Entregan reconocimiento a joven ingeniera cordobesa seleccionada para participar en el Mundial de Ciberseguridad

Ese evento fue organizado por la Agencia de Ciberseguridad de la Unión Europea y se desarrolló en Grecia, en junio

La ingeniera Ileana Barrionuevo es especialista en seguridad informática y fue una de las 15 personas seleccionadas de Latinoamérica y la única de Argentina para competir en el Primer Mundial de Ciberseguridad.

Antes de ayer, la joven recibió un reconocimiento de la Municipalidad de Córdoba por su participación destacada en el International Cybersecurity Challenge , competencia organizada por Enisa, en Atenas, Grecia.

Del evento participaron Carlos Garay y Dan Borgogno, en representación de Hacker Space. La secretaria de Planeamiento, Modernización y Relaciones Internacionales municipal, Alejandra Torres, y el director General de Innovación y Emprendimiento, Luciano Crisafulli, hicieron entrega del especial reconocimiento.

“Lo de Ileana demuestra una vez más el gran talento que hay en nuestra ciudad. Tenemos el potencial para convertirnos en una de las principales ciudades de Latinoamérica en términos de innovación y economía del conocimiento. Ella además animará a otras mujeres a estudiar carreras STEM” (siglas en inglés de ciencia, tecnología, ingeniería y matemáticas), expresó Luciano Crisafulli, en diálogo con Comercio y Justicia.

Según la Unesco, en el mundo, las mujeres representan solo 35% de quienes cursan estudios de enseñanza superior en STEM. “Este porcentaje empeora cuando vemos en el Córdoba Startup Monitor que solo 16% de los fundadores de startups en Córdoba son mujeres. Las brechas de género reducen las posibilidades de innovación y de nuevas perspectivas para abordar los desafíos actuales y futuros”, consideró Crisafulli.

Ileana es ingeniera en sistemas de información, egresada de la Universidad Tecnológica Nacional, Facultad Regional Córdoba (UTN- FRC), docente e investigadora en la misma facultad y también estudiante de posgrado. Actualmente trabaja en el equipo de Seguridad Digital de Naranja X como security engineer en el equipo de Red Team.

Comenzó de manera autodidacta en el mundo de la seguridad informática participando en proyectos de investigación del Laboratorio de Sistemas en la facultad, en donde conformó un equipo con el que realizó análisis de seguridad general y penetration tests para diversos entes tanto privados como públicos.

Comercio y Justicia entrevistó a la joven. En esta nota contamos cómo llegó a convertirse en una referente de la ciberseguridad internacional.

¿Por qué eligió esta profesión?

Elegí el mundo del hacking porque involucra mucho de "detective" y pensar como atacante, con el objetivo de evitar que de verdad vulneren los sistemas u ocurra un incidente. Debo decir que siempre fui “fan” de las novelas policiales y películas que involucran este tipo de cosas, y participar en la vida real me apasiona. Mi tarea más importante es hacer de Internet un lugar más seguro desde mi rol: atacar con el fin de defender mejor.

¿Cómo llegó a ser la única argentina en quedar seleccionada entre los 15 de Latinoamérica para participar en este evento?

Vi la convocatoria para conformar un equipo latinoamericano por Linkedin para este evento, en donde el requisito era tener entre 18 y 26 años. Mandé el CV y se hizo una ronda de preselección; nos enviaron desafíos de seguridad informática para conformar a su vez otro grupo. Finalmente se realizó un capture the flag (CTF) entre los preseleccionados para definir un top 15 de los que iban a viajar, entre los cuales hubo participantes de distintos países de Latinoamérica -como México, Colombia, Brasil, Chile y Perú-, y finalmente quedé entre esos 15.

¿Cómo fue la experiencia de estar en esta competencia mundial?

Esta competencia fue entre regiones: Latinoamérica, Canadá, EEUU, Oceanía, Asia y Europa. Fueron jornadas de mucha colaboración entre los miembros del equipo, ya que cada uno posee ciertas especialidades dentro de ciberseguridad, por lo que nos complementamos.

Se realizaron dos tipos de competencias: la típica, que es "jeopardy", en la que se presentan desafíos de seguridad informática categorizados por áreas: reversing, criptografía, aplicaciones web, forensics, hardware challenges y miscelánea (se conjugan varias áreas en un mismo desafío). Quien resuelva más rápido los challenges gana mayor puntaje.

Los desafíos requerían mucho tiempo de análisis pero teníamos un solo día y cada uno se orientó a resolver aquellos con los que se sentía cómodo. Cuando veíamos que no podíamos con alguno, nos ayudábamos entre nosotros sugiriendo otras formas de resolución. De esta manera, habíamos arrancado durante la mañana en el primer puesto. Al final de la jornada, el equipo de Europa ganó por mayor puntaje.

¿Cómo fue la prueba de desactivar una bomba?

Algo que también hubo fue un Escape Room de Ciberseguridad, en el que el objetivo era desactivar una bomba en 40 minutos. ¡Lo logramos en 20! Fue bastante divertido y nos dimos cuenta de cuán importante es la coordinación en el equipo, sí o sí necesitábamos interactuar de la manera más óptima para conseguir códigos, abrir cajas fuertes, candados y salir de un ransomware.

El otro tipo de competencia fue Ataque y Defensa: cada equipo posee su máquina vulnerable con sistemas web corriendo, por lo que en una hora debíamos analizar las aplicaciones, su código fuente y descubrir la mayor cantidad de vulnerabilidades para comenzar a corregirlas.

Finalizada esa primera hora, durante toda la jornada debíamos atacar el resto de las máquinas de los diferentes equipos para conseguir la mayor cantidad de flags, tratando de no perder las nuestras porque mientras no parcháramos nuestras vulnerabilidades, los otros equipos nos van atacando.

A esto se le suma que mientras actualizamos el código corregido, el sistema no puede caerse por mucho tiempo porque nos descuentan puntos, es decir, hay un SLA (acuerdo de nivel de servicio).

Lo que nos ocurrió en este tipo de desafío fue que nos dedicamos mucho a atacar y dejamos para más tarde parchar, por lo que si bien íbamos ganando flags , perdíamos otras por no corregir a tiempo. Las flags son cadenas de texto específicas a encontrar como resultado de haber resuelto el challenge . Si obtenemos la flag nos dan puntos por haberlo logrado.

Nos organizamos en subequipos con roles en cada uno de defensa, de ataque y uno que conjuga ambos. Algo importante es que no podíamos utilizar herramientas de ataque automatizadas, más bien debíamos programar nuestros scripts de automatización pero no debíamos atacar la infraestructura del evento ni los equipos físicos de los participantes.

Además, descubrí este tipo de competencias llamadas Capture The Flag en las conferencias de hacking, y gracias a la interacción entre miembros de la comunidad formamos un equipo con gente de distintas provincias. Solemos anotarnos para competir en diversos desafíos internacionales y la verdad que es muy enriquecedor.

Algo cómico de esto fue que en el equipo latinoamericano me encontré con chicos que suelen ser mis rivales en los CTF, pero unimos esfuerzos y aprendí mucho del resto. Seguro que los vuelvo a encontrar en Ekoparty, una de las conferencias latinoamericanas de hacking más importantes.