[Musica]
parleremo della squadra reale
testare oggi tutti possono sentirmi bene
Sto assumendo così perché ho un microfono e
tutto quel genere di cose ma io sono un
loudmouth comunque fatny loudmouth così
Chi sono io prima di iniziare ho ottenuto
per dirti un paio di cose su di me e
c’è una ragione principale per questo diverso da
il fatto che posso mettere le mie foto
bambini e fighi costumi di Star Wars è
molto importante per capire la mia mentalità
mentre ascolti ciò di cui parlo io sono
un nerd di sicurezza che ho fondato e gestito in sicurezza
idee siamo una società di consulenza fuori
Jacksonville Florida siamo 16 persone
ora che soffia la mia mente
non siamo enormi ma è più grande di me
mai pensato sarebbe stato perché era un
incidente non c’è mai stato un piano per iniziare
un business che ho appena avuto persone mi chiedono se io
potrei fare un po ‘di lavoro e potrei e così anch’io
fatto e poi prossima cosa so di avere 16
dipendenti sono responsabile per loro
mutui che è una specie di diritto di paura
così ho fatto per un po ‘ho
stato coinvolto in IT come sviluppatore e
come amministratore per circa 25 26 anni ho
sono un nerd se non lo sai ora tu
lo sapremo alla fine del discorso
fondamentalmente sono così nerd che il ragazzo che
usato per prendere il mio pranzo soldi tutta la strada
attraverso la scuola pranza ancora il mio pranzo
i soldi abbastanza spesso ma principalmente fanno a
maledettamente buon sandwich della metropolitana quindi sono anche io
membro della facoltà di anioni , siamo una decisione
la compagnia di supporto pensa Gartner ma è meglio
e naturalmente sono di parte giusto così ho fatto
stato membro della facoltà di anioni per circa
cinque anni e io parlo e
l’insegnamento e tutto quel genere di cose che ho
ha scritto il web pentesting e mobile
curriculum di sicurezza per SANS Institute
insegno da cui ho insegnato ovunque
Virginia Tech a Princeton l’ UF che
è un po ‘divertente perché ho fatto a malapena
è la scuola superiore destra non si vince
quando è venuto e ha detto Princeton hey può voi
insegno a una classe, sono come si, certo
Princeton è un po ‘ freddo, io
Ho una Lega, non so davvero cosa
Ivy League significa, ma l’ inferno andrò oh
giusto così abbiamo iniziato a fare il contratto
negoziazione e questo è quando sono venuti
indietro e hanno detto hey Kevin dove
hai il dottorato e ho detto bene che posso
scrivi quelle tre lettere ma intendo te
voglio che lo scriva su un pezzo di carta
Non so che non ho un dottorato Oh cosa
a proposito del tuo padrone, non ho un
maestro, sia chiaro, io non ho un
bachelor o un A o oh hanno dovuto
ottieni un’eccezione speciale per farmi venire
insegnare una classe che pensavo fosse
diritto assolutamente esilarante che è il motivo
Ora ti dico anche io corro un intero
un mucchio di progetti open source ecco il mio
raccomandazione se hai mai pensato di
te stesso uomo dovrei eseguire una fonte aperta
progetto che cosa dovresti fare è andare in piedi
nel mezzo di un’autostrada e lascia quattro
le macchine ti colpiscono e poi fanno qualcosa
altrimenti è orribile, voglio dire che le persone hanno
letteralmente chiamato casa mia e maledetto e
ho minacciato mia moglie perché non l’ho fatto
implementare una funzionalità che volevano ecco a
suggerimento non chiamare mai la casa e
minacciare la moglie di un ragazzo di cui intero
il lavoro è entrare nelle aziende e rubare
merda va bene solo una raccomandazione
soprattutto non se usi il tuo ID chiamante
e conosco il tuo nome oh, sto solo dicendo
giusto così faccio molte cose diverse
ma come ho detto il mio punto di vista è leggermente
diverso dal mio
tutto il lavoro giorno dopo giorno quando non lo sono
parlando e insegnando a cui sto entrando
aziende e rubare cose che dico
la gente tutto il tempo che ho il
il miglior lavoro del mondo posso entrare
dirti che il tuo bambino è brutto e fai schifo
e andare a casa è fantastico adesso è così
non proprio quello che faccio
valutare cose che aiuto a capire il rischio
e do consigli su come sistemare
è una delle cose principali che penso
differenzia le idee sicure dagli altri
le aziende è il fatto che non assumiamo
persone di sicurezza assumiamo sviluppatori e
amministratori perché sono un convinto sostenitore
e questo potrebbe non essere qualcosa che sei
ero abituato a sentire ma sono molto fermo
credente che se non posso darti
raccomandazioni attuabili nel mondo reale
allora sono inutile e per troppo tempo
amministratore e come sviluppatore otterrei
rapporti da penne e sicurezza
persone che hanno succhiato bene, oh, non puoi farlo
che io
devi farlo è così che la lingua
funziona bene no no no, dice un addetto alla sicurezza
sì , ragazzo della sicurezza, fallo saltare alle tue spalle
A proposito, questo discorso sarà pg-13
avrebbe dovuto dire che all’inizio
giusto così cerchiamo molto difficile fare questo mi piacerebbe
piace dire alla gente che io sono un
oratore internazionale perché ho parlato
L’Australia una volta in Canada, come quattro volte
Sono un po ‘come il Jacksonville
Aeroporto internazionale ha un volo
alle Bahamas una settimana quindi è un
Aeroporto internazionale Ho fatto quella battuta
ad una conferenza a Jacksonville e tu
avrei pensato che avevo fatto pipì
Whiaties di questo ragazzo era così pazzo che era
come siamo ad essa come nel mezzo di
il discorso è come siamo a
Aeroporto internazionale come davvero sì noi
si dice ottima risposta a una domanda e
Sarò d’accordo dove sono le abitudini e il
la risposta giusta non è Atlanta proprio così
un’altra cosa su di me è che sono pieno
di tangenti sono pieno di molte cose
i miei occhi sono marroni proverò a fare il
tangenti in qualche modo rilevanti non lo faccio
promettere che ma ci proverò quindi sono tutti
sul posto l’altra cosa è che ho
un senso dell’umorismo si prega di notare perché io
credi nell’onestà e ti avverto così
hai tempo di andartene non ho detto a
buon senso dell’umorismo il mio preferito attuale
scherzo ed è stato il mio preferito attuale
scherzo per un po ‘, ragazzi, sapete perché?
Walmart non è stato violato, non lo è
bersaglio così la parte migliore di questo scherzo
Devo introdurre l’ ISO di vedere
Walmart e io raccontammo quella barzelletta nella sua
introduzione non mi avrebbe stretto la mano
ragazzo come hey e lui andò e camminò
intorno a me e penso a me stesso ho detto
non eri abbastanza se avessi ottenuto il bene
fine di quella barzelletta, giusto ero ad un altro
conferenza e il CIO di destinazione era
Là
Ho iniziato il CSO del bersaglio era lì
e la conferenza non me lo permetterebbe
presentala come no, per favore non qui
dirai la tua battuta, certo che lo sono
dirò la mia battuta per tutto il tempo
Io quale motivo voglio che tu faccia così loro
Non avrebbe lasciato fare a me l’altra cosa che
voglio sottolineare ed è perché ho capito
un calcio fuori da qui sono molto orgoglioso di
questa mia moglie dice che è la più nerd
cosa che ho mai fatto io
un membro molto orgoglioso del 501st per il
le persone che non conoscono la 501st sono a
costumista gruppo di beneficenza abbiamo 10.000
membri in tutto il mondo l’anno scorso ci credo
raccolto 11 milioni di dollari per beneficenza noi
vestire in costumi di Star Wars e poi
sai che mi piace dire Star realistico
I costumi di guerra sono ciò che intendo per schermo
preciso perché non c’è niente
realistico su Star Wars, non importa come
tanto vogliamo che sia ma e andiamo e
raccogliere fondi per beneficenza, per esempio il
foto in mezzo c’era un cinque
ora evento Braille dove ne avevano 300
bambini ciechi e ci hanno portato in quello
me e il mio costume di Vader ci hanno portato
e lascia che i bambini sentano i personaggi
è stata la cosa più incredibile diversa da
i miei figli che io abbia mai fatto bene io
buona cosa ho un casco su cuz I
ho pianto, è semplicemente fantastico, così sono
piuttosto orgoglioso di quello che sono stato un membro
per alcuni anni, quindi iniziamo
su questo e siamo molto sinceri che ho
un sacco di scivoli non è vero ho 14 abbiamo ottenuto
un po ‘di tempo e parleremo di a
molte cose le diapositive sono lì
per cercare di tenermi a bersaglio okay um ma
la realtà è che la sicurezza è importante e
So di poterlo dire perché sono un
consulente di sicurezza quindi aiuta il mio
diritto di affari dire che siamo noi
Ognuno importante di sicurezza dovrebbe
prestare attenzione ad esso, ma la realtà è
è importante che ne abbiamo troppi
problemi oggi e non mi siederò
ok ok, mi siederò qui e darò
storie spaventose proprio perché il
la realtà è ciò che faccio per vivere è
spaventoso ma quello che spero sia che voi ragazzi
parti qui con un’idea di come puoi
migliorala
e voglio essere molto chiaro che il
idea su come migliorarlo no
richiede di assumere Kevin questo non è un
piazzola di vendita sì
Sono un consulente, sì, sono un avido
capitalista scherzo e dico che il mio
obiettivo aziendale è quello di essere protestato dal
Occupare il movimento giusto se lo si ha occupato
corte di sambuco Sono un successo completo
un mucchio di tende da pub nella mia strada senza uscita
giusto che sarebbe fantastico puzzolente ma
impressionante destra avrei trasformare un tubo sul
loro lo so che è il tipo di persona
Sono io sono solo cattivo dire che sono ufficialmente
uno stronzo secondo i registri della corte
Faccio il lavoro di un testimone esperto e ho avuto il
avvocato difensore chiamami uno stronzo
durante la mia deposizione ci vuole un bel
un po ‘ per ottenere un avvocato difensore da chiamare
sei uno stronzo in una deposizione registrata
renderlo migliore quando sono andato a testimoniare in
corte contro di loro ha ragione il giudice
in realtà mi ha detto come ho ottenuto così dopo di me
ho giurato che stavo camminando verso il cavalletto
lei era aspettare un minuto non sei tu il
stronzo e io sono come si ma per me
non sapevo cos’altro dire, sì
il tuo onore e lei è come oh va bene così
sono entrato nei registri giudiziari che sono
un coglione non so se piace
Prendimi un trofeo o altro, ma noi
pensate che la sicurezza sia importante perché lo è
cosa facciamo ma pensiamo anche che la sicurezza sia
importante perché è e lo darò
sei un buon motivo per me e per me
voglio essere molto chiaro questo non è un
pensa ai bambini perché è così
cazzate tutti usano quella cosa giusta
pensa ai bambini saremmo TSA
a causa dei bambini, lo sapete tutti
è la TSA sta per migliaia di destra
in piedi intorno
Sono contento che lo stiamo pagando ma quando
la mia più vecchia Brenna
A nove anni le fu diagnosticata una a
disturbo convulsivo e OCD giusto e
è un po ‘divertente un disturbo convulsivo
questo fa schifo ma lei lo supererà con no
effetti di lunga durata che sono un po ‘
bello giusto grazie a Dio OCD, ho OCD così
possiamo gestire che posso insegnarle come
per mantenere se stessa con i modelli
e tutto il resto come lei e lei
ha il vantaggio che suo padre sa
com’è quando è diverso per
lei che per me come lo è per tutti
con OCD giusto e non intendo come oh
Ho OCD perché è tutto
alfabetico il mio armadietto no tu sei un
Stronzo
ma le è stato diagnosticato un paio di mesi
dopo che le fu diagnosticata la Wolfson’s
L’ospedale pediatrico ha avuto un evento di violazione
ora non sappiamo se la violazione è stata
che qualcuno ha fatto irruzione e ha rubato merda o
che hanno appena perso i dati proprio perché
essi non vi danno queste informazioni ho
ti dirà che puoi cercare su google
Il numero di previdenza sociale di Brenna è giusto
adesso
è su internet con il suo medico
record o data di nascita il suo indirizzo e
ogni piccola informazione su di lei
l’ospedale aveva ciò che significa che a
nove anni mia figlia avuto modo di avere un
conversazione con me su cosa significasse
per il resto della sua vita che lei
l’identità era pubblica, lei doveva avere il
conversazione che per il resto di lei
la vita che avrebbe dovuto affrontare con il
fatto che altre persone stavano usando il suo
numero di previdenza sociale
perché perché la sicurezza non è stata pagata
attenzione a perché non mi interessa cosa
la breccia era che io davvero non intendevo io
fai la saggia curiosità giusta ma la realtà
questo tipo di violazione si verifica troppo spesso
quel tipo di dati in un anno di credito
il monitoraggio non lo risolverà per
di fatto, anche se loro
pagato per un anno un monitoraggio del credito lei
aveva nove anni, quindi non le fu permesso di firmare
per questo sentiti bene che è bello
una truffa giusta e quel tipo di problema è
qualcosa che vedo sempre e e
Ti darò un altro esempio, giusto io
lavorando con uno sviluppatore facciamo qualcosa
noi chiamiamo il pentecoste
perché guardo troppi episodi di
poliziotti quando ero un bambino e quindi cosa facciamo
siamo noi veniamo sul posto o lo faremo
da remoto ma sul posto sembra funzionare bene
veniamo sul posto e lavoriamo davvero
con gli sviluppatori il personale IT del
amministratori mentre testiamo noi l’applicazione
mostra loro cosa stiamo facendo e l’obiettivo
non è solo per trovare vulnerabilità ma
per mostrare loro come testare in modo che loro
non ho bisogno di assumermi la prossima settimana prossima
mese prossimo anno giusto perché il mio vero
l’obiettivo aziendale è di tirarmi fuori
affari se faccio il mio lavoro giusto non lo fai
ho bisogno di me così andiamo sul posto e sto lavorando
con questo avviso di sviluppo davvero bello I
non ho detto uno sviluppatore davvero intelligente ma a
sviluppatore davvero bello, a chi importava
chi voleva fare la cosa giusta e io
inizia a navigare sul sito web e come me
iniziare a sfogliare il sito che uso di uno strumento
chiamato burp che è un’intercettazione
proxy e mi permette di vedere tutto il
comunicazione dal mio cliente al
server server di nuovo al mio cliente giusto
un po ‘ carino e guardo questo
risposta che ritorna giù
e c’è vbscript nel client questo
è qualche anno fa giusto
c’è vbscript nel client che
avvia una connessione sequel a a
Microsoft sequel server dal client
e nella stringa di connessione è il
nome utente alcuni di voi potrebbero riconoscerlo sa
e quindi una password corretta non password a
password giusta è anche divertente
quegli anni fa non sai chi è il
il cliente è che non puoi usarlo e loro hanno
cambiato la password che non sento
comodo a dirti di cosa si trattava ma
era debole proprio così dico all’utente
lo sviluppatore che è seduto accanto a me
come se fosse brutto e lui lo guardasse
va perché, come vedremo, che
la password è sì si assomiglia a a
forte password non era, ma non lo faremo
entrare nel motivo per cui ha pensato che fosse giusto e
lui dice che è una password forte, oh mio
dio non proprio ma questo non è davvero il
problema
ha detto bene che cosa c’è di sbagliato con esso come
bene puoi guardare la password che lui è
come ho fatto a guardare il passaporto che non ho
conoscere la la risposta è ciò che c’è di sbagliato con
è si può guardare la password che ho
non importa quanto sei forte tu
può rendere quattromila caratteri
che sono sciolti come unicode
merda destra
password con emoji non so bene
non importa perché posso
evidenziarlo ctrl-c ctrl-v intendo whoa
non è nemmeno l’ hacking che sta guardando
fonte giusta che è come inferiore a whoa
appendere la frutta che fa schifo cadere dal
albero
marciume e lo sviluppatore onestamente
non ho capito il problema e e
sii onesto nel parlare con il ragazzo che era un
bravo sviluppatore credo, ma lui mai
pensato all’idea che l’utente
potrebbe guardare il contenuto che è venuto giù
ad esso che è divertente per me perché come
molti di voi come sviluppatori usano strumenti per
visualizzare il codice HTML che scende a voi
scrivi la console JavaScript tutto come
tu
fa parte del tuo lavoro quotidiano ancora nel suo
capo che era roba segreta, giusto così
il tipo di cose che trattiamo possiamo
parlare di attacchi avanzati destra apt
solo per chiarire che apt è due cinesi è
ora un termine di marketing va bene
non c’è nulla di avanzato sull’invio
una mail a qualcuno e averli
fare clic su un collegamento, quindi niente se qualche azienda
dice che abbiamo avuto una breccia è stato avanzato
attaccare davvero come è successo
Joe ha ricevuto una e-mail e ha fatto clic sul link
non abbiamo avanzato il diritto triviale che vogliamo
pensaci perché la realtà è
mentre ci muoviamo sempre più avanti
la sicurezza sta diventando qualcosa di persone
in realtà stanno pensando a quando dico
persone stanno pensando a questo proposito voglio dire la tua
utenti Ho un diritto cliente un’azienda
proprio ora che stiamo per fermarci
usando perché perché stiamo usando il loro
servizio e il loro servizio è insicuro
ora non siamo stati testati perché noi
non ho il permesso ma possiamo dirlo
usandolo che non hanno pensato
attraverso la sicurezza giusta e abbiamo raggiunto
a loro dire che è importante
e riconoscerò e riconoscerò il
fatto che io sono un diverso tipo di
cliente giusto Probabilmente non sono il tipo
del cliente che vuoi se non paghi
attenzione alla sicurezza perché faccio e
stiamo per licenziarli ora ecco il
problema quando licenzio un’azienda è proprio così
forte primavera ora inizio a usarli dentro
i miei esempi dei miei discorsi e li dico
che hey ti ho parlato di queste sicurezza
problemi ti ho parlato dei tuoi problemi
sono un CRM di marketing quindi loro
dispone di dati sensibili che hanno i dati relativi
se qualcuno di voi è venuto nel mio sito web
prima di parlare con l’idea in quel modo
andiamo a dare un’occhiata alla sua biografia e alle cagate del genere
John capisce che la mia biografia è strana, giusto
i tuoi dati ci sono perché loro
monitorato quel traffico e loro
integrare con Google Analytics e tutti
questo tipo di cose e conoscono le persone
ci mandano segnalazioni
è pazzesco come hey Joe di andare a
conferenza è appena arrivata al tuo sito web e
trascorso 14 minuti guardando queste pagine
ed ecco il suo numero di telefono la sua email
l’indirizzo e l’azienda per cui lavora, se
Pensavo che esistesse la privacy che avrebbe spaventato
il crudele fuori di me giusto ma loro no
avere sicurezza
quindi li licenzio e li faccio diventare un
esempio giusto è quello che succede quando
lavori con idee sicure e noi
dire alla gente che in anticipo quando
i venditori vengono e parlano con noi diciamo
hey proveremo qualsiasi prodotto, ma solo
capisci che diremo alla gente cosa
ci pensiamo e io amo sempre le vendite
perché sono così fiduciosi oh questo è
fantastico, ti piacerebbe che tu dicessi alla gente
su di noi no probabilmente non lo faresti
Microsoft ha scoperto che fuori ho sempre fa
commentare se un tester di penna piace qualcosa
tiralo fuori dalla tua rete e
poi faccio anche il commento che amo
SharePoint sì sì è fantastico per
pen tester ho fatto il loro commento a
conferenza una volta alcuni anni fa e
qualcuno ha twittato e Microsoft
ha iniziato a retwittare
avevano un robot che ogni volta qualcuno
detto qualcosa come amo il mio SharePoint
lo avrebbero retweet in modo da poterli ritwittare
quando un tester di penna dice che gli piace
qualcosa lo tolga dalla tua rete che amo
SharePoint penso che l’ ultimo conteggio loro
avrebbe letto come 200 volte è stato
fantastico ma la realtà è che dobbiamo
Pensa alla sicurezza giusto otto sbagliato
pulsante abbiamo solo pensato a cosa
gli attacchi sono giusti e questo è il principale
cosa di cui voglio parlare oggi come noi
parliamo di questa idea di test e io
voglio essere molto chiaro ero uno sviluppatore
per anni non mi considero un
sviluppatore più perché sono il capo
quindi stavamo effettivamente avendo un
conversazione stamattina stiamo per
scrivi inizio scrivendo un nuovo pezzo di
software uno strumento che pubblicheremo
e sono eccitato perché arriverò
Scrivi un po ‘del codice e stavo parlando
a Jason Gilliam uno dei nostri uno dei miei
ragazzi è praticamente la mia mano destra
uomo
Non dovrei dire uomo mancino perché
Sono mancino, ma la maggior parte della gente no
sapere che così non fa molto senso
oh, ma ho detto che Romeo non ha senso
per me scrivere questo codice perché lo sono
occupato ma dannazione che sto per cuz mi manca
facendo così sono emozionato ma quando parliamo
sul test giusto quanti di voi io
ha chiesto quanti di voi sono sviluppatori
qui sto assumendo il modulo
se non tutti voi avete ragione su quanti di voi
credi di avere abbastanza tempo a disposizione
il tuo programma per fare tutto ciò che hai
è stato chiesto di fare dalla tua azienda e aggiungere
approfonditi test di sicurezza completi
a quello che fai quante persone credono
che sì, non la pensavo così
quante persone di voi credono che tu
avere abbastanza risorse per fare tutto
hai bisogno di fare sì, non la pensavo così
vero Aspetta, ti devo chiamare
su quello si lavora per te e
senti di avere abbastanza risorse per
fare le cose bene come proprietario di sicurezza
idee che non ho mai sentito di averne abbastanza
tempo di fare tutto ciò che devo fare ma
Raffreddare più potere a te uomo oh okay si
tempo Andrey chiamo il tempo una risorsa che
non lo fa
Voglio dire, tu dormi bene, sì, è come me
so cosa è il sonno che ho visto in TV
ma uh so che questa è la mia raccomandazione
è dimenticare tutto ciò di cui abbiamo parlato
sull’acquisto di prodotti come molto codice e
fortificare e qualunque AppScan o
cos’hai da fare e correre contro le trappole
possiamo se vuoi quello che preferirei
lo fai è smettere di pensare alla sicurezza
come sicurezza in sé e per sé, voglio te
riconoscere il fatto che la sicurezza è
funzionalità di cui abbiamo parlato
Quante persone qui hanno visto il
piccoli tavoli da bobby conici di sicurezza
la gente sembra passarla in giro come
è perfetto
ok bene, qualunque cosa sia divertente, ho ridacchiato
diavolo ridacchia ogni volta che lo vedo
se inserisco una virgoletta singola in un campo di accesso
sulla tua applicazione e ottengo un database
il messaggio di errore non è così rotto
la funzionalità in questo momento non mi capisce
sbagliato è un problema di sicurezza proprio come a
pen tester Mi risatina un po ‘ mi ridacchia
molto nel mio lavoro è inquietante se
Sto facendo un giro
ecco un suggerimento se mai uscirò con te
compagnia e fai un giro con te se
Dico che è interessante il panico I
ho scoperto anni fa che sono la mia chiave
non so perché non ho nemmeno pensare
E ‘solo che è interessante Matt
Carpenter, un mio buon amico, lavoriamo
insieme ha sempre detto che quando ho detto
che ha smesso di fare qualsiasi altra cosa
solo per vedere che schifo ho tirato fuori dal mio
cappello ed era strano ma quello che ti voglio
fare è pensare a queste cose, ma come
parte del tuo lavoro quotidiano lo fa
qualcosa di giusto, abbiamo bisogno di sapere qual è il nostro
le minacce sono ma la più grande domanda che farò
chiedi di cosa sei veramente preoccupato?
come preoccupazione per la sicurezza , ciò che ti tiene sveglio
di notte giusto perché abbiamo bisogno di parlare
su cose a caso ma io voglio che tu
in realtà capisco cos’è la sensibilità
della tua domanda è giusta e lo farò
usa un esempio di cocaina quante persone qui
credo che una delle cose sia Coca Cola
preoccupati di perdere è il loro segreto
la ricetta va bene vado con quello
molte persone fanno l’inferno se vai in tour
il museo di Atlanta ti mostrano il
vault è lì che memorizziamo la ricetta
sai che la ricetta non è uniforme
sulla loro lista delle 100 cose più importanti da temere
A proposito sapete perché perché è stato
rubato così tante volte dal modo in cui c’è
la scienza è stata decodificata se
non credi che Pepsi sappia come
per fare coca cola quindi sei un idiota giusto
ma Pepsi non farà Coca Cola
non inizierà nessuna pubblicità
campagna che dice hey ragazzi sappiamo per
gli ultimi 150 anni che abbiamo raccontato
Pepsi è pronto meglio abbiamo mentito ma
non ti preoccupare per questo abbiamo questo
ho preso la coca Pepsi adesso no
succederà di fatto se il
la ricetta è rubata, giusto sai cosa?
succede che chiamano Coca-Cola è successo
più volte come questo amministrativo
l’assistente ha rubato la ricetta una volta in qualche modo
lei ha avuto accesso a ciò che ha preso lei era
pazza lei era un impiegato scontento I
sappi che tutti voi siete grugniti
dipendenti
era scontenta giusto così lei
su Pepsi piace è un’opzione sul
Sistema IVR premere 5 se si dispone di
ricetta per Coca-Cola, così in qualche modo ha ottenuto
a qualcuno e lei ha detto loro e hey I
ha ottenuto la ricetta Sono disposto a vendere a
voi 150.000 dollari o qualunque diritto
lei le ha chiesto un sacco di soldi che venderò
a te vuoi Pepsi?
chiamato coca e sono come hey Susan
appena ci ha chiamato mi hanno detto ha detto che
ha la ricetta che vuoi che noi gestiamo
che hai intenzione di gestirlo oh no non lo faccio
preoccuparsi abbiamo ottenuto
giusto e sono andati a riposare in lei loro
non importa loro davvero non lo sai
ciò di cui Coca-Cola è effettivamente preoccupata
secondo la cocaina fai quei freestyle
macchine tu sei il io vado in spingo un po ‘
pulsanti e ottengo il lime coke il migliore
cosa nel mondo
ciao sono cocaina Sono dipendente, non è vero?
Sono un ragazzo grasso , non giudicare bene
Giudica che sono preoccupati per quelli
perché ogni volta che fai un
selezione sulla macchina da freestyle
invia un pacchetto di dati fino all’API
nel cloud per Coca – Cola per tenere traccia
in modo che sappiano cosa sono i sapori
popolare in quali settori e tu pensi perché
sono preoccupati per questo lo dirò
voi cinque ragazzi avete cinque ragazzi
quassù va bene così il più costoso
hamburger puoi prendere un fast-food
ristorante
cinque ragazzi hanno macchine stile libero
sono una società pubblica, se io
potrebbe catturare quei dati che conosco
media per ogni due phillips di una tazza
un pasto è stato venduto nel caso in cui sei entrato
cinque ragazzi l’hai fatto bene , cammina
tu compri il tuo pasto, ti consegnano il loro
coppa vanno a sedersi là chiameremo
il tuo numero che vai a riempire la tua tazza
lo bevi
è una coca cola per cui risolvi quella cosa
giù veloce hai finito il tuo pasto e tu
vai a riempirlo con il lime coke
bontà ancora una volta a portarlo con
perché per qualche ragione la coca è
stupido e non lo vende in bottiglia
dove potrei comprarlo giusto così mio
la fonte è la macchina da freestyle, così ora
Conosco due Philips un pasto che conosco anch’io
che il costo medio di un pasto a Five
Ragazzi ho 87 dollari e 36 centesimi
esagerare quindi se posso catturarlo
dati se ho accesso a tale API e posso
tira i dati se riesco ad accedere a questo
traffico e può affrontarlo Conosco il
vendite di cinque ragazzi che posso ridurre o spingere
o lungo o qualunque sia il diavolo
i termini di investimento sono corretti
non prendere consigli sugli investimenti da parte mia
solo quello ma secondo la cocaina loro
contratti con quelle aziende Coca-Cola
si assume l’intera responsabilità per qualsiasi acquisizione
di quei dati è così che hanno ottenuto il
macchine a cui erano disposti a farlo
accetta responsabilità per quello che è il motivo
quell’API che nascerò se avessi
stato lo sviluppatore che API tutto
accetta è Coca Cola in un luogo
questo è tutto
chi diavolo avrebbe pensato che fosse
diritto sensibile che penserebbe che sia
qualcosa di cui mi devo preoccupare
cosa intendo riguardo alla comprensione del rischio
capire le tue minacce devi
capire che cosa sta succedendo perché, come abbiamo
andare avanti
tutto sta accelerando, lo adoro
giusto sviluppo agile spingiamo di più
le app oggi poi ci spingono la scorsa settimana
abbiamo spinto l’ anno scorso ero solo in un pannello
la settimana scorsa e qualcuno ha citato una statistica
che non avevo sentito e sono andato e
la ricerca e presumibilmente è vero 92%
dei dati che esiste oggi era
generato negli ultimi cinque anni il 92% di
i dati generati che esistevano era
generato negli ultimi cinque anni, che è
stupido
è incredibile quanto i dati siano
sensibile che i dati devono essere protetti
e stiamo spingendo sempre di più
applicazioni per gestire tali dati e come
guardiamo ad Agilent che penso sia
divertente non fraintendermi e dico
questo con amore ma
l’ immagine stereotipata di uno sviluppatore
è un grasso pigro scapestrato giusto e noi
chiamato agile , essere chiaro e agile
non descrive affatto questo corpo così io
penso che sia sarcasmo ma vediamo le cose
come Netflix a destra che annuncia fieramente
che distribuiscono il codice 47.000 volte un
ora alla produzione sto esagerando
leggermente a destra e so che usano
questo come un marchio guarda quanto siamo bravi
possiamo distribuire e distribuire e distribuire e
Ho letto che il nostro codice fa schifo a noi
Devo distribuire questo molte volte al giorno
che so non è quello che intendono dire giusto
ma quando guardiamo a questo come siamo
Dovrei testare che come stiamo
supposto per gestire guardando tutti quelli
giuste applicazioni l’unico modo per farlo
è per voi ragazzi prestare attenzione e dentro
nella mia mente abbiamo bisogno di combinare rosso e blu
da qui il termine viola squadra quindi
test reali Non posso farcela tutta
non posso permettermi di farmi fare tutto questo no
fraintendetemi e non fraintendetemi
hai un budget illimitato chiama Andrew
installerà un Esso W ma se lo hai
budget illimitato come stai qui
ci sono Isole Bahama che puoi comprare
basta uscire e puoi volare tutti noi
lì per questa conferenza sulla tua moneta
se non avessi un po ‘di budget
giusto penso a queste cose ma tu
non posso farmi testare le tue app in modo che tu abbia
per farlo bene devi capire
e uno dei modi in cui dico di farlo è
prima sai cosa devi cercare
capire i difetti quante persone
qui conosci la top 10 di OWASP buona
mi disturba un pochino quello no
tutti nella stanza alzarono la mano
Non intendo dire che Oh vespa sia il
progetto di sicurezza delle applicazioni web è aperto
è una risorsa gratuita, a proposito, se tu
trattare con PCI in qualsiasi modo se la tua app è
comunque relativo a una rete pci sei
Dovevo sapere che cosa Olaf si ferma dieci
è periodo se non si conosce il sistema operativo
top-10 è la tua azienda può perdere il
possibilità di accettare carte di credito
farei schifo per te ma so che non lo fai
accetta carte di credito o la tua app no
scrivi di aver mai sentito parlare della Federal
Trade Commission hai visto il
Federal Trade Commission contro Wyndham
In tutto il mondo la catena alberghiera Wyndham era
ha violato per tre volte il loro riconoscimento
scusa ho detto che ad alta voce il
La Federal Trade Commission li ha seguiti
e hai detto che fai schifo che hai fatto male e tu
cittadini americani colpiti e siamo
responsabile della protezione del consumatore
così hanno fatto causa a Windham per il modo in cui hanno vinto
e non discuterò la legittimità
del caso o qualsiasi altra cosa del genere
ma ti dirò che cosa è venuto fuori
di quel caso era il commercio federale
La Commissione dice che avremo intenzione di tenere
ogni compagnia che si occupa di americano
i consumatori ad un livello e venne Windham
indietro e ho detto whoa hippie che non hai
ci ha dato uno standard e il federale
Trade Commission ha detto qualcosa che io
il pensiero era intelligente e chiarissimo io
appena detto governo e intelligente nel
stessa frase e non ero
sarcastico hanno detto che non siamo agili
abbastanza per generare quello standard sei
vero, non ne abbiamo generato uno
ti tengono agli standard del settore e il
lo standard industriale che hanno scelto è stato il PCI
hanno detto che stanno per tenere o
organizzazioni contro PCI, quindi se
sei stato violato e il commercio federale
Commissione comincia a vedere le cose che sono
ti chiederò come ti abbini al PCI
requisiti e uno di loro è sapere
nessun ospedale è giusto uno di loro
capire gli attacchi perché se tu
non capisco gli attacchi come puoi
forse capire come risolverli se io
dì a te mettendo la singola citazione in a
campo giusto tutti in questa stanza è
andrò, sì, sì, so cosa fa
immediatamente penserai al sequel
iniezione so che non sono nemmeno
ti chiedo di alzare le mani perché perché se
non hai alzato le mani che avresti sentito
male abbiamo saputo dell’iniezione sequel
per oltre 20 anni non è un
esagerazione più di 20 anni fa abbiamo trovato
fuori circa l’iniezione sequel più 20 anni
fa abbiamo trovato la soluzione per sequel
l’iniezione non ha un database sequel
no no no non è Oh parametrizza
le query consentono alle query di essere semplici
banale il banale da implementare ogni
il linguaggio principale li supporta
non richiedono risorse significative oltre
query dinamiche in effetti
alcuni casi richiedono meno risorse
quindi il parametro dynamics sequel e
sono facili da implementare ancora la settimana scorsa
Ho trovato l’iniezione sequel in un’app che
è stato costruito questo dannato anno se sei un
sviluppatore che scrive sequel di iniezione I
voglio essere chiaro ero uno sviluppatore
sto scrivendo sequel di iniezione quindi sto parlando
su di me a te falliscono e io no
in piedi qui dicendo oh idiota
sviluppatore ma in quel caso quanti
incalzato per non chiamarti un idiota
sviluppatore, perché abbiamo conosciuto su di esso
per vent’anni e non compro il
tutto ma è così difficile che sono impegnato, sì
sono come ho detto parametri query
sono più facili da costruire rispetto al sequel dinamico
Ho appena reso il tuo lavoro migliore del tuo lavoro
più facile fare capisci il
gli attacchi capiscono quello che capisco
la mentalità professionalmente malvagia che io
avere quando guardo la tua app è tutto
Ti sto chiedendo di farlo, non te lo sto chiedendo
per fare il test delle penne hardcore che sto chiedendo
a pensare a cosa potrebbe un attacco
fare loro capire e poi in cima
che capisci il contesto capisci dove
l’attacco corre, abbiamo già detto che il PCI era
una buona cosa giusta voglio essere molto
chiaro PCI è una barra molto bassa , proprio così
come se tu fossi così alto per cavalcare il
Internet
questo è quello che PCI ha ragione per più tempo
tempo PCI DSS non ha considerato un
lo scripting cross-site è un problema serio
che penso sia esilarante no no no
può eseguire codice arbitrario nel browser
quello non può essere cattivo no, in realtà ho detto II
ha insegnato una lezione e ho fatto una battuta su
che piace quanto erano stupidi i ragazzi del PCI
per non pensare allo scripting cross-site
e ho avuto un ragazzo su dove si trova
seduto urlare contro di me cuz gli capitò di essere
sulla scheda che ha fatto tale decisione e
la sua risposta non era niente cross-site
lo scripting non è un grosso problema
un problema lato client non è un
problema lato server come fai davvero
voglio un negozio se mi trovo proprio fuori
il tuo negozio e ogni singola persona
che entra li ho presi a calci Wow
più duro che posso nello stinco giusto e
Sto indossando una maglietta che ha il tuo nome
su di esso uscirai e dirai
me cosa diavolo stai facendo smettere
calciare i miei clienti lo pensi
sarebbe una risposta valida per me da dire
tizio problema lato client non è il tuo problema
giusto questo è cross-site scripting tu
stanno prendendo a calci i tuoi utenti nello stinco ogni
single time sei vulnerabile ad esso noi
bisogno di pensare al contesto che dobbiamo
pensa a dove questa roba corre dove
l’applicazione funziona bene Oh an
esempio, che come molte persone qui hanno
mai scritto un’applicazione di calendario a destra yeah
pensa che come ogni sviluppatore scrive a
app calendario ad un certo punto della loro vita
e poi hanno capito che è davvero
cosa stupida da scrivere e loro vanno avanti
qualcos’altro
è come se crypto non scrivesse il tuo
criptato non sei così intelligente se non il tuo
le iniziali o una delle iniziali RSA
anche se non sono così intelligente
per essere chiari, le mie iniziali sono K e J
non in quei tre ma le persone scrivono
app di calendario e ho persone che dicono
tutto il tempo abbiamo un calendario pubblico
e io sì ho trovato l’iniezione di sequel in
quella app calendario oh, non è un grosso problema
nessuno di questi dati in quell’app di calendario
è sensibile quindi va bene che l’utente
potrebbe scrivere eseguire query arbitrarie
a fronte del database lei ha detto che con
una faccia seria
non hai nemmeno ridacchiato quando l’hai detto
Penso che tu intenda quando parliamo
contesto giusto se ti ho detto ho trovato
scusa cross-site cambia il
vulnerabilità
Ho trovato il seguito
nella tua app calendario rispetto a quella che ho trovato
sequel di iniezione nella tua app calendario
e posso accedere a tutti i dati presenti sul
database e quel database coesistono anche
con il tuo contesto di database PeopleSoft
il primo che conosco è un brutto affare
potrebbe non seconda persona sono
panico giusto devi capire
quel contesto devi capire
dove le cose sono così che puoi testare
perché la realtà è il tuo modo di essere
prova stai guardando al 99% e non sto facendo
su quel numero probabilmente sono di prova
sta solo avendo consapevolezza dei problemi
che esiste così come si costruisce il sistema come
costruisci i tuoi test unitari mentre lo fai
puoi risolvere il problema qualcosa che farò
buttare qui ognuno di voi
Dovrebbe uscire a fuzz DB stasera fuzz DB
è un progetto open-source che ha
i carichi utili di attacco sono questo e il mio
la raccomandazione è andare là fuori e prendere
alcuni di questi attaccano payload e put
nel tuo test unitario hai diritto
test di unità automatizzati , naturalmente, voi
diciamo che hai un campo di accesso questo
è solo un semplice esempio che sto assumendo
che si prova per valido nome utente valido
password nome utente valido non valido
password nome utente non valido e quant’altro
password giusta quelli sono di solito il
tre test unitari comuni
ora metti un carico utile per il sito trasversale
scripting un payload per il comando
iniezione di un carico utile per xse un carico utile
per LDAP seleziona correttamente cinque o dieci payload
questo ha un senso
contesto in un campo di accesso, aggiungili
al tuo test unitario non ci vuole niente
scrivi che è solo un carico utile e tutto
devi fare è cercare uno strano
risposta è così
Non mi interessa nemmeno se capisci cosa
xxe è che non mi interessa se capisci
che iniezione di LDAP è ancora non lo farò
inizia con se tutto ciò che fai è aggiungere al tuo
unit test un insieme di payloads
che funzionano e se questi payload falliscono o
per quei payload hanno un problema di chiamata
la tua persona di sicurezza se è così
qualcuno del team di sviluppo che
conosce la sicurezza o se è reale
squadra di sicurezza non mi interessa, ma farlo
e inizierai a capire ho pensato
Ho avuto un pannello di più ho sempre Close Ho
non è mai caduto da un palcoscenico oggi potrebbe essere
la prima volta vedremo giusto ma
quello che ti farà iniziare è il rosso
che dire del blu?
fammi fare domande praticamente
tutti nella stanza alzarono la mano
come sviluppatori giusto quanti di voi quando
pensi alla tua app, pensi?
di difendere e non intendo
scrivere il codice in modo da prevenire gli attacchi
Intendo rispondere a un incidente bene
avere un paio di mani è fantastico
quando scrivi la tua app, te lo dirò
tu come una persona che ha fatto, io sono il modo
troppo IR ci sono alcune immagini di te
non posso unseeee quindi non lo faccio più ma
quando hai un’app non posso dirtelo
il numero di volte in cui vado qui è un
esempio quante persone qui registrano fallito
login tentativi di vostra applicazione giusta sì
quanti di voi registrano login di successo I
voglio indicarlo con le mani lasciami
ti faccio una domanda ti darò un
esempio che è peggio un milione fallito
tentativi di accesso contro un amministrativo
account o un milione di accessi non riusciti
tentativi contro un amministrativo
account e uno di successo che è
peggio secondo, naturalmente, tutti voi
che non ha alzato la mano
registrazione di accessi di successo che non avresti mai
conoscere
sapresti che hai avuto un milione di fallimenti
login devo dire che sì, ma loro
arrenditi e tu saresti una merda, no
sappi che non è una buona risposta quando la tua
capo è come oh siamo stati violati perché dentro
la maggior parte degli stati che hanno violato
leggi di notifica hanno una clausola in
lì che dice
non puoi dimostrare di non essere stato violato
Supponevo che fossi tu lo volessi fare
notifica di tutti i tuoi utenti perché
non hai registrato se il login è stato
successo o no che farebbe schifo
perché è fatto anche peggio a destra
perché non solo devi dirlo a tutti
i tuoi utenti sono stati fregati di cui abbiamo bisogno
per cenare prima
ma dovrai dire loro che
non so cosa hanno fatto che possono avere
stato fregato
quello che fa schifo è quello che diciamo
pensa al blu pensa a come lo fai
quanti di voi effettivamente riesaminano il tuo
registra quanti lavorano otto aziende
qualcuno recensisce i tuoi registri ora lo farò
punta a te solo perché sei vicino
abbastanza per va bene , scusa, dici
qualcuno rivede i tuoi registri per le tue app
destra impressionante felice di sentirlo fatto che
persona mai venire a parlare con te di
cosa fa l’app all’inizio come
fai aggiornamenti e tutto ciò che fanno
parlare con te no ovviamente non è giusto
loro sono occupati noi lo vediamo tutto il tempo
e sono davvero felice di sentire che
hanno parlato con voi all’inizio
la maggior parte delle volte le persone della sicurezza non lo fanno
mai parlare con gli sviluppatori che iniziano
applicazioni di monitoraggio e hanno no
idea quello che l’ app non hanno mai
parlato con lo sviluppatore ero un amministratore I
è stato eseguito i server WebSphere per a
BlueCross e uh quando ero lì che avevamo
un’app che è morta una notte e ho avuto il
pagina sì pagina Sono vecchio e ho chiamato
nel diodo ho chiamato in IVP finendo che sono
scusa ok, ho chiamato I attraverso il
rumore di un modem ma ti ho detto che sono vecchio
e ho preso i registri e ammetto che lo ero
uno di quei ragazzi che ho schierato
qualcosa non aveva idea di cosa fosse l’app
non avevo idea di cosa significassero i tronchi e io
ho ricevuto un messaggio analogico che diceva il codice di errore
42 ed è stato davvero non pensavo di essere un
Il riferimento di Hitchhiker lo era davvero
codice di errore 42
è come se si chiamassero gli sviluppatori e mi piace
hey Ho ricevuto un codice di errore 42 in produzione
in blah blah blah questi sintomi
questo stava andando sul look sviluppato
okay fai questo questo questo e lo farò
riavviare il problema andrà via lo faremo
parlare di questa mattina sembra fantastico no
il problema l’ ho fatto è fatto da te
un whoo che siamo a posto posso tornare a
dormire
diritto che è una persona chiamata
Michael torna a dormire proprio così
è stato fantastico
quindi metto le note in modo corretto come se fosse questo
succede che ottieni un codice area 42 fai questo
c’è questo lo aggiusterà, non ti preoccupare
gli sviluppatori lo risolvono solo saltando a
settimana letteralmente una settimana ne ho tre
l’ora del giorno andiamo, sì, compongo
in I go through the logs codice di errore 42
come ho avuto questo so che questo uno fa
fai merda non ha aggiustato nulla così io
provato di nuovo perché funziona sempre
giusto se ti piace battere il lato
della TV ha sbattuto il lato di un
la TV moderna ha mai aiutato, ma lo facciamo ancora
quanti di voi soffiano nel tuo ps4 ma
e così l’ho soffiato alla mia retropia l’ultima volta
la notte okay non l’ho fatto ma è divertente
dire che la torta retrò è un totale fantastico
tangente non aggiustarlo così ho chiamato il
sviluppatore ho avuto lo stesso ragazzo esatto su
al telefono sono come un tizio, dico un tizio
troppo spesso per qualcuno che non lo fa
servire come amico ho provato i tuoi passi
conosci in 42 e poi è come se tu avessi
un codice di errore 42 Sono come sì, lui va
fai questo questo e quello quindi l’ho fatto risolto
ho detto che hai cambiato l’app che è
come no no è un errore diverso come
entrambi dicono il codice di errore 42 si va yeah
sì, ma quello ha una maiuscola sul
errore quindi il codice di errore
Mi piace quello che diavolo è come te
avere lo stesso identico codice di errore ma
considerando la capitalizzazione del
prima lettera sei drogato e ora
perché non aveva mai pensato
ma nella sua mente sapeva bene così
ma non aveva mai considerato come il
la registrazione funzionerebbe quando avevamo a che fare
con
incidente e in quel caso quell’incidente
questo è un evento giusto non è un
cosa di sicurezza stavamo solo avendo un
problema di disponibilità che è una sicurezza
cosa giusta, ma non aveva mai pensato di
sai come si riferiscono i tuoi registri
il firewall registra una delle cose divertenti
fare seriamente questo la prossima settimana quando
torni al tuo ufficio chiama il
squadra di sicurezza destra o il team di rete
e dire hey hi ho avuto qualcosa da fare
i miei registri che voglio rintracciare possiamo ottenere
l’IP di origine e tutti i relativi
registri dall’infrastruttura di rete e
l’infrastruttura del server relativa a
questo timbro nel mio come questa volta
timbro nei miei registri e vederli scramble
vedi se riescono a farlo puoi rintracciare
Internet fino in fondo e tutto il
via del ritorno una transazione attraverso il
consiglio e ti dirò che cento
per cento dei clienti che ho lavorato
con non posso quando inizio a lavorare con
loro e questo è un problema giusto perché
quando parliamo di applicazione
infrastruttura e parliamo di rete
infrastruttura di cui parliamo
di cose che non pensiamo a tutto
questo significa che ci sta portando a
viola e questo è qualcosa e lo so
noi non abbiamo ottenuto in duro tecnico
dettagli di base di questo test e questo
test di questo test non possiamo perché
questo test di questo test in questo
il test è diverso per te rispetto a quello che è
per te che è diverso per te giusto
quello che voglio butto fuori DB fuzz che faccio
pensa che funzioni per tutti ma
oltre il fuzz DB dipende dall’app
dipende da come lo si distribuisce, quindi ecco qui
qualcosa ti raccomando quanti di voi
avere pen-test o valutazioni di sicurezza
fatto delle tue app e non intendo quello
hai una terza parte fallo necessariamente
giusto se lo fai è bello se
non va bene, ma tu hai
qualcuno fa il test della tua rete di
le tue app intendevo che mi dispiace lavorare bene
con loro c’è c’è un paio di cose
Mi piace di più di quando vengo a fare
un pen-test quindi ho uno sviluppatore dire
per me hey ti dispiace
Ti ho parlato di questo sul serio e
non sono solo io la maggior parte della sicurezza
voglia di parlare con le persone responsabili
costruire i sistemi giusto pensare
esso
lavorare con loro ho citato il
cavalcabile e voglio essere chiaro io
chiamali cavalcando molte sicurezza
le società di consulenza fanno più sicurezza
le squadre ti permetteranno di farle se ne hai
una squadra di sicurezza interna che possono
non chiamarlo un cavalcata, ma va bene, ma
lavora con me lascia che ti mostri parlare con me
se mi dici ehi, abbiamo appena schierato un
nuova versione dell’app e questo è
qualcosa che abbiamo cambiato qui e io sono un
poco preoccupato di come funziona
potresti concentrarti su di esso, lo farò io
parlaci bene e mentre io sono
facendo il mio test di penna chiedimi cosa sto facendo
e vedi se potessi rilevarlo in realtà
lavorare come un incidente ora non capisco
il punto che chiamiamo l’FBI potrebbe essere la gente
calciare nella mia porta non è mai divertente
Sono sempre stato colpito a due volte
non è divertente se non ti hanno mai sparato
Io non lo consiglio e hey bene lo sai
secondo le notizie posso uscire
ma è divertente che non mi abbiano sparato alla fine
notte o oggi sono deluso da te
Chicago così a lungo tutti quelli che ha realizzato questo
cosa è uscito dalla mia bocca che io
probabilmente non avrei dovuto dirlo, ma oh
bene e uh, ma imitare un incidente andare
attira la gente per dire che abbiamo un
pen tester e se vengo da te e da me
dire guarda ho trovato questo ho trovato questo difetto
fantastico vai al tuo admin hai rilevato
che vai dai tuoi addetti alla sicurezza , lo hai fatto tu
scopri che possiamo vedere cosa sta succedendo
giusto e funziona come un istante così tu
sappi che la tua applicazione non è solo
robusto protetto contro il mio attacco ma
se qualcuno esegue l’attacco puoi farlo
rilevarlo e rispondere ad esso prima che sia
un problema perché ti darò un
esempio di questo lavoro voi ragazzi lo sapete
Zappos la società di scarpe acquistata da Amazon
sai che sono stati violati proprio tu
la prima volta sono stati violati a
lo sviluppatore in un amministratore ha interrotto l’uscita
di dati uno degli amministratori Oracle che era
anche uno dei loro sviluppatori ha visto una query
provenienti da una strana fonte sulla loro
rete che richiede dati che non ha
normalmente non è stato richiesto e loro
ucciso la transazione prima di esso
finito di correre come una persona di sicurezza
è bello perché lo è davvero
quello che mi ha detto è stato quello sviluppatore
quell’amministratore ne sapeva abbastanza del loro
sistema per sapere cosa era normale e cosa
non era il modo in cui molti di voi sanno cosa sia
normale nella tua app Stoppard che hai sollevato
la tua mano su tutto bene, a proposito
è il prossimo oratore quindi dovrebbe ma
se non sai cosa è normale come fare
sai che è anormale come stai
sapere che gli attacchi che sto facendo non solo l’hanno fatto
mi dice che, ma mi ha anche detto che
Zappos ha una cultura in cui il
sviluppatori e amministratori e io odio il
la parola potenziata lo faccio davvero perché è così
così strano che mi sento come se le persone dovessero
indossare mantelli quando hanno il potere, ma io
Ho visto Incredibili ma non conosco cappe
sapevano che se l’avessero ucciso
transazione a metà giornata in
produzione e si è rivelato essere un
transazione importante non stavano andando
perdere il lavoro perché lo erano
farlo per una buona ragione che il
la compagnia ha riconosciuto la necessità di ciò
il livello di monitoraggio riconosce la necessità
per quel livello di risposta che è
fantastico non so un’altra parola per questo
è fantastico che è dove dovremmo tutti
arrivare così mi sono concluso ora perché è così
la fine del mio tempo quello che sto per dire
per favore accoppi le cose come ho detto il mio lavoro
è mettermi fuori dal mercato che facciamo
un sacco di formazione che facciamo sviluppatore
formazione facciamo tutto questo genere di cose
e la ragione per cui ho parlato di questo sono io
non voglio farlo come annuncio ma io
Non conosco nessun altro modo di parlare
se si conosce qualcuno che è un veterano
militare attivo o primo soccorritore
o per la formazione è gratis per tutti loro
devono fare è raggiungere me o
la compagnia e dire che mi piacerebbe l’ accesso
la tua formazione gratuita sono un veterinario o sono un
primo soccorritore o qualsiasi altra cosa e lo faremo
dare loro il codice coupon da utilizzare per ottenere
accedere gratuitamente alla nostra formazione registrata
quindi se sei o conosci qualcuno che è
per favore fa sapere loro che è molto importante
per me che lo facciamo anche io voglio
per dire che finirò bene
ogni tanto me ne vado, devo andare
tornare indietro ho avuto il lavoro per fare il mio capo
è un cretino ma voglio essere disponibile per
domande e intendo davvero se come
stai lavorando attraverso qualcosa come
si sta testando è che stai pensando di
sicurezza non esitate a raggiungere
a me e-mail mi chiama
cinguettando non so bene
qualunque cosa prenda in contatto con me
se hai bisogno che firmi una non divulgazione
accordo in modo che tu possa mostrarmi il tuo
problema lo farò bene e questo è un
offerta gratuita che non è una chiamata hey e chiedere
mi chiedo che avrai una fattura
ora se mi chiami e mi chieda e dica hey
potresti testarlo, allora dobbiamo parlare
su un s o W e tutto quel tipo di
roba giusta ma se tutto quello che vuoi sapere
è hey che cosa significa questo o hey sono
esaminando la cosa OWASP che hai detto
io riguardo e io non capisco questo
attacco fatto parliamone bene se
stai iniziando a implementare i test in
il tuo sistema di sicurezza mi chiama e parla
per me ti darò alcuni consigli
una raccomandazione non compra segni di spunta
segni di spunta è il peggior software che tu
potrebbe comprarlo, è orribile
supporto e l’azienda deve essere
li distrutto in silenzio solo il mio
opinione e ho detto a entrambe le aziende che sono
facendo ciò in tutti i miei discorsi non lo sono
felice a riguardo sì, ma me se tu
hanno tutte le domande si prega di raggiungere i
io okay penso che sia giusto, grazie
a tutti molto di godere il resto
dello spettacolo
parleremo della squadra reale
testare oggi tutti possono sentirmi bene
Sto assumendo così perché ho un microfono e
tutto quel genere di cose ma io sono un
loudmouth comunque fatny loudmouth così
Chi sono io prima di iniziare ho ottenuto
per dirti un paio di cose su di me e
c’è una ragione principale per questo diverso da
il fatto che posso mettere le mie foto
bambini e fighi costumi di Star Wars è
molto importante per capire la mia mentalità
mentre ascolti ciò di cui parlo io sono
un nerd di sicurezza che ho fondato e gestito in sicurezza
idee siamo una società di consulenza fuori
Jacksonville Florida siamo 16 persone
ora che soffia la mia mente
non siamo enormi ma è più grande di me
mai pensato sarebbe stato perché era un
incidente non c’è mai stato un piano per iniziare
un business che ho appena avuto persone mi chiedono se io
potrei fare un po ‘di lavoro e potrei e così anch’io
fatto e poi prossima cosa so di avere 16
dipendenti sono responsabile per loro
mutui che è una specie di diritto di paura
così ho fatto per un po ‘ho
stato coinvolto in IT come sviluppatore e
come amministratore per circa 25 26 anni ho
sono un nerd se non lo sai ora tu
lo sapremo alla fine del discorso
fondamentalmente sono così nerd che il ragazzo che
usato per prendere il mio pranzo soldi tutta la strada
attraverso la scuola pranza ancora il mio pranzo
i soldi abbastanza spesso ma principalmente fanno a
maledettamente buon sandwich della metropolitana quindi sono anche io
membro della facoltà di anioni , siamo una decisione
la compagnia di supporto pensa Gartner ma è meglio
e naturalmente sono di parte giusto così ho fatto
stato membro della facoltà di anioni per circa
cinque anni e io parlo e
l’insegnamento e tutto quel genere di cose che ho
ha scritto il web pentesting e mobile
curriculum di sicurezza per SANS Institute
insegno da cui ho insegnato ovunque
Virginia Tech a Princeton l’ UF che
è un po ‘divertente perché ho fatto a malapena
è la scuola superiore destra non si vince
quando è venuto e ha detto Princeton hey può voi
insegno a una classe, sono come si, certo
Princeton è un po ‘ freddo, io
Ho una Lega, non so davvero cosa
Ivy League significa, ma l’ inferno andrò oh
giusto così abbiamo iniziato a fare il contratto
negoziazione e questo è quando sono venuti
indietro e hanno detto hey Kevin dove
hai il dottorato e ho detto bene che posso
scrivi quelle tre lettere ma intendo te
voglio che lo scriva su un pezzo di carta
Non so che non ho un dottorato Oh cosa
a proposito del tuo padrone, non ho un
maestro, sia chiaro, io non ho un
bachelor o un A o oh hanno dovuto
ottieni un’eccezione speciale per farmi venire
insegnare una classe che pensavo fosse
diritto assolutamente esilarante che è il motivo
Ora ti dico anche io corro un intero
un mucchio di progetti open source ecco il mio
raccomandazione se hai mai pensato di
te stesso uomo dovrei eseguire una fonte aperta
progetto che cosa dovresti fare è andare in piedi
nel mezzo di un’autostrada e lascia quattro
le macchine ti colpiscono e poi fanno qualcosa
altrimenti è orribile, voglio dire che le persone hanno
letteralmente chiamato casa mia e maledetto e
ho minacciato mia moglie perché non l’ho fatto
implementare una funzionalità che volevano ecco a
suggerimento non chiamare mai la casa e
minacciare la moglie di un ragazzo di cui intero
il lavoro è entrare nelle aziende e rubare
merda va bene solo una raccomandazione
soprattutto non se usi il tuo ID chiamante
e conosco il tuo nome oh, sto solo dicendo
giusto così faccio molte cose diverse
ma come ho detto il mio punto di vista è leggermente
diverso dal mio
tutto il lavoro giorno dopo giorno quando non lo sono
parlando e insegnando a cui sto entrando
aziende e rubare cose che dico
la gente tutto il tempo che ho il
il miglior lavoro del mondo posso entrare
dirti che il tuo bambino è brutto e fai schifo
e andare a casa è fantastico adesso è così
non proprio quello che faccio
valutare cose che aiuto a capire il rischio
e do consigli su come sistemare
è una delle cose principali che penso
differenzia le idee sicure dagli altri
le aziende è il fatto che non assumiamo
persone di sicurezza assumiamo sviluppatori e
amministratori perché sono un convinto sostenitore
e questo potrebbe non essere qualcosa che sei
ero abituato a sentire ma sono molto fermo
credente che se non posso darti
raccomandazioni attuabili nel mondo reale
allora sono inutile e per troppo tempo
amministratore e come sviluppatore otterrei
rapporti da penne e sicurezza
persone che hanno succhiato bene, oh, non puoi farlo
che io
devi farlo è così che la lingua
funziona bene no no no, dice un addetto alla sicurezza
sì , ragazzo della sicurezza, fallo saltare alle tue spalle
A proposito, questo discorso sarà pg-13
avrebbe dovuto dire che all’inizio
giusto così cerchiamo molto difficile fare questo mi piacerebbe
piace dire alla gente che io sono un
oratore internazionale perché ho parlato
L’Australia una volta in Canada, come quattro volte
Sono un po ‘come il Jacksonville
Aeroporto internazionale ha un volo
alle Bahamas una settimana quindi è un
Aeroporto internazionale Ho fatto quella battuta
ad una conferenza a Jacksonville e tu
avrei pensato che avevo fatto pipì
Whiaties di questo ragazzo era così pazzo che era
come siamo ad essa come nel mezzo di
il discorso è come siamo a
Aeroporto internazionale come davvero sì noi
si dice ottima risposta a una domanda e
Sarò d’accordo dove sono le abitudini e il
la risposta giusta non è Atlanta proprio così
un’altra cosa su di me è che sono pieno
di tangenti sono pieno di molte cose
i miei occhi sono marroni proverò a fare il
tangenti in qualche modo rilevanti non lo faccio
promettere che ma ci proverò quindi sono tutti
sul posto l’altra cosa è che ho
un senso dell’umorismo si prega di notare perché io
credi nell’onestà e ti avverto così
hai tempo di andartene non ho detto a
buon senso dell’umorismo il mio preferito attuale
scherzo ed è stato il mio preferito attuale
scherzo per un po ‘, ragazzi, sapete perché?
Walmart non è stato violato, non lo è
bersaglio così la parte migliore di questo scherzo
Devo introdurre l’ ISO di vedere
Walmart e io raccontammo quella barzelletta nella sua
introduzione non mi avrebbe stretto la mano
ragazzo come hey e lui andò e camminò
intorno a me e penso a me stesso ho detto
non eri abbastanza se avessi ottenuto il bene
fine di quella barzelletta, giusto ero ad un altro
conferenza e il CIO di destinazione era
Là
Ho iniziato il CSO del bersaglio era lì
e la conferenza non me lo permetterebbe
presentala come no, per favore non qui
dirai la tua battuta, certo che lo sono
dirò la mia battuta per tutto il tempo
Io quale motivo voglio che tu faccia così loro
Non avrebbe lasciato fare a me l’altra cosa che
voglio sottolineare ed è perché ho capito
un calcio fuori da qui sono molto orgoglioso di
questa mia moglie dice che è la più nerd
cosa che ho mai fatto io
un membro molto orgoglioso del 501st per il
le persone che non conoscono la 501st sono a
costumista gruppo di beneficenza abbiamo 10.000
membri in tutto il mondo l’anno scorso ci credo
raccolto 11 milioni di dollari per beneficenza noi
vestire in costumi di Star Wars e poi
sai che mi piace dire Star realistico
I costumi di guerra sono ciò che intendo per schermo
preciso perché non c’è niente
realistico su Star Wars, non importa come
tanto vogliamo che sia ma e andiamo e
raccogliere fondi per beneficenza, per esempio il
foto in mezzo c’era un cinque
ora evento Braille dove ne avevano 300
bambini ciechi e ci hanno portato in quello
me e il mio costume di Vader ci hanno portato
e lascia che i bambini sentano i personaggi
è stata la cosa più incredibile diversa da
i miei figli che io abbia mai fatto bene io
buona cosa ho un casco su cuz I
ho pianto, è semplicemente fantastico, così sono
piuttosto orgoglioso di quello che sono stato un membro
per alcuni anni, quindi iniziamo
su questo e siamo molto sinceri che ho
un sacco di scivoli non è vero ho 14 abbiamo ottenuto
un po ‘di tempo e parleremo di a
molte cose le diapositive sono lì
per cercare di tenermi a bersaglio okay um ma
la realtà è che la sicurezza è importante e
So di poterlo dire perché sono un
consulente di sicurezza quindi aiuta il mio
diritto di affari dire che siamo noi
Ognuno importante di sicurezza dovrebbe
prestare attenzione ad esso, ma la realtà è
è importante che ne abbiamo troppi
problemi oggi e non mi siederò
ok ok, mi siederò qui e darò
storie spaventose proprio perché il
la realtà è ciò che faccio per vivere è
spaventoso ma quello che spero sia che voi ragazzi
parti qui con un’idea di come puoi
migliorala
e voglio essere molto chiaro che il
idea su come migliorarlo no
richiede di assumere Kevin questo non è un
piazzola di vendita sì
Sono un consulente, sì, sono un avido
capitalista scherzo e dico che il mio
obiettivo aziendale è quello di essere protestato dal
Occupare il movimento giusto se lo si ha occupato
corte di sambuco Sono un successo completo
un mucchio di tende da pub nella mia strada senza uscita
giusto che sarebbe fantastico puzzolente ma
impressionante destra avrei trasformare un tubo sul
loro lo so che è il tipo di persona
Sono io sono solo cattivo dire che sono ufficialmente
uno stronzo secondo i registri della corte
Faccio il lavoro di un testimone esperto e ho avuto il
avvocato difensore chiamami uno stronzo
durante la mia deposizione ci vuole un bel
un po ‘ per ottenere un avvocato difensore da chiamare
sei uno stronzo in una deposizione registrata
renderlo migliore quando sono andato a testimoniare in
corte contro di loro ha ragione il giudice
in realtà mi ha detto come ho ottenuto così dopo di me
ho giurato che stavo camminando verso il cavalletto
lei era aspettare un minuto non sei tu il
stronzo e io sono come si ma per me
non sapevo cos’altro dire, sì
il tuo onore e lei è come oh va bene così
sono entrato nei registri giudiziari che sono
un coglione non so se piace
Prendimi un trofeo o altro, ma noi
pensate che la sicurezza sia importante perché lo è
cosa facciamo ma pensiamo anche che la sicurezza sia
importante perché è e lo darò
sei un buon motivo per me e per me
voglio essere molto chiaro questo non è un
pensa ai bambini perché è così
cazzate tutti usano quella cosa giusta
pensa ai bambini saremmo TSA
a causa dei bambini, lo sapete tutti
è la TSA sta per migliaia di destra
in piedi intorno
Sono contento che lo stiamo pagando ma quando
la mia più vecchia Brenna
A nove anni le fu diagnosticata una a
disturbo convulsivo e OCD giusto e
è un po ‘divertente un disturbo convulsivo
questo fa schifo ma lei lo supererà con no
effetti di lunga durata che sono un po ‘
bello giusto grazie a Dio OCD, ho OCD così
possiamo gestire che posso insegnarle come
per mantenere se stessa con i modelli
e tutto il resto come lei e lei
ha il vantaggio che suo padre sa
com’è quando è diverso per
lei che per me come lo è per tutti
con OCD giusto e non intendo come oh
Ho OCD perché è tutto
alfabetico il mio armadietto no tu sei un
Stronzo
ma le è stato diagnosticato un paio di mesi
dopo che le fu diagnosticata la Wolfson’s
L’ospedale pediatrico ha avuto un evento di violazione
ora non sappiamo se la violazione è stata
che qualcuno ha fatto irruzione e ha rubato merda o
che hanno appena perso i dati proprio perché
essi non vi danno queste informazioni ho
ti dirà che puoi cercare su google
Il numero di previdenza sociale di Brenna è giusto
adesso
è su internet con il suo medico
record o data di nascita il suo indirizzo e
ogni piccola informazione su di lei
l’ospedale aveva ciò che significa che a
nove anni mia figlia avuto modo di avere un
conversazione con me su cosa significasse
per il resto della sua vita che lei
l’identità era pubblica, lei doveva avere il
conversazione che per il resto di lei
la vita che avrebbe dovuto affrontare con il
fatto che altre persone stavano usando il suo
numero di previdenza sociale
perché perché la sicurezza non è stata pagata
attenzione a perché non mi interessa cosa
la breccia era che io davvero non intendevo io
fai la saggia curiosità giusta ma la realtà
questo tipo di violazione si verifica troppo spesso
quel tipo di dati in un anno di credito
il monitoraggio non lo risolverà per
di fatto, anche se loro
pagato per un anno un monitoraggio del credito lei
aveva nove anni, quindi non le fu permesso di firmare
per questo sentiti bene che è bello
una truffa giusta e quel tipo di problema è
qualcosa che vedo sempre e e
Ti darò un altro esempio, giusto io
lavorando con uno sviluppatore facciamo qualcosa
noi chiamiamo il pentecoste
perché guardo troppi episodi di
poliziotti quando ero un bambino e quindi cosa facciamo
siamo noi veniamo sul posto o lo faremo
da remoto ma sul posto sembra funzionare bene
veniamo sul posto e lavoriamo davvero
con gli sviluppatori il personale IT del
amministratori mentre testiamo noi l’applicazione
mostra loro cosa stiamo facendo e l’obiettivo
non è solo per trovare vulnerabilità ma
per mostrare loro come testare in modo che loro
non ho bisogno di assumermi la prossima settimana prossima
mese prossimo anno giusto perché il mio vero
l’obiettivo aziendale è di tirarmi fuori
affari se faccio il mio lavoro giusto non lo fai
ho bisogno di me così andiamo sul posto e sto lavorando
con questo avviso di sviluppo davvero bello I
non ho detto uno sviluppatore davvero intelligente ma a
sviluppatore davvero bello, a chi importava
chi voleva fare la cosa giusta e io
inizia a navigare sul sito web e come me
iniziare a sfogliare il sito che uso di uno strumento
chiamato burp che è un’intercettazione
proxy e mi permette di vedere tutto il
comunicazione dal mio cliente al
server server di nuovo al mio cliente giusto
un po ‘ carino e guardo questo
risposta che ritorna giù
e c’è vbscript nel client questo
è qualche anno fa giusto
c’è vbscript nel client che
avvia una connessione sequel a a
Microsoft sequel server dal client
e nella stringa di connessione è il
nome utente alcuni di voi potrebbero riconoscerlo sa
e quindi una password corretta non password a
password giusta è anche divertente
quegli anni fa non sai chi è il
il cliente è che non puoi usarlo e loro hanno
cambiato la password che non sento
comodo a dirti di cosa si trattava ma
era debole proprio così dico all’utente
lo sviluppatore che è seduto accanto a me
come se fosse brutto e lui lo guardasse
va perché, come vedremo, che
la password è sì si assomiglia a a
forte password non era, ma non lo faremo
entrare nel motivo per cui ha pensato che fosse giusto e
lui dice che è una password forte, oh mio
dio non proprio ma questo non è davvero il
problema
ha detto bene che cosa c’è di sbagliato con esso come
bene puoi guardare la password che lui è
come ho fatto a guardare il passaporto che non ho
conoscere la la risposta è ciò che c’è di sbagliato con
è si può guardare la password che ho
non importa quanto sei forte tu
può rendere quattromila caratteri
che sono sciolti come unicode
merda destra
password con emoji non so bene
non importa perché posso
evidenziarlo ctrl-c ctrl-v intendo whoa
non è nemmeno l’ hacking che sta guardando
fonte giusta che è come inferiore a whoa
appendere la frutta che fa schifo cadere dal
albero
marciume e lo sviluppatore onestamente
non ho capito il problema e e
sii onesto nel parlare con il ragazzo che era un
bravo sviluppatore credo, ma lui mai
pensato all’idea che l’utente
potrebbe guardare il contenuto che è venuto giù
ad esso che è divertente per me perché come
molti di voi come sviluppatori usano strumenti per
visualizzare il codice HTML che scende a voi
scrivi la console JavaScript tutto come
tu
fa parte del tuo lavoro quotidiano ancora nel suo
capo che era roba segreta, giusto così
il tipo di cose che trattiamo possiamo
parlare di attacchi avanzati destra apt
solo per chiarire che apt è due cinesi è
ora un termine di marketing va bene
non c’è nulla di avanzato sull’invio
una mail a qualcuno e averli
fare clic su un collegamento, quindi niente se qualche azienda
dice che abbiamo avuto una breccia è stato avanzato
attaccare davvero come è successo
Joe ha ricevuto una e-mail e ha fatto clic sul link
non abbiamo avanzato il diritto triviale che vogliamo
pensaci perché la realtà è
mentre ci muoviamo sempre più avanti
la sicurezza sta diventando qualcosa di persone
in realtà stanno pensando a quando dico
persone stanno pensando a questo proposito voglio dire la tua
utenti Ho un diritto cliente un’azienda
proprio ora che stiamo per fermarci
usando perché perché stiamo usando il loro
servizio e il loro servizio è insicuro
ora non siamo stati testati perché noi
non ho il permesso ma possiamo dirlo
usandolo che non hanno pensato
attraverso la sicurezza giusta e abbiamo raggiunto
a loro dire che è importante
e riconoscerò e riconoscerò il
fatto che io sono un diverso tipo di
cliente giusto Probabilmente non sono il tipo
del cliente che vuoi se non paghi
attenzione alla sicurezza perché faccio e
stiamo per licenziarli ora ecco il
problema quando licenzio un’azienda è proprio così
forte primavera ora inizio a usarli dentro
i miei esempi dei miei discorsi e li dico
che hey ti ho parlato di queste sicurezza
problemi ti ho parlato dei tuoi problemi
sono un CRM di marketing quindi loro
dispone di dati sensibili che hanno i dati relativi
se qualcuno di voi è venuto nel mio sito web
prima di parlare con l’idea in quel modo
andiamo a dare un’occhiata alla sua biografia e alle cagate del genere
John capisce che la mia biografia è strana, giusto
i tuoi dati ci sono perché loro
monitorato quel traffico e loro
integrare con Google Analytics e tutti
questo tipo di cose e conoscono le persone
ci mandano segnalazioni
è pazzesco come hey Joe di andare a
conferenza è appena arrivata al tuo sito web e
trascorso 14 minuti guardando queste pagine
ed ecco il suo numero di telefono la sua email
l’indirizzo e l’azienda per cui lavora, se
Pensavo che esistesse la privacy che avrebbe spaventato
il crudele fuori di me giusto ma loro no
avere sicurezza
quindi li licenzio e li faccio diventare un
esempio giusto è quello che succede quando
lavori con idee sicure e noi
dire alla gente che in anticipo quando
i venditori vengono e parlano con noi diciamo
hey proveremo qualsiasi prodotto, ma solo
capisci che diremo alla gente cosa
ci pensiamo e io amo sempre le vendite
perché sono così fiduciosi oh questo è
fantastico, ti piacerebbe che tu dicessi alla gente
su di noi no probabilmente non lo faresti
Microsoft ha scoperto che fuori ho sempre fa
commentare se un tester di penna piace qualcosa
tiralo fuori dalla tua rete e
poi faccio anche il commento che amo
SharePoint sì sì è fantastico per
pen tester ho fatto il loro commento a
conferenza una volta alcuni anni fa e
qualcuno ha twittato e Microsoft
ha iniziato a retwittare
avevano un robot che ogni volta qualcuno
detto qualcosa come amo il mio SharePoint
lo avrebbero retweet in modo da poterli ritwittare
quando un tester di penna dice che gli piace
qualcosa lo tolga dalla tua rete che amo
SharePoint penso che l’ ultimo conteggio loro
avrebbe letto come 200 volte è stato
fantastico ma la realtà è che dobbiamo
Pensa alla sicurezza giusto otto sbagliato
pulsante abbiamo solo pensato a cosa
gli attacchi sono giusti e questo è il principale
cosa di cui voglio parlare oggi come noi
parliamo di questa idea di test e io
voglio essere molto chiaro ero uno sviluppatore
per anni non mi considero un
sviluppatore più perché sono il capo
quindi stavamo effettivamente avendo un
conversazione stamattina stiamo per
scrivi inizio scrivendo un nuovo pezzo di
software uno strumento che pubblicheremo
e sono eccitato perché arriverò
Scrivi un po ‘del codice e stavo parlando
a Jason Gilliam uno dei nostri uno dei miei
ragazzi è praticamente la mia mano destra
uomo
Non dovrei dire uomo mancino perché
Sono mancino, ma la maggior parte della gente no
sapere che così non fa molto senso
oh, ma ho detto che Romeo non ha senso
per me scrivere questo codice perché lo sono
occupato ma dannazione che sto per cuz mi manca
facendo così sono emozionato ma quando parliamo
sul test giusto quanti di voi io
ha chiesto quanti di voi sono sviluppatori
qui sto assumendo il modulo
se non tutti voi avete ragione su quanti di voi
credi di avere abbastanza tempo a disposizione
il tuo programma per fare tutto ciò che hai
è stato chiesto di fare dalla tua azienda e aggiungere
approfonditi test di sicurezza completi
a quello che fai quante persone credono
che sì, non la pensavo così
quante persone di voi credono che tu
avere abbastanza risorse per fare tutto
hai bisogno di fare sì, non la pensavo così
vero Aspetta, ti devo chiamare
su quello si lavora per te e
senti di avere abbastanza risorse per
fare le cose bene come proprietario di sicurezza
idee che non ho mai sentito di averne abbastanza
tempo di fare tutto ciò che devo fare ma
Raffreddare più potere a te uomo oh okay si
tempo Andrey chiamo il tempo una risorsa che
non lo fa
Voglio dire, tu dormi bene, sì, è come me
so cosa è il sonno che ho visto in TV
ma uh so che questa è la mia raccomandazione
è dimenticare tutto ciò di cui abbiamo parlato
sull’acquisto di prodotti come molto codice e
fortificare e qualunque AppScan o
cos’hai da fare e correre contro le trappole
possiamo se vuoi quello che preferirei
lo fai è smettere di pensare alla sicurezza
come sicurezza in sé e per sé, voglio te
riconoscere il fatto che la sicurezza è
funzionalità di cui abbiamo parlato
Quante persone qui hanno visto il
piccoli tavoli da bobby conici di sicurezza
la gente sembra passarla in giro come
è perfetto
ok bene, qualunque cosa sia divertente, ho ridacchiato
diavolo ridacchia ogni volta che lo vedo
se inserisco una virgoletta singola in un campo di accesso
sulla tua applicazione e ottengo un database
il messaggio di errore non è così rotto
la funzionalità in questo momento non mi capisce
sbagliato è un problema di sicurezza proprio come a
pen tester Mi risatina un po ‘ mi ridacchia
molto nel mio lavoro è inquietante se
Sto facendo un giro
ecco un suggerimento se mai uscirò con te
compagnia e fai un giro con te se
Dico che è interessante il panico I
ho scoperto anni fa che sono la mia chiave
non so perché non ho nemmeno pensare
E ‘solo che è interessante Matt
Carpenter, un mio buon amico, lavoriamo
insieme ha sempre detto che quando ho detto
che ha smesso di fare qualsiasi altra cosa
solo per vedere che schifo ho tirato fuori dal mio
cappello ed era strano ma quello che ti voglio
fare è pensare a queste cose, ma come
parte del tuo lavoro quotidiano lo fa
qualcosa di giusto, abbiamo bisogno di sapere qual è il nostro
le minacce sono ma la più grande domanda che farò
chiedi di cosa sei veramente preoccupato?
come preoccupazione per la sicurezza , ciò che ti tiene sveglio
di notte giusto perché abbiamo bisogno di parlare
su cose a caso ma io voglio che tu
in realtà capisco cos’è la sensibilità
della tua domanda è giusta e lo farò
usa un esempio di cocaina quante persone qui
credo che una delle cose sia Coca Cola
preoccupati di perdere è il loro segreto
la ricetta va bene vado con quello
molte persone fanno l’inferno se vai in tour
il museo di Atlanta ti mostrano il
vault è lì che memorizziamo la ricetta
sai che la ricetta non è uniforme
sulla loro lista delle 100 cose più importanti da temere
A proposito sapete perché perché è stato
rubato così tante volte dal modo in cui c’è
la scienza è stata decodificata se
non credi che Pepsi sappia come
per fare coca cola quindi sei un idiota giusto
ma Pepsi non farà Coca Cola
non inizierà nessuna pubblicità
campagna che dice hey ragazzi sappiamo per
gli ultimi 150 anni che abbiamo raccontato
Pepsi è pronto meglio abbiamo mentito ma
non ti preoccupare per questo abbiamo questo
ho preso la coca Pepsi adesso no
succederà di fatto se il
la ricetta è rubata, giusto sai cosa?
succede che chiamano Coca-Cola è successo
più volte come questo amministrativo
l’assistente ha rubato la ricetta una volta in qualche modo
lei ha avuto accesso a ciò che ha preso lei era
pazza lei era un impiegato scontento I
sappi che tutti voi siete grugniti
dipendenti
era scontenta giusto così lei
su Pepsi piace è un’opzione sul
Sistema IVR premere 5 se si dispone di
ricetta per Coca-Cola, così in qualche modo ha ottenuto
a qualcuno e lei ha detto loro e hey I
ha ottenuto la ricetta Sono disposto a vendere a
voi 150.000 dollari o qualunque diritto
lei le ha chiesto un sacco di soldi che venderò
a te vuoi Pepsi?
chiamato coca e sono come hey Susan
appena ci ha chiamato mi hanno detto ha detto che
ha la ricetta che vuoi che noi gestiamo
che hai intenzione di gestirlo oh no non lo faccio
preoccuparsi abbiamo ottenuto
giusto e sono andati a riposare in lei loro
non importa loro davvero non lo sai
ciò di cui Coca-Cola è effettivamente preoccupata
secondo la cocaina fai quei freestyle
macchine tu sei il io vado in spingo un po ‘
pulsanti e ottengo il lime coke il migliore
cosa nel mondo
ciao sono cocaina Sono dipendente, non è vero?
Sono un ragazzo grasso , non giudicare bene
Giudica che sono preoccupati per quelli
perché ogni volta che fai un
selezione sulla macchina da freestyle
invia un pacchetto di dati fino all’API
nel cloud per Coca – Cola per tenere traccia
in modo che sappiano cosa sono i sapori
popolare in quali settori e tu pensi perché
sono preoccupati per questo lo dirò
voi cinque ragazzi avete cinque ragazzi
quassù va bene così il più costoso
hamburger puoi prendere un fast-food
ristorante
cinque ragazzi hanno macchine stile libero
sono una società pubblica, se io
potrebbe catturare quei dati che conosco
media per ogni due phillips di una tazza
un pasto è stato venduto nel caso in cui sei entrato
cinque ragazzi l’hai fatto bene , cammina
tu compri il tuo pasto, ti consegnano il loro
coppa vanno a sedersi là chiameremo
il tuo numero che vai a riempire la tua tazza
lo bevi
è una coca cola per cui risolvi quella cosa
giù veloce hai finito il tuo pasto e tu
vai a riempirlo con il lime coke
bontà ancora una volta a portarlo con
perché per qualche ragione la coca è
stupido e non lo vende in bottiglia
dove potrei comprarlo giusto così mio
la fonte è la macchina da freestyle, così ora
Conosco due Philips un pasto che conosco anch’io
che il costo medio di un pasto a Five
Ragazzi ho 87 dollari e 36 centesimi
esagerare quindi se posso catturarlo
dati se ho accesso a tale API e posso
tira i dati se riesco ad accedere a questo
traffico e può affrontarlo Conosco il
vendite di cinque ragazzi che posso ridurre o spingere
o lungo o qualunque sia il diavolo
i termini di investimento sono corretti
non prendere consigli sugli investimenti da parte mia
solo quello ma secondo la cocaina loro
contratti con quelle aziende Coca-Cola
si assume l’intera responsabilità per qualsiasi acquisizione
di quei dati è così che hanno ottenuto il
macchine a cui erano disposti a farlo
accetta responsabilità per quello che è il motivo
quell’API che nascerò se avessi
stato lo sviluppatore che API tutto
accetta è Coca Cola in un luogo
questo è tutto
chi diavolo avrebbe pensato che fosse
diritto sensibile che penserebbe che sia
qualcosa di cui mi devo preoccupare
cosa intendo riguardo alla comprensione del rischio
capire le tue minacce devi
capire che cosa sta succedendo perché, come abbiamo
andare avanti
tutto sta accelerando, lo adoro
giusto sviluppo agile spingiamo di più
le app oggi poi ci spingono la scorsa settimana
abbiamo spinto l’ anno scorso ero solo in un pannello
la settimana scorsa e qualcuno ha citato una statistica
che non avevo sentito e sono andato e
la ricerca e presumibilmente è vero 92%
dei dati che esiste oggi era
generato negli ultimi cinque anni il 92% di
i dati generati che esistevano era
generato negli ultimi cinque anni, che è
stupido
è incredibile quanto i dati siano
sensibile che i dati devono essere protetti
e stiamo spingendo sempre di più
applicazioni per gestire tali dati e come
guardiamo ad Agilent che penso sia
divertente non fraintendermi e dico
questo con amore ma
l’ immagine stereotipata di uno sviluppatore
è un grasso pigro scapestrato giusto e noi
chiamato agile , essere chiaro e agile
non descrive affatto questo corpo così io
penso che sia sarcasmo ma vediamo le cose
come Netflix a destra che annuncia fieramente
che distribuiscono il codice 47.000 volte un
ora alla produzione sto esagerando
leggermente a destra e so che usano
questo come un marchio guarda quanto siamo bravi
possiamo distribuire e distribuire e distribuire e
Ho letto che il nostro codice fa schifo a noi
Devo distribuire questo molte volte al giorno
che so non è quello che intendono dire giusto
ma quando guardiamo a questo come siamo
Dovrei testare che come stiamo
supposto per gestire guardando tutti quelli
giuste applicazioni l’unico modo per farlo
è per voi ragazzi prestare attenzione e dentro
nella mia mente abbiamo bisogno di combinare rosso e blu
da qui il termine viola squadra quindi
test reali Non posso farcela tutta
non posso permettermi di farmi fare tutto questo no
fraintendetemi e non fraintendetemi
hai un budget illimitato chiama Andrew
installerà un Esso W ma se lo hai
budget illimitato come stai qui
ci sono Isole Bahama che puoi comprare
basta uscire e puoi volare tutti noi
lì per questa conferenza sulla tua moneta
se non avessi un po ‘di budget
giusto penso a queste cose ma tu
non posso farmi testare le tue app in modo che tu abbia
per farlo bene devi capire
e uno dei modi in cui dico di farlo è
prima sai cosa devi cercare
capire i difetti quante persone
qui conosci la top 10 di OWASP buona
mi disturba un pochino quello no
tutti nella stanza alzarono la mano
Non intendo dire che Oh vespa sia il
progetto di sicurezza delle applicazioni web è aperto
è una risorsa gratuita, a proposito, se tu
trattare con PCI in qualsiasi modo se la tua app è
comunque relativo a una rete pci sei
Dovevo sapere che cosa Olaf si ferma dieci
è periodo se non si conosce il sistema operativo
top-10 è la tua azienda può perdere il
possibilità di accettare carte di credito
farei schifo per te ma so che non lo fai
accetta carte di credito o la tua app no
scrivi di aver mai sentito parlare della Federal
Trade Commission hai visto il
Federal Trade Commission contro Wyndham
In tutto il mondo la catena alberghiera Wyndham era
ha violato per tre volte il loro riconoscimento
scusa ho detto che ad alta voce il
La Federal Trade Commission li ha seguiti
e hai detto che fai schifo che hai fatto male e tu
cittadini americani colpiti e siamo
responsabile della protezione del consumatore
così hanno fatto causa a Windham per il modo in cui hanno vinto
e non discuterò la legittimità
del caso o qualsiasi altra cosa del genere
ma ti dirò che cosa è venuto fuori
di quel caso era il commercio federale
La Commissione dice che avremo intenzione di tenere
ogni compagnia che si occupa di americano
i consumatori ad un livello e venne Windham
indietro e ho detto whoa hippie che non hai
ci ha dato uno standard e il federale
Trade Commission ha detto qualcosa che io
il pensiero era intelligente e chiarissimo io
appena detto governo e intelligente nel
stessa frase e non ero
sarcastico hanno detto che non siamo agili
abbastanza per generare quello standard sei
vero, non ne abbiamo generato uno
ti tengono agli standard del settore e il
lo standard industriale che hanno scelto è stato il PCI
hanno detto che stanno per tenere o
organizzazioni contro PCI, quindi se
sei stato violato e il commercio federale
Commissione comincia a vedere le cose che sono
ti chiederò come ti abbini al PCI
requisiti e uno di loro è sapere
nessun ospedale è giusto uno di loro
capire gli attacchi perché se tu
non capisco gli attacchi come puoi
forse capire come risolverli se io
dì a te mettendo la singola citazione in a
campo giusto tutti in questa stanza è
andrò, sì, sì, so cosa fa
immediatamente penserai al sequel
iniezione so che non sono nemmeno
ti chiedo di alzare le mani perché perché se
non hai alzato le mani che avresti sentito
male abbiamo saputo dell’iniezione sequel
per oltre 20 anni non è un
esagerazione più di 20 anni fa abbiamo trovato
fuori circa l’iniezione sequel più 20 anni
fa abbiamo trovato la soluzione per sequel
l’iniezione non ha un database sequel
no no no non è Oh parametrizza
le query consentono alle query di essere semplici
banale il banale da implementare ogni
il linguaggio principale li supporta
non richiedono risorse significative oltre
query dinamiche in effetti
alcuni casi richiedono meno risorse
quindi il parametro dynamics sequel e
sono facili da implementare ancora la settimana scorsa
Ho trovato l’iniezione sequel in un’app che
è stato costruito questo dannato anno se sei un
sviluppatore che scrive sequel di iniezione I
voglio essere chiaro ero uno sviluppatore
sto scrivendo sequel di iniezione quindi sto parlando
su di me a te falliscono e io no
in piedi qui dicendo oh idiota
sviluppatore ma in quel caso quanti
incalzato per non chiamarti un idiota
sviluppatore, perché abbiamo conosciuto su di esso
per vent’anni e non compro il
tutto ma è così difficile che sono impegnato, sì
sono come ho detto parametri query
sono più facili da costruire rispetto al sequel dinamico
Ho appena reso il tuo lavoro migliore del tuo lavoro
più facile fare capisci il
gli attacchi capiscono quello che capisco
la mentalità professionalmente malvagia che io
avere quando guardo la tua app è tutto
Ti sto chiedendo di farlo, non te lo sto chiedendo
per fare il test delle penne hardcore che sto chiedendo
a pensare a cosa potrebbe un attacco
fare loro capire e poi in cima
che capisci il contesto capisci dove
l’attacco corre, abbiamo già detto che il PCI era
una buona cosa giusta voglio essere molto
chiaro PCI è una barra molto bassa , proprio così
come se tu fossi così alto per cavalcare il
Internet
questo è quello che PCI ha ragione per più tempo
tempo PCI DSS non ha considerato un
lo scripting cross-site è un problema serio
che penso sia esilarante no no no
può eseguire codice arbitrario nel browser
quello non può essere cattivo no, in realtà ho detto II
ha insegnato una lezione e ho fatto una battuta su
che piace quanto erano stupidi i ragazzi del PCI
per non pensare allo scripting cross-site
e ho avuto un ragazzo su dove si trova
seduto urlare contro di me cuz gli capitò di essere
sulla scheda che ha fatto tale decisione e
la sua risposta non era niente cross-site
lo scripting non è un grosso problema
un problema lato client non è un
problema lato server come fai davvero
voglio un negozio se mi trovo proprio fuori
il tuo negozio e ogni singola persona
che entra li ho presi a calci Wow
più duro che posso nello stinco giusto e
Sto indossando una maglietta che ha il tuo nome
su di esso uscirai e dirai
me cosa diavolo stai facendo smettere
calciare i miei clienti lo pensi
sarebbe una risposta valida per me da dire
tizio problema lato client non è il tuo problema
giusto questo è cross-site scripting tu
stanno prendendo a calci i tuoi utenti nello stinco ogni
single time sei vulnerabile ad esso noi
bisogno di pensare al contesto che dobbiamo
pensa a dove questa roba corre dove
l’applicazione funziona bene Oh an
esempio, che come molte persone qui hanno
mai scritto un’applicazione di calendario a destra yeah
pensa che come ogni sviluppatore scrive a
app calendario ad un certo punto della loro vita
e poi hanno capito che è davvero
cosa stupida da scrivere e loro vanno avanti
qualcos’altro
è come se crypto non scrivesse il tuo
criptato non sei così intelligente se non il tuo
le iniziali o una delle iniziali RSA
anche se non sono così intelligente
per essere chiari, le mie iniziali sono K e J
non in quei tre ma le persone scrivono
app di calendario e ho persone che dicono
tutto il tempo abbiamo un calendario pubblico
e io sì ho trovato l’iniezione di sequel in
quella app calendario oh, non è un grosso problema
nessuno di questi dati in quell’app di calendario
è sensibile quindi va bene che l’utente
potrebbe scrivere eseguire query arbitrarie
a fronte del database lei ha detto che con
una faccia seria
non hai nemmeno ridacchiato quando l’hai detto
Penso che tu intenda quando parliamo
contesto giusto se ti ho detto ho trovato
scusa cross-site cambia il
vulnerabilità
Ho trovato il seguito
nella tua app calendario rispetto a quella che ho trovato
sequel di iniezione nella tua app calendario
e posso accedere a tutti i dati presenti sul
database e quel database coesistono anche
con il tuo contesto di database PeopleSoft
il primo che conosco è un brutto affare
potrebbe non seconda persona sono
panico giusto devi capire
quel contesto devi capire
dove le cose sono così che puoi testare
perché la realtà è il tuo modo di essere
prova stai guardando al 99% e non sto facendo
su quel numero probabilmente sono di prova
sta solo avendo consapevolezza dei problemi
che esiste così come si costruisce il sistema come
costruisci i tuoi test unitari mentre lo fai
puoi risolvere il problema qualcosa che farò
buttare qui ognuno di voi
Dovrebbe uscire a fuzz DB stasera fuzz DB
è un progetto open-source che ha
i carichi utili di attacco sono questo e il mio
la raccomandazione è andare là fuori e prendere
alcuni di questi attaccano payload e put
nel tuo test unitario hai diritto
test di unità automatizzati , naturalmente, voi
diciamo che hai un campo di accesso questo
è solo un semplice esempio che sto assumendo
che si prova per valido nome utente valido
password nome utente valido non valido
password nome utente non valido e quant’altro
password giusta quelli sono di solito il
tre test unitari comuni
ora metti un carico utile per il sito trasversale
scripting un payload per il comando
iniezione di un carico utile per xse un carico utile
per LDAP seleziona correttamente cinque o dieci payload
questo ha un senso
contesto in un campo di accesso, aggiungili
al tuo test unitario non ci vuole niente
scrivi che è solo un carico utile e tutto
devi fare è cercare uno strano
risposta è così
Non mi interessa nemmeno se capisci cosa
xxe è che non mi interessa se capisci
che iniezione di LDAP è ancora non lo farò
inizia con se tutto ciò che fai è aggiungere al tuo
unit test un insieme di payloads
che funzionano e se questi payload falliscono o
per quei payload hanno un problema di chiamata
la tua persona di sicurezza se è così
qualcuno del team di sviluppo che
conosce la sicurezza o se è reale
squadra di sicurezza non mi interessa, ma farlo
e inizierai a capire ho pensato
Ho avuto un pannello di più ho sempre Close Ho
non è mai caduto da un palcoscenico oggi potrebbe essere
la prima volta vedremo giusto ma
quello che ti farà iniziare è il rosso
che dire del blu?
fammi fare domande praticamente
tutti nella stanza alzarono la mano
come sviluppatori giusto quanti di voi quando
pensi alla tua app, pensi?
di difendere e non intendo
scrivere il codice in modo da prevenire gli attacchi
Intendo rispondere a un incidente bene
avere un paio di mani è fantastico
quando scrivi la tua app, te lo dirò
tu come una persona che ha fatto, io sono il modo
troppo IR ci sono alcune immagini di te
non posso unseeee quindi non lo faccio più ma
quando hai un’app non posso dirtelo
il numero di volte in cui vado qui è un
esempio quante persone qui registrano fallito
login tentativi di vostra applicazione giusta sì
quanti di voi registrano login di successo I
voglio indicarlo con le mani lasciami
ti faccio una domanda ti darò un
esempio che è peggio un milione fallito
tentativi di accesso contro un amministrativo
account o un milione di accessi non riusciti
tentativi contro un amministrativo
account e uno di successo che è
peggio secondo, naturalmente, tutti voi
che non ha alzato la mano
registrazione di accessi di successo che non avresti mai
conoscere
sapresti che hai avuto un milione di fallimenti
login devo dire che sì, ma loro
arrenditi e tu saresti una merda, no
sappi che non è una buona risposta quando la tua
capo è come oh siamo stati violati perché dentro
la maggior parte degli stati che hanno violato
leggi di notifica hanno una clausola in
lì che dice
non puoi dimostrare di non essere stato violato
Supponevo che fossi tu lo volessi fare
notifica di tutti i tuoi utenti perché
non hai registrato se il login è stato
successo o no che farebbe schifo
perché è fatto anche peggio a destra
perché non solo devi dirlo a tutti
i tuoi utenti sono stati fregati di cui abbiamo bisogno
per cenare prima
ma dovrai dire loro che
non so cosa hanno fatto che possono avere
stato fregato
quello che fa schifo è quello che diciamo
pensa al blu pensa a come lo fai
quanti di voi effettivamente riesaminano il tuo
registra quanti lavorano otto aziende
qualcuno recensisce i tuoi registri ora lo farò
punta a te solo perché sei vicino
abbastanza per va bene , scusa, dici
qualcuno rivede i tuoi registri per le tue app
destra impressionante felice di sentirlo fatto che
persona mai venire a parlare con te di
cosa fa l’app all’inizio come
fai aggiornamenti e tutto ciò che fanno
parlare con te no ovviamente non è giusto
loro sono occupati noi lo vediamo tutto il tempo
e sono davvero felice di sentire che
hanno parlato con voi all’inizio
la maggior parte delle volte le persone della sicurezza non lo fanno
mai parlare con gli sviluppatori che iniziano
applicazioni di monitoraggio e hanno no
idea quello che l’ app non hanno mai
parlato con lo sviluppatore ero un amministratore I
è stato eseguito i server WebSphere per a
BlueCross e uh quando ero lì che avevamo
un’app che è morta una notte e ho avuto il
pagina sì pagina Sono vecchio e ho chiamato
nel diodo ho chiamato in IVP finendo che sono
scusa ok, ho chiamato I attraverso il
rumore di un modem ma ti ho detto che sono vecchio
e ho preso i registri e ammetto che lo ero
uno di quei ragazzi che ho schierato
qualcosa non aveva idea di cosa fosse l’app
non avevo idea di cosa significassero i tronchi e io
ho ricevuto un messaggio analogico che diceva il codice di errore
42 ed è stato davvero non pensavo di essere un
Il riferimento di Hitchhiker lo era davvero
codice di errore 42
è come se si chiamassero gli sviluppatori e mi piace
hey Ho ricevuto un codice di errore 42 in produzione
in blah blah blah questi sintomi
questo stava andando sul look sviluppato
okay fai questo questo questo e lo farò
riavviare il problema andrà via lo faremo
parlare di questa mattina sembra fantastico no
il problema l’ ho fatto è fatto da te
un whoo che siamo a posto posso tornare a
dormire
diritto che è una persona chiamata
Michael torna a dormire proprio così
è stato fantastico
quindi metto le note in modo corretto come se fosse questo
succede che ottieni un codice area 42 fai questo
c’è questo lo aggiusterà, non ti preoccupare
gli sviluppatori lo risolvono solo saltando a
settimana letteralmente una settimana ne ho tre
l’ora del giorno andiamo, sì, compongo
in I go through the logs codice di errore 42
come ho avuto questo so che questo uno fa
fai merda non ha aggiustato nulla così io
provato di nuovo perché funziona sempre
giusto se ti piace battere il lato
della TV ha sbattuto il lato di un
la TV moderna ha mai aiutato, ma lo facciamo ancora
quanti di voi soffiano nel tuo ps4 ma
e così l’ho soffiato alla mia retropia l’ultima volta
la notte okay non l’ho fatto ma è divertente
dire che la torta retrò è un totale fantastico
tangente non aggiustarlo così ho chiamato il
sviluppatore ho avuto lo stesso ragazzo esatto su
al telefono sono come un tizio, dico un tizio
troppo spesso per qualcuno che non lo fa
servire come amico ho provato i tuoi passi
conosci in 42 e poi è come se tu avessi
un codice di errore 42 Sono come sì, lui va
fai questo questo e quello quindi l’ho fatto risolto
ho detto che hai cambiato l’app che è
come no no è un errore diverso come
entrambi dicono il codice di errore 42 si va yeah
sì, ma quello ha una maiuscola sul
errore quindi il codice di errore
Mi piace quello che diavolo è come te
avere lo stesso identico codice di errore ma
considerando la capitalizzazione del
prima lettera sei drogato e ora
perché non aveva mai pensato
ma nella sua mente sapeva bene così
ma non aveva mai considerato come il
la registrazione funzionerebbe quando avevamo a che fare
con
incidente e in quel caso quell’incidente
questo è un evento giusto non è un
cosa di sicurezza stavamo solo avendo un
problema di disponibilità che è una sicurezza
cosa giusta, ma non aveva mai pensato di
sai come si riferiscono i tuoi registri
il firewall registra una delle cose divertenti
fare seriamente questo la prossima settimana quando
torni al tuo ufficio chiama il
squadra di sicurezza destra o il team di rete
e dire hey hi ho avuto qualcosa da fare
i miei registri che voglio rintracciare possiamo ottenere
l’IP di origine e tutti i relativi
registri dall’infrastruttura di rete e
l’infrastruttura del server relativa a
questo timbro nel mio come questa volta
timbro nei miei registri e vederli scramble
vedi se riescono a farlo puoi rintracciare
Internet fino in fondo e tutto il
via del ritorno una transazione attraverso il
consiglio e ti dirò che cento
per cento dei clienti che ho lavorato
con non posso quando inizio a lavorare con
loro e questo è un problema giusto perché
quando parliamo di applicazione
infrastruttura e parliamo di rete
infrastruttura di cui parliamo
di cose che non pensiamo a tutto
questo significa che ci sta portando a
viola e questo è qualcosa e lo so
noi non abbiamo ottenuto in duro tecnico
dettagli di base di questo test e questo
test di questo test non possiamo perché
questo test di questo test in questo
il test è diverso per te rispetto a quello che è
per te che è diverso per te giusto
quello che voglio butto fuori DB fuzz che faccio
pensa che funzioni per tutti ma
oltre il fuzz DB dipende dall’app
dipende da come lo si distribuisce, quindi ecco qui
qualcosa ti raccomando quanti di voi
avere pen-test o valutazioni di sicurezza
fatto delle tue app e non intendo quello
hai una terza parte fallo necessariamente
giusto se lo fai è bello se
non va bene, ma tu hai
qualcuno fa il test della tua rete di
le tue app intendevo che mi dispiace lavorare bene
con loro c’è c’è un paio di cose
Mi piace di più di quando vengo a fare
un pen-test quindi ho uno sviluppatore dire
per me hey ti dispiace
Ti ho parlato di questo sul serio e
non sono solo io la maggior parte della sicurezza
voglia di parlare con le persone responsabili
costruire i sistemi giusto pensare
esso
lavorare con loro ho citato il
cavalcabile e voglio essere chiaro io
chiamali cavalcando molte sicurezza
le società di consulenza fanno più sicurezza
le squadre ti permetteranno di farle se ne hai
una squadra di sicurezza interna che possono
non chiamarlo un cavalcata, ma va bene, ma
lavora con me lascia che ti mostri parlare con me
se mi dici ehi, abbiamo appena schierato un
nuova versione dell’app e questo è
qualcosa che abbiamo cambiato qui e io sono un
poco preoccupato di come funziona
potresti concentrarti su di esso, lo farò io
parlaci bene e mentre io sono
facendo il mio test di penna chiedimi cosa sto facendo
e vedi se potessi rilevarlo in realtà
lavorare come un incidente ora non capisco
il punto che chiamiamo l’FBI potrebbe essere la gente
calciare nella mia porta non è mai divertente
Sono sempre stato colpito a due volte
non è divertente se non ti hanno mai sparato
Io non lo consiglio e hey bene lo sai
secondo le notizie posso uscire
ma è divertente che non mi abbiano sparato alla fine
notte o oggi sono deluso da te
Chicago così a lungo tutti quelli che ha realizzato questo
cosa è uscito dalla mia bocca che io
probabilmente non avrei dovuto dirlo, ma oh
bene e uh, ma imitare un incidente andare
attira la gente per dire che abbiamo un
pen tester e se vengo da te e da me
dire guarda ho trovato questo ho trovato questo difetto
fantastico vai al tuo admin hai rilevato
che vai dai tuoi addetti alla sicurezza , lo hai fatto tu
scopri che possiamo vedere cosa sta succedendo
giusto e funziona come un istante così tu
sappi che la tua applicazione non è solo
robusto protetto contro il mio attacco ma
se qualcuno esegue l’attacco puoi farlo
rilevarlo e rispondere ad esso prima che sia
un problema perché ti darò un
esempio di questo lavoro voi ragazzi lo sapete
Zappos la società di scarpe acquistata da Amazon
sai che sono stati violati proprio tu
la prima volta sono stati violati a
lo sviluppatore in un amministratore ha interrotto l’uscita
di dati uno degli amministratori Oracle che era
anche uno dei loro sviluppatori ha visto una query
provenienti da una strana fonte sulla loro
rete che richiede dati che non ha
normalmente non è stato richiesto e loro
ucciso la transazione prima di esso
finito di correre come una persona di sicurezza
è bello perché lo è davvero
quello che mi ha detto è stato quello sviluppatore
quell’amministratore ne sapeva abbastanza del loro
sistema per sapere cosa era normale e cosa
non era il modo in cui molti di voi sanno cosa sia
normale nella tua app Stoppard che hai sollevato
la tua mano su tutto bene, a proposito
è il prossimo oratore quindi dovrebbe ma
se non sai cosa è normale come fare
sai che è anormale come stai
sapere che gli attacchi che sto facendo non solo l’hanno fatto
mi dice che, ma mi ha anche detto che
Zappos ha una cultura in cui il
sviluppatori e amministratori e io odio il
la parola potenziata lo faccio davvero perché è così
così strano che mi sento come se le persone dovessero
indossare mantelli quando hanno il potere, ma io
Ho visto Incredibili ma non conosco cappe
sapevano che se l’avessero ucciso
transazione a metà giornata in
produzione e si è rivelato essere un
transazione importante non stavano andando
perdere il lavoro perché lo erano
farlo per una buona ragione che il
la compagnia ha riconosciuto la necessità di ciò
il livello di monitoraggio riconosce la necessità
per quel livello di risposta che è
fantastico non so un’altra parola per questo
è fantastico che è dove dovremmo tutti
arrivare così mi sono concluso ora perché è così
la fine del mio tempo quello che sto per dire
per favore accoppi le cose come ho detto il mio lavoro
è mettermi fuori dal mercato che facciamo
un sacco di formazione che facciamo sviluppatore
formazione facciamo tutto questo genere di cose
e la ragione per cui ho parlato di questo sono io
non voglio farlo come annuncio ma io
Non conosco nessun altro modo di parlare
se si conosce qualcuno che è un veterano
militare attivo o primo soccorritore
o per la formazione è gratis per tutti loro
devono fare è raggiungere me o
la compagnia e dire che mi piacerebbe l’ accesso
la tua formazione gratuita sono un veterinario o sono un
primo soccorritore o qualsiasi altra cosa e lo faremo
dare loro il codice coupon da utilizzare per ottenere
accedere gratuitamente alla nostra formazione registrata
quindi se sei o conosci qualcuno che è
per favore fa sapere loro che è molto importante
per me che lo facciamo anche io voglio
per dire che finirò bene
ogni tanto me ne vado, devo andare
tornare indietro ho avuto il lavoro per fare il mio capo
è un cretino ma voglio essere disponibile per
domande e intendo davvero se come
stai lavorando attraverso qualcosa come
si sta testando è che stai pensando di
sicurezza non esitate a raggiungere
a me e-mail mi chiama
cinguettando non so bene
qualunque cosa prenda in contatto con me
se hai bisogno che firmi una non divulgazione
accordo in modo che tu possa mostrarmi il tuo
problema lo farò bene e questo è un
offerta gratuita che non è una chiamata hey e chiedere
mi chiedo che avrai una fattura
ora se mi chiami e mi chieda e dica hey
potresti testarlo, allora dobbiamo parlare
su un s o W e tutto quel tipo di
roba giusta ma se tutto quello che vuoi sapere
è hey che cosa significa questo o hey sono
esaminando la cosa OWASP che hai detto
io riguardo e io non capisco questo
attacco fatto parliamone bene se
stai iniziando a implementare i test in
il tuo sistema di sicurezza mi chiama e parla
per me ti darò alcuni consigli
una raccomandazione non compra segni di spunta
segni di spunta è il peggior software che tu
potrebbe comprarlo, è orribile
supporto e l’azienda deve essere
li distrutto in silenzio solo il mio
opinione e ho detto a entrambe le aziende che sono
facendo ciò in tutti i miei discorsi non lo sono
felice a riguardo sì, ma me se tu
hanno tutte le domande si prega di raggiungere i
io okay penso che sia giusto, grazie
a tutti molto di godere il resto
dello spettacolo
Please follow and like us: