Nota histórica: este artículo documenta el primer día del Encuentro Internacional de Seguridad Informática de 2007 y se conserva como archivo de la comunidad DragonJAR.
Día 1 del EISI: tratando de reunir a las personas de la comunidad, algunos llegaron temprano, otros no, pero al fin nos logramos reunir e ingresamos al congreso.
Tabla de Contenido
Cuando llegaron, se les indicó los pasos para reclamar la escarapela sin hacer fila (una ventaja más de ser parte de la comunidad) y se les entregó el kit (a los que llegaron temprano :-P): un CD con la carátula del WUDE impreso para que lo quemen cuando salga, un botón de la comunidad (con el logo modificado del Firefox) y unas tarjetas para que se conocieran entre todos.
Acto de apertura y conferencias de la mañana
Ya en el congreso y según la programación, se le dio inicio formalmente, cantando el himno a Colombia, a la U’ de Manizales… con el Rector, el Decano de la Institución, Ponentes, etc…
Después de estos actos protocolarios empieza en forma el congreso.
Las conferencias empiezan con el argentino Hernán Marcelo Racciatti, quien nos mostró un workshop sobre SQL Injection: aunque el tema está un poco viejo, al ser un workshop y mostrar a la gente de forma sencilla cómo realizar las prácticas (quienes llevaron portátil), fue una de las ponencias más dinámicas y divertidas.
Página del workshop sobre SQL Injection
Hernán prometió publicar el .txt en el cual proporcionaba los “atajos” para realizar SQL Injection pero al revisar sus páginas y blog no lo encontré (ya encontré la descarga de este y otros textos que dejó el argentino abajo). También encontré un paper sobre SQL Injection (el enlace original de descarga ya no está disponible).
Descargas:
• Brief_SQL_Injection_Short_Workshop.rar
• Slides_SQLInjection_Short_Workshop.rar
• SQL Injection – Real Hack Exhibition.txt
Luego de esta conferencia, y según la programación, teníamos 15 minutos para tomar el refrigerio. Aquí tengo 2 comentarios que hacer a los organizadores del evento: el primero, que dieron muy poco tiempo y esto no da mucho espacio para el esparcimiento de los asistentes; y el otro es que los refrigerios, comparados con otros realizados por la misma Universidad de Manizales (EJ: Congreso de Software Libre), bajaron mucho su calidad: estaban ricos, pero… le faltó.
Después del refrigerio, Oscar Eduardo Ruiz explicaba las reglas del wargame, qué se podía y qué no se podía hacer, etc…
La siguiente conferencia, sobre ataques MITM (man-in-the-middle), fue dictada por Juan Pablo Quiñe Paz y Martín A. Rubio, en la cual nos explicaban cuáles eran los peligros de este tipo de ataques, pero también cómo podemos usarlo a nuestro favor para testear nuestras redes o aplicaciones.
Diapositivas:
• Man in the middle aplicado a la seguridad.pdf
Tarde: más conferencias y el cierre del día
Y… el esperado almuerzo :-D. Este día almorzamos en la cafetería de la Universidad de Manizales, pero al tener un problema con una tajada que nunca apareció (xD jejeje), unos frijoles que se convirtieron en blanquillos y un servidor que no soportó las peticiones de 42 personas de la comunidad (parecía un ataque de denegación de servicios o le hicimos buffer overflow), el caso es que se demoraban mucho en servir los almuerzos, y los siguientes días nos mudamos al servidor “Tío Pepe”, que sí soportó toda la carga :-D. Además, nos hicieron una rebaja de 200 pesos por persona $-D
Ya vengo…
Mientras todos esperaban el almuerzo, yo me iba a gestionar mediante ingeniería social las primeras 5 filas del evento.
Misión cumplida
Después de esto me entero que en el servidor de la cafetería se habían acabado los recursos (YA NO HABÍAN ALMUERZOS), así que me tocó echarle mano a un sánduche con sprite y seguir a las conferencias.
El mexicano Eduardo Ruiz Duarte fue el encargado de dictar la conferencia Esteganografía vs Criptografía. Muy buena la conferencia: nos mostraba varios métodos de esteganografía. También nos prometió varios de los programas propios con los cuales realizó su conferencia, pero al entrar a su blog solo vi varios códigos para realizar fractales (estamos esperando tus códigos 
).
Aquí las diapositivas:
• esteganografia.pdf
Luego, Julio César Gómez Castaño nos exponía el Workshop Security Tool, en el cual nos mostraba el top 100 de las herramientas de seguridad, el top 10 de los Live CD de seguridad informática y, más específicamente, nos hablaba sobre el BackTrack y sus herramientas.
Aunque lo tocó por encima, al menos se le dejó la espinita a quienes no conocían estas herramientas. El hecho de que regalaran copias del BackTrack 2 a quienes llevaran portátil también ayuda a estimular (aunque así no llevaran portátil deberían regalar…)
Diapositivas:
• Tool Security – Workshop BackTrack.ppt
Otro refrigerio…
El argentino Arturo “Buanzo” Busleiman nos muestra el análisis de red con NMAP y Script NSE: una excelente conferencia donde nos enseña las nuevas funcionalidades del NMAP, cómo crear scripts y el uso del lenguaje LUA.
Buanzo había escrito desde septiembre en la página, pero por un error mío al aprobar los comentarios masivamente se me pasó este:
Igual me reivindiqué con el argentino regalándole una cajita de ron en el remate ;-).
Descargar:
• nse2007.pdf
Luego, Jhon César Arango nos presenta su workshop “El camino hacia el Ataque”, en el cual nos muestra paso a paso y de una forma práctica lo que hace un atacante al tratar de ingresar a un sistema. Desafortunadamente no pudo seguir con su presentación, ya que ocurrieron algunos errores técnicos (véase dar papaya).
Diapositivas:
• modo operandi.pdf
Y, por último, pero no menos importante, la conferencia de Rachel Greenstadt sobre Seguridad y Entornos Virtualizados (Security and Virtualized Environments): la conferencia estuvo excelente, pero en algunas partes Buanzo, quien se prestó como traductor (no sé si estaba programado desde el principio como tal), hablaba muy rápido y eso ocasionó que no muchos pudiéramos disfrutar de esta conferencia.
Diapositivas:
• virtualization.pdf
Lo que sigue después del encuentro lo relatan mucho mejor Dinosaurio y Epsilon77, quienes ya sacaron las crónicas del día 1 xD, con mucho humor geek.
L@ Cr0n1c@ de D1N0, Dr@g0n y 5u5 717@N3s d31 c0n0c1/\/\13n70
La crónica de epsilon77
Aunque, para resumirles, les puedo decir que accedimos a un sistema por medio de ingeniería social, luego escalamos privilegios (hasta llegar al dueño del server) y nos saltamos 2 firewalls (doble raqueteada) para llegar a los tan anhelados datos xD (todo por tener un usuario con privilegios < a 18).
Las fotos del primer día están en este post (sube las tuyas 😉 )
Fotos Segundo Encuentro Internacional de Seguridad informática DÍA I
Actualizado: Las diapositivas se publicaron en su momento en el micrositio del evento; esos enlaces ya no están disponibles en línea, por lo que este artículo se conserva como registro histórico de la crónica.
El legado del EISI
El Encuentro Internacional de Seguridad Informática de 2007 se celebró en Manizales con la Universidad de Manizales y una nutrida participación de la Comunidad DragonJAR; tras el evento publicamos el agradecimiento a todos los que apoyaron el encuentro. El evento tuvo continuidad: en 2009 documentamos el EISI III con sus crónicas del día 1, el día 2 y el día 3.
Varios temas de este primer día siguen vigentes: el workshop de SQL Injection de Hernán Racciatti abordaba una vulnerabilidad que permanece en el radar —OWASP la mantiene en su Top 10 (A03:2021 – Injection)— y el análisis de red con Nmap y scripts NSE que presentó Buanzo sigue siendo práctica estándar; Nmap continúa como la herramienta de referencia para descubrimiento y auditoría de redes.
Los enlaces de descarga de las memorias del evento (micrositio de la Universidad de Manizales) ya no están disponibles en línea; se conservan los nombres de los archivos como referencia histórica.
