В 1:00 ночи 27 октября в еще освещенном помещении Viettel Cyber Security Company (VCS) 14 членов команды VCS взорвались от радости: команда стала чемпионом крупнейшего и самого престижного в мире соревнования по кибератакам Pwn2Own 2023.
Это был не только ожидаемый результат трех месяцев непрерывной работы днем и ночью всей команды и упорной борьбы с сильнейшими соперниками со всего мира !
Это не только первый сладкий фрукт для самого молодого члена команды, До Ань Зунга, родившегося в 2003 году и в настоящее время являющегося студентом 3-го курса Технологического университета (VNU)!
Это не только желание занять высшую позицию в соревновании для таких участников, как Нго Ань Хюй, Нгуен Суан Хоанг, Нгуен Хонг Куанг..., которые пробовали свои силы в этом турнире на протяжении нескольких лет!
Для нас также большая честь принести стране высшую позицию в одном из самых престижных конкурсов мира, подтвердив потенциал вьетнамского народа в сфере информационной безопасности и защиты информации.
И, прежде всего, это «сладкий плод», собранный из семян, которые Viettel упорно выращивал много лет назад. На сегодняшний день Viettel, имея в своем распоряжении VCS и команду экспертов по информационной безопасности, может гордиться тем, что является одной из ведущих мировых компаний в области информационной безопасности и защиты данных.
Все 14 участников команды VCS, выигравшей чемпионат Pwn2Own 2023, очень молоды. Большинство из них — представители поколения 9x, а самый младший родился всего в 2003 году.
Но большинство членов команды «сражаются» уже много лет, имеют богатый опыт и достижения в области информационной безопасности. Даже самый юный участник команды, До Ань Зунг, уже заявил о себе: именно он сотворил чудо в этом соревновании, выиграв одну из номинаций и внеся свой вклад в общий результат всей команды.
По итогам финального тура вечером 27 октября команда Viettel Cyber Security (VCS) официально одержала наивысшую победу, набрав 30 очков Master of Pwn, сократив отставание от команды, занявшей второе место, до 12,75 очков.
С этим убедительным счетом VCS завоевала чемпионский титул, одержав победу над многими международными соперниками, которые считаются серьезными кандидатами на чемпионство турнира, такими как Sea Security (Сингапур), Vupen, Synacktiv (Франция) и Devcore (Тайвань — команда-чемпион прошлого года)...
Рассказывая о трудностях подготовки к соревнованиям, член команды VCS Ха Ань Хоанг сказал: «За три месяца до соревнований Оргкомитет объявил, какое оборудование будет использовано. Поэтому время подготовки составило всего три месяца, поскольку на тот момент команда только что приобрела оборудование для исследований. Многие приборы пришлось импортировать из-за границы, и ждать их доставки во Вьетнам пришлось целый месяц».
По словам другого члена команды, Нгуена Суан Хоанга: «В соревновании участвуют участники, которые участвуют уже давно. У них большой опыт, а также есть очень сильные соперники как в экономическом , так и в профессиональном плане. Команда VCS решила, что мы должны выйти на соревнование с самой тщательной подготовкой, сплочённостью и правильной стратегией, чтобы добиться наивысшего успеха в этом году».
Хоанг добавил, что в прошлом году команда VCS заняла второе место в этом соревновании, набрав очень мало очков, уступив чемпиону всего 2,5. Поэтому команда полна решимости добиться чемпионства в этом году.
Но путь к чемпионству непрост: целями атак в этом соревновании являются все популярные в мире устройства и программное обеспечение от ведущих производителей, таких как Microsoft, Apple, Google, Samsung... - поделился Нгуен Суан Хоанг.
Чтобы соответствовать требованиям конкурса, устройство пришлось заказать из США, но из-за минутной неосторожности устройство «умерло», поскольку использовало источник питания напряжением 110 В, подходящий для американского рынка, в то время как во Вьетнаме используется напряжение 220 В.
По словам Нго Ань Хюя, участника, участвовавшего в этом соревновании четыре раза, больше всего команда боится дублирования ошибок или того, что производитель не успеет исправить обнаруженные командой уязвимости. В прошлом году команда Viettel заняла второе место только потому, что у неё сняли баллы за дублирующуюся уязвимость.
Более того, испытание пришлось пережить в последний момент: из-за задержки с визой вся команда не смогла прилететь в Торонто (Канада) вовремя, чтобы принять участие в очном соревновании. Вместо этого 14 членам команды VCS пришлось соревноваться онлайн, беспокоясь о возможных проблемах, которые не удалось решить во время соревнований...
Но конечный результат сказал все… Команда VCS не просто победила, а победила эффектно.
«Когда мы выиграли последнюю десятку высшей категории, вся команда взорвалась радостью и счастьем, потому что мы доказали, что этот чемпионат стал для нас убедительной победой, без всяких сомнений», - с гордостью вспоминал тот момент Нгуен Суан Хоанг.
После четырёх лет непрерывного участия в Pwn2Own команда VCS впервые выиграла чемпионат Pwn2Own. Это соревнование по атакам на программное обеспечение и бытовую электронику, проводимое дважды в год организацией по кибербезопасности Zero Day Initiative, и одно из самых «сложных» соревнований по кибербезопасности в современном мире.
Г-н Нгуен Сон Хай, директор VCS, отметил, что в 2020 году Viettel одержал свою первую победу на этой «игровой площадке» в категории SmartTV. В 2021 году Viettel вошёл в пятёрку лучших. В 2022 году он занял второе место. А в этом году он одержал убедительную победу и стал победителем чемпионата.
В Pwn2Own соревнуются не только известные команды по кибербезопасности, но и крупные производители и технологические корпорации со всего мира. Каждый экзамен включает вопросы по популярным программным и аппаратным устройствам, таким как операционная система Windows, телефоны Apple, Xiaomi, Samsung или принтеры Canon и HP...
Команды соревнуются в поиске неизвестных уязвимостей безопасности в программном обеспечении и устройствах и должны продемонстрировать реальную эксплуатацию этих уязвимостей в течение 30 минут.
«Почему мы можем утверждать, что противниками являются не только другие группы экспертов по безопасности, но и производители устройств, такие как Apple, Xiaomi, Canon, TP Link... ведь они не любят, когда их устройства оказываются уязвимыми, и это приводит к потере доверия клиентов. У этих поставщиков устройств всегда есть команда по безопасности, и они готовы платить большие суммы денег за исправление ошибок в своих продуктах до начала конкурентной борьбы, чтобы продукты не опозорились перед общественностью», — поделился с Tuoi Tre эксперт Нгуен Хонг Куанг, член команды VCS.
Поэтому борьба будет напряженной с самого начала и до последней минуты. Ведь вполне вероятно, что обнаруженные командами уязвимости будут неожиданно устранены производителем прямо перед началом соревнований, что приведет к потере всех усилий и достижений.
Поэтому «ближе к моменту выступления нам приходилось работать день и ночь, чтобы «наблюдать», существуют ли еще уязвимости, которые мы обнаружили, и внимательно следить за производителем, чтобы узнать, исправили ли они обнаруженные нами ошибки», — сказал Нго Ань Хуэй, опытный игрок Pwn2Own из команды VCS.
Конкурс Pwn2Own 2023 в Торонто посвящен оборудованию, включая мобильные телефоны, умные колонки, системы видеонаблюдения, сетевые системы хранения данных и офисную электронику. В каждой категории предусмотрены призы от 30 000 до 100 000 долларов США и оценка от 2 до 10 баллов в зависимости от сложности устройства и уровня мастерства демонстрации атаки.
Самую большую ценность с точки зрения призов и очков представляет последняя категория — «Мэшап», в которой командам необходимо выполнить код эксплойта на одном из маршрутизаторов сети, предоставленной конкурсантами, и таким образом атаковать устройство из вышеупомянутых категорий. Победитель получит приз в размере 100 000 долларов США и 10 очков.
Завершив индивидуальные категории, успешно одержав победу над телефоном Xiaomi 13 Pro, системой хранения данных QNAP TS 464, принтером Canon imageClass MF753Cdw и динамиком Sonos Era 100, команда VCS набрала 20 очков и практически гарантированно выиграла чемпионат, поскольку ее соперник Sea Security набрал всего 17,25 очков после завершения всех индивидуальных и объединенных категорий.
Давление соперничества уже не так сильно, но финальная категория всё ещё не даёт покоя инженерам VCS, ведь именно из-за недостатка очков в смешанном зачёте эта команда в прошлом году не стала чемпионом. «На этот раз, попав в смешанный зачёт, мы продолжаем находиться в невыгодном положении при жеребьёвке следующего раунда. Если у нас будет та же лазейка, что и у предыдущей команды, с нас снимут очки», — поделился Нго Ань Хуй. Из-за этой повторяющейся ошибки VCS отстала на 2,5 очка от команды, занявшей первое место в прошлогоднем Pwn2Own.
«В этом году мы не только пытались эксплуатировать новые уязвимости, но и намеренно выбирали уязвимости, которые было очень сложно найти и которые сложно было перекрыть другим командам, или которые было легко найти, но сложно эксплуатировать, а также имели множество запасных вариантов. Это результат трёх месяцев целенаправленных исследований всей команды», — сказал Хай.
В результате команда VCS набрала 10/10 очков в объединенной категории и выиграла общий чемпионат с общим счетом 30, опередив финалиста на 12,5 очков, и одержав впечатляющую и полную победу.
«Мы выбрали Pwn2Own для участия, потому что это соревнование на самых популярных устройствах в мире от ведущих производителей с строгим процессом тестирования», — сказал г-н Нгуен Сон Хай, директор VCS. «Инвестирование в специализированную исследовательскую команду и участие в международных соревнованиях — часть усилий VCS по развитию человеческих ресурсов».
Путь к чемпионству Pwn2Own 2023 команды VCS — это результат долгого пути, наследие, яркая демонстрация многолетнего видения лидеров Viettel Group в сфере информационной безопасности.
Более десяти лет назад, когда директор VCS Нгуен Сон Хай был того же возраста, что и члены команды-чемпиона Pwn2Own 2023, руководители Viettel Group были полны решимости инвестировать в сферу информационной безопасности.
Вскоре Виеттель посадил первые семена молодого поля и занялся за ними систематическим и стратегическим уходом.
Углублённые исследования VCS начались ещё в первые годы её существования, когда информационной безопасностью занимались всего шесть человек. С 2011 года команда VCS проводила имитационные атаки на подразделения Viettel Group, чтобы выявить проблемы безопасности.
«В связи с работой с критически важными инфраструктурами, Viettel придерживается исследовательской стратегии, которая рассматривает безопасность сетей как основополагающий фактор», — сказал г-н Сон Хай. «В сетевой безопасности люди — важнейший фактор. Даже при использовании лучших в мире продуктов, но только в качестве конечного пользователя, риск атаки по-прежнему очень высок, в то время как критически важные инфраструктуры Viettel, такие как мобильная связь и интернет, подвергаются атакам со стороны крупнейших группировок в мире».
Чтобы сформировать команду экспертов для защиты критически важной инфраструктуры, VCS стремится подготовить специалистов по кибербезопасности с потенциалом, сопоставимым с мировым. С 2015 года Viettel и VCS обучили 450 студентов, из которых 5% наиболее подходящих специалистов были приняты на работу для продолжения работы, сообщил г-н Хай.
«Сформировав команду экспертов и вложив средства в глубокие исследования, мы продолжаем искать способы инвестирования в повышение атакующих навыков команды экспертов VCS. Участие в соревнованиях мирового уровня также служит этой цели», — сказал г-н Нгуен Сон Хай.
В 2013 году VCS начала исследование уязвимостей нулевого дня — неизвестных и неисправленных, а потому наиболее дорогостоящих. Ань Хёй и Хонг Куанг стали одними из первых экспертов. К 2015 году команда VCS обнаружила первые уязвимости, и на сегодняшний день число обнаруженных VCS уязвимостей достигло 400.
«Ни один вьетнамский бизнес не достиг таких показателей, да и в мире их немного», — заявил г-н Хай.
Возможность пройти обучение, участвуя в углублённых исследованиях, стала причиной того, что VCS стала привлекательным местом работы для экспертов по кибербезопасности, недавно занявших первое место на Pwn2Own. На вопрос, почему он выбрал Viettel, Ань Хуэй ответил: «По моему опыту, немногие компании готовы долгосрочно инвестировать в исследования и исследовательские группы в области кибербезопасности».
«Особенно в сфере кибербезопасности человеческий фактор имеет первостепенное значение. Поэтому VCS постоянно уделяет внимание обучению, совершенствованию команды и формированию нового поколения высококвалифицированных кадров, всегда готовых к решению международных задач», — подчеркнул директор VCS Нгуен Сон Хай.
На церемонии чествования и поздравления участников соревнований председатель и генеральный директор Viettel Group Тао Дык Тханг выразил гордость за «белых хакеров» Viettel. Он отметил: «Viettel гордится тем, что команда VCS завоевала престижную награду в области глобальной сетевой безопасности, «конкурируя» с ведущими мировыми производителями оборудования, имеющими крупные подразделения НИОКР».
Глава Viettel Group оценил: «Pwn2Own — это престижное соревнование с очень высоким уровнем сложности для любого хакера. Это соревнование можно сравнить с «битвой» с производителями, владеющими ведущими в мире командами по информационной безопасности, готовыми дать отпор хакерам до последней минуты. Игра не имеет возрастных ограничений и может даже предполагать многонациональное сотрудничество...» Поэтому г-н Тао Дык Тханг заявил: «Чемпионат Pwn2Own 2023 прославил Viettel и Вьетнам на международной арене», — с гордостью заявил председатель группы.
Председатель Тао Дык Тханг также признал, что сфера кибербезопасности огромна, экспертам Viettel предстоит долгий путь и впереди еще много сложных задач.
«Удерживать позицию лидера непросто, поэтому нам нужно продолжать усердно работать и строить большие мечты, постоянно стремясь превратить их в реальность, чтобы показать Вьетнам всему миру», — подчеркнул г-н Тао Дык Тханг.
Председатель Viettel Group также поделился тем, что в ближайшее время Группа разработает специальную политику по подготовке высококвалифицированных кадров, чтобы они могли и впредь с уверенностью посвящать себя своей работе.
Поручая задачу VCS, г-н Тао Дык Тханг подчеркнул, что VCS необходимо продолжать подготовку большего количества экспертов по безопасности, решив обучать следующие поколения, используя наилучшую основу для служения не только корпорации, но и стране, защищая ее в киберпространстве.
Комментарий (0)