CTFINF Обучение

Blue Team: расследование инцидентов и защита систем

Защитное направление ВСОШ для 7–11 классов: от первого разбора файлов и журналов до Wireshark, цифровой криминалистики, СЗИ и итоговых расследований.

Длительность: 7 модулей · 61 урок · 210 практических задач · 122 вопроса самопроверки. Курс проходится в собственном темпе.

Цена: инферы 9 900 инферы 500 Горящая скидка · 500 ₽ при пополнении, 1 инфер = 1 ₽

Часть модулей открыта бесплатно для ознакомления. Полный доступ приобретается за инферы . Зарегистрироваться и купить курс

О курсе

Курс учит решать защитные задачи ВСОШ по информационной безопасности не по памяти и не перебором команд, а через понятный ход расследования: определить вопрос, найти подходящий источник, проверить вывод и сдать ответ в точном формате.

Маршрут начинается с незнакомых файлов и журналов, затем переходит к защите веб-приложений, анализу компьютера и сетевого трафика, правилам обнаружения и безопасной настройке сервисов. В финале ученик связывает несколько источников в одну доказательную цепочку и выбирает защитное решение, которое устраняет причину, не ломая штатную работу системы.

Веб-уязвимости рассматриваются только с позиции защитника: понять механизм, подтвердить риск безопасным способом, исправить первопричину и проверить обычные сценарии. Эксплуатация ради получения флага вынесена в отдельный веб-курс.

Курс рассчитан на учеников 7–11 классов. Сложные темы не вырезаны из-за возраста: каждое новое понятие сначала объясняется на модели и примере, а затем закрепляется на новых данных. Первый модуль доступен бесплатно целиком. Для перехода к следующему уроку нужно набрать не менее 50% баллов текущего урока и отметить его завершённым.

Для кого курс

Кому подойдёт курс

  • ученикам 7–11 классов, которые готовятся к муниципальному, региональному или заключительному этапу ВСОШ по информационной безопасности;
  • начинающим участникам, которые пока теряются перед архивом, журналом или сетевой записью и хотят получить понятный порядок действий;
  • опытным олимпиадникам, которым нужно систематизировать расследование, сетевой анализ и защитные задачи;
  • преподавателям и тренерам как последовательная практическая программа с проверяемыми заданиями и полными решениями.

Курс требует внимательности и готовности работать руками. Это не вводный курс по пользованию компьютером, но готовое знание всех утилит, Linux или программирования на старте не требуется.

Чему научится ученик

Расследовать

  • определять, что именно требуется найти и какой источник проверять первым;
  • восстанавливать хронологию по журналам, процессам, файлам и сетевым событиям;
  • безопасно исследовать архивы, метаданные, JAR, дампы памяти и образы дисков;
  • находить нужный пакет, поток или объект в Wireshark и подтверждать вывод точным указателем.

Защищать

  • исправлять веб-уязвимости с сохранением нормальной работы сервиса;
  • читать и проверять правила iptables, YARA, Suricata, auditd, Sigma и Fail2ban;
  • находить опасные настройки Linux, Apache2 и Nginx и выбирать минимальное исправление;
  • проверять не только опасный сценарий, но и то, что легитимные пользователи не потеряли доступ.

Решать на олимпиаде

  • отличать подтверждённый факт от правдоподобной гипотезы;
  • собирать доказательства из нескольких источников в одну цепочку;
  • сдавать путь, время, идентификатор, правило или составной ответ именно в требуемом формате.

Формат практики

Практика следует сразу за объяснением нового приёма. Всего в курсе 210 автоматически проверяемых задач: 163 задания с файлами и точными ответами и 47 персональных лабораторий.

Формат Что делает ученик Что проверяется
Файлы и журналы Исследует архивы, таблицы событий, дампы, образы дисков и конфигурации Точное значение и доказательство, из которого оно получено
Wireshark и сетевые записи Фильтрует пакеты, собирает потоки, извлекает объекты и анализирует протоколы Адреса, поля, последовательность событий и сетевой вывод
Персональные лаборатории Запускает из урока отдельный сервис, исправляет код, правило или конфигурацию Безопасность, сохранение штатной функции и скрытые проверочные сценарии
Разборы ВСОШ Сопоставляет метод урока с реальной задачей регионального или заключительного этапа Почему решение работает и где чаще всего теряются баллы
Итоговые расследования Связывает веб, сеть, узлы, память, диск и средства защиты Однозначная доказательная цепочка и защитное решение

У каждой практической задачи есть одна расширенная подсказка и полное решение с точным ответом. Решение можно открыть в карточке, если самостоятельный поиск зашёл в тупик. Свободных отчётов с ручной проверкой нет: составные ответы сдаются в заранее указанном формате.

Следующий урок открывается после набора 50% баллов за текущий и подтверждения его завершения. Вопросы самопроверки помогают заметить ошибку в понимании, но основную часть баллов даёт практика.

Подготовка к этапам ВСОШ

Материалы курса размечены по уровню и помогают выстроить подготовку последовательно.

  • Первый проход: вопрос, доказательство, сохранность исходных данных и настоящие форматы файлов
  • Логи и хронология: процессы, веб-события, базы данных и несколько компьютеров
  • Защита веб-приложений: первопричина, безопасное исправление и проверка обычного сценария
  • Цифровая криминалистика компьютера: файлы, JAR, память, образы дисков и привилегии
  • Сетевой анализ и защита: Wireshark, протоколы, USB HID, маршрутизация, NAT и iptables
  • Обнаружение и усиление защиты: YARA, Suricata, auditd, Sigma, Fail2ban, Apache2 и Nginx
  • Итоговые расследования: доказательная цепочка, первопричина, границы и защитное решение

Что нужно до начала

Что нужно на старте

  • уверенно работать с файлами и папками, скачивать и распаковывать архивы;
  • пользоваться браузером;
  • внимательно повторять объяснённые команды в терминале;
  • быть готовым читать короткие фрагменты кода и конфигурации.

Что знать заранее необязательно

Свободное владение Linux, сетями, Python, SQL, HTML, HTTP, Wireshark или Volatility не требуется. Нужный минимум вводится до самостоятельной практики. Если ученик раньше не программировал, модуль по защите веб-приложений потребует больше времени: там нужно понимать переменные, условия, вызовы функций и изменять небольшой фрагмент кода.

Что понадобится технически

  • современный браузер и стабильный интернет;
  • Wireshark 4.x для сетевого модуля; tshark показан как терминальная альтернатива для массового извлечения полей;
  • свободное место для учебных файлов. В одном уроке по полной оперативной памяти скачивается проверенный архив объёмом около 129 MiB, а Volatility при первом запуске получает совместимые символы Windows.

Docker, базы данных, YARA, Suricata, Apache2 или Nginx на компьютер ученика устанавливать не нужно: персональные окружения запускает платформа курса. Неизвестные исполняемые файлы в заданиях запускать не требуется.

Программа курса

Модуль 1. Как начать расследование

бесплатно

Семь уроков: от чтения условия и проверки фактов до самостоятельного разбора набора файлов.

Урок 1. Как читать условие и не терять баллы · 45 мин. Урок 2. Как отличить догадку от доказанного факта · 50 мин. Урок 3. Как работать с архивами и не испортить исходные данные · 45 мин. Урок 4. Как понять настоящий тип файла · 50 мин. Урок 5. Что можно узнать из метаданных · 45 мин. Урок 6. Как восстановить файл из фрагмента данных · 45 мин. Урок 7. Самостоятельное расследование: Ночная смена · 60 мин.

Модуль 2. Логи и хронология

закрыто

Пять уроков: от чтения структуры журнала до самостоятельной корреляции событий на нескольких узлах.

Урок 8. Как устроен журнал и как привести события к одному времени · 65 мин.
Урок 9. Как восстановить цепочку процессов на одном компьютере · 70 мин.
Урок 10. Как связать веб-запрос с действием внутри сервера · 70 мин.
Урок 11. Как проследить переход между несколькими компьютерами · 70 мин.
Урок 12. Самостоятельное расследование «Разорванная цепь» · 70 мин.
Модуль откроется после покупки курса за инферы 500 .

Модуль 3. Защита веб-приложений

закрыто

Защитное исправление IDOR, XSS, SQLi, SSTI, Path Traversal, SSRF, JWT, опасной десериализации и гонок в персональных сервисах.

Урок 13. Как устроен веб-сервис и как исправлять его безопасно · 70 мин.
Урок 14. IDOR/BOLA: номер объекта не даёт права на него · 70 мин.
Урок 15. XSS: данные должны оставаться данными · 70 мин.
Урок 16. SQLi: запрос должен иметь форму до прихода пользователя · 70 мин.
Урок 17. SSTI: шаблон — маленькая программа · 70 мин.
Урок 18. Path Traversal: когда адрес превращается в путь к файлу · 70 мин.
Урок 19. SSRF: когда сервер идёт по чужому адресу · 70 мин.
Урок 20. JWT: токену нельзя поручать проверку самого себя · 70 мин.
Урок 21. Десериализация: данные не должны запускать программу · 70 мин.
Урок 22. Race condition: по отдельности верно, вместе — нет · 70 мин.
Урок 23. Итоговая защитная работа: исправить целый сервис · 70 мин.
Модуль откроется после покупки курса за инферы 500 .

Модуль 4. Host forensics: файлы, память и вредоносные артефакты

закрыто

Практический поиск в Linux, анализ JAR, process dumps, полной памяти и ext4-образов, восстановление данных и защитный аудит границ привилегий.

Урок 24. Файловая система как база данных: find и права · 70 мин.
Урок 25. JAR, ZIP и вложенные артефакты · 70 мин.
Урок 26. Core dump: что осталось в памяти одного процесса · 70 мин.
Урок 27. Полная оперативная память и Volatility 3 · 70 мин.
Урок 28. Образ диска: read-only расследование · 70 мин.
Урок 29. Удаление и учебное шифрование · 70 мин.
Урок 30. Границы привилегий Linux · 70 мин.
Урок 31. Итоговый инцидент: сервер зимнего фестиваля · 70 мин.
Модуль откроется после покупки курса за инферы 500 .

Модуль 5. Анализ трафика и защита сетей

закрыто

Wireshark и tshark, HTTP/FTP/TLS, DNS/ICMP, USB HID, маршрутизация, NAT и исправление iptables в реалистичных сетевых стендах.

Урок 32. Первый проход по PCAP в Wireshark · 70 мин.
Урок 33. HTTP, FTP и переданные объекты · 70 мин.
Урок 34. TLS с выданным key log · 70 мин.
Урок 35. DNS и ICMP как каналы данных · 70 мин.
Урок 36. USB HID: от report к набранному тексту · 70 мин.
Урок 37. IPv4, CIDR и выбор маршрута · 70 мин.
Урок 38. Ethernet, ARP, VLAN и STP · 70 мин.
Урок 39. NAT, VPN и обратный путь · 70 мин.
Урок 40. Как читать iptables · 70 мин.
Урок 41. Stateful filtering в настоящей сети · 70 мин.
Урок 42. NAT и сетевой защитный capstone · 70 мин.
Модуль откроется после покупки курса за инферы 500 .

Модуль 6. Детектирование и усиление защиты

закрыто

YARA, Suricata, auditd, Sigma и Fail2ban, исправление Linux/systemd и безопасная настройка Apache2 и Nginx с обязательной regression-проверкой.

Урок 43. Как строится детектирование · 70 мин.
Урок 44. YARA с нуля: настройка и первое правило · 70 мин.
Урок 45. YARA без хрупких сигнатур · 70 мин.
Урок 46. Suricata: конфигурация, replay и EVE · 70 мин.
Урок 47. Suricata HTTP rules и задачи ВСОШ · 70 мин.
Урок 48. auditd: что произошло на хосте · 70 мин.
Урок 49. Sigma: переносимое правило по журналу · 70 мин.
Урок 50. Linux privileges и systemd: исправить, не сломав · 70 мин.
Урок 51. Apache2: virtual host и reverse proxy · 70 мин.
Урок 52. Nginx: server, location и upstream · 70 мин.
Урок 53. Fail2ban и карта защитных утилит · 70 мин.
Урок 54. Итоговый защитный инцидент · 70 мин.
Модуль откроется после покупки курса за инферы 500 .

Модуль 7. Итоговые расследования

закрыто

Карта доказательств, цепочка атаки, первопричина, границы и защитные решения в связанных инцидентах веб-приложений, сети, узлов, памяти, диска и межсетевого экрана.

Урок 55. Одна история в разных источниках · 70 мин.
Урок 56. Цепочка атаки, первопричина и границы уверенности · 70 мин.
Урок 57. От доказательств к защитному решению · 70 мин.
Урок 58. Итоговая работа: веб-приложение, сеть и узлы · 70 мин.
Урок 59. Итоговая работа: поставка, память процесса и диск · 70 мин.
Урок 60. Итоговая работа: площадки, межсетевой экран и обнаружение · 70 мин.
Урок 61. Выпускной инцидент · 70 мин.
Модуль откроется после покупки курса за инферы 500 .

Чем курс отличается от обычных курсов по ИБ

  • Курс построен вокруг форматов ВСОШ. Теория привязана к повторяющимся типам задач, а рядом с ней размещены разборы реальных заданий регионального и заключительного этапов.
  • Инструмент не подменяет рассуждение. Ученик понимает, зачем запускает команду или применяет фильтр, какой результат ожидает и что этот результат действительно доказывает.
  • Защитное исправление проверяется с двух сторон. Недостаточно закрыть опасный сценарий: обычная функция сервиса тоже должна продолжить работать.
  • Данные похожи на настоящее расследование. В заданиях используются связанные журналы, сетевые записи, дампы, образы дисков, конфигурации и персональные сервисы, а не вопрос, замаскированный под лабораторную работу.
  • Полное решение действительно полное. Оно показывает ход проверки, объясняет вывод и содержит точный ответ для сдачи, а не ограничивается общей подсказкой.

Частые вопросы

Подойдёт ли курс ученику 7 класса?

Да, если ученик уверенно работает с файлами, готов пользоваться терминалом по примеру и не боится разбираться в новых понятиях. Олимпиадная сложность не убрана: материал вводится постепенно, поэтому семикласснику может понадобиться больше времени и иногда помощь преподавателя.

Нужно ли заранее знать Linux, сети или Python?

Свободное владение не требуется. Курс объясняет необходимый минимум перед применением, но предполагает активную работу: придётся читать журналы, повторять команды и изменять короткие фрагменты кода или конфигурации. Совсем без опыта программирования веб-модуль будет проходиться медленнее.

Что именно доступно бесплатно?

Первый модуль целиком: семь уроков, 23 практические задачи, 14 вопросов, все учебные файлы, разборы задач ВСОШ, подсказки и полные решения. Это не сокращённая демонстрация. Остальные шесть модулей входят в платную часть курса.

Как устроена проверка практики?

Файловые задания принимают точный ответ, а персональные лаборатории проверяют исправленный код, правило или конфигурацию на опасных, штатных и скрытых сценариях. Для перехода дальше нужно набрать не менее 50% баллов урока и отметить его завершённым.

Используются ли реальные задачи ВСОШ?

Да. В теории есть разборы заданий регионального и заключительного этапов, а самостоятельная практика переносит тот же приём на новые данные. Поэтому ученик не заучивает опубликованный ответ, а закрепляет способ решения.

Почему веб-уязвимости рассматриваются только с защитной стороны?

Этот курс посвящён расследованию и СЗИ. В веб-модуле нужно определить первопричину, безопасно подтвердить проблему, исправить её и сохранить нормальную работу сервиса. Эксплуатация уязвимостей ради флага относится к отдельному веб-курсу.

Нужно ли устанавливать Docker и серверные программы?

Нет. Персональные сервисы, YARA, Suricata, Apache2, Nginx и другие серверные инструменты запускаются на платформе. На своём компьютере для сетевого модуля понадобится Wireshark 4.x; для одного урока по памяти — место для архива около 129 MiB и интернет.

Гарантирует ли курс диплом или проход на следующий этап?

Ни один честный курс не может гарантировать результат олимпиады: он зависит от состава нового комплекта задач, самостоятельной работы и состояния участника в день тура. Курс закрывает основные защитные форматы, даёт большой объём проверяемой практики и учит воспроизводимому методу, который переносится на незнакомые задания.