Konference SECURITY 2019

Neutrino Bot (známý také jako Win/Kasidet) představuje rapidně se měnící hrozbu. Tento malware, který byl dříve známý jako nástroj k provádění DDoS útoků, se postupně změnil v něco zcela odlišného. V současnosti představuje pokročilejší hrozbu s širším spektrem možností, včetně schopnosti zasahovat do síťového provozu, čímž jej můžeme vnímat jako bankovní trojan. Na příkladu tohoto malwaru demonstrujeme praktické použití EDR i Enterprise nástrojů a systémů pro identifikaci nových variant a identifikátorů kompromitace. V souvislosti s tím se podíváme i na vícevrstvý model ochrany počítače a komponenty, ze kterých se skládá. Představíme reaktivní přístup, kdy dochází k reakci na pasivně získaná data. Zároveň si ukážeme metody a výhody proaktivního přístupu, kdy se snažíme aktivně vyhledávat nové vzorky malware. V neposlední řadě se pak budeme zabývat i přístupem automatizovaným, využívajícím algoritmy strojového učení.

Dnešní kyberzločinci používají sifistikované útoky 5. generace, založené na nových varinatách malwaru, které tradiční antivirové technologie nejsou schopné zachytit. Díky stále komplikovanejší možnosti plné inspekce provozu v síťové komunikaci se bezpečnost víc a víc posouvá ke koncovým stanicím. Moderní ochrana koncových stanic využívá nové metody založené na technikách umělé inteligence a Machine Learningu, které byly vyvíjeny pro technologie síťových bezpečnostních prvků a jsou nyní úspěšně implementovány na úrovni počítačů a také mobilních zařízení.

Čím dál častěji můžeme slýchat o tzv. Next-Gen antivirech, tedy antivirech příští generace. Tyto nové typy antivirů obvykle nemají klasickou analýzu na základě signatur, jakou známe z běžných antivirových programů. Pracují na principu behaviorální analýzy, strojového učení či korelování událostí z koncových stanic za účelem detekce útoku. Jaký je rozdíl mezi klasickými a Next-Gen antiviry v detekci neznámých hrozeb? Poskytují opravdu vyšší bezpečnost a mohou nahradit klasické antiviry, nebo se jedná pouze o vhodný doplněk k Vašemu běžnému produktu na ochranu před malwarem? Podívali jsme se na vybrané zástupce z obou kategorií a provedli vlastní srovnání, které Vám během prezentace představíme.

Zajímalo Vás někdy, jaké nástroje používají vládou sponzorované hackerské skupiny? Leak skupiny Shadowbrokers nám umožnil jedinečné nahlédnutí pod pokličku kyber-arzenálu na státní úrovni. V prezentaci si popíšeme a především prakticky vyzkoušíme celý ekosystém hacking nástrojů používaných hackerskou divizí NSA.

Myslíte si, že je váš core banking systém bezpečný? Pojďme se tedy podívat na bankovní systémy, jako jsou IBM mainframe nebo AS400, které například schraňují čísla platebních karet a další citlivé informace u uživatelích a transakcích. Do hledáčku si vezmeme jedno z nejběžnějších, ale také nejstarších „G“UI tzv. „zelené obrazovky“ neboli terminálové emulace. Ukážeme si základní zranitelnosti, kterými trpí některá řešení a to například i taková, která se na trhu vyskytují již řadu let.

This presentation „Red Teaming – Off the Net“ will focus on methodology, objectives and limitations of Red team off-line attacks. Α step by step walkthrough will be given of two different real red teaming operations where team performed offline attacks (Interactive social engineering, physical access, vishing, hardware backdoor, etc) in order to achieve the end goals. We will provide some details from actual project for leading bank in Middle East.

Dnešní zabezpečení firem se již vyrovnává s mizením perimetru, s mobilitou i s cloudem. Všude instalujeme senzory a bezpečnostní události se nám sypou do kotle zvaného Big Data. Každý dodavatel parciálních bezpečnostních řešení "best of breed" však má svoje atributy popisu událostí a dispečink ICT security (SecOps) hledá cesty jak vzájemně korelovat rozmanité alerty, prioritizovat ty skutečně důležité události a eliminovat "false positives" vznikající tím, že navržené šablony "normálního chování" uživatelů jsou v praxi málo flexibilní. Novým trendem je nyní zapojit vedle lidských schopností a analytiky velkých dat ještě prvky strojového učení a umělé inteligence, které se lépe "natrénují" v podmínkách běžného chodu organizace a následně urychlí a zpřesní výběr priorit, na které se při detekci a zvládání incidentů zaměřit. Prvky AI mohou rovněž poskytnout doporučení pro forenzní postup šetření, pomoci odhalit "root cause" a provést konkrétní kroky pro zadržení a mitigaci při zvládání incidentů. V oblasti prevence mohou nástroje AI vyhodnotit míru konkrétní hrozby pro danou organizaci s hodnocením možné účinnosti již jinde použitých vektorů útoku. Hlavním předpokladem je však schopnost agregace signálů a jejich atributů do jednoho inteligentního bezpečnostního grafu.

Botnety dnes generují více než 50% online provozu. Sítě zlých botů jsou automatizovanými nástroji útočníků pro vyhledáváni zranitelností v kritických systémech s cílem zcizit citlivá data. Hlavní prioritou pro organizace, které podporují strategii udržitelného zabezpečení, je mít svou bezpečnostní infrastrukturu připravenou na identifikaci škodlivých botů a ochranu pro nim. Na prezentaci se dozvíte, jak boti infikují systémy, šíří se a napadají aplikace, jaké typy útoků na aplikace boti obvykle provádějí a jak se můžete bránit proti zlým botům, aniž byste zničili ty hodné, pomocí web aplikačního FW. WAF se nejen sama “učí” a navrhuje správcům správnou ochranu aplikace, ale využívá také automatizovanou behaviorální analýzu pro klasifikaci a mitigaci aplikačních DDoS útoků. F5 WAF analyzuje “stres” aplikace, útočné nástroje, jejich zdroje a vzory chování a provádí neustálé ladění mitigace útoků pomocí dynamických aplikačních DDoS signatur.

F-Secure has more than 13-years of experience in using AI in various tasks on providing cyber security to companies and consumer customers. This talk covers our experiences on using AI, de-mystifying some of the hype around AI and covering what it can do and what is still up to humans in the end to solve.

When reading companies marketing material and watching public presentations, one would think that companies are running some Skynet level true artificial intelligences that understand analyze the data in a human like fashion. While reality is very much different, what is called AI for marketing purposes, is actually much more like applied statistical science and building systems to automate decisions.

A fact that makes cyber security a very interesting field for people to work in, one does not have to change a job the job will change around you all the time. But at the same time it makes cyber security a field where it is easy to make promises, but keeping them requires constant evolution and adaptation to the attackers next move.

Většina tvůrců mobilních bankovnictví se v oblasti bezpečnosti soustředí na základní prostředek ochrany: podepisování transakcí za použití silné kryptografie. Lze ale takovouto ochranu považovat za dostatečnou s ohledem na to, že veškeré kryptografické algoritmy běží na softwarové úrovni, a navíc v potenciálně nebezpečném operačním systému? Během přednášky zrekapitulujeme vlastnosti mobilních runtime, podíváme se na to, jak může útočník zneužít slabiny runtime pro napadnutí mobilního bankovnictví, a samozřejmě také prozkoumáme možnosti, jakým způsobem se dá mobilní aplikace proti útokům na runtime zodolnit.

Je každé mobilní zařízení (telefon, tablet, notebook aj.) používané v pracovním prostředí bezpečné? V souvislosti s probíhající mediální kauzou je třeba si uvědomit, že operační systém Android je open source projekt, každý výrobce může zdrojový kód Androidu měnit, přidat vlastní funkce, změnit UI atd. To činí tuto platformu velmi univerzální, ale zároveň tyto odlišnosti mohou vést k problémům s kompatibilitou a bezpečností. Na trhu je mnoho Android zařízení oficiálně distribuovaných s Google Play, které ovšem vykazují nejrůznější problémy při použití ve firemní sféře v kombinaci s EMM systémy.

Je to dáno tím, že tito výrobci operační systém různě upravují, nahrazují systémové aplikace vlastními a při tom se zaměřují převážně na koncové uživatele a firemní použití buď neřeší vůbec, a nebo jen okrajově. Na druhé straně není v silách výrobců EMM všechna tato zařízení testovat. Setkáváme se tedy především s problémy během registrace zařízení do EMM, problémy s vynucením některých restrikcí, false positive root detekcí atd. Tyto problémy se vyskytují převážně na zařízeních čínských značek konkurujících nízkou cenou.

S nástupem technologie Android Enterprise se situace zlepšila díky standardizaci API napříč různými výrobci zařízení. Google se nyní snaží firmám výběr zařízení ulehčit i pomocí tzv. Android Enterprise Recommended programu, který poměrně jasně říká, jaké podmínky musí zařízení pro certifikaci splnit.

Mezi nejdůležitější podmínky patří Android 7+, minimální HW požadavky, zákaz nahrazování systémových aplikací, podpora hromadnéh