OWASP Sofia - December 2025 Meetup (part 1)

1:38↗Да, да. Махаме ги. Добре.

1:43↗Аз даже мислим време на презентацията да е ей такава ситуацията. Няма ние ще останет сега. Ей така ще бъде. Кога прия >> тия отзад дето преписват ще ги виждаме. >> По-романтично. Отличните напред. >> А здравейте на всички. Добър вечер и добре дошли. Просто иска да ви благодаря, че отделяте свободното време за нашия митъп, за нашата инициатива. Изключително много ви благодарим и се надяваме да ви е полезно и продуктивно, тъй като знам, че е опис края на учебния, работния ден. Днеска има и други събития в центъра на града. Предполагам, че искате присъства на тях. Така че ще се опитаме да сме изключително аа полезни, изключително фокусирани, за да не си губим на излишно времето. А още веднъж благодаря от лицето на Open Worldwide Application Security фондацията, която ние представляваме с колегите Тодор Хоров и Мартин Стоянов. Аз съм Миглен, ако не се познаваме. А ние се занимаваме с

2:43↗килерсигурност през по-голямата част от живота си, така да се каже. И този проект, тази инициатива за на месечни срещи и събития е изключително пробована. Ние я правим единствено тук само с цел да подобряваме нивото на киберсигурността в нали комюнитито ни, продуктите, защото няма какво да се лъжа, утре повечето от вас ще бъдат, ако не са вече специалисти, от които ще зависи Ява, административния софтуер, академичния софтуер или какво ли не е друго, което ползваме. Нашата цел е нали да не изтичат данните, да не се чупи този софтуер и да е ефективен и полезен, тъй като е важно за всички нас. А днес имаме около два-три часа а лекции, нека така да го наречем, а демонстрации също така от нашите колеги, приятели от сайт. А ще започнем с кратко интро от катедрата, тъй като ние сме изключително благодателни тука да бъдем те да бъдат наши домакини, да бъдем

3:38↗хостните тук и след това ще продължим с няколко технически насочени лекции и демо презентация от Think Cър, които също са наши партньори за тазимесечното ни събитие. Малко по-късно а Костан Иванов ще ни разкаже за изключително а интересна тема софtare supply chain security проблеми. След това ще продължим с НКО метри киберсигурността, защото е много важно нещо аа ако не можем да го измерим и не можем да го подобрим. И накрая ще ви разкажа какви са промените в тазигодишния пен аа ъпдейт, така да се каже и релиз. Сега искам да поканя на сцената а а-н Мончо Димитров да да ни въведе и да представи. Чакайте. Добре. Осн, благодаря ви. Здравейте на всички. Казвам се Ночо Димитров и аз съм ръководител на катедра национална и регионална сигурност, символичния домакин това събитие. А, скъпи приятели, позволявам се, заповядай, а, позволявам си така да ви нареча, отвън се

4:45↗шегувахме, че как по-лесно ще намирате залата и понеже смес решихме да бъде с две готини нами, които отвънка да кансай с надпис, обаче ще наградим да бъдат с лаптоп, да стане още по-лесно за залата. Това е вга на шегата, разбира се. А, да, трудно се изграете за намиране, но пък разработете нещо, което да не бъде по-лесно. Това е за теб вероятност за следващата година. Няколко други за катедрата. Нашата катедра се е създадена преди 35 години и едно от направленията, които ние развиваме много и държим на него е информационната сигурност. Тогава беше информационна сигурност, по-късно киберсигурност. Се казва, че още посекции сега изкуствения интелект, машинвър върнингаът. Както и да е, но вървим в тази посока и се радвам, че избрахте за домакин УНСС, защото катедра Национална регионална сигурност с такива партньори като вас може да направи страшно много за хора като вас. А вие

5:40↗сте може би най-умните хора и най-серите хора, които познавам. Така че с нашата с нашето менторство ние пък ще научим тези хора като вас или по-младите, аз обръщам най-вече към нашите колеги и студенти, защото виждам хора с много опит. А те почнаха да ги учим да аматизират, да правят пари от своите умения. А така че още веднъж да не губя време, че знам, че вие сте практични хора, очаквате бързо и едно точно представяне. Още веднъж благодаря, че избрахте нашата катедра. Поинтересувайте се с нас. Влезте на нашия сайт. Имаме страшно много програми върху областта и страшно много експертиза. Така че с общи усилия ще изведем и университета и програмата на едно ниво, което да задоволява нуждите и потребностите както на бизнеса, така и на държавния сектор. По-бързо от това не мога. Надявам се не съм загубил много време. Колеги, пожелавам успех види.

6:43↗Аз само искам да помоля да влизате внимателно на нашия сайт. Това е много >> сега тука на първия. >> А, чуваме ли се без микрофон? >> Да, да. >> Добре.

7:07↗А аз съм Юри Ценков, преподавател в катедра национална и регионална сигурност, преподавател също така инструктор в Тин сай. до мен е колегата Иван Благоев, главния инструктор в в Тинса Cyber и общо взето виновника и също пък и преподавател в катедрата и виновника за всичко, което знам и което ще ви покажем и в момента. Ванка, >> ами да. Аа аз използвам а момента да благодаря на нашите партньори а отс, както и на УНСС аа да да кажа, че УНСС за мене ще стане лидер в а обучението по киберсигурност сред университетите в България. А те бяха първият университет, който направи партньорство стин сайбър. в момента е първият университет в България, който има толкова много сертифицирани преподаватели от Нйбър и от първата си година преподаване тука мога да кажа, че има страхотни студенти, някои от тях, които успяха дори и мен да ме впечет и за мен е удоволствие и така да кажа,

8:22↗сигурен съм, че това ще допринесе много на за цялата киберобщност и киберсигурността в България в бъдеще. Сега минаваме към демонстрацията.

8:35↗А това, което ще ви демонстрираме, е атака браузър в браузър. На всички се е случвало да се регистрират туктаме. А така че всъщност услугата, с която ще се тръгне, аа е един прост сайт, който предлага няколко услуги. Ориентирали сме го в киберсигурността. А това ще е компютърът на атакуващия. В случая моя там за съжаление нямаше как да сложим проектора малко по-далече. Аа ще е жертвата кръстена Пешо. >> Някой спомена за някой Пешо отвън нещо. Така. Аа сега първата задача да си вдигнем

9:20↗аа 40 в 187 на 8 000. В случая аз съм клиентът, потребителя, който попада на един прекрасен уебсайтър, а в който мога да получа редица интернет услуги, които са ми полезни. Примерно Geo IPOub Lookub SL, info HTP headers, нали все неща, които а хората ползват в интернет. В случая това просто един примерен сценарий за за тая ситуация, но реално всеки един сайт може да да подведе потребителите с подобен на >> Ето го и сайта. И аз го отворих при мен да се вижда малко на по-голямо. Да. >> Аа така. Аз го затварям при мен. Само да ви сега за сайта разбира се има и малка изненада. Това, което работи да се чува по-добре може. А за сайта има и малка изненада.

10:23↗Пускам си един с netкет с woop и чакам колегата, за да си ползва услугите. Жертвата чака. А, а и понеже съм направил сайта да влиза с логин с Google, а искам да си заредя и един Google и чакам жертвата вече да почва да ползва сайта. А, аз почвам да го ползвам, само ще дам още малко разяснение. Така, колеги, това, което го виждате тука, може да бъде напълно автоматизирана и реално ще става страшно бързо. Много е опасно, но начинът, по който го правим в момента, е целта е да може да се демонстрира и да се види реално какво се случва зад колисите на на една такава кибератака. Целта на на атаката е да открадне Google акаунта на потребител. Сега аз искам да проверя

11:27↗FIP, само че се оказа, че може да ползвате услуги само след като се логна. Сайтът може да ви предложи различни опции Facebook, LinkedIn, Google и така нататък. В случая ние сме направили примера с Google и потребителят се логва. Тука малко резолюцията не е много добра при мен. Дано да се вижда добре, но просто проекторът ми е ме ограничава. Виждате, виждате, >> ще го стартирам при мене. >> Не, аз мога малко да го увелича. Вижте, >> вижте при мене. >> Вижте как хубаво излизаницата за влизането в Google. Тоест по никакъв начин не прилича на фиishшинг страница. В тоя случай изчакай преди да другия. А за да е максимално реално, даже имаме и някои менюта, които излизат на това нещо. А примерно нали отгоре си се държи като браузър, а мога и да го ресайзвам, нали? Мога да си го разнасям налявонадясно. Аа и така. >> Мхм. >> Така. Задръж ще всичките екрани. Добре.

12:42↗Сега продължаваме вече с атаката. Създали сме си един акаунт на жертва. Пешо Иванов Горкия. На всяко събитие нещо му се случва. Да. Той е свикнал всяко наше събитие все какваме. Извинете, ама нещо ми пресръхна гърлото. Така. Даваме nextст. А сега на лисънра при мен вече излиза ето вижте там екран >> това, което той въвежда. Аз Аз обаче работя в истинския Google.

13:19↗>> Така.

13:23↗И вижте при мене, че се чака втория фактор за автентикация на потребителя. Тоест не играем по най-простия сценарий нещо. Тя сигурна >> така. Първо коментари чакайте. Уау! Добре.

14:06↗И аз си получавам верификацията тук. А тъй като въведохме грешна парола, затова малко се забавиха нещата.

14:22↗Така, аз си влизам в неговата поща. Той там си е влязъл, а вече е регистриран като Пешо Иванов. Горе се вижда вдясно, докато той си ползва всъщност сайта, аз мога да си му ползвам имейл. >> Да. >> Аа сайта всъщност, ако искаш да го стартирам оттука, да го разгледаме малко по-подробно. Ето, примерно HTPers. А сега допълнително нещо, което се чу зачудихме да направим аа и то е в Така.

15:05↗Направихме си един лок, който всъщност >> всички потребители, >> всеки един потребител, който влезе и излезе, даже ако искаш влез с друг потребител или ще го направим оттука.

15:25↗Да. Идеята е, че че това, което правим на ръка, то принципно се автоматизира и става абсолютно невидимо за потребителя. Той се логва, вкарва си втория фактор за автентикация. От оттам се краде сесията му, нали може даже някакъв девайс да се прикачи към тая сесия и след което потребителят почва да си ползва аа да кажем а страницата, в която работи, без да знае, че всъщност акаунтът му е бил отмъкнат в тоя момент. Той даже сам си е сложил и паролата и фактор за автокация. Сега въведох каквото и да е. А изчаква си двуфакторната верификация. Ако е код, мога да го направя примерно с трета стъпка, така че като получите някакъв код, да го въведете тук, отново ще сработи. А по принцип това нещо, нали, за да се изпипа общо взето ще е много дни аа такъв къртовски труд, така че да направите браузъра да прилича на истинския. В случая виждате, че този браузър долу не е като горния, защото

16:34↗това нещо а отгоре не е Chrome. Но ако го направим в Chrome,

16:47↗а всъщност долния браузър, нека това да го въведем

16:56↗в Chrome. Това е всъщност браузърчето вътре. А първото най-издайническото е Урал-то. Всъщност това е част от HTML, нали? Тук може да напишете каквото си поискате. А това в случая е истинско истински URL на Google, който ще ви заведе в логин страницата. Аа и пак казвам, има си всичките функционалности сенки, както това горе се прави сянката, така и това. Това ще ми затвори браузъра, а рефрешът ме връща обратно на тая страница. А съответно има и интересния момент, примерно я да пробваме м

17:41↗някак, какъвто и да е. Да, тая функционалност я няма. Тоест вие преценявате колко функционалности да добавяте тук. А в момента, в който дадете рефреш, нали, ще ви върна обратно на тая. А така. Няма да въвеждам повече. Въведохме му междувременно още един, а който трябва да е отново в страницата на Ето го и и втория имейл, който въведохме. Тоест, дори лисър да не е пуснат, това нещо си прави един лог, който си трупа постоянно имейли и пароли. когато ги потрябват, са на ваше разположение. А идеята на сценария с лисънра беше в едновременно да работи атаката и жертвата, но това нещо може да си стои да се пази колкото време искате. А по принцип, колеги, опасното на тая атака е, че малко по-различното е, че всъщност симулацията на браузър браузърer, тоест с JavaScript да симулирате браузъра или страница, която ви кара да се само да се логнете, потребителите, разберете, че те

18:52↗не обръщат толкова много внимание, колкото един киберексперт ще отдели на анализа на това, което вижда. А така че е много опасно, защото първичните белези за проблеми върху страницата, в която той се логва, те липсват, нали, свети си в зелено, браузът му индикира, че всичко е наред. А също то той губи представа, че това е браузър, това е създадено от JavaScript, което той то той просто го вижда заради то е измамно, то не е реална страница. А, така че всъщност това е истинската на Google. Да, >> това е нашето >> доста добре. >> Еми въпрос на рисайзване вече и на резолюции, но да, >> моля на шриф. >> И на шриф, да, >> то реално всичко може да се изпива. >> Да, така. >> Просто е демонстрационно. >> Просто целта ни беше да да се види как става. Аа и всъщност другото, по което може да се усетите, това нещо

19:58↗няма как да излезе извън браузъра, >> нали? Дотука е. В смисъл да може да се рисайзва, но вижте, дори и да го рисайзнат, не пълни целия екран, то си стои вътре в браузъра. Въпросът е колко от вас също си рисайзват тия логин страници или по най-бързия начин въвеждаме потребителя и паролата и почваме, нали? А иначе отзад отзад сайтчето то си е абсолютно функционално. Ако трябва да го демонстрираме, все пак трябва да му въведем нещо.

20:40↗Така. Това е моментът, в който си чака верификациите. В случая въвеждам каквото и да е, така че няма проблем. А, оставил съм го като тайминг около 12 секунди. По принцип би трябвало след 12-тата секунда това да се затваря автоматично, тъй като е с демонстрационна цел, съм го оставил да го затваряме ръчно и вече всъщност това си е напълно функционално. Ние в момента обаче сме на мрежа през телефон, така че публично имаме вече и публично IP. >> Аа примерно може да видим това IP къде е. >> Не е то и такова има. >> Да. >> Аа всъщност това е американско Остин Тексас. С двойката отпред >> се премествам. >> Те нали всички адреси са изкупени отдавна, така че няма как да няма IP, дето да А това нещо вече е в София. Ас на кого е това нещо? Би трябвало на Vivacom. Да. Vivacom.bg. Примерно, ако решим да си вземем оттук натам тоя домейн, в смисъл сайтът си предоставя нормални услуги, които много

21:51↗от нас ползват през терминал или нещо друго. А DNS-ите, SSL, хедъри, каквито могат да ни трябват, а и така нататък. Но всъщност, докато потребителят си се радва на всички тия неща, че вижда точно това IP и пи от кой град е. А и колеги ви каза отзад виждате пощата. един киберексперт с достатъчно подготовка примерно Юри колко дена ти отне да да го разработиш >> това ли е цялото да >> ами горе-долу около три дни ама така много плътни а всъщност най-голямата играчка ако трябва да съм сериозен не е вдигането отзад на Python сървъра а нито примерно да пренасоча тия неща към lър или нещо такова всъщност най-голямата играчка е са красотите А, нали това да свети, ей тия тука да се държат като истинския браузър отгоре да излизат квадратчета и някакви неща. Това е проблемът, нали? Съответно а примерно не знам, ако се отвори на телефон, не искам да знам. Не съм си

23:02↗играл, нали, да го правя чак толкова функционално, защото е с демонстрационна цел, но в действителност това нещо може да се изпипа, да речем, да засича браузъра, да влиза тоя малкият браузър вече да влиза с различни версии. Тоест, ако ви хване, че сте с брей, да имитира, да отвори имитацията на брей. Ако ви хване с Internet Explorer, с Internet Explorer. Не си играх, обаче да видя какво правим, ако сте с тъмна или светла версия. А не знам дали това мога да го авто чак толкова да го автоматизирам. Мисля, че може, може, може. >> По принцип няма възможни неща в тия работи. Въпросът е колко код искате да напишете. Аа нали сега тука мога да кажа, два-три дни го правих кода. С помощта на AI, разбира се, всички го работим това нещо. Не знам още има ли някой на 100% да си пише кода на ръка. Ако има, браво. >> Но това нещо, ако трябваше да го правя 2000та година, честно казано, нямаше да го

24:00↗нали там вече директно щях да се откажа. >> Дай бе. Между другото, в един от курсовете за Web App Security на Think Cър точно курсовият проект е да направите Fishing tool тук накрая и всъщност това е Fishing tool. Това си е прекрасен курс. Ето го кода на Pythonчето отзад. Не е нещо голямо. И всъщност това ви е фейк страничката. >> А като код това нещо, ако трябва да се пише на ръка, ще отнеме малко повече от два дена. Не дай боже някъде нещо да е сгрешено. Я кавичка, я интервалче, я нещо друго. Успех и да го намерите, нали. Истината е, че тези тулове, които в момента имаме, просто а много много помагат за разработката на такова нещо. И тук нещо ще спомена интересно. До преди две години всъщност се занимавах предимно с финанси. Това ми беше хобит. Тоест аз нямам толкова стажа и опита назад в годините, колкото повечето от вас тук, нали. Да, вярно е, че тия две

25:05↗години друго не правих освен такива неща. Натрупах доста, но а горе-долуча монографията. >> Моля. >> Аз чакам монографията. >> Да. И това ще стане. Тя ще е пак на такава тема. Всъщност горе-долу написах половин монография код. А тук ако трябва да съм сериозен. Това е. Изводът е внимавайте, гледайте внимателно. Истината е, че атаките стават все по все по-изкусни и ако някой наистина така много реши да влезе в детайли, а и да ви излъже, общо взето почти няма какво да ви спаси. Просто въпрос на това колко ресурс ще отдели човека срещу вас и колко добре ви познава, нали, за да може да типизира нещата, така че вие с най-голям кеф да влезете да ползвате това, което ви се дава. А нещо, което ще добавя допълнително и с което ще завършим ли? >> Да, да. А за февруари месец ще пратим покана към Асп за това събитие, което правим. А то ще е малко по-вендърски ориентирано, а но всички от вас работят

26:13↗и в практиката, така че там също ще видите интересни неща. А това, което сме разработили с от моя страна, ще имаме един, който минава през Windows 11 с включен Defender Firewall и така нататък. Даже през него успявам да кача един, който ви изкарва резултата в такова хубаво форматиране, че ако човекът пише книга, на вас ще ви дойде направо форматиран текстът за книгата, директно да го издавате. Аа другото, което ще видим, е това нещо. Не знам дали ще го доразвиваме повече. То няма много накъде. То има накъде, но няма смисъл за демонстрация, освен ако не реша някой да го атакувам реално. А и нещо, което Иван го мъчи, той пък успя да направи един, дето това, което чувам последните два-три дена, дето го мъчи, е, че не може да го свали под 10. Ти кажи повече. Значи, значи тоя RД, който направих, е вдъхновен от обучението ми в четвърто ниво в киберкадемията на Израел Cър.

27:16↗аа през който аа се минава през няколко вектора на атака от черна кутия сива до бяла. Накрая се както както го има в аа схемата, накрая имаме просто game over, нали? Аа тоест овладявате машината, изпълнявате команди върху нея. Вече оттам се инжектира маура. А правят се корекции във firewall на Windows 11 Defender абсолютно замъкнал не казва абсолютно нищо, докато накрая хакерът в браузър почва да вижда десктопа на потребителя и може да получи абсолютно всичко. Но повече то да, повече февруари мен не ме е страх да програмирам. Имам 20 години опит като програмист и това, което да, което искам да направя е страшно малко, за да може да се побере във всичко, да се пренесе с всичко и да не се открива от системите за защита. Това ще е демонстрацията. Ами >> да, колегата имаше ня въпроси сега или ми гледна къде ми гледна? >> Ага. А >> казвайте. >> Дайте да.

28:26↗>> Добре, давайте. Понеже ми спечелихте вниманието с тази интрокция, cloud defend defend с enable cloud ли е или >> всичко всичко. >> Значи чисто нов ъпдейтнат. Дори имахме едно представяне много интересно, а на което решихме да видим дали ще се стартира и ще ми дадеше след рестарт на компютъра. А по принцип така го и бяхме направили. Да го да да го прави. Рестартираме съответно компютъра и като изкара Windows ъпдейт ни паднаха сърцата в петите, нали, защото е живо предаване. Очакваме, че вече ъпдейта ще го затрие това нещо. Не, ъпдейтна си се, конфигурира си се, а всичко точно и си ми даде пак ривършел и почнахме пак да си играем с компютър. Между другото, а доц Димитров помни сигурно на едно голямо представя имахме един голям мастъркла в УНСС и демонстрирахме атака срещу аа машина, която е пак Windows 10 беше с всички ъпдейти, с пуснат, с абсолютно всичко и аа

29:31↗мина някакъв Windows ъпдейт, кодът до вчера работеше буквално събрали сте се залата, още по-голяма зала човек А >> ГД ДОБ, министри, какви не хора и и кодът спира да работи точно точно в момента, когато трябва да го покажем, докато те представат, аз правя корекции в кода и го карам да тръгне и се оказа, че тръгна. Направихме невероятна демонстрация. Естествено, >> да, >> но пък не спря толкова. >> Но беше Да и това реши проблемите. Вече скивър сигурността. >> Не, накрая направихме страхотно представяне. Но много рискът на живото предаване винаги го има. Мина някакъв ъпдейт, хвана точно тая постановка. Не знам как, >> но се случи. Но специално това, което сега го разработвам, то се маскира като системен процес, който буквално свети в зелено отвсякъде. Надявам се и февруари да продължи да свети зелено, да ви го покажа, ако не, ще трябва да го преправям. А пък моето е Power Shell

30:35↗SCPT, който е супер минимизиран и е в разбит в няколко файла и всъщност ще видите атаката на живо, ако дойдете. Просто едно по едно си го изграждам вече на вашия компютър. Тоест, той ми дава минимален достъп и аз през тоя минимален достъп почвам леко-полеко да си изграждам нещата, защото исках да го направя по-готин, нали, направо всичко на клуб заедно. Е, не, >> изгори го. И всъщност беше голяма играчка е да направиш такова нещо, защото ти всъщност тестваш докъде може да натиснеш и проблемът е, че докато тестваш, ти го изгаряш няколко пъти това, което правиш. Съответно един път го засича крал оттук натам. Това нещо няма повече минаване. Трябва да фоскирате наново. Айде, втори път дотук става, става, става. Изведнъж дефендърът реагира, айде отпускиране пак. И така 20 пъти по-късно разбрахме точно къде му е границата на дефендъра и докъде пуска и къде повече не иска. Но това е

31:34↗страшна играчка наистина. Ей това нещо аз го правих ми сигурно десетина дни с тия играчки и така. Еми добре. >> А може ли да питам и аз ще отворим и две горе някакви? Оставяш ли си? >> Не. Аа не го правим това нещо, тъй като не атакуваме реални системи. Да, >> ние работим само с демонстрационна цел и обучение. Всичко е с цел, >> ако атакувам реална система, ще си оставя няколко поне. И то така бих го направил, че даже ще ви изчакам, а без да ви атакувам. Просто ще си сложа нещата, ще ви изчакам едни пет-шест месеца, да съм сигурен, че всичко това ще се бекъпне там, където има да си се бекъпва и тогава ще ви подкарам вече. >> Може и един дос просто така. Ами за мен ти доса, за мен ти доса концентрация, >> за мен ти доса е аматьорско изпълнение. Най-добрият вариант е просто да влезеш и да излезеш без никой да разбира, че си бил там или поне до момента, в който ти

32:32↗не искаш да разбереш. Адоса може да работи единствено, ако на някой искам да му сри на бизнеса, примерно го хващам в един черен петък да му счупя сървърите и той няма как да продава, нали, което става страшна гадория. Да, в тоя случай такъв тип атаката, но аз честно казано бих предпочел порлъчки и ниско. Аз да кажа, защото говорим само за атаки. Първо, че не сме такива хора. Другото моето се всичко правим демонстрационно заточение и да кажа, че освен червения тип се много сериозно се изучава при нас и орензикс и даже може би имаме най-добрите обучения за цифрова криминалистика в света и син екип да похваля студентите на УНС а г-н Димитров пред вас а вдъхновени от нашите обучения от програмите които пренасяме най-добрия опит от Израел тука в УНСС. А двама студенти вдигнаха цяла пълноценна инфраструктура на СОК с двете зони, част на ДМЗ, Firewall, IPS, IDS,

33:39↗абсолютно всичко и това ме мотивира още повече да продължим и с УНСС тия таланти да ги направим бъдещите защитници на България. >> Искам имената и факултета са в залата, така че >> добре. друго като въпроси, колеги. >> Добре. >> Аз имам един въпрос относно браузър. Браузър как реагират пасърд мениджърите на тия полета? >> А, не съм го тествал, но ето варианта за февруари. >> Окей, >> добре. Ето много е хубаво да се работи в група, защото ей така излизат нови идеи, които >> ще го тествам за февруари със сигурност. >> Кода на кода на този браузър има ли го в GitHub? >> Не, нито на пйлодите, които смели. >> Пробвам сега, може. Слуша се, слуша се за един приятел пи >> чакай >> реално много малко не трябва да станеме въпрос чувам. >> А да тествали ли сте го на прави си security браузъри като liv блокирате 5, защото предполагам, че това така на него. Значи тестване на брейва с

34:47↗вдигнати шилдове. Това му е най-сериозният тест на това нещо. На някакви по-сериозни. Значи то ако ореже скриптове, ореже другите неща, нормално спреш jaварипта, нищо няма да работи, нали? Ама най-вероятно и интернет няма да ползваш, защото вече не знам и Google няма да ти работи даже без JavaScript, така че

35:11↗>> Добре, друго като въпроси. Предлагам да тръгваме към другите колеги, че времето ни натиска все пак и после ще си говорим повече в друга те. Благодаря, колеги.

35:34↗А от тях сега сядам аз там долу да ги

35:43↗ела насам най-добре аз

36:23↗по-специално

36:30↗го изва Това е моята вода беше. >> Добре. Има вода там да бъде

36:46↗не ще идя там при колегите.

36:54↗>> Здравейте на всички. Първо искам да отправя едно огромно благодаря на Олас, на организаторите благодаря. А другите не се познавам лично, но за мен е огромна чест, тъй като си спомням, когато бях студент в Англия, си спомням как съм пътувал до всички краища буквално, за да присъствам на подобни мероприятия на Ола, организирани и виждам експерти от индустрията, които споделят собствения си опит и съответно са допринесли, така да се каже, за нашето изграждане като специалисти и бъдещи кадри. Така че да съм тук пред вас в момента, дори бих казал, че леко се притеснява. Благодаря. А сега нашата тема е софty chain security. Смятаме, че а всъщност бих искал да попитам колко от вас са програмисти или учат за да станат такива. Виждам тук там. Повечето от вас са cyбер securриity. Добре. Окей. А, питам, понеже аз бих искал все пак да кажа, че тази тема обикновено не е от

38:05↗най-интересните. Повечето софтуер девелопъри като чуят suy chain и библиотеки, бягат като дявол Тамян. А впечатлението ми от индустрията е, че много компании и като цяло много специалисти обичат да игнорират проблемите в съпйна. А паралелно с това, а на следващия слайд, аз ще се върна тук, но на следващия слайд виждаме много проблеми, които а искаме да разрешим в съпйчейна и просто всъщност притеснението на организациите, което споделят е, че а това е нещото, което има най-голям импакт откъм реализиране на риск. На първо място, нещо, което искаме да разрешим със supply chain security е първият топик, който искаме да наблегнем. Вторият е защо имаме нужда от software security и съответно защо трябва да го взимам сериозно. И а като втора фаза на презентацията съответно ще разкаже малко за Defense Strategies, малко за нас. Аз съм Костадинв, управител съм на Cyberware,

39:11↗която е компания, малка компания в сферата на киберсигурността. Като специалист а съм се занимавам спензия securриity тестинг от около 10 години, като а експириънсъ ми така е опит ми стартира още преди университета. А сертифициран аудитор съм на различни secюрити мениджмънт системи и като цяло съм предоставил повече от 100 проекта в сферата на офанзивното тестване. Като се започне от нормални тестове, red team engagements, purple team engagements и какво ли още това е. До мен е моят колега и добър приятел Иван Кадиев, който е сетио на компанията. >> Аз се Добре, здравейте на всички. Благодаря Коце, че ме представи. Аз съм Иван Кадиев. Аз съм CTO-то на компанията и същевременно това съм со синиър софтуер архитект. Като цяло аз съм човекът, който взима обикновено решенията за кои софтуери да се внедрят, по какъв начин, как да се вземат големите архитектурни решения, даже до в

40:14↗писане на код и оправяне на малки проблеми, но все по-рядко това вече се е случва.

40:23↗Сега през 2025 г. пуснаха съответно а обновената версия на OS топ 10. тоя микрофон нито напред, нито назаде. Така. А, пуснах обновената версия на Last Top 10 и забелязахме съответно, че направих няколко размествания, а сино впечатление съответно softly chain failures. Категорията беше изместена нагоре няколко позиции и нас това може само да ни радва като секюрити експерти, тъй като ще накара повечето организации да гледат на тази аа категория много по-сериозно, отколкото към този момент. А също така бяха прибавили три уязвимости към тази категория, които може да видите на този сайт, а на този слайд. Но най-важното, което можем да вземем като цяло е а самият факт, че въпреки че е на трето място и въпреки че е често игнорирано, това е а категорията, която има най-висок инцидент incident ratй, тоест най-много инциденти се докладват с много висок импакт, в повечето случаи високо

41:30↗към критичен именно вoftare Supply Chain Fairers. Защо се случи така, че да вдигнем тази категория по-нагоре вторади простата причина, че атак сърфса или повърхността на атака а в софтуер девелопмент частта целия cycъл cycle аа разкрива все повече и повече вектори, които могат да бъдат атакувани. В повечето големи организации има хиляди библиотеки, а инфраструктурата става все по-сложна и по-сложна. А пространството, в което държим кода, а също подлежи на уязвимости, а CICD уязвимости също могат да компрометират. Като цяло има страшно много компоненти и повърхността на атака допълнително усложнява поддръжката и сигурността на целия съплайчей. И проблемът е, че независимо в коя и да е част на цялата повърхностна атака, ако има уязвимост, се компрометира целия процес. И по този начин а всъщност на този слайд можем да видим една времева линия, в която съм дал четири примера. А, разбира

42:40↗се, това не е някакъв лист, но повечето тук може би са чували за например Solar Winds. Това беше атака преди няколко години, която а съответно ам извинявам се изгубих сита сонс, която съответно, ако си спомням правилно а имаше вреден код, който е инжектиран в биоцер и отвори backdoor. Съответно този пдейт беше пушнат над 18 000 компании. И автоматично те, съответно инсталирайки новия ъпдейт, отвориха а комуникация с advanced Thread Groups, като това всъщност засегна критична инфраструктура в много сектори публични, Department of Defense, а финансови институции, банки и Microsoft дори беше супер супер засегнато. Но основното нещо, което можем да извлечем от това нещо е, че всъщност Атаката става 2019 година и две години те бъдат бидат а незабелязани в инфраструктурата на над 18 000 компании. Та пренасяме се в 2021 година, където имаме MOВИ, компания, която също се занимава с

44:02↗трансфериране на файлова информация. Там по подобен начин критичен компонент бива заразен и пушва се ъпдейт 620 организации, извинявам се, над 620 организации, включително BBC, Briish Airways и така нататък. А, Милен, >> само да, нали, повечето в залата знаят МУ е продукт на прогрес и се пише в България в София, така че реално >> може да имаме представители. Между другото, не знаех дори път. >> Те купиха му. >> Аха. >> И след това ги >> Яко. Ами аз А представители вече някой не ви обича, ама давайте. >> Имам Аз имам примери за отличен опит. А компании, които са съответно силно позиционирани в България, съответно са присвоени, закупени по един или друг начин от чужда компания. Измества се част от критичния ресурс в Индия например, нали? Нищо лошо към а колегите там, но шест месеца по-късно цялата кампания беше хакната и цялата информация беше втната в публичното пространство.

45:15↗А много такива примери. А 3CX е компания, друг пример, където имаме софтуер девелопър, който сваля компрометирана а библиотека, внедрява я в биопроцеса, пушва ъпдейт към всичките клиенти и съответно отново няколко години, мисля, че две години, 2023 година а разкриват бекдора по случайност и всъщност по този начин разкриваме, че това нещо се случило и поглеждаме назад във времето, две години отново незабелязани. Виждаме този тренд, в който а не се налага ние да атакуваме крайни машини, тоест да сканираме мрежите, да търсим Не, че не се случва, разбира се, че се случва. Това е просто мм нещо, което така или иначе се случва, но а групировките дали независимо от мотивацията, дали финансово мотивирани, дали терористични организации, дали финансови аа така сте спонсор организации, криминални синдикати, а в повечето случаи се опитват да компрометират възможно

46:26↗по-голям брой аа организации, отколкото да таргетират поне по последен тренд. И всъщност поради тази причина все повече и повече се а фокусират върху внедряването на криминални елементи в разработ в процеса на разработване и всъщност executти backdoor, ако си спомняте само преди половин една година горе-долу, а човек се опита да внедри backdo в SSH и по този начин да засегне абсолютно всяка една организация, която има SSH като сървис. Аа това е дълъг процес на изграждане на доверие и всъщност това е нещото, което е топ заплаха в днешно време. Тоест атаката се шифтва от компроментиране на на хост крайни хости системи към експлоатиране на trust relationships, тоест когато ние се доверяваме към на чужд код, който ние внедряваме в нашето решение. Ние като програмисти, нали, няма как изос да си позволим това нещо да да не се случва, тъй като ни спестява изключително много

47:38↗дебелна тайна. В същото време доверявайки се на софтуер, който е част от а който е чужд софтуер, ние всъщност а добавяме един допълнителен риск. Паралелно с всички тези неща, които коментирах току-що, виждаме и един друг такъв риск, който е част от съплайчейна, а именно а хардкоднати secкрети, пароли, API ключове, а други типовек. Те са много наброй в публични и частни и правят съответно репозиторите. Като на този слад можем да видим един анализ, който е направен от Git Guardian. Това е софтуер, който всъщност подсигурява сигурността, извинявам се, подсигурява сигурността на а GitHub аа репозитори и се изгнебрява в Сифри, нали, не сме спонсорирани, не съм точно сигурен дали как работи и така нататък, но попаднах на техния репорт, който е за 2025 г. и можем да видим анализ, подробен анализ на а заплахите, които са открити във публични и частни репозитори. Те, много благодаря. А

48:53↗съответно начин, по който те са разкрили тези secкрети са по три отделни в три отделни техники, така да се каже, с нормален regс чрез generic machine learning алгоритъм, който идентифицира такива secти и generical based а всъщност based certifйте е reg. Ако търсим специфични думички, ключови думички. 2023 г. около 19 милиона секрета, открити в публични а репозитори. 2024 числото е 23,8 почти 24 милиона. Това е интересно. И между другото към този слайд, който вие по-късно, ако отворите, може да намерите линк. А, оп, не искам да го отварям, но така. Много е честно. А, но ако отворите съответния репорт, там може да намерите изключително подробна информация, която да ви запознае в тело. Защо го казвам това? Защото а има една атака, много такива паралелни атаки, които особено йку например, това е вирус, който е warm тип червей или по-скоро червей подобен, а тъй като се репликира Ja.