Conferencias flisol bogota 2013

Hola feliz jueves,bueno quiero hacer un resumen de mi asistencia a #frisol2013 que se celebro el 4 de mayo de 2013 en las instalaciones del IDRD bueno no tengo casi fotos del evento pero bueno me parece mejor describir el mismo,empezamos a como estaban divididos los stand y las salas de instalaciones ,las salas donde se realizaban las conferencias y des-conferencias de este evento que particularmente pensaba que iba ser  distinto bueno.

Para empezar el único inconveniente fue que no se realizo la conferencia de ubuntu phone y ubuntu rating 13.04 después averiguando en el twitter  el conferencista , perdón por no recordar el nombre no asistió estaba en la sala de instalaciones y no tuvo el tiempo de presentar esa conferencia,una lastima aunque soy mas de debían siempre estoy mas pendiente de la mejor distribución de linux en el mercado y así de sus novedades y nos sabia que existía dicha sistema operativo móvil  de ubuntu ,pero ya se googleara como que ya existe el verbo en la RAE ese otro tema. Básicamente el evento tenia un stand donde los patrocinadores o colaboradores estaban presentando sus proyectos eran varios había de varias universidades y organizaciones no me acerque a todos primero me acerque a Buggly que son unos duros de seguridad informática por cierto tiene un evento el 18 de mayo HackTatto se ve como bueno el evento de pronto asistiré,bueno lo primero que me llamo la atención es la afirmación "Ingresar una memoria  USB desconocida es como ponerse un inyección sin saber antes en que mano a pasado" ,hablando del evento de Buggly dice que los mas experimentados  expertos en seguridad informática y los mas experimentados tatuadores de bogota en un mismo sitio acá el folleto que me entregaron:

Evento organizado por la cuestionada comunidad Buggly Ethical Hacking Community

bueno la practica de la conferencia en el stand se evidenciaba la forma de como hay vulnerabilidades en las redes wi-fi se mostró desde una terminal de linux como descriptaban la información haciéndole creer a un usuario de digitar sus datos en una conexión que simulaba una entrada https que es un un protocolo que envía datos encriptado,se puede ver los datos pero no descifrarlos ,hicieron una recomendación de cambiar la contraseña por lo menos cada mes, ojo!

bueno otro stand a que tuve la oportunidad de ver una extraordinaria labor fue de OLPC Colombia que son computadores de 100 dolares que se cargan mediante una barinela(creo que se escribe así  que los computadores tiene conexión wi-fi,tiene un sistema operativo linux no recuerdo la distribución y software educativo que se actualiza y otros en pleno desarrollo , aquí una foto:

pero recordando que cuando supuesta mente iban a ser la conferencia de ubuntu phone y ubuntu rating 13.04 (estoy obsesionado con el tema ,pero bueno quede con las ganas de ver este sistema en acción me impaciente y le pregunte a los de logística que habían pasado y no obtuve respuesta(para mejorar, no!) lo único que me dijeron que fuera al stand de ubuntu Colombia estaban haciendo una rifas a los que estuvieran en su conferencia regalando botones y CD de su ultima distribución ,bueno me ocupe viendo las otras conferencias y cuando fui a verlos estaban almorzando, me lleve  el folleto que aquí una imagen:

Ahora si,voy hablar de las conferencias la primera que asistí fue: no es inseguro por que sea software libre dictada por   @eljeddto ,el empezó explicando que términos como firefox,Apache,OpenOffice,php,mysql,ubuntu y android ya no son términos desconocidos en el mundo y su uso se ha extendido.

Entre los fallos mas sobresalientes que nombro es aplicativos desactualizados,aplicaciones sin soporte por el fabricante o comunidades(por ejemplo alguien que desarrollo algo para la universidad y después lo abandono),uso de configuraciones débiles o predeterminadas y uso de componentes inseguros.

Otros problemas abortados por el expositor son problemas de asignación de permisos o controles de acceso,ausencia de controles de seguridad,ajustes temporales alternos,uso de fuentes de software inseguras.

hablo de tener cuidado con componentes de terceros sobre todo con el gestor de contenidos joomla que es el gestor de contenidos de los populares actualmente,entre los ataques de aplicaciones esta 

SQL injection,ataques de asignación de servicios y ataques de robot en la red por  no utilizar configuraciones predeterminadas en joomla o drupal.

Los fallos en cuestión de asignación de permisos,un fallo puede significar dejar una aplicación como administrador y/o un servicio como administrador.fallos en ausencia de controles de seguridad,dejar un archivo SQL en la pagina ,ausencia de controles de seguridad,entre las técnicas empleadas por los hacker(por cierto una técnica mal utilizada,ese es otro tema no lo voy a abordar) es utilizar buscadores malignos que que muestra la versiones de software que esta utilizando el host y con esto se ataca, mostró fallas en la configuración de phpyadmind  y como estas fallas y un fallo en el control de las contraseñas se utiliza fuerza bruta.

Estos ataques tienen como finalidad robo o ataques de información personal, afectación de la calidad de servicio, alteración de la información servicios y aplicación del negocio entre las consecuencias de estos ataques son fraude,estafa consecuencias legales, vulnerabilidades de código instalación, de código incorrecto,secuestro de código los hackers lo utilizan para enviar publicidad o re-direccionamiento de paginas de terceros utilizadas generalmente para compras o pornografía infantil.

Entre las soluciones que hablo el conferencista fue la de eliminar usuarios y configuraciones predeterminadas ,cambiar el sistema de validación integrada con la aplicación aplicar protección de cuerdo con el valor del activo o la información contenida y almacenada,tener una configuración red adecuadas.

al analizar tener un sitio web se debe analizar configuración de firewall, IDS/IPS ,filtros de contenido,trafico en tiempo real, correlación de eventos y hacer una traza de analizar vulnerabilidades,este evento me dejo muchas enseñanzas pronto segunda parte