This site is the archived OWASP Foundation Wiki and is no longer accepting Account Requests.
To view the new OWASP Foundation website, please visit https://owasp.org

Difference between revisions of "Spain/Agenda Chapter Meeting"

From OWASP
Jump to: navigation, search
Line 1: Line 1:
−
Barcelona, 12 de junio de 2015
+
Barcelona, 17 de noviembre de 2016
 
<br>
 
<br>
 
<b>AGENDA</b> de la jornada:
 
<b>AGENDA</b> de la jornada:
Line 8: Line 8:
 
<tr>
 
<tr>
 
<td valign="top" align="center" height=35px width=80px></td>
 
<td valign="top" align="center" height=35px width=80px></td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>09:00h - 09:55h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>08:00h - 08:55h</td>
 
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Registro de asistentes</b></i>
 
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Registro de asistentes</b></i>
 
</td>
 
</td>
Line 14: Line 14:
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center" height=75px width=80px>[[image:Jabella-80.jpg|80px]]</td>
+
<td  bgcolor="white" valign="top" align="center" height=75px width=80px></td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>10:00h - 10:05h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>09:00h - 09:05h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Bienvenida</b></i><br>Jaume Abella Fuentes. - Twitter: [http://www.twitter.com/JaumeAbella @JaumeAbella].<br>Coordinador del [http://beslasalle.salleurl.edu/es/master-ciberseguridad Máster de Ciberseguridad]. [http://www.salleurl.edu La Salle Campus Barcelona].
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Bienvenida</b></i><br>[http://www.salleurl.edu La Salle Campus Barcelona].
 
</td>
 
</td>
 
</tr>
 
</tr>
Line 22: Line 22:
 
<tr>
 
<tr>
 
<td  bgcolor="white" valign="top" align="center">[[image:Vadpic.png|80px]]</td>
 
<td  bgcolor="white" valign="top" align="center">[[image:Vadpic.png|80px]]</td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>10:05h - 10:15h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>09:05h - 09:15h</td>
 
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Introducción a la jornada</b></i><br>Vicente Aguilera Díaz. [http://vicenteaguileradiaz.com vicenteaguileradiaz.com] - Twitter: [http://www.twitter.com/vaguileradiaz @VAguileraDiaz].<br>[http://www.owasp.org/index.php/Spain OWASP Spain Chapter] Leader. Socio y Director Dpto. Auditoría en [http://www.isecauditors.com Internet Security Auditors].
 
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Introducción a la jornada</b></i><br>Vicente Aguilera Díaz. [http://vicenteaguileradiaz.com vicenteaguileradiaz.com] - Twitter: [http://www.twitter.com/vaguileradiaz @VAguileraDiaz].<br>[http://www.owasp.org/index.php/Spain OWASP Spain Chapter] Leader. Socio y Director Dpto. Auditoría en [http://www.isecauditors.com Internet Security Auditors].
 
</td>
 
</td>
Line 28: Line 28:
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px>[[Image:Ashar-80.jpg|80px]]</td>
+
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>10:15h - 11:15h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>09:15h - 10:15h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Cat-and-Mouse Game with Sucuri's Web Application Firewall</b></i><br>Ashar Javed. - Twitter: [http://www.twitter.com/soaj1664ashar @soaj1664ashar].<br>Pentester. [http://www.hyundai-autoever.eu Hyundai AutoEver Europe GmbH].<br>
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
−
In this talk, I will share a story of my encounter with Sucuri's Web Application Firewall (WAF) i.e., CloudProxy. CloudProxy is a cloud-based protection system against common web attacks like XSS, SQLi and RFI etc and at the time of writing, 8K+ websites are using it.
+
</td>
 +
</tr>
  
−
In this talk, I will show how I was able to bypass their XSS protection 35 times and made 8K+ websites vulnerable. All bypasses were responsibly reported to the vendor and were fixed immediately.
+
<tr>
 +
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
 +
<td bgcolor="#d5deed" align="center" valign="top" width=110px>10:15h - 10:45h</td>
 +
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
 
</td>
 
</td>
 
</tr>
 
</tr>
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px>[[image:Mmuntana-80.jpg|80px]]</td>
+
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>11:15h - 11:45h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>10:45h - 11:45h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Estableciendo las tres líneas de defensa en proyectos web</b></i><br>Marc Muntañá Vergés. <br>Responsable de Seguridad. [http://www.mutuauniversal.net Mutua Universal].<br>
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
−
De forma habitual, la seguridad en el desarrollo web se delega en la pericia o conocimientos de seguridad del desarrollador, obviando la identificación de requisitos de seguridad y la ejecución de pruebas de seguridad sobre la globalidad del proyecto. Por otro lado, la figura del desarrollador a menudo no ha recibido la adecuada formación en materia de seguridad para implantarla de forma efectiva en su codificación.
+
</td>
 +
</tr>
  
−
La ponencia traslada la estrategia de las tres líneas de defensa, muy habitual en términos de auditoría y gestión de riesgos corporativos, a una propuesta metodológica de cómo abordar los proyectos y aplicaciones web implicando todos los stakeholders implicados en su securización y validación de esta.
+
 
 +
<tr>
 +
<td bgcolor="#FFFFFF" valign="top" align="center"  height=30px width=80px></td>
 +
<td bgcolor="#FFFFFF" align="center" valign="top" width=110px>11:45h - 12:15h</td>
 +
<td bgcolor="#FFFFFF" align="justify" valign="top"><i><b>Coffee-break</b></i>
 
</td>
 
</td>
 
</tr>
 
</tr>
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px>[[image:Fabio-cerullo-small.jpg|80px]]</td>
+
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>11:45h - 12:45h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>12:15h - 12:45h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Desarrollo Rápido y Seguro de Aplicaciones. ¿Es posible tener las dos cosas?</b></i><br>Fabio Cerullo. - Twitter: [http://www.twitter.com/fcerullo @fcerullo].<br>CEO y Fundador de [https://cycubix.com/ Cycubix].<br>
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
−
Los ciclos de desarrollo cada vez mas rápidos y la falta de evaluaciones integrales de seguridad están exponiendo a las organizaciones a potenciales filtraciones de datos a través de sus propias aplicaciones. Fabio Cerullo, Director de Cycubix, nos mostrará cuales son las herramientas y procesos que ayudan a las organizaciones a construir aplicaciones seguras cumpliendo con normativas vigentes y alineándose a los requerimientos de negocio.
 
 
</td>
 
</td>
 
</tr>
 
</tr>
  
 +
<tr>
 +
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
 +
<td bgcolor="#d5deed" align="center" valign="top" width=110px>12:45h - 13:15h</td>
 +
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
 +
</td>
 +
</tr>
  
 
<tr>
 
<tr>
 
<td bgcolor="#FFFFFF" valign="top" align="center"  height=30px width=80px></td>
 
<td bgcolor="#FFFFFF" valign="top" align="center"  height=30px width=80px></td>
−
<td bgcolor="#FFFFFF" align="center" valign="top" width=110px></td>
+
<td bgcolor="#FFFFFF" align="center" valign="top" width=110px>13:15h - 14:45h</td>
−
<td bgcolor="#FFFFFF" align="justify" valign="top"><br>
+
<td bgcolor="#FFFFFF" align="justify" valign="top"><i><b>Pausa</b></i>
 
</td>
 
</td>
 
</tr>
 
</tr>
−
 
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px>[[image:Stephen-80.png|80px]]</td>
+
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
 
<td bgcolor="#d5deed" align="center" valign="top" width=110px>14:45h - 15:45h</td>
 
<td bgcolor="#d5deed" align="center" valign="top" width=110px>14:45h - 15:45h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Pruebas de seguridad contínuas para DevOps</b></i><br>Stephen De Vries. - Twitter: [http://www.twitter.com/stephendv @stephendv].<br>Chief Technology Officer. [http://www.continuumsecurity.net/ Continuum Security].<br>
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
−
Las prácticas de despliegue contínuo (CD) y DevOps están revolucionando el proceso de desarrollo y de negocio. Las prácticas de seguridad y, sobre todo, las pruebas de seguridad, tendrán que adaptarse a este nuevo mundo. Durante este charla se proponen unos métodos para automatizar las pruebas de seguridad para que encajan en un proceso de despliegue contínu sin interrumpir el proceso. La presentación incluirá los siguientes aspectos:<br>
 
−
<ul>
 
−
<li>Introducción breve a DevOps y Despliegue Contínuo</li>
 
−
<li>Los retos para automatizar pruebas de seguridad</li>
 
−
<li>El marco de pruebas BDD-Security en tres pasos</li>
 
−
<li>Integración con Jenkins</li>
 
−
<li>Límites de automatización</li>
 
−
</ul>
 
 
</td>
 
</td>
 
</tr>
 
</tr>
Line 81: Line 86:
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px>[[image:MiguelHernandez-80.png|80px]]</td>
+
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>15:45 - 16:45h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>15:45 - 16:15h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Abuse Cases – from scratch to the hack</b></i><br>Miguel Ángel Hernández Ruíz. - Twitter: [http://www.twitter.com/miguelangelher @miguelangelher]<br>Security Specialist. [http://www.sopra.es Sopra Group].<br>
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
−
Firstly this talk offers the motivations on why it is necessary a mechanism to detect possible business logic flaws.
+
</td>
 +
</tr>
  
−
After that, the next slides present a short story about a developer and a hacker and how the last one is able to find out vulnerabilities even when all security bugs have apparently been fixed.
+
<tr>
−
 
+
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
−
Using the lessons learnt from the previous story, a summary on what we are exactly looking for is performed, introducing the abuse case concept and performing a comparison between use cases and abuse cases.
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>16:15h - 17:15h</td>
−
 
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
−
In fourth place the main point of the conference is introduced. A methodological approach to an abuse cases solution is presented as the way to properly drive the business logic vulnerabilities detection.
 
−
 
 
−
The subsequent slides present how to apply the explained approach to a real scenario regarding the application involved in the hackers’ story previously mentioned. A live approach to the application is performed in the first part of this section and a live hack of the business logic is shown at the end.
 
−
 
 
−
Finally, the most important challenges to face and the most relevant benefits of using abuse cases as a testing tool are offered.
 
 
</td>
 
</td>
 
</tr>
 
</tr>
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px>[[Image:Marc.png|80px]]</td>
+
<td  bgcolor="white" valign="top" align="center"  height=75px width=80px></td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>16:45h - 17:45h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>17:15h - 17:45h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>APT, Ataque y defensa en entorno hostil</b></i><br>Marc Rivero López. - Twitter: [http://www.twitter.com/seifreed @Seifreed]<br>Senior eCrime. [http://www.deloitte.es Deloitte].<br>
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>TBD</b></i>
−
La conferencia explicará los útimos ataques APT que han salido a la luz. Se mostrarán los detalles más significativos y las lecciones aprendidas en cada uno de ellos. Se mostrarán también patrones en común usados por los diferentes actores de los APT’s. Por último, se mostrará un ecosistema para la defensa de estos tipos de ataques a grandes corporaciones.
 
 
</td>
 
</td>
 
</tr>
 
</tr>
  
 
<tr>
 
<tr>
−
<td  bgcolor="white" valign="top" align="center" height=75px width=80px></td>
+
<td  bgcolor="white" valign="top" align="center">[[image:Vadpic.png|80px]]</td>
−
<td bgcolor="#d5deed" align="center" valign="top" width=110px>17:45h - 18:15h</td>
+
<td bgcolor="#d5deed" align="center" valign="top" width=110px>17:45h - 18:00h</td>
−
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Mesa redonda (ponentes e invitados)</b></i><br>.
+
<td bgcolor="#d5deed" align="justify" valign="top"><i><b>Cierre de la jornada</b></i><br>Vicente Aguilera Díaz. [http://vicenteaguileradiaz.com vicenteaguileradiaz.com] - Twitter: [http://www.twitter.com/vaguileradiaz @VAguileraDiaz].<br>[http://www.owasp.org/index.php/Spain OWASP Spain Chapter] Leader. Socio y Director Dpto. Auditoría en [http://www.isecauditors.com Internet Security Auditors].
 
</td>
 
</td>
 
</tr>
 
</tr>
Line 120: Line 120:
 
Twitter: <b>[http://www.twitter.com/OWASPSpain @OWASPSpain]</b>
 
Twitter: <b>[http://www.twitter.com/OWASPSpain @OWASPSpain]</b>
 
<br>
 
<br>
−
Hashtag de la jornada: <b>#OWASPSpain9</b>
+
Hashtag de la jornada: <b>#OWASPSpain10</b>
 
<br>
 
<br>
 
https://www.owasp.org/images/c/c4/Twitter-logo-icon.jpeg
 
https://www.owasp.org/images/c/c4/Twitter-logo-icon.jpeg
 
<br>
 
<br>

Revision as of 16:19, 18 September 2016

Barcelona, 17 de noviembre de 2016
AGENDA de la jornada:

08:00h - 08:55h Registro de asistentes
09:00h - 09:05h Bienvenida
La Salle Campus Barcelona.
Vadpic.png 09:05h - 09:15h Introducción a la jornada
Vicente Aguilera Díaz. vicenteaguileradiaz.com - Twitter: @VAguileraDiaz.
OWASP Spain Chapter Leader. Socio y Director Dpto. Auditoría en Internet Security Auditors.
09:15h - 10:15h TBD
10:15h - 10:45h TBD
10:45h - 11:45h TBD
11:45h - 12:15h Coffee-break
12:15h - 12:45h TBD
12:45h - 13:15h TBD
13:15h - 14:45h Pausa
14:45h - 15:45h TBD
15:45 - 16:15h TBD
16:15h - 17:15h TBD
17:15h - 17:45h TBD
Vadpic.png 17:45h - 18:00h Cierre de la jornada
Vicente Aguilera Díaz. vicenteaguileradiaz.com - Twitter: @VAguileraDiaz.
OWASP Spain Chapter Leader. Socio y Director Dpto. Auditoría en Internet Security Auditors.


Si desea participar como ponente, consulte la sección Call for Papers.

Twitter: @OWASPSpain
Hashtag de la jornada: #OWASPSpain10
Twitter-logo-icon.jpeg

Retrieved from "https://wiki.owasp.org/index.php?title=Spain/Agenda_Chapter_Meeting&oldid=221455"