seguridad física - mira mamá, como jason bourne - bugcon 2013
DESCRIPTION
Physical Security Controls ans Assessment TechniquesTRANSCRIPT
![Page 1: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/1.jpg)
1
- SEGURIDAD FISICA -
MIRA MAMA, COMO JASON BOURNE
Alejandro Hernández H. CISSP, GPEN
http://twitter.com/nitr0usmx
http://www.ioactive.comhttp://chatsubo-labs.blogspot.com http://www.brainoverflow.org
![Page 2: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/2.jpg)
Sobre mí…
Consultor de Seguridad Senior de IOActive
10 años involucrado en Seguridad
Rompo cosas
Ah! Y soy CISSP…
2
![Page 3: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/3.jpg)
3
![Page 4: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/4.jpg)
Tabla de Contenidos Esta presentación será un collage de
conceptos, experiencias propias y clips de video
¿Qué proteger físicamente? Controles de seguridad física
comúnmente utilizados Mientras tanto en México… Técnicas de evaluación de seguridad
física (infiltración, ingeniería social cara-a-cara, etc.)
Conceptos interesantes e inusuales
4
![Page 5: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/5.jpg)
INTRO VIDEO CLIP
Jason Bourne - Stealing the Blackbriar Files
5
![Page 6: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/6.jpg)
¿Qué proteger físicamente? Personas Terremotos Ingeniería Social Etc.
Datos e información Documentos impresos (contratos, facturas, etc.) Post-its Etc.
Infraestructura tecnológica Centro de datos Robots en plantas industriales Etc.
6
![Page 7: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/7.jpg)
Controles de seguridad física comúnmente utilizados
7
![Page 8: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/8.jpg)
Controles de seguridad física comúnmente utilizados
8
![Page 9: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/9.jpg)
Controles de seguridad física comúnmente utilizados
9
![Page 10: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/10.jpg)
Mientras tanto en México… Acceso de equipo de cómputo a edificios Bitácora en papel con hora de entrada/salida? Revisión de guardias de seguridad?
Acceso físico “Estampita” de visitante Acceso por estacionamientos? GENTE AMABLE (“Permítame ! Le abro la puerta”) Guardias con sobrepeso o somnolientos
Seguridad de Infraestructura Contraseñas por default (CCTV, puertas de “Alta Seguridad”) Matriz de control de acceso deficiente Puertas de madera…
Etc. Etc. Etc.10
![Page 11: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/11.jpg)
11
BITCH PLEASE !!!
![Page 12: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/12.jpg)
VIDEO CLIP
Jason Bourne - Evacuation Plan
Cierta información puede ser utilizada en tu contra
12
![Page 13: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/13.jpg)
Técnicas de Evaluación Infiltración e Ingeniería Social Creación de gafetes falsos
Banners y colores corporativos en el sitio Web Nombres/No de empleados (Open Source
Intelligence) Mica de papelería = $10.00 pesos
Impresión de hoja de “autorización” Lo mismo de arriba, pero con firma de ‘CEO’ ;-D
Seguridad personal al estar frente al guardia de seguridad (Ingeniería Social y DETERMINACIÓN)
13
![Page 14: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/14.jpg)
Técnicas de Evaluación Infiltración e Ingeniería Social Uno de 2011...
14
![Page 15: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/15.jpg)
15
Técnicas de Evaluación Infiltración e Ingeniería Social Otro de 2008…
![Page 16: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/16.jpg)
Técnicas de Evaluación Piggybacking Cuando una persona se
‘pega’ a otra para pasar ciertos puntos de seguridad, p.e. una puerta sin pasar una tarjeta de acceso
16
![Page 17: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/17.jpg)
Técnicas de Evaluación Lock Picking El arte de abrir manipular
los elementos mecánicos de una cerradura para realizar su apertura sin llave
17
![Page 18: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/18.jpg)
18
IOActive Lock Picking session @ Mt. Baker [Enero 2013]
![Page 19: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/19.jpg)
VIDEO CLIP
Lock Picking 101
Puertas y cajas fuertes también vulnerables
19
![Page 20: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/20.jpg)
VIDEO CLIP
Vina F in Gringo Warrior
Lock Picking y diversión en DEFCON (Gringo Warrior Game)
20
![Page 21: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/21.jpg)
Técnicas de Evaluación Contraseñas por
default A veces se requiere del
software del fabricante (Demo?) para hablar el mismo lenguaje (protocolo)
21
![Page 22: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/22.jpg)
VIDEO CLIP
Spaceballs super password XD
Dispositivos de seguridad física también tienen contraseñas por default
22
![Page 23: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/23.jpg)
VIDEO CLIP
Control de 48 cámaras de Seguridad de un edificio de México DF
DVRs y Cámaras CCTV también tiene contraseñas por default
23
![Page 24: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/24.jpg)
VIDEO CLIP
Acceso a un Centro de Datos de “Alta Seguridad” en México DF utilizando el panel de administración (sin contraseña) del
dispositivo biométrico
La mayoría de dispositivos biométricos están bien diseñados y desarrollados… Pero son mal configurados/implementados.
24
![Page 25: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/25.jpg)
Técnicas de Evaluación Plantas Industriales Separación ‘física’ de redes de datos e industriales Puertos USB (des)habilitados
25
![Page 26: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/26.jpg)
26
![Page 27: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/27.jpg)
27
Jan 15th, 2013 DoD Looking to ‘Jump the Gap’ Into Adversaries’ Closed Networks
Iranian President Mahmoud Ahmadinejad visits the Natanz
uranium enrichment facilities, where a “closed”
computer network was infected by malware introduced via a small flash drive.http://www.defensenews.com/article/20130115/C4ISR01/301150010/DoD-Looking-8216-Jump-Gap-8217-Into-Adversaries-8217-Closed-Networks
![Page 28: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/28.jpg)
28
![Page 29: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/29.jpg)
Conceptos interesantes e inusuales En algún lugar cerca de Toluca… Puertas Antibombas Grandes montículos de arena alrededor (para qué?)
29
![Page 30: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/30.jpg)
Conceptos interesantes e inusuales Urban Exploration Evaluación Ninja Often shortened as urbex or UE. It may also be
referred to as Infiltration, Building Hacking, draining (when exploring drains), urban rock climbing
Exploration of man-made structures, usually abandoned ruins or not usually seen components of the man-made environment
30
![Page 31: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/31.jpg)
Conceptos interesantes e inusuales Urban Exploration
31
![Page 32: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/32.jpg)
Conceptos interesantes e inusuales Urban Exploration En México…
32
![Page 33: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/33.jpg)
Conceptos interesantes e inusuales Urban Exploration http://www.infiltration.org
33
![Page 34: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/34.jpg)
34
![Page 35: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/35.jpg)
Conceptos interesantes e inusuales Conceptos de uno de
los mejores libros que he leído
Críticas sin fundamentos en 3..2..1
35
![Page 36: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/36.jpg)
Conceptos interesantes e inusuales
36
![Page 37: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/37.jpg)
Conceptos interesantes e inusuales
37
![Page 38: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/38.jpg)
Conceptos interesantes e inusuales
38
![Page 39: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/39.jpg)
Conceptos interesantes e inusuales
39
![Page 40: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/40.jpg)
Conceptos interesantes e inusuales
40
Lo he visto muuuuchas veces en México…
![Page 41: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/41.jpg)
Conceptos interesantes e inusuales
41
![Page 42: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/42.jpg)
Agradecimientos
42
BugCON por permitirme estar aquí 5 años consecutivos
Chr1x a.k.a s0n0fg0d ! B33rc0n (hkm, calderpwn, Carlos
Ayala, Daemon, dex) Al t0c4y0 => alt3kx LightOS, beck, crypk3y, nahual,
nediam, Rolman, Sandino, tr3w, bucio, wengyep, moften, Xava, dr_fdisk^, etc. Etc. Etc.e e.t .x,.. .x,
![Page 43: Seguridad Física - Mira Mamá, como Jason Bourne - BugCON 2013](https://reader035.vdocumento.com/reader035/viewer/2022062709/558e93b41a28ab46108b462d/html5/thumbnails/43.jpg)
43
- GRACIAS -Alejandro Hernández H. CISSP, GPEN
http://twitter.com/nitr0usmx
http://www.ioactive.comhttp://chatsubo-labs.blogspot.com http://www.brainoverflow.org