Arkadaşlarla Oynanan Siber Güvenlik Oyunları

Siber güvenlik tek başına öğrenilen bir alan gibi görünür, ama işin aslı ekip işidir. SOC vardiyası, olay müdahalesi, CTF takımı: hepsi birlikte düşünmeyi ister. Bu yazıda arkadaşlarınla, sınıfınla ya da iş ekibinle oynayabileceğin siber güvenlik oyunlarını topladık. Akademinin çok oyunculu oyunlarının kurallarını oyunların kodundan doğruladık. Masa başı oyunlarının kişi sayısı ve süresini de yapımcılarının kendi sayfalarından aldık.

Arkadaşlarla oynanan siber güvenlik oyunu nasıl seçilir?

Arkadaşlarla oynanacak siber güvenlik oyununu seçerken önce kaç kişi olduğunuza, sonra ne kadar zamanınız olduğuna ve aynı odada olup olmadığınıza bak. Tek akşamlık eğlence ile tatbikat aynı oyunla yapılmaz.

Bunun öğrenme tarafında da bir karşılığı var. Sailer ile Homner'ın 2020 tarihli meta analizi, oyunlaştırmada rekabetle iş birliğini birleştirmenin davranışsal öğrenmede özellikle etkili olduğunu buldu. Yani takım içinde iş birliği yapıp başka bir takımla yarıştığınız oyunlar, tek başına oynanan oyunlardan daha kalıcı iz bırakabilir.

Kabaca şöyle düşünebilirsin:

• 2 ile 3 kişiyseniz: Parola'nın Mor Takım modu, Ring'de bire bir maç ya da [d0x3d!].
• 4 ile 8 kişiyseniz: Köstebek, Parola'nın Klasik modu, Backdoors & Breaches.
• 10 ile 30 kişilik bir sınıf ya da ekipseniz: Bilgi Yarışı odası ve projeksiyonla Parola.
• Teknik bir ekipseniz: takım CTF'i, Ring takım maçı ya da tehdit modelleme kart oyunları.

Hangi oyun kaç kişiyle oynanır?

Aşağıdaki tablo akademinin çok oyunculu oyunlarını ve masa başında oynanan yabancı oyunları kişi sayısı, süre ve öğrettikleriyle karşılaştırır.

Akademinin oyunları tarayıcıda açılır ve ücretsizdir. Çok oyunculu odalar hesabınla oynanır, bu yüzden arkadaşlarından önceden ücretsiz bir hesap açmalarını iste. Yabancı masa oyunlarının Türkçe sürümüne rastlamadık; kartları İngilizce okuyabilen bir ekip gerekir.

Akademinin çok oyunculu oyunları nasıl oynanır?

AltaySec Akademi'nin dört çok oyunculu oyunu var: Köstebek, Bilgi Yarışı, Parola ve Ring. Hepsinde bir oda kurup kodu ya da bağlantıyı paylaşarak arkadaşlarını çağırırsın.

Köstebek: ağdaki köstebeği bul

Köstebek, "vampir köylü" türünden bir sosyal çıkarım oyunu. Ağda köstebek var ve sabaha kadar onu bulmanız gerekiyor. Taraflar Mavi Takım, Köstebekler ve kendi başına kazanmaya çalışan bağımsız rollerden oluşur. Her rol gerçek bir işe dayanır: SOC Analisti, Olay Müdahalecisi, Adli Bilişimci, Bal Küpü, CISO, Baş Köstebek, Oltacı, Rootkit ve Fidyeci bunlardan birkaçı.

Oyunda bir gün beş adımda geçer:

1. Gece herkes gizlice bir iş yapar: tarama, izolasyon, tuzak ya da mesai kartı. Köstebekler kendi sohbetlerinde hedef seçer.
2. Sabah raporunda SIEM akışı gecenin olaylarını yazar. Kendi sonucun yalnız sana görünen bir notta durur.
3. Beyanda herkes bir kart seçer ve kartlar aynı anda açılır. Tek kişiye verilen bir rolü iki kişi söylüyorsa biri doğruyu söylemiyordur.
4. Sorguda masada yazarak konuşur, iddiaları panoda karşılaştırırsınız.
5. Oylamada gizli oy verilir; "kimse" de bir seçenektir. En çok oyu tek başına alan karantinaya gider ve kartı açılır.

Mavi Takım, köstebekleri (İçeriden Biri hariç) ve varsa Fidyeci'yi oyun dışı bırakınca kazanır. Köstebekler ise sayıca öteki oyunculara yetişince kazanır. Maç en çok sekiz gün sürer ve beşinci günden sonra köstebekler her gece iki kişiye saldırır. Yazılı sohbette bir gün yaklaşık iki buçuk dakika sürer.

Masaya üç yoldan oturursun: Hızlı katıl seni dolmak üzere olan bir masaya yerleştirir, Masa aç herkese açık bir masa kurar, Arkadaşlarla oyna ise kodlu bir oda açar. Masa dört kişiyle başlar, arkadaş odası on iki kişiye kadar çıkar. Gerçek maçlarda bot yoktur. Kuralları önce tek başına görmek istersen hesap gerektirmeyen Eğitim Vardiyası'nı aç: üç botla yaklaşık üç dakikalık, koçun her adımı anlattığı bir av.

Oyunun kendi önerisi, arkadaşlarınla aynı odada ya da bir sesli sohbette oynaman. Oda ayarlarında sohbeti "Sesli (oyun dışında)" yaparsan sorgu süresi uzar; oyun ses aktarmaz, yazı da açık kalır. Maç bitince bütün kartlar aynı anda döner. Gece Kaydı, köstebeklerin hamlelerini MITRE ATT&CK teknikleriyle eşleştirir. Olay raporu da savunmanın NIST CSF işlevlerinden hangilerini kullandığını gösterir.

Bilgi Yarışı: Düello, Solo ve Oda

Bilgi Yarışı, dört renkli şıkkı ve geri sayımıyla Kahoot tarzı bir siber güvenlik yarışmasıdır. Ağdan kriptografiye, OSINT'ten mevzuata 19 konu var.

• Düello: Seçtiğin konuda 2 ile 6 kişi yarışır. 15 saniyede rakip gelmezse etiketli botlar katılır. Maçların haftalık panoya girer.
• Solo: Üç botla hemen oynarsın. Hesapsız da denenebilir.
• Oda: Kod ve QR ile 30 kişiye kadar katılır. Kurucu konuları, 5 ile 30 arasında soru sayısını, 10 ile 30 saniye arasında süreyi ve zorluğu seçer.

Puanlama hızı ödüllendirir. Doğru cevap en çok 1.000 puan getirir ve geç kalınca yarıya kadar düşer. Art arda her doğru cevap 100 puan ekler, bu seri bonusu en çok 500 puana çıkar. Odayı kuran kişi "Yarışmayı yönet" seçeneğiyle oynamadan soruları büyük ekrana yansıtabilir. Sınıf ve kulüp etkinliği için en pratik seçenek budur.

Parola: tek kelime, doğru kartlar

Parola, Codenames'e benzeyen bir takım oyunudur. Şifreci tek kelimelik bir ipucu verir, takımındaki ajanlar hangi kartları kastettiğini bulmaya çalışır. Kartların hem gündelik hem siber anlamı vardır: TUZ, SOLUCAN, ÇEREZ gibi. Tarafsız kartın adı "yanlış alarm", siyah FİDYE kartı ise oyunu bitirir.

• Klasik: 5x5 tahta, 4 ile 12 kişi. Her takımda en az iki kişi olmalı.
• Hızlı: 4x4 tahta, 4 ile 8 kişi.
• Mor Takım: 2 ile 3 kişilik iş birliği modu. Rakip yoktur, 15 ortak hedefi birlikte bulursunuz. Tek başınaysan bir oyuncuyla eşleşebilirsin.
• Günün Parolası: herkese aynı tahtayla tek kişilik günlük bulmaca. Hesapsız oynanır.

Sınıfta Parola'yı projeksiyonla oynayabilirsin. Öğretmen hakem koltuğuna oturursa anahtar kartı görmez, yani ipucunu kazara ele vermez.

Ring: aynı olay, aynı süre

Ring, saha terminalinin rekabetçi hâlidir. Rakibinle aynı olaya aynı anda düşersin, izleri okur ve flag'leri ondan önce toplamaya çalışırsın. Bir flag'i ilk teslim eden ek puan alır.

Maç biçimleri bire bir, iki ikiye, üç üçe ve dört kişilik serbest maçtır. Bire bir maç 8, takım maçları 10 dakika sürer. Yarış modunda flag toplanır. Tepe modunda ise ele geçirdiğin düğümü rakibe kaptırmadan tutmaya çalışırsın. Takım maçında arkadaşının terminali ekranının yanında açık durur. Özel odada bir hakem koltuğu vardır, yani biri oynamadan maçı yönetebilir. Canlı maçları hesapsız izleyebilirsin.

Masa başında oynanan siber güvenlik kutu oyunları hangileri?

En bilinen siber güvenlik kutu ve kart oyunları Backdoors & Breaches, [d0x3d!], Decisions & Disruptions, Elevation of Privilege ve OWASP Cornucopia'dır. Bunların çoğunun dosyaları ücretsiz indirilip yazdırılabilir.

Backdoors & Breaches

Black Hills Information Security'nin olay müdahalesi kart oyunu. Klasik modda bir "Olay Kaptanı" dört saldırı kartından gizli bir saldırı zinciri kurar. Savunanlar tespit kartları, zar ve tartışmayla neler olduğunu bulmaya çalışır. Resmî siteye göre 2 ile 8 kişiyle oynanır ve 30 ile 60 dakika sürer. Yapımcı oyunu masa başı tatbikatlar ve öğle arası eğitimleri için öneriyor. Çevrimiçi bir sürümü ve rekabetçi bir modu da var.

[d0x3d!]

[d0x3d!], oyuncuların bir hacker grubu olarak ağa sızıp dijital varlıkları geri aldığı iş birlikçi bir kutu oyunu. Ağ yöneticileri yama yapar ve alarm seviyesini yükseltir. Oyun Forbidden Island'dan esinlenmiş ve ABD Ulusal Bilim Vakfı'nın desteğiyle geliştirilmiş. The Game Crafter sayfasına göre 1 ile 4 kişiyle, 14 yaş ve üstü için ve 30 ile 60 dakikalık bir oyun. Dosyaları Creative Commons lisansıyla GitHub'da ücretsiz.

Decisions & Disruptions

Lancaster Üniversitesi'nde geliştirilen ve bugün Bristol Üniversitesi Siber Güvenlik Grubu'nun sürdürdüğü bir masa başı rol yapma oyunu. Oyuncular, LEGO ile masaya kurulan ve altyapı hizmeti veren küçük bir şirketin güvenliğinden sorumludur. Her turda 100 binlik bir bütçeyle savunma satın alır, sonuçlarını oyun yöneticisinden dinlerler. Kural kitabına göre 3 ile 5 oyuncu ve bir oyun yöneticisiyle oynanır, dört tur ve en çok iki saat sürer. Projenin güncel sitesi 5 ile 8 oyuncu öneriyor. Yönetici adayları için iyi bir risk dersi.

Elevation of Privilege ve OWASP Cornucopia

Bu iki kart oyunu yazılım ekipleri içindir. Elevation of Privilege'ı Adam Shostack Microsoft'ta geliştirdi. Kartlar STRIDE tehdit türlerine göre dizilir ve ekip bir sistem çizimi üzerinde tehdit arar. OWASP Cornucopia ise web ve mobil uygulamalar için aynı işi yapar ve çevrimiçi çok oyunculu bir sürümü de var. İkisi de Creative Commons lisansıyla ücretsiz.

Takım CTF'leri arkadaşlarla nasıl oynanır?

Takım CTF'i, bir ekibin web, kriptografi, adli bilişim ve tersine mühendislik gibi kategorilerdeki görevleri çözüp bayrak topladığı yarışmadır. Arkadaşlarla oynanan en teknik siber güvenlik oyunu budur.

Takım kurarken şu sırayı izle:

1. Üç ile beş kişilik bir çekirdek kur. Herkesin bir kategoriye yönelmesi yeter, her şeyi bilmek gerekmez.
2. Ortak bir not belgesi aç. Kim hangi görevde, neyi denedi, nerede takıldı yazılsın.
3. Önce antrenman platformlarında birlikte görev çöz. CyLab Security Academy (eski picoCTF) iyi bir başlangıç.
4. Ring'de takım maçı yaparak aynı anda terminalde çalışmaya alışın.
5. CTFtime takviminden başlangıç seviyesine uygun bir etkinlik seçip yazılın.
6. Etkinlikten sonra çözümleri yazıya dökün. Bu, takımın ortak hafızası olur.

CTF'nin temellerini CTF nedir yazısında anlattık. Türkiye'den bir takımla yarışmak istersen AltayCTF'e nasıl katılacağını okuyabilirsin.

Sınıfta ya da ofiste nasıl oynanır?

Sınıfta en kolay yol bir projeksiyon ekranı ve herkesin kendi telefonudur; ofiste ise öğle arasına sığan, ardından tartışma açan oyunlar iyi çalışır. İki örnek plan:

1. Ders saati için, 40 dakika: Bilgi Yarışı'nda bir oda kur, yarışmayı yönet ve soruları yansıt. 10 soruluk iki tur oynat. Kalan sürede en çok yanlış yapılan soruları konuşun.
2. Ofis için, 60 dakika: Backdoors & Breaches'in klasik modunu oynayın. Ardından aynı senaryoya kendi şirketinizin olay müdahale planıyla bakın.
3. Cuma akşamı için: Köstebek'i sesli modda açın. Maç sonundaki Gece Kaydı'nı birlikte okuyup hangi saldırı tekniğini kaçırdığınızı konuşun.

Bir uyarı: Oyunda öğrenilen teknikleri izinsiz bir sisteme denemek suçtur. Türk Ceza Kanunu'nun 243-245. maddeleri bilişim sistemine izinsiz girmeyi ve verileri bozmayı cezalandırır. Ekibinle pratik yapacaksanız oyunları, labları ve kurallı CTF'leri kullanın.

Oyun bittikten sonra merak ettiğiniz bir rol olursa, örneğin SOC Analisti ya da Olay Müdahalecisi, işin gerçeğini Mavi Takım yolunda bulabilirsin. Olay müdahalesinin ilk adımları için Olayı Kapat labı iyi bir sonraki durak. Tek başına oynanan tarayıcı oyunlarını ise ücretsiz siber güvenlik oyunları listesinde topladık.

Kaynaklar

• Black Hills Information Security, Backdoors & Breaches.
• Backdoors & Breaches resmî sitesi.
• The Game Crafter, d0x3d! sayfası.
• Decisions & Disruptions.
• Elevation of Privilege deposu.
• OWASP Cornucopia.
• Sailer ve Homner (2020), The Gamification of Learning: a Meta-analysis.