認識APT攻防概念有新招，資安新創奧義智慧設計卡牌類桌遊，將在8月臺灣資安大會首登場

要增進大家對於某一領域的興趣，將其作成遊戲／競賽來推廣，一直都是最容易吸睛的方式，資安也是如此，盛行多年的CTF駭客搶旗攻防賽，就是一例。畢竟，專業資安領域存在著一定技術門檻，但現在有廠商提出新作法，那就是製作成卡牌遊戲。

例如，最近我們看到一個桌遊（桌上遊戲）的粉絲專頁，張貼了一則未上市遊戲的訊息，是名為Cyber War的卡牌類桌遊，由臺灣資安新創奧義智慧所設計，將在8月舉辦的臺灣資安大會公開。特別的是，卡片內容上竟然還印著資安框架MITRE ATT&CK的技術手法，對此，我們也詢問奧義智慧並請他們介紹。

首款基於ATT&CK的卡牌類桌遊，藉此拉近大家與專業攻防知識的距離

關於MITRE ATT&CK框架，在近年成為熱門的資安攻防必學的知識庫，當中彙整了現實攻擊者所用的不同技術手法，不過，要能快速理解這樣的內容，可能並不容易。而這次我們看到奧義智慧設計的卡牌遊戲，或許將是一種不錯的方式，可以拉近一般人或資安從業人員與ATT&CK的距離。

根據奧義智慧的說明，這是一款卡牌遊戲機制簡單的主題遊戲，可以讓剛接觸資安攻防的人，或是對進階威脅防護（APT）有點概念的人，都可藉由這樣的卡牌遊戲，來多認識資安防護的概念。

從近年我們接觸的許多國內外資安活動來看，這將是第一款用ATT&CK來設計的卡牌遊戲，過去雖然也有以資安為題的桌遊，大多是屬於抽象化的層次，但以Cyber War的內容而言，則讓我們感受到其具體程度，相當實際，舉例來說，攻擊卡片的內容包含像是APT3與APT29使用的攻擊手法，例如手牌背面T1086 Power Shell，T1064 Scripting，而防禦卡片的手牌正面則包含Process Monitor、File Monitoring等。

遊戲規則簡單、內容不簡單，要讓玩家更懂得怎麼「防」

不過，這麼生硬的資安遊戲內容，真的是一般人都能玩的卡牌類桌遊嗎？

在這款Cyber War的卡牌設計上，我們可以看到攻擊卡牌背面，內容是MITRE ATT&CK的技術手法。（攝影／羅正漢）

根據奧義智慧全球產品經理Chad Duffy表示，他們的設計會讓不懂資安的人也能夠玩，多玩幾次就可以上手，但如果你是SOC事件調查人員，將可從中獲得更多體驗。

在遊戲設計上，他們目前設計了兩種玩法，包括一對一，以及多人遊玩的方式。資深研究員陳仲寬表示，這是一款以從防禦角度出發的遊戲，希望讓新進人員或是合作夥伴，能夠更清楚知道怎麼做決策，遇到何種攻擊要怎麼回應。

不僅如此，貼近現實攻防層面也是一大特色，該公司的數位行銷專員柏睿哲指出，ATT&CK的概念原本就是對應真實世界的情況，因此在遊戲規則設計上，也處處體現出這樣的情況，像是攻擊的卡牌比防禦的卡牌要多，以一對一的紅隊藍隊對抗而言，攻擊卡牌一方的玩家會先發動攻擊，若是平手也算攻擊方獲勝。

至於這樣的遊戲會販售嗎？「我們是資安公司，不是遊戲公司。」Chad Duffy笑著說，主要是因為卡牌內容是以MITRE ATT&CK為根基，培訓教育還是最大目的。

無論如何，用淺顯直白的方式讓大家認識專業的資安內容，一直都是這個領域想要做的事。在過去，近年以資安為題的遊戲，雖然有安卓紀元或HITCON在2014年的《League of Hackers駭客聯盟》，這些其實都帶入了抽象化層面的資安概念，但對於完全不懂資安與懂資安的人，玩起來其實不會有太大差異。而Cyber War則融合了較具體的資安攻防元素，是奧義智慧的新嘗試，相當有別於以往，因此後續發展相當值得關注。

對於普遍資安從業人員來說，若是這樣的卡牌真能將生硬的資安技術，轉化成遊戲的型態來認識與學習，應該是會感到好奇與期待；換個角度，企業透過設計這種卡牌遊戲方式，培訓新進員工對攻防技術的認識，這種創新的嘗試，這種推動資安的方式，其實值得各界思考與借鏡。

在7月中旬的桌遊菜鳥臉書粉絲專頁上，貼出了一則名為Cyber War的卡牌遊戲，不僅結合資安，卡牌美術設計也相當吸睛，吸引到一些國內資安人員的目光，而這款遊戲是臺灣資安新創奧義智慧所設計，將以防禦角度出發，讓資安從業人員與一般人更好理解ATT&CK攻防。

 這款Cyber War卡牌類桌遊從美術到遊戲方式，由奧義智慧圖隊引入ATT&CK的概念而設計，圖中由左至右成員分別為奧義智慧資安品牌設計師楊長葳 、全球產品經理 Chad Duffy、數位行銷專員柏睿哲與資深研究員陳仲寬 。（攝影／羅正漢）