แบ่งปันความรู้ที่ 44CON

44CON — ลอนดอน — หลังจากหยุดพักไปสองปี การประชุมด้านความปลอดภัยข้อมูล 44CON ของลอนดอนกลับมาอีกครั้งในวันที่ 16-16 กันยายน พ.ศ. 2022 ผู้เผยแพร่ศาสนาด้านความปลอดภัยที่กระตือรือร้นได้เข้าร่วมโดยสถาปนิกและผู้จัดการจากบริษัทเทคโนโลยีชั้นนำเพื่อเพลิดเพลินกับเทศกาลวิจัยความปลอดภัยทางไซเบอร์เป็นเวลาสองวันจาก ผู้นำระดับโลก ผู้คนมาพบปะ ทำธุรกิจ พูดคุยและเรียนรู้ โดยทีมงาน 44CON มอบความสนุกสนาน อาหารเลิศรส และความบันเทิงในธีมความปลอดภัยทางไซเบอร์

มันเหมือนกับ 5 บาบิโลน ของชุมชนอินโฟเซกของสหราชอาณาจักร

ฉันถาม Adrian Mahieu ผู้ก่อตั้ง 44คอน และแรงผลักดันเบื้องหลังการฟื้นคืนชีพของการประชุม อะไรเป็นแรงบันดาลใจให้เขาเริ่มต้นใหม่อีกครั้งหลังโควิด-XNUMX “ฉันต้องการจัดการประชุมที่ฉันต้องการเข้าร่วม โดยมีการพูดคุยทางเทคนิคเชิงลึกอย่างจริงจัง ผู้สนับสนุนที่น่าสนใจสองสามรายซึ่งไม่ใช่ผู้ต้องสงสัยตามปกติที่คุณจะเห็นในการประชุมด้านความปลอดภัยทางเทคนิคอื่นๆ แต่น่าสนใจที่สุดสำหรับฉัน กำลังทำให้ผู้คนพูดคุยและเรียนรู้จากกันและกัน” เขากล่าว

การมุ่งเน้นนี้แสดงให้เห็นแม้ในแง่มุมที่เรียบง่าย เช่น วิธีที่ผู้จัดประชุมอุทิศพื้นที่ส่วนกลางขนาดใหญ่ให้กับที่นั่งแบบตั้งโต๊ะ อนุญาตให้ผู้เข้าร่วมประชุมแบ่งปันกาแฟ เพลิดเพลินกับอาหารเลิศรส หรือเพียงแค่มีเซสชั่นนกจากขนนกอย่างกะทันหัน บุคลากรในทุกขั้นตอนของอาชีพการรักษาความปลอดภัยทางไซเบอร์นั้นมีอยู่ ตั้งแต่ผู้สำเร็จการศึกษาที่เพิ่งจบใหม่ๆ ที่ต้องการเชื่อมต่อกับผู้นำในอุตสาหกรรม การคัดเลือกผู้มีความสามารถและการสร้างทีม ตลอดจนคนจำนวนมากที่ให้ความชอบธรรมกับคำว่า “ผู้เชี่ยวชาญ”

มีตัวแทนจากภาคอุตสาหกรรมหลายแห่ง รวมถึงการออกอากาศความบันเทิงและผู้ให้บริการระบบคลาวด์ “ฉันบอกผู้ขายว่าสิ่งที่พวกเขาต้องนำมาคือฉากหลังสำหรับโต๊ะผู้แสดงสินค้า” Mahieu อธิบาย “ฉันไม่ต้องการให้คูหาหรูหราขนาดใหญ่เหล่านั้นกินพื้นที่ส่วนกลาง ฉันต้องการให้ทุกคนได้พูดคุยกันตามสบาย!”

ความบันเทิงยามเย็นรวมถึง wargame การสื่อสารความปลอดภัยที่ออกแบบและโฮสต์โดยผู้พัฒนาเกมที่เป็นนวัตกรรม กรรไกรกระดาษหิน. เงื่อนไขการคุกคามจะจำลองปัญหาและปัญหาที่เกิดขึ้นหลังจากการโจมตีทางไซเบอร์ที่สร้างความเสียหายต่อชื่อเสียงและเน้นย้ำถึงความท้าทายขององค์กรและการสื่อสารที่เป็นผลสืบเนื่อง SPS ออกแบบสิ่งที่ฉันคิดว่าอาจเป็นเกม wargame สถานการณ์การกู้คืนจากภัยพิบัติบนโต๊ะที่ดีที่สุดที่ฉันเคยเห็น

สิ่งหนึ่งที่ทำให้ 44CON แตกต่างจากการประชุมอื่นคือมาตรการป้องกัน COVID-19 44CON ติดตั้งเครื่องฟอกอากาศกำลังสูงทั่วทั้งสถานที่เพื่อให้อากาศสะอาดและระบายอากาศได้สำหรับผู้เข้าร่วมประชุม

แชทบ้านชาแธม

การอภิปรายจะจัดขึ้นภายใต้ กฎบ้านชาธรรมทำให้ผู้คนสามารถพูดและแบ่งปันงานวิจัยได้อย่างอิสระ ในแง่นั้น ฉันสามารถสนทนาเชิงลึกกับหนึ่งในผู้เชี่ยวชาญด้านความปลอดภัยบนคลาวด์ของโลก เราได้หารือเกี่ยวกับประเภทของเหตุการณ์ที่เขาเห็น และเหตุการณ์ใดเป็นเหตุการณ์ "สัญญาณเตือนไฟไหม้"

“ตัวตนต้องมาก่อนเสมอ” เขากล่าว "CIRT ของเราตอบสนองต่อการรั่วไหลของข้อมูลประจำตัวในที่เก็บซอร์สโค้ดสาธารณะในไม่กี่นาที" เมื่อพิจารณาถึงการรักษาความปลอดภัยที่ให้ความสำคัญกับข้อมูลประจำตัวเป็นอันดับแรก ปัญหาของ joiners, movers และ leavers จะกลายเป็นเรื่องใหญ่ เนื่องจากผู้ให้บริการระบบคลาวด์ทั้งหมดมองว่าเป็นโทเค็น “เรากำลังเผชิญกับทางเลือกในการปรับอายุการใช้งานโทเค็น — สั้นเกินไป และประสบการณ์ของผู้ใช้ก็แย่มากด้วยความท้าทายในการเข้าสู่ระบบบ่อยครั้งเกินไป ยาวเกินไป และโทเค็นจะมีความเสี่ยงในกรณีเช่น การโจรกรรมปลายทาง” การประเมินความเสี่ยงทุกธุรกรรมจากปลายทางนั้นเป็นไปได้ แต่เมื่อพิจารณาจากความกว้างขวางของกิจกรรมสำหรับผู้ใช้บริการระบบคลาวด์ การดำเนินการนี้จึงเข้าสู่อุปสรรคด้านความสามารถในการปรับขนาดของระบบความปลอดภัยอย่างรวดเร็ว

ฉันสงสัยอยู่เสมอว่าปัญหาภายในมีการพัฒนาอย่างไร ฉันจึงใช้โอกาสนี้เพื่อถามว่าผู้ให้บริการระบบคลาวด์ชั้นนำกำลังจัดการกับปัญหาที่ยุ่งยากตามธรรมเนียมเช่น DLP อย่างไร และการย้ายข้อมูลในสภาพแวดล้อมระบบคลาวด์นั้นเป็นอย่างไร ผู้ปฏิบัติงานด้านความปลอดภัยจำนวนมากยังคงประสบปัญหาในการแปลงความคิดเดิมให้เป็นแบบคลาวด์เนทีฟ ผู้เชี่ยวชาญด้านความปลอดภัยของฉันกระตือรือร้นที่จะอธิบาย: “เราเห็นปัญหาทั่วไปที่ผู้ใช้แอปพลิเคชันทางธุรกิจจะกรองข้อมูลไปยังบัคเก็ต AWS ส่วนบุคคล ซึ่งหมายความว่าบันทึกของระบบคลาวด์จะอยู่ในบัคเก็ตส่วนตัว และธุรกิจก็ไม่สามารถมองเห็นได้ อย่างไรก็ตาม มีคำตอบง่ายๆ คือ เราแนะนำให้ลูกค้าธุรกิจสร้างนโยบายการรับรู้บริการที่จำกัดการเข้าถึงบัคเก็ตสำหรับบัคเก็ตของบริษัท”

สิ่งนี้หมายความว่าผู้ปฏิบัติงานด้านความปลอดภัยจำนวนมากยังคงถูกจำกัดอยู่แค่การคิดแบบเดิมๆ และโมเดลทางสถาปัตยกรรม ตัวบ่งชี้ที่สำคัญคือเมื่อผู้ปฏิบัติงานพยายามกรองตามที่อยู่ IP โดยพื้นฐานแล้วพยายามสร้างศูนย์ข้อมูลแบบดั้งเดิมขึ้นใหม่ในสภาพแวดล้อมบริการคลาวด์ อินสแตนซ์ระบบคลาวด์นั้นเกิดขึ้นชั่วคราวโดยธรรมชาติ ทำให้สถาปนิกและนักพัฒนาที่เชี่ยวชาญสามารถสร้างและทำลายอินสแตนซ์ได้ตามต้องการ ที่อยู่ IP ไม่สำคัญในบริบทนี้

เข้าร่วมและนำเสนอ

เหตุการณ์ Capture-the-flag (CTF) เป็นส่วนสำคัญสำหรับการประชุมด้านความปลอดภัยทางไซเบอร์หลายครั้ง แต่ถึงกระนั้นที่นี่ 44CON ก็มีความหมุนของตัวเอง CTF ประจำปีนี้จัดโดย Trace Labs ซึ่งเป็นองค์กรไม่แสวงหาผลกำไรของแคนาดาที่ร่วมมือกับหน่วยงานบังคับใช้กฎหมายเพื่อใช้ประโยชน์จากพลังของการรวบรวม OSINT ที่รวบรวมจากฝูงชนเพื่อช่วยในการสอบสวนบุคคลที่สูญหายอย่างต่อเนื่อง แทนที่จะโยนชุดเจาะช่องโหว่ไปที่เป้าหมาย ผู้เข้าแข่งขันได้รับเชิญให้ "ใช้อำนาจของตนให้ดี" และดำเนินคดีกับผู้สูญหายที่แท้จริงและ ตามล่าหาชิ้นส่วนโอเพ่นซอร์สที่หายไปหรือธง ยิ่งทีมค้นหาธงได้มากเท่าไร พวกเขาก็ยิ่งได้คะแนนมากเท่านั้น ในขณะเดียวกันก็ช่วยทำให้ฐานข้อมูลคนหายมีความสมบูรณ์มากขึ้น

และเก็บสิ่งที่ดีที่สุดไว้เป็นครั้งสุดท้าย - การเจรจา! นำโดย James Forshaw จาก Google Project Zero การนำเสนอที่ยอดเยี่ยมคือ ใช้ได้ซึ่งช่วยให้เราทุกคนเรียนรู้เกี่ยวกับช่องโหว่และการเอารัดเอาเปรียบล่าสุด ไม่ว่าคุณจะเป็นทีมสีแดงหรือสีน้ำเงิน Erlend Andreas Gjære ผู้ร่วมก่อตั้งและซีอีโอของ Secure Practice ที่ปรึกษาด้านการฝึกอบรมด้านความปลอดภัย กล่าวถึงความจำเป็นในการสัมผัสของมนุษย์ในการรักษาความปลอดภัยในโลกไซเบอร์ และคนแปลกหน้าลึกลับที่ระบุว่าเป็น "cybergibbons" เท่านั้น อธิบายว่าเขาเข้าควบคุมเรือสำราญ แท่นขุดเจาะน้ำมัน และ เรือเดินสมุทรอื่น ๆ ในการเสวนาที่เรียกว่า "ตอนนี้ฉันเป็นกัปตันแล้ว!"

สุดท้ายแต่ไม่ท้ายสุดคือคำปราศรัยที่สร้างแรงบันดาลใจโดย Haroon Meer ซึ่งปิดการประชุมโดยแนะนำผู้เข้าร่วมประชุมทั้งหมดให้ปลดปล่อยนวัตกรรมของตนและสร้างผลิตภัณฑ์รักษาความปลอดภัยที่โลกต้องการ เมียร์สังเกตเห็นว่าปัจจุบันมีผลิตภัณฑ์มากมายในตลาดเป็นน้ำมันงู ซึ่งขายโดยคนที่คุณจะไม่ปล่อยให้อยู่คนเดียวในบ้านของคุณกับคุณยาย นอกจากนี้ เขายังชี้ให้เห็นว่าเส้นทางสู่ธุรกิจ SaaS ที่ทำกำไรได้คือการหาบางสิ่งที่ผู้คน 1,000 คนต้องการใช้ ซึ่งอาจเป็นคำแนะนำที่ดีที่สุดสำหรับผู้ประกอบการรุ่นใหม่ตั้งแต่ ดาดฟ้าสนามห้าสไลด์ของ Ron Gula.