Non seulement au Portugal, mais partout dans le monde, il y a une pénurie de professionnels de la cybersécurité. Afin de résoudre ce problème, il est nécessaire de commencer à un âge plus précoce pour encourager la formation de nouveaux professionnels dans le domaine. C’est pour résoudre ce même problème que les FFC existent.
Les CTF (Capture The Flag) sont des compétitions didactiques axées sur le domaine de la cybersécurité. Ils durent généralement entre 10 et 48 heures (avec quelques semaines) et l’objectif est de présenter des problèmes (appelés défis) que les équipes en compétition doivent résoudre le plus rapidement possible.
Les équipes sont composées de plusieurs spécialistes des aspects les plus divers de la cybersécurité tels que l’exploitation binaire, la cryptomonnaie, la rétro-ingénierie, le forensic et la cybersécurité web (entre autres). Tous ces éléments doivent coopérer pour résoudre autant de défis que possible et amener l’équipe à atteindre la meilleure position possible.
Catégories CTF : Jeopardy et Attaque-Défense
Il existe deux catégories principales de ces compétitions : Jeopardy et Attack-Defense.
La première catégorie porte le même nom que la célèbre émission de télévision américaine, car ce sont des concepts très similaires. Dans cette catégorie les équipes doivent relever des défis proposés par les organisateurs des compétitions. Chaque défi est généralement identifié par le nombre de points qu’il vaut et par le domaine de cybersécurité le plus pertinent dans son contexte. Pour gagner des points, les joueurs doivent obtenir le drapeau correspondant à chaque défi, c’est-à-dire qu’ils doivent pouvoir récupérer des informations cachées auxquelles ils ne pourront accéder que s’ils parviennent à exploiter correctement les vulnérabilités du défi qui leur est proposé.
Les CTF Attaque-Défense suivent un concept très différent. Ces compétitions imitent une sorte de cyberguerre. Chaque équipe se voit attribuer un serveur avec des services vulnérables qui doivent être protégés. Les joueurs doivent être capables d’attaquer et d’exploiter les vulnérabilités des services d’autres équipes pour obtenir les drapeaux tant souhaités. Dans le même temps, ils doivent également corriger les vulnérabilités de leurs propres services et s’assurer qu’ils sont disponibles le plus longtemps possible. Le score final de chaque équipe prend en compte ces 3 aspects – les drapeaux gagnés, les drapeaux perdus et le temps pendant lequel les services de l’équipe restent disponibles – et évidemment celui qui a le plus de points à la fin gagne.
Les résultats obtenus dans ces compétitions se reflètent dans un classement mondial et, le Portugal ne pouvant faire exception, il est possible de consulter le classement national sur CTFTime (ctftime.org), la plateforme utilisée pour promouvoir ce type de compétitions. En 2022, le Portugal comptait 38 équipes inscrites, avec STT (équipe académique de l’Instituto Superior Técnico et équipe portugaise la mieux positionnée au classement mondial) parmi les 100 meilleures équipes mondiales, ayant réussi à figurer parmi les 50 meilleures les années précédentes.
Pour promouvoir la formation à travers ces concours, le Centre national de cybersécurité (CNCS), l’Instituto Superior Técnico, l’Université de Porto et l’Association portugaise pour la promotion de la sécurité de l’information (AP2SI) organisent chaque année un concours national qui encourage de plus en plus d’étudiants à rejoindre le monde de la cybersécurité.
Le Cybersecurity Challenge Portugal (CSCPT) vise à rassembler les 10 meilleurs talents nationaux pour participer au European Cybersecurity Challenge (ECSC), organisé par l’Agence européenne pour la sécurité des réseaux et de l’information (ENISA). Le Portugal s’est avéré être un pays prometteur, ayant obtenu la 7e place sur 19 équipes en 2021 et la 16e place sur 33 équipes en 2022. Qualifications pour la sélection de l’équipe du Portugal, qui représentera notre pays à Hamar, en Norvège, en octobre de cette année. c’est déjà le 3 juin.
Le Portugal a également une représentation significative dans Team Europe, une initiative de l’ENISA, qui se concentre sur la formation et la sélection des meilleurs talents au niveau européen pour participer à l’International Cybersecurity Challenge (ICC). L’année dernière, l’un des capitaines de Team Europe qui a mené l’équipe à la victoire était le Portugais Nuno Sabino, doctorant à l’Instituto Superior Técnico.
Après un tel succès, le Portugal a contribué cette année avec deux candidats pour l’équipe européenne, tous deux étudiants de l’IST : Bruno Mendes, étudiant en master en informatique et génie informatique, et Mariana Costa, étudiante en licence en mathématiques appliquées et informatique. Bruno Mendes fait partie de l’équipe qui défendra le titre à San Diego en août. Au cours des deux années, Team Europe avait un entraîneur portugais dans l’équipe technique, Pedro Adão, professeur à l’Instituto Superior Técnico.
Il est important de souligner que, bien que le Portugal compte parmi les meilleurs talents d’Europe et du monde, des efforts doivent être poursuivis et des opportunités de formation diffusées dans le domaine de la cybersécurité. De telles initiatives permettent non seulement de capter de nouveaux talents, mais aussi de développer des compétences telles que la résilience, la résolution de problèmes et la capacité de travailler sous pression et en équipe, en plus de mettre à l’épreuve les connaissances techniques des participants.
Bref, la communauté des acteurs du CTF s’impose de plus en plus comme une solution au problème du marché du travail, qui est le manque de professionnels qualifiés dans le domaine de la cybersécurité.
Envie de vous détendre un peu ? Voici un reportage très intéressant sur l’intelligence artificielle :
