Mark Zimmermann am dritten CTF-Bootcamp in Den Haag

arcades System Engineer und Informatikstudent Mark Zimmermann ist am diesjährigen CTF-Bootcamp
vom 3. – 5. März mit dabei. Der Event wird von der Agentur der Europäischen Union für Cybersicherheit (ENISA) organisiert und findet dieses Jahr zum dritten Mal im niederländischen Den Haag statt. Als einer von wenigen hat Mark im Dezember 2021 das europaweite ENISA CTF Online-Weihnachtsspiel erfolgreich gelöst und darf als Anerkennung für die bemerkenswerte Leistung am dreitägigen Bootcamp als Kandidat für das Team EU teilnehmen.

Wie die Reise begann
Auf CTF aufmerksam geworden ist Mark durch die Hochschule Luzern. Im Studiengang «Information & Cyber Security» wurden die Studierenden dazu ermuntert, an sogenannten CTF-Challenges teilzunehmen. Auch das ausschlaggebende Weihnachts CTF wurde vom Studiengangleiter Dr. Prof. Bernhard Hammerli an die Studierenden verschickt. Schnell hat Mark bemerkt, dass ihm die Challenges nicht nur Spass machen, auch dass er die Challenges schnell und erfolgreich lösen und abschliessen konnte. Aus den anfänglichen «Studienaufgaben» wurde kurzum eine Leidenschaft, welche Mark im März nun mit 51 weiteren Teilnehmenden vertiefen kann. Um was es bei CTF-Challenges geht und mehr über die Veranstalterin im nächsten Abschnitt.

Was ist CTF? Und wer ist ENISA?
Capture-the-Flag-Veranstaltungen sind meist Computersicherheitswettbewerbe. Die Teilnehmer treten in sicherheitsrelevanten Herausforderungen gegeneinander an, um die höchste Punktzahl zu erreichen. Von den Teilnehmern wird erwartet, dass sie "Flaggen erobern", um ihre Punktzahl zu erhöhen, daher der Name der Veranstaltung. Bei den Flaggen handelt es sich in der Regel um zufällige Zeichenfolgen, die in die Aufgaben eingebettet sind. CTFs erfreuen sich zunehmender Beliebtheit, da sie jedes Jahr eine größere Anzahl junger Talente anziehen. Sie tragen dazu bei, die wesentlichen Fähigkeiten zu entwickeln, die für eine Karriere im Bereich der Cybersicherheit erforderlich sind. Diese Wettbewerbe können viele Formen annehmen, aber die gängigsten sind Jeopardy und Angriff-Verteidigung. Der Bericht konzentriert sich speziell auf diese beiden Arten von CTF. Für jedes dieser Wettbewerbe wird eine Erläuterung und Analyse des Formats, der Wertung, der Diskussion und der Varianten erstellt.

Die Agentur der Europäischen Union für Cybersicherheit, ENISA, hat sich zum Ziel gesetzt, zu einem hohen gemeinsamen Mass an Cybersicherheit in ganz Europa beizutragen. Gegründet wurde die Agentur im Jahr 2004. ENISA trägt zur EU-Politik im Bereich der Cybersicherheit bei, erhöht die Vertrauenswürdigkeit von IKT-Produkten, -Diensten und -Prozessen durch die Entwicklung von Schemata für die Cybersicherheitszertifizierung, kooperiert mit den Mitgliedstaaten und Einrichtungen der EU und unterstützt Europa dabei, sich den künftigen Herausforderungen im Bereich der Cybersicherheit zu stellen. Durch Wissensaustausch, Kapazitätenaufbau und Sensibilisierung arbeitet die Agentur gemeinsam mit ihren wichtigsten Interes-senträgern darauf hin, das Vertrauen in die vernetzte Wirtschaft zu stärken, die Infrastruktur der Union abwehrfähiger zu machen und schliesslich ein sicheres digitales Umfeld für die Gesellschaft und die Bürger Europas zu gewährleisten (ENISA, online).

Studiengang Information & Cyber Security
Der neue Bachelor Studiengang «Information & Cyber Security» der Hochschule Luzern (HSLU) vermittelt den Studierenden das notwendige Fachwissen, um sichere IT-Infrastrukturen zu entwickeln und zu betreiben. Megatrends wie die Digitalisierung, Industrie 4.0 und das Internet of Things (IoT) führen zu einer verstärkten Nachfrage nach Expertinnen und Experten im Bereich der Informationssicherheit.

Während den kommenden Wochen werden wir Mark begleiten und die Leserschaft auf dem Laufenden halten.

Update
Nachdem anfangs März das dritte CTF Bootcamp in Deen Haag stattgefunden hat, erzählt System Engineer Mark von seinen Eindrücken und Erlebnissen. Hier ein kurzer Überblick über den Ablauf der drei Bootcamp Tage.

Tag 1 – Forensics und alles was dazu gehört
Der erste Tag startete mit einem Vortrag der europäischen Strafverfolgungsbehörde zur Verhütung und Bekämpfung der international organisierten Kriminalität, EUROPOL. Im Verlauf der Präsentation zeigte die Institution ihre forensische Vorgehensweise sowie Lösungsansätze und Herausforderungen im Zusammenhang mit Cyber Kriminalität und Cyber Kriminellen. Ebenfalls hielt das National Cyber Security Center (NCSC) der Niederlande einen Vortrag, welcher sich vor allem auf die technische Ausführung fokussierte. Im Anschluss zur Präsentation erhielten alle Teilnehmenden des Forensics Workshop eine CTF Aufgabe, in welcher sie ihr forensisches Können unter Beweis stellen durften. Die Gruppen, mit jeweils 4 Teilnehmenden, erhielten ein Disk-Image, einen Memory Dump, einen Graphen eines elektrischen Signales sowie ein Netzwerk Analyse File eines von einem Virus befallenen Computers. Diese Items mussten sie analysieren und die gefundenen Hinweise zusammentragen. Die Ergebnisse und das weitere Vorgehen wurden anschliessend einem fiktiven Kunden präsentiert. Die Gruppe mit Mark Zimmermann erreichte bei dieser Aufgabe den ersten Platz. «Während der Challenge war das Wissen, welches ich mir durch die Arbeit bei arcade angeeignet habe, sehr wertvoll und ermöglichte mir, eine akkurate Analyse der Aufgabe.» so Mark. Ausgezeichnet wurde die Gruppe mit einem heiss begehrten NCSC Challenger Coin.

Tag 2 – Angriff und Abwehr
Der zweite Tag stand im Zeichen von Angriff und Abwehr, sprich Attack and Defense. Hier versuchen mehrere Teams unterschiedliche, verwundbare Server anzugreifen. Gelingt der Angriff, erhalten die Teams eine Flagge. Das Ziel anschliessend ist es, die gefundene Schwachstelle zu schliessen und sicherzustellen, dass es keine weiteren Schwachstellen gibt. Findet ein anderes Team trotzdem einen Weg, den Server zu hacken, wird die Flagge weitergereicht. Am Schluss gewinnt, wer die meisten Flaggen gesammelt hat.

Nach einer kurzen Einführung in das Thema, fand ein nicht kompetitives Turnier statt, bei welchem vor allem die Zusammenarbeit im Fokus stand. Im Anschluss wurde in einem weiteren Vortrag mögliche Lösungsansätze und Strategien aufgezeigt, die in solch einem Szenario sinnvoll sind.

Tag 3 – Über Ethik und Verantwortungsbewusstsein
Am dritten Tag hielt Jeroen Schipper, CISO von Deen Haag, einen Vortrag. Darin vermittelte er den Teilnehmenden am Beispiel der Stadt Deen Haag, wie das Migrieren von Schwachstellen auf Managementebene abläuft. Mit einem letzten Vortrag über das ethische Verhalten beim Aufdecken von Schwachstellen wurde das diesjährige Bootcamp in Deen Haag abgeschlossen. Hier wurde aufgezeigt, dass es in gewissen Situationen nicht immer ein Richtig oder ein Falsch gibt.

Und was sagt Mark zu dem Ganzen?
«Alles in allem war das Bootcamp sehr lehrreich für mich. Ich hatte sehr viel Spass dabei, mir mit den anderen Teilnehmenden neues Wissen anzueignen. Das Gewinnen des Forensics CTF zeigt mir, dass ich und auch arcade einiges an Know-How im Bereich Cyber Security besitze. Ich freue mich darauf, sowohl an der Hochschule als auch bei arcade meine Kenntnisse und Kompetenzen im Security Bereich zu vertiefen.»