Konference SECURITY 2022

Noční můrou všech uživatelů cloudu jsou bezpečnostní manažeři, kteří brzdí rychlost změn. Noční můrou bezpečnostních manažerů jsou nezodpovědní uživatelé, kteří na bezpečnost nedbají. Ale jde to i jinak. V moderním prostředí můžete kontrolovat nejen bezpečnostní politiku a jeho nastavení, ale využívat i aplikační ochrany tak, že bezpečnost nebude brzdit dostupnost a rychlost změn. Nezavlečte si neduhy z legacy prostředí i do cloudu.

Provozování aplikací v různých cloudech nebo lokalitách společně s kontejnerizací mají významný dopad na to, jak jsou aplikace navrženy, síťově propojeny a zabezpečeny. Síťové a bezpečnostní politiky již nelze spravovat jen na úrovni síťových prvků a perimetru. Tímto vzniká potřeba nového přístupu zaměřeného na distribuované aplikace a jejich API komunikaci. Přednáška se zaměří na úvod do problematiky provozu globálně distribuovaných aplikací a jejich API rozhraní. DevOps, NetOps nebo Architekti tak získají vhled do nejnovějších přístupů v oblasti managementu a zabezpečení API za pomocí zero-trustu, swagger filů, a využití AI/ML za účelem identifikace útočníků a eliminace false positive.

The rise of APIs has significantly changed the attack surface of organizations worldwide, but many still depend on legacy Web Application Firewalls and API Gateways to protect against attacks they were never designed to defend against. These rule-based systems simply can not defend against logic-based attacks targeting the business logic layer. Join Jonathan Michaeli, Senior Product Manager at Wib, to learn about real case studies from Wib’s engagements finding API exposures, discovering blind spots, vulnerabilities, and live API attacks in the wild, including how Wib leveraged logic-based external attacks to print money into a target account at a large bank.

ESET má na Ukrajině historicky silnou pozici a jedná se o velmi rozšířený a oblíbený bezpečnostní produkt. Díky tomu jsme měli možnost sledovat a hlavně analyzovat kyberzložinecké aktivity ještě před začátkem invaze. A aktuální kyberválku sledujeme a analyzujeme stále. V této přednášce se seznámíme nejen s celou časovou linkou všech útoků, jejich technickým pozadím včetně dosud nezveřejněných informací a místním kontextem, ale především si zodpovíme kritickou otázku: obstála by Česká republika lépe?

V rámci přednášky bude primární důraz kladen na pozadí kybernetické války mezi Ukrajinou a Ruskem, se zaměřením na témata, která v českých ani evropských informačních médiích nejsou dostatečně zveřejňována. Přednáška bude zaměřena na sofistikované vektory útoků, které se v rámci Ruské invaze na Ukrajinu vyskytly, a hlavně na fázi reagování na bezpečnostní incidenty. Následně bude rozebrána historie technik a mechanismů útoků od samého počátku konfliktu a zvláštní důraz bude kladen na efektivní techniky obrany. Závěr přednášky bude věnován preventivním opatřením, kterými bylo možné útokům předejít.

Ve své prezentaci představím, jak funguje ICANN (Internet Corporation for Assigned Names and Numbers). Po vypuknutí konfliktu na Ukrajině byla tato organizace požádána o odpojení Ruska od celosvětové sítě. Současně Rusové přijali Zákon o suverénním ruském Internetu a provedli test takového odstřižení. Přichází v úvahu rozštěpení celosvětové sítě? Jaké jsou možnosti dočasného dobrovolného odtržení od Internetu? Jaké nástroje má Česká republika v případě masivního útoku a jak bychom obstáli?

Webové aplikácie často implementujú funkcionality ako prihlásenie pre užívateľov, rôzne vyhľadávacie funkcie, chatovacie funkcie a iné. Tieto funkcionality, ak nie sú dostatočne zabezpečené, sa stávajú terčom rôznych automatizovaných útokov – slovníkový útok na prihlasovací formulár, automatické vyhľadávanie za účelom prehľadávania obsahu, rôzne formy chatbotov a iné. Pre zabezpečenie funkcií pred automatizovanými skriptami sa často používa mechanizmus CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart). Táto prezentácia si kladie za cieľ zoznámiť poslucháča s možnosťami ako tento bezpečnostný mechanizmus prekonať od jednodých manuálnych spôsobov až po spôsoby s využitím strojového účenia.

Developing secure modern applications has become increasingly complex. With so much functionality to deliver, turning raw code into something that brings value to customers’ lives without adding risk seems more difficult each day. Given the threats to modern applications, security testing is no longer an option. Today it’s an integral part of the development pipeline.    And when it comes to securing applications, the sooner and simpler that vulnerabilities can be detected, the better, saving devs and AppSec teams time, effort, and cost.   In our meeting, we’ll discuss three essential security pieces that should be a part of every development practice. They are: • The importance of static code testing  • A regular cadence of software composition analysis • How Infrastructure as Code affects your applications

Auditování logů je jako hledání jehly v kupce sena, logy jsou decentralizované, neuspořádané a těžko se s nimi pracuje. Zjistěte jak správně auditovat prostředí Microsoft Windows a neztratit se v záplavě dat. LOGmanager je uživatelsky orientovaný, jednoduchý a má certifikovaný systém bez jakýchkoli licencí. Součástí systému je Windows Event Sender — klient pro stanice a servery. Klient je centrálně spravovaný a umožňuje sběr logů z operačních systémů Windows. Tyto logy je možné filtrovat a kódované údaje v nich obsažené jsou překládány do srozumitelné formy. Ukážeme vám, jak správně nastavit Advanced Audit politiky ve světě Microsoft Windows tak, aby sběr událostí dával správné výsledky. Dozvíte se v případové studii s Mirkem Knapovským ze společnosti Sirwisa.

Být podezíravý se vyplácí. Minimálně v případě prevence před kybernetickými útoky. Útoky na informační technologie nemusí být jen o využívání zranitelností počítačových systémů. Častým prvním krokem v kybernetických útocích je použití lidského elementu. Uživateli jsou manipulováni k tomu, aby útočníkům umožnili získat neoprávněný přístup k cílovému počítačovému systému. V prezentaci vás zasvětíme do přípravy a průběhu simulovaného útoku sociálním inženýrstvím na velké bankovní domy v České republice. Ukážeme si zajímavé momenty a ukázky z námi realizovaných útoků. Podělíme se o zkušenosti, a to od prvních krůčků přípravy útoku až po samotné velké finále. Prezentace si klade za cíl zábavným způsobem edukovat posluchače, přivést je k ostražitosti a tím je připravit je na situaci, ve které by sami museli čelit útoku sociálního inženýra.

Během pandemie COVID-19 se objevila celá plejáda aplikací pro podporu trasování rizikových kontaktů jejich uživatelů. První generace, založená na spontánním využití dostupných mobilních senzorů a služeb, trpěla řadou skrytých bezpečnostních slabin. Tyto nedostatky měla odstranit generace druhá, která byla ve většině případů postavena na společném frameworku Google a Apple, známém jako GAEN (Google-Apple Exposure Notification). Na plusové straně GAEN stojí veřejně popsaný kryptografický protokol, který měl ochranu soukromí jako svůj zjevný cíl. Podpora na úrovni operačních systémů Android a iOS pak přispěla k omezení implementačních chyb a interoperabilitě na celosvětové úrovni. Dobře míněné snahy o soukromí a bezpečnost mají však své meze, které jsou dobře patrné například ve chvíli, kdy se na systém GAEN podíváme skrze zpracování radarových signálů a RFID. Kryptografické konstrukce pak najednou ztrácejí svou sílu, nebo dokonce začínají pomáhat protivníkovi. Vedle radionavigačních služeb typu GPS je to další příklad rozdílu mezi ochranou přenášených dat samotných a zabezpečením rádiových signálů, které tato data nesou. V rekordním čase vzniku GAEN patrně nebylo v lidských silách všechny tyto aspekty zohlednit a ošetřit. Příspěvek proto nemá za cíl tuto technologii dehonestovat, nýbrž upozornit na principiální slabiny, které je užitečné mít na zřeteli při hodnocení a návrhu podobných architektur.