Jesteście zespołem odpowiedzialnym za zapewnienie cyberbezpieczeństwa infrastruktury krytycznej i usług kluczowych w swoim kraju.  Celem gry jest zbudowanie skutecznego systemu cyberbezpieczeństwa, który będzie w stanie obronić podmioty, które reprezentuje drużyna przed różnymi zagrożeniami z cyberprzestrzeni.

Rozpoczynając grę organizacja dysponuje budżetem w wysokości określonej przed rozgrywką.  W trakcie gry będą miały miejsce symulowane cyberataki oraz incydenty oparte na rzeczywistych wydarzeniach. Niektóre scenariusze mogą uwzględniać zwiększenie budżetu w trakcie gry.

Zabezpieczenia podzielone są na 8 kategorii (Organizacja, Infrastruktura fizyczna, Cała sieć, Brzeg sieci, Sieć wewnętrzna, Urządzenia końcowe, Aplikacje i Dane)

•Istnieje dziewiąta kategoria Zabezpieczeń – Źródła danych – należy ją odblokować wybierając właściwą kartę z pozostałych kategorii.

Scenariusze rozgrywki obejmują występowanie tzw. injectów – zdarzeń o różnym charakterze m.in. atak, część zaawansowanego ataku, incydent, informacje. Przed grą gracze otrzymają wskazówki dotyczące planowanego scenariusza, ale przewagę osiągną te drużyny, które lepiej się przygotują zdobywając największą ilość brakujących informacji.

Na podstawie dokonanych wyborów zliczane i sumowane są punkty oznaczające jak skutecznie zespoły zdołały zapobiec lub zareagować na injecty występujące w scenariuszu. wystąpieniu zagrożenia.

UWAGI:

• Wasz system cyberbezpieczeństwa rozbudowywany jest przez całą grę, a wybierane zabezpieczenia są skuteczne dla wszystkich występujących w scenariuszu injectów.  Zabezpieczenia są inaczej punktowane ze względu na skuteczność pod kątem prewencji (identyfikacji i ochronie) oraz reakcji (odpowiedzi, wykrywaniu i odzyskiwaniu)

Wersja online

Przed rozpoczęciem ligi odbędzie się krótka sesja szkoleniowa z nawigacji gry. Rozgrywkę rozpoczyna administrator gry w terminie ustalonym i podanym do wiadomości przed turniejem. Wykaz kart symbolizujących zabezpieczenia będzie udostępniony na ekranie przez kapitana drużyny lub osoby wyznaczonej, który w imieniu członków zespołu będzie zaznaczał dokonane przez drużynę wybory. Na ekranie będą widoczne czas pozostały do końca fazy, bieżący stan budżetu oraz wyniki po zakończonych fazach. Każda z drużyn biorących udział w LCT we własnym zakresie na każdy turniej zapewnia sobie sprzęt i łącze internetowe, które jest niezbędne do przeprowadzenia rozgrywki. Organizator nie odpowiada za problemy techniczne, które mogą wystąpić podczas rozgrywki (np. zerwanie łącza, awaria komputera) i w efekcie mogą uniemożliwić udział w turnieju lub jego rundzie oraz nieuwzględnieniu punktacji w trakcie rozgrywki.

Za udział w Lidze Cyber Twierdza przysługują punkty CPE.

Przebieg gry

Cel gry

Zadaniem graczy jest budowa systemu cyberbezpieczeństwa, który będzie skuteczny wobec pojawiających się Injectów typu Atak.

Kod PIN – kod umożliwiający udział w grze.

Lobby – przestrzeń, w której gracze oczekują na rozpoczęcie gry.

Briefing – zakładka opisująca kontekst danej rozgrywki. Informacje mogą obejmować organizację jakiej bronią gracze (m.in. sektor, infrastruktura) oraz opis scenariusza gry.

HP (Hit Points, Health Points) – Miernik używany do prezentowania wpływu Injectów na infrastrukturę bronionej organizacji oraz skuteczności podejmowanych przez graczy decyzji. Wpływ każdego Zdarzenia można zminimalizować doborem odpowiednich zabezpieczeń. Wartość HP po wystąpieniu Injectów spada tym wolniej im skuteczniejsze zabezpieczenia są zaimplementowane.

Budżet – Gracze otrzymują wirtualny budżet, w ramach którego wdrażają zabezpieczenia zgodnie z przyjętą strategią.

Scenariusz – przebieg i harmonogram rozgrywki składający się z predefiniowanych Injectów.

Inject (Zdarzenie) – każde zdarzenie w grze mogące mieć różny charakter.

W grze będą występowały Zdarzenia zgodnie z przygotowanym scenariuszem gry. Moment wystąpienia pierwszego Injectu typu Atak (generyczny lub pierwsza technika z łańcucha ataku) uznawany jest za kompromitację systemu i jednocześnie za zakończenie fazy Prewencji.

• Atak – Zdarzenie negatywne, mające wpływ na infrastrukturę graczy. Może to być zdarzenie generyczne (np. złośliwe oprogramowanie dostarczone w korespondencji mailowej) lub poszczególna technika zastosowana przez atakująca w ramach łańcucha ataku (sekwencji technik) np. użycie skryptów i komend Powershell, modyfikacja polityk domenowych). Jeden scenariusz może obejmować kilka Injectów typu Atak lub kilka łańcuchów ataku składających się z wielu Injectów.
• Kontrola – Zdarzenie mogące mieć negatywny lub pozytywny wpływ na HP lub budżet graczy.
• Informacja – Zdarzenie neutralne lub pozytywne dostarczające informacji mających wpływ na przebieg gry np. informacja o aktywności grup cyberprzestępczych, informacja o przyznaniu dodatkowego budżetu.
• Premia – Zdarzenie pozytywne wynikające z pomyślnie zrealizowanego przez graczy zadania.

Prewencja – faza gry odbywająca się przed wystąpieniem pierwszego Injectu typu Atak (generycznego lub pierwszej techniki z łańcucha ataku). W tej fazie najbardziej skuteczne są zabezpieczenia pozwalające na Identyfikację (Identification) zagrożeń oraz Ochronę (Protection) przed nimi. Uwaga: W przypadku scenariusza obejmujące klika Injectów typu Atak (generycznych lub łańcuchów ataku) po zakończeniu Zdarzenia zostanie wyświetlona informacja o zakończeniu ataku i rozpoczyna się kolejna faza Prewencji do momentu pojawienia się kolejnego Injectu typu Atak.

Reakcja – faza gry odbywająca się po wystąpieniu Injectu typu Atak (generycznego lub pierwszej techniki z łańcucha ataku). W tej fazie najbardziej skuteczne są zabezpieczenia pozwalające na Wykrywanie (Detection) i Odpowiedź (Response) na zagrożenia oraz Przywracanie (Recovery) zdolności biznesowych po incydencie. Faza reakcji trwa do momentu pojawienia się informacji o zakończeniu ataku

Zabezpieczenia – Reprezentowane w grze za pomocą kart zawierających numer, nazwę, cenę oraz ikonkę. Opis zabezpieczeń jest dostępny na stronie https://lct.cybsecurity.org/safeguards.

Podział zabezpieczeń jest oparty na modelu dogłębnej ochrony (defense in depth)

• Organizacja
• Infrastruktura fizyczna
• Cała sieć
• Brzeg sieci
• Sieć wewnętrzna
• Urządzenia końcowe
• Aplikacje
• Dane
• Źródła danych

Skuteczność zabezpieczeń jest szacowana w kryteriach bazujących na funkcjach NIST Cybersecurity Framework:

• Identyfikacja (Identification) – Zrozumienie kontekstu biznesowego, zasobów wspierających funkcje krytyczne oraz powiązanych ryzyk związanych z bezpieczeństwem cybernetycznym umożliwia organizacji skupienie się i ustalenie priorytetów swoich działań, zgodnie z jej strategią zarządzania ryzykiem i potrzebami biznesowymi.

Przykłady zabezpieczeń w ramach tej funkcji obejmują: Zarządzanie aktywami; Organizacja Bezpieczeństwa; Ład; Ocena ryzyka;

• Ochrona (Protect) – opracowanie i wdrożenie odpowiednich zabezpieczeń zapewniających zrealizowanie najważniejszych usług infrastrukturalnych oraz wspierających możliwości ograniczenia wpływu potencjalnego zdarzenia związanego z cyberbezpieczeństwem.

Przykłady obejmują: Kontrolę Dostępu, Budowanie Świadomości Bezpieczeństwa, Bezpieczeństwo Danych; Procesy i Procedury Bezpieczeństwa; Utrzymanie i Technologie Zabezpieczające

• Detekcja (Detection) – opracowanie i wdrożenie odpowiednich czynności i narzędzi w celu wykrycia zdarzenia związanego z cyberbezpieczeństwem.

Przykłady w ramach tej Funkcji obejmują: Anomalie i Zdarzenia; Ciągłe Monitorowanie Bezpieczeństwa i Procesy Detekcji.

• Odpowiedź (Response) – opracowanie i wdrożenie odpowiednich czynności w celu podjęcia działań związanych z wykrytymi zdarzeniami cyberbezpieczeństwa.

Przykłady obejmują: Planowanie Reakcji; Komunikację; Zapobieganie Propagacji Zdarzenia, Analiza.

• Przywracanie (Recovery) – opracowanie i wdrożenie odpowiednich czynności w celu utrzymania planów odporności i przywrócenia możliwości lub usług, na które wpływ miało zdarzenie cybernetyczne. Funkcja Przywracania wspiera przywrócenie normalnych operacji, aby zredukować wpływ na zdarzenie związane z cyberbezpieczeństwem.

Przykłady w ramach tej Funkcji obejmują: Planowanie Ciągłości Działania, Planowanie Przywrócenia, Kopie Zapasowe, Redundancja Systemów, Usprawnienia i Komunikacja.

Skuteczność zabezpieczeń – skuteczność jest szacowana wobec poszczególnych Injectów. Część zabezpieczeń jest skuteczna jedynie w fazie Prewencji, a część w fazie Reakcji. W przypadku gdy scenariusz zakłada, że łańcuch ataku składa się z kilku Injectów, te same zabezpieczenia mogą być uwzględniane wielokrotnie z różnym poziomem skuteczności w zależności od Injectu.

Wdrożenie zabezpieczeń – wdrożenie zabezpieczeń zatwierdza się używając przycisku Kup. Dopiero wtedy są one uwzględniane w systemie cyberbezpieczeństwa. UWAGA! Należy pamiętać ,że część zabezpieczeń, które są skuteczne w fazie Reakcji należy wdrożyć w fazie Prewencji. Idea gry zakłada, że po rozpoczęciu pierwszego Injectu typu Atak nie ma już możliwości wdrożenia zabezpieczeń, które wymagają długiego czasu na implementację m.in. zabezpieczenia technologiczne (jak SIEM, IDS/IPS) i procesowe (np. Proces Reagowanie na Incydenty). Jednak część zabezpieczeń związana z usługami zewnętrznymi lub możliwymi do wykonania w krótkim czasie działaniami jest możliwa do wdrożenia w fazie Reakcji np. zmiany w konfiguracji, separacja sieci, logowanie zdarzeń, podłączenie źródeł danych.