44CON – London – Pärast kaheaastast pausi naasis Londoni infoturbe konverents 44CON 16.–16. septembril 2022. Kirglike turvaevangelistidega liitusid juhtivate tehnoloogiaettevõtete arhitektid ja juhid, et nautida kahepäevast küberturvalisuse uuringute festivali alates ülemaailmsed pealkirjad. Inimesed tulid kohtuma, äri tegema, rääkima ja õppima. 44CONi meeskond pakkus lõbusat, suurepärast toitu ja küberjulgeolekuteemalist meelelahutust.
See on natuke nagu Babylon 5 Ühendkuningriigi infoseci kogukonnast.
Küsisin selle asutajalt Adrian Mahieult 44CON ja konverentsi ülestõusmise liikumapanev jõud, mis ajendas teda pärast COVID-i uuesti alustama. "Tahtsin korraldada konverentsi, kuhu ma tahaksin minna, koos tõsiste põhjalike tehniliste kõnelustega, mõne huvitava sponsoriga, kes pole tavalised kahtlusalused, keda teistel tehnilise turvalisuse konverentsidel näete, kuid mis on minu jaoks kõige huvitavamad. on panna inimesed rääkima ja üksteiselt õppima,” ütleb ta.
See fookus ilmneb isegi sellistes lihtsates aspektides, nagu see, kuidas konverentsi korraldajad pühendasid suure ühiskondliku ala lauaga istumiskohtadele, võimaldades osalejatel kohvi jagada, nautida suurepärast toitu või lihtsalt korraldada improviseeritud sulelindude sessioone. Kohal on inimesi oma küberjulgeolekukarjääri kõikidel etappidel, alates innukatest värsketest koolilõpetajatest, kes loovad sidemeid, kuni valdkonna liidriteni, kes otsivad talente ja loovad meeskonnatööd, aga ka palju inimesi, kes õigustavad deskriptorit „ekspert”.
Esindatud olid mitmed tööstusharud, sh ringhäälingu meelelahutus ja pilveteenuste pakkujad. "Ma ütlen müüjatele, et nad peavad kaasa võtma ainult tausta oma eksponentide lauale," selgitab Mahieu. "Ma ei taha, et need suured paleeputkad võtaksid ühiskondlikku ruumi, ma tahan, et kõik saaksid vabalt koos rääkida!"
Õhtune meelelahutus hõlmas turvakommunikatsiooni sõjamängu, mille kujundasid ja korraldasid uuenduslikud mänguarendajad Kivist paberikäärid. Threat Condition simuleerib probleeme ja probleeme, mis tekivad pärast mainet kahjustavat küberrünnakut, ning tõstab esile sellest tulenevad organisatsioonilised ja kommunikatsiooniprobleemid. SPS kavandas minu arvates parima lauapealse katastroofi taastamise stsenaariumi sõjamängu, mida ma kunagi näinud olen.
Üks asi, mis 44CONi teistest konverentsidest eristab, on selle COVID-19 ettevaatusabinõud. 44CON paigaldas kogu üritusele suure võimsusega õhupuhastid, et pakkuda osalejatele puhast ja hingavat õhku.
Chatham House'i vestlused
Arutelud peetakse all Chathami maja reegel, mis võimaldab inimestel vabalt rääkida ja oma uurimistööd jagada. Selles ametis sain põhjaliku vestluse ühe maailma pilveturbeeksperdiga. Arutasime, millist tüüpi sündmusi ta näeb ja millised on "tulekahjuhäire" sündmused.
"Identiteet on alati esikohal," ütles ta. "Meie CIRT reageerib mõne minutiga mandaatide lekkele avalikus lähtekoodihoidlas." Identiteedipõhise turvalisuse kaalumisel muutub liitujate, kolijate ja lahkujate probleem suureks, kuna pilveteenuse pakkuja näeb ainult märgina. „Oleme loa kasutusaja häälestamisel valiku ees – see on liiga lühike ja kasutajakogemus muutub liiga sagedaste sisselogimisprobleemide tõttu nõmedaks; liiga pikk ja märk muutub haavatavaks sellistel juhtudel nagu lõpp-punkti vargus. Iga tehingu riskihindamine lõpp-punktist on võimalik. Kuid arvestades iga pilveteenuse kasutaja tegevuse laiust, põrkub see kiiresti turvalisuse mastaapsuse tõkkesse.
Olles alati uudishimulik, kuidas siseringi probleem areneb, kasutasin võimalust küsida, kuidas juhtivad pilveteenuste pakkujad tegelevad traditsiooniliselt keeruliste probleemidega, nagu DLP, ja kuidas see pilvekeskkonnas migreerub. Paljudel turvatöötajatel on endiselt raskusi oma pärandi mõtteviiside muutmisega pilvepõhiseks. Minu turbeekspert soovis innukalt illustreerida: „Näeme levinud probleemi, kus ärirakenduse kasutaja eksfiltreerib teabe isiklikesse AWS-i ämbritesse. See tähendab, et pilvelogi on nende isiklikus ämbris ja ettevõttel pole seda näha. Siiski on lihtne vastus – soovitame äriklientidel luua teenuseteadlik poliitika, mis piirab juurdepääsu ämbritele ettevõttele kuuluvatele ämbritele.
See tähendab, et paljud turbepraktikud piirduvad endiselt pärandmõtlemise ja arhitektuurimudelitega, mille põhinäitaja on see, kui praktikud proovivad filtreerida IP-aadressi alusel, põhimõtteliselt üritades taasluua oma traditsioonilist andmekeskust pilveteenuse keskkonnas. Pilveeksemplarid on oma olemuselt lühiajalised, võimaldades asjatundlikel arhitektidel ja arendajatel nõudmisel eksemplare luua ja hävitada. IP-aadressid lihtsalt ei oma selles kontekstis tähtsust.
Osalemine ja esitlemine
Capture-the-flag (CTF) sündmused on paljude küberjulgeolekukonverentside jaoks olulised, kuid isegi siin on 44CONil omaette keerukus. Selle aasta CTF-i korraldas Trace Labs, Kanada mittetulundusühing, mis teeb koostööd õiguskaitseasutustega, et kasutada ära OSINT-i kogumise võimsust, et aidata käimasolevatel kadunud isikute uurimisel. Selle asemel, et oma ärakasutamiskomplekte sihtmärgile loopida, kutsuti võistlejaid üles "kasutama oma jõudu heaks" ja võtma tõelisi kadunud inimeste juhtumeid ja jahtima avatud lähtekoodiga luureandmete puuduvaid tükkevõi lipud. Mida rohkem lippe meeskond leiab, seda rohkem punkte nad saavad, aidates samal ajal kadunute andmebaasi terviklikumaks muuta.
Ja jätame parima viimaseks – kõnelused! Pealkirjaks oli James Forshaw Google Project Zerost, olid suurepärased esitlused saadaval, mis võimaldab meil kõigil saada teavet haavatavuste ja ärakasutamise kohta, olenemata sellest, kas olete punane või sinine meeskonnamees. Turvakoolituse nõustaja Secure Practice kaasasutaja ja tegevjuht Erlend Andreas Gjære rääkis inimliku puudutuse vajalikkusest küberjulgeolekus ning salapärane võõras, keda identifitseeriti vaid "kübergiboonideks", selgitas, kuidas ta võttis kontrolli alla kruiisilaevad, naftaplatvormid ja teised kaubalaevastiku alused kõnes "Ma olen nüüd kapten!"
Viimane, kuid mitte vähem oluline oli inspireeriv kõne Haroon Meerilt, kes lõpetas konverentsi, julgustades kõiki osalejaid oma uuendusi valla päästma ja looma turvatooteid, mida maailm vajab. Meer jälgis, kui palju praegu turul olevatest toodetest on ussiõli, mida kauplevad inimesed, keda vanaema juurde üksi koju ei jätaks. Ta juhtis ka tähelepanu sellele, et tee tulusa SaaS-i äri juurde on lihtsalt leida midagi, mida 1,000 inimest tahaks kasutada – see on tõenäoliselt parim nõuanne alustavatele ettevõtjatele alates ajast. Ron Gula viie slaidiga tekk.
