PHDays 2012 कार्यशालाएँ: वाई-फाई सुरक्षा से एसएपी और वेब 2.0 सुरक्षा तक

क्या माउस, कीबोर्ड या प्रिंटर के माध्यम से कंप्यूटर को हैक करना संभव है? Android कितना सुरक्षित है? एक नैतिक हैकर को क्या पता होना चाहिए? क्या साइबर अपराध को पकड़ना मुश्किल है? HTML5 सुरक्षित है? आप इसके बारे में सब कुछ के बारे में अनुमान लगा सकते हैं - या आप पॉजिटिव हैक डेज़ 2012 फोरम में हैंड्स-ऑन लैब में भाग ले सकते हैं और इन सभी सवालों के जवाब पा सकते हैं।

वेब 2.0 सुरक्षा। उन्नत तकनीक

कार्यशाला में XML, HPP / HPC के साथ-साथ क्लिक जैकिंग और सेशन रज्जलिंग जैसे हमलों से बचाव के लिए तकनीकों को शामिल किया जाएगा।

प्रस्तुतकर्ता: Andrés Riancho एक सूचना सुरक्षा शोधकर्ता और वेब अनुप्रयोग सुरक्षा विशेषज्ञ है। वह वर्तमान में तीन निकटता से संबंधित परियोजनाओं का नेतृत्व करता है: NeXpose वेब अनुप्रयोगों के लिए एक सुरक्षा स्कैनर विकसित करना, एक मुफ्त w3af सॉफ्टवेयर उत्पाद विकसित करना और बोन्साई में वेब अनुप्रयोगों के लिए योग्य प्रवेश परीक्षण विशेषज्ञों की एक टीम का प्रबंधन करना।

एंड्रेस की विशेषज्ञता का क्षेत्र: वेब अनुप्रयोगों की सुरक्षा, पायथन, घुसपैठ की रोकथाम प्रणाली, नेटवर्क प्रौद्योगिकी, सूचना सुरक्षा के क्षेत्र में सामान्य अनुसंधान, सॉफ्टवेयर विकास, एजाइल, स्क्रम के तरीके, उत्पाद स्वामी की भूमिका, एसएपी सिस्टम अनुसंधान को दरकिनार करना।

अतिरिक्त सामग्री
मास्टर वर्ग में भाग लेने के लिए, आपको अपने हार्ड ड्राइव पर स्थापित VMware प्लेयर, कम से कम 2 जीबी रैम, 20 जीबी मुक्त स्थान के साथ एक लैपटॉप की आवश्यकता होती है।

DIY SAP सुरक्षा

इस कार्यशाला में प्रतिभागी सीखेंगे कि उपलब्ध साधनों का उपयोग करके SAP R / 3 और NetWeaver सिस्टम (एप्लिकेशन सर्वर और इन्फ्रास्ट्रक्चर सहित) का बुनियादी सुरक्षा विश्लेषण कैसे किया जाए।
निम्नलिखित विषयों को कवर किया जाएगा:

• एसएपी सेवाओं की खोज और पहचान;
• किरायेदारों का चयन;
• एसएपी जीयूआई स्क्रिप्टिंग का उपयोग करने की विशेषताएं;
• SAP GUI और SAP RFC के माध्यम से पासवर्ड चयन;
• महत्वपूर्ण तालिकाओं तक पहुंच;
• हैश पासवर्ड चयन
• OS का उपयोग करने के लिए सिस्टम लेनदेन का उपयोग करना
• किसी अन्य क्लाइंट से डेटा प्राप्त करना;
• नेटवर्क पर डेटा का अवरोधन और स्पष्ट रूप में पासवर्ड की पहचान;
• प्रशासकों का संभावित दुरुपयोग और उनसे कैसे निपटना है।

प्रस्तुतकर्ता: अलेक्सई यूडिन - डिपार्टमेंट ऑफ़ डेटाबेस सिक्योरिटी एंड बिजनेस एप्लीकेशन ऑफ़ पॉज़िटिव टेक्नोलॉजीज के प्रमुख। 2003 में उन्होंने मॉस्को स्टेट फॉरेस्ट यूनिवर्सिटी (एप्लाइड गणित में प्रमुख) से स्नातक किया। 2002 से 2005 तक, उन्होंने FSUE NIITP में इंजीनियर (सेक्टर के प्रमुख) का पद संभाला। 2005-2006 में, वह NIP Informzashita CJSC में एक विश्लेषक थे।

एलेक्सी की गतिविधि का मुख्य क्षेत्र डेटाबेस और व्यावसायिक अनुप्रयोगों की सुरक्षा है; वह बड़े पैमाने पर ऑडिट और पैठ परीक्षणों में शामिल है, साथ ही सुरक्षा प्रणालियों के डिजाइन और कार्यान्वयन में भी शामिल है।

इनपुट / आउटपुट डिवाइस के साथ अराजकता पैदा करना

यह मास्टर क्लास कंप्यूटर सुरक्षा के सार्वभौमिक रूप से नजरअंदाज किए गए पहलू पर चर्चा करेगा - मानव अंतःक्रिया (ह्यूमन इंटरफेस डिवाइसेस, HID) के लिए डिज़ाइन किए गए उपकरणों की भेद्यता। Teensy के HID डिवाइस का उपयोग करते हुए, निखिल इनपुट डिवाइसों को सुरक्षित मानने के लिए आधुनिक ऑपरेटिंग सिस्टम की डिफ़ॉल्ट संपत्ति का उपयोग करके ऑपरेटिंग सिस्टम को आसानी से हैक करने का तरीका प्रदर्शित करेगा। यह कीबोर्ड का अनुकरण करने के लिए टेनेसी का उपयोग करने पर भी विचार करेगा।

इसके अलावा, कार्यशाला में प्रतिभागियों के लिए कौटिल्य टूलकिट प्रस्तुत की जाएगी, जिसे प्रवेश परीक्षण आयोजित करने में विशेषज्ञों के काम को सुविधाजनक बनाने के लिए डिज़ाइन किया गया है। इस पैकेज में सुविधाजनक, आसानी से अनुकूलन योग्य उपकरण शामिल हैं, और पैकेज के उपयोगकर्ता को प्रोग्राम करने की भी आवश्यकता नहीं है।

मास्टर वर्ग में कई दृश्य प्रदर्शन शामिल होंगे।

प्रस्तुतकर्ता: निखिल मित्तल एक भारतीय हैकर, शोधकर्ता और उत्साही हैं जो सूचना सुरक्षा के विकास में सक्रिय रूप से शामिल हैं। उनकी रुचि के क्षेत्रों में हमलों और रक्षा रणनीतियों का अध्ययन करना, हैकिंग परिणामों पर शोध करना शामिल है। तीन वर्षों से अधिक समय तक, उन्होंने भारत में सरकारी संगठनों के लिए प्रवेश परीक्षा आयोजित की और फिलहाल, बड़े अंतर्राष्ट्रीय निगम उनकी सेवाओं का उपयोग कर रहे हैं।

निखिल सूचना प्रणाली की सुरक्षा का आकलन करने में माहिर है; इसके लिए नए हमले वाले वैक्टर और ताजा रक्षात्मक समाधानों की खोज के लिए एक गैर-मानक दृष्टिकोण की आवश्यकता है। इसके अलावा, उन्होंने कौटिल्य टूलकिट विकसित किया, जो आपको पैठ परीक्षणों के लिए टेन्सी एचआईडी डिवाइस का उपयोग करने की अनुमति देता है।

अतिरिक्त सामग्री
VMware प्लेयर के साथ एक लैपटॉप स्थापित है, कम से कम 2 जीबी रैम, 20 जीबी का मुफ्त हार्ड डिस्क स्थान, साथ ही टेनेसी ++ 2.0 (आयोजकों द्वारा प्रदान किए गए उपकरणों की संख्या सीमित है)।

एंटीवायरस के बिना सुरक्षा

चार घंटे की मास्टर क्लास, जिसके प्रतिभागी ऑपरेटिंग सिस्टम में ट्रोजन का पता लगाने के बुनियादी कौशल हासिल करेंगे, विंडोज के लिए ट्रोजन विकसित करने के लिए नवीनतम तकनीकें सीखेंगे (स्पाईइए, कार्बप, ड्यूक), एंड्रॉइड के ट्रोजन पर विचार करें, और वर्तमान कारनामों (पीडीएफ, जावा) के विश्लेषण के बारे में भी जानें। ।


मेजबान बोरिस रयुटिन हैं । उन्होंने रॉकेट और अंतरिक्ष प्रौद्योगिकी BSTU "Voenmeh" नाम के संकाय से स्नातक किया। 2009 में डी.एफ. उस्तीनोवा (विशेषता "उड़ान गतिशीलता और विमान गति नियंत्रण")। उन्होंने संघीय राज्य एकात्मक उद्यम "इंजीनियरिंग डिज़ाइन ब्यूरो" में एक इंजीनियर के रूप में काम किया। वह वर्तमान में एक Esage Lab मैलवेयर विश्लेषक है।

वेब अनुप्रयोगों पर हमले। मूल बातें

रिपोर्ट व्यवस्थित रूप से वेब अनुप्रयोगों, घुसपैठियों (विशेष विश्लेषण स्कैनर्स, उपयोगिताओं, मैनुअल विश्लेषण के दौरान अपने काम के परिणामों का उपयोग करके) पर हमलों और उपकरणों को लागू करने के लिए तंत्र को प्रस्तुत करेगी। व्यावहारिक उदाहरणों का उपयोग करते हुए, हमलों को संभव बनाने वाले वेब एप्लिकेशन की मुख्य कमजोरियों को स्पष्ट रूप से प्रदर्शित किया जाएगा, उपयोग किए जाने वाले सुरक्षा उपकरणों की कमियों और उन्हें दरकिनार करने के तरीकों को चित्रित किया जाएगा।

स्पीकर सरल, अच्छी तरह से ज्ञात कमजोरियों और अधिक दिलचस्प मामलों दोनों पर विचार करेगा। विशेष रूप से असुरक्षित वेब अनुप्रयोगों के लिए लक्षित हमलों के अलावा, अन्य प्रणालियों पर हमले के दौरान इन अनुप्रयोगों का उपयोग करने के संभावित विकल्पों का विश्लेषण किया जाएगा।

प्रस्तुतकर्ता - व्लादिमीर लेपिखिन। 1999 से, व्लादिमीर नेटवर्क सुरक्षा क्षेत्र को समन्वित करते हुए, इन्फॉर्मज़शिता प्रशिक्षण केंद्र में काम कर रहा है। उन्होंने प्रशिक्षण केंद्र के कई कॉपीराइट पाठ्यक्रमों के विकास में भाग लिया। वह नेटवर्क हमले का पता लगाने और सुरक्षा विश्लेषण करने में माहिर हैं। लंबे समय तक मैंने इंटरनेट सुरक्षा प्रणालियों के अधिकृत पाठ्यक्रमों को पढ़ा और अनुकूलित किया - हाल के दिनों में, हमले का पता लगाने और सुरक्षा विश्लेषण के उद्योग में अग्रणी। वर्तमान में, वह उसी उत्पाद लाइन में प्रशिक्षित करना जारी रखता है, लेकिन पहले से ही आईबीएम के "विंग के तहत"। वह पॉजिटिव टेक्नोलॉजीज के उत्पादों पर अधिकृत प्रशिक्षण के विकास में सक्रिय भाग लेता है। सूचना सुरक्षा पर सम्मेलनों और मंचों में नियमित रूप से भाग लेता है।

अतिरिक्त सामग्री
स्थापित VMware प्लेयर के साथ एक लैपटॉप, कम से कम 2 जीबी रैम, 20 जीबी का मुफ्त हार्ड डिस्क स्थान।

CEH। एथिकल हैकिंग और पेनेट्रेशन टेस्टिंग

कार्यशाला में प्रतिभागियों को नेटवर्क प्रोटोकॉल, ऑपरेटिंग सिस्टम और अनुप्रयोगों में विशिष्ट कमजोरियों के बारे में पता चलेगा। अपने भाषण के दौरान, सूत्रधार कंप्यूटर सिस्टम और नेटवर्क पर विभिन्न प्रकार के हमलों के अनुक्रम का वर्णन करेगा, साथ ही उनकी सुरक्षा को मजबूत करने के लिए सिफारिशें देगा। छात्र एक व्यावहारिक वातावरण में डूब जाएंगे और देखेंगे कि वास्तव में सिस्टम को कैसे हैक किया जाए - ताकि बाद में हैकर के कार्यों की भविष्यवाणी की जा सके और सफलतापूर्वक उनका विरोध किया जा सके।

प्रस्तुतकर्ता: सर्गेई पावलोविच क्लोगिन - कंप्यूटर नेटवर्क सुरक्षा में एक अद्वितीय विशेषज्ञ। रूस में एक प्रमाणित एथिकल हैकर (प्रमाणित एथिकल हैकर, सीईएच) का दर्जा प्राप्त करने वाला पहला। एक Microsoft प्रमाणित सुरक्षा अभियंता, एससीपी सुरक्षा पेशेवर, और क्रिप्टोप्रो क्रिप्टो सुरक्षा उत्पाद प्रशिक्षक।

सर्गेई पावलोविच ने रूसी संघ के रक्षा मंत्रालय में एक प्रोग्रामर के पदों पर काम किया, जो कि एक रूसी बैंक के सेंट्रल बैंक में एक सुरक्षा सुरक्षा विशेषज्ञ और एक वाणिज्यिक बैंक में सूचना प्रौद्योगिकी विभाग के प्रमुख थे। उन्होंने मास्को इंस्टीट्यूट ऑफ इकोनॉमिक्स एंड स्टैटिस्टिक्स में पढ़ाया, और विशेषज्ञ प्रशिक्षण केंद्र के साथ सहयोग किया। सर्गेई पावलोविच का सबसे मूल्यवान अनुभव न केवल आईटी उत्पादों और सिद्धांतों के पेशेवर विकास के लिए, बल्कि सूचना प्रौद्योगिकी के साथ व्यावसायिक प्रक्रियाओं के संबंध की गहरी समझ को भी प्रमाणित करता है।

अतिरिक्त सामग्री
स्थापित VMware प्लेयर के साथ एक लैपटॉप, कम से कम 2 जीबी रैम, 20 जीबी का मुफ्त हार्ड डिस्क स्थान।

Android अनुप्रयोग सुरक्षा

रिपोर्ट एंड्रॉइड मोबाइल एप्लिकेशन में कमजोरियों का पता लगाने और उन्हें खत्म करने की तकनीकों को संक्षेप में बताएगी। कमजोर पड़ने की पहचान तकनीकों में रिवर्स इंजीनियरिंग, मेमोरी विश्लेषण और HTTP ट्रैफ़िक शामिल हैं। इसके अलावा, प्रस्तुति एंड्रॉइड प्लेटफॉर्म (एंड्रॉइड रूटिंग), SQLite डेटाबेस के विश्लेषण, एंड्रॉइड डिबग ब्रिज (ADB) के आवेदन और मोबाइल सर्वर से जुड़े खतरों के लिए व्यवस्थापक अधिकारों को प्राप्त करने के मुद्दों को संबोधित करेगी। दर्शकों को ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट (OWASP) समुदाय द्वारा प्रकाशित मोबाइल एप्लिकेशन के लिए दस सबसे खतरनाक खतरों की सूची के साथ भी प्रस्तुत किया जाएगा।

प्रस्तुतकर्ता: मनीष चस्टा छह साल के अनुभव के साथ सूचना सुरक्षा के क्षेत्र में अग्रणी सलाहकार हैं। उसकी गतिविधि का मुख्य क्षेत्र मोबाइल और वेब अनुप्रयोगों की सुरक्षा है। उन्होंने विभिन्न ग्राहकों के लिए पूर्व-बिक्री तैयारी प्रक्रियाओं को विनियमित किया, बैंकिंग, बीमा, व्यापार, वित्तीय, साथ ही ऑनलाइन व्यापार, ग्राहक संबंध प्रबंधन और स्वास्थ्य सेवा के क्षेत्र सहित विभिन्न क्षेत्रों में अनुप्रयोग सुरक्षा और सुरक्षा मूल्यांकन पर कई परियोजनाओं को लागू किया। । आवेदन सुरक्षा और नैतिक हैकिंग पर कक्षाओं का आयोजन किया।

कंप्यूटर हादसा जांच

मास्टर वर्ग इंटरनेट संसाधनों तक अनधिकृत पहुंच से संबंधित घटनाओं की जांच करने के लिए समर्पित है। मेजबान एक आधुनिक हैकर के मनोवैज्ञानिक चित्र के लिए श्रोताओं का परिचय देगा और घुसपैठियों के प्रकारों के बारे में बात करेगा। घटना पर काम करने की प्रक्रिया की जांच की जाएगी: दुर्भावनापूर्ण कार्यों के निशान का पता लगाने और हैकिंग संकेतों का जवाब देने से लेकर कानून प्रवर्तन एजेंसियों के सहयोग से हमलावर की तलाश करने तक। इसके अलावा, वास्तविक सुरक्षा घटनाओं के बारे में एक आकर्षक कहानी श्रोताओं का इंतजार करती है।

प्रस्तुतकर्ता: सर्गेई सर्गेइविच लोजकिन - इचेलॉन प्रशिक्षण केंद्र के विशेषज्ञ।

अतिरिक्त सामग्री
स्थापित VMware प्लेयर के साथ एक लैपटॉप, कम से कम 2 जीबी रैम, 20 जीबी का मुफ्त हार्ड डिस्क स्थान।

वायरलेस लैन सुरक्षा: आपका नेटवर्क कैसे हैक किया गया था और आप इससे कैसे बच सकते थे

आज, सभी एंटरप्राइज़-क्लास वाई-फाई उपकरण निर्माता ग्राहकों को हमलों और घुसपैठ के खिलाफ सुरक्षा की एक विस्तृत श्रृंखला प्रदान करते हैं। ऐसे उपकरणों का प्रभावी ढंग से उपयोग करने के लिए, व्यवस्थापक के लिए केवल प्रलेखन के साथ खुद को परिचित करना पर्याप्त नहीं है। दुश्मन को व्यक्तिगत रूप से जानने की जरूरत है, और विभिन्न बचाव उन लोगों के बीच से केवल कुछ अच्छी तरह से परिभाषित हमलों का पता लगाने या रोकने में मदद करते हैं जो एक प्रशिक्षित हमलावर के शस्त्रागार में हैं। इस रिपोर्ट का उद्देश्य छात्रों को वायरलेस नेटवर्क सुरक्षा के मुद्दों को एक हैकर की आंखों के माध्यम से और एक सिस्टम प्रशासक की आंखों के माध्यम से देखने का अवसर देना है।

प्रस्तुति के दौरान, वाई-फाई नेटवर्क के लिए अनधिकृत पहुंच प्राप्त करने के लिए सबसे प्रासंगिक तरीकों पर विचार किया जाएगा, वर्णित हमलों से बचाने के लिए सिस्को यूनिफाइड वायरलेस नेटवर्क व्यापक समाधान द्वारा प्रस्तावित तंत्र का प्रदर्शन किया जाएगा। यह छात्रों को सचेत रूप से यह निर्धारित करने की अनुमति देगा कि उन्हें किन सुरक्षा कार्यों की आवश्यकता है।

प्रस्तुतकर्ता - दिमित्री रियाज़व्स्की। मॉस्को में रहता है, सिस्को सिस्टम्स में एक सिस्टम इंजीनियर के रूप में काम करता है। उन्होंने "सिस्को नेटवर्किंग अकादमी" (सिस्को नेटवर्किंग अकादमी) कार्यक्रम के तहत मॉस्को सिस्को केंद्र में अध्ययन किया। सिस्को प्रमाणित डिजाइन व्यावसायिक (CCDP), सिस्को प्रमाणित डिजाइन एसोसिएट (CCDA), सिस्को प्रमाणित नेटवर्क एसोसिएट (CCNA), सिस्को प्रमाणित नेटवर्क एसोसिएट (सिस्को प्रमाणित इंटर्न नेटवर्क विशेषज्ञ, CCIE) सुरक्षा, मार्ग और स्विचिंग के क्षेत्रों में।

अतिरिक्त सामग्री
कम से कम 2 जीबी रैम के साथ बैकट्रैक या स्लिटज़ वितरण के साथ संगत एक लैपटॉप। वायरलेस कार्ड को एयरक्रैक-एनजी के साथ संगत होना चाहिए।

इंटरनेट पर प्रतिस्पर्धी खुफिया

मास्टर क्लास के प्रतिभागी विश्लेषणात्मक तकनीकों के साथ वास्तविक जीवन के प्रतिस्पर्धी खुफिया कार्यों के बारे में जानेंगे, विशेष रूप से, गोपनीय सूचनाओं की लीक का शीघ्रता से पता लगाने की तकनीक, साथ ही सर्वरों पर खुले खंड, बिना सुरक्षा के एफ़टीपी सर्वरों को भेदने के तरीके और पासवर्ड की लीक का पता लगाने और एक्सेस प्राप्त करने के तरीकों के बारे में। डीएलपी को दरकिनार करते हुए गोपनीय दस्तावेज और संबंधित अधिकारों के बिना विभाजन को भेदना (त्रुटि 403)। यह प्रदर्शन अच्छी तरह से संरक्षित कंपनियों (आईटी और सूचना सुरक्षा बाजार के नेताओं, बड़ी सरकारी एजेंसियों, विशेष सेवाओं के नेताओं) के पोर्टलों के उदाहरणों पर किया जाएगा।

प्रस्तुतकर्ता: आंद्रेई Igorevich Masalovich - भौतिकी और गणित में पीएचडी, डायलॉगसाइंस CJSC के निदेशक मंडल के सदस्य, सूचना प्रणाली अकादमी में प्रतियोगी खुफिया विभाग के प्रमुख। बैंकों, वित्तीय और औद्योगिक समूहों, बड़े खुदरा श्रृंखलाओं, सरकारी संगठनों के विश्लेषणात्मक उपकरणों पर कई सफल परियोजनाओं के प्रमुख। अतीत में - एफएपीएसआई के लेफ्टिनेंट कर्नल। ऑर्डर ऑफ़ कैवलियर "स्टार ऑफ़ ग्लोरी ऑफ़ द फादरलैंड", रूसी एकेडमी ऑफ़ साइंसेज की छात्रवृत्ति "रूस के उत्कृष्ट वैज्ञानिक" (1993)।

डेटा खोज और विश्लेषण की समस्याओं पर कई प्रकाशनों के लेखक। उन्होंने रूस (अनेख, मॉस्को स्टेट यूनिवर्सिटी, मॉस्को एविएशन इंस्टीट्यूट) और यूएसए (हार्वर्ड, स्टैनफोर्ड यूनिवर्सिटीज, जॉर्जिया इंस्टीट्यूट ऑफ टेक्नोलॉजी, टेक्सास ए एंड एम यूनिवर्सिटी) में कई विश्वविद्यालयों में सेमिनार किए। विशेषज्ञ RFBR, INTAS, ITC UN, APEC।

Win32 / जॉर्जट। मैलवेयर और उनके स्वचालित विश्लेषण की विशेषताएं

Win32 / Georbot मैलवेयर परिवार कम से कम 18 महीने से विकास में है। यह आश्चर्य की बात है कि सुरक्षा उद्योग में इस खतरे पर पर्याप्त ध्यान नहीं दिया गया है, इस तथ्य के बावजूद कि कार्यक्रम के सैकड़ों विभिन्न संशोधन पहले से मौजूद हैं। यह पता चला कि वायरस केवल पीड़ित कंप्यूटर पर स्थापित किया गया है, जो नेटवर्क हमले के बाद सबसे अधिक संभावना है। संभवतः, इस मैलवेयर का उपयोग उन व्यक्तियों द्वारा किया जाता है जो संक्रमित कंप्यूटरों से निजी जानकारी चोरी करना चाहते हैं। मास्टर वर्ग के नेता ऐसे कार्यक्रमों की कार्यक्षमता के बारे में बात करेंगे।

प्रस्तुतकर्ता: पियरे-मार्क ब्यूरो - सूचना प्रणाली सुरक्षा के क्षेत्र में शोधकर्ता और विशेषज्ञ। उन्होंने कई उद्योग आयोजनों में प्रदर्शन किया है। हबराब्र पर हमारे विशेष विषय में मास्टर वर्ग के बारे में और पढ़ें।

मोबाइल सुरक्षा के व्यावहारिक पहलू

प्रस्तुतकर्ता - सर्गेई नेवस्त्रोयेव, मोबाइल सॉल्यूशंस के प्रमुख, कैस्परस्की लैब








PS यदि आपके पास मंच के लिए पंजीकरण करने का समय नहीं है, तो आपके पास एक इंटरैक्टिव ऑनलाइन प्रसारण में भाग लेने या PHDays एवरीवेयर की साइटों में से एक पर जाने का अवसर है ।