La Facultad de Ingeniería de la Universidad de Palermo en conjunto con Securetia llevó a cabo por séptimo año consecutivo el encuentro más importante de la región en materia de ciberseguridad: H4ck3d - Security Conference 2023.

El evento reunió a estudiantes, interesados, profesionales y líderes del sector. Durante dos jornadas, una online y otra presencial, los expertos analizaron el contexto, intercambiaron experiencias, ideas, desafíos tácticas de prevención sobre la temática. 

Los organizadores Javier Vallejos, cofundador de Securetia, profesor UP y licenciado en Informática UP; Fabián Martínez Portantier, cofundador de Securetia; y el decano de la Facultad de Ingeniería UP, Alejandro Popovsky, dieron la bienvenida a la gran audiencia de toda la región y los destacados oradores. 

Primera Jornada

"Los protagonistas de la ciberseguridad van a compartir con nosotros su experiencia. Además contamos con la participación muchos egresados líderes en seguridad informática. Les doy la bienvenida a esta nueva jornada de H4ck3d que organizamos nuevamente junto a Securetia", dijo el decano de la Facultad de Ingeniería UP, Alejandro Popovsky, dando inicio a la jornada virtual.

Ransomware en Tecnología Operativa

Desde KPMG, Almada disertó sobre la ciberseguridad en el sector industrial con un enfoque físico, especializado en la producción de petróleo y gas: "Hace algunos años se viene popularizando la Ciberseguridad Industrial. Sin embargo, se sigue enfocando desde una perspectiva de IT, sin tener en cuenta el proceso industrial desde un enfoque físico. La relación del proceso físico hacia el tecnológico es mandatoria para entender los riesgos e impactos reales de un ciberataque”.

Mitigación de Ataques DDoS

Desde el Tecnológico de Monterrey, Pérez Díaz, expuso sobre un framework que desarrollaron en los últimos cuatro años: "Trabajamos sobre la mitigación, identificación e investigación de ataques de denegación de servicio en redes definidas por software". Además, el investigador agregó: "El uso de IA para ciberseguridad está de moda, es altamente demandado y bien pago, es un buen camino para transitar".

Dance of DDoS

Durante su disertación, el cofundador de Trully, Eric Balderrama, agradeció la invitación a participar nuevamente del encuentro y, al mismo tiempo, contó cómo aborda la abogacía desde la seguridad informática: "Me interesa mucho el derecho informático porque hay muchísimo fraude, muchos tipos de ataques y que no están legislados. Entonces mi abordaje a la abogacía es para después poder estudiar Derecho informático y poder intentar buscar generar algún tipo de cambio en la idiosincrasia legal que siempre viene a regular una vez que las cosas ya pasaron".

Al concluir el primer encuentro de H4ck3d, Javier Vallejos y Fabián Martínez Portantier, cofundadores de Securetia, agradecieron a los oradores así como a todos los presentes: "Estamos súper contentos de seguir avanzando año tras año, en esta séptima edición con diferentes exposiciones que nos brindan más información y datos sobre la ciberseguridad".

Segunda Jornada

La apertura estuvo a cargo de los fundadores de Securetia, Javier Vallejos y Fabián Martínez Portantier. En el auditorio de la Universidad de Palermo, estudiantes, interesados y profesionales participaron de las diferentes charlas, demostraciones en vivo e incluso los desafíos del CTF, con premios para los ganadores.

Ataques físicos

Desde BlackmantiSecurity, Bruno y Antúnez expusieron sobre los peligros de los implantes físicos en la seguridad de las empresas y mostraron los dispositivos más utilizados en pruebas de penetración de Red Team. “Dentro de las actividades defensivas, el Red Team emula una amenaza del mundo real para entrenar y medir la efectividad de personas, procesos y tecnologías, con el objetivo de defender el entorno”, sostuvo Bruno, y añadió: “Se trata de buscar una visión holística considerando la mayor cantidad de puntos críticos de ataque y áreas expuestas que pueda tener una compañía”.

Por su parte, Antúnez dijo: “El compromiso inicial de un sistema puede darse a través de diferentes vías como el acceso físico, mediante el clonado de diferentes dispositivos. Otra forma de compromiso inicial es el acceso a estaciones de trabajo mediante la implantación del hardware. Otros tipos de ataques se orientan a redes inalámbricas”. Asimismo, puntualizó que una vez que se ingresó a la red física de una empresa, es posible mantener una persistencia con otros dispositivos. “Los implantes son una herramienta valiosa, nos permiten comprometer y ganar equipos en pocos segundos, ejecutar acciones, mantener el acceso a la red interna y muchos casos de uso más”, concluyeron ambos oradores.

Engaños en Active Directory

Mohamed Nasisi, de Securetia, brindó una demostración de las vulnerabilidades relacionadas al ransomware en entornos corporativos. “El Active Directory gestiona de forma centralizada todos los recursos de la empresa, los permisos de acceso, por lo tanto suele ser el objetivo de ataques”, señaló.

“La actualidad es algo que nos tiene en vigencia. Como profesionales de la seguridad, hoy hay una tendencia de delegar tareas en automatizaciones y en software. Sin embargo, la idea es tener entendimiento y jugar con ese conocimiento para aplicar las mismas herramientas que utilizan los atacantes para defendernos”, dijo Nasisi durante su exposición.

“En ciberseguridad, el conocimiento se genera a partir del ensayo, prueba y error. Es importante tener siempre presente que tratamos de proteger y asegurar a las personas que están detrás de las máquinas”, concluyó.

Priorización de Vulnerabilidades

Durante la tercera charla, el cofundador de Securetia, Fabián Martínez Portantier, explicó cómo analizar y priorizar las vulnerabilidades usando estándares abiertos como CVSS, EPSS y KEV. “Una vulnerabilidad es una debilidad o fallo en el sistema que pone en riesgo la confidencialidad de la información. Hay más de 230.000 vulnerabilidades de las cuales tenemos información pública, a todas se les asigna un número de CVE (Common Vulnerabilities and Exposures) que sirve para identificarlas”.

Para empezar a resolver vulnerabilidades, según el orador, es necesario comenzar por una estrategia de priorización: Se suele utilizar CVSS (Common Vulnerability Scoring System), una calculadora virtual donde se ingresan 8 datos para obtener puntajes. Otro estándar para analizar vulnerabilidades son EPSS (Exploit Prediction Scoring System), que se construye utilizando técnicas de modelado estadístico de uso común.

Por otro lado, KEV (Know Exploited Vulnerabilities), es un listado con las vulnerabilidades activamente explotadas por cibercriminales. Aplicando estas herramientas se puede priorizar las vulnerabilidades y evaluar cuál conviene resolver primero.

Malware en Hardware

En una clase práctica, Pantelides, experto en ciberseguridad IT bancaria, mostró cómo con una pequeña pieza de hardware que inspecciona los buses que van de la CPU a Ethernet, se puede realizar acciones maliciosas como resetear la CPU o interactuar directamente con los actuadores de un sistema de barrera controlado vía red. La demo fue con una CPU Microblaze ejecutando un sencillo programa con LWIP instanciada en una FPGA AMD/Xilinx utilizando el entorno Vivado. “El próximo ataque será la confidencialidad, uno de los problemas es acceder a la RAM; otro es enviar un dataframe desde el hardware”, aseguró.

Inteligencia artificial

Fabiana Ramírez, abogada experta en Seguridad de la Información, se refirió a cómo la Inteligencia Artificial y el Aprendizaje Automático (Machine Learning) están impactando en la vida diaria y son actualmente una herramienta al alcance de todos. “Cuando estamos en contacto con IA generalmente estamos frente a algoritmos que se desarrollan mediante Machine Learning. Esta rama pretende crear máquinas capaces de aprender, pero aún estamos muy lejos de una tecnología que emule el cerebro humano”, señaló.

A futuro, la oradora señaló que uno de los desafíos más importantes es proteger la privacidad de la información: “El Machine Learning es capaz de procesar gran cantidad de datos a enorme escala. No hay regulaciones para utilizar estas herramientas, y a veces se vulnera la privacidad de los usuarios, tanto de los humanos como de las empresas. Para lograrlo es importante la especialización, ya que se trata de un campo en constante actualización”.

“Nos encontramos creciendo y desarrollándonos con ayuda de la tecnología, lo que plantea un escenario muy positivo, que nos desafía a estar constantemente formándonos”, cerró Ramírez.

La visión de los CISOs

El último panel del encuentro estuvo a cargo de tres referentes destacados en ciberseguridad: Santiago Fernández, CISO en Klar; Adrián Judzik, CISO Telecom; y Claudio Colace, CISO de Banco Macro. “Nuestra labor es velar para que las compañías tengan continuidad, que la información que circule lo haga de manera confiable y confidencial”, dijo Fernández, y señaló la importancia del análisis de riesgos. “Hay que ser parte de la mesa de creación del producto, el cliente cambió y ahora la seguridad es una comodidad”, afirmó.

Asimismo, Judzik resaltó que la industria del cibercrimen es la tercera economía del mundo. “Certificar la seguridad no te hace más seguro, sino estar más ordenado y bajar el riesgo. La tríada de la ciberseguridad es confidencialidad, integridad y privacidad”, afirmó. Finalmente, Colace señaló que no hay una solución general ante el ciberataque: “Depende de la estructura y la forma en la que se va a llevar a cabo la ciberseguridad. Es importante también tener un objetivo común para defenderse de las vulnerabilidades”, concluyó.

A modo de cierre, Alejandro Popovsky, decano de la Facultad de Ingeniería de la Universidad de Palermo, junto a Javier Vallejos, cofundador de Securetia y profesor UP, agradecieron a los oradores y participantes por el entusiasmo compartido durante las dos jornadas de charlas y demostraciones en torno a la ciberseguridad.