IX Congreso OWASP sobre ciberseguridad en Barcelona

Open Web Application Security Project (OWASP) organiza conferencias, abiertas y gratuitas, previo registro que reúnen desde 2006 a los profesionales del sector de la seguridad de nuestro país y se han consolidado como un evento de referencia sobre seguridad en el software.

El Proyecto Abierto por la Seguridad de las Aplicaciones Web (OWASP) es una organización internacional que nació en 2001 y hoy tiene más de 1.500 miembros, repartidos en 300 capítulos locales. Uno de ellos es el Capítulo Español, creado por el experto en seguridad informática Vicente Aguilera en 2005.


La Salle Campus Barcelona-URL acogerá el IX Congreso OWASP sobre ciberseguridad el próximo 12 de Junio. Las conferencias, que empezarán a las 10h y tendrán lugar en el Auditorio del edificio de Arquitectura, serán presentadas por Jaume Abella Fuentes, Coordinador del Máster de Ciberseguridad de La Salle-URL y Vicente Aguilera Díaz, presidente de OWASP y Socio y Director de departamento de Auditoría en Internet Security Auditors.

IX Congreso OWASP sobre ciberseguridad en Barcelona

El marco central de la jornada será el de proporcionar una visión panorámica sobre la seguridad en el ciberespacio. Para ello, contará con la presencia de ponentes del sector que aportarán estrategias y líneas de defensa para agudizar la seguridad en el desarrollo web. Se mostrarán las mejores herramientas y procesos para un desarrollo rápido y seguro de aplicaciones, para poder evitar potenciales filtraciones de datos. Además, las prácticas de despliegue continuo y DevOps están revolucionando, cada vez más, el proceso de desarrollo, por eso también se propondrán métodos para automatizar las pruebas de seguridad que encajen en estas prácticas sin interrumpir el proceso.

Por último, se expondrán los detalles más significativos de los últimos ataques APT que han salido a la luz, las lecciones aprendidas de cada uno de ellos y un ecosistema para la defensa de estos tipos de ataques a grandes organizaciones.

Barcelona, 12 de junio de 2015

AGENDA de la jornada:

	09:00h - 09:55h	Registro de asistentes
	10:00h - 10:05h	Bienvenida Jaume Abella Fuentes. - Twitter: @JaumeAbella. Coordinador del Máster de Ciberseguridad. La Salle Campus Barcelona.
	10:05h - 10:15h	Introducción a la jornada Vicente Aguilera Díaz. vicenteaguileradiaz.com - Twitter: @VAguileraDiaz. OWASP Spain Chapter Leader. Socio y Director Dpto. Auditoría en Internet Security Auditors.
	10:15h - 11:15h	Cat-and-Mouse Game with Sucuri's Web Application Firewall Ashar Javed. - Twitter: @soaj1664ashar. Pentester. Hyundai AutoEver Europe GmbH. In this talk, I will share a story of my encounter with Sucuri's Web Application Firewall (WAF) i.e., CloudProxy. CloudProxy is a cloud-based protection system against common web attacks like XSS, SQLi and RFI etc and at the time of writing, 8K+ websites are using it. In this talk, I will show how I was able to bypass their XSS protection 35 times and made 8K+ websites vulnerable. All bypasses were responsibly reported to the vendor and were fixed immediately.
	11:15h - 11:45h	Estableciendo las tres líneas de defensa en proyectos web Marc Muntañá Vergés. Responsable de Seguridad. Mutua Universal. De forma habitual, la seguridad en el desarrollo web se delega en la pericia o conocimientos de seguridad del desarrollador, obviando la identificación de requisitos de seguridad y la ejecución de pruebas de seguridad sobre la globalidad del proyecto. Por otro lado, la figura del desarrollador a menudo no ha recibido la adecuada formación en materia de seguridad para implantarla de forma efectiva en su codificación. La ponencia traslada la estrategia de las tres líneas de defensa, muy habitual en términos de auditoría y gestión de riesgos corporativos, a una propuesta metodológica de cómo abordar los proyectos y aplicaciones web implicando todos los stakeholders implicados en su securización y validación de esta.
	11:45h - 12:45h	Desarrollo Rápido y Seguro de Aplicaciones. ¿Es posible tener las dos cosas? Fabio Cerullo. - Twitter: @fcerullo. CEO y Fundador de Cycubix. Los ciclos de desarrollo cada vez mas rápidos y la falta de evaluaciones integrales de seguridad están exponiendo a las organizaciones a potenciales filtraciones de datos a través de sus propias aplicaciones. Fabio Cerullo, Director de Cycubix, nos mostrará cuales son las herramientas y procesos que ayudan a las organizaciones a construir aplicaciones seguras cumpliendo con normativas vigentes y alineándose a los requerimientos de negocio.
	14:45h - 15:45h	Pruebas de seguridad contínuas para DevOps Stephen De Vries. - Twitter: @stephendv. Chief Technology Officer. Continuum Security. Las prácticas de despliegue contínuo (CD) y DevOps están revolucionando el proceso de desarrollo y de negocio. Las prácticas de seguridad y, sobre todo, las pruebas de seguridad, tendrán que adaptarse a este nuevo mundo. Durante este charla se proponen unos métodos para automatizar las pruebas de seguridad para que encajan en un proceso de despliegue contínu sin interrumpir el proceso. La presentación incluirá los siguientes aspectos: Introducción breve a DevOps y Despliegue Contínuo Los retos para automatizar pruebas de seguridad El marco de pruebas BDD-Security en tres pasos Integración con Jenkins Límites de automatización
	15:45 - 16:45h	Abuse Cases – from scratch to the hack Miguel Ángel Hernández Ruíz. - Twitter: @miguelangelher Security Specialist. Sopra Group. Firstly this talk offers the motivations on why it is necessary a mechanism to detect possible business logic flaws. After that, the next slides present a short story about a developer and a hacker and how the last one is able to find out vulnerabilities even when all security bugs have apparently been fixed. Using the lessons learnt from the previous story, a summary on what we are exactly looking for is performed, introducing the abuse case concept and performing a comparison between use cases and abuse cases. In fourth place the main point of the conference is introduced. A methodological approach to an abuse cases solution is presented as the way to properly drive the business logic vulnerabilities detection. The subsequent slides present how to apply the explained approach to a real scenario regarding the application involved in the hackers’ story previously mentioned. A live approach to the application is performed in the first part of this section and a live hack of the business logic is shown at the end. Finally, the most important challenges to face and the most relevant benefits of using abuse cases as a testing tool are offered.
	16:45h - 17:45h	APT, Ataque y defensa en entorno hostil Marc Rivero López. - Twitter: @Seifreed Senior eCrime. Deloitte. La conferencia explicará los útimos ataques APT que han salido a la luz. Se mostrarán los detalles más significativos y las lecciones aprendidas en cada uno de ellos. Se mostrarán también patrones en común usados por los diferentes actores de los APT’s. Por último, se mostrará un ecosistema para la defensa de estos tipos de ataques a grandes corporaciones.
	17:45h - 18:15h	Mesa redonda (ponentes e invitados) .

LOCALIZACIÓN de la sala de conferencias:

Auditori Edifici Arquitectura - La Salle Campus Barcelona
C. Sant Joan de La Salle, 42
Barcelona

Ver ubicación en Google Maps.

Eventos Pasados OWASPen España

• VIII OWASP Spain Chapter Meeting: 13 de junio de 2014
• OWASP EU Tour 2013 Barcelona: 14 de junio de 2013
• VII OWASP Spain Chapter Meeting: 15 de abril de 2011
• VI OWASP Spain Chapter Meeting: 18 de junio de 2010
• V OWASP Spain Chapter Meeting: 15 de mayo de 2009
• IV OWASP Spain Chapter Meeting: 21 de noviembre de 2008
• III OWASP Spain Chapter Meeting: 14 de marzo de 2008
• II OWASP Spain Chapter Meeting: 6 de julio de 2007
• I OWASP Spain Chapter Meeting: 16 de junio de 2006

 
https://www.owasp.org/index.php/Spain/Meetings