キャプチャー・ザ・フラッグ(CTF).

Capture the Flag(CTF)は、参加者が Web 攻撃、バイナリエクスプロイト(pwn)、リバースエンジニアリング、暗号、フォレンジック、OSINT などのカテゴリの課題を解き、隠された文字列「フラグ」(通常 flag{...} や CTF{...} の形式)を取得するサイバーセキュリティ競技形式です。代表的な形式に Jeopardy 形式(チームごとに点数付きの独立課題を解く)と Attack-Defense 形式(各チームが同一の脆弱なサービスを運用し、他チームを攻撃しつつ自分のサービスをパッチして得点する)があります。

最も歴史が長く権威ある大会は DEF CON CTF で、DEF CON 4(1996 年)以来ラスベガスで開催されています。過酷なオンライン予選を勝ち抜いたチームが、スコアボットが毎ラウンド フラグを設置・回収するライブの Attack-Defense ネットワークで決勝を戦います。運営は交代制で、Order of the Overflow が 2018 ~ 2022 年、Nautilus Institute が 2023 年以降を担当しています。世界ランキングは CTFtime.org が集計し、カーネギーメロン大学の Plaid Parliament of Pwning(PPP) など学術強豪が常に上位を占めます。Jeopardy 形式のスコアボードでは動的スコアリングがよく用いられ、解いたチームが増えるほど問題の得点が下がり、希少な突破が評価されます。picoCTF(カーネギーメロン)、HackTheBox、TryHackMe、Google CTF といった教育の階段が、中高生からプロまで幅広い入り口を開いています。競技を超えて、CTF はエクスプロイト開発、インシデント対応の切り分け、セキュアコーディングといった実務スキルを磨き、セキュリティ採用や資格対策の柱となっています。

flowchart TD
  A[CTF 競技] --> B[Jeopardy 形式]
  A --> C[Attack-Defense]
  B --> B1[Web / Pwn / 暗号<br/>Rev / フォレンジック / OSINT]
  B1 --> B2[課題を解く -> flag{...}]
  B2 --> B3[フラグ提出<br/>動的スコアリング]
  C --> C1[同一の脆弱な<br/>サービスを運用]
  C1 --> C2[相手を攻撃<br/>+ 自分をパッチ]
  C2 --> C3[スコアボットが毎ラウンド<br/>フラグを設置・回収]
  B3 --> D[CTFtime.org のランキング]
  C3 --> D