Cybergadki #2 - Rafał Meisel

Cześć, to są Cybergadki. Naszym gościem będzie dzisiaj Rafał Meisel i porozmawiamy o Skamach, o Sincie, Praty w Cyberbezpieczeństwie. A to my, czyli Adam i Werka Hakerka. Zapraszamy. Słuchacie podcastu 17 53c. Cybergadki. Zapraszamy. Rafał, fajnie znów mieć okazję porozmawiać. Ostatni raz chyba tak dłużej mogliśmy pogadać na Warszawskich Dniach Informatyki w kwietniu, gdzie byłeś prelegentem. No i właśnie tak na początek chciałam dopytać, jak zaczęła się twoja kariera zawodowa? To miejsce, w którym teraz jesteś. Może coś nam więcej zdradzisz, uchylisz rąbka tajemnicy? Cześć Werka, cześć Adamie, dzień dobry słuchaczom wszystkim, którzy są z nami, albo dobry wieczór.

Zajmuję się cyberbezpieczeństwem już od kilku dobrych lat. Obecnie głównie testy penetracyjne oraz zajęcia z DevSecOpsu. Czyli pomagam ludziom w konfigurowaniu pipeline'ów, narzędzi, wyjaśnianiu im. Robię warsztaty OSINT'owe, warsztaty cyberbezpieczeństwa dla osób technicznych, nietechnicznych. Generalnie duży wachlarz. No, szeroko, szeroko. Pozwól, że zrobimy krok w tył i wrócimy do koła, który zakładałeś. I powiedz mi, jak jesteśmy w takich tematach studenckich, to jak to doświadczenie, które zdobyłeś w kole, organizując te wydarzenia, przełożyło się później na takie umiejętności, które byłeś w stanie wykorzystać na rynku pracy?

Pokazały nam, i mnie szczególnie, że kurcze, ten hack the box i umiejętności jakie tam można zyskać, jak i skanowanie nmapem, korzystanie z bobspeed'a, w ogóle dla nas to była całkowita nowość, a to jest można powiedzieć podstawowe narzędzie w dzisiejszych czasach, w pentestach. Czy jak stworzyć raporty? Czego szukać? Do dziś utkwiło mi, że przez pół godziny szukaliśmy jakiegoś punktu zaczepienia na web aplikacji, a okazało się, że wskazówka jest w pliku robots.txt, bo nikt nie wiedział, że jest coś takiego jak dealbuster, jak narzędzia do enumeracji. Więc to były bardzo fajne chwile i czego mnie nauczyły i co mi dały później w szukaniu pracy, to to, że wiedziałem czego chcę się nauczyć,

Dokładnie. Dokładnie tak jak powiedziałeś, bo bardzo dużo, bardzo duża ilość wiedzy, której można się nauczyć podczas takiego CTF-u, można wykorzystać w praktyce podczas realnych testów penetracyjnych. Nieraz takie CTF-y polegają na Inżynierii oprogramowania. I kilka sztuczek, które możemy się nauczyć podczas takiego konkursu, jesteśmy w stanie zastosować w normalnej pracy, bo widzieliśmy już podobny przypadek wcześniej. I czasami takie CTFy nie rozwijają nas pod kątem typowo technologii, Ale pod kątem myślenia. Jak znaleźć jakąś informację? Jak ugryźć jakiś temat?