Latest / Entre Chaves / Nenhum humano consegue fazer isso sem uma IA

Transcript

Nenhum humano consegue fazer isso sem uma IA · Entre Chaves

• 0:00
  Complementando esse assunto que a gente estava comentando sobre
• 0:02
  não ter feito nada novo, mas utilizar uma capacidade muito
• 0:06
  grande para combinar muita coisa que existe é para quem não
• 0:09
  acompanhou. Uma das coisas que a reggae fez
• 0:11
  para conseguir identificar o ataque e tal foi olhar o
• 0:14
  registro de log deles e eles acharam nesse período de, né?
• 0:19
  De menos de 4 dias, de de 9 a 13 de de de julho, é 17600 entradas
• 0:27
  de log. De pedir ações do chat aí, do
• 0:30
  do, do, do modelo lá dentro. E aí, o que que acontece se a
• 0:34
  gente colocar isso aí em menos de 4 dias?
• 0:36
  Isso dá uma ação diferente, ininterruptamente por 96 horas a
• 0:43
  cada menos de 20 segundos. Então é o seguinte, quantas
• 0:47
  pessoas a gente teria que ter trabalhando ao mesmo tempo pra
• 0:51
  conseguir gerar? 17600 ações no intervalo de 4
• 0:57
  dias. Você pega o modelo que já, né?
• 0:59
  Que que consegue não só ter uma visibilidade de de, de qual, de
• 1:04
  basicamente tudo que já foi feito.
• 1:06
  E porque mesmo que você é junto de um time grande e vai
• 1:08
  conseguir fazer um ataque massivo, qual a chance daquelas
• 1:11
  pessoas que estão olhando seu time realmente conhecerem todos
• 1:14
  os métodos conseguirem? Partilhar todas as informações o
• 1:17
  tempo inteiro, né? Tem tem uma comunicação de ponto
• 1:20
  onde? No exato segundo em que você
• 1:22
  encontrou algo que às vezes nem é uma vulnerabilidade, é só uma
• 1:24
  informação, eu automaticamente já sei dessa informação também,
• 1:28
  né? Então, assim, se a gente
• 1:29
  colocasse em tempos de hora de trabalho, seria um pentester
• 1:33
  fazendo 9.2 ações por minuto, o que a gente sabe que é
• 1:37
  impossível, né? Mesmo que você tivesse 9
• 1:41
  pentesters, né? Todos eles focados nesse
• 1:43
  assunto, seria uma ação por minuto, o que ainda assim não
• 1:46
  tem como. Você não escreve, raciocina, vê
• 1:49
  a resposta, já digita outra linha e não cansa?
• 1:53
  Não tem a performance que você não cansa sua cabeça, você não
• 1:56
  levanta pra ir no banheiro, você não levanta pra pra tomar um
• 1:58
  café e. Você não para nem pra comunicar,
• 2:00
  né? Mesmo que você tivesse 9
• 2:02
  pessoas, uma por minuto, é completamente impossível.
• 2:06
  Então é como se a gente tivesse vendo um time gigantesco, uma
• 2:10
  empresa inteira como comunicação de ponta, extremamente
• 2:14
  consolidada. Diluindo o pentece ali em suas
• 2:17
  áreas e vários dezenas, talvez centenas de funcionários
• 2:21
  simultaneamente, aplicando esses ataques.
• 2:23
  E aí a história, né? Água, água mole em Pedra dura. 1
• 2:26
  hora acha vulnerabilidade, né? E 1 hora escapa da Cindy.
• 2:30
  Boxe? Mas eu queria pisar no calo dos
• 2:32
  CES. Agora, depois dessa, dessa
• 2:34
  discussão, é. Porque teoricamente?
• 2:38
  O objetivo? É inicial dela.
• 2:40
  Não foi cumprido, né? Eu IA falar isso agora.
• 2:42
  Eu não entendi. Assim, beleza, discutimos.
• 2:45
  Olha, deu pra entender, ela achou 10 day dentro da do modelo
• 2:48
  de 100 de box, né? Dentro do do ambiente de 100
• 2:50
  debox que ela estava sendo executada, ela sai desse modelo,
• 2:54
  né? E ela consegue acesso a outros
• 2:56
  lugares pra internet. E o rugging face.
• 2:59
  Que que o rugging face tem a ver com isso?
• 3:02
  É aí que tá, né? De acordo com o que a gente tem
• 3:05
  visto até o momento, né? Inicialmente ela realmente saiu
• 3:08
  pra procurar o gabarito dela, né?
• 3:10
  Eu tava ali com o exame. E não conseguiu encontrar ela.
• 3:13
  Falou assim, o que ela fez? O zero day dela não era parte da
• 3:18
  exploração. Ela fez aquilo para contornar a
• 3:21
  exploração e procurar o. Gabarito, exatamente.
• 3:24
  Total na prova, né? Aí ela tentou roubar,
• 3:26
  basicamente já tentou colar na. Prova é verdade, mas eu ainda
• 3:29
  daria total como professor Cyber segurança, se um aluno invade
• 3:32
  meu sistema e minha prova tá aprovado?
• 3:34
  E através disso, ela conseguiu tentar fazer qualquer trilha,
• 3:38
  né? Por exemplo, a primeira parte,
• 3:39
  né? Realmente conseguir acesso à
• 3:40
  internet. Sai ali da infraestrutura da
• 3:43
  opnae, né? Aí depois ela começou a tentar
• 3:46
  encontrar coisas relacionadas ao seu próprio desafio, né, que é
• 3:49
  do cybertin aí a partir disso ela conseguiu alguns pontos, né?
• 3:52
  Por exemplo, uma API expossa publicamente, né?
• 3:55
  É do próprio cyberdin, né, mantido ali pela modal.
• 3:58
  Aí que ela que que ela teve a ideia, né?
• 4:00
  E falou assim, bom, pode tentar encontrar lá, né?
• 4:03
  Aí através disso ela conseguiu basicamente a Shell desse dessa
• 4:07
  máquina, né, desse sandbox, né? E a partir disso ela procurou,
• 4:11
  procurou, falou assim, pô, não tem nada aqui, poxa, aí aí
• 4:15
  colocou, falou assim, agora vamos olhar o hangpace, né?
• 4:17
  Que é basicamente o nosso GitHub de e a sabe que é?
• 4:21
  É comum aí basicamente pra esse tipo de análise e provavelmente
• 4:25
  teria por inferência dela ali, né?
• 4:27
  Teria o resultado do nosso querido gabarito.
• 4:29
  Aí sim, ela começou a explorar.