PHDays III में नई वार्ता: आईसीएस सिक्योरिटी से जावा ज़ीरो-डे एक्सप्लॉइट विश्लेषण तक

अपना खुद का स्टक्सनेट कैसे बनाएं? क्या सॉफ्टवेयर सुरक्षा सुविधाएँ स्वयं इतनी सुरक्षित हैं? लोगों पर नज़र रखना कितना आसान है और भौतिक सुरक्षा सभी सुरक्षा की नींव क्यों है? आज हम आपके ध्यान में पॉजिटिव हैक डेज़ III फोरम के मुख्य तकनीकी कार्यक्रम की 30 से अधिक रिपोर्टों को लेकर आए हैं ।

क्या आप एक वेब सर्वर बना सकते हैं? तो आप एक फ्लैश ड्राइव बना सकते हैं

ट्रैविस गुडस्पीड के बारे में बात करेंगे कि कैसे, ओपन सोर्स फेन्जेंसर फ्रेमवर्क का उपयोग करके, आप पायथन में मास स्टोरेज, मानव इंटरफ़ेस, एफटीडीआई और डिवाइस फर्मवेयर अपडेट प्रोटोकॉल के लिए उपयोगकर्ता स्थान में एमुलेटर बना सकते हैं। सॉकेट्स थोड़ा अलग तरीके से कार्य करते हैं, और प्रोटोकॉल ASCII का उपयोग नहीं करते हैं, लेकिन ऑपरेशन और पुस्तकालयों के सामान्य सिद्धांत HTTP से अधिक जटिल नहीं हैं।

लेखक की पद्धति के कार्यान्वयन के एक उदाहरण के रूप में, DFU प्रोटोकॉल और एक प्रोटोटाइप हार्ड ड्राइव impersonalizing द्वारा फर्मवेयर अपडेट को बाधित करने के लिए एक उपकरण का प्रदर्शन किया जाएगा जो सक्रिय रूप से फोरेंसिक विश्लेषण और क्लोनिंग टूल से खुद को सुरक्षित करेगा।

निरंतर तैनाती विधि - सुरक्षित सॉफ्टवेयर के तेजी से विकास के लिए

निरंतर तैनाती लंबी विकास चक्रों से बचने में मदद करती है, जिसके कारण डेवलपर्स अक्सर अपने उत्पाद की सुरक्षा पर पर्याप्त ध्यान नहीं देते हैं। जब सही तरीके से उपयोग किया जाता है, तो यह विधि सॉफ्टवेयर जीवन चक्र को बदल सकती है और सुरक्षा टीम को एक घटना प्रतिक्रिया टीम से आंतरिक सुरक्षा सलाहकार सेवा में बदल सकती है जो डेवलपर्स से संपर्क कर सकती है।

IPONWEB प्रौद्योगिकी के उपाध्यक्ष, निक गैलब्रेथ, निरंतर विकास के दृष्टिकोण के साथ-साथ उपकरण और प्रक्रियाओं के साथ कैसे शुरू करें, इस बारे में बात करेंगे कि सुरक्षा के एक नए स्तर पर एक सफल संक्रमण सुनिश्चित करेगा।

हमले के लिए प्रस्तावना: OSINT अभ्यास और स्वचालन

लक्ष्य के बारे में सार्वजनिक रूप से उपलब्ध जानकारी का संग्रह और विश्लेषण (ओपन सोर्स इंटेलिजेंस या OSINT) आधुनिक प्रवेश परीक्षा में एक अनिवार्य कदम है। हालांकि, इसके महत्व के बावजूद, कई लोग इस कदम को छोड़ देते हैं और तुरंत कमजोरियों के लिए स्कैन करना शुरू कर देते हैं। वे एक गलती करते हैं: परीक्षण के दायरे में सिस्टम और कर्मियों के बारे में जानकारी एकत्र करना अक्सर सुरक्षा ऑडिटिंग में एक निर्णायक भूमिका निभाता है, और सामाजिक इंजीनियरिंग विधियों का उपयोग करके ऑडिट की सफलता में एक महत्वपूर्ण कारक भी है।

व्लादिमीर स्टाइलन बीएमएस कंसल्टिंग के एक प्रमुख सलाहकार, सुरक्षा प्रणालियों के परीक्षण क्षेत्र के प्रमुख हैं।

ऑपरेटिंग ब्राउज़र उपयोगकर्ता मज़े और लाभ के लिए इंटरफेस करता है

आज, कोई भी आधुनिक ब्राउज़र वेब पेज पर संभावित खतरनाक या ध्यान देने वाली क्रियाओं को पहचान सकता है (किसी फ़ाइल को डाउनलोड करने, सॉफ़्टवेयर मॉड्यूल स्थापित करने, तृतीय-पक्ष साइटों को विशेषाधिकार प्रदान करने के लिए अनुरोध करता है) और उपयोगकर्ता से एक अलग विंडो या अधिसूचना पैनल में ऑपरेशन की स्पष्ट रूप से पुष्टि करने का अनुरोध करता है। यह उपयोगकर्ता सुरक्षा की डिग्री को बढ़ाता है, हालांकि, अधिसूचना तंत्र पूर्ण सुरक्षा की गारंटी नहीं देते हैं।

बारह साल के अनुभव के साथ एक सुरक्षा विशेषज्ञ, रोसारियो वालोटा, अपनी प्रस्तुति के दौरान दिखाएगा कि कैसे सोशल इंजीनियरिंग तकनीकों के न्यूनतम सेट (या उनके बिना सभी) का उपयोग करके उपयोगकर्ता सुरक्षा से समझौता कर सकते हैं और यहां तक ​​कि पीड़ितों के कंप्यूटर पर लोकप्रिय ब्राउज़रों के नोटिफिकेशन पैनल का उपयोग करके सरल कोड निष्पादित कर सकते हैं (Chrome 24 , IE9, IE10)।

आपको कौन देख रहा है बेबी?

मोबाइल फोन या आरएफआईडी कार्ड को ट्रैक किया जा सकता है। OpenBeacon के प्रोजेक्ट मेंबर जेफ काट्ज और ब्यूटीटिक्स अपनी नवीनतम खोजों के साथ-साथ एक ऐसी प्रणाली पेश करेंगे जो अपनी प्रस्तुति के दौरान वास्तविक समय में वस्तुओं के स्थान को ट्रैक करती है। वक्ताओं ने अपने विज़ुअलाइज़ेशन उदाहरणों को प्रदर्शित किया और दिखाया कि कैसे एक हानिरहित उपकरण आसानी से एक शक्तिशाली उपकरण में बदल सकता है।

जाल काट सकते हैं: वापस प्रवेश

रिपोर्ट एक आक्रामक जाल ("रक्षा अशिष्ट हो सकती है") और इस तरह के जाल के संचालन के विकल्पों की जांच करेगी। शामिल विषयों में हमलावरों के बारे में जानकारी का खुलासा करना, स्वचालित हमलों को फ़िल्टर करना और पता लगाना, एक हमलावर के तकनीकी प्रशिक्षण के स्तर का निर्धारण करना और एक हमलावर पर नियंत्रण प्राप्त करना शामिल है।

एलेक्सी सिन्टसोव, नोकिया के वरिष्ठ सूचना सुरक्षा इंजीनियर, वास्तविक जीवन के हमले के उदाहरणों और मूल सुरक्षा तकनीकों का उपयोग करने के परिणामों का प्रदर्शन करेंगे। अन्य दिलचस्प विषयों पर विचार किया जाएगा: क्या यह संभव है, उदाहरण के लिए, थर्ड-पार्टी सेवाओं की कमजोरियों का उपयोग करना या केवल क्लाइंट की तरफ से कमजोरियों का उपयोग करना?

पांच टेलीकॉम बुरे सपने

"टेलीकॉम के लिए पांच बुरे सपने" पाँच कहानियाँ हैं जो ऑपरेटर के नेटवर्क को तोड़ने और पैकेट सेवाओं पर हमले करने, बुनियादी ढांचे पर नियंत्रण हासिल करने और वीओआईपी या स्वयं-सेवा पोर्टल पर पैसा बनाने के बारे में हैं। कुछ हमलों के अतीत में मिसाल रहे हैं, जबकि कुछ एक कल्पना बनकर रह गए हैं, उम्मीद है कि वास्तविकता नहीं बन पाएगी।

अध्यक्ष - दिमित्री कुर्बातोव, सूचना सुरक्षा विशेषज्ञ, सकारात्मक प्रौद्योगिकी।

झूठ का सिद्धांत: आधुनिक वाएफ को दरकिनार करना

ओन्सेक के संस्थापक, अग्रणी और अग्रणी विशेषज्ञ, व्लादिमीर वोरोत्सोव की रिपोर्ट, आधुनिक समाधानों के संचालन के सिद्धांतों के विश्लेषण के लिए समर्पित है जो वेब अनुप्रयोगों (वेब ​​एप्लिकेशन फायरवॉल) पर हमलों को पहचान सकते हैं। लेखक मुख्य हमले का पता लगाने वाले एल्गोरिदम की तुलना करता है, उनके फायदे और नुकसान का संकेत देता है। सुरक्षात्मक तंत्र के परिधि के ठोस उदाहरण दिए गए हैं। रिपोर्ट के लेखक ने विभिन्न एल्गोरिदम के लिए WAF के माध्यम से हमला वेक्टर को मास्क करने की एक सार्वभौमिक विधि की पहचान करने की आवश्यकता को इंगित किया है।

जावा हर दिन। शून्य दिन के सिस्टम विश्लेषण जावा में शोषण करते हैं

रिपोर्ट 2012 और 2013 में जावा (CVE-2013-1493, CVE-2013-0431, CVE-2013-0422, CVE-2012-5076, CVE-2012) में पाए गए सभी शून्य-दिन की कमजोरियों के एक प्रणाली विश्लेषण के परिणाम प्रस्तुत करेगी। -4681, CVE-2012-1723, CVE-2012-1507)। अध्ययन का उद्देश्य उन पैटर्न की पहचान करना है जो इन कमजोरियों को खोजने के लिए एक सामान्य स्रोत या एक सामान्य तकनीक की ओर इशारा करते हैं।

अध्यक्ष - बोरिस रयुटिन, सह-लेखक - अलिसा शेवचेंको।

SCADA स्ट्रांगेलोव: कैसे अपने खुद के स्टक्सनेट बनाने के लिए

जबकि अन्य लोग साइबर हथियारों के विकास में लापता लिंक की तलाश कर रहे हैं, पॉजिटिव टेक्नोलॉजीज के विशेषज्ञ निकट भविष्य में एक झलक पेश करते हैं, जिसमें SCADA के लिए तैयार वर्म बनाने के लिए, आपको केवल मेटास्प्लोइट के नवीनतम संस्करण और VBScript में कुछ प्रोग्रामिंग कौशल की आवश्यकता होती है।

सीमेंस सिमैट सीरीज़ सॉफ्टवेयर (टीआईए पोर्टल, विनसीसी, एस 7 पीएलसी) के सुरक्षा अध्ययनों के आधार पर रिपोर्ट में उन कमजोरियों पर ध्यान केंद्रित किया जाएगा जिनका आईसीएस में दरार करने के लिए शोषण किया जा सकता है। वक्ताओं का प्रदर्शन होगा कि कृमि कैसे फैलता है और सिस्टम पर इसके हानिकारक प्रभाव - नेटवर्क स्तर (S7 / Profinet) से वेब प्रबंधन इंटरफेस और WinCC प्रोजेक्ट फ़ाइलों तक। सीमेंस उत्पादों में नई कमजोरियों को प्रस्तुत किया जाएगा, साथ ही सुरक्षा का विश्लेषण करने और आईसीएस में नई कमजोरियों की खोज करने के लिए उपयोग किए जाने वाले उपकरण।

लॉकिंग और शारीरिक सुरक्षा

तकनीकी दुनिया में, एक पूरे के रूप में सिस्टम की सुरक्षा के घटक के रूप में भौतिक सुरक्षा पर अक्सर ध्यान नहीं दिया जाता है, लेकिन यह अपडेट की समय पर स्थापना, सही पासवर्ड नीतियों और उपयोगकर्ता अधिकारों से कम महत्वपूर्ण नहीं है। आपके पास सबसे सुरक्षित सर्वर और सबसे दुर्गम नेटवर्क हो सकता है, लेकिन यह मदद नहीं करेगा अगर किसी को कीबोर्ड तक सीधे पहुंच मिलती है या इससे भी बदतर, आपके उपकरण चोरी करता है।

छात्रों को इमारतों और क्षेत्रों को अनधिकृत पहुंच से बचाने के तरीके के बारे में एक कहानी मिलेगी। गंभीर घटनाओं के उदाहरणों की जांच की जाएगी, जिनमें से कई को विशेष प्रशिक्षण के बिना आसानी से दोहराया जा सकता है। Deviant Ollam, Babak Javadi, Keith Howell आपको बताएंगे कि ताले और तिजोरियों का चयन करते समय किन बातों का ध्यान रखें और उन प्रणालियों में निवेश कैसे करें जो बड़े नेटवर्क में प्रबंधित करने में आसान हों।

डीपीआई बाईपास

ब्लैक हैट 2012 में पेश किए गए एवाडर का उपयोग सुरक्षा प्रणालियों में कमजोरियों का पता लगाने और पैठ परीक्षण और सुरक्षा जांच करने के लिए किया जा सकता है। जाने-माने सूचना सुरक्षा विशेषज्ञ ओली-पेक्का नीमी (ओपी) सबसे आधुनिक सुरक्षा उपकरणों को दरकिनार करने के लिए एवेडर के काम के तकनीकी पहलुओं और इस कार्यक्रम के उपयोग के बारे में बात करेंगे।

सभी को खोजने के लिए, इसे एक साथ रखें ... - इंटरनेट पर एसीएस टीपी

क्या आप जानते हैं कि कई प्रक्रिया नियंत्रण प्रणालियां दूरस्थ रूप से नियंत्रित होती हैं और इसलिए उन्हें इंटरनेट पर पाया जा सकता है (उदाहरण के लिए, SHODAN खोज इंजन का उपयोग करके)। जोहान क्लिक और डैनियल मार्सिन ने अपना स्वयं का खोज इंजन - SCADACS सर्च इंजन (SSE) बनाया - और SHODAN परिणामों के साथ पहले परिणामों की तुलना प्रस्तुत करने जा रहे हैं।

वे औद्योगिक जोखिम मूल्यांकन मानचित्र (IRAM) पर SCADA / PLC प्रणालियों के विश्वव्यापी वितरण का प्रदर्शन करेंगे। कार्ड, अन्य चीजों के अलावा, सिस्टम में निहित कमजोरियों और संभावित शोषण विधियों के बारे में जानकारी प्रदान करता है। वक्ताओं ने यह भी चर्चा की कि क्या हो सकता है अगर एक आवेदन में IRAM, SSE और कारनामों को मिला दिया जाए।

APT से संगठनों की रक्षा (RSA से उदाहरण के साथ)

मिखेल ओस्टरहोफ (CISSP, CISM, CISA, GCIH) सूचना सुरक्षा के लिए EMC के RSA डिवीजन में एक अग्रणी सिस्टम इंजीनियर है। कोई भी आधुनिक कंपनी सूचना संसाधनों, ब्रांड, बौद्धिक संपदा के संरक्षण में भारी निवेश करती है। हालांकि, घटनाएं अभी भी होती हैं, क्योंकि हमलावरों ने हमले करने के साधनों और तरीकों को विकसित करने के लिए कोई पैसा नहीं दिया। आरएसए इस फर्स्टहैंड को जानता है, क्योंकि कंपनी लगातार घुसपैठियों की जांच कर रही है।

वक्ता कॉर्पोरेट और सरकारी अवसंरचना पर एपीटी हमलों के परिणामों को रोकने, पता लगाने और कम से कम करने के क्षेत्र में अपने अनुभव और सर्वोत्तम प्रथाओं को साझा करेगा। वास्तविक जीवन के उदाहरणों (लॉकहीड मार्टिन और अन्य बड़े निगमों में घटनाएं) के आधार पर, वह साइबर किल चैन की अवधारणा के बारे में बात करेंगे, विशिष्ट हमले योजनाओं और औद्योगिक जासूसी और साइबर हमलों से जुड़े जोखिमों को कम करने के संभावित तरीकों पर विचार करेंगे। इसके अलावा, रिपोर्ट में RSA क्रिटिकल इंसिडेंट रिस्पांस सेंटर (CIRC) के काम पर एक कहानी शामिल होगी, जो EMC Corporation के आंतरिक नेटवर्क के बुनियादी ढांचे की सुरक्षा करती है।

सकारात्मक हैक दिनों पर होने वाले भाषणों की पूरी सूची आधिकारिक मंच की वेबसाइट पर देखी जा सकती है। PHDays III कार्यक्रम में मानक रिपोर्टों के अलावा, समृद्ध फास्ट ट्रैक, जिसमें 20 से अधिक छोटे लेकिन बहुत ही दिलचस्प पंद्रह मिनट के स्टैंड-अप शामिल हैं, जिनमें से लेखक बहुत सारे आकर्षक विषयों को प्रकट करेंगे, जिसमें डीएलपी सिस्टम को दरकिनार करने के एक दर्जन तरीकों से कार को "ब्रेकिंग" किया जाएगा।

इसके अलावा! इस वर्ष के प्रमुख वक्ताओं में से एक प्रसिद्ध शोधकर्ता, हाइड्रा, अमाप और सुसेफिरवाल के लेखक, मार्क "वैन हॉसर" होयज़ होंगे।

PS वैसे, हमने PHDays वक्ताओं के ट्विटर खातों को एक अलग सूची में रखा है । सदस्यता लें! :)

मंच के लिए पीपीएस पंजीकरण जारी है!