HEK.SI 2017
Utrinki s Konference HEK.SI 2017
Oglejte si, kako smo se imeli na Konferenci HEK.SI, ki se je odvijala 6. in 7. aprila 2017.
Pozdrav in uvodni nagovor organizatorja konference.
Aleksander Šinigoj, Palsit d.o.o.
HEK.SI je konferenca etičnega hekinga, na kateri se vsako leto zberejo IT in računalniški strokovnjaki, informatiki in vsi, ki jih zanima področje etičnega hekinga. Poleg primerov dobre prakse vdorov ter napadov, so na konferenci prikazani tudi praktični primeri etičnih napadov ter tehnik, ki se jih poslužujejo napadalci.
Kratki posnetki predavanj – HEK.SI 2017
Penetracijski test, WAF ali oboje?
Matevž Mesojednik, NIL d.o.o.
Rešitev Web Application Firewall (WAF) sama po sebi ne zamenjuje potrebe in učinka rednega varnostnega preverjanja spletnih aplikacij. Velja tudi obratna zakonitost. Zakaj, vam razkrijemo v uvodnem predavanju.
Odgovor na kibernetsko nevarnost – Postavitev varnostno-operativnega centra
Uroš Majcen, S&T Slovenija d.d.
Kako na celovit način odgovoriti na izzive kibernetske varnosti? Zakaj samo določena tehnologija ali storitev ne bo dovolj? Kakšne so dileme in trendi? Kaj je to varnostno-operativni center? Ali bo izboljšal mojo kibernetsko varnost?
A story about a really bad hack
Antonio Zekić, Infigo d.o.o.
“We’re so small, in such a small country like Croatia, no one would take interest in hacking our systems.” Have you ever heard such a sentence? For us – it happens too often: both the saying and the hack!
Odgovorno poročanje varnostnih ranljivosti v Sloveniji
Nataša Klenovšek Arh, Fundacija SICEH
V tem predavanju se bomo ukvarjali z vprašanjem, kaj pomeni odgovorno poročanje varnostnih ranljivosti, kakšne so prakse pri nas in v tujini ter s kakšnimi težavami se v procesu poročanja ranjivosti soočajo raziskovalci, ki ranljivosti poročajo in organizacije, ki so jim ranljivosti poročane.
Security through obscurity – are enterprise level printers & scanners my friends or enemies?
Balázs Hambalkó, Balasec
What is that tool you have never ever involved into your security forensic processes? When your company get a security related incident which tool will not be suspected of by your IT Security Experts?
Množična zloraba pametnih telefonov in vdor v zasebnost
Aleš Ažman, Detekta d.o.o.
1. uporaba pametnih telefonov
2. poseganje v zasebnost
3. zloraba app-ov
Exploit generation and JavaScript analysis automation with WinDBG
Csaba Fitzl
Presentation will cover two different topics, which will show how easy and powerful is to automate various tasks with WinDBG.
Zaznavanje in prepoznavanje sredstev za nedovoljeno zvočno in slikovno snemanje
Tibor Tajnšek, Detektivsko Varnostna Agencija Dva Fokus d.o.o.
Živimo v informacijski dobi, v kateri ima informacija ali podatek neprecenljivo vrednost. Vsi se premalo zavedamo pomembnosti informacij in podatkov, s katerimi razpolagamo ter temu primerno tudi posvečamo varnosti le teh. Informacija ali podatek danes pomeni ključno prednost pred konkurenco in tako je njena oziroma njegova varnost vedno ogrožena.
Security in health care – When disclosure of vulnerabilities could harm patients
Kevin Kelpen, ERNW
In the past, medical devices were solely mechanical without any external interfaces. Technical advances have not stopped for these devices as well however: Nowadays they are complex with features like networking and remote management, while security on the other hand has not been a concern.
Pravniki vidiki hekanja in kdaj postane heker neetični heker
Taja Andrej, Eudace d.o.o.
Linija med dobrim (dopustnimi posegi v sisteme) in slabim (kršitvijo zakonodaje ter pogodbenih določil) je tanka. Zlahka se zgodi, da heker prestopi črto, ki ločuje poslovneža od zločinca in se znajde na strani preganjanega.
OWASP Internet of Things penetration testing methodology
Mane Piperevski, Piperevski & Associates
Knowledge to do penetration testing is often considered execution of project based testing in one IT system. Today we are moving forward with use of Internet of Things (IoT) that combines different technologies and IT systems under one solution IoT.
Aktualne kriminalistične preiskave napadov na informacijske sisteme
Toni Kastelic, MNZ – Policija, Uprava za primere kriminalistične policije
Predstavljena bo aktualna problematika kaznivih dejanj “Napad na informacijski sistem po 221. členu Kazenskega zakonika”, predvsem načina storitve, ki sta v zadnjem času najpogostejša, to sta izsiljevalski virusi in pa tki. CEO e-mail scam (goljufije/lažno predstavljanje).
Make It Count – Progressing through Pentesting
Bálint Varga-Perke, Silent Signal
As attacks become more visible and IT security becomes top priority in more and more areas the demand for professional consulting grows rapidly. In the case of penetration testing, this means that many new people get involved in the execution, while many companies run their first ever offensive assessments.
Vaje iz kibernetske varnosti Cyber Europe
Matej Breznik, SI-CERT
Slovenija od leta 2012 naprej vsako drugo leto sodeluje na vaji iz kibernetske varnosti Cyber Europe, ki jo organizira Agencija za omrežno in informacijsko varnost ENISA. V predavanju bodo predstavljeni različni scenariji, vloge igralcev in dosedanje izkušnje SI-CERT s temi vajami.
Darktrace
Akos Bodis, Yellow Cube
Darktrace, the enterprise network immune system developed by leading mathematicians and ex-government intelligence specialists has arrived to Slovenia. The Darktrace Enterprise Immune System technology detects and responds to previously unidentified threats, powered by machine learning and mathematics developed by specialists from the University of Cambridge.
The behaviour of Malware
Jose Perez Alegre, F-Secure Labs
The Malware techniques evolve continuously, but its behaviour remains. In this presentation, we will look at some of the common and uncommon ways the Malware act on a Windows system from compromise to persistence.
Open Source Intelligence Techniques (OSIT)
Michael Stout, Nemsec
Ever wonder about your Internet footprint? What is the information out there about your organization or you personally? OSIT are used by hackers to gather information on companies before an attack to minimal their exposure.
Automated Network Behaviour Analysis and Anomaly Detection
Andrej Vnuk, ALEF Distribucija SI d.o.o.
Danes je posel večine podjetij odvisen od delovanja omrežja in vsaka motnja ima vpliv na poslovanje. Ali imate v vsakem trenutku podroben vpogled v omrežni promet ali pa je bolj podoben črni luknji, kjer poznate v najboljšem primeru zgolj osnovne SNMP informacije o količini prometa?
S službenim prenosnikom na domač wi-fi – ne hvala!
Peter Kavčič, Fakulteta za organizacijske vede
V predavanju bo izpostavljeno, kako lahko napadalec izkoristi ranljivost javnega ali zasebnega (domačega) wi-fi omrežja za prilastitev nepooblaščenega dostopa do korporacijskega omrežja.
Demystifying the Darknet
Michael Stout, Nemsec
What lurks in the encrypted bytes of the Internet? In this fast-paced lecture and demonstration, Michael Stout will take you from a Darknet client to Darknet host. Participants will learn how to get onto the Darknet, what one can find in the Darknet and how to set up a Darknet site to better understand the risks (or benefits) the Darknet presents to Information Security professionals.
Samozaščitni procesi pred ne-etičnimi hekerji in ostalimi plenilci kibernetskega sveta
Anže Mihelič, Fakulteta za varnostne vede
Informacijsko-komunikacijske tehnologije so v razvitem svetu postale nerazdružljivo povezane z vsakodnevnim življenjem. Zgolj z dotikom zaslona, lahko posameznik v nekaj trenutkih odigra vlogo starša, prijatelja, zaposlenega, organizatorja, …
T(rojan) SQL 2000-2016
Balázs Hambalkó, Balasec
Based on my research, I have developed a malicious code in TSQL and have implemented into the MsSQL model database successfully. With this brand new idea I was able to leverage a vulnerability even though the company follow the Security Best Practices books.
Učinkovito ozaveščanje in trening zaposlenih o ribarjenju, ransomwaru ipd.
Brane Vasiljevič, Hic Salta d.o.o.
Ker je e-pošta danes osnoven način vsakodnevne komunikacije, jo hackerji/napadalci pogosto uporabljajo za pridobivanje občutljivih poslovnih in osebnih informacij. Danes se 90% elektronskih zlorab prične z različnimi metodami ribarjenja/phishinga.
ICT Forensics – Investigating Internet of Things Devices
Mane Piperevski, Piperevski & Associates
We all use them, they are part of our life. Internet of Things (IoT) devices are easily becoming part of some crime and therefor it is up to ICT forensics investigation to help solve the crime. Attend this lecture to see look inside ICT forensics investigation process on finding key evidence from IoT devices.
Cybersecurity from Airbus
Akos Bodis, Yellow Cube
Backdoors and computer networks exploitation is a serious threat to any nation state government or corporation that is looking to safeguard citizen’s personal data and R&D intellectual property.
Mobile payments apps data protection
Iztok Štorman, Finspire AG
The threat landscape is evolving, and mobile threats are on the rise. What can we learn from recent mobile threats to better protect mobile data, end-to-end, today and tomorrow? Security presentation will touch:
Varnost kreditnih kartic – grožnje in varnostne zahteve
Andrej Rakar, SIQ
Kraja podatkov kreditnih kartic je na prvem mestu med javno objavljenimi znanimi incidenti o kraji podatkov. Zaradi globalnosti transakcij je tovrstne informacije namreč še vedno najlažje zlorabiti in pridobiti takojšnjo finančno korist.
Odgovorno razkritje ali neodgovorno nerazkritje
Matej Kovačič, Inštitut Jožef Štefan
Eden izmed razlogov za redno posodabljanje varnostnega sistema tiči v javnih razkritjih in objavah o njihovih sistemih. Ranljivost nekega podjetja, ki se ukvarja z razvijanjem programske opreme torej ni sama programska oprema, temveč so odnosi z javnostjo.
Primer AJPES in odgovorno razkrivanje ranljivosti – študija primera
Gorazd Božič. SI-CERT
Odgovorno razkrivanje podatkov omogoča sodelovanje širše strokovne javnosti, vključno z neodvisnimi raziskovalci, pri odpravljanju varnostnih ranljivosti in ima za posledico splošno izboljšanje varnosti uporabnikov in zaščite podatkov.
OKROGLA MIZA: Kakšna so pravila odgovornega razkrivanja in kje so meje etičnega hekanja?
– Razlogi za potrebo po odgovornem razkrivanju ranljivosti (responsible disclosure). – Vloga etičnega hekerja. Nosi tudi on kakšno odgovornost? – Primeri razkrivanja ranljivosti v Sloveniji in zapleti, ki lahko pri tem nastanejo za posamezne
Želite dostop do celotnih posnetkov?
Za ogled celotnih posnetkov konference HEK.SI 2017 morate zakupiti dostop do spletnega portala.