Отчет с OFFZONE 2024. Как я слушал доклады, дегустировал пиво и чудом не потерялся

Общие впечатления

Же­лан­ный ком­форт и сов­ремен­ный вид бан­кетно­го лофт‑прос­транс­тва GOELRO прош­лого года сме­нились на совет­ский анту­раж куль­тур­ного цен­тра ЗИЛ, в котором и сос­тоялась пятая — юби­лей­ная — кон­ферен­ция по прак­тичес­кой кибер­безопас­ности OFFZONE. На два дня, 22 и 23 августа, тер­риторию пер­вого и луч­шего двор­ца куль­туры сто­лицы, работа­юще­го аж с 1937 года, навод­нили более 4000 посети­телей, сре­ди которых были IT-спе­циалис­ты всех мас­тей: раз­работ­чики, тес­тиров­щики, безопас­ники, незави­симые иссле­дова­тели и, разуме­ется, хакеры.

На стой­ке регис­тра­ции все учас­тни­ки вмес­те с новым имен­ным бей­джем получа­ли по стар­товому набору, в котором были сти­керы, тет­радь со спра­воч­ной информа­цией, некото­рые дру­гие при­ятные мелочи и бутыл­ка пить­евой воды, что весь­ма пре­дус­мотри­тель­но. В тет­ради — бланк для учас­тия в при­ветс­твен­ном квес­те: сбор семи печатей на стен­дах пар­тне­ров за выпол­нение прос­тых заданий, что в ито­ге поз­воляло получить пер­вые оффко­ины у волон­тера в зоне CUB_3.

Ста­рое зда­ние совет­ской эпо­хи изнутри при­обре­ло чер­ты, атмосфе­ру и нас­тро­ение то ли игры Atomic Heart, то ли пол­ного неона и тех­нологий кибер­панка. В любом слу­чае уни­каль­ные и яркие стен­ды пар­тне­ров прив­лекали боль­шое количес­тво энту­зиас­тов, давая шанс узнать что‑то новое, весело про­вес­ти вре­мя за голово­лом­ками, выиг­рать цен­ные при­зы и даже получить работу. Без вызовов так­же дело не обош­лось: в коридо­рах зда­ния было душ­но, мно­гочис­ленные перехо­ды и лес­тни­цы ассо­цииро­вались с эда­ким лабирин­том, в котором без тру­да мож­но было заб­лудить­ся, да и со связью на пер­вых двух эта­жах было неп­росто.

С удив­лени­ем для себя и уже пос­ле кон­ферен­ции я узнал, как мож­но было попасть на чет­вертый этаж зда­ния, где рас­полага­лись AI.Zone и Threat.Zone. Кар­та зда­ния с обоз­начен­ными локаци­ями при­сутс­тво­вала, но на деле заб­рести в тупик было лег­ко даже с ней перед гла­зами. Ука­зате­ли с наз­вани­ями зон тоже име­лись, но мог­ли нап­равлять пут­ника в глу­хую сте­ну или про­ход в тех­ничес­кие помеще­ния, так что на про­тяже­нии все­го пер­вого дня учас­тни­ки кон­ферен­ции изу­чали план мес­тнос­ти и запоми­нали, где рас­положе­ны инте­ресу­ющие их зоны и активнос­ти.

Умес­тно пред­положить, что чем выше был этаж, тем мень­ше было людей в рас­положен­ных на них зонах. Чес­тно говоря, бегать по эта­жам в такой духоте хотелось мень­ше все­го, осо­бен­но учи­тывая плот­ность док­ладов и огра­ничен­ные про­межут­ки вре­мени меж­ду ними. Погода тоже дик­товала свои усло­вия, давая лиш­ний повод общать­ся и отды­хать на све­жем воз­духе, чем мно­гие и занима­лись.

Од­но из раз­вле­чений пер­вого дня — это родео на механи­чес­ком быке в сочета­нии с дегус­таци­ей пяти сор­тов фир­менно­го пива. Ком­биниро­вать ник­то не зас­тавля­ет, но так получа­ется веселее все­го. Кста­ти, родео не прос­тое: раз­горячен­ному всад­нику парал­лель­но еще зада­ют тех­ничес­кие воп­росы, на которые нуж­но быс­тро отве­чать. Не знаю, выдава­лись ли за это оффко­ины, но веселья и без них было через край.

Не­пода­леку рас­положил­ся фуд‑корт, где мож­но было под­кре­пить­ся воком и испить бод­рящего кофе. Чуть даль­ше, где‑то в области кус­тов и деревь­ев, мож­но было обна­ружить зону отды­ха, которую заняли бывалые учас­тни­ки сооб­щес­тва, иног­да с демонс­тра­цией навыков вокала и все теми же пятью видами пен­ного. Позитив­но, душев­но, дру­желюб­но!

Craft.Zone давала воз­можность уве­рен­но взять в руки паяль­ник и начать тво­рить чудеса. Под чудеса­ми под­разуме­вались кас­томизи­рован­ные аддо­ны для бей­джа, которые учас­тни­ки кле­пали сами, иног­да при­бегая к помощи нас­тавни­ков.

Здесь же, как было заяв­лено, мож­но было предъ­явить свои прош­логод­ние бей­джи и получить за это уни­каль­ные аддо­ны. Некото­рые забира­ли в одни руки по нес­коль­ко штук, так что запасы аддо­нов иссякли момен­таль­но и боль­ше не возоб­новля­лись.

Tattoo.Zone в оче­ред­ной раз ста­вит рекорд по сде­лан­ным во вре­мя кон­ферен­ции тату­иров­кам: все­го сот­ворено 57 шедев­ров, 25 из которых — с логоти­пом. Что это зна­чит? Что обла­дате­ли тату­иро­вок с логоти­пом OFFZONE про­ходят на сле­дующие мероп­риятия бес­плат­но, так­же получая про­ход­ку на вечерин­ку для спи­керов.

Game.Zone — рай для гей­меров или жела­ющих прос­то почилить. Впро­чем, и тут тоже был азарт и кон­курсы.

С отды­хом и активнос­тями, думаю, все понят­но. Что с док­ладами?

На два дня кон­ферен­ции приш­лось 98 док­ладов, которые читали 124 спи­кера. Я порой отго­нял от себя мысль, что кто‑то абь­юзит механи­ку выс­тупле­ний ради про­хода на зак­рытую вечерин­ку для спи­керов.

Клю­чевым выс­тупа­ющим юби­лей­ного OFFZONE стал глав­ный спе­циалист «Лабора­тории Кас­пер­ско­го» Сер­гей Голова­нов, под­готовив­ший док­лад с интри­гующим наз­вани­ем «Корень зла». Голова­нов поведал слу­шате­лям о при­чинах и эво­люции инци­ден­тов в сфе­ре инфо­беза за пос­ледние два десят­ка лет. Все зап­ланиро­ван­ные выс­тупле­ния тра­дици­онно делились по нап­равле­ниям: Main track, Fast track, Threat.Zone, AppSec.Zone, AntiFraud.Zone, AI.Zone, CTF track и Community track.

Вы­бор пло­щад­ки наложил свой отпе­чаток и здесь. Часть док­ладов основно­го тре­ка про­ходи­ла при полупус­том зале, в то вре­мя как AppSec.Zone с тру­дом вме­щала в себя всех жела­ющих на нес­коль­ких док­ладах. Так­же ширина зала и колон­ны в AppSec.Zone порой не поз­воляли уви­деть выс­тупа­юще­го.

Зал, отве­ден­ный под AntiFraud.Zone и Fast track, напоми­нал неболь­шую ауди­торию учеб­ного заведе­ния как по внеш­нему виду, так и по царящей в нем атмосфе­ре. Док­лады читались, пуб­лика вни­мала муд­рости спи­керов.

BI.ZONE Bug Bounty

Ра­зуме­ется, мно­го говори­ли и про баг­баун­ти: под­вели ито­ги года плат­формы BI.ZONE Bug Bounty, обсу­дили основные тен­денции на рос­сий­ском рын­ке ББ, осо­бен­ности работы баг­ханте­ров и ряд дру­гих, не менее важ­ных воп­росов. Из при­меча­тель­ного: отме­чен рост на 112% чис­ла ком­паний на пло­щад­ке BI.ZONE Bug Bounty и на 58% количес­тва прог­рамм за про­шед­ший год.

На мероп­риятии работал яркий стенд BI.ZONE Bug Bounty, воз­глав­ляемый Андре­ем Лев­киным. Все жела­ющие мог­ли побороть­ся за мерч, поп­робовать баг­баун­ти‑мар­мелад и кис­лород­ные кок­тей­ли, про­являя активность и решая задачи. Вишен­ка на тор­те — экс­клю­зив­ная ачив­ка OFFZONE 2024 в обновлен­ном, дер­зком хай‑тек‑дизай­не, которая выдава­лась зарегис­три­рован­ным на плат­форме баг­ханте­рам, дос­таточ­но было ска­зать свой ник или показать про­филь со смар­тфо­на. Раз уж речь заш­ла о дер­зком хай‑тек‑дизай­не, то не могу не упо­мянуть обновлен­ный дизайн всей пло­щад­ки BI.ZONE Bug Bounty — получи­лось кру­то, это боль­шой шаг впе­ред.

Под занавес вто­рого дня в зале AppSec.Zone сос­тоялась церемо­ния наг­ражде­ния самых активных и про­дук­тивных баг­ханте­ров пло­щад­ки. От сво­их и для сво­их, так ска­зать. Было мно­го шуток, гром­ких апло­дис­ментов, впе­чат­ляющих резуль­татов работы кол­лег и, конеч­но, наг­ражде­ний. А открыл это дей­ство извес­тный в наших кру­гах Black Fan в катего­рии «Мамина радость». В общем, было весело! 🙂

Мерч, оффкоины и OFFSTORE

На OFFZONE дела­ется оче­вид­ная став­ка на мерч, который мож­но либо купить за руб­ли, либо обме­нять на оффко­ины, либо выиг­рать в кон­курсах. Мер­ча мно­го, жела­ющих его купить, выиг­рать или обме­нять еще боль­ше. Так мы под­ходим к одной оче­вид­ной проб­леме: мерч быс­тро кон­чался и не вос­полнял­ся ни через нес­коль­ко часов, ни даже на вто­рой день OFFZONE.

Все­воз­можные стра­тегии заполу­чить мерч тоже не всег­да ока­зыва­лись успешны­ми, что вызыва­ло кри­тику учас­тни­ков. Самый прос­той сце­нарий — отсто­ять оче­редь в OFFSTORE — по фак­ту для некото­рых обо­рачи­вал­ся тем, что, про­ведя в ней нес­коль­ко часов, они узна­вали, что нуж­ного товара боль­ше нет и на выбор толь­ко остатки. А на вто­рой день рас­купили и их.

В самом жес­тком про­лете были те бедола­ги, которые хотели пер­вый день пот­ратить на выпол­нение кон­кур­сных заданий и накоп­ление оффко­инов, а на вто­рой день уже тра­тить валюту кон­ферен­ции в OFFSTORE и на стен­дах пар­тне­ров. Был и дру­гой нюанс, выз­вавший непони­мание учас­тни­ков: за выпол­нение некото­рых кон­кур­сных заданий в пер­вые часы мероп­риятия начис­ляли слиш­ком мно­го оффко­инов, а потом наг­рада за те же задания была в нес­коль­ко раз мень­ше. Таким обра­зом, кому‑то прос­то повез­ло удач­но обо­гатить­ся и залутать в магази­не самые ходовые позиции. Воз­можно, даже что­бы потом про­дать — такое уже бывало в прош­лые разы.

Но все это одновре­мен­но и ком­пли­мент самому мер­чу — раз сме­ли боль­ше 3500 еди­ниц, зна­чит, при­шел­ся по вку­су. И боль­шое спа­сибо волон­терам, которые смог­ли выдер­жать два дня такого натис­ка. Вы молод­цы!

Сообщество

Ак­тивнос­ти и атмосфе­ра на OFFZONE тес­но свя­заны с сооб­щес­твом в самом широком смыс­ле это­го сло­ва. При­меча­тель­но, что имен­но на это мероп­риятие выбира­ются даже те, кто не осо­бен­но любит появ­лять­ся на пуб­лике и кого на дру­гих кон­ферен­циях не зас­тать.

Зо­на сооб­щес­тва — Community.Zone — находи­лась на треть­ем эта­же и потому была нес­коль­ко отде­лена от осталь­ных. Кому‑то отно­ситель­ная тишина и покой приш­лись по вку­су, кто‑то, нап­ротив, чувс­тво­вал, что кон­ферен­ция про­ходит где‑то рядом, но отдель­но. Так или ина­че, это не помеша­ло ведущим и док­ладчи­кам этой зоны отра­ботать на 100%. Там же, кста­ти, рас­полагал­ся и стенд «Хакера», на котором под­писчи­ков и гос­тей кон­ферен­ции радуш­но встре­чал Дмит­рий Ага­рунов с его помощ­ницами и спе­циаль­но выб­равший­ся из Петер­бурга ведущий редак­тор Вален­тин Хол­могоров.

На стен­де канала «Баг­хантер» в пер­вый день за счи­таные часы раз­летелись все экс­клю­зив­ные и бес­плат­ные фут­болки. По изна­чаль­ной задум­ке их собира­лись раз­давать за репост записи с канала, но в ито­ге, как я понял, раз­давали по прин­ципу «кто пер­вый встал, того и тап­ки». Любите­ли мер­ча не зас­тавили себя дол­го уго­вари­вать, опус­тошив запасы в рекор­дные сро­ки.

Зо­ну сооб­щес­тва так­же пред­став­ляли: лок­пик от энту­зиас­тов канала @autopsy_wt, OSINT Village, Mobile AppSec World и SPbCTF с задача­ми, взор­вавши­ми мно­гим мозг. Талис­ман SPbCTF — Ыж — не толь­ко при­сутс­тво­вал и на этой кон­ферен­ции, но и бро­сал вызов смель­чакам, воз­награж­дая самых упор­ных и сооб­разитель­ных оффко­ина­ми, экс­клю­зив­ным аддо­ном и мер­чем.

Суть сво­дилась к тому, что­бы поп­робовать свои силы в про­тивос­тоянии ней­рон­ке, усколь­знуть от бди­тель­ного ока Ыжа и вооб­ще под­менить свою лич­ность. Кру­то? Кру­то!

В суете про­исхо­дяще­го видел, как один боец делал себе боевой рас­крас на лице в виде рос­сий­ско­го три­коло­ра с помощью спе­циаль­ных кра­сок. Как я потом узнал, это ему помог­ло.

OFFZONE BB & Pentest Party 2024

По­жалуй, луч­шего завер­шения двух дней кон­ферен­ции, чем OFFZONE BB & Pentest Party 2024, быть прос­то не мог­ло. Умель­цы из VK и CICADA8 орга­низо­вали при­ват­ную вечерин­ку в уют­ном лоф­те Ratusha Hall, что рас­положен непода­леку от куль­тур­ного цен­тра ЗИЛ. Огромное количес­тво закусок и море раз­нооб­разных напит­ков на любой вкус, прек­расно под­ходящий к атмосфе­ре вечерин­ки хип‑хоп от эле­ган­тно­го дид­жея Stasy J, кон­курсы и раз­дача сувени­ров, мно­го обще­ния в дру­жес­кой атмосфе­ре и даже кол­лектив­ное исполне­ние «Все идет по пла­ну» в кара­оке под клу­бы дыма мно­гочис­ленных каль­янов.

Ус­пели пофило­софс­тво­вать с новым комь­юни­ти‑менед­жером BI.ZONE Иль­ей Понома­ревым на тему прош­лого и нас­тояще­го в реалиях ИБ‑сооб­щес­тва, обсу­дить со ста­рыми друзь­ями пла­ны на бли­жай­шее будущее, пос­меять­ся и обме­нять­ся мне­ниями о двух днях OFFZONE. Разуме­ется, еда и напит­ки тоже не оста­лись без нашего прис­таль­ного вни­мания.

Ес­ли кто‑то из при­шед­ших ску­чал по живому обще­нию, то он точ­но получил то, за чем при­шел. Спа­сибо орга­низа­торам и за вечерин­ку, и за приг­лашение. Вечер однознач­но удал­ся, завер­шившись на позитив­ной ноте.

Аутро

Свое мес­то в исто­рии эта кон­ферен­ция однознач­но заняла, еще раз соб­рав под одной кры­шей такую раз­нооб­разную ИБ‑тусов­ку и сде­лав это в сво­ем, мак­сималь­но нефор­маль­ном сти­ле. Для орга­низа­торов кон­ферен­ция по прак­тичес­кой кибер­безопас­ности OFFZONE — год интенсив­ной работы, а для нас — два дня отды­ха, обще­ния и хороше­го нас­тро­ения. Пар­тне­ры и активные учас­тни­ки мероп­риятия так­же внес­ли свой боль­шой вклад и в орга­низа­цию, и в атмосфе­ру кон­ферен­ции. Спа­сибо вам за про­делан­ную работу и пот­рачен­ные силы.

При­ятно осоз­навать, что сооб­щес­тво выходит из ана­биоза пос­ледних лет, объ­еди­няет­ся и пересо­бира­ется заново в качес­твен­но луч­шем виде для новых экспе­римен­тов и ярких начина­ний. Как за­мети­ла не так дав­но Алек­сан­дра Анти­пина, сооб­щес­тво перес­тает быть ток­сичным внут­ри и сна­ружи, избавля­ясь от оши­бок прош­лого.

Не сом­нева­юсь, что обратная связь будет про­рабо­тана и через год мы вновь встре­тим­ся на уже шес­том по сче­ту OFFZONE. Ну а пока, если ты упус­тил воз­можность дать орга­низа­торам свою обратную связь, то сде­лать это мож­но по спе­циаль­ной ссыл­ке. Заод­но не забудь пос­мотреть фо­тог­рафии и уже под­готов­ленные за­писи док­ладов — порадуй себя инте­рес­ными матери­ала­ми и при­ятны­ми вос­помина­ниями.