О конференции
Программа
Активности
Пресс-центр
info@offzone.moscow

Расписание

25–26 августа 2022 г.

25 августа

25 августа
11:00–11:10
Открытие
Track 1
Русский
25 августа
11:00–11:45
IP‑камера Dahua. Как посмотреть, где почесать?
DC&HW.Zone
Русский
Юрий расскажет про практическое исследование безопасности IP‑камеры известного вендора. В ходе доклада он рассмотрит криптографические алгоритмы, применяемые производителем для защиты прошивки...
Юрий Васин

Исследователь безопасности, Raccoon Security

Видео Презентация
25 августа
11:10–12:00
Заметки путешественника между мирами: ИБ, ИТ
Track 1
Русский
На данный момент большинство крупных и средних компаний, вне зависимости от отрасли, перешагнуло в понимании ИТ за рамки наличия только внутренней инфраструктуры. Собственная разработка...
Дмитрий Евдокимов

Основатель и технический директор, Luntry

Видео Презентация
25 августа
11:50–12:30
Превращаем обычный SSD‑диск в два с помощью реверс‑инжиниринга
DC&HW.Zone
Русский
Никита рассмотрит процесс реверса прошивки адаптера NVMe‑to‑USB и продемонстрирует процесс организации dual‑boot-загрузки ноутбука с помощью модифицированного адаптера...
Никита Фирсов

Исследователь безопасности, Raccoon Security

Видео Презентация
25 августа
12:00–13:00
pypi.sos() — Исследуем репозиторий опенсорс‑проектов на трояны
Track 1
Русский
Каждый месяц появляются новости о том, что в репозиториях PyPI, npm, RubyGems выявляются и удаляются вредоносные пакеты, крадущие AWS‑токены, данные платежных карт, браузерные пароли и другую чувствительную...
Станислав Раковский

Специалист отдела исследования угроз, Positive Technologies Expert Security Center (PT ESC)

Видео Презентация
25 августа
12:00–13:00
Безопасность банкоматов для «самых маленьких»
Finance.Zone
Русский
Доклад посвящен анализу защищенности АТМ, начиная с самых простых и распространенных кейсов. Максим приведет примеры из жизни, к чему может привести отсутствие обеспечения должной безопасности...
Максим Костиков

Заместитель руководителя отдела анализа защищенности приложений, Positive Technologies

Видео Презентация
25 августа
12:00–13:00
Коварный мир open‑source глазами разработчика и пользователя
AppSec.Zone
Русский
Мы все используем open‑source и радуемся разнообразию, гибкости и функциональности созданных для нас программ с открытым кодом. Обратная сторона этих свойств — возможность совершить ошибку...
Михаил Маркевич

Консультант по безопасности

Презентация
25 августа
12:00–20:00
Эксплуатация ядра Linux
Воркшоп
Русский
На мероприятии ты сможешь разобраться в базовых вопросах эксплуатации ядра Linux. Воркшоп включает серию практических занятий, где ты изучишь эксплуатацию ошибок ядра в современных дистрибутивах Linux...
Андрей Коновалов

Исследователь безопасности

25 августа
12:30–13:15
Устройство файла прошивки AMD PSP UEFI
DC&HW.Zone
Русский
В процессе стажировки Summ3r 0f h4ck в Digital Security Георгий выбрал тему ресерча AMD PSP и написание дампера файлов PEI‑фазы. Учитывая нехватку материала по этой тематике в интернете на любом языке, спикер...
Георгий Зайцев

kks

Видео Презентация
25 августа
13:00–14:00
Mobile (Fail)rensics
Track 1
Русский
В докладе рассматривается задача получения доступа к защищенным данным, хранящимся на мобильных устройствах, в контексте криминалистической экспертизы в случае отсутствия пароля...
Георгий Хоруженко

Независимый исследователь ИБ

Видео Презентация
25 августа
13:00–14:00
Безопасность Android в POS‑терминалах
Finance.Zone
Русский
В докладе Евгений расскажет о фактической ситуации на рынке и продемонстрирует взлом пяти самых популярных POS‑терминалов...
Евгений Коцарев

Тимлид команды «Эвотор ОС», ООО «Эвотор»

Видео
25 августа
13:00–14:00
CTF в банке. Взломай систему — получи ca$h
AppSec.Zone
Русский
Турнир по информационной безопасности в формате CTF — элемент программы обучения принципам безопасного проектирования и программирования информационных систем. CTF позволяет на практике...
Николай Клендар

Начальник управления информационной безопасности, «Хоум Кредит Банк»

Видео Презентация
25 августа
13:00–14:30
Релиз платформы BI.ZONE Bug Bounty
Press.Zone
Русский
Команда BI.ZONE продемонстрирует интерфейс платформы, расскажет о том, для каких компаний предназначен продукт, а также объяснит, как будет выглядеть процесс получения вознаграждений для багхантеров...
25 августа
13:30–14:45
Сryptocurrencies and Privacy Аspects
DC&HW.Zone
Русский
У стен есть уши, а у домов — глаза. Доклад посвящен теме приватности и анонимности криптовалют. Новичкам будет полезно узнать о принципах работы блокчейна, а продвинутым юзерам — больше...
Curiv

Основатель DC7342

Видео
25 августа
14:00–15:00
Безопасность Kubernetes: Фаза Deception
Track 1
Русский
Фаза deception в организации безопасности информационных систем часто незаслуженно остается без внимания. Притом что она позволяет спровоцировать злоумышленника, проникающего в вашу систему...
Дмитрий Евдокимов

Основатель и технический директор, Luntry

Видео Презентация
25 августа
14:00–15:00
Уязвимости платежных приложений
Finance.Zone
Русский
Спикеры расскажут об опыте тестирования платежных приложений и об интересных уязвимостях, с которыми сталкивались в реальных проектах...
Антон Остроконский

Руководитель исследовательской лаборатории, Deiteriy

Денис Деревцов

Пентестер, Deiteriy

Видео Презентация
25 августа
14:00–15:00
Как Privacy Sandbox веб сломал, но обещал починить
AppSec.Zone
Русский
Денис приглашает поговорить о Privacy Sandbox: какие проблемы пытаются с его помощью решить, а какие в итоге создают отказом от third‑party cookie. А еще обсудить предлагаемые технологии FPS, CHIPS, FedCM и другие...
Денис Рыбин

Head of AppSec Mail.ru, VK

Видео Презентация
25 августа
14:45–15:45
Investigating cryptocurrency
DC&HW.Zone
Русский
Gospodin Sobaka

NDA

25 августа
15:00–16:00
Fork‑бомба для Flutter
Track 1
Русский
На проектах по анализу защищенности или в программах bug bounty можно встретить приложения Flutter. Чаще всего такие активы просто пропускаются из‑за отсутствия методологий и способов обратного...
Филипп Никифоров

Специалист отдела анализа мобильных приложений, Positive Technologies

Видео Презентация
25 августа
15:00–16:00
Крафтовый антифишинг от «Тинькофф»
Finance.Zone
Русский
Павел расскажет, как в «Тинькофф» была реализована собственная система проверки сотрудников на стойкость к фишинговым атакам...
Павел Жерелин

Руководитель группы инфраструктурной безопасности, «Тинькофф»

Видео Презентация
25 августа
15:00–16:00
Токены для поиска секретов, или SAST на минималках
AppSec.Zone
Русский
Поиск секретов в кодобазе — неотъемлемый процесс любого зрелого SDLC. Этот доклад — о подходе Avito к поиску секретов в коде и Docker‑образах...
Николай Хечумов

Инженер по безопасности, Avito

Видео Презентация
25 августа
16:00–17:00
Как справляться с плохими пентестами, когда ты плохой пентестер
Track 1
Русский
История одного плохого пентеста, которая учит нас тому, что даже с абсолютно безвыходной ситуацией можно справиться, если хорошо подумать и верить в себя...
Павел Топорков

Независимый исследователь ИБ

Видео Презентация
25 августа
16:00–17:00
Управление корпоративными криптовалютными кошельками
Finance.Zone
Русский
В данный момент наблюдается тенденция в сторону возможного использования криптовалют на корпоративном уровне. Валерий расскажет, как не допустить больших ошибок при таком внедрении. В докладе...
Валерий Тюхменев

Специалист по тестированию приложений, Exness

Презентация
25 августа
16:00–17:00
Open-source SAST на максималках
AppSec.Zone
Русский
В докладе спикер рассмотрит SAST Semgrep и его интеграции в CI/CD. Разберет основы написания собственных правил сканирования...
Александр Герасимов

Основатель Awillix

Видео Презентация
25 августа
16:00–17:00
Anti-Panopticum & Privacy Problems
DC&HW.Zone
Русский
Слово «паноптикум» буквально переводится с греческого как «пространство, в котором видно все». Из доклада слушатели смогут узнать про технологии для обеспечения собственной приватности...
Curiv

Основатель DC7342

Видео
25 августа
17:00–18:00
FHRP Nightmare
Track 1
Русский
Организация систем отказоустойчивости в корпоративных сетях является ключевым звеном для того, чтобы сделать компьютерную сеть более надежной. В рамках доклада спикер расскажет, что могут значить...
Магама Базаров

Инженер сетевой безопасности

Видео Презентация
25 августа
17:00–17:30
Особенности современного анализа защищенности веб‑приложений. Прощай, injection!
AppSec.Zone
Русский
Современные фреймворки исключают целый пласт проблем безопасности, которые были популярны еще несколько лет назад. В своем докладе Егор расскажет о том, как выглядит анализ защищенности современных...
Егор Богомолов

Специалист по анализу защищенности, основатель Singleton Security, управляющий директор CyberEd

Видео Презентация
25 августа
17:00–19:00
Полный обзор YubiKey и passwordLess уже вчера и практическое использование + TPM
DC&HW.Zone
Русский
Спикеры сделают подробный обзор ключей безопасности YubiKey c использованием таких инструментов, как GPG, U2F (FIDO/FIDO2), OTP, Git. Расскажут, как применять на практике passwordless, как использовать TPM в Linux и хранить...
Андрей Зиновьев

«Киберпротект»

n0nvme

EC1337

Видео Презентация
25 августа
17:30–18:00
Ошибки, которые мы совершаем: внедрение SDLC
AppSec.Zone
Русский
Речь пойдет об ошибках, которые автор когда‑то допустил при внедрении SDLC c нуля, об уроках, которые были получены из‑за ошибок и могут помочь кому‑либо в будущем...
Артем Кадушко

Application Security Engineer

Видео Презентация
25 августа
18:00–19:00
Application Security Design Antipatterns
Track 1
Русский
Антипаттерны безопасности — это часто встречающиеся шаблоны небезопасного проектирования приложений. Неосознанное следование подобным шаблонам «закладывает мины» под фундамент приложения...
Алексей Мещеряков

Инженер ИБ

Видео Презентация
25 августа
18:00–19:00
Безопасность upgradeable смарт‑контрактов
Finance.Zone
Русский
Одно из основополагающих свойств блокчейна — это невозможность подмены данных (immutability). Однако не все смарт‑контракты имеют неизменный код. Распространенная практика — использовать шаблон...
Арсений Реутов

CTO, Decurity

Видео Презентация

26 августа

26 августа
11:00–12:00
Hi! Can I charge my phone?
Track 1
Русский
USB-кабели не так просты и безобидны, как может показаться. Некоторые из них могут скрывать секреты. Очень опасные секреты. Вы уверены, что этот USB‑кабель, подключенный к вашему ноутбуку...
Никита Панов

Независимый эксперт, специалист по цифровой криминалистике, лидер сообщества 4n6.ru

Видео Презентация
26 августа
11:00–12:00
Обеспечение безопасности применения методов машинного обучения
Track 2
Русский
Доклад посвящен атакам на системы машинного обучения. Чем опасны такие атаки? Насколько сложно их предотвратить? Спикер расскажет, что требуется от эксперта по безопасности и почему...
Данила Емельянов

Ведущий специалист-математик Лаборатории информационной и сетевой безопасности, АО «НПК «КРИПТОНИТ»

Видео Презентация
26 августа
11:00–12:30
LockPick: the autopsy will tell
DC&HW.Zone
Русский
Доклад состоит из трех частей, в которых поэтапно разбирается устройство замков, атаки на них и механизмы защиты. Также спикер поговорит о различных инструментах, используемых lockpicker’ами...
ostara

Независимый исследователь ИБ, B4CKSP4CE

Видео
26 августа
11:30–14:30
Локальное повышение привилегий: DLL hijacking, side‑loading и прочее
Воркшоп
Русский
На мероприятии ты узнаешь, как злоумышленники используют стандартные утилиты (LOLBAS) и легитимные приложения, чтобы атаковать устройства под управлением ОС Windows в 2022 году...
Владислав Бурцев

Аналитик threat intelligence, «Лаборатория Касперского»

26 августа
12:00–13:00
Обзор APT‑атак на российские компании в первой половине 2022 года
Track 1
Русский
С начала 2022 года специалисты PT ESC наблюдают всплеск таргетированных атак на компании на территории РФ. Основанный на данных, полученных в ходе incident response и threat intelligence, доклад рассматривает...
Александр Григорян

Исследователь угроз, Positive Technologies Expert Security Center (PT ESC)

Даниил Колосков

Исследователь ВПО, Positive Technologies Expert Security Center (PT ESC)

Видео Презентация
26 августа
12:00–13:00
Разработка модулей UEFI и их отладка без NDA
Track 2
Русский
Этот доклад посвящен прошивке, встроенной в материнскую плату, а именно UEFI (unified extensible firmware interface) и разработке модулей с отладкой...
Mars

Независимый исследователь ИБ

Alx14

Независимый исследователь ИБ

Видео Презентация
26 августа
12:00–13:00
Моделирование угроз — чтобы голова не болела
AppSec.Zone
Русский
Классический подход к моделированию угроз уже давно не работает. Да и разработчик не выполняет предъявляемые к модели угроз требования. Почему так происходит, а также как лучше построить...
Светлана Газизова

Руководитель направления аудита, Swordfish Security

Видео Презентация
26 августа
12:30–14:00
RFID
DC&HW.Zone
Русский
Электронные пропуска — классика нашей повседневной жизни, особенно в корпоративном сегменте. Узнай на практике, что скрывается под капотом RFID и почему большинство из электронных пропусков...
nipnull

Независимый исследователь

soxoj

DC7495

Видео
26 августа
13:00–14:00
Облачные токены Microsoft — больше никаких «секретиков», или Все, что вы хотели знать об облачной авторизации Microsoft, но боялись спросить
Track 1
Русский
Доклад посвящен механизмам аутентификации и авторизации в облаках Microsoft Office 365, тому, как офисные приложения, такие как Outlook, OneDrive, Teams, Word, Excel, да и сама операционная система Windows авторизуются...
Константин Евдокимов

Исследователь, пентестер, редтимер, руководитель отдела тестирования на проникновение MIS‑Team, «М 13»

Николай Долбин

Главный эксперт, Департамент кибербезопасности, Сбер

Видео Презентация
26 августа
13:00–14:00
Упущенная возможность: Обнаруживаем легитимное программное обеспечение, используемое атакующими
Track 2
Русский

Ни для кого не секрет, что злоумышленники активно используют средства операционной системы для выполнения различных задач. Правда, иногда этого может быть недостаточно, и тогда атакующие могут...

Олег Скулкин

Руководитель Лаборатории цифровой криминалистики и исследования вредоносного кода, Group‑IB

Видео Презентация
26 августа
13:00–14:00
Ученье свет, или Как построить центр компетенций AppSec
AppSec.Zone
Русский
Часто в процессе работы мы встречаем негативное отношение разработки к отделу безопасности, а иногда и вовсе никто о нем не знает. Как наладить эти отношения? Как привлечь на свою сторону...
Юрий Шабалин

Ведущий архитектор по информационной безопасности, Swordfish Security

Видео Презентация
26 августа
14:00–15:00
В погоне за злом: современные подходы к выявлению аномалий в Windows-инфраструктурах с помощью мониторинга LDAP и RPC
Track 1
Русский
После компрометации пользовательской учетной записи атакующий получает плацдарм для атаки на домен Active Directory. Одна из первоочередных задач злоумышленника на этом этапе — сбор информации...
Максим Тумаков

Ведущий аналитик Центра мониторинга и реагирования на киберугрозы, BI.ZONE

Видео Презентация
26 августа
14:00–14:30
Вредоносные расширения для браузеров
Track 2
Русский
Доклад о том, что могут в себе таить браузерные расширения, на основе анализа вредоносных образцов. Как хакеры используют расширения? Почему разработчики браузеров прилагают недостаточно усилий...
Ильсаф Набиуллин

Пентестер, Innostage

Видео Презентация
26 августа
14:00–14:30
Почему вам НЕ следует нанимать инженеров DevSecOps
AppSec.Zone
Русский
Все знают, что построение и поддержание SDLC (Software Development Life Cycle) — жизненного цикла разработки программного обеспечения — может быть поручено инженеру DevOps. Многие думают, что инженер DevSecOps может...
Илья Поляков

Руководитель отдела анализа кода, Angara Security

Видео Презентация
26 августа
14:00–15:00
Music & networking
DC&HW.Zone
Русский
26 августа
14:00–15:00
Как написать забойный текст
Press.Zone
Русский
Описывать свой опыт в виде текста — задача, с которой сталкивается каждый квалифицированный специалист. Как мотивировать себя на начало работы над статьей? Как побороть боязнь...
Андрей Письменный

Главный редактор Xakep.ru

26 августа
14:30–15:00
Атаки на ИИ, но проще
Track 2
Русский
Пусть результаты работы ИИ часто поражают, но машины небезупречны. Цена ошибок становится выше, когда дело доходит до безопасности, — у хакеров появляются дополнительные векторы атак...
Елизавета Тишина

Специалист по анализу защищенности, DeteAct

Видео Презентация
26 августа
14:30–15:00
Вы точно хотите знать, что творится внутри ваших зависимостей?
AppSec.Zone
Русский
Современный код тянет за собой много зависимостей, и мало кто задумывается о последствиях. Python, Node.js, Go, Rust — скачать чужой код и запустить его теперь считается нормой. Последние громкие случаи...
Леонид Безвершенко

Младший исследователь угроз информационной безопасности, «Лаборатория Касперского»

Игорь Кузнецов

Главный эксперт по исследованиям угроз информационной безопасности, «Лаборатория Касперского»

Видео Презентация
26 августа
15:00–16:00
Локальное повышение привилегий на устройствах Apple
Track 1
Русский
В течение многих лет Apple внедряет различные меры для защиты устройств. С выпуском macOS Big Sur / iOS 14 эксплуатировать повреждения памяти ядра стало сложнее благодаря изолированию памяти и внедрению куч ядра...
Никита Тараканов

Независимый исследователь информационной безопасности

26 августа
15:00–15:30
Безопасная разработка моделей машинного обучения
Track 2
Русский
Виталий расскажет о мерах повышения безопасности моделей машинного обучения на различных стадиях разработки. Также в докладе: состязательные (adversarial) атаки и их применение в процессе обучения...
Виталий Болоховцев

Инженер по безопасности приложений, Сбер

Видео Презентация
26 августа
15:00–16:00
DevSecOps по‑крупному: мифы и легенды на опыте одного банка
AppSec.Zone
Русский
Доклад об опыте внедрения и развития DevSecOps‑конвейера в трех ракурсах: технологий, процессов и людей. Спикеры расскажут, с чем можно столкнуться при внедрении Sec в DevOps‑конвейер...
Карина Петрова

DevSecOps‑аналитик, Сбер

Никита Тажбенов

DevSecOps‑инженер, Сбер

Видео Презентация
26 августа
15:00–16:30
Классика Wi‑Fi‑пентеста
DC&HW.Zone
Русский
Хоть и кажется, что Wi‑Fi исследован вдоль и поперек, в нем до сих пор полно уязвимостей. На стенде DC можно потренироваться в поиске и эксплуатации актуальных уязвимостей, а затем...
Сергей Иващенко

Пентестер, Jet Infosystems

Евгений Артемьев

Пентестер, Jet Infosystems

Видео Презентация
26 августа
15:30–16:00
Заметки Осинтера
Track 2
Русский
Доклад содержит информацию о техниках проведения OSINT для тестирования на проникновение. Разобраны случаи, иллюстрирующие пользу данных техник для применения разными специалистами...
Александр Гончаров

Инженер, пентестер, Innostage

Видео Презентация
26 августа
15:30–18:30
Поиск уязвимостей в парсерах изображений на практике
Воркшоп
Русский
Все знают о популярных уязвимостях в парсерах медиаконтента вроде ImageMagick. Многие слышали и о новшествах, таких как уязвимости в librsvg. Но большая часть специалистов не проверяет их...
Егор Богомолов

Специалист по анализу защищенности, основатель Singleton Security, управляющий директор CyberEd

26 августа
16:00–17:00
Небольшая OPPOлошность. История исследования 5G‑роутера
Track 1
Русский
Доклад об исследовании безопасности 5G‑роутера компании OPPO. Будет рассказано, как удалось получить RCE, не имея прошивки и не прибегая к аппаратному воздействию на устройство. Также будут...
Георгий Кигурадзе

Cпециалист отдела анализа приложений, Positive Technologies

Видео Презентация
26 августа
16:00–16:30
Пентестим FreeIPA
Track 2
Русский
Мы привыкли к тому, что инфраструктура заказчика развернута по классической схеме — есть Active Directory (AD). Алгоритм действий с AD отработан годами: знаем, что делать, куда смотреть, какие атаки...
Ольга Карелова

Независимый исследователь, редтимер, ресечер

Видео Презентация
26 августа
16:00–17:00
Управление уязвимостями для чайников, или Как приручить автоматизацию
AppSec.Zone
Русский
Спикеры расскажут о том, как можно автоматизировать процесс управления уязвимостями в SecOps и AppSec так, чтобы достичь максимальной эффективности в итоге и затратить при этом минимум...
Роза Абдуллаева

Инженер по безопасности инфраструктуры, «ПС Девелопмент»

Дмитрий Шерстобоев

Инженер по безопасности приложений, «ПС Девелопмент»

Видео Презентация
26 августа
16:30–17:00
Незадокументированные возможности некоторых расширений Burp Suite
Track 2
Русский
Доклад посвящен изучению известных расширений Burp Suite преимущественно авторства Джеймса Кеттла. Поскольку многие из них имеют лишь краткое описание, это задает существенный порог вхождения для использования...
Илья Даненков

Пентестер, Deiteriy

Видео Презентация
26 августа
16:30–18:00
Восстановление шифрованных данных с поврежденных носителей
DC&HW.Zone
Русский
Доклад по квесту «В ходе проведения контртеррористической операции сотрудниками отряда специального назначения были получены в распоряжение носители информации с данными, раскрывающими деятельность...
}{отт@бь)ч

DC78182

Jane Tehhi

DC78182

Видео Презентация
26 августа
17:00–17:30
Fishnet Framework — Интуитивное тестирование на проникновение
Track 2
Русский

Fishnet Framework — это мощная и мультизадачная веб-платформа для совместной работы и автоматизированного тестирования на проникновение. Основной задачей Fishnet является предоставление понятного набора...

Иван Никольский

Независимый исследователь ИБ, основатель и лидер команды разработчиков EntySec

Видео Презентация
26 августа
17:00–18:00
Актуальные проблемы финансовой безопасности и как мы их решали
AppSec.Zone
Русский
В докладе Алексей рассмотрит проблемы и кейсы безопасности в финансовых организациях. Поговорит об актуальных проблемах последних двух лет (как поменял ковид нашу жизнь, что мы сделали с Log4Shell...
Алексей Морозов

Руководитель отдела AppSec, «Тинькофф»

Видео Презентация
26 августа
17:30–18:30
Короткий рассказ о CVE-2021-27223
Track 2
Русский
В данном докладе Денис планирует рассказать о CVE-2021-27223, которая была зарегистрирована для ряда продуктов «Лаборатории Касперского»...
Денис Стражков

Научный сотрудник, Институт системного программирования им. В. П. Иванникова РАН

Видео Презентация
26 августа
18:30–19:00
Церемония закрытия и награждение
Track 1
Русский