Hack me, если сможешь

Поговорим о проблемах безопасности AI-систем и их разработки. Разберем на примерах различные практики анализа защищенности.

Рассказывает победитель многих соревнований по пентесту Омар Ганиев.

Видео

Поговорим о финансовых и технических алгоритмах, применяемых в DeFi, и разберем некоторые атаки на них.

Рассказывает эксперт в блокчейн и высоконагруженных сервисах Сергей Прилуцкий.

Видео

Обсудим все техники повышения привилегий, которые предоставляет Microsoft Active Directory вместе с первоначальной настройкой в локальной сети. Расскажем, почему для пентестера в локальной сети с Active Directory поднять свои привилегии до администратора домена это всего лишь вопрос времени. Перечислим уязвимости в сетях под управлением AD «из коробки», а также поделимся, как администраторам локальной сети под управлением AD защищаться от них.

Рассказывает эксперт по безопасности приложение Singleton Security Егор Богомолов

Видео

Фаззинг — это способ автоматически находить баги, передавая в программу случайно сгенерированные данные. Докладчик расскажет, как использовать фаззинг для нахождения ошибок в ядре Linux и какие интерфейсы ядра можно фаззить. Он кратко опишет готовые фаззеры, такие как Trinity и syzkaller, но в основном сконцентрируется на написании кода фаззера, генерировании вводных данных и сборке покрытия кода.

Рассказывает независимый исследователь безопасности Андрей Коновалов.

Видео

В январе 2021 года Александр Попов обнаружил и устранил пять уязвимостей в реализации виртуальных сокетов ядра Linux. Этим уязвимостям был присвоен идентификатор CVE-2021-26708. Докладчик детально расскажет об эксплуатации одной них для локального повышения привилегий на Fedora 33 Server для платформы x86_64. Исследователь продемонстрирует, как с помощью небольшой ошибки доступа к памяти получить контроль над всей операционной системой и при этом обойти средства обеспечения безопасности платформы.

Рассказывает разработчик ядра Linux и исследователь безопасности Positive Technologies Александр Попов

Видео 

Из-за быстрого распространения интернета вещей производители при разработке продуктов сосредоточены на скорости внедрения и стоимости, а не на информационной безопасности. Рассмотрим реальные проекты, реализованные направлением цифровых технологий компании ICL. Контроль оборотного плуга для производителя сельхозтехники, поиск инвалидных колясок в аэропорту и мониторинг инцидентов на канализационной инфраструктуре — где здесь место для информационной безопасности? Рассмотрим различные подходы к защите IoT.

Речь пойдет об уязвимостях в роутере Smart Box достаточно известного вендора. Основная цель — напомнить пользователям о том, что нужно обновлять роутеры, а если они больше не поддерживаются, то менять оборудование на более актуальное.

Рассказывает Павел Степанов.

Смотреть

Глубокие нейронные сети произвели революцию и улучшили нашу повседневную жизнь. Кроме того, нейросети удивительным образом очень уязвимы к малым возмущениям входных данных (adversarial attacks). Эти злонамеренные и хорошо продуманные крошечные изменения аккуратно вычислены и способствуют большим ошибкам нейросетей. Они могут целиться, чтобы классификатор выдавал какой-то конкретный класс (targeted attacks) или любой класс, отличающийся от правильного (untargeted attack). Эти атаки могут быть направлены на беспилотные автомобили, системы распознавание речи и идентификации лиц. Докладчик продемонстрирует способ обмана предсказания top-k на датасетах Imagenet и CIFAR-10.

Рассказывает Нурислам Турсынбек.

Смотреть

Практика показывает, что тестового сервера, веб-сайта с .git-каталогом в открытом доступе или открытого порта Redis, или Kubernets API достаточно, чтобы взломать компанию. Даже при встроенных процессах управления обновлениями, уязвимостями и изменениями все равно могут возникнуть непредвиденные ситуации. Давайте послушаем, как не стать жертвой программы-вымогателя, как находить уязвимости на всех уровнях, от портов до конфигураций, в коде, контейнерах в CI/CD.

Рассказывает директор по кибербезопасности RAMBLER&CO И OKKO Илья Зуев.

Видео

 

К сожалению, пользователю без должного опыта в ИБ невозможно определить, будет ли игра безопасна для его данных и его игрового устройства. Даже учитывая, что разработчики стараются сделать их игровое приложение безопаснее, это не гарантия того, что хакеры не смогут его атаковать.

Независимый исследователь кибербезопасности Артем Бачевский, разрабатывая и автоматизируя процессы AppSec, обратил внимание на проблемы безопасности видеоигр. В своем докладе Артем рассказал о наиболее уязвимых типах игр (промо-игры, браузерные игры), распространенных уязвимостях и атаках (небезопасность протоколов, ошибки в коде, ботоводство и читерство) и о способах защиты от них. Одна из уязвимостей приводила к тому, что игра никогда не заканчивалась.

Рассказывает независимый исследователь Артем Бачевский 

Смотреть