2019-11-12 20:33 (화)
글로벌 해킹 보안 컨퍼런스 POC 2019, 9월 1일 등록 시작…11월 7~8일 개최
상태바
글로벌 해킹 보안 컨퍼런스 POC 2019, 9월 1일 등록 시작…11월 7~8일 개최
  • 길민권 기자
  • 승인 2019.09.04 13:28
이 기사를 공유합니다

현재 8개 주제 선정 완료, 4개 트레이닝 코스 결정…조기 등록 기간은 9월 30일까지

국내외 해킹 보안 연구자들의 축제, POC2019가 오는 11월 7~8일 서울 양재동 더케이호텔 거문고홀에서 개최된다. 국제 해킹보안 컨퍼런스 POC는 2006년에 시작되어 올해 14회를 맞이했다. 9월 1일부터 등록을 시작했고 조기 등록 기간은 9월 30일까지다.

POC 컨퍼런스의 주최인 POC Security는 올해도 한 해의 말미를 장식할 분야별 최고 연구원과 주제들로 라인업을 구성하기 위해 준비에 박차를 가하고 있다. 현재 8개 주제를 선정 완료하였고, 4개 트레이닝 코스가 결정되었다. CFP와 섭외 인력 30여명을 대상으로 추가 선정 작업을 진행 중이다. 아직 발표자 모집이 진행 중이며, POC2019 CFP 제출 마감일은 10월 10일이다.

선정 완료한 8개 주제는 다음과 같다.

먼저, 구글 프로젝트 제로의 James Forshaw는 "Reimplementing Local RPC in .NET"라는 제목의 발표를 진행한다. 로컬 Windows RPC에서 권한 상승 취약점을 찾는 것은 이미 많은 연구원들이 관심 갖는 주제이다. 다만 표준 마이크로소프트의 도구들은 C/C++ 코드만 생산하기 때문에 C#이나 파워쉘같은 .NET 언어로 PoC 코드를 작성하고자 하는 연구원들에게는 어려움이 존재했다. 발표자는 MSRPC에 대한 설명, 현재 구현된 도구 들을 설명한 후 .NET 언어를 이용하는 새로운 도구를 만들어내고, 제작된 도구를 이용해 찾아낸 취약점을 설명할 예정이다. 이 발표를 통해 Local RPC 연구원들은 연구의 새로운 방향과 길을 찾아낼 수 있을 것이다.

Fortinet의 Kushal Arvind Shah은 Software Zero-Day Discovery-How To? Targets/Seeds? Methods - Fuzzing, Reverse-Eng, "Neither"??라는 제목으로 제로데이 연구의 방법론에 대한 발표를 진행한다. 많은 연구원들이 소프트웨어에서 제로데이를 찾으려 노력한다. 발표자는 연구원들이 이를 위해 진행하는 타깃 선정, 빌드 과정, 취약점을 찾기 위한 퍼징과 리버싱 과정에 대해서 설명한다. 또한 그는 퍼징과 리버싱 이외에 취약점을 찾기 위해 최근에 진행되고 있는 연구 방법에 대해서 설명한다. 그리고 이를 통해 찾아낸 취약점의 라이브 데모를 선보일 예정이다.

개인 연구원인 Nafiez와 Jaan Yeh는 안티바이러스 제품군에 대한 발표를 "Hunting Vulnerability of Antivirus product"라는 제목으로 진행한다. 오늘날 안티바이러스 제품은 서버, 개인 컴퓨터, 스마트폰, ATM 기기 등 다양한 기기에 설치되고 있다. 그런데 기기의 보안을 위해 설치되는 안티바이러스 제품들에 아이러니하게도 보안 관점에서 부족한 부분들이 존재한다. 발표자는 이런 부분들을 찾아 취약점을 발견하고 공격하는 과정, 여기서 사용되는 기법 및 도구 등에 대해서 설명하고, 다양한 제품들에서 찾아낸 취약점들을 선보일 예정이다.

매년 POC, Zer0Con에서 최고의 기술 발표를 진행하는 중국 발표자들도 어김 없이 좋은 CFP를 제출해주고 있다. 이 중 선발된 Qihoo 360 Nirvan 팀의 Qian Chen은 NAS 장비 전 세계 점유율 1위인 시놀로지 NAS 장비에 대한 버그헌팅을 발표할 예정이다. NAS 장비는 이제 회사뿐만 아닌 개인들의 사용 영역도 넓어지고 있고, 이에 따라 정보 유출, 원격 코드 실행 등 다양한 위험에 노출되고 있다. "Bug Hunting in Synology NAS"라는 제목의 발표에서 그는 NAS 장비 버그헌팅을 단계별로 설명하고 발견된 취약점들을 공유할 예정이다. NAS 장비에서 취약점을 찾고자 하는 연구원들에게 많은 도움이 될 발표이다.

POC2018 발표자였기도 한 Yongtao Yang(BCM Social Corp)은 "A Whole New Perspective In SSRF: MAKE IT GREAT AGAIN AND Ignore Most Of SSRF DEFENSE SOLUTIONS THAT WE KNOW"라는 발표를 통해 잘 알려진 웹 해킹 기법인 SSRF의 새로운 관점을 제시한다. 최근 SSRF 공격은 우회하기가 점점 어려워지고 있다. 이러한 상황에서 Yongtao Yang은 SSRF를 이용할 수 있는 새로운 관점의 공격 표면을 제시하고 이를 이용하여 완벽하게 보호 기법을 우회할 수 있음을 보일 예정이다. 그는 이 연구를 통해 발견한 다수의 기본 라이브러리의 제로데이를 통해 설명하는 기법의 파급력을 알릴 계획이다.

이외에도 Liang Chen과 Luca Todesco가 각각 iOS에 대해, 칭화대 교수인 Chao Zhang가 취약점 찾기에 대한 발표를 선보일 예정이다.

한편, 다양한 분야의 4개 트레이닝 코스도 운영된다. 5년 이상 TEE를 연구해 온 Cristofaro Mune이 3일간 ‘TEE Offensive Core’ 코스를 진행할 예정이다. 참가자는 오펜시브 관점에서의 TEE 관련 지식과 시스템 레벨에서의 접근법, 공격 표면, 익스플로잇테이션 기법 등을 배울 수 있다.

POC와 Zer0Con에서 윈도우 커널 익스플로잇 트레이닝 코스로 호평을 받았던 HackSys Team의 Ashfaq Ansari가 ‘Windows Kernel Exploitation Foundation & Advanced’ 강의를 진행한다. 해당 강의는 이전과 비교하여 발전된 내용을 포함하며, Windows 7 SP1 x86과 Windows 10 RS6 x64를 대상으로 한다.

DarkMatter 연구원 Prateek Gianchandani의 Offensive Mobile Reversing and Exploitation 강의도 예정되어 있다. 해당 강의는 기본적인 ARM 명령 집합과 리버스 엔지니어링부터 iOS와 안드로이드 실제 버그를 사용한 익스플로잇테이션 기술들까지 다룬다.

국내 오펜시브 기술 및 취약점 연구 업체인 Diffense(https://blog.diffense.co.kr)도 ‘Advanced Windows Logic Bug Hunting’ 트레이닝을 진행하며, 상세 내용은 빠른 시일 내 공개할 예정이다.

세계적 연구자들의 메인 발표나 트레이닝 코스 외에도 소규모 트랙인 Whatever Talk, Belluminar(벨루미나) CTF, Power of XX(여성해킹대회) 등 각종 이벤트도 준비 중이다.

Whatever Talk은 2018년에 도입한 트랙으로 개인 연구 성공담 및 실패담, 회사 홍보, 제품 홍보 등 모든 주제 발표가 가능하며 현재 발표자 모집 중이다. 선정된 발표자에게는 POC 무료 참가권 제공, 만찬 초대 등의 혜택을 제공한다.

벨루미나도 현재 팀 모집 중이며, 우승팀에게는 Zer0Con 2020 참가 티켓 등 혜택을 제공한다. 여성해킹대회도 예선 전, 마무리 준비 작업 중이다. 이 밖에 이벤트 홀에서 보안, IT와 관련된 혹은 참가자와 진행자 모두가 즐길 수 있는 크고 작은 이벤트를 운영할 개인 또는 팀도 모집 중이다.

모든 이벤트들은 POC2019 등록 없이도 무료로 참가가 가능하며 자세한 이벤트 관련 소개는 홈페이지를 통해 업데이트될 예정이다. POC2019은 현재 조기 등록이 진행 중이며, 등록 관련 정보는 다음과 같다.

[POC2019 등록]
- 등록 페이지: www.powerofcommunity.net/register.htm
- 조기 등록: 9월 1~30일
- 후기 등록: 10월 1~31일
- 현장 등록: 11월 7~8일
- 기타 문의: pocadm@gmail.com
- 각종 공지: https://www.facebook.com/POC.Conference, https://twitter.com/POC_Crew
- 트레이닝 코스: http://powerofcommunity.net/training2.htm

★정보보안 대표 미디어 데일리시큐!★