Gościem konferencji Secure jestem od kiedy pamiętam, ale nawet ja nie pracuję w bezpieczeństwie tak długo, by pamiętać pierwszą, sprzed... 22 lat. Najstarsza bezpieczniacka konferencja w Polsce rokrocznie stara się pogodzić wszystkich. Zarówno tych, którzy szukają wieści totalnie technicznych, poprzez tych, którzy chcą posłuchać o cyberbezpieczeństwie bardziej "miękkim", skończywszy na tych... cóż, ktoś słucha biznesowych prezentacji partnerów? :)
One ring to rule them all
Dobra, z tym ostatnim trochę przesadziłem, choćby dlatego, że kilka lat temu sam byłem współprezenterem na Secure właśnie w slocie partnerskim. Firmy, wspomagające tego typu przedsięwzięcia, zdają sobie sprawę z tego, że ostentacyjny marketing jest raczej wizerunkowym strzałem w stopę i nawet ich wykładów daje się słuchać. Nierzadko nawet z przyjemnością ;)
Co było najciekawsze? Choćbym się bardzo starał, nie dam rady obejrzeć 40 prezentacji. Tym bardziej, że spora część z nich była rozkładana na trzy równoległe sesje. Mam nieco żalu do organizatorów, że w jednym slocie znalazły się występy Adama Lange i Inbara Raza. Zmusiło mnie to do rezygnacji z prezentacji tego drugiego (wiem, agendy nie robi się pod jedną osobę, ale dwaj charyzmatyczni prelegenci na raz?). Nie żałowałem, bo dowiedziałem się jak łatwo, korzystając z darmowych rozwiązań (i obcej mi umiejętności programowania) można zbudować całkiem rozbudowane, wyrafinowane narzędzie, samo wyszukujące i proaktywnie przeciwdziałające phishingom.
Przede wszystkim warto jednak zaznaczyć keynote, czyli z założenia najciekawszą i przyciągającą wszystkich na wczesny poranek prezentację. Aleksandra Przegalińska, dr w dziedzinie filozofii sztucznej inteligencji, prowadząca badania na legendarnym Massachusetts Institute of Technology (MIT) bezdyskusyjnie poradziła sobie z wyzwaniem. Co najbardziej zapamiętałem? Że millenialsi szukają jednego rozwiązania na wszystko (np. Alexy, czy Asystenta Google). O badaniach, które wykazały, że bot obsługujący klienta jest lepiej odbierany, gdy tylko pisze, a nie jest multimedialny. No i o bocie dla studentów Akademii Leona Koźmińskiego, "wiszącym" testowo na stronie uczelni, zyskał swoją osobowość, został ekologiem i chętnie dostosowywał swoje "poglądy" do oczekiwań rozmówcy.
Czytaj na co się zgadzasz - nie tylko na Secure :)
A skoro mówimy o oczekiwaniach rozmówcy to w oryginalny sposób sprawdzono je na stanowisku Niebezpiecznika. Ankieta, po której wypełnieniu można było wziąć udział w losowaniu nagród, miała na końcu opcję "odhaczenia" zgód. Albo każdej pojedynczo, albo wszystkich naraz. Wszystkich - również tej, mówiącej o zgodzie na przyklejenie na czoło naklejki popularnego serwisu, zrobienie nam zdjęcia i późniejsze go wykorzystanie. Brzmi jak trolling? No ba! Myślicie, że nikt się nie złapał? Przeceniacie ludzi, nawet tych, którzy przychodzą na bezpieczniackie konferencje. Na pięknym grupowym zdjęciu stanęło przeszło 20 osób.
Skoro mowa o fachowcach, nie zabrakło również tematów zdecydowanie niskopoziomowych. "Oj, przydałyby się logi..." - gdybym za każdego admina, który kiedykolwiek powiedział te słowa po włamaniu do jego systemu dostawał złotówkę... Cóż, mógłbym Wam pomachać z Malediwów, czy innego tropikalnego raju :) To trochę tak jak z podziałem na tych, co robią backupy i tych, co będą je robić. Z tą różnicą, że w przypadku analizy logów mamy dość sporą barierę wejścia - zarówno wiedzową, jak i finansową. Z drugiej jednak strony - o czym wspominała zresztą dr Przegalińska - szukamy "one ring to rule them all". Rozwiązanie LOGmanager to po prostu... pudełko. Duży bufor, zależny od zakupionego przez nas rozmiaru (niczym koszulki, od S do XL :) ), parser, engine, proste UI, łatwość programowania (praktycznie tak samo, jak Scratch, którego mój starszy syn uczył się w podstawówce) i przeszło 120 znanych źródeł logów. O takie sprzęty do logów nic nie robiłem :)
"Proszę załącznik jeszcze raz, ten się nie otwiera"
Ciekawy - jak zwykle, to nie jego pierwszy raz na Secure - był wykład Stefana Tanase. Tym razem charyzmatyczny prelegent opowiadał o hakowaniu samochodów. Dzisiejsze auta są niczym sieci biurowe na kółkach (nawet te zwykłe, nie trzeba czekać na autonomiczne). Czasami wystarczy wetknąć pendrive'a ze spreparowanym autorunem, wyłączyć firewall, login i hasło do SSH są dostępne w internecie - dzień dobry, jesteś w systemie. A tam możesz sobie uruchomić GPS (chip i tak jest na płycie, trzeba go tylko uaktywnić) i np. uskuteczniać wardriving po prostu jeżdżąc po mieście. Gorzej, jak ktoś inny wbije się do naszego auta... Ransomware na samochody? W czym problem? Oszukanie przedniego radaru tak, by myślał, że stoi przed nim przeszkoda (i spowodował zatrzymanie auta) to nie są baśnie z mchu i paproci, to już się działo. Czy to oznacza, że do crash testów nowych aut dołączą testy penetracyjne? To wcale nie jest takie głupie, jak mogłoby się wydawać.
Tłumy stawiły się już tradycyjnie na prezentacjach Piotra Koniecznego i Adama Haertle. Kluczowym wnioskiem z prezentacji pierwszego z nich było dla mnie: "Nie ma separacji między służbowym i prywatnym "ja" przy aktywności w sieci". To istotne w działaniach świadomościowych dla zwykłych internautów, czy pracowników firmy. Ucząc ich jak chronić siebie i rodzinę (dzieci, dziadków) tak naprawdę też wzbudzimy w nich świadomość bezpiecznych zachowań. Tylko bez poczucia, że do czegokolwiek ich zmuszamy. Haertle natomiast skupił się na ostatnim ataku "na długi z Kruka", gdzie jednym z celów był... on i jeden z członków jego rodziny. Przestępcy umieścili bowiem w rubryce: "Odpowiedz do:" jego prywatny adres, zaś jako telefon do nadawcy maila widniał numer członka rodziny blogera.
Efekt? Kilka tysięcy prób połączenia telefonicznego i niezliczone maile do Adama. Wśród nich znalazły się prośby o ponowne wysłanie załącznika i obelgi (również te związane z... błędami gramatycznymi). Informacje, że mimo klikania załącznik się nie uruchomił. A także... zapewnienia, że odbiorca już przecież spłacił zaległy dług! W końcówce wydawało się, że prezenterowi nieco puściły nerwy. Głównie ze względu na przynajmniej dziesiątki "życzliwych", sugerujących co należy zrobić z "idiotami, którzy to otwierają". Ciężko się nie zgodzić z prelegentem, że jeśli stawiamy się w roli "fachowca od bezpieczeństwa", sugerowanie ofierze nawet najbardziej prostackiego phishingu, by "strzeliła sobie w łeb" jest średnio profesjonalne.
GRU robi swoje
Gdyby próbować opisać przynajmniej połowę prezentacji z Secure'a, ten tekst byłby przynajmniej 3 razy większy. Warto napomknąć o tym, że przez ostatnie pół roku 53,5 procenta malware'u na Androida wykonywało nadużycia związane z SMSami, 22% to bankery, zaś ransomware to zaledwie 2 malware'y na 100 (Francisco Diaz, VirusTotal). Że 96,03% urządzeń mobilnych w Polsce to Android, 67% urządzeń bez biometrii nie ma bezpiecznej blokady ekranu, zaś w samym 2017 Google usunęło 39 mln potencjalnie szkodliwych aplikacji (!) ze Sklepu Play (Kamil Grondys, Samsung Research Polska). Że rosyjski wywiad wojskowy GRU... no dobra, tu akurat Christy Quinn z Accenture Security iDefense zastrzegł sobie, że nic z prezentacji nie może wyciec. O własnym zdjęciu nie mówił, ale na wszelki wypadek zostawiłem tylko jego kontury ;) Jedno mogę powiedzieć - w kwestii GRU od Security Case Study nic się nie zmieniło.
Marta Krajewska 
Piotr Domański 
Michał Rosiak 
Komentarze
Zobaczymy ile numerów będziemy mieli zablokowanych. Promocja fajna, ale należy pozwolić użytkownikom wykorzystać te prawie 700 minut. Będę śledził Forum NO 🙂
OdpowiedzI znowu z blokadami. To naprawdę rzadkie zjawisko. Ludzie niezablokowani nie piszą na forach, że wszystko działa ?
OdpowiedzBędziemy obserwować na forum 😉 Mam nadzieję, że będzie jak piszesz 🙂
OdpowiedzJuż są pierwsze blokady 😉 Bynajmniej te, z którymi ktoś próbuje walczyć 🙂
OdpowiedzKtoś usuwa komentarze ??
OdpowiedzMałe zamieszanie było. Ale już wszystko na miejscu 😉
OdpowiedzDzięki za sprostowanie 😉
OdpowiedzPiotrze, chciałem wysłać bardzo pilną wiadomość odnośnie inwestycji FTTH na adres e-mail: orangeswiatlowod@orange.com, jednak wasza skrzynka odrzuca mój e-mail z komunikatem: „Skrzynka pocztowa adresata jest pełna i nie może w tej chwili przyjmować wiadomości. Spróbuj wysłać wiadomość ponownie później lub skontaktuj się bezpośrednio z adresatem.” To są jakieś żarty ? 😉 ktoś w ogóle czyta te meile ? Mam ważną sprawę i w sumie nie wiem do kogo się teraz kierować. Czy mogę mieć do ciebie prośbę i jakieś rozwiązanie wobec opisanej sytuacji ? Niby poważna firma, a problemy jak u dziecka które zaczyna swoją przygodę z komputerem … ;/ Z góry dzięki
OdpowiedzPrzesłałem Twoją prośbę do właściwych osób. Nie obsługuje każdej skrzynki w firmie, więc tyle tylko mogę zrobić.
OdpowiedzAle jesteś rzecznikiem i twoim obowiązkiem jest reagować w takich sytuacjach 😉
OdpowiedzDzięki
Akurat Piotr rzecznikiem nie jest i nie jestem pewien czy to jest jego obowiązek. Inna sprawa ze jest niezwykle pomocny i uczynny. ?
OdpowiedzNie jestem rzecznikiem. Ale to akurat jest tutaj najmniejszy problem. Tak jak napisałem, nie zajmuje się także wszystkimi skrzynkami mailowymi w Orange. Napisałem do kolegów, którzy ją prowadzą i poprosiłem o reakcję. Bardzo dziękuję, że dałeś nam znać, że coś nie działa jak powinno.
OdpowiedzWiem, ze Piotrek jest bardzo pomocny co zresztą udowodnił już nie raz 😉
OdpowiedzJa mam zastrzeżenia głównie wobec organizacji pracy w firmie Orange. Miałem wczoraj „przyjemność” rozmawiać z 3 pracownikami Orange i żaden nie był w stanie podać mi adresu kontaktowego e-mail firmy, nie mówiąc już o kwestii światłowodu. Wiem Piotrze, ze nie znasz wszystkich adresów i nie masz kontroli nad wszystkimi procesami, ale dziś naprawdę trudno trafić na kompetentnego pracownika w waszej firmie, który obroniłby się wiedzą. Warto, czasem odsłuchać rozmów konsultantów i zweryfikować na jakim poziomie jest poziom ich merytoryki oraz wiedzy na której operują. Mimo wszystko, dzięki za pomoc. Mam nadzieje, iż uda mi się w końcu z wami skontaktować i wysłać wskazanego meila.
Gdyby firma chciała kontaktować się z klientami przez email, podałaby taki adres email w sekcji Kontakt podpiętej pod stronę www. Obecnie większość skrzynek mailowych dla klientów jest wygaszana. Stąd wniosek, że firma nie chce kontaktować się z klientami w ten sposób – a proponuje inne formy kontaktu.
OdpowiedzJa czekam za tymi nowymi pakietami internetu na kartę dla obecnych klientów, mam nadzieję że jeszcze w tym roku się doczekam.
OdpowiedzPewnie macie za dużo starterów… Nie łaska dać coś więcej, za przeniesienie numeru??? Bo te 2GB są trochę śmieszne przy ofertach play i fakt!… 😛
OdpowiedzCiekawe co dacie na święta dla stałych klientów chodz do świąt długa droga.Promocja fajna szkoda tylko że dla nowych 😉
OdpowiedzNic nie dadzą, pamiętam jak w tamtym roku przerwali tradycję fajnych promocji świątecznych prepaid. Co roku dawali coś fajnego, a w tamtym nie było nic! nie licz zatem na orange w te święta. Mi już faza orange przemija na szczęście jak widzę u konkurencji powiew świeżości i dopasowywanie ofert na bieżąco.
OdpowiedzKonkurs przepis na wakacje z Orange – kiedy podacie wyniki ?Dziękuję za odpowiedź.Pozdrawiam
OdpowiedzTo konkurs na blogu? Nie przypominam sobie takiego… jeżeli nie, napisz proszę w tym miejscu gdzie konkurs widziałeś. Jeżeli nasz to wezmę Geriavit i postaram się sobie przypomnieć.
OdpowiedzWakacje z Orange notka z 10 sierpnia 2018 roku kiedy beda wyniki tego konkursu ? Dziękuję za odpowiedź
OdpowiedzBralem udzial. Przeczytalem regulamin. Nie bylo tam ze wyniki beda podane na blogu.
OdpowiedzCześć, wszystkie informacje możesz zdobyć pisząc maila na adres konkurs@bluemedia.pl lub dzwoniąc na numer 58 7604 822. Sądzę, że to najlepszy pomysł.
OdpowiedzDzięki Piotrze 🙂
OdpowiedzTeż brałem udział, myślę że gdybyśmy coś wygrali to już by do nas dzwonili 🙂 No może doładowanko jeszcze wpaść 🙂
OdpowiedzJuż święta 🙂 Promocja fajna 🙂 Czekamy na prezenty dla stałych klientów. Pewnie nie będą one takie atrakcyjne jak dla świeżaków, ale wtedy operator pewnie by zbankrutował 🙂
OdpowiedzA ja czekam na „cos wystrzalowo tworczego” z 10tka w nazwie. Oj ciekawi taki wpis, ciekawi. I infografika wielka jak stodola. ?
Odpowiedz@mike278 myślisz że będą aż takie fajerwerki??? Ciekawe, jeszcze chwila i się dowiemy 🙂
OdpowiedzCiekawe czy będą duże fajerwerki, czy małe „korsarze” ;p
OdpowiedzProponuje prezent na święta 2000 zł na konto na 30 dni 😀
OdpowiedzI wpis na temat. Promocja w miare. W dobie no limitow od 19 pln (niu,niu,niu ?) taka kwota wyglada ładnie tylko marketingowo. Fajnie że gratis,ale……
OdpowiedzKtoś ma wpływ na pracowników tegoż Orange, zgłoszona usługa poszerzająca ( drugi telewizor) od tygodnia żaden pracownik się nie zgłosił. Zero kontaktu telefonicznego czy też jakiegokolwiek innego. Żenada i poczucie totalnej olewki.
OdpowiedzPani Marta Cieślak-Krajewska!
OdpowiedzNikt jeszcze tego tutaj nie skomentował, więc napiszę. Troszkę zabrakło informacji, że owe 200zł są również dla przenoszących numer! 😀
Tak przynajmniej wskazuje pkt. 1 „Zasady promocji” Regulaminu 😉
SUPER promocja xd … Chyba skuszę się na nowy numerek xD
OdpowiedzMyślę że powinniście pomyśleć nad kontem promocyjnym albo je zlikwidować bo w dobie no limit jest to nie opłacalne chodzi tu o osoby które posiadają pakiety no limit wiadomo także że są osoby które nie korzystają z tych pakietów.Zastanówcie się nad wprowadzeniem czegoś innego co mogłoby zastąpić konto promocyjne…
OdpowiedzJa już nie raz sugerowałem twardogłowym w orange, aby zamiast 10% na konto promocyjne dawać „tylko” 5%, ale żeby to było na wszystkie usługi! Niestety mój pomysł nie może przebrnąć przez niektóre umysły 😉
OdpowiedzDla mnie fajnym prezentem byłoby gdyby Orange przywrócił sprzedaż złotych numerów w Orange na Kartę 🙂 Chętnie bym taki numer przytulił 🙂
OdpowiedzJeszcze niedawno różowy operator oferował startery z tzw. „srebrnymi” numerami; jak poszukasz to może jeszcze gdzieś znajdziesz – później przenosiny do orange i jesteś happy 😉
Odpowiedzhttps://firma.t-mobile.pl/pl/dla-mediow/wiadomosci/-/_a_gdy_nie_mozesz_zapamietac_numeru_spraw_sobie_prosty_numer_w_t-mobile_z_limitowanej_edycji_starterow_dostepnej_w_kioskach_ruch/aid/e9bcbbf437e3d5461d3c730aa7d533a3
Przeniosłem numer do Orange na kartę. Od dnia 07.11.2018 r. Jestem w sieci. Dlaczego po wysłaniu SMS o treści PREZENT na nr 815 otrzymuje komunikat Przepraszamy, nie jestes uprawniony do skorzystania z promocji.
OdpowiedzPozostaje reklamacja 😉
OdpowiedzCo znaczy nowy klient ? Taki, który nigdy nie miał zarejestrowanego startera?
OdpowiedzJaka to fajna promocja obecnie pakiet sms i minuty no limit kosztują około 19 zł miesięcznie a te 200 zł na wygadanie to tak realnie właśnie pakiet darmowych rozmów i smsów nic więcej…jednak brzmi lepiej 200 zł zamiast 19 zł prezentu.
OdpowiedzMAM PYTANIE CZY TE PRAWIE 700 MINUT MOGĘ WYKORZYSTAĆ NP DZWONIĄC DO USA? DZIĘKUJĘ Z GÓRY ZA ODPOWIEDŹ
OdpowiedzNie, nie można.
OdpowiedzDwie stówki to dużo!
Odpowiedz