Desmontando el mito de nuevos escenarios y Por: Antonio Ramos (Mundo Hacker) https://cybercamp.es #CyberCamp15
Vulnerabilidades Web Metasploit 2
Fuzzers Modelos análisis multivariable con Big data 3
4
5
6
10 Categorías amenazas Digitales en intensidad aprox 9 8 7 6 5 4 3 2 Categorías amenazas Digitales en intensidad aprox 1 0 7
Reconocimiento target-> Compromiso (explotación vulnerabilidad)-> Posicionamiento en el sistema comprometido -> Escalada privilegios-> Reconocimiento interno-> Movimientos laterales-> Persistencia-> Obtención de información-> Permanencia o fin de la misión Fuente imagen: Infosec institute 8
Fase A) no le pagan, el trabajo esta entregado desde hace tiempo de forma satisfactoria,, no le hacen ni caso a sus reclamos oficiales Fase B) 1. Sobre el target (gathering info, port scannig, vulnerability scannig) 2. Compromiso (exploit) 3. Backdoor 4. Comprobación de privilegios 5. Reconocimiento de máquinas accesibles 6. Otra Backdoor auxiliar 7. Localización copias seguridad organización (Exchange) 8. Extracción info reconstrucción info- trapos sucios Fase C) Le pagan al día siguiente Fin de la misión Mi amigo ya utilizaba APTs????? 9
Resiliencia La disponibilidad de los datos críticos y las aplicaciones de negocio, la estabilidad de IT, la recuperabilidad de la infraestructura IT, la disponibilidad de los datos y la capacidad de recuperación tras un desastre = A tengo copias de seguridad- Algo realmente novedoso. Y tengo capacidad como organización de entrar en un loop infinito de recuperaciones con mis copias de seguridad en la medida que siguen entrando en mis sistemas y dañandolos todos los días Fuente: Mcpro 10
Esto también lo puedo hacer para el Machine learning. Etc. Etc. Etc. 11
Primero: soluciones tecnológicas a estos problemas seguridad IT existen variadas y muchas Y Segundo: quizás estos riesgos no son los riesgos a enfrentar de base pero si nos impiden analizar los verdaderos riesgos organizativos, quizás son lo riesgos de siempre, los de toda la vida Y Tercero: siempre seguiremos violando la seguridad de los sistemas digitales gracias a la existencia de esos riesgos siempre ignorados Al igual que existen las 10 top Owasp Vulnerabilities, existen las 10 top Human kind Vulnerabilities 12
6 Representación Amenaza corporativa digital no analizada 5 4 3 Representación Amenaza corporativa 2 1 0 Soberbia Avaricia Lujuria Pereza Envidia Ira Maldad Imbecilidad Traición 13
Y falta el Número 10: Carlitos el nativo digital, el gurú, el doctor Xavier. de la organización Baja aceptable No endiosemos a quien no es Dios 14
Ha llegado el momento del sentido común y la libreta de Daniel. El principal factor de ciberseguridad con que una organización puede contar es su EQUIPO HUMANO, lo demás se compra Herramienta imprescindible para todo hacker European Cyber Security Challenge 2015 (Tested!!!!) 15
Contacto: antoniorv@stackoverflow.es 16
https://cybercamp.es #CyberCamp15 @CyberCampEs