Selle talvel, täpsemalt – ühel päeval katoliku joulupühade ja uue aasta vahel – oli Veeami tehnilise toe inseneridel käsil ebatavalised ülesanded: nad jahtisid häkkerigruppi nimega «Veeamonymous».

Kuidas need poisid iseseisvalt lõid ja korraldasid oma töökohas tõelise elukutse mängu, ülesannetega, mis olid „lahedalt” lähedased lahinguolukorrale, rääkis Kirill Stetsko, Eskalatsiooni insener.

— Miks te seda üldse ette võtsite?

— Umbes samamoodi nagu inimesed ühel ajal Linuxi lõid – just for fun, enda rõõmuks.

Soovisime elevust, samal ajal soovisime teha midagi kasulikku, midagi huvitavat. Pealegi pidi see olema teatud emotsionaalne puhkus inseneridele nende igapäevasest tööst.

— Kes selle ettepaneku tegi? Kellest see idee oli?

— Idee oli meie juhi Katja Jegorova oma, seejärel tekkisid kontseptsioon ja kõik edasised ideed ühiselt. Esialgu mõtleme teha hackathoni. Kuid kontseptsiooni arendamise käigus kasvas idee kvestiks, kuna tehnilise toe insener - see on erinev tegevusala kui programmeerimine.

Nii kutsusime sõpru-kaaslasi-tuttavaid, erinevad inimesed aitasid meid kontseptsiooniga – üks inimene T2-st (teise taseme tugi - toimetamise märk.), üks inimene T3-st, paar inimest SWAT meeskonnast (kiire reageerimise meeskond eriti kriitiliste juhtumite jaoks - toimetamise märk.). Kogusime kõik kokku, istusime maha ja püüdsime välja mõelda ülesandeid meie kvesti jaoks.

— Oli väga üllatav sellest kõigest teada saada, sest niipalju kui mina tean, töötavad tavaliselt kvestimehhanisme spetsiaalsed stsenaariumi autorid, nii et te ei tegelenud mitte ainult sellise keerulise asjaga, vaid ka oma töö, oma eriala kontekstis.

— Jah, soovisime teha mitte lihtsalt meelelahutust, vaid „tõsta” inseneride tehnilisi oskusi. Üks meie osakonna ülesanne on teadmiste vahetus ja koolitus, ning see kvest on suurepärane võimalus anda inimestele „mängida” mõne nende jaoks uue tehnikaga reaalajas.

— Kuidas te ülesandeid välja mõtlesite?

— Korraldasime ajurünnaku. Meil oli arusaam, et peame tegema teatud tehnilisi testimisülesandeid, mis peaksid olema huvitavad ja samas tooma uusi teadmisi.
Näiteks mõtlesime, et inimestele võiks anda võimaluse proovida liiklust nuhkida, kasutada hex-redaktoreid, teha midagi Linuxi jaoks, tegeleda pisut keerukamate asjadega, mis on seotud meie toodetega (Veeam Backup & Replication ja teised).

Samuti oli oluline osa kontseptsioon. Otsustasime lähtuda häkkerite temaatikast, anonüümsest juurdepääsust ja saladuse õhkkonnast. Sümboliks sai Guy Fawkesi mask ja nimi tekkis iseenesest — Veeamonymous.

„Alguses oli sõna“

Et huvi tõsta, otsustasime enne ürituse algust korraldada PR-kampaania teema järgi: riputasime meie kontorisse plakatid teadete jaoks. Mõne päeva pärast märkamatult kõigilt nende lõuendeid spray-kreemiga värvisime ja käivitasime 'tilku', et mingid kurjategijad rikkusid plakateid, isegi foto tõenditega lisasime....

— Nii et te tegite seda ise, korraldaja meeskond?!

— Jah, reedel, umbes kell 9, kui kõik olid juba lahkunud, käisime ja värvisime spray-kreemiga rohelise värviga tähe 'V'.) Paljud kvesti osalejad ei arvanud üldse välja, kes seda tegi – inimesed tulid meie juurde ja küsisid, kes rikkus plakateid? Keegi võttis selle küsimuse väga tõsiselt ja korraldas selle kohta isegi uurimise.

Kvesti jaoks kirjutasime ja audiofaile, 'väljasuurides' helisid: näiteks, kui insener logib meie [tootmis-CRM] süsteemi, siis seal on roboti-automaatvastaja, mis ütleb igasuguseid fraase, numbreid... Nii et koostasime nende sõnade hulgast, mis tal on salvestatud, enam-vähem mõistetavaid fraase, noh, võib-olla natuke kummalisi – näiteks saime 'No friends to help you' audiofailis.

IP-aadressi, näiteks, kujutasime binaarkoodina, kõik jälle nende numbritega [robotist väljaöeldud], lisasime igasugu hirmutavaid helisid. Me ise filmisime videot: videos istub inimene mustas kapuutsis ja Guy Fawkesi maskis, aga tegelikult ei ole seal mitte üks inimene, vaid kolm, sest kaks seisavad tema taga ja hoiavad 'tausta' tekiga :).

— Te olite tõeliselt vaeva näinud, otse öeldes.

— Jah, me oleme põletanud. Ühesõnaga, alguses mõtlesime välja oma tehnilised ülesanded ja seejärel koostasime kirjanduslik-mängulise telje selle üle, mis justkui juhtus. Süžee kohaselt jahtisid osalejad rühma häkkerite nimega „Veeamonymous“. Idee oli ka selles, et me justkui „purustame neljanda seina“, viies sündmused reaalsusesse – näiteks maaliti spray purgist.

Kirjandusliku teksti töötlemisel aitas meid üks inglise keele spetsialist meie osakonnast.

— Oota, miks ingliskeelne inimene? Te tegite seda veel ka inglise keeles?!

— Jah, me ju korraldasime Peterburi ja Bukaresti büroode jaoks, seega kõik oli inglise keeles.

Esimese kogemuse jaoks püüdsime, et kõik lihtsalt toimiks, seega oli stsenaarium lineaarne ja piisavalt lihtne. Lisatud oli palju atmosfääri: salajased tekstid, krüptid, pildid.

Kasutame ka meemide, seal oli palju pilte uurimiste, UFO-de ja populaarsete hirmulugude teemadel – mõned meeskonnad isegi häirisid seda, püüdes leida seal mingeid varjatud sõnumeid, rakendades oma teadmisi steganograafiast ja muust… kuid seal polnud muidugi midagi sellist.

Terad

Kuid ettevalmistamise käigus kohtasime ka ootamatuid ülesandeid.

Palju vaeva nägime nende lahendamisega ja lahendasime igasuguseid järsku tekkinud küsimusi ning umbes nädal enne mängu mõtlesime, et kõik on kadunud.

Võib-olla tasub veidi rääkida mängu tehnilisest alusest.

Kõik toimus meie sisemises ESXi laboris. Meil oli 6 meeskonda, seega pidime eraldama 6 ressursipoolt. Nii et iga meeskonna jaoks käivitasime eraldi koolituspunkti vajalike virtuaalmasinatega (sama IP). Kuid kuna see kõik asus serverites, mis on ühes võrgus, ei võimaldanud meie VLANide praegune konfiguratsioon masinaid erinevatesse gruppidesse isoleerida. Näiteks testimise käigus tekkisid olukorrad, kus üks grupi masin ühendus teise grupi masinaga.

— Kuidas probleem lahendati?

— Esiteks mõtlesime pikalt, testisime erinevaid variante lubadustega, eraldi vLANide masinate jaoks. Lõpuks tegime nii — iga meeskond näeb ainult Veeam Backup serverit, mille kaudu toimub kogu edasine töö, kuid ei näe peidetud alamgruppi, kus asuvad:

• mitmed Windowsi masinad
• Windows core server
• Linux masin
• VTL (Virtual Tape Library) paar

Iga puule on määratud eraldi portide grupp vDS lülitil ja oma Private VLAN. Selline kahefoolne eraldatus on just vajalik, et täielikult välistada võimalus võrgus suhtlemiseks.

Julgetest

— Kas mistahes soovija sai osaleda questis? Kuidas meeskonnad moodustati?

— See oli meie esimene kogemus sellise ürituse korraldamisel ja meie labori võimalused olid piiratud 6 meeskonnaga.

Alguses korraldasime, nagu ma juba ütlesin, PR-kampaania: kasutades plakateid ja ringkirju, teatasime, et quest toimub. Meil olid isegi mingid vihjed – plakatitel olid kodeeritud fraasid binaarkoodis. Nii huvitusime inimestest ja inimesed leppisid omavahel kokku, et koonduda. Lõpuks oli soovijaid rohkem kui meil oli puule, seega tuli teha valik: me mõtlesime välja lihtsa testiülesande ja saatsime selle kõigile, kes soovisid osaleda. See oli loogiline ülesanne, mille tuli lahendada kiiresti.

Meeskonnas tohtis olla kuni 5 inimest. Kaptenit seal ei nõutud, idee oli kooperatsioonis, omavahelise suhtlemise kaudu. Keegi oli tugev Linuxis, keegi oli tugev tape (lindile varundamine) alal, ja igaüks, nähes ülesannet, sai panustada oma jõud ühisesse lahendusse. Kõik suhtlesid omavahel, leidsid lahenduse.

— Millal see üritus algas? Kas teil oli mingi 'X tund'?

— Jah, meil oli rangelt määratud päev, me valisime selle nii, et osakonnas oleks vähem koormust. Loomulikult teavitati eelnevalt tiimijuhte, et sellised meeskonnad on kutsutud questis osalema ja neile tuleb anda mingit leevendust [koormuse suhtes] sel päeval. Kõik kokku pidi olema aasta lõpp, 28. detsember, reede. Arvestasime, et see võiks võtta umbes 5 tundi, kuid kõik meeskonnad said kiiremini hakkama.

— Kõik olid võrdses olukorras, kõigil olid samad ülesanded reaalseid juhtumeid silmas pidades?

— Jah, iga korraldaja võttis oma isiklikest kogemustest mõningaid lugusid. Me teadsime, et sellised asjad võivad reaalsuses juhtuda, ja oleks huvitav, et inimene saaks seda "katsuda", vaadata, aru saada. Võtsime kaasa ka mõned spetsiifilisemad asjad – näiteks andmete taastamine kahjustatud lintidelt. Mõni kasutas vihjeid, kuid enamik meeskondi taandus iseseisvalt.

Või tuli kasutada kiirete skriptide maagiat – näiteks meil oli lugu, kus teatud "loogiline pomm" "purustas" mitme köite arhiivi juhuslikeks kaustadeks puus, ja andmed tuli kokku koguda. Selle võiks teha käsitsi – ükshaaval otsida ja kopeerida [faile], või võid kirjutada skripti mustri järgi.

Üldiselt püüdsime jääda sellele arvamusele, et ühte ülesannet saab lahendada erinevate meetoditega. Näiteks, kui oled veidi kogenum või tahad rohkem vaeva näha, saad selle kiiremini lahendada, aga on ka otsetee lahendamise "näo" kaudu – kuid sellega kulutad ülesande peale rohkem aega. See tähendab, et peaaegu igal ülesandel oli mitu lahendusvarianti, ja oli huvitav, milliseid teid meeskonnad valivad. Nii et mittelineaarsus seisnes just lahendusvariandi valikus.

Muide, kõige raskemaks osutus Linuxi ülesanne – vaid üks meeskond lahendas selle iseseisvalt, ilma vihjeteta.

— Kas vihjeid sai võtta? Nagu päris mängus??

— Jah, vihjeid sai võtta, kuna me mõistsime, et inimesed on erinevad, ja ühte meeskonda võivad sattuda need, kellel puuduvad teatud teadmised. Seetõttu, et mängimine ei veniks ja konkurentsihimu ei kaduks, otsustasime, et vihjed on olemas. Iga meeskonna juurde jälgis üks korraldajatest. Ja me jälgisime ka, et keegi ei petaks.

Tähtedest

— Kas oli auhindu võitjatele?

— Jah, me püüdsime teha võimalikult meeldivad auhinnad nii kõikidele osalejatele kui ka võitjatele: võitjad said disainitud kapuutsiga särgid Veeami logoga ja fraasiga, mis oli kodeeritud 16-ndal põhikoodis, mustas värvuses). Kõik osalejad said Guy Fawkesi maski ja bränditud kotti logoga ning sama koodiga.

— Nii et teil oli nagu päris mängus!

— Jah, me tahtsime teha lahedat, täiskasvanutele mõeldud asja, ja mulle tundub, et meil õnnestus.

— Just like that! What was the reaction of those who participated in this quest? Did you achieve your goals?

— Yes, many approached us later, saying that they clearly saw their weak points and wanted to improve them. Some stopped being afraid of certain technologies – for example, dumping blocks with tapes and trying to pull something out… Some realized they needed to improve their Linux skills, and so on. We aimed to provide a wide range of tasks, but not trivial ones.

Winning team

“Who wants, can achieve!”

— Did it require a lot of effort from those who organized the quest?

— Yes, it did. But this was mostly due to the fact that we had no experience preparing such quests or that kind of infrastructure. (Let’s clarify that this is not our real infrastructure – it was just supposed to function in certain game aspects.)

For us, it was a very interesting experience. I was initially skeptical because the idea seemed too cool to me, and I thought it would be very challenging to implement. But we started working, we began to dig in, everyone got excited, and in the end, we succeeded. And it even went practically without any hitches.

Overall, we spent 3 months. Primarily, we were brainstorming the concept, discussing what we could implement. During the process, of course, some things changed because we realized that we lacked the technical capabilities for something. We had to redo some parts on the fly, but in a way that didn’t break the overall storyline, history, and logic. We were trying not just to provide a list of technical tasks, but to ensure it fit into the narrative, making it coherent and logical. The main work was done in the last month, that is, 3-4 weeks before the big day.

— So you set aside time for preparation in addition to your main activities?

— We were doing this alongside our main work, yes.

— Are you being asked to conduct something like this again?

— Yes, we have a lot of requests to repeat it.

— And what about you?

— Meil on uusi ideid, uued kontseptsioonid, soovime tuua rohkem inimesi ja seda pikendada nii valiku protsessi kui mängu enda protsessis. Kokkuvõttes inspireerime end projektist 'Tsikaada', seda saab googeldada – see on tõeliselt äge IT teema, kus inimesed kogu maailmast ühendavad jõud, Redditis loovad nad teemasid, foorumites, seal kasutatakse krüpteerimise tõlkeid, lahendavad mõistatusi ja muud sarnast.

— Idee oli suurepärane, lihtsalt respekt idee ja teostuse eest, sest see on tõeliselt suur väärtus. Soovin siiralt, et teie innustus ei raugeks, et kõik teie uued projektid oleksid samuti edukad. Aitäh!

— Jah, kas saaks näha näidet ülesandest, mida te kindlasti ei kavanda uuesti kasutada?

— Kahtlustan, et me ei kasuta ühtegi. Seega võin rääkida kogu mängu käigust.

BoonusrajaMängijatel on alguses virtuaalmasina nimi ja credentials vCenter'i jaoks. Kui nad sisse logivad, näevad nad seda masinat, kuid see ei käivitu. Siin peavad nad mõistma, et .vmx failiga on midagi valesti. Faili allalaadides näevad nad vihjet, mis on vajalik teiseks sammuks. Sisuliselt on seal öeldud, et Veeam Backup & Replication'i kasutatav andmebaas on krüpteeritud.
Kustutades vihje, laadides .vmx faili tagasi ja masinat edukalt käivitades, näevad nad, et ühel kettal on tõepoolest andmebaas, mis on base64 krüpteeritud. Seetõttu on ülesanne — dekrüpteerida see ja saada täisfunktsionaalne Veeam server.

Veidi virtuaalmasinast, kus see kõik toimub. Kuidas me mäletame, on kvesti peategelane üsna tumeda iseloomuga ja tegeleb millegagi, mis ei ole küll eriti seaduslik. Seega peab tema tööarvuti olema täiesti häkkeri välimusega, mida pidime looma, hoolimata sellest, et see on Windows. Esiteks lisasime palju rekvisiitide elemente, nagu teave suurte häkkimise, DDoS rünnakute ja sarnaste kohta. Siis installisime igasugust tüüpilist tarkvara ja laotasime igale poole erinevaid dump'e, faile hash'idega jne. Kõik nagu filmis. Seal olid ka kaustad, mis olid nimetatud printsiibil closed-case*** ja open-case***.
Edasi pääsemiseks peavad mängijad taastama vihjed failidest varukoopiatest.

Siin tuleb mainida, et alguses anti mängijatele väga vähe infot, ning enamik andmeid (nagu IP, kasutajanimed ja paroolid) saavad nad mängu käigus, leidnud vihjeid varukoopiatest või failidest, mis on laiali jäetud masinatesse. Esialgu asusid varukoopiad Linuxi repo-s, kuid kaust ise on serveris ühendatud (mounted) flagi noexec, seega ei saa failide taastamise eest vastutav agent käivituda.

Repo parandades saavad osalejad juurde pääseda kogu sisule ja lõpuks saavad nad taastada millist tahes teavet. Jääb alles mõelda, mida täpselt. Selleks peavad nad uurima failide, mis on sellel masinal, sisu, tuvastama, millised neist on "rikkis" ja mida on otstarbekas taastada.

Sellel etapil kalduvad sündmused üldistest IT-teadmistest Veeami spetsiifiliste funktsioonide poole.

Antud konkreetses näites (kui sa tead faili nime, aga ei tea, kust seda otsida) tuleb kasutada Enterprise Manageri otsingufunktsiooni, ja nii edasi. Lõpuks, pärast kogu loogilise ahela taastamist, on mängijatel käes veel üks kasutajanimi/parool ja nmap'i väljund. See viib neid Windows Core serverisse, ja seda RDP kaudu (et elu ei oleks liialt lihtne).

Selle serveri peamine eripära: lihtsa skripti ja mitme sõnaraamatuga loodi seal täiesti mõttetu kaustade ja failide struktuur. Ja logimisel kuvatakse tervitusmessaaž, mis kõlab nagu "Siin plahvatas loogiline pomm, seega peate järgmiste sammude vihjed kokku koguma tükkhaaval."

Järgmine vihje oli jagatud mitme köite arhiiviks (tükke 40-50) ja juhuslikult paigutatud nende kaustade vahel. Meie plaan oli, et mängijad peaksid näitama oma andeid lihtsate PowerShell skriptide kirjutamises, et tuntud mustri järgi kokku koguda mitme köite arhiiv ja hankida otsitavad andmed. (Aga lõppes nagu anekdoot — osa katsealuseid osutusid erakordselt füüsiliselt arenenuks.)

Arhiivis oli foto kassetist (kirjaga «Last Supper — Best Moments»), mis viitas ühendatud lintbiblioteegi kasutusele, kus oli kassett sarnase nimega. Ainult, et üks probleem — see osutus nii mittetoimivaks, et seda isegi ei kataloogitud. Siit hakkas ilmselt mängu kõige hardcore'likum osa. Me kustutasime kasseti pealkirja, seetõttu, et andmete taastamiseks tuleb lihtsalt «toores» (raw) blokid välja tõmmata ja neid hex-redigeerijaga vaatama hakata, et leida failide algusmarkerid.
Leiame markeri, vaatame ofseti, korrutame bloki selle suurusega, lisame ofseti ja proovime sisemise tööriista abil taastada faili teatud blokist. Kui kõik on õigesti tehtud ja matemaatika klapib, siis on mängijatel käes .wav fail.

Selles on häälega generaatori abil dikteeritud kahekümnenumbriline kood, mis avab veel ühe IP aadressi.

Tegelikult on see uus Windowsi server, kus kõik viitab vajadusele kasutada Wireshark'i, kuid seal ei ole seda. Peamine fookus on selles, et sellel masinal on kaks süsteemi — ainult teise ketas on seadme halduri kaudu offline'i lülitatud, ja loogiline ahel viib vajaduseni taaskäivitada. Pärast seda selgub, et vaikimisi peaks laadima hoopis teist süsteemi, kus on paigaldatud Wireshark. Ja me olime kogu selle aja jooksul teisel OS-l.

Siin ei ole midagi erilist teha, lihtsalt piisab, kui aktiveerida püüdmine ainukesel liidesel. Suhteliselt tähelepaneliku vaatamise korral märgatakse, et dumpis on selgelt vale pakett, mida saadab abimasin võrdselt ajavahemike järel, milles on link YouTube'i videole, kus mängijaid palutakse helistada kindlale numbrile. Esimene helistaja kuulab õnnitlema esimese koha puhul, teised — kutse HR-i (naljaga).

Muide, meil on avatud tööpakkumised tehnilise toe inseneridele ja praktikantidele. Tere tulemast meeskonda!

Allikas: habr.com