пятом — 🇷🇺 Cyb7rC0d3# (28 933 баллов).

• Суммарно команды реализовали 113 критических событий (из них 27 — уникальные) и обнаружили 398 уязвимостей. Кстати, больше всего уязвимостей нашла команда cr4․sh — 37.

• Не осталось ни одной отрасли, в которой не было бы реализовано хотя бы одного критического события. Самой пострадавшей остается телеком: в ней суммарно реализовали 34 критических события. Наименее пострадавший — горно-металлургический сектор, где суммарно реализовали пять критических событий, он держался до последнего. Кстати, до SCADA пока не добралась ни одна команда — ждем, что сегодня все изменится.

• Из интересного: три критических события — утечку материалов единого экзамена до его начала (ИТ-сектор), кражу персональных данных клиентов провайдера и получение контроля над VDS клиентов провайдера (телеком) — реализовали каждое по девять команд.

• Одна из красных команд за особую внимательность получила дополнительные 1000 баллов. И, кстати, заработать их может любая команда (больше ничего не скажем, празднуем 10-летие как можем).

👽 Теперь к синим командам, которые активно держат защиту

• За два дня они расследовали 13 атак, обнаружили 348 инцидентов, из которых 31 удалось предотвратить.

• Больше всего расследований — шесть — провела команда BSOD Squad. Она защищает ИТ-сектор. У этой же команды и самое быстрое время обнаружения инцидента — 24 минуты.

• Команда akPots, защищающая самый пострадавший сектор — телеком, обнаружила 19 инцидентов.

• А команда Жаным }|{aHblm, которая защищает наименее пострадавший горно-металлургический сектор, обнаружила 70 инцидентов и расследовала одну атаку.

Впереди еще два дня жаркого противостояния. Уверены, ситуация будет меняться очень быстро, поэтому запасаемся попкорном и продолжаем следить за результатами.

Че как на Standoff 17

На видосе рассказал Олег Иванов, технический директор платформы Standoff 365.

Спойлер: збс

😎 Подводим итоги первого дня кибербитвы Standoff 17

В этот раз виртуальное Государство F проверяют на прочность 23 команды атакующих из России, Вьетнама, Индонезии, Монголии, Нидерландов и Казахстана. На стороне защиты — 9 команд, которые мониторят и расследуют атаки, а две из них работают еще и в режиме реагирования.

На Standoff 17 представлены семь отраслей: мы обновили уже хорошо знакомые участникам инфраструктуры и добавили новые. На офлайн-части ивента появились два новых физических макета, где можно увидеть последствия атак.

Красные сражаются за общий призовой фонд в 50 000 $: его по итогам битвы разделят пять лучших команд, финал — 19 июня.

Кроме того, в течение четырех дней красные проверяют защищенность цифровой копии инфраструктуры «Вкусно — и точка» (баллы за реализацию недопустимых событий здесь не влияют на общий рейтинг команд, предусмотрены отдельные выплаты).

Делимся хайлайтами первого дня (по данным на 20:00).

Результаты красных команд 🥊

• Суммарно удалось реализовать 24 критических события (9 из них — уникальные) и обнаружить 249 уязвимостей.

• Первое критическое событие реализовала российская команда cR4․sh — она слила данные единого экзамена до его старта всего через 1 час 40 минут после начала битвы. К слову, этой же команде удалось реализовать и второе критическое событие — получить контроль над VDS клиентов провайдера.

• Первая пятерка лидеров по итогам дня — 🇷🇺🇰🇿 FR13NDS & RHACKERS (26 974 балла), 🇷🇺 cR4․sh (17 894 балла), 🇮🇩 Redac7d (16 129 баллов), 🇷🇺 DreamTeam (15 694 балла) и 🇷🇺 Dataeli&only_f4st (14 807 баллов).

• Пока ни одного критического события не было реализовано в 🏔 горно-металлургическом и 🚞 железнодорожном секторах.

Результаты синих команд 🛡

• Суммарно за первый день команды расследовали два критических события (оба — BSOD Squad, которая защищает ИТ-сектор), обнаружили 156 инцидентов, из которых 15 предотвратили.

• Команды Grep_Tribe и SeeLion на этой битве не только мониторят и расследуют атаки, но и реагируют на них. Первая защищает ритейл (обнаружила 7 инцидентов и все предотвратила), вторая — банковский сектор (обнаружили 21 инцидент и предотвратили из них 8).

• Больше всего инцидентов за день обнаружила команда ReKad Team (защищает железнодорожный сектор) — 34.

• На Standoff 17 синим командам доступны для защиты не только продукты Positive Technologies, но и решения других вендоров: Xello Deception, F6 Managed XDR, R-Vision SIEM и R-Vision SOAR.

Второй день кибербитвы уже стартовал!

Standoff Talks уже совсем скоро 🏃‍♂️

Встретимся, чтобы послушать крутые доклады, поучаствовать в мастер-классах, конкурсах и просто хорошо провести время в компании единомышленников.

Важно: чтобы принять участие в мастер-классах, нужно зарегистрироваться на них на месте. И не забудь взять ноутбук, чтобы выжать максимум из практических советов и экспертных лайфхаков.

Первый мастер-класс и программа ивента начнутся 18 июня в 11:00. Регистрация откроется в 10:00. Приходи пораньше, чтобы точно успеть принять участие во всех активностях. А полное расписание ищи здесь.

Регистрация на Standoff Talks открыта сегодня до 22:00. Еще есть шанс забронировать себе место, но после этого набор закроется.

Так что не тяни — это последний шанс залететь на Standoff Talks и стать частью важного события 🤝

Flowwow снова ждет твоих отчетов 👨‍⚕️

Программа вернулась на Standoff Bug Bounty и приглашает всех исследователей проверить безопасность одного из крупнейших маркетплейсов цветов и подарков!

В скоупе:
🟢 Основной домен
🟢 API и поддомены
🟢 Мобильные приложения

Время собирать баги и баунти — переходи в программу и делай Flowwow еще безопаснее 🌹

Этот день настал 🤜

Кибербитва стартовала! Впереди четыре дня атак, расследований и напряженной борьбы за каждый балл.

Команды уже заняли свои позиции и готовы показать все, на что способны.

Желаем всем участникам успехов, сил, громких находок и быстрых расследований 🐱

Следи за результатами команд на портале Standoff 365.

Новая летняя цель на Standoff Bug Bounty ☁️☁️

В паблик вышла программа от ведущего российского провайдера облачных сервисов! Теперь все исследователи могут проверить его на прочность.

В скоупе — облачные сервисы, консоли управления, API и сервисы аутентификации:
🟡 console.cloud.ru
🟡 id.ru
🟡 id.cloud.ru

Максимальное вознаграждение — до 400 000 ₽ 🤑

Пора искать уязвимости в программе на Standoff Bug Bounty и зарабатывать на отпуск (и мороженое) ☀️

Записи вчерашнего стрима уже на базе 🤩

Если пропустили — больше не пропускайте, смотрите в «VK Видео».

T3amW1pe: Bottom85. Несанкционированное изменение записей инвентаризации

T3amW1pe: BolderBay. Утечка
конфиденциальной информации с компьютера руководителя компании

KiberS: kiberjen. Кража интеллектуальной собственности

Kibers: kiberjen. Распространение вируса-шифровальщика

ℭ𝔲𝔩𝔱: n3m351d4. SCADA: Каскадный простой производства металла

А когда закончите с теорией — переходите к практике и качайте свой скилл в этом же сегменте на Standoff Hackbase 😮

Он будет доступен до 11 июля, так что время на исследование еще есть. Но не так много, как кажется 🙄

Что послушать, чтобы настроиться на ивент Standoff 🤔

Расскажет и раздаст музыкальный вайб Омский багхантер, artebels!

Он собрал плейлист, под который можно выходить на кибербитву, искать баги, триажить отчеты и просто поддерживать ауру крутого хакера 🤫

В этом плейлисте найдете что-то для разгона и что-то для успокоения (а еще капельку Омских вайбов). Главное в нашем деле — хороший настрой и вдохновение, — комментирует Артём.

Включай, заряжайся и отправляйся за валидными находками (и не забывай проверить регу на ивент) 🎧

😊 YouTube | 🎵 Яндекс Музыка

Объявляем общий сбор на Standoff Talks 👯‍♀️

Встречаемся в Кибердоме 18–19 июня, чтобы много говорить о багбаунти!

В программе:
➖ Мастер-классы от топовых исследователей и экспертов индустрии
➖ Активность от Lockpick × RE59: будем вскрывать замки и ломать СКУД
➖ Специальная таска от HackAdvisor, доступная только в дни мероприятия
➖ Совместная активность с тг-каналом Похек: обсудим ИИ в пентесте и раздадим лимитированный мерч за самые интересные идеи
➖ Нетворкинг с исследователями

Собираемся офлайн, чтобы обсудить последние события в мире багбаунти и обзавестись новыми локальными мемами. Будет реально годно 💯

Регистрируйся на Standoff Talks, чтобы не пропустить крутую сходку!

Иван Булавин, директор по продуктам платформы Standoff 365, передает привет!

И напоминает, что кибербитва и Standoff Talks пройдут уже меньше, чем через неделю 🔜

Всем, кто готовится к Standoff 17 — успехов и продуктивной тренировки! Вас ждет много нового и интересного.

И не забывай регистрироваться на Standoff Talks, чтобы послушать мощные доклады, принять участие в конкурсах и мастер-классах

Увидимся уже совсем скоро и круто проведем время с 16 по 19 июня 🤟

🔥 Напоминаем про стрим-марафон для красных!

Уже завтра, 11 июня, в эфир выйдут представители топ-5 команд отборочного этапа Standoff 17.

Будем смотреть, как они действуют в различных ситуациях, обсуждать подходы к взлому, обмениваться опытом и просто хорошо проводить время в компании единомышленников.

Самое время подписаться на наш канал в Твиче. После подписки тебе на почту придет уведомление о стриме, как только мы начнем. Еще перед началом закинем ссылку в чат, чтобы точно никто не потерялся и все дошли 👍

Встретимся на месте завтра в 11:00 и устроим марафон взлома до 19:10 (мск).

Обнаружена нехватка мастер-классов от топовых багхантеров и пентестеров 🔍

Восполним дефицит на Standoff Talks!

В Кибердоме 18–19 июня пройдут мастер-классы от крутых ребят из комьюнити. Обсудим ИИ в пентесте, поговорим про социальную инженерию, поработаем с программами кибериспытаний и разберем тачки со Standoff Hackbase.

Сохраняй расписание:

🟠 18 июня
📍 11:00–12:20
AI в пентесте: разговор с экспертом Сергеем Зыбневым / Poxek

Обсудим, как ИИ меняет подход к пентесту. Расскажем, когда он реально помогает, а когда лучше не отдавать ему руль. Можно будет задать вопросы, поспорить и обменяться хинтами.

📍 12:40–14:00
Внутри триажа OZON: почему одни отчеты принимают, а другие нет / Юлия Митина

Разберем реальные сценарии из практики OZON и поговорим о том, как сделать отчет максимально понятным и убедительным для триажа.

📍 15:00–17:00
Разбор тачек Standalone со Standoff Hackbase с ccrsky

Погружаемся в Standoff Hackbase: исследуем, разбираем типичные ошибки и учимся находить путь к решению.

🟠 19 июня
📍 11:00–12:20
APT: Advanced Psychological Technique с doom

Поговорим о социальной инженерии: роль человеческого фактора, какие техники используют атакующие и как не попасться на их трюки.

📍 12:40–14:00
Работа с программами кибериспытаний с remembernamer

Выясним, как подходить к программам кибериспытаний, на что смотреть в первую очередь и как не застрять на старте.

📍 15:00–17:00
Разбор тачек Standalone со Standoff Hackbase с Bagley

Еще больше практики: будем ломать, разбирать ошибки и искать рабочие пути.

Регистрируйся и приходи на Standoff Talks, чтобы пообщаться с экспертами, прокачаться и забрать с собой пару новых подходов для багхантинга и пентеста.

⚡️🎙 А теперь летний и уже 19-й выпуск подкаста «КапИБара»! (скоро маленький юбилей🎶)

Один гость это уже слабо для нас, поэтому в этот раз их целых два!

На беседу к нам заглянули:
Роман Приходько отвечает за стратегические проекты Standoff Bug Bounty
и
Мария Тухтанова, отвечает за маркетинг и комьюнити Standoff Bug Bounty

Вместе с ними мы поговорили про багбаунти, багхантеров, что сейчас со всем этим происходит на Ру-рынке и какие ивенты и другие события есть для сообщества. Всё самое интересное как всегда слушайте в новом выпуске))

Также напоминаем что у ребят скоро состоится мероприятие - Standoff Talks, которое пройдёт 18-19 июня в кибердоме 🏠

Все аудио площадки где можно нас услышать - размещены здесь (на некоторых площадках подгрузка и стабильная работа осуществляется в течении 24-х часов).

Отдельно выделим наши флагманские площадки - Яндекс и Apple

+ появилась возможность слушать прямо в ТГ

Также в видео формате под приятную анимацию нас можно послушать на:

RuTube
YouTube
VK

Слушайте, оставляйте комментарии и советуйте друзьям 😁🎧

КапИБара. Подкаст нулевого дня. Подписаться

Наши ребята заглянули на подкаст «КапИБара» 📹

Поговорили про багбаунти, багхантеров, состояние рынка и развитие комьюнити. Получился насыщенный разговор с множеством инсайтов и практического опыта!

Всем смотреть и слушать 🤩

Кажется, нейрослоп добрался до багбаунти...

Видим, как отчеты, написанные ИИ, становятся все длиннее, а пользы в них все меньше. Поэтому нужен коллективный разум.

Задача простая: придумайте, как Standoff Bug Bounty может защищаться от нейрослопа.
Что угодно:
▪️новые механики платформы;
▪️ачивки и антиачивки;
▪️ограничения и штрафы;
▪️способы оценки качества отчётов;
▪️мемные идеи, которые почему-то могут сработать.
▪️платить за сдачу отчёта

За самые интересные предложения подарим лимитированный мерч Poxek × Standoff Bug Bounty

Лут можно забрать:
🎁 на Standoff Talks лично
📦 или отправим почтой

🕰 А ещё 18 июня на Standoff Talks проведу открытую Q&A-сессию про AI в пентесте.

Приходите холиварить, задавать неудобные вопросы и вместе думать, как жить в мире, где уязвимости ищут нейронки, а мы ищем уязвимости в ИИ)

Свои идеи оставляйте в комментариях 👇