FarEastCTF / финальная концепция Досье готово к обсуждению 01 / 04

СМЕНА-06 / КРИТИЧЕСКАЯ ИНФРАСТРУКТУРА

АТОМНЫЙ КОНТУР

Станция работает штатно. SOC получает события из будущего.

ЖанрBlue Team / технотриллер
Главная механикаДоверие к телеметрии
Образ площадкиНочная смена SOC

Концепция в одном абзаце

Технотриллер о защите критической инфраструктуры, где главный объект атаки — не физический процесс, а доверие людей к данным.

Участники не спасают станцию эффектным отключением. Они возвращают защитникам способность доказуемо отличать реальный инцидент от подготовленной имитации.

Почему это работает

Сюжет объясняет сам CTF

Понятная ставка

Даже неспециалист понимает цену ошибки, а профессиональная аудитория видит зрелую модель реагирования без голливудской аварийности.

Нативная ИБ

SIEM, сегментация, форензика, корреляция, цепочка доверия и взаимодействие SOC с технологическим персоналом являются самой тканью сюжета.

Сильная сцена

Ночной оперативный зал, шкала доверия к данным и живой разбор инцидента дают цельное оформление площадки и трансляции.

Айдентика и материальная среда

Один мир.
Два носителя.

Постер концепции АТОМНЫЙ КОНТУР
Ключевой визуалВертикальный постер
Мерч концепции АТОМНЫЙ КОНТУР
Merch capsuleПредварительное направление

Форменная капсула ночной смены: тёмная рабочая одежда, бейдж аналитика, лента допуска, термокружка, блокнот инцидента, патч «СМЕНА-06» и карточки состояния.

01

Полное сюжетное досье

От анонса
до финала

Лор собран так, чтобы рекламная кампания, категории заданий, оформление площадки и развязка рассказывали одну историю.

01 / Мир

Предыстория

На территории Дальнего Востока работает безымянная атомная электростанция. Название, схема и координаты намеренно отсутствуют: это собирательный образ и изолированный цифровой двойник, созданный специально для соревнований.

Станцию защищают два контура. Оперативный персонал отвечает за безопасный физический процесс. Безымянный SOC наблюдает за корпоративной сетью, удалённой поддержкой, журналами доступа и событиями безопасности. Главное правило смены: критическое решение нельзя принимать по одному источнику.

Накануне CTF во внешнем подрядном контуре появляется короткая разрешённая сессия. Она завершается штатно. Через семнадцать минут SIEM начинает показывать события, которые ещё не произошли. С каждым часом достоверная картина растворяется в идеально правдоподобном шуме.

02 / ARG

Хроника до старта

  1. −21 день · бюллетень

    На сайте появляется сухое уведомление о плановой проверке защищённости без названия объекта. В приложении одна строка имеет временную метку из будущего.

    ОБЪЕКТ: НЕ УКАЗАН
ПРОЦЕСС: СТАБИЛЕН
ВИДИМОСТЬ: ТРЕБУЕТ ПРОВЕРКИ
  2. −14 дней · ночная смена

    Публикуется фрагмент журнала SOC: сначала зарегистрировано действие аналитика, а спустя 42 секунды — событие, которое должно было это действие вызвать. Порядок нарушен, подписи корректны.

  3. −9 дней · подрядный контур

    В рассылке появляется карточка вымышленного специалиста удалённой поддержки. QR-код ведёт к окну обслуживания, которого нет в официальном расписании.

  4. −4 дня · независимый канал

    В короткой аудиозаписи диспетчерской слышен контрольный тон. Его спектрограмма содержит контрольную сумму первого достоверного набора телеметрии.

  5. День 0 · смена принята

    Стартовая страница становится консолью SOC: сотни тревог, один настоящий индикатор и обратный отсчёт до следующего окна внешнего доступа.

    СМЕНА 06: ПРИНЯТА
ДОВЕРИЕ К ТЕЛЕМЕТРИИ: 37%
СЛЕДУЮЩАЯ СЕССИЯ: T−03:20:00
03 / Силы

Действующие стороны

СМЕНА-06безымянный SOCАналитики видят защитную телеметрию, но не управляют физическим процессом станции.
ОПЕРАТИВНЫЙ КОНТУРперсонал станцииПодтверждает состояние объекта по независимым каналам и сохраняет безопасный режим.
ЗЕРКАЛОцифровой двойникУчебная копия систем и потоков данных; вся соревновательная инфраструктура существует только внутри неё.
ВНЕШНЯЯ СЕССИЯвектор вмешательстваРазрешённое окно поддержки, через которое начинается подмена времени и приоритетов тревог.
ЭХОнеизвестный противникНе меняет физический процесс напрямую. Он заставляет защитников перестать доверять собственной картине.
КРАСНАЯ ЛИНИЯправило безопасностиНельзя выигрывать ценой отключения защитных функций или выхода за пределы цифрового двойника.
04 / Конфликт

Роль участников

Атакующий смешивает настоящие индикаторы компрометации с синтетическими событиями, меняет порядок журналов и подсовывает SOC правдоподобные объяснения. Если реагировать на всё, смена потеряет время. Если списать поток на шум, внешняя сессия закрепится в доверенном контуре.

Команды должны восстановить единую временную шкалу из независимых источников, локализовать вмешательство и сохранить непрерывность наблюдения. Здесь защита означает не «выключить всё», а доказуемо вернуть доверие к данным.

Команды становятся временной аналитической группой СМЕНЫ-06. Они собирают цепочку доказательств, создают правила обнаружения и передают оперативному контуру подтверждённую картину. Победа засчитывается только при одновременном выполнении трёх условий: вмешательство остановлено, наблюдаемость сохранена, красная линия не пересечена.

ПОЛНОМОЧИЯ: АНАЛИЗ / ЛОКАЛИЗАЦИЯ / ВОССТАНОВЛЕНИЕ
ФИЗИЧЕСКОЕ УПРАВЛЕНИЕ: НЕДОСТУПНО
ПОДТВЕРЖДЕНИЕ: НЕ МЕНЕЕ ДВУХ ИСТОЧНИКОВ
05 / Задания

Категории как главы

  • BLUE TEAMТриаж потока SIEM: выделить одну реальную цепочку из сотен синтетических тревог.
  • FORENSICSВосстановить последовательность действий на учебном шлюзе удалённой поддержки.
  • NETWORKОпределить нарушение сегментации по дампу цифрового двойника и предложить безопасную локализацию.
  • DETECTIONСоздать корреляцию, обнаруживающую повтор кампании по поведению, а не одному индикатору.
  • WEBНайти источник подмены в портале подрядчика и доказать, какие записи интерфейс скрывал.
  • CRYPTOСверить подписи телеметрии и восстановить доверенную цепочку контрольных сумм.
  • REVERSEРазобрать учебный модуль нормализации времени и объяснить появление событий «из будущего».
06 / Спойлеры

Три сюжетных переворота

Противник заранее прогоняет реакции смены на ускоренной копии «Зеркала», а затем подмешивает результаты в поток наблюдения. SOC видит репетицию собственных будущих действий и начинает следовать подготовленному ложному маршруту.

ЭХО не нужен прямой контроль над процессом. Цель — заставить защитников отключить независимые каналы как «неисправные» и оставить единственным источником скомпрометированный двойник.

Тревога, которую почти все принимают за шум, — контрольный маяк предыдущей смены. Аналитик заметил расхождение раньше, но успел оставить только минимальный поведенческий индикатор.

07 / Финал

Последний протокол

Команды соединяют семь фрагментов расследования в подписанную временную шкалу. Она доказывает, когда началась внешняя сессия, какие события были синтетическими и какой независимый канал всё время показывал достоверное состояние.

СМЕНА-06 изолирует подрядный шлюз, переводит удалённую поддержку в режим подтверждения двумя сторонами и разворачивает новое правило обнаружения. Оперативный контур подтверждает: защищаемый процесс ни разу не выходил из безопасных параметров.

ПРОЦЕСС: СТАБИЛЕН
ВНЕШНЯЯ СЕССИЯ: ИЗОЛИРОВАНА
ЦЕПОЧКА СОБЫТИЙ: ВОССТАНОВЛЕНА
ДОВЕРИЕ К ТЕЛЕМЕТРИИ: 100%

Финальная победа — возвращённая способность отличать правду от хорошо подготовленной имитации.

Реализация

Что потребуется
для производства

Оценка без декоративного оптимизма: объём ARG, сценография, ограничения и зоны, которые нужно согласовать до публичного анонса.

Сложность

Средняя: сильный эффект достигается интерфейсами, светом, звуком и драматургией без дорогостоящих декораций.

ARG

3–4 недели, пять контролируемых публикаций и один аудиовизуальный артефакт.

Площадка

Тёмный SOC-зал, оранжевая линия состояния, большой экран временной шкалы.

Безопасность

Только вымышленные данные и цифровой двойник; никаких схем, координат или доступов реального объекта.

Юридическая чистота

Без названий АЭС, вендоров, подрядчиков и утверждений о реальных инцидентах.