Compartiendo conocimientos en 44CON

44CON — Londres — Después de un receso de dos años, la conferencia de seguridad de la información de Londres 44CON regresó el 16 y 16 de septiembre de 2022. Arquitectos y gerentes de empresas líderes en tecnología se unieron a apasionados evangelistas de seguridad para disfrutar de un festival de dos días de investigación en seguridad cibernética de cabezas de cartel mundiales. La gente vino a reunirse, hacer negocios, hablar y aprender, con el equipo de 44CON brindando diversión, excelente comida y entretenimiento con temas de seguridad cibernética.

es un poco como el Babilonia 5 de la comunidad de seguridad de la información del Reino Unido.

Le pregunté a Adrian Mahieu, el fundador de 44CON y el motor de la resurrección de la conferencia, lo que lo motivó a emprender de nuevo post-COVID. “Quería hacer una conferencia a la que me gustaría asistir, con algunas charlas técnicas serias y profundas, algunos patrocinadores interesantes que no son los sospechosos habituales que verá en otras conferencias de seguridad técnica, pero lo más interesante para mí. es hacer que la gente hable y aprenda unos de otros”, dice.

Este enfoque se muestra incluso en aspectos simples, como la forma en que los organizadores de la conferencia dedicaron una gran área común para sentarse en una mesa, lo que permitió a los asistentes compartir café, disfrutar de una excelente comida o simplemente tener sesiones improvisadas de pájaros de una pluma. Están presentes personas en todas las etapas de su carrera en seguridad cibernética, desde recién graduados entusiastas que hacen conexiones hasta líderes de la industria que detectan talentos y forman equipos, así como una buena cantidad de personas que justifican el descriptor "experto".

Estuvieron representados múltiples sectores de la industria, incluidos los proveedores de servicios de nube y entretenimiento de transmisión. “Les digo a los proveedores que todo lo que necesitan traer es un telón de fondo para su mesa de expositores”, explica Mahieu. “No quiero que esas grandes cabinas palaciegas ocupen el espacio común, ¡quiero que todos se sientan libres de hablar juntos!”

El entretenimiento de la noche incluyó un juego de guerra de comunicaciones de seguridad diseñado y presentado por innovadores desarrolladores de juegos. Tijeras de papel de piedra. Threat Condition simula los problemas y problemas que surgen después de un ciberataque que daña la reputación y destaca los desafíos organizativos y de comunicación consecuentes. SPS diseñó lo que creo que puede ser el mejor juego de guerra de escenario de recuperación de desastres de mesa que he visto.

Una cosa que diferencia a 44CON de otras conferencias son sus precauciones contra el COVID-19. 44CON instaló purificadores de aire de alta potencia en todo el recinto para proporcionar aire limpio y respirable a los asistentes.

Charlas de Chatham House

Las discusiones se llevan a cabo bajo el Regla de Chatham House, permitiendo que las personas hablen y compartan su investigación libremente. En esa capacidad, pude tener una conversación profunda con uno de los expertos en seguridad en la nube del mundo. Discutimos el tipo de eventos que ve y cuáles son los eventos de "alarma de incendio".

“La identidad es siempre lo primero”, dijo. “Nuestro CIRT responde en minutos a una fuga de credenciales en un repositorio de código fuente público”. Al considerar la seguridad de la identidad primero, el problema de los que se unen, los que se mueven y los que se van se vuelve más grande, ya que todo lo que ve el proveedor de servicios en la nube es un token. “Nos enfrentamos a una elección cuando ajustamos la vida útil del token: demasiado corta, y la experiencia del usuario se vuelve desagradable con desafíos de inicio de sesión demasiado frecuentes; demasiado tiempo, y el token se vuelve vulnerable en casos como el robo de puntos finales”. Es posible evaluar el riesgo de cada transacción desde el punto final. Pero dada la amplitud de la actividad de cualquier usuario de servicios en la nube, esto choca rápidamente con la barrera de escalabilidad de la seguridad.

Siempre curioso acerca de cómo está evolucionando el problema interno, aproveché la oportunidad para preguntar cómo los principales proveedores de servicios en la nube están abordando problemas tradicionalmente complicados como DLP y cómo migra eso en un entorno de nube. Muchos profesionales de la seguridad todavía tienen problemas para convertir su mentalidad heredada en una mentalidad nativa de la nube. Mi experto en seguridad estaba ansioso por ilustrar: “Vemos un problema común en el que un usuario de una aplicación comercial extrae información a depósitos personales de AWS. Esto significa que el registro de la nube está en su depósito personal y la empresa no tiene visibilidad de él. Sin embargo, hay una respuesta simple: recomendamos a los clientes comerciales que creen una política consciente del servicio que limite el acceso a los depósitos a los depósitos propiedad de la corporación”.

Lo que esto significa es que muchos profesionales de la seguridad todavía están limitados a modelos arquitectónicos y de pensamiento heredados, un indicador clave de los cuales es cuando los profesionales intentan filtrar según la dirección IP, básicamente tratando de recrear su centro de datos tradicional en un entorno de servicio en la nube. Las instancias en la nube son efímeras por naturaleza, lo que permite a los arquitectos y desarrolladores expertos crear y destruir instancias a pedido. Las direcciones IP simplemente no importan en este contexto.

participando y presentando

Los eventos Capture-the-flag (CTF) son un elemento básico para muchas conferencias de seguridad cibernética, pero incluso aquí, 44CON tiene su propio giro. El CTF de este año fue organizado por Trace Labs, una organización canadiense sin fines de lucro que se asocia con agencias de aplicación de la ley para aprovechar el poder de la recopilación OSINT de colaboración abierta para ayudar en las investigaciones en curso de personas desaparecidas. En lugar de lanzar sus kits de explotación a un objetivo, se invitó a los concursantes a "usar sus poderes para el bien" y tomar casos reales de personas desaparecidas y buscar piezas faltantes de inteligencia de fuente abierta, o banderas. Cuantas más banderas encuentre un equipo, más puntos obtendrán, y al mismo tiempo ayudarán a que la base de datos de personas desaparecidas sea más completa.

Y guardando lo mejor para el final: ¡las conversaciones! Encabezado por James Forshaw de Google Project Zero, hubo excelentes presentaciones Hoy Disponibles, permitiéndonos a todos conocer lo último en vulnerabilidades y explotación, ya seas un miembro del equipo rojo o azul. Erlend Andreas Gjære, cofundador y director ejecutivo del asesor de capacitación en seguridad Secure Practice, habló sobre la necesidad de un toque humano en la ciberseguridad, y el misterioso extraño identificado solo como "cybergibbons" explicó cómo tomó el control de cruceros, plataformas petroleras y otros barcos de la marina mercante en una charla llamada "¡Ahora soy el capitán!"

Por último, pero no menos importante, hubo una charla inspiradora de Haroon Meer, quien cerró la conferencia exhortando a todos los asistentes a dar rienda suelta a su innovación y crear productos de seguridad que el mundo necesita. Meer observó cuántos de los productos actualmente en el mercado son aceite de serpiente, vendidos por personas a las que no dejarías solas en tu casa con tu abuela. También señaló que el camino hacia un negocio SaaS rentable es simplemente encontrar algo que 1,000 personas quieran usar, posiblemente el mejor consejo para los empresarios en ciernes desde El pitch deck de cinco diapositivas de Ron Gula.