Para aprender más: SecSE y No cON Name

---

En muchos blogs dedicados a seguridad informática se publican habitualmente listados con conferencias variadas, tanto cerca de casa como en los más lejanos lugares del mundo (o casi). Yo suelo escribir poco sobre eso, y para compensar un poco hoy hablamos de dos conferencias que me llaman la atención.

Lejos de casa, tenemos una conferencia nueva que acaba de cerrar el registro para candidatos a presentar (el call for papers, en argot). Es SecSE, una conferencia dedicada a la seguridad en el desarrollo que celebra su quinta edición en Viena, y que tendrá temas tan interesantes como la forma de abordar las tareas propias de seguridad en un proyecto de desarrollo de software cuando hay metodologías ágiles de por medio, seguridad en el diseño, codificación e implantación de software, técnicas de verificación y pruebas, seguridad y usabilidad, o análisis de riesgos, entre muchos otros temas. Se celebra entre el 22 y el 26 de Agosto.

Cerca de casa, una de las tres o cuatro principales conferencias que no hay que perderse es No cON Name. Con el objetivo de estimular la industria española de la seguridad informática a través del intercambio y actualización del conocimiento entre los profesionales y expertos, y aumentar la concienciación sobre la importancia de la seguridad de los medios tecnológicos en ciudadanos, organizaciones y empresas, se celebra este año en el CosmoCaixa de Barcelona el 16 y 17 de Septiembre.

Reunirá, igual que ha hecho en anteriores ediciones (para algo es la conferencia española en seguridad con más solera), a los mejores expertos del panorama español e internacional para hablar de muchos temas de seguridad informática, por ejemplo: phising y malware, gestión de identidades, prevención de fugas de información, herramientas/estudios/técnicas para BCP y SGSI, seguridad en el desarrollo de software, técnicas de ingeniería inversa, seguridad en dispositivos médicos, móviles, SCADA...

La lista de temas a proponer no es cerrada, y si tienes una idea buena podría tener cabida en la conferencia.. Aquí se pueden descargar las presentaciones de la edición anterior, para ir haciéndonos una idea. El plazo de presentación de propuestas para incluir un proyecto en el No cON Name 2011 ya está abierto y terminará el 31 de Mayo. Podemos encontrar más información aquí. La inscripción para los asistentes se abrirá el 15 de Mayo (o sea, en nada, así que date prisa si quieres ir).

Para estar al día: twitter de No cON Name.

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS, seguirlo en Twitter, o

ESSoS y otros

---

Ha pasado mucho mucho tiempo desde la última vez que escribí algo en el blog (la carga de trabajo no lo permite), y en estos días ha habido muchísimas cosas interesantes en el mundo de la seguridad informática que valía la pena reflexionar y contar. He perdido algunos eventos buenos, como la RootedCon, que al parecer ha sido todo un éxito (¡felicidades a los organizadores!), algunos noticiones como los relacionados con la red Mariposa y cómo ha sido distribuido el malware que la hace posible, o el advenimiento del esquema nacional de seguridad (en Seguridad y Gestión le dieron una vuelta al tema).

Para volver a la carga en el blog, hoy he leído la noticia de una nueva conferencia de seguridad informática: ESSoS estará dedicada al desarrollo seguro, acaba de lanzar su call-for-papers, y se celebrará en Madrid en Febrero 2011. Para no perdérselo.

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Seguridad web por ley?

---

Hace unos días se celebraban las conferencias IBWAS'09, las primeras conferencias conjuntas de OWASP Spain y OWASP Portugal. La última de las mesas-coloquio, al parecer (no estuve, por desgracia), trató sobre lo que deberían hacer los gobiernos en el 2010 para mejorar la seguridad en aplicaciones de web. Se emitió este comunicado, del que me gustaría hacerme eco. (Lo cuenta mejor SecurityByDefault en Seguridad en aplicaciones web y gobiernos).

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

fist conference

---

En un par de días son las conferencias FIST, organizadas por ISSA España y el Consejo Superior de Investigaciones científicas, y que tienen el propósito de difundir nuevos conocimientos sobre seguridad de la información, de forma gratuita. Una cita obligada en Madrid (más si hay que ganar créditos CPE para certificados varios).

Ver el programa: seguridad en wifi, seguridad en Windows Mobile, y Network Access Control.

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

el blogger summit

---

Como sabeis el día 3 tuvo lugar el Security Blogger Summit, un nuevo evento sobre seguridad informática, en Madrid, al que me apunté para escuchar a algunos blogueros clase-A lo que decían sobre el tema. La charla buscaba presentar, más o menos, el panorama actual sobre seguridad informática, desde el punto de vista del usuario final (usuario doméstico u organización de cualquier tipo): si estamos mejor o no, y qué se puede hacer para mejorar.

El listado de conferenciantes se puede encontrar en la web del evento. Destacaba por encima de todos, por supuesto, Bruce Schneier, que tiene fama mundial. Por cierto que he leído una entrevista que le han hecho en El Mundo, en el que curiosamente mencionaban cierta similitud con Chuck Norris (me llama la atención que un enlace a esto salga en un periódico de toda la vida). Y de hecho, su discurso de apertura fue de lo que más me gustó del evento, se nota muchísimo que tiene muchas tablas y que es un gran comunicador (aunque yo mismo critique un poco su forma de escribir en su sitio web). También hablan directamente del debate.

Honestamente, como debate divulgativo me pareció bastante bien, aunque tampoco creo que se dijera nada no sabido ya. Yo me quedé como ideas que me gustaron las siguientes:

En primer lugar la necesidad de hacer campaña divulgativa con cuatro recomendaciones sencillas, idea que brilla por simple (¿por qué esto no se hace ya en plan masivo, con anuncios en la tele y esas cosas?). Sobre concienciación en privacidad salió la idea de que sí, que el que un crío suba sus fotos al facebook (por ejemplo) va en contra su privacidad, pero que es exagerado eso de que el día de mañana puede ser malo para encontrar trabajo: probablemente quien le contrate tiene ahora más o menos su edad y hace exactamente lo mismo. Idea básica por tanto: concienciación e información, pero sin paranoia. Se hizo mención a la campaña "sentido común" de Inteco en esta línea.

Se habló, por otro lado, de cibercrimen y de la lucha de las fuerzas del orden por combatirlo, con indicación especial de que el Código Penal actual no contempla las palabras "ciberdelito" o "cibercrimen", así como de lo complejo que resulta perseguir a un atacante más allá de la frontera. La pelea, por tanto, se centra hoy día en el ámbito tecnológico.

También se mencionó la economía de IT, indicando algo obvio: los números mandan. La gente no está dispuesta a pagar más por un producto más seguro, así que se obvia este aspecto. Se utiliza un software u otro no porque sea mejor, sino porque es más barato, teniendo en cuenta distintos costes: adquisición, implantación, operación, formación del personal, etc. A muchas empresas les supone muchísimo ese coste de cambio ("switch cost", según Schneier), por lo que continúa, e incluso se expande, es el producto más malo.

Me quedé, en último lugar, con los comentarios sobre la complejidad creciente del software actual y su relación con el aumento de problemas de seguridad, así como la responsabilidad de los desarrolladores y fabricantes en este aspecto. Conste también la mención de otro espectador que dejó caer que en nuestro país salen productos peores entre otras cosas porque ponen a diseñar y desarrollar a gente no cualificada.

Un debate muy bueno, digno de verse en otro entorno más orientado al gran público, quizás en un programa tipo 59''. La organización me pareció muy buena, destacando el audio, el sitio elegido y el buen gusto de los organizadores, que supieron publicitar sus productos sin llamar la atención más de lo necesario (lo dicen en otros sitios y es absolutamente cierto) y además nos regalaron una muestra.

Al final hubo canapés y esas cosas, para que la gente pudiera hablar de forma más cercana con los conferenciantes. Yo no me podía quedar, aunque me hubiera gustado poder conocer a algunas personas, además de a los conferenciantes, por ejemplo a los de SecurityByDefault (me gusta su sitio y además los contenidos de este blog forman parte de su SBD bot).

Slds!

Nota: nos ponen citas con lo que se fue diciendo en la web oficial, esperemos que también videos etc.

También hablan de esto:
Error500 (su autor fue uno de los conferenciantes)
SecurityByDefault
Incognitosis

Actualización 25/02/2009: en Blogger Summit Recap nos dejan enlaces a fotos y videos

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Entramos en el nuevo año por fin

---

Mejor tarde que nunca, supongo. Acabo de dejar una pequeña nota, como entrada en el año, después de mucho tiempo sin escribir nada. Y dentro de un rato acudo al teatro de Bellas Artes de Madrid, a escuchar a algunos de los mejores bloggers sobre seguridad informática, en el 1st Security Blogger Summit . A ver si nos cuentan sus secretos para conseguir un blog ameno y que guste a la gente.

Sólo decir a los que siguen leyendo este blog, a pesar del tiempo de inactividad: muchas gracias :)

P.D. Dicen en el sitio web que se pueden ver las charlas online.

Slds!

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Nmap en BlackHat

---

Las últimas novedades de Nmap (versión 4.68 ahora mismo) fueron presentadas en las conferencias BlackHat. Daniel Miessler nos hace un pequeño resumen en su blog, y la ppt se puede descargar por ejemplo en insecure.org. Principalmente:

--reason: la razón por lo que te dice que un puerto está abierto o cerrado.
--top-port: escanear sólo los puertos más utilizados.

Hay que destacar además el nuevo motor para identificar el sistema operativo de la máquina escaneada, el lenguaje de scripting que incorporó en las últimas versiones, y además, la nueva interfaz gráfica, que puede generar un mapa de la red escaneada similar al que hace Cheops (nos indica dmiessler).

Nota final: en septiembre se espera el lanzamiento del libro "Nmap Network Scanning", que promete ser algo a tener en la estantería. Explicará no sólo las opciones de Nmap, sino como aplicarlas adecuadamente en la realización de tests de intrusión, realización de inventarios de red, detectar accesos wireless y proxies abiertos, etc.

OpenSolaris Day 2008

---

Me había propuesto acudir, hoy y mañana, a una serie de talleres sobre OpenSolaris, que se celebran en Madrid (España).

Contarán las últimas novedades en este sistema operativo, y se harán talleres donde expertos en el sistema enseñarán los entresijos del mismo. Los hay, por ejemplo, de Cherokee, del sistema de ficheros ZFS, o de monitorización. Puedes consultar el listado de talleres. La asistencia es libre y gratuita, y te puedes inscribir aquí.

Pero... ¡ay¡ el trabajo no me deja ir...

Sexy Pandas

---

El lunes se celebró la ronda de clasificación para la CTF de DEFCON, otra de las conferencias hacker más famosas del mundo. Un equipo formado por españoles, los Sexy Pandas, se ha clasificado para entrar en la ronda final, con muy buen resultado: en segundo lugar, ¡nada menos que empatados con los primeros!.

Se pueden ver los resultados en Kenshoto.

Quisiera dar mi enhorabuena a estos fieras, y decirles la envidia que me dan ;)

Concurso hacking Race-to-Zero

---

Saldrá este año en las conferencias Defcon: es el concurso Race-to-Zero. ¿De qué va? Pues se va a dar a los participantes (en equipos de hasta 4 personas) el código de unos cuantos virus, y tendrán que modificarlos, de forma que sigan haciendo lo mismo. Después usarán los principales antivirus del mercado para analizar las modificaciones, y ver si son o no detectadas como los virus originales, o siquiera como una amenaza.

La idea de los organizadores es demostrar las limitaciones que tienen los motores de antivirus basados en firma, y la necesidad de adoptar soluciones mejores.

Aquí se dice que a algunos no les gusta ;) a mí, personalmente, me parece una chulada.

Conferencias para dar y tomar

---

Hace algunos posts atrás mencionábamos BlackHat, sin decir nada sobre otras conferencias de seguridad y hacking ético, que las hay, y son muchas.

Al leer ayer la lista pen-test de SecurityFocus, vi que se han mencionado unas cuantas en la última semana:

Shakacon 2008: . Honolulu, Hawai, 10-11 de Junio
Recon 2008: Montreal, 13-15 de Junio
Troopers 2008: Munich, 23-24 de Abril
CanSecWest: Vancouver, 23-28 de Marzo (estas fueron a la vez que las BlackHat)
PacSec: Tokio, 12-13 de Noviembre
EuSecWest: Londres, 21-22 de Mayo

El nivel que debe haber en todas ellas será sin duda acojonante. En CanSecWest, por ejemplo, tienen el juego “PWN2OWN”, que consiste en hackear tres ordenadores personales, cada uno con un sistema operativo distinto, y todos totalmente parcheados. En la edición que acaba de terminar, uno venía con Ubuntu 7.10, otro con Vista SP1, y otro con OSX 10.5.2. Sólo se permite el uso de exploits no públicos y que el fabricante correspondiente no conozca… Tippingpoint, un fabricante conocido por su sistema de prevención de intrusiones, patrocina el evento y usa después los exploits utilizados para sacar nuevos advisories propios (permitírselo será condición para participar, supongo).

Mac fue el primero en caer, y Ubuntu el único que aguantó en el concurso… aunque esto no quiere decir nada, realmente.

Slds!

Black Hat Europe 2008 media archives

---

Ya están disponibles para descarga las presentaciones y videos de las últimas BlackHat en Amsterdam :)

¡Que aproveche!

Slds!

BlackHat

---

Esta semana, del 25 al 28, tenemos en Amsterdam uno de los mejores ciclos de conferencias y talleres de hacking ético del mundo: las BlackHat.

Me encantaría poder asistir y escuchar de primera mano a los mejores, lo juro, aunque lo más probable es que no me enterara de nada... en cualquer caso cuesta un riñon y parte del otro: entre 1000 y 1400 euros el asistir a las charlas, y entre 1500 y 2100 euros CADA uno de los talleres.

En estas, sí que se publican las traspas y a veces videos, gratuitamente. Podeis ver el temario, me parecen de particular interés estas, a bote pronto:

- "Spam Evolution": las técnicas que utilizan los spammers, las estrategias que se usan para combatirlo, y cómo evadirlas.
- "LDAP Injection & Blind LDAP Injection": nuevas maneras de realizar ataques de inyección LDAP. (esta es más importante, porque son dos españoles los que dan la charla: Chema Alonso y Jose Parada Gimeno, MVPs de Microsoft).
- "Beating phishers at their own game": tácticas y herramientas utilizadas por aquellos que hacen del phishing su "negocio". Se expone también cómo buscar a uno.
- "0-Day Patch -Exposing Vendors (In)Security Performance": esta nos hablará de la efectividad del proceso de publicación de nuevas vulnerabilidades, cuando se hace coordinándose con el fabricante (se le permite que haga el parche antes de lanzar información sobre la vulnerabilidad en foros y listas de distribución).

Hay muchas más, echadles un vistazo, ¡estas charlas son lo más avanzado en hacking y seguridad!.

Slds

VI Foro de Seguridad RedIris

---

Los días 27 y 28 de Marzo, en Barcelona, el IRIS-CERT organiza un ciclo de conferencias, el VI Foro de Seguridad RedIris. Este año está centrado en la seguridad de aplicaciones web, dado que este tipo de problemas son ahora mismo los más explotados (lo dicen ellos mismos, en su informe anual).

Me hago eco de estas conferencias porque hay dos que me parecen particularmente interesantes: las que hablan de seguridad en web services (en particular, del estándar WS-Security y relacionados), y de recolección de evidencias de intrusión en aplicaciones de web.

De las dos conferencias, se dice lo siguiente en el programa:

Restricción y evidencia en infraestructuras 2.0

La definición e implantación de políticas, guías y procedimientos de codificación no supone la eliminación total de los nuevos riesgos de seguridad en el desarrollo de aplicaciones web 2.0.

Así en el proceso de gestión de estos riesgos es importante considerar las posibilidades de detección y prevención proporcionadas por la infraestructura de sistemas de información en la que se procede al despliegue de los desarrollos web 2.0. Estos elementos de infraestructura constituyen tanto posibles puntos de control, como de recolección de actividad.

Ponentes: Miguel Suárez Albares y Alfredo Reino, Symantec Iberia

Protegiendo nuestros servicios web

Web Services Security (WS-SEC) nos proporciona un entorno de seguridad sobre mensajes SOAP permitiendo integridad, confidencialidad y autenticación de mensaje, en los cuales podemos utilizar diferentes modelos de seguridad y técnicas de cifrado. Esta especificación nos define un sistema general extensible para relacionar tokens de seguridad con mensajes SOAP. A través de los diferentes perfiles propuestos en WS-SEC, podemos utilizar tokens binarios (binary security token), aserciones SAML (SAML assertion) y tickets de kerberos, entre otros.
En esta ponencia se mostrará una visión completa del estándar Web Services Security deteniéndose en los perfiles más significativos.

Ponente: Cándido Rodríguez, RedIRIS

Actualización: transparencias