IBM首度在台举办CTF比赛，连警政署都组队参加

预计今年8月在美国举办的DEF CON CTF骇客抢旗攻防赛，台湾首度有两个队伍参赛，因为CTF比赛的热潮，IBM X-Force也首度在台湾举办CTF比赛，并和爱尔兰和台湾Honeynet Project分会以及台湾骇客协会策略合作，邀请全台湾学生和资安专家们组队参赛。

此次参与的17个队伍中，除了有高中生、大学生组队参赛，台湾HITCON战队成员也组队共襄盛举外，更有警政署受邀，推出三队参赛。警政署资讯室主任苏清伟表示，警政署派员参赛除了体验CTF的比赛氛围之外，也是为了帮国家培育未来科技警察、因应未来犯罪侦办所需的尝试。

CTF比赛题目来自IBM X-Force企业弱点数据库

协助台湾IBM举办CTF比赛的专家之一，就是爱尔兰IBM资安游戏化与模拟技术长Jason Flood，也是爱尔兰Honeynet Project创办人。他表示，IBM CTF比赛曾经在美国、欧洲和拉丁美洲举办过，也和OWASP合作举办CTF竞赛，比赛题目的类型来自于IBM X-Force的企业弱点数据库，包括从网页前端到后端的弱点，以及存在操作系统和各种软件的漏洞。Jason Flood认为，从企业面临的资安弱点出题，也可以观察现场参赛的骇客高手从什么样的逻辑思考，如何解决企业的资安难题。

此外，他表示，物联网安全也是现在重要的资安风险之一，现场也提供物联网安全的Maker题，必须手动插上芯片后，才有办法解题。此次的比赛题目内容，主要考验参赛者的技能包括：逆向工程、漏洞分析、封包流量分析、加解密以及团队合作的能力等。除了鼓励使用各种开源的资安工具外，他也强调，对企业资安而言，“道德”是白帽骇客很重要的关键因素，在“有所为、有所不为”的前提下，一旦攻陷不能攻陷的服务器，直接踢出比赛。

现场部署资安设备，模拟企业的资安攻防态势

IBM全球首席资安架构师李承达指出，IBM举办的CTF比赛和其他业者或者社群举办的CTF不一样之处在于，现场参加CTF比赛的参赛者，如同企业的渗透测试团队甚至是红队测试团队（Red Team），而IBM团队也透过在现场同步部署IBM的企业资安产品，视觉化的呈现企业面临的资安风险现况。他也说，这种视觉化资讯的呈现，现场可以提供给观赛者参考，也是一种让企业用户看IBM如何展示其相关资安产品的实证。

李承达指出，从IBM部署的QRader IPS的设备中，可以透过各式各样的Log资讯，看到各个参赛团队的各种攻击手法，例如，各种可疑的来源IP带来的风险有多大；紧接着，透过IBM QRader的SIEM（资安事件日志平台），汇整各种资安设备的Log（登录档），呈现比赛现场（或是企业）面临的攻防状态。

最后，他也说，企业可以透过IBM Watson for Cyber Security这套资安分析工具，可以进行各种关联式分析，自动画出不同主机之间的关联图，借由视觉化方式，企业更容易掌握资安风险所在。“透过这个Watson资安分析工具，一直看到有一台参赛者电脑，一直连到某个恶意IP，才发现，原来这个参赛者的电脑竟然中毒了。”李承达说。

IBM CTF赛制类似King of The Hill，部分参赛队伍认题目设计不够严谨

由于这次IBM CTF设计的CTF比赛赛制类似“King of The Hill”的比赛形式，类似抢滩游戏，以占领服务的时间多寡来决定分数高低，可以占领服务器的服务时间越久，得分也越高。这也和现实世界的资安威胁一样，如果骇客可以长时间占领企业的服务器，对企业的威胁也就越高。但现场有多组参赛者表示，主办单位出题设计不够严谨，第一个取得VM控制权的队伍，因为没有设计其他可以翻盘的机制，其他队伍就再也无法夺回控制权。多个参赛队伍成员认为，现实的企业资安环境中，不论攻防双方呈现多久的对峙状态，都应该都还是会有其他方式再度取得企业主机的控制权，而不是只靠抢快，慢了一步之后，就永无翻身之地。