Orientação ao competidor

Como participar

Leia estas instruções antes do início. Elas valem para toda a competição.

Crie sua conta. Use Cadastro no menu do alto. Você escolhe um nome de usuário e informa um e-mail, ou entra com sua conta Google.
Entre em uma equipe. Quem pontua é sempre uma equipe — e a equipe pode ser só você. Quem cria a equipe é o capitão dela; quem chega depois entra pelo convite do capitão ou pede entrada e aguarda a aprovação.
Aguarde o início. Até a hora marcada dá para se cadastrar e montar a equipe, mas os desafios e o SIEM ainda não abrem. O horário de início e de término fica no alto da página inicial.
Investigue no SIEM. Abra o desafio, procure a evidência nos eventos do SIEM e envie a flag que a investigação revelar.
Acompanhe a competição. Consulte o placar ao vivo para ver a classificação e os últimos acertos. A organização pode pausar, estender ou encurtar o prazo.
Registre sua experiência. Ao terminar, responda ao questionário de feedback. As respostas complementam os dados técnicos da competição.

Conta, equipe e capitão

Sem equipe você não vê os desafios. A conta sozinha serve para entrar na plataforma; quem pontua é a equipe. Competir sozinho é permitido: basta criar uma equipe só sua. Se você abrir Desafios sem estar em uma equipe, a plataforma leva você para a tela Equipe, que é onde isso se resolve. Faça isso antes do início, não na hora da largada.

Cada equipe tem no máximo 5 integrantes, contando o capitão. Com a equipe completa, novos pedidos e convites são recusados.

Se você vai criar a equipe

Abra Equipe no menu, no canto direito, e clique em Criar equipe, inclusive individual.
Quem cria a equipe é o capitão. Não há outro passo: o papel é de quem clicou.
Vai competir sozinho? Então acabou aqui. Uma equipe com você dentro já é uma equipe, e você já pode jogar.
Avise o nome exato da equipe aos seus colegas. É por esse nome que eles vão encontrá-la.
Existem dois caminhos para os demais entrarem, e os dois dependem de você: aprovar os pedidos que chegarem, ou enviar o link de convite (ícone Convidar usuários na tela da equipe). Quem recebe o link entra direto, sem esperar aprovação.
Fique atento aos pedidos pendentes: enquanto você não aprovar, seu colega não consegue jogar.

Se você vai entrar em uma equipe existente

Abra Equipe no menu, clique em Encontrar equipe, procure a equipe pelo nome e clique em Solicitar entrada.
O pedido fica pendente até o capitão aprovar. Não existe senha de equipe: quem decide é sempre o capitão.
Mais rápido ainda: peça ao capitão o link de convite. Quem abre esse link entra na equipe na hora, sem fila de aprovação.
Você só pode ter um pedido pendente e só pode pertencer a uma equipe.

Se você é o capitão e precisa aprovar

Abra Equipe no menu (a sua equipe, no canto direito) e clique em Solicitações de entrada.
Cada pedido tem Aprovar e Recusar. Aprovar já coloca a pessoa na equipe.
Só o capitão vê essa tela. Se você não a encontra, você não é o capitão desta equipe.

Como se pontua

Cada desafio tem uma flag: um valor que você encontra investigando os eventos. Escreva-a no campo de resposta do desafio, no formato flag{valor}.
Maiúsculas e minúsculas não importam. O que importa é o valor certo.
Cada desafio mostra o nível — Fácil, Médio ou Difícil — e vale 100, 200 ou 300 pontos. Os fáceis rendem menos, mas costumam ser o caminho mais curto para a primeira pontuação da equipe.
O acerto vale para a equipe inteira: um integrante resolve, todos pontuam.
Os desafios não limitam as tentativas, e errar não tira pontos. Se algum desafio limitar, ele mesmo avisa quantas tentativas restam.
Toda dica custa pontos, e o preço aparece antes de você confirmar. Nenhum desafio precisa de dica para ser resolvido; a dica é atalho, não requisito.

Classificação e desempate

Pontos. Fica à frente quem tem mais pontos, já descontado o que foi gasto em dicas.
Quem chegou antes. Com os pontos empatados, fica à frente a equipe que chegou primeiro àquela pontuação: vale o horário do último acerto ou da última dica aberta, porque os dois mudam a pontuação.
Ordem de registro. Se o horário também coincidir, fica à frente a equipe cujo último acerto ou dica foi gravado primeiro pela plataforma.

Duas equipes que resolvem todos os desafios com o mesmo gasto em dicas terminam empatadas em pontos, e a campeã é a que terminou primeiro. Não há bônus por tempo: resolver com calma não tira pontos de ninguém, e a velocidade decide exatamente o empate. O placar ao vivo, o pódio e o placar oficial usam esta mesma ordem.

Como investigar no SIEM

O SIEM é onde ficam os registros da rede investigada. Ele abre quando a competição começa: clique em Abrir SIEM, botão que fica no alto da tela Desafios e também dentro de cada desafio. A busca fica no alto da tela: você escreve o que procura e a lista abaixo mostra os eventos correspondentes. A ferramenta é o Kibana e a linguagem de busca chama-se KQL. Vale saber os nomes se quiser estudar mais por fora.

Quatro buscas para começar

event.outcome:denied: Eventos que as fontes registraram como negados. Restrinja por event.dataset para encontrar a fonte relevante.
destination.port:445: Conversas em uma porta específica. Troque o número pela porta que o desafio citar.
source.ip:"198.18.0.0/16": Tudo que partiu de uma faixa de rede inteira. Use quando o desafio falar de uma sub-rede.
user.name:"ana.lima": Tudo que uma pessoa fez. Vale também para host.name e source.ip.

Combine buscas com AND para restringir e OR para ampliar. Use aspas quando o valor tiver ponto, arroba ou espaço.

Onde procurar

Cada registro pertence a um conjunto, identificado pelo campo event.dataset. O desafio quase sempre indica qual olhar. Para ver um conjunto inteiro, busque event.dataset:dns.

Os conjuntos são de três tipos. Há a telemetria das ferramentas de segurança da rede, como auth (autenticação), firewall, dns, edr (endpoints), vpn, waf, ips, nac, email, ddos e appdb (banco da aplicação).

Há casos inteiros já correlacionados pelo SIEM, com o nome da regra que os agrupou, como CS-Execution-PowerShell ou Possible Local Worm Detected, e há credenciais, com o despejo de um serviço de exportação. E há as fases do incidente em curso, como portal e varredura, que surgem no SIEM conforme a investigação avança.

Você nunca precisa adivinhar quais existem: a tela do SIEM lista os conjuntos, a contagem e os campos de cada um, e a lista cresce conforme a competição progride. Os casos com nome de regra aparecem ali juntos, como demais registros.

Como é a resposta

A flag tem o formato flag{valor}. Às vezes o valor está escrito no log, como um endereço IP ou um nome de usuário. Outras vezes é a conclusão a que você chega depois de somar os eventos, como uma contagem. Escreva a resposta entre as chaves e envie no campo do desafio. Maiúsculas e minúsculas não importam.

Se a busca não trouxer nada

Aumente o período. É o motivo mais comum, e o primeiro a conferir. Os registros desta competição não são de hoje: cada fase investiga um período diferente. No seletor de datas, no canto superior direito, escolha um período largo, como Last 5 years. Os atalhos da tela do SIEM já abrem com um período que cobre tudo.
Confira o campo. source.ip é quem enviou; destination.ip é quem recebeu. Campos exportados do QRadar têm espaço no nome e vão entre aspas: "Source IP":"192.0.2.10".
Procure por pedaço. message:*varredura* encontra a palavra em qualquer lugar do texto do evento.

Por que resolver logo

Guardar uma flag para enviar depois não protege sua equipe: prejudica. Cada desafio resolvido libera o próximo, e liberar o próximo injeta novos eventos no SIEM, para todo mundo e ao mesmo tempo. A base fica maior e mais ruidosa a cada avanço da investigação.

Quem envia cedo trabalha numa base limpa e já pontuou. Quem segura a flag continua procurando na base que os outros acabaram de sujar, e recebe os mesmos pontos por um trabalho que ficou mais difícil. Envie assim que tiver certeza.

Os eventos novos levam alguns segundos para entrar no SIEM — no máximo cerca de um minuto, para as levas maiores. Se você resolver um desafio e abrir o seguinte na mesma hora, pode ver a busca ainda enchendo. Não é erro: repita a busca daqui a pouco.

Quem chega primeiro em cada desafio recebe a marca de Primeira a resolver no placar ao vivo. Ela não vale pontos e só pode acontecer uma vez por desafio. O pódio também anuncia quatro destaques, que não valem pontos: Maior pontuação (maior pontuação individual), Pioneirismo (mais desafios resolvidos antes de qualquer outra equipe), Precisão (equipe com a maior proporção de desafios resolvidos na primeira resposta) e Abertura de fases (equipe que mais liberou fases da investigação para todas). Nenhum destaque premia tentativa e erro: chutar a flag não ensina a investigar.

Encerrada a competição, cada desafio passa a mostrar a sua solução comentada: a resposta, o caminho até ela e o que o caso ensina. Acertar depois do encerramento é conferido, mas não pontua.

Depois do encerramento, quem atuou na competição e respondeu ao questionário emite o certificado de participação, com o nome completo, a equipe e um código que qualquer pessoa confere.

Regras de conduta

Use somente sua conta e os recursos liberados pela organização.
Não compartilhe flags, credenciais, sessões ou dados de outra equipe.
Não automatize tentativas de flag nem execute ações contra a infraestrutura da plataforma.
Registre problemas técnicos com a organização, sem explorar falhas da plataforma.