Митап по информационной безопасности

Программа

 «Как вкатиться в информационную безопасность и не выкатиться», Денис Король, Application Security Analyst

«Я накодиль!», говорит разраб.

«Я сломаль!», говорит хакер.

Чем так насолили кавычки, что случилось с печеньками, что за ручка /dfsvbgbecwdcdsc?a=whoami на моем сайте и почему рендерится «root». Куда содержимое /etc/shadow радостно уехало в виде пдфки?

Актуальные вопросы, на которые нет ответа, если информационная безопасность показалась вам смешной шуткой. Небольшое выступление о том, как и где можно прокачаться в информационной безопасности без нудных лекций и скучных курсов, имея небольшой багаж знаний, умение хоть как-нибудь кодить и большое желание. Речь пойдет в основном о CTF, его видах, сложностях и о том, с чего бы начать.

Также Денис расскажет о других ресурсах, где в более спокойной обстановке и без соревновательных элементов можно познакомиться и попрактиковаться в эксплуатации сетевых и не только уязвимостей.

Денис − старший аналитик в команде Application Security. Специализируется на Black/White box анализе защищенности приложений. До Luxoft занимался расследованиями киберинцидентов и поддержкой статического анализатора кода. Участник CTF-команды, входящей в топ 10 российских команд с 2018 года.

«Prototype pollution: опасен и недооценен. Как найти и обезвредить», Тарлан Курбанов, Senior Application Security Analyst

На примере относительно новой уязвимости Prototype Pollution попробуем понять, как особенности языка программирования JavaScript могу стать причиной возникновения категории уязвимостей в распространенных библиотеках и не только. Рассмотрим возможный вклад, способы поиска и предотвращения.

Тарлан − старший аналитик в команде Application Security. Закончил Санкт-Петербургский политех по специальности информационно-аналитические системы безопасности. В команде Luxoft специализируется на динамическом тестировании и стремительно развивается в области архитектуры приложений. Ранее работал в компании МТС ИТ, где занимался безопасностью контейнеров облачного PaaS и внедрением инструментов безопасности в CI/CD pipeline.