Kas yra CTF ir kaip jį laimėti: pokalbis su Justu Kaminsku

Question 1

1. Papasakok apie pačią pradžią dalyvavimo CTF – kada buvo pirmosios varžybos, kaip jose atsidūrei, kodėl „užkabino“?

Answer

Pradėjau 2019 metais, pirmasis buvo pico CTF, kuris buvo skirtas moksleiviams ar studentams. Tai buvo puikus pasibandymas. Bet pats užduočių sprendimas, narpliojimas man buvo artimas jau tikrai seniai – turiu tarptautinės fizikos olimpiados bronzą. Matau daug panašumų tarp matematikos ar fizikos olimpiadų ir CTF. Po mokyklos baigimo pasirinkau kibernetinio saugumo sritį kaip profesinį kelią, tad pradėjau labiau domėtis šiomis varžybomis. 2024-aisiais pirmą kartą sudalyvavau gyvame CTF renginyje Estijoje. Vėliau dalyvavimų įvairiose kibernetinio saugumo varžybose vis daugėjo, prasidėjau skinti pergalės. 2025-ais metais Nacionalinis Kibernetinio Saugumo Centras (NKSC) rinko nacionalinę jaunimo komandą varžyboms Varšuvoje ir tapau šios komandos kapitonu. Tokio masto, t. y., tarptautinėse jaunimo varžybose Lietuva apskritai dalyvavo pirmą kartą.

Question 2

2. CTF tikrai populiarios varžybos, tačiau jose dalyvauti gali ne bet kas. Kokių gebėjimų ir žinių, manai, reikia norint dalyvauti CTF varžybose?

Answer

Sakyčiau, kad reikia kombinacijos – ir techninių kibernetinio saugumo žinių, ir gebėti į problemą/klausimą pažiūrėti iš įvairių kampų, ir domėjimosi kokie kibernetinio saugumo įvykiai nutinka pasaulyje. Pavyzdžiui, tas pats „Hack the box“ – ten reikėjo ne vėliavas rinkti, o atsakinėti į klausimus, pavyzdžiui ištirti išpirkos prašymo ataką (angl. ransomware),bei itin greitai rasti informaciją.

Question 3

3. Kurios kibernetinio saugumo varžybos tau labiausiai patiko ar įstrigo ir kodėl?

Answer

Pats labiausiai patikęs 2024 m. vykęs „Hack the box“ Operation Tinsel Trace II: Join the resistance against Krampus! kuomet reikėjo atsakinėti į klausimus apie duotus artifaktus, kuriuos „išleisdavo“ kas kelias dienas ir pirmas išsprendęs tos dienos užduotį laimi. Pati paskutinė, 6-oji užduotis buvo pati sudėtingiausia, truko spręsti 5 valandas, jau tikrai jautėsi nuovargis. Kažkaip susikaupiau ir laimėjau. Taip pat „Try hack me“ buvo įsimintinas dėl laimėto prizo – kartu su „NRD Cyber Security“ komanda gavome dvylika Play Station 5.

Question 4

4. Na gerai, o ko reikia sukurti gerą CTF? Pats esi kūręs šiuos iššūkius „BSides Vilnius“ konferencijai 2025-ais ir 2026-ais

Answer

Man asmeniškai patinka realūs scenarijai, pavyzdžiui, kurdamas užduotį „BSides Vilnius“, naudojau 2012 metais realiai vykusį tyrimą. Žmonėms patinka, kai gali ne tik padaryti, bet ir kažką išmokti, paanalizuoti kas ir kaip vyko. Dažniausiai vienos istorijos nėra, CTF tikrai retai jas turi – gaila, nes tai žymiai labiau įtraukia.

Question 5

5. Kiek laiko trunka užduočių kūrimas?

Answer

Priklausomai nuo sudėtingumo, vienos užduoties paruošimas dažniausiai trunka 1-2 val.

Question 6

6. Ar dalyvavimas CTF tave dar kažkaip praturtina?

Answer

Aistra CTF atvedė mane ir į „LockedShields“ kibernetinio saugumo pratybas, kuriose dalyvavau skaitmeninių tyrimų (angl. forensics) komandose. Ten irgi reikėjo spręsti užduotis ir, jaučiu, kad po šios patirties tikrai labai patobulėjau. Dabar tai ir dalis mano kasdienio darbo.

Question 7

7. Pakalbėkime apie „SANS CTF EU“. Kas paskatino tave nuspręsti dalyvauti, ir kokias taktikas naudojai, kad laimėtum (žinoma, jeigu gali pasidalinti)?

Answer

Apie „SANS CTF EU“ pasidalino NKSC, kurie yra šių varžybų partneriai. Pamatęs ir nusprendžiau sudalyvauti. Paradoksas – šiame konkurse galėjau išvis net nebūti įtrauktas. Vis atidėjau registravimąsi ir kai jau prisiruošiau… nebegalėjau užregistruoti. Nepasidaviau ir trečias bandymas susisiekti su organizatoriais buvo sėkmingas, man leido sudalyvauti.

Pačių varžybų metu miego buvo tikrai mažai. Žinojau, kad svarbu ne tik greitis, bet ir neteisingų atsakymų pateikimų skaičius. Visų varžybų metu nebuvau tarp lyderių, bet apsišarvavau kantrybe ir stengiausi, kad kuo mažiau klaidų būtų ir kuo mažiau bandymų. Galų gale suklydau tik kartą ir šokau per 30-emit vietų į viršų ir tapau laimėtoju. Finale dalyvių liko 300, viso dalyvavo apie 1000 žmonių.

Question 8

8. Klausimas apie labai „karštą“ temą - dirbtinį intelektą (DI): kokius iššūkius tiek dalyvavimui kibernetinio saugumo varžybose, tiek užduočių kūrimui atneša DI? Gal yra ir privalumų?

Answer

Iššūkių atneša tikrai daug, ypač todėl, kad DI naudojamas užduočių sprendimui. Lengvos tampa dar lengviau išsprendžiamos, sunkesnės – sunkiau, bet irgi tikrai , o jeigu jau neišsprendžia AI, tai jau niekas neišsprendžia. Tad natūraliai kyla dilema – ar čia kibernetinio saugumo žinių ir įgūdžių varžybos, ar kas geriau ir tikslingiau išnaudos DI galimybes. Gyvų CTF organizatoriai bando riboti DI naudojimą, bet online tai padaryti yra labai sudėtinga. Todėl, pavyzdžiui, reflektuojant apie BSides Vilnius konferenciją, su organizacine komanda svarstėme, kad šįkart online vykusį CTF kitąmet darysime gyvai.

Be abejo, DI tampa mūsų kasdienio gyvenimo dalimi tiek darbe, tiek visur kitur, tad CTF irgi neturėtų būti išimtis ir reikia ieškoti būdų kaip šios varžybos turėtų ir galėtų kisti. Tinkamai panaudojus DI, galima lengviau sekti informaciją, pildyti sekas ir nepasimesti. Tai tampa ypač vertinga kai naktys – bemiegės ir galima greičiau susisteminti ir įsisavinti informaciją. Taip pat, svarbus yra ir dirbtinio intelekto kaip pagalbinio vaidmuo – kai jau esi aklavietėje, teisinga užklausa gali užvesti ant kelio kaip išspręsti užduotį.

Question 9

9. Ką patartum daryti tiems, kam CTF skamba kaip įdomi patirtis? Nuo ko pradėti? Kur ieškoti informacijos?

Answer

Na pirmiausia reikia plačiai domėtis kibernetinio saugumo sritimi, pasaulyje vykstančiais kibernetinio saugumo incidentais bei bandyti suprasti kaip jie įvyko, kaip jie tiriami ir sprendžiami. Taip pat tikrai reikia ir techninių įgūdžių bei žinių. Tam galima naudoti įvairias online platformas, pavyzdžiui, pwncollege kur galima išmokti kaip “palaužti” programas.

Antra, reikia bandyti. Verta pradėti nuo paprastesnių varžybų, pavyzdžiui „picoCTF“ būtų geras pasirinkimas. Jeigu esate dar moksleiviai, NKSC organizuoja maratoną „ Kibernetinis maratonas“ (užduotys kas mėnesį), kur galima pasibandyti. Taip pat jaunimui (iki 25m.) kas metus vyksta NKSC organizuojama atranka į CTF nacionalinę komandą „Kibernetinis sprintas“, po kurios vyksta ir pasiruošimo stovyklos ir kiti renginiai..

Priemonių ir būdų yra tikrai daug, tad linkiu pabandyti ir įsitraukti į šias varžybas. Norisi, kad nacionalinė komanda gyvuotų ir stiprėtų ir garsėtume tarptautiniame lygyje!