Security Lab partecipa al CyberSec Day 2018

Security Lab partecipa al CyberSec Day che si è tenuto a Pisa il 25 Ottobre 2018.
‍

Durante la manifestazione hanno portato il loro contributo numerosi speakers che hanno trattato vari argomenti spaziando dalla Cyber Security, al GDPR, alle contromisure tecnologiche di sicurezza di nuova generazione.Nella sala gremita da circa 100 persone apre il convegno Emanuele Briganti di PC Systems, che introduce la giornata da loro organizzata, e che ringraziamo per il cortese invito a partecipare attivamente alla conferenza.Il primo intervento è quello di Security Lab, con due membri del team Cyber Security che hanno parlato per circa due ore del tema della Human Vulnerability, includendo un Hacking Lab dal vivo. L’introduzione ha chiarito la necessità di un approccio olistico alla Cyber Security, che partendo da una analisi dei rischi, determina quali sono gli interventi nelle varie aree Cyber Security, Governance e Compliance, contromisure tecnologiche di nuova generazione e formazione, e a quale livello di maturità.

Non esiste infatti un approccio univoco alla Cyber Security, ma con un approccio basato sui rischi è possibile determinare le contromisure maggiormente idonee per la specifica azienda, costruendo un abito su misura.l’intervento si focalizza sulla Cyber Security, e nello specifico sugli audit di sicurezza e le varie tipologie di Penetration Test, per arrivare a concentrarsi sul tema centrale dell’intervento: misurare la vulnerabilità umana.Viene quindi presentato un vero case study anonimizzato su una public utility, mostrando come definire, pianificare e realizzare una campagna di fake phishing, finalizzata alla raccolta delle credenziali degli utenti.Si passa quindi alla parte pratica, dove il team ha mostrato come costruire la campagna di fake phishing e come preparare i vari artefatti come email finte, siti web cloni e domini credibili, e quali tools utilizzare per l’esecuzione della campagna e la raccolta e presentazione dei risultati.

Come risultati vengono mostrate le percentuali degli utenti della campagna che hanno letto l’email, che hanno seguito il link proposto, che hanno fornito le credenziali personali, e che hanno successivamente scaricato e addirittura eseguito il programma proposto e potenzialmente malevolo.Le percentuali sono inquietanti, con un 67% di utenti che hanno fornito le proprie credenziali senza insospettirsi!Si passa poi all’Hacking Lab vero e proprio. Nella campagna di phishing infatti, l’eseguibile che gli utenti hanno incautamente mandato in esecuzione non provocava nulla di dannoso. Si è passati quindi a mostrare le tecniche per costruire dei software malevoli, e come renderli invisibili agli antivirus.Alla termine, dopo la dimostrazione delle tecniche di privilage escalation che consentono di prendere il controllo totale della postazione dell’utente e il controllo del dominio aziendale, viene mostrato anche come inoculare nel PC della vittima un APT, un Advanced Persistent Threat, che può consentire al malintenzionato di mantenere il controllo della postazione nel tempo.Due ore ben spese tra grande interesse e stupore!