Conferencia 2013 | Walking Dead
01 LINEA DE TIEMPO DE UN 0-DAY: COMO REDUCIR EL IMPACTO ATRAVES DEL INTERCAMBIO DE INFORMACION
Alex Kirk
Sourcefire
EEUU
Cada minuto cuenta cuando el código para un exploit que afecta un producto bastante popular se hace público y aún no existe un parche. Administradores de sistemas alrededor del mundo se encuentran con la necesidad de utilizar cualquier defensa que pueden incluyendo el uso de antivirus, IDS, WAF, firewalls entre otros mecanismos. Esta charla habla sobre líneas de tiempo de respuesta del mundo real desde el punto de vista de un fabricante de productos de seguridad informática, incluyendo con y sin poder intercambiar información con otras entidades durante la respuesta.
Basado en casos reales de la propia experiencia del autor como primer respondiente a incidentes de seguridad informática, la charla intenta cuantificar el beneficio del intercambio de información durante un incidente entre las empresas de seguridad informática en términos de ‘bajas’ económicas evitadas por una respuesta más rápida. Se hablará de métodos específicos para el intercambio de información y habrá colaboración directa con los asistentes a la charla.
06 CLIENTES BANCARIOS AL DESCUBIERTO… Y A LA MANO
Existe la percepción general que los bancos e instituciones financieras son las más preocupadas en materia de seguridad de la información, o al menos, las que debiesen tener los más altos estándares en estas materias; son conocidas las normativas que deben cumplir, en especial los tópicos de protección de datos y privacidad, instituciones como la Superintendencia de Bancos e Instituciones Financieras (SBIF), la Superintendencia de Valores y Seguros (SVS), auditores externos derivados de las auditorias financieras o de cumplimiento específico como de la ley Sarbanes Oxley, son algunas de las instancias que tienen estas organizaciones para probar su madurez en materia de seguridad de la información, son conocidas las practicas implantadas de estándares o marcos de referencia como ISO27001-02, Cobit, OWASP, Manuales del NIST, TOGAF y muchas otras, todas promoviendo el concepto de defensa en profundidad.
¿Pero que tan seguros están realmente nuestros datos? ¿Se podrán obtener? ¿Qué tan a la mano están? ¿Cuál sería el impacto de dicha obtención? ¿Necesitamos utilizar técnicas avanzadas para obtenerlos? Estas son algunas de las preguntas que intentaremos resolver en ésta presentación.
11 FREEBSD INSECURE BY DEFAULT
Alexis Sarghel
MKit
Argentina
Esta charla cubre vulnerabilidades encontradas y corregidas en el sistema operativo FreeBSD
02 ATACANDO INFRAESTRUCTURAS CRITICAS, ‘INTELLIGENCE’ LLEVADO AL EXTREMO
Daniel Martínez
Deloitte
España
Últimamente se ha hecho muy popular el termino ‘Intelligence’ en el mundo de la seguridad, nadie sabe muy bien definir exactamente qué es, pero si lo valorado que está dentro de las empresas. En esta charla veremos un caso práctico en el que se pudo sacar gran cantidad de información comprometida de una infraestructura crítica como es el transporte interurbano de una gran ciudad. Para ello se partirá de un trabajo muy concienzudo de ‘Intelligence’ y minería de datos para posteriormente acabar utilizando técnicas más clásicas como hacking web o ingeniería social. Además de este caso practico se verán varios ejemplos sobre otro tipo de infraestructuras comprometedoras utilizando estas mismas técnicas.
07 USANDO ACTIVIDAD EN LINEA COMO HUELLAS DIGITALES PARA CREAR UN MEJOR SPEAR PHISHER
Todos los días producimos una tonelada de datos atreves del uso de servicios en línea – desde redes sociales, sitios de compartir fotos, listas de correo, foros en línea y blogs hasta herramientas mas especializadas, por ejemplo contribuyendo código a un proyecto de open source, escuchando música en línea gratis o planeando un viaje en línea. Monitorear estas actividades ya desde hace tiempo se sabe que es útil para formar un perfil de un blanco para ingeniería social, en particular por el paso frenético con lo cual usamos estos servicios y generamos estos datos.
Nuestra charla es orientada al uso de herramientas para perfilar estas actividades. Usando técnicas de minería de datos combinado con Natural Language Processing (NLP), podemos identificar patrones en la forma en que un usuario interactúa con otros usuarios, sus preferencias de vocabulario y fraseo, los amigos y colegas con quien mas se comunica y hasta incluso sobre lo que hablan. Consumiendo solo datos disponibles al publico, usando APIs oficiales y también haciendo scraping de paginas web, el perfil que generamos se puede usar para validar que tan parecida es información falsificada con información generada por el blanco.
Hablaremos del la indexación de contenido no estructurado, incluyendo temas como el lado legal y técnico del uso de APIs oficiales comparado con scraping de paginas web, como crear un graph de relación de usuarios, como agregar referencias temporales a los datos recogidos entre otras cosas.
12 HACKING COMO EN LAS PELICULAS
Cesar Cerrudo
IOActive
Argentina
Esta charla mostrara como la realidad esta superando a la ficción de las películas en donde casi siempre el hacking se muestra como algo increíble, irrealizable, fantástico, etc.. Sé mostrara distintos tipos de ataques de gran impacto, de que manera es posible realizar estos ataques a gran escala que aunque siendo algunos difíciles y complicados son técnicamente posibles como por ejemplo a hacer explotar cosas, matar y lastimar personas, causar pánico en grandes ciudades, etc.
03 HACKEANDO TARJETAS DE CREDITO NFC PARA DIVERSION Y DEBITO
Renaud Lifchitz
Oppida
Francia
MasterCard y Visa están actualmente difundiendo nuevas tarjetas de crédito ‘contactless’ por todo el mundo. Con estas tarjetas se puede hacer pagos de forma mas rápido, simple y fácil – pero también de forma mas seguro? Hemos trabajado analizando estas nuevas tarjetas y hemos observado casi nada de seguridad. Clonar parcialmente y hacer pagos no solicitados es posible. En esta charla también se habla de temas de privacidad del usuario de la tarjeta, igual del impacto a los negocios e instituciones financieros donde se acepta estas tarjetas.
08 BUENAS PRACTICAS PARA PREVENIR AMENAZAS PERSISTENTES AVANZADA
Matthew Ancelin
Palo Alto Networks
EEUU
Adversarios decididos no se puede parar usando métodos de la seguridad informática tradicionales. Empleando algunas buenas prácticas como reducir el superficie de ataque, investigar trafico de la red cifrado, y mejorar visibilidad y control sobre la red ayuda a mejorar la probabilidad de prevenir o por lo menos minimizar el impacto de las Amenazas Persistentes Avanzadas.
13 WHY OUR BRAIN IS SO DELICIOUS?
Claudio Caracciolo
Root-Secure
Argentina
Existen hoy muchas charlas sobre Ingeniería Social, sobre herramientas, sobre técnicas…y de hecho quienes trabajamos en seguridad solemos pensar que ya sabemos todo al respecto.
Pero qué hace que esto sea posible realmente? Controlar la mente, las emociones y manipular a la víctima es fácil cuando la víctima esta distraída o no entiende de que hablamos… qué pasaría si nuestra víctima es una persona preparada? qué pasa si alguien quiere hacernos un ataque a nosotros? Lo lograría? En esta presentación veremos que sí, que todos somos potenciales víctimas y el éxito de nuestro atacante solo depende de su habilidad para saber que punto de nuestro cerebro tocar, que parte de la memoria emotiva llamar o bien, determinar que tema no conocemos para afectarnos directamente y controlarnos.
La magia, la psicología, la neurociencia… todo tiene que ver con un ingeniero social, pero lo más interesante es que probablemente nunca estudió nada al respecto. Cuánto conocemos realmente de esto? Cuánto podemos entender para considerar que la ingeniería social es una técnica de hacking y no una simple estafa?
Mi ponencia trata de tocar la ingeniería social desde una óptica distinta, para que los que trabajamos en seguridad de la información repensemos en los consejos que damos a nuestros clientes y/o usuarios en las campañas de concienciación.
No hablare de Phishing ni de los 4 conceptos de Kevin Mitnick, no iré a lo obvio, sino a lo profundo de nuestra mente.
04 GUERRA CIBERNETICA: EQUIVOCACIONES DE LOS MINISTERIOS DE DEFENSA
Raul Chiesa
The Security Brokers
Italia
Esta charla analizará los errores frecuentes cometidos por los diversos ministerios de defensa de varios países cuando se trata del supuesto ‘Guerra Cibernética’. El relator hablará de los aspectos culturales, practícales, logísticas y otros temas que ha observado durante su tiempo entrenando grupos de los ejércitos en países distintos.
09 CYBERWARFARE, SAME OLD …
Fernando Figueroa
Chile
Aunque hoy en día, existen conflictos bélicos tradicionales, han pasado a un segundo plano debido al auge de las ciber operaciones, a través de la ponencia, demostraré que este tipo de conflictos siempre ha existido pero ha ido evolucionando con los años al igual que su nombre.
Observaremos algunos casos de conflictos internacionales no simétricos y el impacto que generan en el sistema internacional y en las relaciones entre estados donde veremos ejemplos de utilización del poder duro y blando, como también las actuales ciber capacidades de países clave en Sudamérica y el mundo.
Analizaré el marco legal y las principales normativas de derecho internacional a las cuales las ciber operaciones están sujetas y cómo estas aún necesitan actualizarse para abarcar la realidad actual.
14 IOS FORENSICS – CUANTO SABE TU IPHONE SOBRE TI?
Jaime Andrés Restrepo
DragonJAR
Colombia
Esta charla altamente práctica, está destinada a los analistas forenses, las empresas y los usuarios que quiere entender la información personal que se almacena en el iPhone/iPad/iPod Touch (Dispositivos iOS) y la forma de recuperarla. En esta charla revelaremos la enorme cantidad de información personal almacenada en los dispositivos de Apple y las técnicas/software para la recuperación de esta información.
11 MIFEAR: ATACANDO SISTEMAS RFID DE PAGO
Javier Pérez
Dreamlab Technologies
Chile
La tecnología RFID (Radio Frequency IDentification) es una solución muy utilizada en los sistemas de pago de transportes públicos, controles de acceso a edificios, pasaportes o monederos electrónicos entre otras aplicaciones.
La seguridad en este tipo de tecnología presenta deficiencias que pueden permitir realizar acciones en los sistemas de pago, suplantar la identidad o acceder a áreas de acceso restringido. Como ejemplo mostraremos como se podría viajar gratis en algún sistema de transporte.
05 BUENAS PRACTICAS FORENSES: CASOS PRACTICOS EN IOS Y LINUX
Lorenzo Martínez
Securízame
España
La charla versa introduce a aquellos que quieran enfocar sus conocimientos hacia el mundo del Análisis Forense de sistemas. Precisamente cuenta qué procedimientos se deben seguir utilizando como ejemplo dos casos reales, sucedidos en sistemas Linux e iOS, en los que las cosas NO se hicieron correctamente. Se habla de herramientas, distribuciones Linux específicas para Forense, buenas prácticas para ayuda a un perito informático forense, así como de técnicas de anti-forensics.
