OWASP AppSec Brazil 2010

A conferencia mais importante sobre Segurança de Aplicações Web chega na sua segunda edição no Brasil. Dessa vez, Campinas foi o palco para grandes feras do assunto falarem sobre vulnerabilidades, ataques, defesas e investigações no mundo de aplicações Web.

Não vou colocar detalhes de cada palestra, até porque não consegui estar presente em todas elas. Ainda assim, correndo o risco de cometer injustiças e deixar de comentar alguma, vou falar das que pude estar presente e foram bem marcantes.

Robert "RSnake" Hansen falou sobre cookies e como esses pequenos e aparentemente ingênuos arquivos podem ser usados como vetor de ataque. Chris Hofmann falou sobre browsers e o que pode ser feito (ou, de certa forma, já está sendo feito) para torná-los mais seguros. Mano Paul fechou a primeira parte da tarde com uma excelente palestra sobre o mundo virtual e o mundo animal, com várias analogias muito interessantes entre o nosso dia a dia em InfoSec e outra parte onde ele é também especializado. Não, não tem nada a ver com tecnologia, o cara saca tudo de tubarões ...
Findo o break, este quem vos "fala", Tony "LTigre" Rodrigues falou sobre Computação Forense. Sim, de acordo com o Mano Paul, palestrante de InfoSec tem que ter um nome cool como o RSnake. Ele cunhou para si o Manu Shark Paul e eu vou na onda do Tony "LTigre" Rodrigues, esperando que a Kellogs não me processe ;)
Meu ponto de vista para a palestra foi o seguinte: Temos uma compilação dos maiores riscos para a segurança de aplicações Web, que é o OWASP Top Ten. Minha proposta foi comentar sobre os dez maiores vestígios normalmente localizados e procurados em casos de Forense de Aplicações. Criei o Tony's Computer Forensics Top Ten Artifacts.

O segundo dia foi bem interessante, e gostaria de destacar a excelente e divertida palestra do Samy Kamkar. Dotado de um enorme bom humor, Samy conseguiu juntar conhecimento técnico avançado em boas e divertidas doses na sua forma de apresentar. O conteúdo todo é uma grande mostra de como e onde se consegue chegar hoje em dia, explorando o client-side, cookies e companhia.

Para quem quiser acompanhar, os slides que usei na palestra estão disponíveis no meu SlideShare.

Alguém esteve por lá e gostaria de comentar ?

Até o próximo post !

Computação Forense no AppSec Brazil 2010

O que segurança de aplicações e Computação Forense tem em comum ?

Muitas coisas, e em novembro próximo haverá mais uma: Este investigador que vos escreve teve a felicidade de ver seu trabalho como um dos selecionados para serem expostos no OWASP AppSec Brazil 2010.

O OWASP dispensa apresentações. Ouviu Segurança em Aplicações, ouviu OWASP. Quase sinônimos hoje em dia. Pois bem, essa organização promove uma conferência anual de nível internacional em alguns países cujo capítulo da OWASP já esteja bem estruturado e atuante. No nosso caso, a conferência já vai para sua segunda edição, capitaneada pelo meu camarada Wagner Elias e outros pesos-pesados desse que é um dos principais domínios da Segurança de Informações.

Está dado o recado. Dias 18 e 19 de novembro, estarei por lá aprendendo muito e aproveitando a oportunidade para apresentar um estudo sobre Computação Forense e Segurança de Aplicações, dando uma abordagem bem no estilo do famoso OWASP Top 10 aos vestígios mais importantes em investigações envolvendo aplicações.

Deixe um comentário se você for aparecer por lá. Quem sabe não conseguimos juntar uma turma para um bom bate papo sobre Forense durante o almoço ?

Até o próximo post !