8/31/20

ATTPwn En El Red Team Village De DefCon 28 Safemode & 8Dot8 Las Vegas

Ya hemos hablado bastante de ATTPwn en este blog. Es el resultado del estudio y análisis que hemos ido haciendo en estos últimos meses de la matriz ATT&CK de MITRE. Una forma de ordenar el conocimiento de las amenazas, a través del uso de tácticas, técnicas y procedimientos. En el mes de agosto hemos estado participando en diferentes eventos gracias al trabajo realizado con ATTPwn, el cual ha dado como resultado la herramienta colaborativa que tenéis en el Github de ElevenPaths.

Figura 1: ATTPwn en el Red Team Village de DefCon 28 Safemode & 8dot8 Las Vegas

Como comentamos en BlackHat, ante algunas preguntas, seguimos actualizando y metiendo funcionalidades la herramienta. Es un esfuerzo importante, ya que la herramienta tiene un gran recorrido y muchas posibilidades a realizar. Es más, pensamos en una API, en un GameScore, en añadir mayor conocimiento y en facilitar la inclusión de la implementación de cualquier usuario dentro de la herramienta. No es un proyecto que nace y muere en breve, es un proyecto para seguir creciendo y sumando. Además, cualquier ayuda en forma de colaboración será bienvenida.

Figura 2: ATTPwn en GitHub
  
El sábado, 8 de agosto, nos tocaba participar en DefCon en un horario muy matutino. Eran las 6:20 de la madrugada hora España y Fran Ramírez y yo estábamos delante del ordenador para poder exponer la conferencia en el Red Team Village. En el horario de Las Vegas, la charla era a las 22.00, por lo que nos tocaba esperar hasta las 7.00 de la mañana, hora España. Sea como sea, encantados de poder estar en uno de los grandes eventos.


Unos días antes estuvimos haciendo pequeños cambios en la herramienta. Por ejemplo, el fichero data.py sufrió algún cambio para evitar que implementaciones futuras de técnicas que estaban en un plan de una amenaza "crasheasen" la ejecución de la amenaza, precisamente por no tener la implementación indicada. 

Como digo es un proyecto vivo en el que seguimos añadiendo funcionalidades e implementaciones cuando podemos, por lo que en algunas ocasiones podemos definir el plan de una amenaza con las técnicas mapeadas del MITRE y no disponer de ningún tipo de implementación todavía.  Alguna idea como integrar Red Atomic en ATTPwn o dar la posibilidad de utilizar ciertas funcionalidades de Atomic Red en ATTPwn pueden ayudar a paliar esto que os comentaba y, por supuesto, enriquecería el proyecto con un marco de trabajo muy interesante, como es el proyecto Atomic Red.

Figura 4: Proyecto Atomic Red

Hace tiempo, ya comenté que hablaríamos algún día de este proyecto en profundidad, porque es algo muy interesante. Esos ficheros YAML y las posibilidades de integración que ofrecen son dignos de estudio. Hasta aquí os puedo leer.


Eso sí, la importancia de crear inteligencia de amenazas mapeadas con la matriz de ATT&CK tiene su importancia, tanto para un Red Team como para un Blue Team. La idea final es que lances esto sobre un activo para verificar que tus controles, es decir, tu inversión en seguridad, funcionan correctamente, es decir, son eficientes y eficaces. 

Defcon 20 Safemode & 8dot8 Las Vegas

Ahora, os dejamos el vídeo de la charla del Red Team Village de DefCon en inglés, en el que podéis ver cómo se adapta el proyecto a la matriz de ATT&CK, la arquitectura de la herramienta, diferentes casos de uso y cómo se puede colaborar con el proyecto, ya que éste último punto es el más importante, desde mi punto de vista. 

Figura 6: ATTPwn en DefCON 28 Safemode Red Team Village

Pronto terminaremos de volver de vacaciones, unas vacaciones merecidas tras este extraño año que nos ha tocado vivir, pero del que seguro podemos sacar lecturas positivas. Al menos, tenemos que hacer ese ejercicio. Cuando parece que todo se acaba, podremos sacar algo positivo y saldremos con más fuerza.

Figura 7: ATPwn en 8dot8 Las Vegas en español

Tras pasar por BlackHat USA y DefCon, nuestro amigo y compañero Gabriel Bergel (CSA de ElevenPaths) nos invitó a asistir a 8dot8 LasVegas. Esta edición especial de la 8dot8 se suele celebrar en una suite del Flamingo en LasVegas, pero en esta ocasión tocó hacerla online. Es una edición para ponentes hispanoamericanos que presentan en BlackHat o en DefCon. Siempre es un placer poder estar con Ragnar y el enorme equipo de 8dot8. 

Saludos,

Autor: Pablo González Pérez (@pablogonzalezpe), escritor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advanced Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root",  "Pentesting con Powershell", "Pentesting con Kali Silver Edition" y de "Empire: Hacking Avanzado en el Red Team", Microsoft MVP en Seguridad y Security Researcher en el equipo de "Ideas Locas" de la unidad CDCO de Telefónica.  Para consultas puedes usar el Buzón Público para contactar con Pablo González

Figura 8: Contactar con Pablo González

Sigue Un informático en el lado del mal RSS 0xWord

This article is the property of Tenochtitlan Offensive Security. Verlo Completo --> https://tenochtitlan-sec.blogspot.com

Related news


Posted by at No comments:

How To Start | How To Become An Ethical Hacker

Are you tired of reading endless news stories about ethical hacking and not really knowing what that means? Let's change that!
This Post is for the people that:

  • Have No Experience With Cybersecurity (Ethical Hacking)
  • Have Limited Experience.
  • Those That Just Can't Get A Break


OK, let's dive into the post and suggest some ways that you can get ahead in Cybersecurity.
I receive many messages on how to become a hacker. "I'm a beginner in hacking, how should I start?" or "I want to be able to hack my friend's Facebook account" are some of the more frequent queries. Hacking is a skill. And you must remember that if you want to learn hacking solely for the fun of hacking into your friend's Facebook account or email, things will not work out for you. You should decide to learn hacking because of your fascination for technology and your desire to be an expert in computer systems. Its time to change the color of your hat 😀

 I've had my good share of Hats. Black, white or sometimes a blackish shade of grey. The darker it gets, the more fun you have.

If you have no experience don't worry. We ALL had to start somewhere, and we ALL needed help to get where we are today. No one is an island and no one is born with all the necessary skills. Period.OK, so you have zero experience and limited skills…my advice in this instance is that you teach yourself some absolute fundamentals.
Let's get this party started.
  •  What is hacking?
Hacking is identifying weakness and vulnerabilities of some system and gaining access with it.
Hacker gets unauthorized access by targeting system while ethical hacker have an official permission in a lawful and legitimate manner to assess the security posture of a target system(s)

 There's some types of hackers, a bit of "terminology".
White hat — ethical hacker.
Black hat — classical hacker, get unauthorized access.
Grey hat — person who gets unauthorized access but reveals the weaknesses to the company.
Script kiddie — person with no technical skills just used pre-made tools.
Hacktivist — person who hacks for some idea and leaves some messages. For example strike against copyright.
  •  Skills required to become ethical hacker.
  1. Curosity anf exploration
  2. Operating System
  3. Fundamentals of Networking
*Note this sites





Related word


Posted by at No comments:

8/30/20

$$$ Bug Bounty $$$

What is Bug Bounty ?



A bug bounty program, also called a vulnerability rewards program (VRP), is a crowdsourcing initiative that rewards individuals for discovering and reporting software bugs. Bug bounty programs are often initiated to supplement internal code audits and penetration tests as part of an organization's vulnerability management strategy.




Many software vendors and websites run bug bounty programs, paying out cash rewards to software security researchers and white hat hackers who report software vulnerabilities that have the potential to be exploited. Bug reports must document enough information for for the organization offering the bounty to be able to reproduce the vulnerability. Typically, payment amounts are commensurate with the size of the organization, the difficulty in hacking the system and how much impact on users a bug might have.


Mozilla paid out a $3,000 flat rate bounty for bugs that fit its criteria, while Facebook has given out as much as $20,000 for a single bug report. Google paid Chrome operating system bug reporters a combined $700,000 in 2012 and Microsoft paid UK researcher James Forshaw $100,000 for an attack vulnerability in Windows 8.1.  In 2016, Apple announced rewards that max out at $200,000 for a flaw in the iOS secure boot firmware components and up to $50,000 for execution of arbitrary code with kernel privileges or unauthorized iCloud access.


While the use of ethical hackers to find bugs can be very effective, such programs can also be controversial. To limit potential risk, some organizations are offering closed bug bounty programs that require an invitation. Apple, for example, has limited bug bounty participation to few dozen researchers.
Related word
Posted by at No comments:
Subscribe to: Posts (Atom)

Blog Archive