Esta es la presentación que di en OWASP EU 2013 sobre algunas reflexiones sobre por qué el pentesting y la seguridad informática fallan hoy en día y los "malos" o "ciberespías" siempre ganan. Son reflexiones personales sobre Pentesting by Design, diseño de soluciones de seguridad y planificación empresarial. Mis ideas.

1. Why Cyberspies always win!Why Cyberspies always win!
Chema Alonso
(@ChemaAlonso)

2. "I know not with what weapons
World War III will be fought,
but World War IV will be
fought with sticks and stones.”
Albert Einstein

3. Aurora Operation

4. Espías Chinos Malos, Malos..
“China is the
most dangerous
superpower on
Earth.”
Eric Schmidt
(Google)

5. Operation StuxNet

6. Duqu & Flame

7. • 1000+
modules
• Acid
Cryptofiler

8. APT1

9. NetTraveler
• 2004
• 22 Gb

11. Advanced CyberThreat

12. ¿Quiénes son los culpables?
• ¿Usuarios?
• ¿Tecnología?
• ¿Informáticos?
• ¿Jefes?

13. ¿El usuario es el culpable?

14. Vulnerabilidad Permanente
“Siempre existe una
vulnerabilidad entre la silla y
el teclado”
Sergio de los Santos

15. Nos olvidamos de Penny!Nos olvidamos de Penny!

16. ¿Realmente son entendibles?
• OTP
• 2-Factor
• VPN’s
• WPS
• Oauth
• … Y un largo etc…

17. Algo no hemos hecho bien…

18. Endless World!

19. OSINT

20. El Ataque Dirigido

21. OSINT

22. OSINT

23. OSINT

24. Today

25. Pero….

26. MetaShield Protector

27. Esquema Nacional de Seguridad
• "5.7.6 Limpieza de documentos
En el proceso de limpieza de documentos, se retirará de estos toda la información adicional contenida
en campos ocultos, meta-datos, comentarios o revisiones anteriores, salvo cuando dicha información
sea pertinente para el receptor del documento.
Esta medida es especialmente relevante cuando el documento se difunde ampliamente, como ocurre
cuando se ofrece al público en un servidor web u otro tipo de repositorio de información.
El incumplimiento de esta medida puede perjudicar:
a) Al mantenimiento de la confidencialidad de información que no debería haberse revelado al
receptor del documento.
b) Al mantenimiento de la confidencialidad de las fuentes u orígenes de la información, que no debe
conocer el receptor del documento.
c) A la buena imagen de la organización que difunde el documento por cuanto demuestra un
descuido en su buen hacer."

28. IBEX 35
100 %
Empresas con metadatos
Empresas sin metadatos

29. Money

30. No more free bugs

31. {Tu tiempo} Tu bug es oro

32. "If you spend more on coffee than
on IT security, then you will be
hacked.“
(Security Czar) Clarke, 2002

34. Resilent Military Systems

35. Diseño de Sistemas

36. Pentesting Continuo
“Si un pentester no puede hacer
una prueba de pentesting cuando lo
necesite, entonces ya has perdido,
porque los malos sí que la van a
hacer cuando quieran”
Chema Alonso

37. People request…

38. Gwapo
http://www.youtube.com/watch?v=c9MuuW0HfSA

39. Diseño de Sistemas

40. Pentesting “Driven” By FOCA

41. PCI-DSS

42. Insuficiente
• Web Apps cambian mucho
• SW ciclo de parhes mensuales
• Decenas de publicaciones
hacking mensuales

43. Pentesting Done by FOCA:
FOCA as a Service

44. FOCA approved!

45. Executive Summary
• Seguridad adaptada a usuarios
• Nuestro sistema informático es Internet
• Pentesting by Desing
• Pentesting Continuo
• Show me the money….

46. Y si no…

47. FOCA
Rulz!
¿Preguntas?
Chema Alonso
chema@11paths.com
@ChemaAlonso