CyberChallenge איטלקי: חוויית הצוות מאוניברסיטת קליארי

(של אלסנדרו רוגלו)

05/08/19

בעבר נתנו מקום לפעילות שנקראה CyberChallenge.IT, עם מאמר שהסביר את נושא המכרז ונהלי הבחירה והודיע על השלב האחרון של ה- 27 של יוני.
עכשיו, אחרי כמה חודשים אנחנו יכולים לעשות חשבון נפש, אבל החלטנו לעשות את זה יחד עם הבנים של אחת הצוותים המשתתפים: הצוות של אוניברסיטת קליארי בתיאום על ידי פרופסור ג'ורג'יו ג'סינטו (1) ועל ידי הרופא דויד מיידאקה (2) כ כמאמן.

נתחיל בהיכרות עם המשתתפים. האם אתה יכול להציג את עצמך בכמה שורות? מי אתה? מה אתה לומד?

שמי לורנצו פיזו, יש לי 20 שנים ואני לומד בקורס מדעי המחשב באוניברסיטת קליארי.
אני Matteo Cornacchia ונרשמתי גם לקורס תואר במדעי המחשב באוניברסיטת קליארי.
שמי פרנצ'סקו מלוני, יש לי תואר בהנדסת מחשבים ונרשמתי לתואר שני בהנדסת מחשבים, אבטחת סייבר ובינה מלאכותית באוניברסיטת קליארי.
אני דניאלה פוסצדו, יש לי 19 שנים ואני צריך לעשות את השנה האחרונה לתיכון במכון הטכני התעשייתי סקאנו בקליארי, מחלקת IT.

מזל טוב חבר'ה, אני יודע שזה לא הלך כל כך טוב אבל אני בטוח שהשנה הבאה תהיה טובה יותר. ראשית, אנו רוצים לדעת איך זה לקחת חלק במירוץ קבוצתי כה מיוחד. אילו רגשות הרגשת? מה הניע אותך להשתתף?

ההשתתפות במירוץ הייתה חוויה שהעמידה אותנו למבחן, בוודאי שיש הרבה אדרנלין ומאמץ נפשי עצום אבל זו הייתה חוויה חיובית מאוד וצמיחה רבה הן מבחינת כישורים והן ברמה האישית. אני חושב שהסיבה העיקרית שהשתתפנו היא להסתבך, אז כן הייתי עושה את זה שוב!

עבורי המוטיבציה העיקרית הייתה בהחלט הסקרנות שלי שכבר הייתה בתחום הביטחון הקיברנטי.
במסגרת הקורסים, אך מעל לכל, בשלבי ההכנה והתחרות הלאומית, הייתה לי הזדמנות להתעמת עם אנשים עם הרקע המגוון ביותר אך עם הרבה יצרים נפוצים.

עבורי היוזמה הייתה מעל הכל הזדמנות יקרה להרחיב את הידע שלי לא רק בנושא אבטחת מחשבים, אלא גם של הסביבה, הן מבחינת התחרות, והן עבור המציאות המוסדית והפרטית הסובבת אותה. אני יכול לומר ללא צל של ספק שהתוכנית בכללותה היא החוויה החוץ-לימודית החשובה ביותר שהשתתפתי בה.

ההיבט שגרם לי להשתתף היה ללא ספק הרצון לבדוק את עצמי וללמוד היבטים טכניים רבים של אבטחת IT בסביבה דינמית ותחרותית. החוויה הוגדרה כשלעצמה כאתגר שבדק בהרחבה את כישורי הטכניים ועבודת הצוות. עכשיו אני מצוין עבור מטרת הגיל של היוזמה, אבל אני מעריך את דרכי ושל בני לווייתי לאורך אתגר הסייבר, אני חושב שעבור הנערים שעדיין בתיכון או בתחילת האוניברסיטה זו הזדמנות בלתי מתקבלת על הדעת. לעשות קפיצה גדולה בידע ובמיומנויות בתחום אבטחת הסייבר.

עכשיו בואו נדבר על ההיבט הארגוני. איך התארגנת? מינו את מנהיג? איך קיבלת את ההחלטות?

מבחינה ארגונית היינו מחולקים בעיקר על סמך תפקידים
הוקמה לפני המירוץ בזכות עצתו היקרה של המאמן שלנו דייוויד,
לכן לא זיהינו מנהיג בקרבנו, קיבלנו החלטות על ידי תקשורת
ובהתאם למה שהוקם לפני המירוץ.

במסגרת צוות ארבעת האנשים חילקנו את המשימות באופן אינדיבידואלי לפי הכישורים שנרכשו והביטחון בשימוש בערכת הכלים שהופקה בשלב ההכנה הקצר.

בדרך זו הוצגו ההחלטות, וכתוצאה מכך התקבלו, על ידי האדם שהיה לו הכי הרבה יכולת לבחור את התגובה המתאימה.

לאחר הקמת הצוות קבענו משימות לארגון בניית ערכת כלים שתבצע אוטומציה של שליחת התקפות לשירותים במסגרת המכרז ואשר הוכחה ככלי מוצלח. במהלך התחרות התחלקנו לקבוצות עבודה של שני אנשים שניתחו את השירותים המועדפים על כל זוג. ההתקפות שנכתבו הנותבו אוטומטית דרך הרשת על ידי ערכת הכלים שיושמה.

מה היה ההיבט הקשה ביותר במירוץ? אני לא מדבר רק על השלב הסופי אלא על כל המירוץ, החל מתחילת הבחירות.

ההיבט הקשה ביותר במירוץ הוא אולי למצוא את כוח הרצון לעולם לא לוותר, לפעמים זה נתקל בבעיות ענק, גם במהלך המירוץ האחרון וגם במהלך הבחירות, אחרי שעות של ניסיון לפתור אותן אתה מרגיש תסכול אבל אתה צריך להמשיך לנסות, רק בדרך זו תוכל להשיג תוצאות.

מנקודת מבטי האישית, החלק שהציג את עצמו ללא ספק הקשה ביותר לאורך הדרך לא היה כל כך הטכניקה האישית, אלא היכולת להפיק את המרב מהכישורים האינדיבידואליים של חברי הקבוצה בשלב הסופי.
אין ספק, התחום שמילא תפקיד מכריע בגמר הארצי היה החוויה במתכונת התחרות ובעבודת צוות בכלל.

אוניברסיטאות שלא היו להם מציאות CTF קיימת (לאו דווקא בלעדית ל- CyberChallenge), שהיו להם פחות מחודש לתאם ולהכין ערכת כלים מתאימה, התמודדו עם גירעון כישורים בלתי נסבל במהותו.
במקרה שלנו הייחודיות של המצב הפכה את החוויה ליקרת ערך במיוחד עבור האימונים שלנו.

עבורי ההיבט הקשה ביותר של המירוץ היה ללא ספק הניתוח הדרוש להבנת תפקודן של התוכניות וזיהוי וקטורי התקפה. לעיתים קרובות, בהתחשב במבנה השירותים, המודולים אבדו ונחשפה לפגיעות בקושי במקור המקור, כאשר לעיתים זוהתה ביתר קלות על ידי ניתוח פונקציונלי של התוכנית והתנהגותה. לאחר שנמצא וקטור ההתקפה, תכונה המשותפת לכל הבדיקות הייתה העובדה שמצב הניצול לא הוביל חזרה למצבים סטנדרטיים או ידועים, אך לרוב היה אד הוק לשירות.

ממה מורכב המבחן הסופי?

המירוץ האחרון מורכב מהתקפה והגנה שבה לכל הקבוצות השונות יש את אותה מכונה פגיעה להגן בה יש תוכן של הדגלים שהם מיתרי טקסט שאם נגנבים מאפשרים ליריבים להרוויח נקודות. כל צוות תוקף אחרים על ידי ניצול נקודות תורפה ובאותו הזמן מנסה להתגונן מפני התקפות של צוותים אחרים על ידי תיקון או "פצ'נדו" של הפגיעויות של המכונה שלה.

בפועל, כל צוות מקבל מכונה וירטואלית זהה. מטרת ה- CTF היא לנתח את השירותים הפגיעים בכוונה הקיימים במכונה, ולהשתמש במידע זה כדי לתקוף את מכונותיהם של המתנגדים ובו זמנית להגן על עצמם מפני התקפות של אחרים.

לכל צוות היה שרת עם אותם שירותים שנחשפו כלפי חוץ. לשירותים אלה (שיכולים להיות אתרים כמו גם הפעלה) היו פגיעויות. השלב הראשון של המירוץ, זה של ההגנה, כלל את מציאת נקודות התורפה הללו במטרה להתאים אותן כך שהמערכת של האדם לא תהיה זמינה, ובתורו להבין כיצד לנצל אותן במהלך ההתקפה על המתנגדים.

היית מאוד ברור. אבל עכשיו תגידו לי: האם חשבתם כיצד לשפר את ההופעות לשנה הבאה? האם אתה מתכנן להשתתף שוב האם תוכל לספר לצעירים שלך על החוויה שלך באוניברסיטה?

כן, בסוף המירוץ דיברנו מה עבר טוב ומה
ניתן היה לשפר, זו הייתה אולי המטרה החשובה ביותר של המירוץ, להשתפר.
יתר על כן, דוחות אלו עוזרים לנו להתכונן למרוצים אחרים בהם נשתתף. אנו חושבים ומקווים שנוכל לספר את החוויה לצעירים ביותר, זה דבר חשוב מאוד, לא היה לנו מזל שיש מישהו שכבר השתתף במהדורות קודמות ולכן אנו מקווים שהניסיון שלנו יהיה לעזר למי שמשתתף. אחרינו.
זו הייתה השנה הראשונה בה השתתפה אוניברסיטת קליארי בסייבר-צ'אלנגה.
אין ספק, לחוויה של השנה תהיה משמעות עמוקה עוד יותר עבור אלה שתהיה להם האפשרות לנסות את עצמם בסייבר-חלנגנג 'של השנה הבאה.
בעקבות אירועי השנה, נוצר צוות איתו אנו מתכוונים להשתתף בתעודות CTF עתידיות עם תמיכה של ילדים, מורים וצוות התמיכה של התחרות זה עתה הסתיים.
באשר לי, אני מקווה שחוויות העבר וההווה שלנו יכולות לשמש מקפצה למשתתפים עתידיים ביוזמות דומות בקליארי.
הצוות שלנו היה הראשון שהצליח להתמודד עם האתגר הזה. התמיכה הגיעה אפוא רק מהמדריכים שלנו. לאחר אתגר הסייבר גובשה קבוצת הסטודנטים שהשתתפה בקורס ומתארגנות אימונים על סוגים שונים של אתגרים. אנו סומכים על אימונים אלו כדי לשפר את הביצועים במהלך השנים הקרובות, לספק יותר תמיכה לחברים חדשים ובסיס ניסיון חזק יותר וחזק. לאחר שעברתי את מסלול אתגר הסייבר עד הסוף, אם תהיה לי הזדמנות אשמח לספר את החוויה שלי כדי להניע את המשתתפים העתידיים לעסוק בחוויה זו באותה תשוקה שהבשלתי.

לבסוף אני סקרן לדעת מה אתה מתכנן לעשות בסוף הלימודים. עולם הסייבר באיטליה זקוק למומחים, איך אתם מתכננים להמשיך ולהתכונן לעבודה? האם השתתפות ב- CyberChallenge.IT פתחה בשבילכם דרכים חדשות?

אין ספק שחלק חשוב בהכנה לעולם העבודה הוא לימוד, ללא יסודות איתנים קשה לגדול בסביבת עבודה. ההשתתפות ב- CyberChallenge.IT בהחלט פתחה מסלולים חדשים לעתיד הן מבחינה יצירה והן מבחינה לימודית.
במסגרת CyberChallenge הייתה לנו ההזדמנות להתעמת עם עצמנו, הן מקומית והן לאומית, עם מציאויות העבודה והמחקר השונות ביותר, המאוחדות על ידי הדרישה לאוהדי המגזר.

בטח זו הייתה חוויה שפקחה את עיניי להזדמנויות שלא הייתי מודע לה, ומאפשרת לי גם לחקור אפשרויות שכבר הכרתי. עם זאת, עבור כל דלת שנפתחת, קריטריוני הבחירה מתרחבים.
בקיצור, אין לי מושג.

אם היית מייעץ לחבר חדש על מסלול הלימוד לעקוב, מה היית מציע?

העצה שלנו לחבר / ה היא לנצל הזדמנויות במהלך הקורס
ניתן להציג מחקרים כדי לנסות להתעשר ככל האפשר, כמו למשל
יש לנצל מייד את CyberChallenge.IT ולאפשר לך לגלות באיזו דרך היא המתאימה ביותר.

אבטחת סייבר היא תחום שהוא לא רק עצום במיוחד אלא דורש רמה גבוהה יותר של יכולת בסיסית בהשוואה לתחומים מדעיים רבים באותו תחום של הכשרה.
מעבר להכשרה האקדמית הכרחית המתקדמת בתחום טכנולוגיות המידע או תחום הקשור אליו, כל מי שמעוניין בקורס לימוד זה חייב להיות בעל מוטיבציה ופרואקטיביות מתמדת בהתפתחותם האישית.

איך אתה רואה את עתידה של איטליה בכל הקשור לממד הסייבר? אם היית צריך להציע הצעה למקבלי ההחלטות שלנו, מה היית אומר?

עלינו להשקיע בצעירים ואנחנו צריכים להציע להם הזדמנויות שיכולות להוציא את כישוריהם מחוץ למסלול הלימודים הקלאסי
לדעתי, ליוזמות כמו CyberChallenge יש השפעה פוטנציאלית בלתי רגילה לטווח הארוך על התעסוקה וביטחון הסייבר בכל המדינה.
אני מקווה שאוכל להשתתף ביוזמות דומות ולחזק את הקיימות, גם בשנים הבאות.

מזל טוב חבר'ה, הרוח היא הנכונה, אז מזל טוב לכל הצוות, למורים שלך ולאלה שיעקבו אחריך.
אבל המחמאות הולכות גם למארגני המהדורה. אם הילדים מרוצים הם חייבים את זה למי שעשה כל כך הרבה מאמץ להרכיב את התחרות. כמובן שזה לא נגמר כאן אז אנו מצפים לראותך בשנה הבאה.
תודה חבר'ה ...

_{(1) ג'ורג'יו גיסינטו הוא פרופסור להנדסת מחשבים באוניברסיטת קליארי

(2) דייוויד מאיורקה היא חוקרת בהנדסת מחשבים באוניברסיטת קליארי}