Как HackerLab штурмовала GIS DAYS 2026: два дня, четыре инфраструктуры и один дорогой урок

Кибербитва GIS DAYS 2026 - событие для энтузиастов кибербезопасности, где собрались 8 сильнейших команд СНГ. Соревнования шли два дня - с 30 сентября по 1 октября. Ниже - как это было, без прикрас.

Четыре инфраструктуры - четыре характера​

На полигоне было четыре инфраструктуры: Банк, Нефть, Университет и Госсектор. Каждая - со своей логикой, своими слабыми местами и своим темпом. Где-то нужно было давить скоростью, где-то - терпением и вниманием к деталям. Классика жанра: одна ошибка в начале цепочки, и ты либо выполняешь критическое событие, либо смотришь, как его выполняют конкуренты.

Инфраструктура не подвела​

Отдельно скажем спасибо технической части. Инфраструктура работала стабильно, без падений. Ни тебе «лежащего» сервиса в разгар атаки, ни внезапных ребутов. Для кибербитвы это половина успеха - когда ты знаешь, что полигон не сыпется, можно думать о тактике, а не о том, выживет ли стенд.

Кто играл​

Формат был простой, но жесткий. Красные - это мы, 8 команд. Каждая билась за свои баллы, атаковала, закрывала задания.

Синие - 4 команды, по одной на каждый сегмент: Банк, Нефть, Университет, Госсектор. Их задача - не защита в привычном смысле, а расследование наших отчетов. И вот тут начинается самое интересное: если синие успешно разбирали отчет красной команды, они забирали 50% от суммы задания. То есть половина твоей работы просто уходила на другую сторону.

Саппорт и судейство: быстро и по делу​

Организаторы тоже не давали поводов для раздражения. Саппорт отвечал оперативно, отчеты проверялись быстро. В таких ивентах это критично: чем меньше бюрократии, тем больше времени на саму игру. Здесь с этим было четко.

Наш косяк: ИИ-агенты и штраф​

А теперь ложка дегтя, которую мы сами себе и подложили. В правилах было четко прописано: не использовать ИИ-агенты. Мы это правило нарушили.

Ситуация вышла почти анекдотичная. Решали 8-е задание из сектора Университета — где в итоге нужно было зафаззить файл через CVE (куда уж без небольшой уцуцуги). Идеи закончились, и мы решили, что ИИ-агент нас вытащит. Не прошло и 5 минут после его запуска, как судьи уже подошли с плохими новостями. Агент, разумеется, ничего решить не успел — только обеспечил нам штраф.

Итог: минус 50 000. Неприятно, но честно. Это тот случай, когда лучше один раз заплатить и запомнить, чем строить стратегию на авось.

Выводы на будущее:

• правила читаем не по диагонали, а до последней строчки;
• автоматизация - это круто, но только там, где она разрешена;
• репутация команды дороже любых 50К.

Что по деньгам​

По итогам двух дней HackerLab заработала 327 500 рублей. Правда, в зачет по очкам после всех разборов ушло 277 500. Разница - те самые 50 000 за номинацию Kill Chain в сегменте Нефти. То есть штраф за ИИ-агентов мы, по сути, отбили номинацией. Осадок остался, но цифры в отчете выглядят бодрее, чем могли бы.

Итог​

GIS DAYS 2026 получился плотным, честным и по-хорошему злым. Восемь сильнейших команд, четыре инфраструктуры, два дня без права на расслабление. Мы получили и опыт, и урок. HackerLab двигается дальше - уже с поправкой на эти грабли.

Спасибо организаторам за полигон, судьям - за скорость, соперникам - за уровень. Увидимся на следующей битве.