Capture-the-Flag (CTF) è un esercizio di cybersecurity in cui i partecipanti risolvono sfide tecniche per scoprire "flag" nascoste, di solito brevi stringhe segrete che provano che l'attività è stata completata. I CTF sono progettati per testare abilità offensive come l'exploitation di applicazioni web, il reverse engineering, la crittografia, l'analisi binaria e l'escalation dei privilegi.
I CTF sono importanti perché allenano lo stesso ragionamento che gli aggressori usano nelle intrusioni reali: trovare input deboli, concatenare vulnerabilità ed estrarre prove da un bersaglio. I team di sicurezza usano anche attività in stile CTF per l'assunzione, la formazione e la pratica red-team. In ambienti reali, la mentalità del CTF può essere utile ai difensori quando valutano i percorsi di attacco, ma può anche diventare rischiosa se un ambiente di test non è isolato. Se l'accesso a Internet o i sistemi di produzione sono raggiungibili, una "sandbox" può trasformarsi in un incidente reale invece che in un esercizio sicuro.