Laboratorio On-Line di Ethical Hacking

Transcript

1 Application Security: Internet, mobile ed oltre Laboratorio On-Line di Ethical Hacking Marco Squarcina, Dipartimento di Scienze Ambientali, Informatica e Statistica Università Ca' Foscari, Venezia

2 Application Security: Internet, mobile ed oltre Organizzatori Sponsor e sostenitori di ISACA Venice Chapter Con il patrocinio di 2/34

3 Marco Squarcina PhD Ca' Foscari Teaching Assistant (Security) Team Leader c00kies@venice Security Consultant 3/34

4 Agenda Hacking Competitions (CTF) Security Of Computer Ca' Foscari CTF Design Demo Feedback 4/34

5 CTF Capture The Flag

6 CTF? Jeopardy Style CSAW2014 6/34

7 CTF? Attacco/Difesa 7/34

8 CTF? Attacco/Difesa 8/34

9 CTF? Attacco/Difesa 9/34

10 CTF? Attacco/Difesa 10/34

11 CTF? Attacco/Difesa 11/34

12 CTF? Attacco/Difesa 12/34

13 CTF? Attacco/Difesa 13/34

14 Jeopardy VS Attacco/Difesa Jeopardy Attacco/Difesa Organizzazione Semplice Complessa Scalabilità Alta Limitata Focus Attacco Attacco Difesa Real-time No Sì Competenze Exploitation Exploitation Scripting System Administration Networking Hardening 14/34

15 Security Of Computer Ca' Foscari

16 Security Of Computer Ca' Foscari 16/34

17 DCTF - DAIS DEEP SPACE CTF 2014 Tipologia: Attacco/Difesa Durata: 4 mesi Tema: Science Fiction Partecipanti: 24 Squadre: 8 Round: 4 ore (10 minuti per il rush finale) 17/34

18 DCTF - Infrastruttura 18/34

19 DCTF - Infrastruttura 19/34

20 DCTF - Componenti Website - Servizio validazione flag - Informazioni team / regole - Scoreboard Flagbot - Inizializzazione round - Invio flag - Controllo integrità servizi Servizi - Macchine virtuali inizialmente vuote - Servizi rilasciati durante il corso in base agli argomenti trattati 20/34

21 DCTF - Scoreboard 21/34

22 DCTF - Servizi R2D2 Program exploitation, Reversing, Binary patching, Buffer overflow, Race conditions, Scripting,... DS Program exploitation, Reversing, Binary patching, Format string attacks, Scripting,... C014ND3R Networking, Iptables, System Hardening, Scripting,... PHP Server side security, PHP, SQL injections, Prepared statements, Scripting,... EMP Client side security, CSRF, Path traversal, Web frameworks, Scripting,... 22/34

23 Demo!

24 Feedback

25 E' stata un'esperienza positiva, utile a far maturare in noi studenti un approccio più consapevole e più tecnico agli aspetti della sicurezza. Sono sicuro che il CTF rappresenta un'ottima palestra per iniziare a toccare con mano i ritmi e il livello di attenzione da prestare nel momento in cui ci si dovrà calare a tutti gli effetti nell'ambito aziendale. [...] I tempi stretti "di intervento", la necessità di sapersi difendere in tempi rapidi e, nel complesso, i ritmi piuttosto incalzanti offrono a noi studenti la possibilità di uscire dagli schemi accademici per farci entrare in una logica in cui è necessario combinare conoscenza, esperienza ed intuito per non soccombere. Sandro

26 E' stata un'esperienza impegnativa ma allo stesso tempo gratificante, in più il poter applicare effettivamente i concetti su un sistema concreto è servito per assimilare i concetti in maniera efficiente. Eric

27 Ho trovato l'esperienza del CTF molto ludico/educativa. Ha permesso a noi studenti di entrare in contatto diretto con alcune dinamiche riguardanti temi trattati nella parte di teoria del corso di sicurezza in maniera pratica e quasi sempre divertente. Ritengo che buona parte delle conoscenze acquisite durante lo svolgimento del corso di Sicurezza siano state rafforzate e migliorate grazie al contest. Alessandro

28 L'esperienza dell'attività di laboratorio in forma di CTF è stata impegnativa ed immersiva, ma allo stesso modo stimolante. I corsi universitari non dovrebbero solo trasmettere nozioni di teoria prive di esperienza pratica, e la possibilità di partecipare a un CTF è stata un elemento fondamentale del corso di Security of Computer Systems. Innanzitutto l'attività ha permesso la sperimentazione con alcune tecniche di attacco, capendone i meccanismi di base e anche le difficoltà implementative. Oltre a questo, ha consentito di aquisire competenze necessarie all'analisi delle falle di sicurezza dei sistemi, alla rilevazione dei tentativi di intrusione e all'incident response in caso di attacchi portati a termine. Tutte queste competenze hanno una concreta utilità anche in ambito professionale. Andrea

29 SQL Injections, per me che sviluppo siti web dinamici, è stato l'argomento che mi ha fatto migliorare e sicuramente mi ha dato la possibilità di fare un po' più di attenzione durante lo sviluppo. Lo stesso XSS e CRSF mi hanno dato modo di vedere lo sviluppo dal punto di vista dell'hacker e di conseguenza di poter limitare (e in alcuni casi magari eliminare) questo tipo di minaccia. Antonio

30 Praticamente ho ridotto quasi a zero la mia vita sociale per la durata del CTF. Sì, potevo impegnarmi di meno ma, diamine, volevo vincere la gara a tutti i costi! Una volta iniziata, è difficile smettere di lavorarci sopra. Diventa come una droga [...] E così sei spronato a studiare e a mettere in pratica e, quaaaasi senza accorgerti..., acquisisci conoscenze e competenze. Marco

31 Credits

32 Credits Organizzatori Claudio Bozzato, Prof. Riccardo Focardi, Francesco Palmarini, Marco Squarcina, Mauro Tempesta Collaboratori Marco Gasparini, Roberta Prendin

33 Grazie! g+ plus.google.com/+marcosquarcina in linkedin.com/in/squarcina www secgroup.dais.unive.it github github.com/secgroup

34 Domande?