Capture the Flag ( CTF ) en seguridad informática es un ejercicio en el que los participantes intentan encontrar cadenas de texto, llamadas "banderas", que están ocultas en secreto en programas o sitios web vulnerables a propósito . Se pueden utilizar tanto con fines competitivos como educativos. En dos variaciones principales de CTF, los participantes roban banderas de otros participantes (CTF de estilo ataque/defensa) o de los organizadores (desafíos de estilo Jeopardy). Una competencia mixta combina estos dos estilos. [1] Las competencias pueden incluir esconder banderas en dispositivos de hardware, pueden ser tanto en línea como en persona, y pueden ser avanzadas o de nivel básico. El juego está inspirado en el deporte tradicional al aire libre del mismo nombre . Los CTF se utilizan como una herramienta para desarrollar y refinar las habilidades de ciberseguridad, lo que los hace populares tanto en entornos profesionales como académicos.
Capture the Flag (CTF) es una competencia de ciberseguridad que se utiliza para probar y desarrollar habilidades de seguridad informática. Se desarrolló por primera vez en 1996 en DEF CON , la conferencia de ciberseguridad más grande de los Estados Unidos que se realiza anualmente en Las Vegas , Nevada. [2] La conferencia organiza un fin de semana de competencias de ciberseguridad, incluida su competencia insignia CTF.
Dos formatos populares de CTF son Jeopardy y Attack-Defense. [3] Ambos formatos ponen a prueba los conocimientos de los participantes en materia de ciberseguridad, pero difieren en sus objetivos. En el formato Jeopardy, los equipos participantes deben completar tantos desafíos de distintos valores en puntos de varias categorías, como criptografía, explotación web e ingeniería inversa. [4] En el formato Attack-Defense, los equipos que compiten deben defender sus sistemas informáticos vulnerables mientras atacan los sistemas de su oponente. [3]
El ejercicio implica una variedad de tareas, que incluyen la explotación y el descifrado de contraseñas, pero hay poca evidencia que demuestre cómo estas tareas se traducen en conocimientos de ciberseguridad de los expertos en seguridad. Investigaciones recientes han demostrado que las tareas de Capture the Flag abarcaban principalmente conocimientos técnicos, pero carecían de temas sociales como la ingeniería social y la concienciación sobre ciberseguridad. [5]
Se ha demostrado que los CTF son una forma eficaz de mejorar la educación en ciberseguridad a través de la gamificación . [6] Hay muchos ejemplos de CTF diseñados para enseñar habilidades de ciberseguridad a una amplia variedad de audiencias, incluido PicoCTF, organizado por Carnegie Mellon CyLab , que está orientado a estudiantes de secundaria, y pwn.college, apoyado por la Universidad Estatal de Arizona . [7] [8] [9] Más allá de los eventos y recursos educativos de CTF, se ha demostrado que los CTF son una forma muy eficaz de inculcar conceptos de ciberseguridad en el aula. [10] [11] Los CTF se han incluido en clases de informática de pregrado, como Introducción a la seguridad de la información en la Universidad Nacional de Singapur . [12] Los CTF también son populares en las academias militares. A menudo se incluyen como parte del plan de estudios de los cursos de ciberseguridad, y el Cyber Exercise organizado por la NSA culminó en una competencia de CTF entre las academias de servicio de EE. UU. y las universidades militares. [13]
Muchos organizadores de CTF registran su competición en la plataforma CTFtime. Esto permite el seguimiento de la posición de los equipos a lo largo del tiempo y en las competiciones. [14] Entre ellos se encuentran "Plaid Parliament of Pwning", "More Smoked Leet Chicken", "Dragon Sector", "dcua", "Eat, Sleep, Pwn, Repeat", "perfect blue", "organizers" y "Blue Water". En general, "Plaid Parliament of Pwning" y "Dragon Sector" han quedado en primer lugar a nivel mundial en más ocasiones, tres veces cada uno. [15]
Cada año se organizan docenas de CTF en una variedad de formatos. Muchos CTF están asociados con conferencias de ciberseguridad como DEF CON , HITCON y BSides . El CTF DEF CON, un CTF de ataque y defensa, es notable por ser una de las competiciones CTF más antiguas que existen, y los medios de comunicación lo han denominado de diversas formas como la " Serie Mundial ", [16] " Superbowl ", [9] [17] y " Olimpiadas ", [18] de piratería informática. El CTF de Cybersecurity Awareness Worldwide (CSAW) de la Universidad de Nueva York fue anfitrión del CTF de Cybersecurity Awareness Worldwide (CSAW), una de las competiciones de entrada abierta más grandes para estudiantes que aprenden ciberseguridad de todo el mundo. [4] En 2021, recibió a más de 1200 equipos durante la ronda de clasificación. [19]
Además de los CTF organizados por conferencias, muchos clubes y equipos de CTF organizan competiciones de CTF. [20] Muchos clubes y equipos de CTF están asociados con universidades, como el Plaid Parliament of Pwning asociado a CMU, que organiza PlaidCTF, [4] y el Shellphish asociado a ASU . [21]
Las competiciones CTF apoyadas por el gobierno incluyen el DARPA Cyber Grand Challenge y el ENISA European Cybersecurity Challenge . [22] En 2023, la competición CTF Hack-a-Sat patrocinada por la Fuerza Espacial de EE. UU. incluyó, por primera vez, un satélite orbital vivo para que los participantes lo explotaran. [23]
Las corporaciones y otras organizaciones a veces utilizan los CTF como un ejercicio de capacitación o evaluación. [ cita requerida ] Los beneficios de los CTF son similares a los de su uso en un entorno educativo. [ cita requerida ] Además de los ejercicios internos de CTF, algunas corporaciones como Google [24] y Tencent organizan competiciones de CTF de acceso público.
{{cite journal}}: Requiere citar revista |journal=( ayuda ){{cite web}}: CS1 maint: multiple names: authors list (link){{citation}}: CS1 maint: others (link)