Kazan Scientific Center of the Russian Academy of Sciences

The Federal Research Center "Kazan Scientific Center of the Russian Academy of Sciences" (FRC KazSC RAS) is classified as a first-category scientific institution and is among the leading scientific organizations in Russia. The priority areas of activity for FRC KazSC RAS include natural resources, extraction and processing of hydrocarbon raw materials, quality of life, new materials, and advanced technologies.

Кибериспытание - новый способ подтвердить надежность системы защиты организации и получить объективную оценку уровня этой защиты, выраженную в деньгах. Проект "Кибериспытание" проводит грантовую программу по повышению защищенности российского бизнеса.

Кибериспытание

Kazan Scientific Center of the Russian Academy of Sciences · Bug Bounty

В ФИЦ КазНЦ РАН проводятся работы по приоритетным направлениям деятельности, а именно природные ресурсы, добыча и переработка углеводородного сырья, качество жизни, новые материалы и перспективные технологии.
Попробуйте осуществить, например компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих осуществить потенциальное шифрование файлового хранилища данных на уровне операционной системы или средства виртуализации.

Демонстрация возможности шифрования файлового хранилища данных Центра

Федеральный исследовательский центр "Казанский научный центр Российской академии наук" (ФИЦ КазНЦ РАН) относится к научным учреждениям 1-й категории входит в число ведущих научных организаций России. Приоритетными направлениями деятельности ФИЦ КазНЦ РАН являются природные ресурсы, добыча и переработка углеводородного сырья, качество жизни, новые материалы и перспективные технологии. ФИЦ КазНЦ РАН реализует крупные международные проекты как Лаборатория квантовой оптики в алмазах (рук. Ф. Хеммер, США), Лаборатория инфекционных заболеваний растений (рук. В. Корзун, Германия), Соглашение с компанией Боинг (США) в области проведения испытаний узлов конструкции гражданских лайнеров, Совместный проект с Университетом г. Чженьчжоу (Китай) по созданию международного исследовательского центра в области химии фосфора. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за подтверждение возможности шифрования файлового хранилища данных компании**

### Программа действует до 26 марта 2025 года 23:59 MSK или до первой успешной реализации недопустимого события.

Реализуйте недопустимое событие, предоставив подтверждение возможности осуществления шифрования! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого для Центра события 

## Демонстрация возможности шифрования файлового хранилища данных Центра

В ФИЦ КазНЦ РАН проводятся работы по приоритетным направлениям деятельности, а именно природные ресурсы, добыча и переработка углеводородного сырья, качество жизни, новые материалы и перспективные технологии.
Попробуйте осуществить, например компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих осуществить потенциальное шифрование файлового хранилища данных на уровне операционной системы или средства виртуализации.

Чтобы реализовать недопустимое событие, исследователю нужно предоставить подтверждение возможности получения доступа на изменение файлового хранилища данных ФИЦ КазНЦ РАН. 

**Внимание!**Осуществлять само шифрование данных строжайше запрещено.
 
## Скоуп

Скоуп строго ограничен доменом *.knc.ru/ и почтами в почтовым корпоративным домене @knc.ru.

Но исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать их включение в скоуп по адресу эл. почты bugbounty@cyberus.com.

В скоуп **не входят** компьютерные розетки в офисах и прочие устройства для физического подключения.
Атаковать клиентов и партнеров ФИЦ КазНЦ РАН, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**.
Разрешена рассылка фишинговых писем на корпоративную электронную почту сотрудников ФИЦ КазНЦ РАН в почтовом корпоративном домене @knc.ru.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ФИЦ КазНЦ РАН.
* Действующие сотрудники контрагентов ФИЦ КазНЦ РАН, которым предоставляется доступ к инфраструктуре ФИЦ КазНЦ РАН для выполнения служебных обязанностей.
* Физлица, которые оказывали ФИЦ КазНЦ РАН консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые ФИЦ КазНЦ РАН в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности ФИЦ КазНЦ РАН.
ФИЦ КазНЦ РАН обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ФИЦ КазНЦ РАН отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ФИЦ КазНЦ РАН и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
 В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.


## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр ФИЦ КазНЦ РАН.
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.

Федеральный исследовательский центр "Казанский научный центр Российской академии наук" (ФИЦ КазНЦ РАН) относится к научным учреждениям 1-й категории входит в число ведущих научных организаций России. Приоритетными направлениями деятельности ФИЦ КазНЦ РАН являются природные ресурсы, добыча и переработка углеводородного сырья, качество жизни, новые материалы и перспективные технологии. ФИЦ КазНЦ РАН реализует крупные международные проекты как Лаборатория квантовой оптики в алмазах (рук. Ф. Хеммер, США), Лаборатория инфекционных заболеваний растений (рук. В. Корзун, Германия), Соглашение с компанией Боинг (США) в области проведения испытаний узлов конструкции гражданских лайнеров, Совместный проект с Университетом г. Чженьчжоу (Китай) по созданию международного исследовательского центра в области химии фосфора. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за подтверждение возможности шифрования файлового хранилища данных компании**

### Программа действует до 26 марта 2025 года 23:59 MSK или до первой успешной реализации недопустимого события.

Реализуйте недопустимое событие, предоставив подтверждение возможности осуществления шифрования! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого для Центра события 

## Демонстрация возможности шифрования файлового хранилища данных Центра

В ФИЦ КазНЦ РАН проводятся работы по приоритетным направлениям деятельности, а именно природные ресурсы, добыча и переработка углеводородного сырья, качество жизни, новые материалы и перспективные технологии.
Попробуйте осуществить, например компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих осуществить потенциальное шифрование файлового хранилища данных на уровне операционной системы или средства виртуализации.

Что бы реализовать недопустимое событие, исследователю нужно предоставить подтверждение возможности получения доступа на изменение файлового хранилища данных ФИЦ КазНЦ РАН. 

**Внимание!**Осуществлять само шифрование данных строжайше запрещено.
 
## Скоуп

Скоуп строго ограничен доменом *.knc.ru/ и почтами в почтовым корпоративным домене @knc.ru.

Но исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать их включение в скоуп по адресу эл. почты bugbounty@cyberus.com.

В скоуп **не входят** компьютерные розетки в офисах и прочие устройства для физического подключения.
Атаковать клиентов и партнеров ФИЦ КазНЦ РАН, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**.
Разрешена рассылка фишинговых писем на корпоративную электронную почту сотрудников ФИЦ КазНЦ РАН в почтовом корпоративном домене @knc.ru.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ФИЦ КазНЦ РАН.
* Действующие сотрудники контрагентов ФИЦ КазНЦ РАН, которым предоставляется доступ к инфраструктуре ФИЦ КазНЦ РАН для выполнения служебных обязанностей.
* Физлица, которые оказывали ФИЦ КазНЦ РАН консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые ФИЦ КазНЦ РАН в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности ФИЦ КазНЦ РАН.
ФИЦ КазНЦ РАН обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ФИЦ КазНЦ РАН отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ФИЦ КазНЦ РАН и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
 В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы может быть выплачено поощрительное вознаграждение за промежуточные результаты исследователям, которым удалось выполнить два или более последовательных шагов до потенциальной реализации недопустимого события: например, если исследователь смог проникнуть через периметр, получил доступ к одной из целевых систем, а затем его «выбили» из инфраструктуры.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.


## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр ФИЦ КазНЦ РАН.
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.