Tietoturvahaaste : capture the flag

Abstract

Opinnäytetyön aiheena oli tutkia, miten capture the flag-haaste soveltuu vasta-alkajan tutustuttamiseen perustason tietoturvauhkiin. Tutkimuksessa esitellään helposti ymmärrettävä haaste, johon tutustutaan tietoturvatestaamisen viiden perusvaiheen (tiedustelu, skannaus, pääsy järjestelmään, pääsyn ylläpito ja jälkien peittely) kautta. Tutkimustyö suoritettiin virtualisoinnilla ja siihen käytettiin Kali Linux -käyttöjärjestelmää. Tämän lisäksi esitellään tietoturvatestaamista yleisellä tasolla, sekä käydään läpi tietoturvauhkia, joihin itse haasteessa ei päästä tutustumaan. Tutkimuksen aineistona toimi mm. Cisco Networks-blogi, tunnetun tietoturvayhtiö Nortonin artikkeli, sekä muutama muu vähemmän tunnettu tietolähde.

Haasteen tuloksista saatiin selville, että tietoturvatestaamisessa kaikki ei ole aina itsestään selvää ja haasteen suoritus edellyttikin sekä pitkäjänteisyyttä, että päättelykykyä. Tuloksista nähtiin, että suurin osa haavoittuvuuksista nojasi hyvin pitkälti virheelliseen konfiguraatioon (esimerkiksi liian laajat käyttöoikeudet, sekä liian heikot salasanat). Työssä ei myöskään vältytty ongelmilta ja kenties suurin yksittäinen ongelma oli Kali Linuxissa olevan John nimisen ohjelman heikko toiminta, joka onneksi saatiin korvattua toisella vastaavalla ohjelmalla.

Tutkimuksen näkökulmasta haasteen suorittaminen oli verrattain helppoa, joten voidaan sanoa, että ainakin työssä käytetty haaste soveltuu hyvin tietoturvatestaamisen aloittamiseen ja siitä on helppo jatkaa eteenpäin vaikeampiin haasteisiin.

The subject of the thesis was to explore, how capture the flag-challenge is suitable for teaching basic cybersecurity for beginners. In study, there is one basic level challenge, which is completed using five basic structure of cybersecurity (resonance, scanning, exploitation, maintaining access and covering tracks). Study was completed using virtualization technology and Kali Linux operating system. In addition, there is introduction for cybersecurity in basic level and threats that were not included in the challenge. Cisco Networks blog, well known cybersecurity company Norton article and couple of others not so well-known articles were used for literature.

After the challenge was completed there were no doubts that in cybersecurity everything is not always obvious and it needs perseverance and reasoning ability to complete these challenges. Result show that many of the vulnerabilities of the challenge were based on poor configuration (for example too much rights were given for users and passwords were weak). Problems were also present in the study and biggest problem was that John (which is password cracking tool in Kali Linux) was not working as it should. However, that problem was countered using similar program that worked like it should.

From view of the study challenge was basically easy, so it can be said that at least this challenge was very well made for beginners and it is easy to continue cybersecurity testing from this point using harder challenges.