圖片來源: 

攝影/羅正漢

要增進大家對於某一領域的興趣,將其作成遊戲/競賽來推廣,一直都是最容易吸睛的方式,資安也是如此,盛行多年的CTF駭客搶旗攻防賽,就是一例。畢竟,專業資安領域存在著一定技術門檻,但現在有廠商提出新作法,那就是製作成卡牌遊戲。

例如,最近我們看到一個桌遊(桌上遊戲)的粉絲專頁,張貼了一則未上市遊戲的訊息,是名為Cyber War的卡牌類桌遊,由臺灣資安新創奧義智慧所設計,將在8月舉辦的臺灣資安大會公開。特別的是,卡片內容上竟然還印著資安框架MITRE ATT&CK的技術手法,對此,我們也詢問奧義智慧並請他們介紹。

首款基於ATT&CK的卡牌類桌遊,藉此拉近大家與專業攻防知識的距離

關於MITRE ATT&CK框架,在近年成為熱門的資安攻防必學的知識庫,當中彙整了現實攻擊者所用的不同技術手法,不過,要能快速理解這樣的內容,可能並不容易。而這次我們看到奧義智慧設計的卡牌遊戲,或許將是一種不錯的方式,可以拉近一般人或資安從業人員與ATT&CK的距離。

根據奧義智慧的說明,這是一款卡牌遊戲機制簡單的主題遊戲,可以讓剛接觸資安攻防的人,或是對進階威脅防護(APT)有點概念的人,都可藉由這樣的卡牌遊戲,來多認識資安防護的概念。

從近年我們接觸的許多國內外資安活動來看,這將是第一款用ATT&CK來設計的卡牌遊戲,過去雖然也有以資安為題的桌遊,大多是屬於抽象化的層次,但以Cyber War的內容而言,則讓我們感受到其具體程度,相當實際,舉例來說,攻擊卡片的內容包含像是APT3與APT29使用的攻擊手法,例如手牌背面T1086 Power Shell,T1064 Scripting,而防禦卡片的手牌正面則包含Process Monitor、File Monitoring等。

遊戲規則簡單、內容不簡單,要讓玩家更懂得怎麼「防」

不過,這麼生硬的資安遊戲內容,真的是一般人都能玩的卡牌類桌遊嗎?

在這款Cyber War的卡牌設計上,我們可以看到攻擊卡牌背面,內容是MITRE ATT&CK的技術手法。

根據奧義智慧全球產品經理Chad Duffy表示,他們的設計會讓不懂資安的人也能夠玩,多玩幾次就可以上手,但如果你是SOC事件調查人員,將可從中獲得更多體驗。

在遊戲設計上,他們目前設計了兩種玩法,包括一對一,以及多人遊玩的方式。資深研究員陳仲寬表示,這是一款以從防禦角度出發的遊戲,希望讓新進人員或是合作夥伴,能夠更清楚知道怎麼做決策,遇到何種攻擊要怎麼回應。

不僅如此,貼近現實攻防層面也是一大特色,該公司的數位行銷專員柏睿哲指出,ATT&CK的概念原本就是對應真實世界的情況,因此在遊戲規則設計上,也處處體現出這樣的情況,像是攻擊的卡牌比防禦的卡牌要多,以一對一的紅隊藍隊對抗而言,攻擊卡牌一方的玩家會先發動攻擊,若是平手也算攻擊方獲勝。

至於這樣的遊戲會販售嗎?「我們是資安公司,不是遊戲公司。」Chad Duffy笑著說,主要是因為卡牌內容是以MITRE ATT&CK為根基,培訓教育還是最大目的。

無論如何,用淺顯直白的方式讓大家認識專業的資安內容,一直都是這個領域想要做的事。在過去,近年以資安為題的遊戲,雖然有安卓紀元或HITCON在2014年的《League of Hackers駭客聯盟》,這些其實都帶入了抽象化層面的資安概念,但對於完全不懂資安與懂資安的人,玩起來其實不會有太大差異。而Cyber War則融合了較具體的資安攻防元素,是奧義智慧的新嘗試,相當有別於以往,因此後續發展相當值得關注。

對於普遍資安從業人員來說,若是這樣的卡牌真能將生硬的資安技術,轉化成遊戲的型態來認識與學習,應該是會感到好奇與期待;換個角度,企業透過設計這種卡牌遊戲方式,培訓新進員工對攻防技術的認識,這種創新的嘗試,這種推動資安的方式,其實值得各界思考與借鏡。

在7月中旬的桌遊菜鳥臉書粉絲專頁上,貼出了一則名為Cyber War的卡牌遊戲,不僅結合資安,卡牌美術設計也相當吸睛,吸引到一些國內資安人員的目光,而這款遊戲是臺灣資安新創奧義智慧所設計,將以防禦角度出發,讓資安從業人員與一般人更好理解ATT&CK攻防。


Advertisement

更多 iThome相關內容