Convención Nacional Bancaria, ABM Acapulco

La pasada semana tuvo lugar la la 71 Convención Nacional Bancaria, que se llevó a cabo en el marco incomparable de Acapulco y que que tuvo como principal conferenciante a D. Felipe Calderón, presidente de México.

A la misma asistieron mas de 800 personas, entre las que se encontraban representantes de instituciones bancarias, casas de bolsa, afores, aseguradoras y otros organismos al sector financiero, además de unos 110 periodistas acreditados por los diversos medios de información que cubrieron el evento.

Entre los cerca de 15 stands que patrocinaron el evento, cabe destacar que S21sec fue la única empresa de seguridad que estuvo presente. En su gran mayoría se trataba de Entidades Financieras (Banamex, Banorte, Grupo Santander ...), empresas del sector Telco y medios de pago.

La acogida por parte de todos los asistentes hacia S21sec fue excepcional y numerosas personas se acercaron a solicitar información acerca de las actividades de S21sec, referencias y sobre todo la posibilidad de cerrar reuniones en las que poder explicar los servicios de S21sec en todo lo relacionado con Vigilancia Digital, Evaluaciones Técnicas de Seguridad y Servicios Antifraude.

Adjunto os mostramos una foto de nuestro stand y una panorámica del recinto.


Tan solo una pega.... el evento se celebro bajo un calor de justicia al aire libre con una temperatura media de 32 ºC y una humedad relativa cercana al 80%, casi el paraíso ;-)


Alfonso del Castillo

Próximos eventos

Hoy empieza en Acapulco, México, la feria “80 aniversario ABM y Convención Bancaria” con motivo del 80 aniversario de la ABM (Asociación Bancaria de México). El evento se celebrará durante los próximos 2 días y acudirán expertos del sector bancario Mexicano. Nosotros, en proceso de internacionalización, no nos lo queríamos perder y participaremos con un stand.

Además, también hoy Pablo Catalina, de S21sec, ha dado una ponencia sobre Riesgos en sistemas de VoIP y sistemas IM en la segunda edición de Asegur@ IT en el Parc Tecnologic de Barcelona. Por otra parte, en Lisboa, Antonio Ramos, director de Consultoría y Auditoría de S21sec, ha hablado sobre PCI-DSS en el PCI Compliance Event organizado por CISCO celebrado en el Hotel Sheraton Lisboa Hotel & Spa.

La semana que viene estaremos en Tudela, Navarra en la II Semana de la Seguridad Informática celebrada por la Fundación Dédalo. Aquí el martes día 8 Koldo Peciña, Consultor Senior de S21sec, hablará sobre los nuevos retos en materia de protección de datos.

Del 16 al 18 de abril patrocinaremos el 9th NATO Cyber Defence Workshop en Barcelona y David Barroso, Director de Investigación de S21sec dará una ponencia sobre Malware.

Y para cerrar el mes de abril, nos iremos a Londres, a Infosecurity Europe 2008, los días 22, 23 y 24 de abril.

Seguro que alguno de estos eventos te viene bien, así que ¡esperamos verte allí!

Lierni Castaño

Dpto. Marketing

BlackHat Europe 2008

Una expedición de S21sec nos encontramos en las charlas de BlackHat Europe 2008 en la cálida ciudad de Amsterdam, donde durante dos días hay una serie de charlas sobre diferentes aspectos de seguridad, destacando sobre todo la charla de nuestros colegas Chema Alonso y José Parada, que ha sido un éxito. ¡Enhorabuena!

Hay una pequeña representación de varias empresas españolas, por lo que si estáis por aqui, seguro que es fácil localizarnos. ¡Nos vemos!

e-crime congress 2008

Hace ya unos días volvimos del Congreso e-crime 2008 que tuvo lugar en Londres. En él pudimos comprobar que las iniciativas dedicadas a la lucha contra el crimen en Internet son cada vez más, y sobre todo, cada vez mejores.

Con más de 500 personas atendiendo a la conferencia, podemos calificarla de un éxito, sobre todo por el número de personas que acudieron tanto a nuestras charlas como a nuestro stand.

Como siempre, además de poder asistir a charlas muy interesantes sobre el panorama del crimen en Internet, pudimos conocer a muchas personas tanto en el lado de proveedores como en el de clientes que comparten con nosotros nuestros esfuerzos contra la lucha del e-crime.

Esperamos veros en la próxima edición.

Asegur@IT II. Barcelona, 3 de Abril.

Tras el éxito de Asegur@ IT I que se celebró el pasado 4 de octubre en Madrid, la organización ha decidido crear una segunda sesión en Barcelona cambiando a todos y cada uno de los ponentes para poder deleitarnos con nuevas presentaciones. En la misma participará Pablo Catalina, auditor de seguridad de S21sec, quién hablará de los riesgos y medidas de seguridad a tomar en sistemas de VoIP y sistemas de mensajería instantánea.

El resto de la agenda comprenderá:

- Análisis forense en máquinas Windows. Juan Garrido, cosultor Informatica 64.

- Solución al Reto Hacking V y métodos para que un servidor web quede comprometido mediante la inclusión de ficheros en él. Ingeniero en tecnologías móviles de Yahoo.

- Novedades de Seguridad en IIS 7. David Cervigón, Microsoft IT Evangelist.

En la pasada edición muchas personas se quedaron sin asiento por lo que no esperes y regístrate cuanto antes.

El evento se celebrará en el Parc Tecnologic de Barcelona y comenzará a las 09:00 horas.

Agenda y registro aquí.

¡Os esperamos!

S21sec en e-Crime 2008

Mañana comienza la sexta edición de e-Crime en Londres, evento referencia en Europa en la lucha contra el ciber crimen.

S21sec también estará allí. Dispondremos de un stand al que todos los interesados podrán acercarse a conocernos e informarse. Además, David Barroso, director de Investigación de S21sec labs, dará dos ponencias sobre Fraude.

Black Hat Europe 2008

La última semana de Marzo, más concretamente del 25 al 28, Amsterdam acogerá una nueva edición europea de la Black Hat. Como ya se comentó en su día, se trata de un evento de renombre dentro del mundo de la seguridad informática que se divide en una parte de cursos llamada Training, y otra de charlas y exposiciones, llamada Briefings. Este año dentro de los cursos ofertados se encuentran temas interesantes como el entendimiento de los fallos de seguridad más comunes y la creación de exploits para aprovecharse de ellos, auditoría y securización de redes wireless, o técnicas empleadas en rootkits. No menos importantes son las presentaciones, con una agenda de gran actualidad, como puede ser la interceptación de comunicaciones en redes GSM, un keylogger biométrico o LDAP injection, entre otras.




Algunos miembros de S21sec labs aprovecharán la ocasión para ponerse al día de los últimos avances en materia de seguridad informática y darán buena cuenta de ello en el blog, contando de primera mano los aspectos más interesantes. El registro para dicho evento estará abierto hasta el próximo 14 de Marzo, no dejéis pasar esta oportunidad si está en vuestras manos.


José Miguel Esparza
S21sec labs

Fiberparty 2008

Este viernes, 29 de febrero, Joan Ayerbe, manager de consultoría de S21sec, ofrecerá una ponencia titulada “Transformando los datos en información útil para el negocio” en las conferencias FIST que se celebrarán dentro de la Fiberparty 2008.

Las conferencias se celebrarán en la Facultat d'Informatica de Barcelona – UPC.

Podéis consultar aquí la agenda y más datos sobre la localización. Para asistir, solo tenéis que inscribiros. ¡Esperamos veros por allí!

CONOCE A NUESTROS EXPERTOS

La semana que viene estaremos patrocinando las VII Jornadas de Seguridad de la Información en Defensa organizadas por ISDEFE. Las jornadas tendrán lugar del 11 al 14 de febrero y el día 12 David Barroso, director de Investigación de S21sec labs dará una ponencia sobre el código dañino.

Por otra parte, Antonio Ramos, director de consultoría de S21sec dará una ponencia sobre PCI en las Conferencias sobre el cumplimiento de PCI DSS organizadas por Cisco que se celebrarán el próximo jueves, 14 de febrero en el Museo Thyssen, Madrid.

Y, Antonio Ramos ofrecerá también una ponencia en Palencia el 19 de febrero dentro de las jornadas Globaltech. En esta ocasión sobre la gestión de incidentes y los planes de continuidad del negocio.

¡Nos vemos allí!

S21sec en el congreso de PCI Europe (Amsterdam)

El congreso se celebra el día 6 de Diciembre en el Renaissance Hotel (Amsterdam). En él Carmen Dufur (Senior Security Manager) ofrecerá una conferencia (alrededor de las 16:30 hora local) titulada "Strategic Considerations in Tracking and Monitoring Access to Network Resources and Cardholder Data" y abordará temas como:

• La comprensión del rango de dificultades en el cumplimiento del procedimiento 10; monitorización de redes, sistemas operativos y aplicaciones que generan distintos tipos de logs.
• Recolección y análisis de la información para obtener inteligencia en el proceso de monitorización y cómo este proceso ayuda en la toma de decisiones estratégicas
• Cómo asegurar que los logs permanecen intactos en caso de que se requieran como prueba en un juicio
• Cumplimiento del requerimiento 10; consejo práctico en la gestión de logs.

Además de esto, en el stand nº8 podréis ver demos en directo del nuevo Bitacora 4.0, Plataforma integral de seguridad a través de los logs, mediante alarmas e indicadores.
Esperamos veros por allí para poder saludaros personalmente.
Podéis ver toda la información de las actividades programadas y de los asistentes aquí.

Reunión de la Administración Pública en Gijón

La semana que viene se celebrará en Gijón el Tecnimap 2007, un encuentro que reúne a representantes de tecnologías de la información y las telecomunicaciones de las distintas Administraciones Públicas, las principales empresas del sector y otros expertos relacionados con estos ámbitos.

Por nuestro compromiso e implicación con este sector en el que la protección de la información confidencial, identidad digital y los servicios online ofertados son tan críticos, no nos lo queríamos perder, por lo que estaremos allí como expositores (stand número 58, en el Palacio de Congresos, en la Planta Baja). En él podréis conocer nuestras últimas soluciones y novedades en materia de seguridad digital y realizaremos una demostración de los beneficios y funcionalidad de Bitacora para que todos los interesados en esta plataforma de gestión de logs puedan conocerla.

Además, David Barroso, Director técnico de I+D+i de S21sec, participará en el taller Seguridad y Confianza, con una demo de la evolución del código malicioso el miércoles 28, invitado por el CCN-CERT.

Si tenéis ocasión de estar allí, os animamos a que os paséis por nuestro stand, tenemos alguna sorpresa para vosotros.

¡Os esperamos!

Presentación FIST Barcelona

El pasado 26 de Octubre participamos en las Conferencias FIST edición Barcelona. El evento contó con la participación de más de 60 personas.
Por nuestra parte fue Christian Martorella de S21sec quien ofreció una presentación sobre técnicas de recolección de información de fuentes públicas (Information Gathering).
Podéis descargar la presentación de Christian en formato PDF.

eChallenges 2007

Durante esta semana se celebra en La Haya el eChallenges 2007, una conferencia de la Unión Europea sobre tecnología que dura tres días (del 24 al 26 de Octubre) con la participación de más de 600 participantes.

S21sec participa en un workshop denominado 'ENISA Foresight Forum: Security Challenges in Emerging Applications and Future Technologies' invitados por ENISA para exponer el problema existente de las botnets, en una ponencia con el título: 'Botnets - The Silent Threat'.

En esta ponencia se abordará el problema actual de las botnets, así como posibles soluciones para mitigar esta amenaza que cada vez es mayor.

Podéis consultar el resto de las ponencias en el programa del evento.

Si alguno de vosotros está por allí, no dudéis en contactar con nosotros!!

Conferencias FIST Barcelona

El próximo viernes 26 de Octubre se celebra una nueva edición de las conferencias FIST, evento gratuito y abierto al público en el que voluntarios realizan una serie de presentaciones y coloquios sobre diversos aspectos relacionados con los Test de Intrusión y la Seguridad de la Información. En esta ocasión, y con el patrocinio de S21sec y la colaboración de la UPC y Edge-security, nuestro compañero Christian Martorella dará una charla de Information Gathering.

El programa es el siguiente:

18:00: Introducción Edge Security
18:10: pf + CARP: Construyendo un cortafuegos en alta disponibilidad
Carlos Fragoso (one-Esecurity)
19:00: Si no quieres que sepa tu nombre, ¿porqué llevas el dni en la
frente? Christian Martorella (S21sec)
19:50: Descanso
20:00: Inspect a Gadget (in Windows Vista) Rafael Dominguez (MWR InfoSecurity)
20:50: Dudas, preguntas.
21:00: Cierre

Localización: Facultat d'Informatica de Barcelona - UPC Aula máster (Edificio A3) C/Jordi Girona Salgado, 1-3, 08034 BARCELONA

Inscripción: Podéis inscribiros en el evento a través del siguiente enlace: http://www.fistconference.org/inscripcion/inscripcion.php

Os esperamos!

Presentación de 'Asegúrate que estás seguro'

El pasado 4 de Octubre participamos en el evento de Microsoft 'Aségurate que estás seguro'. El evento, que fue un rotundo éxito, contó con la participación de más de 190 personas (podéis leer cómo fue el evento en el blog de Chema Alonso aka Maligno).

Por nuestra parte fue Alberto Moro (Mandingo) de S21sec labs uno de los ponentes que ofreció una nueva visión sobre las auditorias web. Podéis descargar la presentación de Alberto tanto en formato PowerPoint como OpenOffice.

CRITIS'07

Como ya se mencionó en un post anterior S21sec ha estado durante los días 3-5 de octubre en Benalmádena-Costa en el segundo congreso internacional en la seguridad de infraestructuras críticas.

Las infraestructuras críticas son todos aquellos recursos y activos que son esenciales para el funcionamiento de la sociedad. Éstas incluyen las instalaciones de generación y distribución de electricidad, telecomunicaciones, las redes de abastecimiento de agua, los sistemas de transporte, los servicios financieros, etc. Todas ellas tienen una base tecnológica común y de la que en la mayoría de ocasiones podemos destacar una red de control y supervisión tipo SCADA.

Al congreso se presentaron 75 papers de los cuales 29 fueron seleccionados para ser presentados. La Universidad de Navarra y S21sec presentaron “Modeling and Simulating Information Security Management”, un artículo en el que se explica cómo modelar la seguridad de la información en cualquier empresa utilizando para ello la Dinámica de Sistemas.

El congreso se estructuró en 9 sesiones que fundamentalmente se centraron en los siguientes temas: Evaluación y gestión del riesgo, modelado y representación de estos sistemas y sus dependencias, intercambio y compartición de información, continuidad de servicios ante situaciones imprevistas/previstas, seguridad técnica en SCADAs y modelado de amenazas y ataques. Además de los ponentes que defendían sus artículos hubo cuatro charlas invitadas (Adrian Gheorghe – Old Dominion University, US; Paulo Veríssimo – Universidade de Lisboa, Portugal; Donald Dudenhoeffer – Idaho National Labs, US; Jacques Bus – European Commission, INFSO Unit “Security”) que dieron interesantes puntos de vista sobre la importancia de la seguridad y la gestión del riesgo en las infraestructuras críticas así como de las actuales iniciativas a nivel europeo en esta materia.

De entre los artículos más interesantes destacamos:

1. “Managing Critical Infrastructures through Virtual Network Communities” que básicamente propone una arquitectura virtualizada para compartir de manera segura una infraestructura tipo ICT (Information and Communication Technology) entre distintas comunidades de usuarios, cada una con sus propias aplicaciones y requisitos de seguridad. La particularización a las infraestructuras críticas implica la definición de tres comunidades que comparten la infraestructura: comunidad software, comunidad SCADA y una comunidad de base de datos.
2. “Securing Agents against Malicious Host in an Intrusion Detection System” propone aplicar el concepto de marca de agua al proceso de ejecución de un proceso de manera que se identifique un funcionamiento anormal del mismo.
3. “LoRDAS: A Low-Rate DoS Atack against Application Servers” que identifica una técnica que permite realizar ataques de DoS con requisitos de tasas de ataque muy inferiores a las tradicionales redes de zombies. Esta técnica combina técnicas estadísticas de teoría de colas con el conocimiento de mecanismos de timing característicos de los servidores
4. “Designing critical infrastructure cyber security segmentation architecture by balancing secuirty with reliability and availability” que propone cómo segmentar una infraestructura crítica para maximizar la seguridad y minimizar la pérdida de disponibilidad y fiabilidad.

Elyoenai Egozcue
S21sec Labs

Desde la reunión del APWG

Hoy ha empezado la reunión anual del Antiphishing Working Group (APWG), que esta vez tiene lugar en Pittsburgh (Pennsylvania), muy cerca de la Universidad de Carnegie Mellon, donde se encuentra uno de los principales CERT mundiales. 

Durante esta reunión, que durará varios días, se comentan tanto las estadísticas de los casos relacionados con el fraude online, como se presentan diversos proyectos que tienen como objetivo la mitigación de los mismos.

Aún cuando la mayoría de los asistentes son de EEUU (tanto fuerzas del orden como bancos o empresas relacionadas), cada vez se ve más gente de otros continentes, sobre todo de Europa o Asia, lo que permite tener una visión más global del problema del fraude online gracias a aportaciones, por ejemplo, de compañeros provenientes de Japón, Brasil, Australia, Gran Bretaña, España u Holanda (entre otros). 

Por lo que estamos viendo, la realidad de los otros países es parecida a la que S21sec está viendo tanto en España como en otros países, y todos coinciden que es fundamental una estrecha relación entre las tres partes integrantes de lo que denomino, 'la tupla del fraude': fuerzas del orden, entidades financieras, y empresas tecnológicas/CERTs.

También está claro que España es uno de los países más atacados respecto al fraude online, y aunque tenemos una visión bastante completa y global de todos los actores involucrados en este escenario, esperamos obtener alguna pieza más del puzzle en Pittsburgh.

HackIt! Navarparty 5

El pasado fin de semana, del día 20 al 23, se celebraba la quinta edición de la Navarparty.

Como ya se ha comentado en este blog, S21sec patrocinó el concurso de HackIt! además de impartir un interesante taller sobre Seguridad en VoIP.

La prueba de HackIt! consistió en 10 pruebas en las que el objetivo era obtener una contraseña válida. Cada prueba superada daba una cantidad de puntos dependiendo de su dificultad. Desde el Viernes 21 a las 17:00 los asistentes a la party podían apuntarse y comenzar el juego que acabó el Domingo, poco antes del final de la party.

El final estuvo especialmente interesante, ya que solo había un punto de diferencia entre el 1º (Zelai) y el 2º clasificado (Huinen) que estaba resolviendo una prueba que valía 3 puntos cuando se cerro el plazo.

Zelai (Ganador) en la entrega de premios

Nuestra enhorabuena a los 2 ganadores que se han llevado un Monitor panorámico de 22 inch y una impresora de fotos de alta calidad para el primer clasificado y un disco duro multimedia y cafetera para aguantar las largas noches de hacking para el segundo clasificado.

Huinen (2º clasificado) recibe premio

Navarparty 2007

Durante el viernes pasado, nuestro compañero Pablo Catalina estuvo en la Navarparty dando una conferencia sobre seguridad en VoIP. En esta charla se estuvo comentando diversos ataques, tanto a nivel de red, como ya más dedicadas a los diferentes protocolos existentes de VoIP (e.g. SIP).

Además de contarnos con todo lujo de detalles los ataques que se pueden realizar en un taller que duró casi 3 horas, lo mejor de todo es escuchar a Pablo puesto que nos demostró de forma práctica todos los ataques, además de verle disfrutar de su mando de la Wii+Nunchaku a modo de puntero y ratón.

S21sec participó no sólo dando el taller de Seguridad en VoIP, sino también como patrocinador. Sin olvidarnos por supuesto que varios compañeros (Roumen, Patxi) forman parte de la organización de la Navarparty.

Desde aquí felicitar a los organizadores puesto que todo salió a la perfección y esperamos que disfrutárais de la charla de Pablo.

¡Nos vemos en la siguiente!

Participamos en el evento "Asegurate de que está seguro"

Evento sobre Seguridad Organizado por Microsoft

04 de octubre de 2007, jueves, a las 9:30

Centro de Formación en Tecnologías de la Información y Comunicaciones Madrid-Sur
Avenida Arcas del Agua s/n
Sector 3 Getafe Madrid 28905
España

En el evento se tratarán temas como la auditoría de seguridad, la Seguridad en aplicaciones web, en red interna y nodos de aplicaciones LDAP

Por parte de S21sec Alberto Moro, Security Researcher y experto reconocido a nivel nacional, nos mostrará técnicas para realizar un test de intrusión a una aplicación web así como los fallos más comunes en la arquitecturas de las aplicaciones web hoy en día.

Es un evento gratuito y puedes inscribirte a través de la web de Microsoft

Esperamos que os resulte de interés y que nos podamos ver todos por allí.