2013
01 LINEA DE TIEMPO DE UN 0-DAY: COMO REDUCIR EL IMPACTO ATRAVES DEL INTERCAMBIO DE INFORMACION
Alex Kirk

Sourcefire
EEUU

Cada minuto cuenta cuando el código para un exploit que afecta un producto bastante popular se hace público y aún no existe un parche. Administradores de sistemas alrededor del mundo se encuentran con la necesidad de utilizar cualquier defensa que pueden incluyendo el uso de antivirus, IDS, WAF, firewalls entre otros mecanismos. Esta charla habla sobre líneas de tiempo de respuesta del mundo real desde el punto de vista de un fabricante de productos de seguridad informática, incluyendo con y sin poder intercambiar información con otras entidades durante la respuesta.

Basado en casos reales de la propia experiencia del autor como primer respondiente a incidentes de seguridad informática, la charla intenta cuantificar el beneficio del intercambio de información durante un incidente entre las empresas de seguridad informática en términos de 'bajas' económicas evitadas por una respuesta más rápida. Se hablará de métodos específicos para el intercambio de información y habrá colaboración directa con los asistentes a la charla.

02 ATACANDO INFRAESTRUCTURAS CRITICAS, ‘INTELLIGENCE’ LLEVADO AL EXTREMO
Daniel Martínez

Deloitte
España

Últimamente se ha hecho muy popular el termino ‘Intelligence’ en el mundo de la seguridad, nadie sabe muy bien definir exactamente qué es, pero si lo valorado que está dentro de las empresas. En esta charla veremos un caso práctico en el que se pudo sacar gran cantidad de información comprometida de una infraestructura crítica como es el transporte interurbano de una gran ciudad. Para ello se partirá de un trabajo muy concienzudo de ‘Intelligence’ y minería de datos para posteriormente acabar utilizando técnicas más clásicas como hacking web o ingeniería social. Además de este caso practico se verán varios ejemplos sobre otro tipo de infraestructuras comprometedoras utilizando estas mismas técnicas.

03 HACKEANDO TARJETAS DE CREDITO NFC PARA DIVERSION Y DEBITO
Renaud Lifchitz

Oppida
Francia

MasterCard y Visa están actualmente difundiendo nuevas tarjetas de crédito 'contactless' por todo el mundo. Con estas tarjetas se puede hacer pagos de forma mas rápido, simple y fácil - pero también de forma mas seguro? Hemos trabajado analizando estas nuevas tarjetas y hemos observado casi nada de seguridad. Clonar parcialmente y hacer pagos no solicitados es posible. En esta charla también se habla de temas de privacidad del usuario de la tarjeta, igual del impacto a los negocios e instituciones financieros donde se acepta estas tarjetas.

04 GUERRA CIBERNETICA: EQUIVOCACIONES DE LOS MINISTERIOS DE DEFENSA
Raul Chiesa

The Security Brokers
Italia

Esta charla analizará los errores frecuentes cometidos por los diversos ministerios de defensa de varios países cuando se trata del supuesto 'Guerra Cibernética'. El relator hablará de los aspectos culturales, practícales, logísticas y otros temas que ha observado durante su tiempo entrenando grupos de los ejércitos en países distintos.

05 BUENAS PRACTICAS FORENSES: CASOS PRACTICOS EN IOS Y LINUX
Lorenzo Martínez

Securízame
España

La charla versa introduce a aquellos que quieran enfocar sus conocimientos hacia el mundo del Análisis Forense de sistemas. Precisamente cuenta qué procedimientos se deben seguir utilizando como ejemplo dos casos reales, sucedidos en sistemas Linux e iOS, en los que las cosas NO se hicieron correctamente. Se habla de herramientas, distribuciones Linux específicas para Forense, buenas prácticas para ayuda a un perito informático forense, así como de técnicas de anti-forensics.

06 CLIENTES BANCARIOS AL DESCUBIERTO... Y A LA MANO
Freddy Grey

0rnitorrinco
Chile
Carlos Ormeño

0rnitorrinco
Chile
José Manuel Pérez

0rnitorrinco
Chile

Existe la percepción general que los bancos e instituciones financieras son las más preocupadas en materia de seguridad de la información, o al menos, las que debiesen tener los más altos estándares en estas materias; son conocidas las normativas que deben cumplir, en especial los tópicos de protección de datos y privacidad, instituciones como la Superintendencia de Bancos e Instituciones Financieras (SBIF), la Superintendencia de Valores y Seguros (SVS), auditores externos derivados de las auditorias financieras o de cumplimiento específico como de la ley Sarbanes Oxley, son algunas de las instancias que tienen estas organizaciones para probar su madurez en materia de seguridad de la información, son conocidas las practicas implantadas de estándares o marcos de referencia como ISO27001-02, Cobit, OWASP, Manuales del NIST, TOGAF y muchas otras, todas promoviendo el concepto de defensa en profundidad.

¿Pero que tan seguros están realmente nuestros datos? ¿Se podrán obtener? ¿Qué tan a la mano están? ¿Cuál sería el impacto de dicha obtención? ¿Necesitamos utilizar técnicas avanzadas para obtenerlos? Estas son algunas de las preguntas que intentaremos resolver en ésta presentación.

07 USANDO ACTIVIDAD EN LINEA COMO HUELLAS DIGITALES PARA CREAR UN MEJOR SPEAR PHISHER
Joaquim Espinhara

Trustwave SpiderLabs
Brasil
Ulisses Albuquerque

Trustwave SpiderLabs
Brasil

Todos los días producimos una tonelada de datos atreves del uso de servicios en línea - desde redes sociales, sitios de compartir fotos, listas de correo, foros en línea y blogs hasta herramientas mas especializadas, por ejemplo contribuyendo código a un proyecto de open source, escuchando música en línea gratis o planeando un viaje en línea. Monitorear estas actividades ya desde hace tiempo se sabe que es útil para formar un perfil de un blanco para ingeniería social, en particular por el paso frenético con lo cual usamos estos servicios y generamos estos datos.

Nuestra charla es orientada al uso de herramientas para perfilar estas actividades. Usando técnicas de minería de datos combinado con Natural Language Processing (NLP), podemos identificar patrones en la forma en que un usuario interactúa con otros usuarios, sus preferencias de vocabulario y fraseo, los amigos y colegas con quien mas se comunica y hasta incluso sobre lo que hablan. Consumiendo solo datos disponibles al publico, usando APIs oficiales y también haciendo scraping de paginas web, el perfil que generamos se puede usar para validar que tan parecida es información falsificada con información generada por el blanco.

Hablaremos del la indexación de contenido no estructurado, incluyendo temas como el lado legal y técnico del uso de APIs oficiales comparado con scraping de paginas web, como crear un graph de relación de usuarios, como agregar referencias temporales a los datos recogidos entre otras cosas.

08 BUENAS PRACTICAS PARA PREVENIR AMENAZAS PERSISTENTES AVANZADA
Matthew Ancelin

Palo Alto Networks
EEUU

Adversarios decididos no se puede parar usando métodos de la seguridad informática tradicionales. Empleando algunas buenas prácticas como reducir el superficie de ataque, investigar trafico de la red cifrado, y mejorar visibilidad y control sobre la red ayuda a mejorar la probabilidad de prevenir o por lo menos minimizar el impacto de las Amenazas Persistentes Avanzadas.

09 CYBERWARFARE, SAME OLD ...
Fernando Figueroa

Chile

Aunque hoy en día, existen conflictos bélicos tradicionales, han pasado a un segundo plano debido al auge de las ciber operaciones, a través de la ponencia, demostraré que este tipo de conflictos siempre ha existido pero ha ido evolucionando con los años al igual que su nombre.

Observaremos algunos casos de conflictos internacionales no simétricos y el impacto que generan en el sistema internacional y en las relaciones entre estados donde veremos ejemplos de utilización del poder duro y blando, como también las actuales ciber capacidades de países clave en Sudamérica y el mundo.

Analizaré el marco legal y las principales normativas de derecho internacional a las cuales las ciber operaciones están sujetas y cómo estas aún necesitan actualizarse para abarcar la realidad actual.

10 DDOS: CURRENT AND EVOLVING FRAMEWORKS
David Fernandez

Prolexic
EEUU
Terrence 'Tuna' Gareau

Prolexic
EEUU

PLXsert (Prolexic Security Engineering and Response Team) es responsable para la investigación de seguridad y inteligencia sobre amenazas para Prolexic Technologies. La panorama de los ataques de denegación de servicio distribuidos (DDoS) cambió en 2013 y esta por seguir cambiando en el 2014. El paisaje de amenazas es uno que requiere dos perspectivas para una vista completa de las tácticas de los actores maliciosos involucrados. Del lado defensivo del espectro, estos cambios abrieron la puerta para innovación creativo. Prolexic ha estado en una posición única para poder observar este proceso evolutivo durante los últimos años, que ha dado la posibilidad de estar al tanto de las nuevas técnicas de ataque y también como funcionan los BOTNET. PLXsert mostrará resultados y estadísticas que solo se puede recolectar del lado defensivo. También hablaremos sobre casos de estudio específicos que ayudan a mostrar las campañas de ataque y herramientas usadas detrás de estas amenazas.

11 MIFEAR: ATACANDO SISTEMAS RFID DE PAGO
Javier Pérez

Dreamlab Technologies
Chile

La tecnología RFID (Radio Frequency IDentification) es una solución muy utilizada en los sistemas de pago de transportes públicos, controles de acceso a edificios, pasaportes o monederos electrónicos entre otras aplicaciones.

La seguridad en este tipo de tecnología presenta deficiencias que pueden permitir realizar acciones en los sistemas de pago, suplantar la identidad o acceder a áreas de acceso restringido. Como ejemplo mostraremos como se podría viajar gratis en algún sistema de transporte.

12 HACKING COMO EN LAS PELICULAS
Cesar Cerrudo

IOActive
Argentina

Esta charla mostrara como la realidad esta superando a la ficción de las películas en donde casi siempre el hacking se muestra como algo increíble, irrealizable, fantástico, etc.. Sé mostrara distintos tipos de ataques de gran impacto, de que manera es posible realizar estos ataques a gran escala que aunque siendo algunos difíciles y complicados son técnicamente posibles como por ejemplo a hacer explotar cosas, matar y lastimar personas, causar pánico en grandes ciudades, etc.

13 WHY OUR BRAIN IS SO DELICIOUS?
Claudio Caracciolo

Root-Secure
Argentina

Existen hoy muchas charlas sobre Ingeniería Social, sobre herramientas, sobre técnicas...y de hecho quienes trabajamos en seguridad solemos pensar que ya sabemos todo al respecto.

Pero qué hace que esto sea posible realmente? Controlar la mente, las emociones y manipular a la víctima es fácil cuando la víctima esta distraída o no entiende de que hablamos... qué pasaría si nuestra víctima es una persona preparada? qué pasa si alguien quiere hacernos un ataque a nosotros? Lo lograría? En esta presentación veremos que sí, que todos somos potenciales víctimas y el éxito de nuestro atacante solo depende de su habilidad para saber que punto de nuestro cerebro tocar, que parte de la memoria emotiva llamar o bien, determinar que tema no conocemos para afectarnos directamente y controlarnos.

La magia, la psicología, la neurociencia... todo tiene que ver con un ingeniero social, pero lo más interesante es que probablemente nunca estudió nada al respecto. Cuánto conocemos realmente de esto? Cuánto podemos entender para considerar que la ingeniería social es una técnica de hacking y no una simple estafa?

Mi ponencia trata de tocar la ingeniería social desde una óptica distinta, para que los que trabajamos en seguridad de la información repensemos en los consejos que damos a nuestros clientes y/o usuarios en las campañas de concienciación.

No hablare de Phishing ni de los 4 conceptos de Kevin Mitnick, no iré a lo obvio, sino a lo profundo de nuestra mente.

14 IOS FORENSICS - CUANTO SABE TU IPHONE SOBRE TI?
Jaime Andrés Restrepo

DragonJAR
Colombia

Esta charla altamente práctica, está destinada a los analistas forenses, las empresas y los usuarios que quiere entender la información personal que se almacena en el iPhone/iPad/iPod Touch (Dispositivos iOS) y la forma de recuperarla. En esta charla revelaremos la enorme cantidad de información personal almacenada en los dispositivos de Apple y las técnicas/software para la recuperación de esta información.

15 LIOS #FF: A TOOL FOR IOS FORENSICS
Lorenzo Martínez

Securízame
España

16 HISTORIA DE LOS ZOMBIES
Dr. Zombie

Zombiewalk Chile
Chile