OWASP Floripa Day 2012

Inscrições

Estão abertas as inscrições para o OWASP Floripa Day, são 03 modalidades de ingressos:

• Individual: Nesta modalidade de inscrição, deverão inscrever-se todas PESSOAS FISICAS;
• Estudante/Associados ACATE: Válido somente mediante apresentação de comprovante de matrícula fornecido/autenticado por instituição regular de ensino reconhecida pelo MEC por ocasião da chegada do participante ao evento. Para associados ACATE, válido somente mediante comprovante emitido pela ACATE via e-mail ou em papel.
• Caravanas/Grupos: Modalidade exclusiva para caravanas e grupos, válido somente para a aquisição de 10 ingressos na mesma compra.

Os valores dos ingressos modificarão conforme a proximidade do evento. Portanto aproveite esta oportunidade e aquira já o seu ingresso. Garanta sua participação!

Sympla

Como parceiro oficial do evento OWASP Floripa Day 2012, a Sympla disponibilizou novas opções de pagamentos, os ingressos podem ser adquiridos por cartão de crédito, boleto bancario ou débito online.

Aproveite todas essas facilidades e adquira já o seu ingresso:

Hacking Lab

O que é Hacking-Lab?

Hacking-Lab é um portal de segurança que aborda hacking e estratégias de defesa. Acreditamos no Aprendizado Prático, mas essa é uma tarefa difícil e que consome tempo, principalmente sem o ambiente apropriado para um bom aprendizado.

Por que, então, não compartilhar um lab de segurança para a comunidade? Para esse propósito o Hacking-Lab foi criado. Experiências práticas reais!

Acesse o Hacking-Lab e torne-se um membro dessa comunidade!

Desafios Hacking-Lab

Hacking-Lab provê um grande número de desafios online de segurança. Os usuários podem melhorar suas habilidades com exercícios práticos nas áreas de Network Security, Penetration Testing, Web Application Security, Unix Security, Windows Security, Reverse Engineering, Forensics e etc.

Hacking-Lab tem o orgulho de atuar juntamente com OWASP, e seus membros tem acesso gratuito aos desafios de segurança OWASP TOP 10.

Hacking-Lab no OWASP Floripa Day

Através do projeto Hacking-Lab, haverá durante o OWASP Floripa Day, a disponibilização de desafios online a serem resolvidos, com a necessidade do envio do método utilizado para exploração, e a solução das vulnerabilidades, para o projeto.

Para participar, a pessoa precisa acessar o site do projeto e cadastrar-se, criando um usuário na comunidade.

No site, estará disponível um evento privado, com pelo menos 10 desafios, cujo link para se cadastrar será informado durante evento.

Para acessar o lab remoto do HL, e resolver os desafios, é necessário baixar a distro Linux do HL, já com o acesso VPN configurado (http://media.hacking-lab.com/largefiles/livecd/ ), ou os arquivos de configuração da VPN para utilizar a partir do Backtrack, OSX ou Windows (http://media.hacking-lab.com/largefiles/livecd/z_openvpn_config/ ).

OBS1: O objetivo dos desafios não é eleger um vencedor, mas sim possibilitar o aprendizado real, na prática, através de desafios que estão vinculados aos temas abordados nas palestras apresentadas no evento.

OBS2: Qualquer pessoa poderá participar, pois o nível de dificuldade dos desafios é básico e intermediário.

Palestras

15 de Setembro

09:00 - 09:15	Credenciamento
09:15- 09:30	O que é a OWASP? - Gabriella de Bem
9:30 - 10:30	Análise Forense de ataques através de Aplicações WEB - Luiz Vieira
10:30 - 11:30	Automatizando descoberta de vulnerabilidades com Nmap + NSE - Tiago Natel de Moura
11:30 - 13:00	Almoço (Não fornecido pelo evento)
13:00 - 14:00	Você Escreve Código e Quem Valida? - Wagner Elias
14:00 - 15:00	Building Client-Side Attacks with HTML5 Features - Tiago Ferreira
15:00 - 16:00	Dispositivos Criptográficos, mais confiança aos processos de criptografia - Rick Lopes de Souza
16:00 - 16:30	Coffee Break
16:30 - 17:15	OWASP Software Security Assurance Process Project - Mateo Martinez
17:15 - 18:15	ICP-Brasil, documento eletrônico e a sociedade - Armindo Guerra
18:15 - 19:15	Principais Ameaças à Aplicações Web - OWASP Top 10 - Rafael Soares
19:15 - 19:30	Encerramento

16 de Setembro

09:00 - 09:15	Credenciamento
09:15- 09:30	OWASP Talk
9:30 - 10:30	Análise estática de malware com o pev - Fernando Mercês
10:30 - 11:30	Desenvolvimento de Malwares - Tiago Natel de Moura
11:30 - 13:00	Almoço (Não fornecido pelo evento)
13:00 - 14:00	"Web Spiders" - Automação para Web Hacking - Antônio Costa
14:00 - 15:00	Return-Oriented Programming na Unha - Victor Mello
15:00 - 16:00	Egg Hunter: Pisando em Ovos para Explorar Buffer Overflows - Mateus Felipe
16:00 - 16:30	Coffee Break
16:30 - 17:15	Linux Runtime Process Infection - Leandro Oliveira
17:15 - 18:15	Mixando "Application Runtime Analisys" && SIEMs - Luiz Zanardo
18:15 - 19:15	Scoring PDF structure to detect Malicious Files - Rodrigo Montoro
19:15 - 19:30	Encerramento

Banners para Divulgação

Fique a vontade para utilizar qualquer um desses banners para divulgar o evento em seu site/blog/veiculos de comunicação. A OWASP agradece sua colaboração e conta com sua participação neste grande evento.

O Evento

A primeira edição do OWASP Floripa Day será realizada entre os dias 15 e 16 de setembro de 2012, em Florianópolis, Santa Catarina. Serão dois dias de palestras específicas na área de segurança de aplicações ministrados por profissionais do Brasil e exterior, com palestras focadas nas mais avançadas técnicas e nos assuntos mais atuais discutidos pela comunidade de segurança. Será o primeiro evento em Florianópolis totalmente focado em segurança de aplicações.
Evento no Facebook: OWASP FLORIPA DAY 2012 FACEBOOK EVENT

O OWASP FLORIPA DAY será realizado no HOTEL SESC Cacupé, ele possui um moderno Centro Multiuso, com espaço multifuncional para eventos. Abaixo seguem algumas fotos da infraestrutura do local:

Centro Multiuso


Entrada do Centro Multiuso


Video do HOTEL SESC Cacupé

A Cidade

Uma ilha repleta de belezas por todos os lados. Assim é Florianópolis, uma das capitais mais bonitas do Brasil, repleta de belas praias, lagoas, mata atlântica, deliciosa gastronomia e rica cultura.

Nas últimas décadas, Florianópolis registrou uma renovação do seu perfil econômico. Sem grandes indústrias, a Capital catarinense encontrou no setor de tecnologia da informação e comunicação uma atividade econômica que se identificou com o perfil da cidade, respeitou os elementos naturais da Ilha e se tornou um importante componente para o desenvolvimento local.

Atualmente, as empresas de base tecnológica formam o segundo grupo de atividade organizada que mais fatura e mais paga Imposto Sobre Serviços (ISS) no município. O setor de tecnologia impulsiona também o crescimento de outros setores da economia, entre eles o da construção civil - para a instalação de novas empresas, o de turismo - atraindo eventos de negócios, e o setor de serviços - diante da necessidade por assessorias e consultorias em diferentes áreas.

Além das incubadoras e parques tecnológicos, Florianópolis conta com três universidades públicas e uma privada, o que contribui decisivamente para a formação de profissionais altamente qualificados.

No ano de 2006, Florianópolis foi eleita uma das “10 cidades mais dinâmicas do mundo”, título conferido pela revista internacional Newsweek.

Em 2009, foi criada a Secretaria Municipal de Ciência, Tecnologia e Desenvolvimento Econômico Sustentável da Prefeitura de Florianópolis (SMCTDES), com o objetivo de consolidar e ampliar o papel da administração municipal no crescimento econômico do município. Em março de 2010 foi lançada a logomarca Capital da Inovação, representando a identidade de Florianópolis como celeiro de iniciativas inovadoras.No mesmo ano, foi regulamentada a Lei Catarinense de Inovação, ferramenta para impulsionar ainda mais o setor tecnológico de Florianópolis e de todo o Estado.

Em março de 2010 foi lançada a logomarca Capital da Inovação, representando a identidade de Florianópolis como celeiro de iniciativas inovadoras.

Fonte: Secretaria Municipal de Ciência, Tecnologia, e Desenvolvimento Econômico Sustentável

International Press:

Florianopolis may be the city of superlatives within Brazil.
It’s a laid-back beach town. It’s a vibrant university town. It’s a rapidly-growing technology hub. It has the highest reported quality of life in Brazil, among the highest in the world. It was even named ‘the best place to live in Brazil.’

And with good reason. Florianopolis is gorgeous. The weather is excellent. Cost of living is much lower than in nearby Rio de Janeiro or Sao Paulo. It’s safe. It’s connected, with nonstop flights to major cities in Brazil, as well as the region– Buenos Aires, Santiago, Montevideo.

The biggest reason to come here, though, is that Florianopolis represents Brazil’s future, probably more than any other city. This is saying a lot given that Brazil itself represents the future of the west.

It’s a young, intensely energetic place. Smart, creative, productive people from around the world, and especially from Brazil, are flocking here to create the next big thing, from energy to nanotech. Plus, some of the region’s best incubators are here to help advance new ideas.

The local culture is open to rapid change, growth, and diversity in a way that’s unusually refreshing given Brazil’s highly bureaucratic, populist leanings. I’ve also found English proficiency in Florianopolis to be much better than in many other parts of the country.

Read more: Business Insider

Palestras Aprovadas

	Palestra: Return-Oriented Programming na Unha VICTOR RAMOS MELO Descreverá uma técnica moderna de exploração de buffer overflows conhecida como Return-Oriented Programming, esta técnica é muito interessante por passar por proteções a nível de sistema operacional como Executable Space Protection (NX, DEP, W^X) assim como Address Space Layout Randomization (ASLR). Irá demonstrar como desenvolver um exploit básico para um código vulnerável sem utilizar-se de ferramentas automatizadoras.
	Palestra: Análise Forense de ataques através de Aplicações WEB LUIZ VIEIRA A apresentação abordará como é possível, através de aplicações web, atacantes realizarem comprometimentos do tipo client side, e como é possível, através da investigação forense, realizar a análise dos dados coletados e remontar o cenário do que aconteceu. Será explicado, também, quais rastros determinados tipos de ataques, realizados através de navegadores, deixam na aplicação e na máquina da vítima, e como é possível coletá-los e análisá-los.
	Palestra: OWASP Software Security Assurance Process Project MATEO MARTÍNEZ A apresentação abordará como implementar a segurança como um processo dentro do seu ciclo de desenvolvimento de software. Apresentação do OWASP SSAP Project.
	Palestra: Desenvolvimento de Malwares TIAGO NATEL DE MOURA Será apresentado o "State of the Art" do desenvolvimento de Malwares para ambientes unix like, passando desde uma introdução ao formato de binário ELF, explicação do funcionamento de alguns virus conhecidos para linux, até técnicas de infecção, reprodução e propagação. Explicará como usar ferramentas GNU para análise e criação de virus/malwares e apresentará o Malelficus, uma ferramenta GPL que desenvolveu para dissecar e infectar binários ELF. Irá apresentar também técnicas de post-infection para escalada de privilégios subvertendo a shell do usuário com scripts no bashrc e fraquezas em ambientes gráficos como Gnome e KDE que facilitam a execução de arquivos maliciosos, escalada de privilégios e roubo de informações.
	Palestra: Principais Ameaças à Aplicações Web - OWASP Top 10 RAFAEL SOARES FERREIRA A palestra visa apresentar as principais técnicas para auditorias de segurança em aplicações Web, abordando conceitos fundamentais da área, detalhando as principais vulnerabilidades, formas de exploração e métodos de mitigação destas falhas. Serão apresentadas metodologias e ferramentas, assim como cenários para demonstrações de ataques à aplicações web. A apresentação terá com base o projeto Top 10 da OWASP que identifica e lista as 10 principais ameaças a aplicações web e trata maneiras de explorá-las, assim como medidas de proteção contra elas.
	Palestra: Análise estática de malware com o pev FERNANDO MERCÊS O pev é um projeto de software livre multiplataforma para análise de binários PE (do Windows), malwares ou não, baseado na libpe, uma biblioteca para trabalhar com PE que codificamos para suportar o projeto. Nessa palestra apresentarei o projeto com foco em análise estática de malware, com foco no tratamento de informações que as ferramentas do pev podem oferecer em comparação a outros analisadores. Também mostrarei o status atual do projeto, nossos planos futuros e como contribuir, além de uma breve introdução sobre a libpe e seu uso. É particularmente interessante para quem tem interesse em engenharia reversa, detecção de malwares ou mesmo curiosidade sobre a construção do PE.
	Palestra: "Web Spiders" - Automação para Web Hacking ANTONIO COSTA Apresentação abordará Automação para Hacking na WEB, bem como entender o funcionamento de crawlers para o hacking, entender o funcionamento de autenticação e como fazer força bruta, burlar captcha, usar OAUTH, construir parsers, passar certificados de SSL, fazer spoofing de user agent, usar proxys, uso de APIs para desenvolvimento, automação do web browser (imacros e selenium), idéias para fuzzers e scanners, GSM+GPS. Exposição de casos do underground em spam e adsense.
	Palestra: Building Client-Side Attacks with HTML5 Features TIAGO FERREIRA A palestra tem como objetivo mostrar os conceitos e funcionamento de algumas funcionalidades que foram adicionadas ao HTML5, levando em consideração os aspectos de segurança do client-side. Para as funcionalidades destacadas, foram criados cenários de ataques visando ilustrar a obtenção de informações sensíves armazenadas no browser ou até mesmo usar o browser da vítima para lançar ataques contra outros sistemas. Através da exploração das funcionalidades existentes no HTML5, técnicas de exploração como XSS e CSRF, tornam-se mais poderosas e eficientes, sendo possível em alguns casos contornar algumas restrições do Same Origin Policiy (SOP).
	Palestra: Scoring PDF structure to detect Malicious Files RODRIGO MONTORO O PDF hoje é um dos grandes vetores de ataque para malwares. Antivírus/Proteções Client-side estão lutando para detectar PDFs maliciosos, e isso representa um sério problema de segurança. Encoding, Javascript ofuscation, Compression e filtros tais como: ASCIIHexDecode, ASCII85Decode, e CCITTFaxDecode todos contribuem para a possibilidade de um atacante ocultar conteúdo malicioso. Nesta palestra será discutido a estrutura do PDF, comparações entre amostras de PDFs maliciosos com conteúdos não maliciosos, e demostração de como analisar a estrutura do arquivo utilizando um sistema de pontuação que pode auxiliar muito na determinação se o arquivo é malicioso ou não.
	Palestra: ICP-Brasil, documento eletrônico e a sociedade ARMINDO GUERRA JUNIOR Várias tecnologias atuais utilizam criptografia assimétrica como artifício para resguardar dados sensíveis, inclusive tecnologias web. Uma aplicação bastante usual desse tipo de criptografia é o certificado digital. No Brasil a entidade responsável por fornecer confiabilidade a certificados digitais é ICP-Brasil. Qual é o estado da arte dessa organização? Quais são as principais aplicações de um certificado digital para a sociedade? Por que usar um documento eletrônico? Devemos confiar nele? O objetivo dessa palestra é responder essas, entre outras perguntas.
	Palestra: Egg Hunter: Pisando em Ovos para Explorar Buffer Overflows MATEUS FELIPE TYMBURIBÁ Egg Hunter é uma técnica amplamente utilizada atualmente para desenvolver exploits capazes de executar shellcodes em sistemas com restrições de espaço na memória. O método denominado Egg Hunter surgiu como a principal técnica de desenvolvimento de exploits para execução de shellcodes em 2 estágios, superando o desafio imposto pela limitação de espaço. Nessa palestra serão apresentados diversos tipos de Egg Hunters e os cenários aos quais eles se adequam. Serão descritos em detalhes todos os passos para a construção de um exploit baseado nesse método e será demonstrada a sua aplicação na exploração de uma vulnerabilidade real recentemente divulgada.
	Palestra: Linux Runtime Process Infection LEANDRO OLIVEIRA A palestra pretende mostrar maneiras de manipular um processo em execução, objetivando a criação de uma backdoor que deixe o minimo de resquícios possíveis em disco. A palestra iniciará mostrando uma syscall (ptrace), abordando algumas maneiras interessantes de usa-lá de formas maliciosas. Em seguida, demonstrará como inserir um shellcode dentro de um processo remoto, executar e tomar o controle de volta. Com as possibilidade que serão apresentadas, será discutido como injetar uma Lib remotamente no processo da vitima, para que o hook se torne mais amigável para os que não tem familiaridade com assembly.
	Palestra: Você Escreve Código e Quem Valida? WAGNER ELIAS Programadores desenvolvem código como se não houvesse amanhã e pouco se investe na validação de segurança de código. A palestra irá abordar práticas de revisão de segurança de código e como deve ser adotado a prática em um processo de desenvolvimento de software. Além das técnicas será disponibilizado a primeira versão do CodeFight um projeto open source para suporte a revisão de segurança de código fonte.
	Palestra: Mixando "Application Runtime Analisys" && SIEMs LUIZ ZANARDO SIEM (Security Information and Event Management) agregam informação de sistemas e registros estruturados de muitas fontes, incluindo roteadores, gateways e outros dispositivos de rede; firewalls, IDS/IPS e outras soluções de segurança, banco de dados, servidores e logs de sistemas, sistemas de gerenciamento de identidade entre muitos outros++. O objetivo desta palestra é mostrar como é possível e quais os valores de extrair informação diretamente dos servidores de aplicação, envia-las a um SIEM, mixar os contextos e extrair desde ataques e manipulações de dados simples até complexas situações de fraudes transacionais.
	Palestra: Dispositivos Criptográficos, mais confiança aos processos de criptografia RICK LOPES DE SOUZA Atualmente existem diversos mecanismos e softwares que se utilizam da criptografia para a garantia do sigilo, integridade e autenticidade de documentos eletrônicos e que se baseiam no uso de chaves criptográficas. Grande parte da confiança nos sistemas de segurança se baseia no bom uso das chaves e sem o seu correto gerenciamento, dados podem eventualmente ser comprometidos. Esta apresentação tem como objetivo mostrar alguns dos diferentes tipos de dispositivos criptográficos existentes e a sua importância na manutenção da segurança de dados.

Patrocínios

Estamos atualmente buscado patrocinadores para a primeira edição do OWASP Floripa Day 2012. Veja mais detalhes sobre as OPORTUNIDADES DE PATROCÍNIO.
Material de divulgação sobre o que é o OWASP: Press Release

Se estiver interessado em patrocinar o OWASP Floripa Day 2012, por favor entre em contato com a equipe organizadora da conferência pelos emails abaixo.

Patrocinadores

Patrocinadores Diamond

Patrocinadores Gold

Patrocinadores Bronze

Apoio/Divulgação

Estamos a procura de patrocinadores. Deseja fazer parte e colaborar com este grande evento? Entre em contato!

Organização

Tiago Natel de Moura	Organizador Geral	[email protected]
Gabriella de Bem	Organizador Geral	[email protected]
Capítulo OWASP Florianópolis	Capítulo Organizador	OWASP Florianópolis Chapter