13 jul 2015

Cybercamp 2015: Retos

Para potenciar a las nuevas promesas de la seguridad informática estamos trabajando en el diseño de retos técnicos que puedan servir para detectar, promocionar y potenciar el talento en ciberseguridad. En CyberCamp 2015 se llevarán a cabo tres tipos de competiciones diferentes basadas en retos y adaptados a los diferentes públicos:
  • Retos individuales
  • Retos por equipos 
  • CyberOlympics
Retos individuales

Para detectar a las nuevas promesas de la Ciberseguridad, estamos creando un amplio repertorio de “retos de seguridad” que podrás resolver con el objetivo de conocer qué es lo que te apasiona. Las temáticas seleccionadas para los retos son: 
  • Ingeniería inversa 
  • Exploiting 
  • Análisis Forense 
  • Vulnerabilidades web 
  • Criptografía
Los retos individuales constarán de dos fases: clasificatoria y final presencial.

Fase clasificatoria

Durante la fase clasificatoria, podrás resolver las pruebas desde tu propia casa. Para estas fases lanzaremos 2 convocatorias, la primera de ellas estará disponible desde el día17 de julio hasta el 26 de julio inclusive. Cada día a partir del comienzo de esta primera clasificación, se irán desbloqueando nuevas categorías de pruebas. La dinámica consistirá en ir asignando puntos cada vez que sean superadas las diferentes pruebas, de esta manera podremos valorar las ramas en las que destacas y así seleccionar a los mejores futuros expertos. La segunda clasificación se lanzará después del verano ¡permanece atento a nuestra web y nuestros perfiles en redes sociales!

Final presencial

La fase final presencial tendrá lugar durante CyberCamp2015, concretamente el sábado 28 de noviembre. En ella participarán los 40 mejores clasificados de las dos fases anteriores. En esta ocasión, el reto consistirá en una simulación de un entorno real donde los participantes podrán poner a prueba sus habilidades. Esta prueba contará con interesantes premios para los ganadores. No dudes en participar y poner a prueba tus habilidades. Podrás aprender y divertirte en una plataforma habilitada para ello y con una orientación formativa. Si quieres demostrar que tienes aptitudes para convertirte en uno de los mejores expertos en ciberseguridad de este país, ¡apúntate! Permanece al tanto de las novedades sobre los retos a través de nuestros perfiles en redes sociales

7 jul 2015

Ya está aquí la IV Hack & Beers #Madrid

No queda nada para el Hack & Beers IV en Madrid. El próximo Viernes 10 de Julio a las 16.15 en la Calle Infantas 13 (Bar + Ke Copas) tendrá lugar el evento. Hacking y Cervezas, acompañado de networking del bueno, ¿Qué más puedes pedir? No tenemos entradas disponibles, ya que el aforo está completo, os esperamos a todos.

Los ponentes ya confirmados son:
  • Miguel Ángel Arroyo.
  • J.M. Fernández.
  • Jaime Álvarez.
3 Ponentes de calidad, los cuales han participado en diferentes CON del panorama nacional y que nos harán disfrutar con diversos temas de seguridad. Temas como la ofuscación de malware en PHP, el uso del super pato, Rubber Ducky, o como hacer DLL Hijacking, son algunos de los ejemplos de los que podremos disfrutar el próximo Viernes.


Os esperamos!

6 jul 2015

La Biblia del Footprinting (XV de XX)

Muy buenas a todos, en el post de hoy me gustaría retomar los posts sobre pentesting para ampliar la (mítica) cadena de artículos de la Biblia del Footprinting, con 5 nuevos artículos para complementar los 20 prometidos y así publicar la versión 2.0 de uno de nuestros libros más descargados.


Hoy comenzaremos a hablar de la herramienta Maltego, un potente software que nos será de mucha utilidad durante un proceso de auditoría de seguridad. Este producto nos permitirá buscar y cruzar información sobre servidores, mail servers, DNS, emails, personas, y un largo etcétera. También, desde las últimas versiones, extrae información de Twitter y Facebook, aunque este módulo es algo más limitado.

Maltego es software propietario, aunque tiene versiones Community (free), algo más limitadas (como la que viene incluida en KALI) 


A continuación os listo desde la página del fabricante las principales diferencias entre ambas versiones:


Diferencias entre Maltego Commercial y Community (free)

The community edition has the following limitations set on the client:
  • Not for commercial use!
  • Maximum of 12 results per transform
  • You need to register on our website to use the client
  • API keys expire every couple of days
  • Runs on a (slower) server that is shared with all community users
  • Communication between client as server is not encrypted
  • Not updated until the next major version (and we know there are some bugs)
  • No end user support – you are on your own..
  • No updates of transforms on server side
  • Can only discover from online Paterva servers
  • Paterva goes hungry..
The commercial version also has these benefits:
  • Can be used for commercial use
  • No limit on number of returned entities per transform
  • Communication between client and server runs over SSL
  • Runs on a much more powerful server (eg. faster)
  • Server is only shared by commercial users
  • Amazing end user support (love, care, tenderness and solutions)
  • Updates as they happen – both on client and server
  • Can be used with any Maltego server

Más o menos, el funcionamiento de Maltego sería el siguiente:

  1. Cuando realizamos una transformada (una búsqueda), Maltego envía la petición a los servidores de semillas de Paterva (en XML) vía HTTPS.
  2. Dicha petición se remite a los servidores TAS, que la transmiten a los proveedores de servicios (que devolverán los resultados coincidentes).
  3. Los resultados se devuelven al cliente Maltego poco a poco y se van presentando en la pizarra en forma de grafo.

Aquí muchos os preguntaréis.... ¿y por qué tengo que subir mis búsquedas a los servidores TAS, si me pueden espiar?, pues bien, Paterva ya ha pensado en ello, y podremos tener nuestros propios servidores TAS para mejorar la privacidad. 
El uso de Maltego, si o si, requiere el registro en su página web, creando una cuenta que nos va a permitir usar la aplicación con sus servidores (gratuitos). 
Una vez finalizado el registro (tardan algunos minutos en aprobarnos la cuenta), ya podremos comenzar las transformadas. Para iniciar una nueva búsqueda tendremos que crear una hoja de búsqueda nueva (new graph). Si os fijáis, la interfaz es muy similar (por no decir igual), a Ribbon, de Microsoft, lo que os facilitará la curva de aprendizaje.

Iniciada la hoja, ahora solo tendremos que arrastrar una entidad a la pizarra, por ejemplo, un nodo de tipo URL. Ahora haremos doble clic sobre dicho nodo, para editar el texto del nodo e incluir la URL que queremos auditar. Una vez añadida la URL, solo nos faltaría hacer clic con el botón derecho del ratón sobre el icono de la URL y seleccionar la opción “run transform” >  “all transforms”. Tenemos muchas opciones, pero para un primer inicio nos centraremos en la búsqueda completa de información.

Y si todo ha ido bien, tras unos minutos tendremos un grafo como el de la primera imagen, con todas las entidades relacionadas con nuestra URL.

Esto es todo por hoy para iniciarnos con Maltego, en el próximo post comenzaremos a profundizar en esta interesante herramienta.

Saludos!