miniaturadaimagem|

Wargame (ou capture the flag, CTF), no âmbito da tecnologia, é uma modalidade de competição entre hackers desafiados a desvendar problemas sobre segurança da informação, sendo esses desafios de segurança cibernética e esporte mental no qual os concorrentes devem explorar ou defender uma vulnerabilidade em um sistema ou aplicativo, para obter ou impedir o acesso a um sistema de computador.

Um CTF geralmente envolve uma captura lógica da bandeira, podendo ser baseado em pentesting, autenticação baseada em conhecimento, ataques a URL, engenharia reversa de software (principalmente JavaScript, Adobe Flash e linguagem de montagem), quebra de senhas, code injection, cross-site scripting, SQL injections, explorações, falsificação de endereços IP, forense e outras técnicas de hackers.

Praticado em equipes ou individualmente, o CTF pode acontecer em três formatos distintos. No primeiro deles, chamado de "Jeopardy-Style", o jogador individual, ou o time, precisa resolver desafios de segurança da informação (para capturar as chamadas “flags”) que valem pontos de acordo com a complexidade que têm. Ganha quem, no final, obtiver a maior pontuação. As vezes são online e servem como qualificatórias para as finais do segundo formato, chamado de "Attack/Defense". No "Attack/Defense", é dado aos jogadores um ambiente (normalmente uma rede de computadores) cheio de falhas e vulnerabilidades que terão de ser descobertas e corrigidas em um determinado período de tempo, encerrado o prazo, os jogadores passam à tentativa de invasão do ambiente adversário ao mesmo tempo em que protegem o próprio. São realizadas on-site (offline), onde ocorre as maiores competições nacionais e internacionais, como a DEF CON. Existem também CTFs “híbridos”, misturando os dois formatos e podendo ser feitos de diversas formas diferentes.

O CTF avalia, de forma gamificada, habilidades como vulnerabilidade da rede, criptografia e programação, entre outras. O CTF pode explorar também conhecimentos que vão além de uma área específica, exigindo o domínio de matemática, linguística, história etc.

Em resumo, são competições que envolvem diversas competências dos profissionais/estudantes/entusiastas para a resolução de desafios relacionados à infosec (segurança da informação), com o objetivo de capturar a bandeira (normalmente um código) e pontuar. As competições de CTF geralmente são projetadas para servir como um exercício educacional para dar aos participantes experiência em segurança de máquina, além de conduzir e reagir aos tipos de ataques encontrados no mundo real.

História A cibersegurança é um assunto de alta prioridade nas empresas, pequenas e grandes, pois os ataques cibernéticos têm aumentado nos últimos anos. Em resposta a esses ataques, profissionais de segurança e estudantes universitários passaram por treinamentos rigorosos sobre como os hackers conseguem entrar nas empresas e como se defender. Uma maneira de treinar a segurança cibernética é através de um evento de CTF.

O primeiro CTF de segurança cibernética desenvolvido e hospedado foi em 1996 na 4ª edição da DEFCON em Las Vegas, Nevada. O DEFCON é a maior conferência de segurança cibernética dos Estados Unidos e foi oficialmente iniciada em 1993 por Jeff Moss. O DEFCON tornou-se uma plataforma para competição de habilidades e, à medida que a Internet cresceu, as competições de DEFCON e CTF também o fizeram. As competições de CTF tornaram-se globais porque não tinham fronteiras e podem ser feitas via Internet, em pouco tempo equipes internacionais estavam competindo por diferentes tipos de prêmios e direitos de se gabar.

Atualmente há competições em diversos eventos, no mundo todo, dos quais participam estudantes, interessados e profissionais de segurança da informação, além de competições criadas por escolas e universidades (para ensino, avaliação e aplicação). Há ainda empresas de tecnologia que usam o Capture the Flag como forma de treino e contratação de novos funcionários. Um exemplo é a Ernst & Young, que criou um CTF em seu site para processo de seleção. Google e Facebook também têm suas próprias competições.

Modalidades de desafios miniaturadaimagem| Os desafios dos CTFs são divididos basicamente em categorias, como:

Binário - engenharia reversa ou exploração de um arquivo binário.

A exploração binária se resume a fazer com que um aplicativo aja de maneira diferente da que ele deveria executar. Ao fazer o aplicativo funcionar de maneira diferente, você obtém informações valiosas que serão usadas para alterar ou comandar o destino.

As explorações binárias comuns usam uma técnica conhecida como corrupção de memória, que pode permitir que um invasor obtenha privilégios não autorizados ao sistema que está executando o aplicativo ou sequestrando o fluxo de controle do aplicativo e injetando seus comandos diretamente no sistema.

Web - Explorando páginas da Web para encontrar a bandeira.

Esses tipos abrangem uma ampla variedade de métodos diferentes para explorar recursos baseados na Web. Embora os métodos sejam amplos, existem ferramentas comumente associadas à exploração na Web, incluindo Nmap, Wireshark e Metasploit .

Alguns dos sinalizadores mais fáceis são acessíveis através do seu navegador da web, através de “Exibir fonte da página” ou o equivalente no seu navegador.

Criptografia - Normalmente envolve descriptografar ou criptografar uma parte dos dados.

Frequentemente, esse tipo é baseado em conversões de string de um formato para outro.

Precisa-se criptografar ou descriptografar mensagens. Você precisará ter uma boa noção de programação para criptografia. Caso contrário,  é uma habilidade lucrativa a ser alcançada .

Pwn - Explorando um servidor para encontrar a bandeira; Esteganografia - encarregada de encontrar informações ocultas em arquivos ou imagens.

O termo vem do grego steganos, que significa "encoberto, escondido" e graphein, que significa "escrita".

É a técnica de ocultar uma mensagem dentro de outra. Diferentemente da criptografia, onde torna-se a mensagem ilegível, a esteganografia procura esconder o fato de que a mensagem existe em primeiro lugar.

Forensics - Voltados a recuperação de dados, análise forense seja de memória, de rede.

Esse tipo em um ambiente CTF pode cobrir muito terreno, mas é bastante comum que seja solicitado  encontrar arquivos ou informações ocultas em outros tipos de arquivos.

Ao cavar esses arquivos com scripts e ferramentas, os concorrentes podem extrair dados (normalmente criptografados) e executá-los em uma série de outras ferramentas enquanto tentam decodificar a bandeira cobiçada.

Networking - São de analises de pacote, protocolos de roteamento e investigação de dump de rede; XPL - Medem a capacidade de explorar programas para alterar seu fluxo normal de execução; Miscellaneous - Conhecidos como “misc”, são desafios que não se encaixam necessariamente nas outras categorias, normalmente são misturados, pode ser forense com programação, etc; Engenharia Reversa - é o processo de descobrir os princípios tecnológicos e o funcionamento do sistema, através da análise de sua estrutura, função e operação:

Às vezes, o sinalizador será uma sequência oculta dentro do código do aplicativo. Dependendo do tipo de desafio e do nível de dificuldade da tarefa, pode ser necessário usar a engenharia reversa.Os desafios de engenharia reversa exigem um software de depuração e desmontagem de conhecimento íntimo. Os objetivos são: pegar um binário compilado, separá-lo e descobrir como ele funciona .

Deve-se estar familiarizado com o modo como o aplicativo usa fluxo de controle, loops e condicionais, para que você possa descobrir como dobrar o programa à sua vontade e, em seguida, capturar a bandeira.

PPC(Professional Programming and Coding) - Como o nome diz, são desafios de programação, onde você vai se deparar com desafios em que há um código (de qualquer linguagem possível).Talvez você precisará alterar coisas no código para que ele compile e retorne a flag, porém, depende muito, eles também podem ser um problema em que você terá que estruturar sua ideia em uma linguagem, pois resolver na mão seria improvável, mas assim como os outros desafios, podem ser bem complexos.https://dev.to/atan/what-is-ctf-and-how-to-get-started-3f04

Maiores eventos miniaturadaimagem|330x330px|Uma equipe de CTF na competição DEF CON 17 em Las Vegas, Nevada, Estados Unidos.

Nacionais Capture The Flag - HackerSec Hackaflag Hackversity da H2HC Sucuri Hacker Club Pwn2Win CTF Internacionais DEF CON CTF Google CTF Hack The Box Trend Micro CTF Rootcon OWASP CTF Hitcon picoCTF RuCTFE iCTF CSAW CTF Pwn2Win CTF

+Exemplos por modalidadeJeopardy CTFsAttack/Defense CTFsCSAW CTFDEF CON CTF (Finals)PicoCTFiCTFDEF CON CTF (Quals)RuCTFE

Benefícios no mundo real Uma competição CTF é um excelente lugar para começar a carreira em segurança cibernética ou para aumentar o perfil no setor, pois os eventos costumam ser acompanhados e assistidos de perto por gerentes e recrutadores, a fim de encontrar talentos emergentes e profissionais existentes.

Contudo, em busca de emprego ou não, um CTF é uma das ótimas maneiras de desafiar seus conhecimentos em um ambiente seguro, colaborativo e tolerante, seja você um entusiasta, um profissional da segurança ou um estudante. Além dos altos benefícios em relação ao desenvolvimento técnico, os CTFs podem também oferecer aos participantes uma grande oportunidade de trabalhar suas habilidades sociais, como trabalho de equipe, comunicação, adaptabilidade, gerenciamento de tempo e resolução de problemas.

Ao organizar uma competição de CTF, certifique-se de comunicar as regras e limites da competição antes do início do evento.

Os diretores de Segurança de Informação devem estar sempre dispostos proativamente a incentivar equipes a participar das competições como parte de seu desenvolvimento profissional. Isso lhes permitirá aprimorar suas habilidades em grupo.

Com algumas dessas iniciativas, pode se formar uma base eficaz para uma amola estratégia de educação e conscientização sobre segurança cibernética.

A ocasião possui um forte elemento social, apesar do ambiente competitivo. Dá aos jogadores a chance de se encontrar na vida real para compartilhar conhecimento, interagir e se relacionar com objetivos, interesses comuns e experiências. Contudo, se a pessoa é do tipo que gosta de ganhar a competição, muitos CTFs oferecem prêmios generosos, por meio de patrocínio e financiamento.

Consequentemente, os CTFs são benéficos para acadêmicos da segurança e pesquisadores que podem usar os dados de ataque e o tráfego de rede gerado durante as competições como estudos de caso para ajudar a prever, modelas e prevenir incidentes de segurança no mundo real.https://securityintelligence.com/behind-the-scenes-at-a-capture-the-flag-ctf-competition/

Porém, entre tantos benefícios existe um malefício muito grande, sendo essa a possibilidade de mau uso das práticas de hackeamento adquiridas nas competições. Podendo haver pessoas mal intencionadas que pretendem utilizar os conhecimentos adquiridos no CFT para explorar vulnerabilidades e obter vantagens. “Essas pessoas são conhecidas como ‘black hat’, em oposição àquelas que buscam o conhecimento para aplicar a favor da segurança da informação, as ‘white hat’.”

O jogo como instrumento educacional