CTF (Capture-The-Flag) Nedir?

CTF (Capture-The-Flag) Nedir?

Verilerin elektronik ortam ve cihazlarda saklanmasından taşınmasına kadar birçok noktada siber güvenlik faaliyetleri yürütülüyor. Resmi ve özel kurumlarda siber güvenlik sistemlerinin geliştirilmesi için çeşitli uygulamalar gerçekleştiriliyor. Bunlar içinde CTF özellikle mücadele ruhunu uyandıran öğretici kimliği ile öne çıkıyor. 

CTF nedir merak edenlere kısaca bahsetmek gerekirse Capture The Flag, “bayrağı yakalamak” anlamına gelen bir siber yarışmadır. Temelde yarışmanın kategori ve katılım türleri, yarış süresi ile birlikte organizasyona bağlı şekilde değişiyor. Haftalık yarışmalar olabildiği üzere bazı CTF yarışmaları günlük veya daha kısa periyotlarda yürütülüyor. Yarışmaların düzenlenmesinin ana etkeni ise genellikle firmaların potansiyel siber güvenlik uzmanlarını bulmak istemesi.

 Yarışmaya katılım hem takım hem de bireysel olarak yapılırken türüne göre ikiye ayrılır; attack-defense ve jeopardy. CTF yarışmalarında attack – defense bir ekip ve ekibe verilen bir sistemden oluşuyor. Söz konusu ekip sistemini korurken aynı anda karşı tarafa saldırmalı ve sistemine başarılı şekilde sızmalıdır. Attack-defense yarışma türünden ayrı olarak jeopardy katılımcılardan verilen süre zarfında bazı soruların cevaplanmasını ister. Birey ve ekiplerin katılabildiği jeopardy CTF yarışlarında soruların puan aralığı ve zorluk seviyeleri bir diğerinden farklı. Yarışmadan yarışmaya değişen soru kategorileri arasında çoğunlukla Kriptoloji, Web, Misc ve Osint bulunuyor. CTF yarışmaları düzenlendiği dönemlerde siber güvenlik uzmanları ve adayları için avantajlı bir kariyer fırsat sunuyor.

CTF (Capture-The-Flag) Kategorileri Nelerdir?

Siber güvenlik alanının gelişmesi, sistem iyileştirmelerinin yanında alanında uzman yazılımcıların eğitilmesiyle de ilişkilidir. Siber güvenlikte kariyer inşa etmek isteyenler için CTF yarışmaları yetenek ve bilgi donanımını ölçme konusunda oldukça işlevseldir. Bununla birlikte problemlerin çözülmesi, sistemin korunması ve karşı tarafın sistemine sızarak puan kazanmak yarışmanın temel hedeflerini oluşturuyor. Bireysel ve takım oyunlarının bir arada yer aldığı yarışmada katılımcılar için kurallar yarışma türüne göre belirleniyor. Capture The Flag türleri, attack-defense ve jeopardy olarak ayrılırken katılımcılar için kategoriler ise daha fazla türe ayrılır:

● Steganografi: Bir bilim dalı olarak steganografi, temel anlamda bilginin gizlenmesiyle ilgileniyor. Siber güvenlikte veri gizliliği sağlamak için kullanılan en yaygın iki yöntemden biri. Katılımcılar, CTF yarışmalarında steganografi kategorisinde gizlenmiş ses veya görseller ile karşılaşıyor.

● OSINT: Açık kaynak istihbaratı olarak bilinen Osint, halka açık alan ve kaynaklardan verilerin elde edilmesidir. Yarışmacılar, CTF içerisindeki bu kategoride flag bulabilmek için çeşitli sosyal medya ve web sayfaları ortamlarında dolaşırlar. Verilen bilgiler doğrultusunda ipuçlarını izleyerek Osint kategorisindeki problemin çözülmesi gerekiyor.

● Reverse Engineering: Kelime anlamıyla tersine mühendislik olan reverse engineering, bir sistemin işlevini anlamak ve müdahale etmek için sıklıkla kullanılıyor. CTF yarışmalarında kaynak kodlarına erişemeyen reverse engineering katılımcıları, sistemi çözmek için çalışır. Böylece donanım ile yazılımlarda kaynak kodlarını açığa çıkararak puan kazanabilirler.

● Network ve Forensics: Dijital bilişimin bir kolu olarak ağ adli bilişimi, siber güvenlik için en önemli alanlardan biri. CTF Network ve Forensics yarışmalarında genellikle bellek dökümlerine, dosya format analizlerine ve RAM imajlarına yönelik problemler ortaya çıkıyor.

● Pwning ve Exploiting: Ağırlıklı olarak bir sistemin açığından yola çıkarak verileri ele geçirmek pwning ve exploiting faaliyetleri kapsamındadır. CTF için bu kategoride yarışmacılara sistemin yanında kaynak kodu verilir ve sistem açıklarını tespit ederek exploiting yapılması beklenir.

● Misc: Kelime anlamı açısından “çeşitli, karışık” olarak bilinen misc, siber güvenlik çalışmalarında birden fazla uygulamayı temsil eder. CTF kapsamındaki yarışmalarda katılımcıların problemi çözerken reverse engineering, kripto ve pwn türlerini bir arada kullanması gerekebilir.

CTF (Capture-The-Flag) Yarışmalarına Hazırlanırken Nelere Dikkat Edilmeli?

CTF yarışmalarının ne olduğu, kategorileri ve kimlerin katılabileceğini yarışmaya katılmadan önce öğrenmek önemli. Dijital ve siber bir bayrak yakalama yarışı olan CTF aynı zamanda eğitim ve kariyer fırsatlarını birlikte barındırıyor. Yarışmaya katılmak isteyen yazılımcıları, öğrenci ve uzman adaylarını çeşitli aşama ve hazırlık süreçleri bekliyor. Capture The Flag yarışmasına başvuru öncesinde hazırlanırken dikkat edilmesi gerekenler aşağıdaki gibi sıralanabilir:

● CTF yarışlarına katılmayı düşünenlere, kategorilerin en az birisinde belirli bir uzmanlık seviyesine gelmek önerilir. Birden fazla alanda geliştirilen uzmanlıklar misc gibi alanlarda avantaj sağlayarak problemi daha etkili ve hızlı şekilde çözmeyi sağlar.

● Capture The Flag yarışmalarına hazırlanırken organizasyonun yarışma kurallarına, sürecine ve türe bağlı zorluk seviyesine dikkat edilmeli. Her bir yarışma kategorisi farklı siber güvenlik uygulamalarına dair problem ve çözümler barındırır.

● Yarışmaya katılırken bireysel mi yoksa bir takım olarak mı katılmak istendiğine karar verilmeli. Bazı kategorilerde verilen sorular bir ekip çalışması gerektirebilir, bazılarında bireysel olarak daha hızlı ilerlemek mümkün.

● Bireysel bir katılımcı olarak kişisel donanım, CTF yarışmalarında oldukça önem taşır. Uzmanlık alanına göre tek bir alan yerine kişilerin birçok alana hakim olabilmesinin yanında takım çalışmasına yatkınlığı sonuçları etkiler.

● CTF yarışlarına hazırlanma aşamasında bir önceki yarışmaları incelemek ve soruları gözden geçirmek, yarışma dinamiğine aşinalık kazandırır. Problemleri çözme şekli, harcanan süre ve izlenen yöntemler açısından geçmişe dönük çalışmalar, yarışma sırasında pratik çözümler sunabilir.

● Mesleki donanım ve deneyim ile birlikte katılımcıların yarışmada daha önce uygulanan sistemsel taktikleri incelemesi yarar sağlar. Böylece olası senaryolarda izlenen yöntemleri eleyerek, analizi güçlü çözümler ortaya çıkarmak mümkün olabilir.

CTF (Capture-The-Flag) Yarışmalarının Sunduğu Kazanımlar Nelerdir?

Dijital ortam ve cihazlardaki verilerin işlenmesi, korunması ve güvenli bir şekilde taşınmasından siber güvenlik alanları sorumlu. CTF siber güvenlik, hem keyifli hem de öğretici uygulamaların başında gelir. CTF yarışmaları düzenlenirken gerek organizasyon sahibi firmalar gerekse katılımcılar için çift yönlü pek çok yarar söz konusu. Bir yazılımcı için devamlı değişen dijital dünyayı yakalamanın anahtarlarından birini CTF ve benzeri yarışmalar oluşturuyor. Yazılımcı ve uzman adayları için mesleki olduğu kadar kişisel gelişime de katkı sağlayan yarışma zengin deneyimler barındırıyor. Capture The Flag yarışmalarına katılmayı düşünenleri bekleyen kazanımları şu şekilde sıralamak mümkün:

● Katılımcıların ekipler halinde yarışması sayesinde soruların çözümü, analizler ve yeni yolların bulunması hız kazanıyor. Bir aradayken katılımcıların analitik düşünme becerileri gelişirken ekip ruhuna dair yeni deneyimler edinmek mümkün oluyor.

● Sınırlı bir süre zarfında verilen sistem sorunları için hızlı düşünme ve aksiyon alma becerileri yarışmalarda test ediliyor. Böylelikle yazılımcılar, yüksek risk taşıyan durumlarla karşılaştıklarında çözüm odaklı kararları hızlı bir şekilde alma noktasına ulaşabiliyorlar.

● CTF yarışmaları; siber güvenliği test etme, denetleme, hackleme ve savunma alanlarında katılımcılara bireysel bir deneyim sunuyor. Yarışmadaki kategorilerle beraber katılımcılar için yeni teknikler, mesleki bilgi ve denemeler bir arada gerçekleştirilebiliyor.

● Empati kabiliyeti, CTF yarışmalarında aynı anda bir savunmacı ve saldırgan olarak düşünme yeteneğini pekiştirmeyi de sağlar. Yarışmacılar, sistemlerini korurken diğer yandan hedeflenen karşı alana sızmayı başararak yeni yetkinliklere ulaşırlar.

● Doğrudan siber güvenlikle ilişkilendirilen CTF yarışmalarının odağında güvenlik açıkları, veri gizliliği ve taşınmasına dair sorunlar bulunur. Bir yazılımcı olarak katılımcılar, bu açıkları saptayarak ele geçirerek ve açığa çıkararak farklı senaryoları test etme şansı yakalarlar.