RedBlue Notes Podcast
Хакеры атакуют — мы разбираем как.
Системы взламывают — мы объясняем почему.
И учим защищаться так, чтобы это не повторилось.
Читайте нас на: https://t.me/redbluenotes
RedBlue Notes Podcast
Разговор с cR4.sh: профессия, выгорание, офферы и крах CTF
Use Left/Right to seek, Home/End to jump to start or end. Hold shift to jump forward or backward.
Умирает ли CTF из-за нейросетей?
Как попадают в информационную безопасность?
Можно ли ломать системы по ночам и при этом иметь нормальную жизнь?
Задали эти вопросы тем, кто знает ответ на практике — команде cR4.sh. Разговор получился удивительно интересным и неожиданным, как мы и планировали.
Всем привет! С вами Red Leno. И это наш подкаст Зарадай на завтрак. Сегодня мы решили порадовать вас сразу двумя гостями.
SPEAKER_01Всем привет. Собственно говоря, хотим представить вам широко известных в узких кругах стийферов - это Crash Team. Пришло два человека. Собственно говоря, поговорим сегодня про все разные вещи: про стендов, ESTF, как помогает в жизни, практика, и прогоним пару матов. Расскажите, да, представьтесь, расскажите немного про себя: как появилась команда - кто ее создал, ну и в целом, как историю вашу. Небольшой лор - поведайте.
SPEAKER_04Всем привет! Если кто-то вдруг не знает, сегодня с вами Бебра или же S4R и Артем Робертсоман. Да, мы расскажем. Мы, собственно, можно сказать, являлись основателями данной команды. Это было в далеком 23-м году. Очень благодаря прекрасному движению Миростев, которое было до нашего прихода. Ребята, в общем-то, объявляли набор на летне соревнова в Самаре по системному администрированию Весьфай. И, в общем-то, нас с вуза, скажем так, ребята старше отобрали. И, в общем-то, мы с Артемом были в одной команде, так и заобщались. А у нас, собственно, были свои микрокоманды - там по несколько человек. Но, кстати, не микро.
SPEAKER_03Коллективы так-то были побольше, просто произошла некоторая чисткам.
SPEAKER_04Ну, в общем-то, да, как это бывает, у студентов первых курсов вкатываются в сети? Но не все, собственно, доходят до какого-то среднего начинающего уровня, и много кто сливается. Ну, и, в общем-то, оставшиеся люди организовались в некоторое объединение, которое назвали cash. Так. Ну, по этому вопросу есть еще что-нибудь? По названию, честно скажу, было какое-то странное первое название. Не помню точно, но проблема в том, что оно было занято на сети в тайме, а мы очень хотели получать очки на сети в тайме и как бы иметь там команду. Поэтому надо было как-то переименоваться. И я не знаю, сидел, думал, какие прикольные названия можно придумать. Там были разные прикольные названия, но вот выбрали вот это.
SPEAKER_02Ну, я удивлен, что вы в 23-м году основались. Потому что я помню, что вот участковых крас уже Миростефах, и там как-то все говорили про краши. Я думал, в этой команде лет 5, и она уже там поколениями играет.
SPEAKER_04Ну, нет, увы.
SPEAKER_01Не было ли такого вайба у вас, что Crash - это типа там, не знаю, как это нота-протест, там, Crash the System, что-нибудь такое.
SPEAKER_04Нет, нет, я тогда был вообще очень маленьким. Думал, особого смысла не закладывал. Что-то так прикольно на лите написанное, и чтобы было что-то про EB. И чтобы молодежно, достаточно. Нет, тогда не было. Тогда еще не было такого зуммерского выражения, как crush, подразумевающий себя, что оно обычно значит. Crash, скорее, вот как-то именно поломока чего-то.
SPEAKER_01А вот первые ваши шаги, которые были в Stefe, сразу какой-то там, типа, успех с нулевой минутой, или типа метопробу ошибок, сразу там становились где-то сильнее, где-то развивались, час в печайной ложке. Или сразу, можно сказать, таланты, просто пришли в команду и начали.
SPEAKER_04Ну, вообще, у половины ребят есть некоторый бэкграунд, то, собственно, кто-то со школы, чем-то, ну, не особо серьезно занимается, скорее, просто чем-то IT-шным занимались, кто-то вирусы писал, вот о чем вирусы писал в каком-то восьмом классе.
SPEAKER_03Все в ознакомительных целях. Ну, разумеется, да, все в академии целях. Что-то там чуть-чуть попробовать на питоне, чуть на плюсах. Чтоб такого интересного, можно было школьнику написать, но вот, конечно же, какую-нибудь пакость. Вообще нет. Ну, разумеется, у нас не все получалось на первых порах. Ну, наверное, про именно первый состав краша расскажет больше Матвей. Вторая команда, которая присоединилась к крашу как раз-таки в 2023 году, это Save 2 Dungeon. Никому не известные ноунеймы. Помнится, часть ребят уже сразу определилась, что они условно хотят заниматься пинтестом. Они продолжили как раз-таки, они не продолжили, они начали, по сути, с нуля как раз-таки изучать это направление. Ну, по большей степени ни у кого из нас не было именно проблем с нахождением каких-то информационных ресурсов, статей, гайдов о том, как прокачаться в той или иной эстезе. Но по итогу получилось как-то само собой. Мы просто мы старались, мы тратили время. И оно окупилось. Мы достигли определенных уже весьма заметных успехов.
SPEAKER_04Ну да, мы играли. Мы старались играть практически каждые выходные одно время. Это, конечно, очень сильно вымораживало. Ну, как люди уставали, приходилось заставлять иногда играть. Но во многом помогало играть и продолжать какие-то он-сайт-ивенты, а именно финалы. Например, первая, условно, наша поездка куда-то команда - это была там в финалой в Volga City. Нам очень понравилось Сомарио. Ира, АД, и куда-то ездить вместе. И во многом на самом деле это определяет желание что-либо играть. Это наличие какого-то финального этапа, куда можно съездить.
SPEAKER_01А вот вопрос тоже. На самом деле, много людей спрашивают, как вообще люди попадают на стендов, как стендов проходит, чем он отличается от пират обычного, может быть, пентеста или там CTF, как там все проходит. Но опять-таки, просто я в стендов не участвовал, там как-то в рамках НДИ что-то можно, наверное, рассказывать, что-то нет. Поэтому то, что можно рассказать, расскажите, чтобы тоже люди понимали. Может, они тоже захотят катиться в стендов, чтобы понять, с чего там начинается все, как туда люди вообще попадают, это через знакомство происходит, либо через платформы там.
SPEAKER_04Да, ну вообще, мы первый раз попали на стендов. Где-то в году, в 24-м, наверное, начали. Мне, например, стало интересно как-то переходить, больше как-то широко изучать, становиться более широкого уровня специалистом и помимо вебовнешки изучать, как еще манфру ломать, и из интересного, вот, как-то, не знаю, наверное, в интернете, в телеграм-каналах услышал где-то про что есть такой киберполигон. Ну и, наверное, в целом про стендов тогда я уже что-то слышал, что это какие-то соревнования для хакеров, вот все такое. Я, конечно, думал, что когда первый раз слышал, когда еще на первых курсах был, я думал, что ребята реально копии цифровых инфраструктур делают, и по сути ты там должен нули условно находить и как-то проламываться. Да, с этого года, на самом деле, это уже появилось примерно такое, но до этого все-таки было чуть иначе. И все-таки классический стендов про инфраструктуру условно с готовыми, очевидно, векторами - то есть что-то уже заведомо уязвимо, и это как-то можно эксплуатировать и всякие интересные риски, недопустимые события выполнять. Мы попали. Был отбор, проходил. Мы вообще изначально хотели поучаствовать в студенческой кибербитве - типа стендов для маленьких. Что-то у ребят записались на эти квалификации, должны были быть. Что-то записались, а их все нет и нет, что-то переносят и переносят. В итоге квалификация на обычный стендов оказалась раньше. Мы, не знаю, не особо сложно, наверное, прошли. По очкам, вроде бы топ-1, наверное, заняли по квалификациям. Прошли, собственно, все успешно на 13-й стендов был. Так что без особых знакомств, просто сели и порешали. Потратили некоторое время, и нас пригласили.
SPEAKER_05По праву топ-15, наверное, проходила вообще.
SPEAKER_04Вот. В этом году, насколько я знаю, в квалификации топ-5 проходил. Именно вот с таких внешних квалов. И в дальнейшем, насколько я знаю, обычно делают условно топ-5 или топ-10 этого года в стендофе проходит там автоматически следующий год. То есть условно заняли какое-то восьмое место по очкам, или 10, я не помню, в первом стендофе. И нас уже автоматически пригласили на следующий стендов. И через год мы опять заняли пятое место. Топ-5 пригласили на следующий год, ну и в этом году заняли второе место. И, соответственно, у нас тоже есть автоматическая проходка на следующий год.
SPEAKER_01У меня у нас уже хороший результат показали. Получается, сначала там 8, 5, 2, это прям вообще класс. Прям видно развитие, прогресс.
SPEAKER_02А вы играете как? Из дома или на полигон выезжаете?
SPEAKER_04Да, мы играли первый раз в лужниках, нас пригласили на площадку. Понравилось Ленам, мне лично нет. Я считаю, что крики было очень шумно в лужниках, много народу. И это очень дезморали, не знаю, даже не дизморали, это просто отвлекает. И все следующие годы мы играем в своем хэкспейсе. Вот у нас есть в ВУЗе некоторый кабинет, в котором мы обычно играем и CTF, и другие ивенты.
SPEAKER_01То есть не запрещают, да, дистанционно играть?
SPEAKER_04Дистанционно можно играть, и в основном, как раз-таки люди дистанционно играют. На площадке не так много места, чтобы всех уместить. То есть, на самом деле, или даже уже с прошлого, на площадку даже не полностью команды пускают, а у 5 человек с команды, готовы выделить места для них. Ну, не знаю. Не все, мне кажется, нравится играть на площадке.
SPEAKER_01Ну, я помню, когда вот по ХД был в парке Горького. Ну, там многие как бы, ну, не то что жаловались, просто говорили, что там, получается, именно под основной ивент было мало места выделено. Ну, там, вот буквально вот эта набережная, которая есть, там в парке Горького, там, я не знаю, может быть. Ну, как это сказать, вот эта скипка была выделена небольшая, и как раз-таки там стендов, где был, там зал относительно маленький получился. И зрители, можно сказать, там раз таки вытянутые руки были, где вот эти сидят атак Defense. Многие тогда говорили, кто в курилку уходил - типа очень шумно, очень тяжело. Люди прям стоят, кричат, потому что там музыка играет, а ты сидишь в наушниках, даже там музыка, шумоподавление не помогает, сбивается с концентрации, кто-то крикнет, ты отвлекаешься и забываешь, что хотел сделать. Поэтому, да, наверное, такие мероприятия сложно проводить.
SPEAKER_04На самом деле с этим заметно борются, как уже получается, когда после парка Горького ПХД был в лужниках, и красные синие команды посадили далеко от людей, люди уже снизу до них не могли добраться. Так что проблема с людьми частично решена, но все еще шумно. Так как это зал во многом для людей больше с макетами, с макетами инфраструктур, постоянно уже заходят люди, и вот должно что-то с экрана большого повещаться, какие-то информации. И вот это постоянно одно дело послушать один раз какой-то ролик, но когда ты его на протяжении трех с половиной дней слушаешь постоянно одно и то же, но это очень сильно зарыв.
SPEAKER_01Ну, я представляю, вот это постоянно слушать, можно шизоф поймать.
SPEAKER_02Реализована атака. Я как-то был в зале, там эта фраза за минуту прозвучала шесть раз.
SPEAKER_01Там же еще потом музыка начинает перед атакой играть. Там, по-моему, сначала в парке горика, когда то ли сирена была какая-то, она прям неожиданно включалась. Некоторые люди прям, ну, которые там стояли один смоке, но уже вздрагивали. Так был прям такой алерт был. Жесткий. А вот еще такой вопрос. На мероприятиях, которые проходили, например, стен-довф, может быть, в Олгасе ТЕФ, они же там могут несколько дней литься, да. И вот бывает такое, что там от недосыпа были плохие результаты. Или там то, что соперники вот прям рядом сидят и могут, там, не знаю, в мониторком заглянуть или еще что-нибудь. Оно вот сбивает как-то, или вообще фиолетово на такое, на недосыпано, на такие все мини-моменты.
SPEAKER_03Обычно, конечно, присутствует. Особенно потому, что все время до последнего мы можем что-то откладывать, или наоборот, как на зло в последний момент что-то выяснить, что оно что-то не работает. Вот все нужно починить, еще раз проверить. Немножко вот нервозно, зачастую, проходит у нас канун, как раз-таки, соревнований. Таких вот серьезных, как Волга. Да, не досыпаем. Да, это в целом влияет на концентрацию. Но опять же, на нервозность. Ну, вероятно, если бы мы спали лучше и отдыхали полноценно перед царевами, что-то у нас могло бы явно получаться лучше. Но как бы и попробуешь, не узнаешь. Мы еще не пробовали, к сожалению.
SPEAKER_01Никогда не поздно попробовать выспаться.
SPEAKER_03А касательно нахождения на площадке, мне кажется, что мы в целом мы сидим обычно слишком сконцентрированно на своих делах. И особо мы не обращаем внимания на окружающих. Но единственное, когда только там вскрикивать кто-то начинает, это, конечно, да, немножко отвлекает. Хочется посмотреть, что они там радуются, везлятся. В остальном в целом нет.
SPEAKER_01Ну, в целом нет, да, мандражи - когда сидеть на сцене - то есть, в принципе, на это не обращайте внимания.
SPEAKER_04Ну, у нас да. У нас часто людей, например, не любят, например, за столом сидеть. Не всем нравится участвовать в сайт. Но некоторые ивенты, типа, там, в Кубоксе, он обычно все такое очно проходит. А как мы выяснили, участвовать очно все-таки какая-то часть людей не любит.
SPEAKER_02А в этом году вообще отдельные кабинеты сделали и для атаки, и для защиты в кибердоме. И там у них жались и опускались, поднимались на этот общий зал.
SPEAKER_04Да, но то, что я видел, что было в кибердоме, но вот я, честно, наглядно слышал проблему, что якобы кто-то у кого-то что-то подслушал и пошел реализовал риск.
SPEAKER_02Ну, кабинеты были очень маленькие, визуально, так если со стороны смотреть.
SPEAKER_04Чуваки сидели очень близко, ну и не исключено, что это действительно могло иметь место случиться. Поэтому это тоже такой неприятный фактор. Я, например, вообще люблю посидеть, поорать, погореть очень сильно, очень громко. Конечно, не получится делать это на чужой площадке.
SPEAKER_01Как-то на войне все способы хороши. Взял, подслышал, реализовал. Вообще с кайфом. Да, скорее всего, 100%, почему бы и нет. Ну, это бесплатный нетворк, считай, по знаниям.
SPEAKER_02А вот нетворк раскручиваем. Ну, второе место - это прям очень сильно, тем более на таком соревновании, как стендов. Может, после этого вам всем сразу офферы из Бигтехов, стали ссыпать, может, вас перекупать стали.
SPEAKER_04Да, нет, но мы так в целом работаем на плюс-минус приятных, хороших позициях, но не сказал бы, чтобы что-то начинало сыпаться. Ну, на собеседованиях, не то чтобы уже ходим по собеседованиям, но обычно узнают, знают примерно команду. И, возможно, это какие-то как минимум HR и некоторые знают какие-то преимущества при трудоустройстве, наверное, даются. Но в целом, я бы, наверное, на месте работодателя не считал там сндов в чем-то выдающимся, настолько выдающимся, чтобы это и роляло перед техническими, скажем так, навыками, которые на Собесе узнаются о человеке.
SPEAKER_01А вот тогда такой вопрос: что, допустим, важнее получить какой-нибудь там сертификат по типу там, не знаю, ОСЦП какой там еще есть от Андусов, блин, я не по как он называется, уже забыл. В общем, что важнее? Получить какой-то сертификат, который подтверждает твои знания там об снезнапинтеста, дефенципа и так далее, или же вот то, что у вас там тот места в сейфе.
SPEAKER_04Ну, я бы, наверное, субъективно я бы сказал, что, наверное, соревнования посложнее обычно, чем сертификация. Ну, потому что, например, если брать в СЦП, то вообще не так сильно имеет общего с реальностью. Ну и далее идущие эти авсековские сертификаты типа ОСЕПа, которые не меняются уже несколько лет, не особо является показателем. Опять же, сертификаты в основном все-таки для тендеров. Есть сертификаты, которые в тендерах обычно не роляют. ХТБшные сертификаты просто еще не успели обозначиться как-то на рынке. Но я думаю, что ХТБшные сертификаты являются тоже неплохим показателем, если брать даже CPTS. Это условно сертификат уровня у СТП, но на деле, мне кажется, он куда сложнее и намного ближе к реальности, чем у ОСЕК.
SPEAKER_03Уместный здесь сейчас вспомните панировки. Я о том, что сеть, в принципе, умирается.
SPEAKER_01Ну, это мы да, хотели спросить. Ну, раз уже сейчас пойдет разговор, я думаю, сейчас подведем. Но тут, скорее всего, вопрос сертификата в том, что, знаете, говорит, допустим, про ХТБ, да, это больше там что-то поломать машинки, да. Он более такой, как. Ну, многими расценивается, грубо говоря, как вот попытаться войти в инфобес, да. Хочешь там форензику, ты на ХТБ идешь, и идешь татчик, и начинаешь ее там типа посмотреть. Хочешь в Пентес идешь на ХТБ, смотришь татчик, как ее ломать. То есть это больше скорее как вот, не знаю, entertainment для EBSников, нежели вот какая-то там лютая сертификация. Но это вот как-то сказать, клеймо такое на ХТБ закрепилось, да. Но многие говорят, что когда, допустим, сертификацию ХТБ сдают, она иногда бывает даже сложнее, чем у СЦП. Потому что у СЦП там оно не сильно всегда меняется. Бывают года, когда там очень лютая инфра, но зачастую, ну, по крайней мере, кто сдает, говорит, что оно там плюс-минус одинаковое, да, и просто сиди там скрипт крутани один раз, там, не знаю, Nmap запустил, и тоже там понимаешь, что можно будет дальше делать. А с КТБ иногда такое не прокатывают, и у них бывают прям очень такие прям ядреные лабы для серфт. Ну, чтобы для сердца полунилось.
SPEAKER_04Да, именно если брать КТБ не как лабы, не как тачки, а как ХТБ академия, это отдельный Юнит. Ну да, да, да, да. Наверное, с точки зрения обучения и пруфа того, что ты чего-то достиг, наверное, получше будет среди других серков.
SPEAKER_01Ну, кстати, меня тоже Коллега по работе говорил. Я у него спрашивал: Блин, ну, типа, СЦП там СССР сдавал. А как ты вообще там? К нему пришел, как-то сдавал, он говорит: я просто ХТБ-академию открыл, проходил все, что там было, и просто пошел СЦП сдавать. Вот прям вот такой тейк - буквально. Поэтому, да, слушатели полезные лайфхак, идите в ХТБ-академию решайте, и там уже можете лутать сертификат СЦП-СЦЕ. Ну и как раз, да, мы там уже поговорили про нейронки. Я так понимаю, раз вы так об этом сказали, что Стеф умирает, то он умирает. Почему? Потому что просто сама концепция ИИ появилась, да, что можно использовать какой-нибудь клоуч от GPT для решения задач, нахождения флагов по Стефу, или из-за того, что просто люди настолько обленились, что даже какие-нибудь условно группы, которые участвуют, да, ну как Тимы, короче, которые участвуют, уже настолько обленились, что они просто покупают PRO подписки на разные сервисы и просто крутят агентов, и так они лутают очки. Ну и насколько вообще, да, это актуальная проблема для CTF и решается ли она вообще каким-либо образом, с точки зрения организации, которая CTF организовывает Пурмалду сказал, организация организовывает, ну, вы поняли, в общем, компания, которая организовывает CTF, она вообще борется с таким понятием, как вот и агенты, и что им просто важнее - провести мероприятие или же увидеть, что люди действительно умеют взламывать машины, независимо от того, используют они агент или нет. То есть проверяют знания.
SPEAKER_03Дело тут все-таки не влияние в результативности, поскольку CTF все-таки в первую очередь, это соревнования. И, конечно, нейронные сети уже глупо отрицать, что они стали действительно достаточно умными, чтобы не просто помогать, в целом, даже им уже спокойно можно делегировать решение целых отдельных тасок. А это особенно касается отдельных категорий заданий, таких, как, например, криптография reverse, где, по сути, у нейронки есть весь контекст для решения. Ну, банально, даже если взять просто человека, который пришел, играть чистый результат, и человека, который все-таки с помощью стифов, скажем так, образовывается, он приходит на сетях получить какой-то новый опыт, знания. Очевидно, что человек, который как бы пришел за знаниями, его будет очень сильно дезморалить тот факт, что кто-то там мог решить, допустим, сверхсложный таск - это очень интригрованно, конечно. Сверхсложный таск за 15 минут, при том, что он сидел и на ним копытился, сколько, 5-6 часов, может, даже сутки целые, всю сыреву. Это определенно мешает именно концепции играть и учиться. Ну, сейчас, в принципе, не знаю, вот я всегда считал, что CTF это вообще замечательный энтрипоинт, потому что у тебя есть как бы стимул, мотиватор. Ты хочешь, допустим, добраться на топ лидерборда. Отлично. Чтобы добраться до топ лизерборда, тебе нужно учиться, стараться, что-то тратить свое время. Но сейчас это уже в этом плане не окупается. Разумеется, это все еще не бестолково для обучения. Но с таким подходом сейчас Стефа играть в принципе сложно. А с учетом того, что нейронки уже слишком хорошо, самостоятельно могут решать таски, желание просто участвовать отпадает. А если говорить про меры, это очень сложный вопрос, поскольку зачастую соревнования проводятся именно онлайн целиком, и контролировать полноценно это невозможно. Пытались некоторые организаторы требовать отчета, условно, стопы 10, 15, 20 команд. Но это тоже не работает. Во-первых, отчет можно спокойно переписать, даже условно, если ты ничего не знаешь, или знаешь очень мало. Объективно недостаточно, чтобы решить таск, но это небольшая проблема.
SPEAKER_01Может, также нейронку попросить, и отчет написать?
SPEAKER_03Я вот Хикс Team уже не первый год проводит Антон, это Олимпиада для школьников по направлению в информационной безопасности. И нас это тоже довольно сильно затронуло. Школьники, разумеется, они как бы пришли играть на результат, потому что призовые места это поступление в топовые вузы. Но у нас с этим все несколько проще, поскольку соревнования очное, их можно контролировать. Площадка целиком под нашим контролем, сеть тоже. И, собственно, правила мы тоже можем задавать куда более жесткие. С точки зрения ограничений, потому что это именно Олимпиада, и здесь проверяются именно знания участника. Ну и разумеется, в конце, последний год устраивали допрос отдельно для команд. И субъективно, если автор считает, что ответ недостаточно развернут, или видно, что человек плавает, это как бы показатель того, что он не понимает вообще сути решения, не понимает саму таску и решение просто обнуляли.
SPEAKER_02Как вы, получается, проводите и сами СТФ?
SPEAKER_03Ну да. Вот если именно говорить про команду Crash, да, мы. Даже с 2023 года, да? И первое соревнование, которое мы проводили. В 2024 году. В 2024 Кубань. А, нет, в 23-м, да, да.
SPEAKER_04В 2023 году мы делали задание для Кубань СТФ. Мы проводили частично тоже, но администрированием занимались не мы. В 2024 году мы проводили там для школьников тоже Внутренний Сетиф для, условно, для Абитуры мира. Потом буквально рядом же с этим соревнованием для школьников провели Миростев 20-24 с очной частью. Под финал проводили у нас ВУЗе. Ну, и потом мы хотели сделать очень крутой, очень сложный CTF. Делали его около планировали, что-то таски какие-то нарабатывали больше года, наверное. Все постоянно обламывало прогрессирующие LM. Часть тасков вообще как бы умерли. Все уже идеи мертвые из-за нейронок. И вот таким хорошим выходом, наверное, стала коллаборация с ребятами, кто делает САС СТФ. В этом году мы, наверное, половину заданий для САСа сделали. Это было очень трудоемко, к еще к тайкому, что Ситиф умирает. Просто буквально хорошие, сложные задания, которые условно у тебя есть идея. Она потенциально нигде не встречалась, но просто нейронко почему-то имеет представление о том, как можно решить данную задачу. К сожалению, такие идеи тоже бывают, слопаются, и приходится тратить время на то, чтобы как-то укрепить и еще добавить лишние слои абстракции. Зачастую в очень сжатые сроки. Да, в очень сжатые сроки. И все приходит к тому, что на условно задания ты можешь потратить месяц. Но, как правило, никто не будут обычно заказчики. Не будут обычно, кто спонсирует разработку заданий, не смогут они покрывать достаточно расходы, временные и ресурсов и сил. Вот все такое на разработку заданий, чтобы хотелось это делать чтобы покрыть потраченное время. Ну и потом же, вот, ты вроде потратил времени, но не гарантированно то, что нейронку это сильно затормозит. Вот такой есть момент, и он тоже полностью лишает желания дальше участвовать в организации. Ну и, соответственно, скорее всего, с многими сильными командами. То же самое они с тем же самым столкнутся и проведут свои последние ивенты и все. Ну, либо же на коммерческой части есть сетифы, которые просто должны проводиться как галочка в рамках какого-нибудь мероприятия в рамках, например, какой-нибудь конференции - пиджачной. Такие CTFы будут жить, но здания, как правило, для них делаются для условной галочки. Просто что CTF должен пройти, все, он пройдет. Людей, которые будут за идею, именно за такую идею CTF, а что-то делать, их, скорее всего, не останется за следующий год, мне кажется, точно. Но я считаю, что в этом году CTF умер. Окончательно.
SPEAKER_03Но, кстати, справедливости ради побеждает все-таки не тот, у кого дороже подписка, а тот, у кого дороже подписка и круче базовый промпт.
SPEAKER_01Итог хотел сказать: да у кого круче промпт, то вы и деньги.
SPEAKER_03Формат Task обучения в целом он еще жив, но соревновательный дух, он как бы все. Он сгинул.
SPEAKER_01На самом деле, да, грустно слышать, что CTF, по сути, умер для обоих. Это для тех, кто умер, имеется в виду в кавычках, что ИИшка начала, можно сказать, выставлять палки в колеса как играющим, так и тем, кто таски создает. Потому что, ну, это, можно сказать, таски от своих для своих создаются, чтобы ты когда решал, да, там, не знаю, потратил 6 часов, но когда ты находишь флаг, это же, ну, типа, эндорфин, ты кайфанул. И ты смотришь на этот вообще способ решения и такой, ебать, это так можно было, типа реально классно, и ты получишь удовольствие, а тут ты просто, да, пром загрузил буквально 15 минут, и там неделя твоей работы, по сути, за 15 минут у тебя решилось, причем просто какой-то там бездушный железный типа того. Я просто не то, что там не люблю ИИ, но когда он обратает очень сильно такой массовый характер, да, многие вещи начинают как-то трансформироваться, что ли. Потому что да, вот в CTF приходят ребята, которые действительно за идею, за то, чтобы там нарабатывать скиллы, и вот это вот все, сидят там, даже с обычными, допустим, тасками по часу, там просто разогнаться, да, войти в темп. А там уже ребята просто напромтили и там, не знаю, перекрыли половину флагов. Потому что, по-моему, чем быстрее флаг находишь, тем больше поинтов получаешь, ну, насколько я помню.
SPEAKER_02Не-не, там зависит от количества найденных. То есть там баллы пересчитываются. Если много человек нашли флаг, тогда он дешевеет. Там firstblood далеко не. Ну, на некоторых есть firstblood, но редко уже.
SPEAKER_01Ну, в общем, вот да. И получается, что там нейроночные нашли быстро, ну, допустим, на каком-то первом задании быстро нашли флаг, да, и, соответственно, поинты уже будут меньше за него. А ты просто, ну, человек, самый обычный, за идею, вот этого, играешь, а тебе уже баллов будет меньше давать. Просто потому, что, ну, ИИшка вот так вот сделала. А вот как вы считаете, ну, вот в целом, даже в работе и больше мешается, или помогает в каких-то моментах. И не чувствуется ли, что вы, например, стали как-то хуже работать, или же там облинились, или потеряли там какие-то навыки? Если вы используете Ну или в целом подумать, может ли быть такое?
SPEAKER_03Вообще, я бы сказал, скорее нейронки не все-таки полезны. Еще вообще важный момент. Зачастую, как бы, ну разумеется, все строятся не сливать какую-то критическую или корпоративную информацию именно публичные нейронки. И сейчас есть тенденция на разворот в компаниях собственных и инфраструктур. И зачастую нейронки, которые крутятся локально, они будут чуть глупее, может быть. Ну, чуть меньше, можно будет на них, скажем так, делегировать. И даже если брать достаточно маленькие модели, вот я, например, лично могу выделить Quven 3.6 всего лишь 27 миллиардов параметров. При этом модель действительно прям помогает в работе, она очень шустро может реверсить и даже ассистировать с Wunry Search. Но, тем не менее, видел хорошую параллель. Нейронки обычно называют шустрыми джунами, скажем так. И, разумеется, за ней все равно нужен контроль. Как бы человек не целиком, даже если брать, наверное, самые мощные фронтирные модели. Ну, человек все равно нужен для контроля, для направления модели. Ну и, собственно, Да и все, да. Все сводится просто к контролю. Ты следишь за тем, чтобы модель качественно, скажем так, делала свою работу и не уходила в сторону.
SPEAKER_01А, вот ты сказал, что нейронка - это типа шустрый джун. Вот как вы думаете, сможешь ли нейронка просто в обозримом будущем заменить джунов, например? Ну, медлы там синьеры ладно, это уже опыт, там совершенно другая лига, а вот джунов. Можно заменить нейронку, допустим, самых там базовых?
SPEAKER_03Жена, нельзя заменить в том плане, что из жена у тебя дальше вырастает более сильный специалист. Вот. То есть, ну, возможно, и опять же, даже не сказать, что спрос должен из-за нейронок упасть, потому что хорошо, вот появились нейронки, вот их все внедряют, и как бы растет производительность труда. Замечательно. Но если ты условно уволишь людей и внедришь нейронку, разве ты не останешься на том же месте?
SPEAKER_01Ну, наверное, скорее просто хороший. Ну, я бы сказал так, что ты хочешь получить вообще в целом. Типа, если ты хочешь поиграть на дистанции, да, о своем будущем подумать как о компании, да, чтобы у тебя там был статус, показать, что у тебя реально там стильная хактима и так далее, то да, действительно, ты должен думать о том, чтобы развивать там свое поколение тестеров, да, взращивать. Ну, вообще в целом, как бы взращивать специалистов, потому что это, ну, твое будущее, будущее страны, будуще твоей организации, соответственно, да, ты должен играть на перспективу. Но если ты хочешь получить типа здесь и сейчас, не знаю, там деньги, например, да, то тебе проще что-то алях, там, control hack, pinter сделать, да, свое, и просто запускать, не знаю, продавать клиентам и автоматически отчеты делать. Ну, раз, например, там Control Hack жив, но там на людях базируется. Но я имею в виду к тому, что если сделать что-то типа автоматизированного пинтеста, какого-нибудь легенького, то можно условно о банк вынести прямо сейчас и не думать о будущем. Я бы так, наверное, сказал, это просто кто, что хочет. Кто хочет сейчас, то вот нейронка, пожалуйста, кто хочет о будущем подумать, я бы, наверное, нацеливался на специалистов.
SPEAKER_04Ну, да, если сейчас. Ну, все-таки сейчас рынок контестов не умирает, никуда никого, насколько я знаю, не уволили пока. И пока мы сами себя не заменим, нас не заменят. Ну, пока мы сами вместо себя и не будем использовать полноценно нейронки, нас не уволят. Тоже верно.
SPEAKER_01Ну, плюс еще говорили про отравленные данные для ей что, если, допустим, человек может понять, что эти данные, ну, не знаю, грязь или лживые просто на опыте, да, то нейронка, она обычно просто обучается на данных, которые ей дают. То есть она не знает, действительно, где ложь, она потом только может мыслить. Но это из-за разряда того, когда были первые нейронки, у нее спрашивали, как делать свиные крылышки. И она отвечала: типа, берите там крылья, замачивайте и так далее. А потом она уже начала понимать контекст, да, и говорила: ага, у свини же нет крыльев, поэтому вот. Но опять-таки, а если отравленная дать, как-то ложное представление, она будет так же, дальше и думать.
SPEAKER_04Есть еще фактор того, что, да, какие-то просто действия, которые ты раньше делал, теперь можно полностью делегировать. И, по сути, ты в этом плане можешь облениться. Самое главное, не облиняться полностью.
SPEAKER_01Надо уже самоконтроль, это вопрос самоконтроля.
SPEAKER_04И местами на самом деле тяжело полностью себя контролировать.
SPEAKER_01Ну, заприятный плод сладок, да. Когда она может делать, эту кофе попить, пусть там работает. А я отдохну. И такого. Ну, или отчет написать, например. Почему бы и нет, тоже удобно. Она столько времени экономит, особенно когда отчет там огромный получается.
SPEAKER_02А мне еще нравится этот сценарий искусственного интеллекта, когда вроде бы все проверил и думаешь. Ну, вроде чисто, вроде чисто, безопасно. А потом даешь искусственному интеллекту посмотреть, а он там находит опыт, про что-то там совсем забыл. То есть для меня искусственный интеллект - это скорее такое. Расширение поверхности атак, когда уже кончились все варианты. Интересно, а вдруг я что-то пропустил?
SPEAKER_04Да, да. Ну, конечно, не очень приятно, что мы дошли до того, что мы просим еще иногда Виктора атаку попросить, чтобы нам изгенерировал нейронка. На самом деле, правда, ради многого не знает. Многие, многие доменные, например, если брать примеры с финтестами, скажем так, не знает, как условность ДПТ, как ломать некоторые вещи. И когда ты ее начинаешь спрашивать, ну, субъективный опыт точно даст понять, что нейронка несет чушь, и на самом деле она не знает чего-то, например, и это добавляет мотивацию изучать это самому и еще не все потеряно.
SPEAKER_01Я, конечно, очищу это пессимизма вгоню, но это, наверное, просто вопрос времени. Вот буквально, может, там пару-тройке лет.
SPEAKER_03Но опять же, о полной замене тут вряд ли речь будет когда-либо идти, поскольку, ну даже просто по структуре бизнеса обычно есть условно менеджер, который понимает, скажем так, хотелки заказчика и непосредственно исполнитель. И менеджер-исполнитель - это все-таки очень разные специальности. И дать условно менеджеру нейронку, и что он с ней сделает, скажет: выполни работу под пунктом ТЗ, ну, нейронка что-то сделает.
SPEAKER_01Ну, я бы реально не вешал бы на нейронку столько надежд. Но лично для меня это всегда был аляс, там справочник какой-нибудь подобного типа, потому что, ну, я повторюсь, там, не знаю, в тысячный раз на подкасте, когда ты, допустим, на блюдтин, очень много вещей тебе непонятно, потому что бывают моменты, что там какая-то прок запускается с какими-то флагами. Естественно, ты эти флаги в голове держать не будешь. Это там не какой-нибудь N-map, который тысячу раз прокручен, и ты знаешь, что значит там типа минус А и подобные флаги. Это совершенно другая утилита, и тебя намного быстрее нейронку спросить, чем искать документацию, еще что-то, она это сделает, блин, за 15 секунд. Ты, естественно, грузишь вот этот экзешник с флагами и говоришь, что эти флаги обозначают, и дай там ссылки, например. Чтобы просто быстро глазами проглядеть, что нейронка действительно нашла нужная, где ты не ошибешься впоследствии. Вот это вообще, типа, очень массхев и вручает, ну, так, чтобы, как говорил один человек, что там условно сок умрет, на первой линии уже не нужны аналитики, их заменить нейронка, ну, не знаю, я поспорю. Это очень субъективное мнение, и чересчуру, как по мне, радикальное. Потому что специалистов тяжело заменять. Нейронка действительно многих вещей не знает, а даже если на компанию ты разворачиваешь LLM-ку, ее надо будет постоянно переобучать - в этом-то проблема. И переобучать там, ну, и типа дообучать. И это будет просто вечная гонка за актуальностью. А у тебя сидит специалист, который старое помнит хорошо, а оному научится быстро. И не надо будет там постоянно его ребутать. Поэтому да, это такая тема опасная. Ну и повторюсь, кто хочет здесь и сейчас, они просто берут и в тупую газ пол на нейронке. Кто на перспективу, тебе играют и в стех без нейронок, и за идею, в общем, за какую-то. Вот общую гойду.
SPEAKER_02Я бы хотел, наверное, чуть-чуть вернуться назад минут на 10 к теме ваших стефов. И мне интересно, было ли такое, что вот вы в инфраструктуре заказчика эксплуатируете одну уязвимость за другой, а потом ловите себя на мысли: о, так это же можно целый таск из этого сделать.
SPEAKER_04Конечно. Да. Мы во многом, вот то, что сейчас проводили с Ас-ЦТФ, практически все таски, что мы делали, это все кейсы какие-либо сработа. То есть, мне кажется, так рождаются, наверное, самые интересные задания. То, что было в реальности, не то, что UCLoga какая-то, да. Да, такое чувство.
SPEAKER_02И получается, обратное условие тоже верно. Что вот то, что вы решаете на ЦТФ-ах, потом в работе вы подмечаете, а где-то я это уже решал. Такие матчи есть в обратную сторону.
SPEAKER_04К сожалению, намного реже, потому что, как правило, все-таки CTF проводят все-таки какие-то такое есть негласное условное правило, что CTF не про реальную жизнь. Много кто так считает, и многие таски, условно, многие клиент-сайт-таскы, условно, если брать его. Категория, это не малоприменимая в жизни в работе. Это интересно это потыкать, интересно это поизучать, но в работе себе это, скорее всего, не пригодится. Хотелось бы, чтобы больше людей хотели делали что-то именно из реальности. Тогда, наверное, было бы круто играть в CTF, но, опять же, есть что-то, что мешает. Ну, из-за чего эти люди, кто бы хотел, не будут этого делать. Потому что нейрон.
SPEAKER_01Ну, как по мне, вот эти вот здания Stef - это что-то. Но лично для меня из разряда там по брейнштормить либо на гибкость ума, чем на вот прям какой-то опыт. Ну, это просто не знаю. Не то, чтобы я там в Стеф прям участвовал. Я, наверное, типа Стев-энджойер такой. Мне показалось так, что это буквально на какой-то кругозор, либо на брейншторм. Так обычно да.
SPEAKER_04Обычно так. Скорее, редкости, что ты это потом сможешь принять.
SPEAKER_01А бывало такое, что на Стефе вы находили реальные УЯзы, которые там еще, может, там не за декорали. Короче, реальные УЯзы находили или нет.
SPEAKER_04Как правило, достаточно многие CTF, хай уровня, таски могут включать в себя эксплуатацию так называемых Зиродеев. Ну, не обязательно, чтобы это было что-то мегакритичное, но да, такие таски встречаются, но и часто, что именно это как бы и заложено, что нужно было найти это. Как-то незадокументированную уязвимость. Кажется, такое было, что в какой-то коробке Ну не знаю, было ли это задумано так, но там нашелся какой-то аудов байпас, который без аудых байпаса нельзя было происплотировать с Вене на РЦЕ. Причем этот аудов байпас нашел вообще кодекс.
SPEAKER_01Ну, тут, скорее всего, нейронка просто, я не знаю. Может быть, просто имеет больше, как это сказать, информации про то, как вообще AUF работает. Ну и как его, смотри, байпас. Ну и плюс там еще как-то говорится, код коду Розин. Например, я вот знаю, на текущий момент есть как его движок у Chroma, который, по-моему, v8 называется. Он переводит, по-моему, джес-код в плюсовый, что-то такое. Там очень много вот есть вот этих вот, по-моему, type confusion, называется, у Йоза. И в последнее время начали Ишки их прям для Гугла штамповать. Очень много. Ну, то есть берется какой-то там инжойер, да. Наги те же есть, как его Chromium. Он, по-моему, там в открытом виде лежит. Ну, он берет просто, неронку загоняет, говорит там условно, да, ищи type confusion и попробуй там проэксплуатировать. Ну, эксплуатирует он, видит, результат потом по программе BB репортит, и все, и он деньги лутает. Ну, не на фри, прям, но так сказать, жизнь стала намного легче. Если раньше ресерчеры находили, либо ужексплоатор в постресерче, когда там Дэфир уже занимается вопросами, как там за их качеку проникли, видят, может быть, какие-то там веб-артефакты, понимают, что там есть свое новое, неизвестное за RDK, то сейчас уже прямо и бэкбаунти программу автоматизируют. Но грустно немного на самом деле, что тут уже речь идет просто о, наверное, прибыли какой-то, вот как раз таки мгновенной, да, нежели об опыте. Потому что быть, ну, мне кажется, что теперь работодатель не будет обращать внимания, например, на топ-1 в сетей или на бэкбаунти программах. Это будет уже не такой ценный опыт для HR-ов. Ну, возможно, в обозримом будущем. Потому что они будут, наверное, думать, что ты хорошо промптишь, а не то, что у тебя прям огромный-огромный багаж знаний.
SPEAKER_04Для бизнеса все зависит от технической команды, все-таки решение принимает. Но мне кажется, уметь хорошо промптить тоже нужно, и это тоже навык. Ты на самом деле ты не можешь просто сказать: Фодекс взломай, и он найдет на бубе. Ты должен быть генератором идей и правильно направлять. Просто так, ну, да, если запускать просто так и взломай. Результат тоже будет. Результат будет, ну, дай бог, пара информативов будет. Либо дубли просто. Поэтому тоже стоит все пока не так плохо, не знаю, как в будущем будет. Все-таки, ну, условно, сейчас вышла модель 5.6 у ГПТ на кодекса. Агентная модель она лучше, чем 5.5, наверное. Но не настолько прям прирост, пока заметьте. Так что, возможно, не знаю, все-таки мы упираемся немножко в стенку в потолок, и все тяжелее и тяжелее делать нейронки умнее, чем они были до этого. И может быть, вот мы уже скоро придем к потолку, и, собственно, все. Дальше будет не так уж и страшно, если мы зафиксируемся на текущем уровне. В целом можно жить, ну, либо перестраиваемся.
SPEAKER_01Ну, тут еще, да, на текущий момент данные - это исчерпаемый ресурс. Ну, грубо говоря, не обучается там условно на какой-нибудь Б-информации, да, там, не знаю, 3 миллиарда и Б-информации. А если просто пофантазировать, а ее там 5 миллиардов на текущий момент. То есть она в какой-то момент просто упрется в потолок, и дальше она и не будет обучаться до какой-то момента. Надо мы вы поняли, к чему я. Ну, кстати, раз брониронки так заговорили, именно про различные версии, да, там от вендоров, вот у Антропика вот этот клод, который вышел пятый, он, ну, на самом деле по ИБ-шке был достаточно мощный. Там прям супер, ну, по крайней мере, как говорили, там загружали прям супер-супер диффусцированный код без какого-либо ключа шифрования, либо там код флага, да, чтобы можно было хоть от чего-то отталкиваться. Клод это не супер расшифровал, но он сказал, что типа это с шансом в 99% - очень такой малварный скрипт. И потом, когда он начал его расшифровывать, он догадался, что нужен ключ, чтобы там на каком-то там экваториальном этапе представляется вот этот ключик, чтобы дальше расшифровать этот payload. Ну и клот говорит, типа, нужен ключик, все дела, но это 100% малварь. Поэтому уже они прям хорошо на этом заточены. Ну, по крайней мере, для какого-то реверса может быть таких вот вещей. Мне прям очень хорошо себя показывают.
SPEAKER_02Искусственный интеллект, конечно, хорошо. Но давайте вернемся к обычной жизни. Вот, ну, мы все тут много лет относительно ИБ в сфере? И есть ли у вас какая-нибудь такая проводеформация после CTF каждую неделю или многих часов работы, что вы, допустим, приходите на какую-то выставку и думаете, а как мне обойти авторизацию? Или заходите на сайт и думаете, а что если ID-шники менять в урле, найду ли я идор? Сталкивались с таким?
SPEAKER_03Кому как? Вообще, мне лично со временем, наоборот, немножко хочется от этого отстраниться, начать поддерживать тот самый work-life balance. Потому что постоянное сосредоточение на работе, оно может нехило так утомлять.
SPEAKER_01То есть стараетесь абстрагироваться. Ну, короче, в свободное время вы максимально, минимально думаете о работе, а подобных вещах.
SPEAKER_04Пока так не получается, на самом деле. Потихонечку, может быть, понемножку будем выходить в work life balance. Но пока все еще на выходных там это какие-то сайт-проекты, вед-проекты. На самом деле, все-таки ушел целый день тратить на походку. Куда-то, наверное, не хочется скорее. Музей и другой реальный мир потрогать.
SPEAKER_01Зачем, да? Можно, а зачем? А бывает такое, что, допустим, вот попробую так вопрос сформулировать. Вот, допустим, вы работаете, да, активно, то есть, security днем и вечером security. Не бывает такое, что прям вот подталкивает вас к выгоранию или прям к суперутомляемости. Или стараетесь тоже такой баланс соблюдать, чтобы не выгореть прям окончательно, или на стадию попасть, когда фитиль зажигается.
SPEAKER_04Ну, да, ну, у меня как-то на старте такое было, словно какая-то. Начинал только учиться, еще работы не было. Наверное, не знаю, вот я полгода усиленно занимался, учился, учился, а потом что-то очень сильно заебался и целую неделю задротил в РПГ. Без выхода в свет.
SPEAKER_01Ну, это, наверное, уже знаешь, как переутомление. Ты вот уперся в потолок и не смог. Просто дальше знаешь, себя контролить.
SPEAKER_04С годами я как будто бы стал отлавливать это состояние. И просто когда оно приближается, я просто начинаю меньше работать. И как-то сейчас уже не приходится так сильно выпадать.
SPEAKER_01Ну, это хорошо, но это опять, наверное, опыт просто показал. Ты первый раз состояние это почувствовал, в котором ты был. Ты его уж хорошо знаешь и запомнил. Как бы его байпасишь. А блин, там у вас просто голоса плюс-минус похожи. Ну, потому что микрофон один, я там так. Это часто говорил Матвей, да? Да.
SPEAKER_03У меня в целом все схоже. Бывает такое, что в какой-то момент уже просто нет силы, нет желания ничего условно, по работе и делать. И тоже начинаешь просто какими-то бестолковыми делами заниматься. Вот, ну, пару дней в компьютер поиграть - это вообще норм, тема, да.
SPEAKER_01Ну, надо тоже отдать мозгам отдыхать, это важно. Нельзя работать 24 на 7. Это опасно. Ну, лучше с друзьями в банке. Ну, да, лучше в бане.
SPEAKER_04Да, да. Мы сейчас. Ну, вообще, да, с ДСУК устроен так, мы либо там в баню, либо на квесты ходим.
SPEAKER_01О, ну это вообще классно, на самом деле, да, да, да. Душой и телом отдохнуть, это важно, мозги разгрузить - это тоже массака. Поша, на самом деле, как показ практика, некоторые люди вообще не умеют отдыхать. Ну, вообще в целом не умеют отдыхать. Они выходные. Я думаю, что отдых - это опять почитать что-то там инфосекьюрное, там, не знаю, какую-нибудь тачку переверсить - типа отдыха, но на деле это же тоже работа. И ты опять вот, ну, выдыхаешься, опять устаешь и опять начнешь выгорать. Поэтому отдых должен быть на природе, какой-то активный, всякие квизы, там, не знаю, настолки, то, что тебя максимально от работы отдалит. Поэтому это очень важно, оказывается. Потому что, ну, не знаю, это вот прям, как-то сказать, не практика, а вот многие люди в первые, может быть, года 2 ВБ они прям очень сильно выгорают, они очень сильно руки опускают. Свои знакомые, которые из ЗБ просто в бэкэнд ушли или в The Works. Потому что вот прям, ну, грубо говоря, полноценный инфобес очень сильно дает о себе знать, и ты быстро выгораешь. Ну, я вот не знаю, правда это или нет, просто знакомые, вот так вот у меня у них получилось, к сожалению, не выдержали.
SPEAKER_02Я думаю, это в целом айтишка такая, потому что у меня есть знакомый, который работает в автосервисе, устраивается новую работу, знакомится с коллегами, спрашивают, что, кто, откуда. А там айтишники оказываются. Те, которые отучились, немножко поработали. Мне это все вообще не понравилось, решили, не нужно нам это IT, и пошли гайки крутить, масла менять.
SPEAKER_04Да, не, да, я хотел сказать, да, уволят у нас туда. Вот берем себе настройку. Арбузу врачи. Арбузы отражают. Слоты крутить.
SPEAKER_01Слоты крутить. Ну, это край, это край, по-моему. Я бы в деревню просто уехал жить. Вот подальше от всей это соеты. Там хозяйство, не заогородство, вот это вот прям класс: мед выращивать. Да, да, да. А вот вы поняли сразу, что ИБ - это для вас не хобби, а прям полноценное призвание или профессия. Или это как-то может быть просто целенаправленно. Ну, в общем, это случайный был выбор ИБ или нет. Либо прям осознанно шли ВБ, прямо уже понимали, что это там, допустим, в школе вам показали один раз, и вы такие блин, это было интересно. Надо дальше посмотреть.
SPEAKER_03Ну, если говорить про себя, то у меня, вероятно, эта определенность была именно прямо со школы, со старших классов. После проги мне там, условно, учительный информатики Journal предложил поучаствовать в Олимпиаде, как раз-таки, по EBS, тоже НТО. Ну, я так чуть-чуть посмотрел, поговорил, нашел некий реверс, там какой-то ассемблер. Это круче, чем плюсы. О, да, мне определенно, нужно это изучить. Ну и как-то вот пошло, поехало, реально затянуло. Как я в реверс пришел, так из него не уходил. Вот и я у тебя как, напомню.
SPEAKER_04Да, я скорее, я на самом деле начал работать, потому что была необходимость в деньгах. Надо было на что-то в Москве жить. Я думаю, ну, если я учусь там на ЕБ, наверное, поработать. Ну, пойду, наверное, по специальности учусь. сел там, CTF, и посмотрел, CTF, и понравились. Ну, и можно, оказывается, там работать потом можем устроиться. А на ебешку почему поступал?
SPEAKER_05А, да я хакером хотел стать.
SPEAKER_01Не, на самом деле многие так это делали. Потому что когда я поступал в универ, мне почему-то от программирования нравилось как бы изначально. Ну просто вот концепция проги, там кода, вот этого всего. Я прихожу в приемную комиссию и говорю, а где вот прям кода много надо писать? Ну, что-то вот прям на плюс В хотел подвигаться. Мне говорят, вот иди на эту специальность, а это инфобес. Я такой думаю, блин, ну это же реально много кода, там, типа, не знаю, вирусы писать, там, может, антивирусы, вот это все. А потом я прихожу, а там сети какие-то, блин, вообще не проход, ничего не было. Тогда, не знаю, там, типа на ассемблере писать это вообще не похоже на то, что я хотел. Типа, это не Hello World, print-f, вот этот ваш. Совсем другая какая-то стихия, странная. Там AX, вот эти все регистры, там, вообще какой-то кринж. А потом, наоборот, что-то как-то адаптировался, втянулся, стало интересно. Но поначалу прям очень такой когнитивный диснанс ловил. Ну, просто ожидание с реальностью не сошлось, к сожалению. Но реальность оказалась лучше, чем ожидание.
SPEAKER_04А, ну не, я еще вспомнил, я изначально-то хотел в облавах там участвовать, ловить там. Хакеров смотрел эти ролики, как их задерживают. Я думаю, вот круто, я отучусь на ВУЗе и тоже буду так делать. Вот. Потом что-то, когда понял, что нужно делать для этого, ну, именно. Когда уже начал, наверное, изучать предмет на ИБ, вот что нужно делать, чтобы потом таких облавах участвовать, как ты перехотелось. Теперь он сам ждет облавах.
SPEAKER_05А теперь я сам жду облаву.
SPEAKER_02Ну, мы, в принципе, нормально так по ИБ поразгоняли и по образованию. И ведь, когда мы учимся - ну, особенно в университете, там помимо атаки и защиты, большое число дисциплин, там у кого-то право, у кого-то экономика. Стали с таким, что знания в какой-то совсем не IB-отрас, финансы, допустим, медицина или юриспруденция помогали вам в работе как-нибудь.
SPEAKER_01Ты никогда не угадаешь, что наш. Ну, просто, например, почему-то такой вопрос был задан. Ну, условно, например, вам рассказывают, там, не знаю, на каком-то экономике работает аквайринг, да? Потому что там, типа, клиент приходит, карточку прикладывают, сначала обрабатывается, потом платеж проходит через эквайринг, часть платежа в аквайринге остается, как комиссия, по-моему, потом уже падает на баланс компании. Может быть, грубо говоря, вот эта цепочка там где-то там на СТФ или там, может, какую-то банковскую структуру пенетрировали, поняли, как эта цепочка работает, ну, благодаря вот этим знаниям, да, бэкграунду, и начали это раскручивать до какого-нибудь инцидента, например.
SPEAKER_04А не в УЗИ. На самом деле, из того, что я помню, что я посещал такие непрофильные предметы, там было что-то не особо, как будто бы полезное, что я даже не нашел в голове применение потенциального в жизни. Это просто материал ради материала. И обычно вот такие предметы просто читают, потому что должны их читать. И все.
SPEAKER_01Ну, вполне возможно. Вполне возможно. Ну, даже иногда бывает такое, что пока тебе это не надо, ты с этим и работать не будешь, или изучать. Но это тоже как справедливо. Зачем лишний раз тоже голову чем-то там забивать, ну, не знаю, там не нужно, неинтересно. Как бы каждый сам считает для себя, скажем, интересным поинтом, что-то стороннее послушать, если это действительно его как-то, не знаю, там, затрагивает душевно, интеллектуально. Уж, да, бывали предметы в универе, которые прям совсем какие-то либо душные неправильно говорить, скорее были, какие-то не совсем даже профильно интересные, наверное. Шанулсон там, матан, был интересный для меня, экономика. Ну, для общего развития, как бы да, но просто нам ставили плюсики за то, что мы появляемся на парах, поэтому ходили, а так, не знаю. Но я там нечастым гостем был. На этом по экономике, поэтому не знаю. По мне душновато было. Типа я просто ВБ, зачем мне там вот это знать, как ВВП строится, работает. Ну, с одной стороны, как бы надо, а с другой, не знаю. Слишком. Душно для универа. Если можно скипнуть, лучше скипать, наверное. Ну, как говорил да, Винстан Черчил, если есть возможность посидеть, я посижу.
SPEAKER_03Скипать ради чего еще вопрос? Если скипать, чтобы обалбесничать, но нет, ты должны походить, как будто не знаю. Ну, да, да, да. И как бы ты сам видишь вектор дальнейшего развития, то, ну да, наверное, это разумно.
SPEAKER_01Понимаешь, это как давать вредные советы. Вроде, с одной стороны, говоришь, если тебе есть чем заняться, ты можешь этим заняться. Ну, вроде бы как бы благие знамения, да. Намерения, sorry. А с другой стороны, человек понимает, что он может в ком поиграть и на экономику не пойти. Ему же есть чем заняться, есть, вот он. Скажет ему он там на подкасте сказали. Сделать крайним. Да.
SPEAKER_02Умные люди в интернете сказали. Ну, да, тут немножко в другом ключе подразумевалось.
SPEAKER_01Ну, понятное дело, да, да, да. И тоже такой же, как-то финальный вопрос перед самым финальным. Ну, как раз, да, уже можно и заканчивать, в принципе. Много чего говорили, прям. Классно было. А вот вы смотрите какие-то там, допустим, доклады, конференции, может быть, что-то читаете, что может там слушателям посоветовать. Может, типа хакер почитать, что-нибудь такое.
SPEAKER_04Да, у нас есть. Не знаю, сколько лет подряд на Кубань-Сити выигрываем эти подписки на хакер. И, к сожалению, ну, не знаю, очень редко на хакере, как бы заходишь, чтобы что-то конкретно почитать. Наверное, во многом это популяристическое, может быть, я ошибаюсь. Как будто на хакере не так много технически глубокого. Но хакер, наверное, для начинающих норм что-то почитать. Рейд апы там на ХТБшной тачке, может быть. Ну, из конференции, но я думаю, что в ВБ заходит. Это оно все как бы на поверхность и там стендофф проводит, стендов толкс, ПХД, офф-зоны, блэкхэт. Блэкх, да. Но на блэкхэте за блокхами надо следить. Я, например, не слежу их, там же много проходит в разных странах за год, несколько штук, наверное. По несколько докладов, по несколько конференций, и тоже, да, и надо вылавливать.
SPEAKER_01Ну, там еще вот эти блэкхаты, они, по-моему, как там разделяются. Потому что есть там, которые в Америке проводятся, они прям вот, ну, прям от названия понятно, там, Black Hat, которые проводятся в Саудовской Аравии, они более-таки типа экономические, науч-попные, но тоже относительно понятно, почему в Азии они вот прям супер пограничные получаются. Там надо прям вылавливать золото. Вот. А какие-нибудь, может, там, research читать, какие-то, может быть, паблики, но для общего развития, может быть, что-то. Или тоже старайтесь от этого абстрагироваться. И в основном только вот, скажем так, когда вот на работе что-то тогда находите.
SPEAKER_03Да, вообще, обычно, всякие там полезные знания, они в очень разных местах находятся, на совсем разных форумах. Это может быть вообще личный чей-то блокпост, просто с полезной выжимкой, которая тебе нужна вот именно прямо сейчас. Ну, а так, чтобы прямо какие-то централизованные ресурсы, на которых есть буквально все.
SPEAKER_05Таких нет, в общем.
SPEAKER_01Ну, да, как-то. Кнопки, бабло не существует. То же самое. Ну, в принципе, я догадывался, что будет такой ответ. Но, кстати, насчет хакера там бывают интересные статьи. Но скажу так, как бы не в обиду там хакеров. Вдруг нас слушают ребята, кто не знает редачит или еще что-то. Просто иногда, да, вот прям супер. Ну, лично для меня супер. Прям интересные статьи. Они там бывают. Не часто, но бывают, да. Это как будто просто порог вхождения чуть-чуть сгладить. Есть вот такие вот, типа, сайтики. А конференции какие еще можете посоветовать? Может, какие-то зарубежные там, типа от Гугла?
SPEAKER_04Зарубежных, честно, не был, наверное, тоже не был, насколько я знаю. В пределах российских то, что есть, наверное, российские, да, всем известны.
SPEAKER_01Ну, в большинстве своем, да, да.
SPEAKER_04Возобновил работу. Ну, Бекон достаточно узкая штука. Бекон больше да, можно тоже отметить. Это по контейнерной безопасности.
SPEAKER_01Не, ну в целом-то тоже она, ну, как там даже клауды, там, контейнеры, куберы, они сейчас почти везде. А там Assum Birch какой-нибудь.
SPEAKER_04Ну, Asum Birch, я бы сказал, что это не очень массово, потому что попасть туда не так просто. Наверное, нужно вот либо кого-то знать, либо прийти туда с докладом. Ну, да, на самом деле могу немножечко, наверное, не знаю. Ничего мне за это не должно быть. В общем-то, если, скажем так, у кого-то нет связи, и кто-то хочет попасть на Симбирч, хорошим энтрипоинтом может быть это прийти туда с докладом. Если вы придете с докладом, даже возможно, что даже если ваш доклад не отрунут, но ваша тема понравится организаторам, то вы тоже получите проход. Ну, Assumir - это больше про нетворкинг, наверное.
SPEAKER_01Ну, в большинстве сам, да. Но в любом случае, ты знание лутаешь, как бы, даже с нетворка. Ну вот. Так что в целом.
SPEAKER_04Посещать разные. Они по-разному, конечно, проводятся - условно, цикадовский метап. Как он называется? Ну, вроде как и называется у цикады. Да, вот на подобные мероприятия стоит искать, общаться, узнавать. Появляются новые. Вот вместо ПХД, не помню, как называется, Ептаконф вроде в этом году был. Тоже мне показалось прикольно. Доклады были много технических докладов было. Вот некоторые вроде бы даже послушал. Было прикольно. Вот. Наверное, чтобы лутать информацию о таких мероприятиях, надо быть подписанным на крупные каналы.
SPEAKER_01Они обязательно. Там, по-моему, есть сайт, я не помню, как он там называется - Чотого. Я если найду, я даже его прикреплю специально. Если не забуду. Там прям все кафы есть. Вообще по всему.
SPEAKER_04Таких агрегаторов просто не встречал. И еще закинуть по статьям. Ну, не знаю, мне обычно в телефоне в метро еду, мне там на андроидах видно слева фит-лист, да, если свайпнуть, вот там есть. Мне почему-то рекомендуется там на схабре всякие на хабре. Иногда какие-то микро-новости бывают интересные, которые ссылаются более крупным ресерчем. Вот такое тоже бывает. На секьюр-листе, на Savante. И, короче, есть паттешные платформа с новостями. Есть Каспировская. И вот оттуда тоже новости интересные можно увидеть. И уже по этим новостям найти сами ресерчи, как бы есть инфоповод, и по этому инфоповоду может быть интересная информация. Это тоже, наверное, может быть полезно. Для меня, например, бывает.
SPEAKER_01Я еще знаю, есть какой-то испанский журнал, типа как хакера. Там тоже, ну, некоторые ребята прям хорошо о нем отзываются, говорят, там прям интересные есть мысли. И почему можно там как дальше атаки развивать. Ну, и как-то инсайт, да. Но просто то, что на испанском вообще не все его читают, так с переводчиком. Ну, опять-таки, блин, головняк какой-то PDF открывать, переводить, потом читать. А там у них картинок много, и ссылок, как бы оно все теряется из-за того, что переводчиком пользуешься, постоянно надо вот это свапаться. Ну, если тоже найду его, может быть, закину. Но он вроде как платный, поэтому, скорее всего, и не закину. Ну и теперь самый добивочный вопрос. Вот оказавшись в начале своего пути ИБ, какой бы вы сами себе главный совет дали?
SPEAKER_04Я в целом на самом деле хотел бы сказать, что меня и так все устраивает, да, но из того, что может кому-то пригодиться, ну, стоит не бросать, наверное, если тебе дело нравится, не бросай его, и результат он не всегда сразу наступает.
SPEAKER_03И самое главное, чтобы дело все-таки нравилось, а то усилие нужно как бы непомерно и без мотивации, как бы совершить.
SPEAKER_01Ну, это справедливо. Но так мы и попадаем. В большинстве своем сферы, да. По сути.
SPEAKER_04Примерно не знаю, такой пример, что я несколько, не знаю, полгода, наверное, на Портсвигере лабо решал. Большинство лап я захожу минут 30 стикаю и не понимаю, просто реально не получается решать каску. Я иду в райтап, читаю, а, так вот, и узоло ты еще близко был, горишь, такой, идешь, учишься, и вот так постепенно, постепенно начинаешь уже самостоятельно что-то понимать, и в каких-то результатах добиваться.
SPEAKER_05Берется через сервис звездам. Вот. Да.
SPEAKER_01По-моему, мы это в конце каждого говорим в выпуске. У меня такое ощущение, что я дежурив поймал. Вот. Поэтому, да. Нам пора да уже прощаться. Спасибо, что пришли, уделили ваше драгоценное время. Проговорили намного разных тем. Поэтому вам спасибо, что пришли. Спасибо слушателям, что слушаете. Вот, финальное слово Сергею.
SPEAKER_02Слушателям спасибо, что слушали. Гостям большое спасибо, что пришли. Было очень интересно поразгонять на ИБ темы, особенно от таких широко известных в узких кругах специалистах, основателях команды Crash. Спасибо.
SPEAKER_01И самое финальное, финальное заключительное слово нашим гостям.
SPEAKER_04Да, спасибо большое, что пригласили. Нам было приятно первый раз на самом деле в чем-то таком участвовали. Надеюсь, кому-то будет интересно или полезно.
SPEAKER_01Все. Всем спасибо. До новых встреч.
SPEAKER_05Баба-ба.