[ITA] Di ritorno da HackInBo Spring Edition 2017

[ Video del mio intervento ]

Il 6 e 7 Maggio ho partecipato come relatore alla Spring Edition di HackInBo e per me sono stati tre giorni molto molto intensi e carichi di emozioni.

Prima di tutto orgogliosamente abbiamo raccolto 1700€ per i progetti della Onlus “Non Basta un Sorriso“; questo è il vero successo di questa edizione (il target prefissato era di 1200€). Kudos a Gianluca Varisco che si è trasformato in chierichetto acaro e ha raccolto le offerte da tutta la platea (quasi 500 persone). Bravi tutti!!!!

Poi i necessari ringraziamenti a Mario Anglani, instancabile organizzatore, e a tutti i ragazzi dell’organizzazione (povero Riccardo che mi ha sopportato più degli altri). Questa volta il gadget per i partecipanti era una bottiglia di birra al miele (e coordinato boccale) prodotta dal birrificio Valsusa in collaborazione con la Onlus Educatamente. Per tutti i partecipanti poi a disposizione uno stand per degustare la suddetta birra gratuitamente.

Le slides del mio intervento “L’evoluzione del SOC di un’infrastruttura critica” sono state pubblicate insieme a quelle di tutti gli altri relatori sul sito di HackInBo e le riporto anche qui di seguito.

Insieme a me hanno presentato in rigoroso ordine di apparizione 🙂

• Valerio Costamagna che ci ha parlato di tecniche di analisi automatica e semi automatica del codice con Joern, contestualizzando il tutto ad Android e portando esempi pratici che hanno ben chiarito i vantaggi ed i limiti di questo tipo di analisi. Valerio poi domenica ha tenuto il lab su questi temi;
• Roberto Clapis ci ha portato nel mondo di Go, linguaggio che non conosco, dimostrando una conoscenza ed un livello di approfondimento incredibile. Roberto ha letteralmente spacchettato le Goroutines dimostrandone i limiti e le inefficienze ma proponendo poi soluzioni e pratiche di buona programmazione;
• il post-pranzo si è aperto con Andrea Pierini e Giuseppe Trotta che hanno illustrato un caso reale di pentest che li ha portati a scalare dal cellulare della segretaria in rete guest fino al golden ticket AD. Well done! La cosa che mi è piaciuta è stato l’approccio KISS (Keep It Simple Stupid), ovvero hanno volutamente utilizzato tecniche molto “semplici”;
•  Michele Spagnuolo – il nostro Googleman – ci ha parlato di perché l’approccio CSP (Content Security Policy), usato per mitigare su web le XSS, è intrinsecamente bacato e come può essere facilmente bypassato. Ovviamente anche in questo caso ci ha fatto vedere la soluzione implementata per evitare questi problemi ed oggi Google usa queste tecniche sui alcuni dei suoi prodotti di punta (Gmail, Docs etc);
• ha chiuso la giornata il mitico Andrea Draghetti che oltre ad informarci che per più di qualcuno il phishing è un problema alle vie urinarie 🙂 ci ha fatto vedere varie tecniche usate dai phishers. Anche Andrea il giorno seguente ha tenuto il lab.

Il tutto moderato in maniera impeccabile e con fermezza 🙂 da Yvette Agostini, compresa la tavola rotonda finale con il prof. Giovanni Ziccardi ed Alessio Pennasilico.

Anche io la domenica ho tenuto il lab dal titolo “Make your own SOC application” e spero di essere riuscito a rendere più chiaro ai partecipanti il metodo e l’approccio che ENAV ha seguito nella costruzione del proprio SOC. Purtroppo non sono riuscito a fare tutto quello che avrei voluto ma mi ripropongo nei prossimi giorni di rimettere in ordine le idee e creare un repo github su cui caricare il codice, anche quello che non sono riuscito a far vedere.

Tirando le somme questa mia prima esperienza col mondo acaro (per dirla alla Naif) è stata entusiasmante e sconvolgente allo stesso tempo. Ho conosciuto tantissime persone incredibili, preparatissime da un punto di vista tecnico ed incredibili dal punto di vista umano; ho imparato tanto, tantissimo confrontandomi sempre con gente che ne sa e ne sa davvero.

Che ficata!!!