Adam Ziaja

Adam Ziaja (ur. 27 września 1986) – polski informatyk, ekspert cyberbezpieczeństwa specjalizujący się w testach penetracyjnych, red teamingu, informatyce śledczej i reagowaniu na incydenty. Autor wydanej przez Wydawnictwo Naukowe PWN monografii Praktyczna analiza powłamaniowa oraz współautor podręczników szkoleniowych Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) dla zespołów CSIRT. W 2019 roku zbadał i opisał trwające od lat wykorzystywanie podatności BadWPAD w polskiej domenie krajowej. Jego ustalenia, opisane przez CERT Polska, CERT Orange i Zaufaną Trzecią Stronę, doprowadziły do przejęcia domen wpad.*.pl przez NASK. Biegły sądowy z zakresu informatyki przy Sądzie Okręgowym w Warszawie, prezes zarządu spółki RED TEAM.

Życiorys

Zajmuje się zarówno ofensywną, jak i defensywną stroną cyberbezpieczeństwa, w tym analizą powłamaniową i threat huntingiem. Na liście biegłych sądowych Sądu Okręgowego w Warszawie figuruje z tytułem zawodowym inżyniera w dziedzinie informatyki, ze specjalnościami obejmującymi informatykę śledczą, analizę powłamaniową, testy bezpieczeństwa i testy penetracyjne oraz hacking i cyberprzestępczość.

W latach 2013–2014 pracował w ComCERT SA i był współautorem podręczników szkoleniowych ENISA dla zespołów CERT/CSIRT – Digital forensics (2013), Identifying and handling cybercrime traces (2013) oraz Common Framework for Artifact Analysis Activities (2014). W 2014 roku jako członek zespołu ComCERT uczestniczył w ćwiczeniach ENISA Cyber Europe, w których zespół ten uzyskał najwyższy wynik w Europie. Pracował m.in. w latach 2014–2015 jako tester penetracyjny w Royal Bank of Scotland (RBS), a w latach 2016–2017 jako starszy konsultant cyberbezpieczeństwa w zespole red team firmy Deloitte. Kieruje spółką RED TEAM oraz jest członkiem zarządu spółki RTFS.

Badania nad podatnościami

Od 2012 roku zgłaszał w trybie responsible disclosure podatności w oprogramowaniu firm i instytucji, otrzymując podziękowania publikowane na ich oficjalnych stronach – m.in. Adobe, Apple, Uniwersytet Harvarda, Netflix i Nokia. Jest autorem zgłoszeń podatności zarejestrowanych w bazie CVE, m.in. w systemie OTRS (CVE-2014-1695, CVE-2014-2554), forum MyBB (CVE-2015-2149) i routerach DASAN Zhone ZNID (CVE-2019-10677). W 2013 roku zgłosił podatność typu server-side request forgery (SSRF) w oprogramowaniu GeoNode, wykorzystywanym m.in. przez Uniwersytet Harvarda w projekcie WorldMap. Uniwersytet Harvarda odnotował jego wkład w podziękowaniach na stronie tego projektu.

Podatność BadWPAD

 Zobacz też: BadWPAD#Przypadek polskich domen wpad.*.pl.

W 2019 roku opublikował wyniki serii badań nad wykorzystywaniem podatności BadWPAD w polskiej domenie krajowej. Ustalił, że od 2007 roku prywatna spółka utrzymywała domeny wpad.*.pl, z których serwowano pliki konfiguracyjne kierujące żądania do popularnych programów afiliacyjnych przez serwer proxy podmieniający identyfikator polecającego. Zawartość tych plików z kolejnych lat odtworzył na podstawie archiwum internetu. Ta sama infrastruktura obejmowała domeny wpad także w innych domenach najwyższego poziomu, m.in. czeskiej, włoskiej i tajwańskiej. Po ujawnieniu sprawy właściciel przekazał domeny pod kontrolę NASK, a CERT Polska skierował je na sinkhole i poinformował, że przejęto je z pomocą prowadzonej przez niego firmy RED TEAM. Sprawie poświęcono osobny rozdział w Raporcie rocznym 2019 zespołu CERT Polska. Badanie omówiły również CERT Orange i SANS Internet Storm Center oraz badacz bezpieczeństwa Kacper Szurek.

Przegląd badań nad bezpieczeństwem protokołu WPAD, opublikowany w lutym 2023 roku w czasopiśmie ACM Computing Surveys wydawanym przez Association for Computing Machinery, przedstawia badania zespołu REDTEAM.PL jako kontynuację badań Maxima Gonczarowa zaprezentowanych na konferencji Black Hat w 2016 roku i cytuje opublikowane przez Ziaję wyniki tych badań. Autorzy przeglądu wykorzystali statystyki z sinkhole'a NASK, a w podziękowaniach wymienili Ziaję.

Publikacje i wystąpienia

W 2017 roku Wydawnictwo Naukowe PWN wydało jego monografię Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux, poświęconą informatyce śledczej i reagowaniu na incydenty w systemie Linux. Książka ukazała się w serii Cyberbezpieczeństwo. Recenzentem naukowym był dr hab. inż. Jerzy Kosiński, profesor Wyższej Szkoły Policji w Szczytnie i biegły sądowy. Książkę zrecenzował także serwis NF.sec. Książka jest cytowana w literaturze naukowej, m.in. w publikacji o analizie ruchu sieciowego z 2022 roku w czasopiśmie Zeszyty Naukowe Pro Publico Bono. Patronat medialny nad publikacją objęły magazyny Programista i Linux Magazine, ISSA Polska, Fundacja Bezpieczna Cyberprzestrzeń, Instytut Informatyki Śledczej oraz serwisy Zaufana Trzecia Strona i Sekurak.

W 2019 roku opublikował badanie DNS based threat hunting and DoH (DNS over HTTPS). Opisał w nim wykrywanie zagrożeń na podstawie ruchu DNS oraz to, jak protokół DNS over HTTPS (DoH) pozwala omijać zabezpieczenia i mechanizmy wykrywania. Pokazał, że połączenie DoH z techniką domain fronting pozwala ukryć zapytania DNS w ruchu do popularnych domen, np. wysyłając je do serwerów DoH Google w połączeniu wyglądającym jak zwykły ruch do google.com, co omija blokowanie DoH po nazwie hosta. Do tego scenariusza odniósł się w comiesięcznym zestawieniu lektur firmy Splunk jej strateg bezpieczeństwa Ryan Kovar. Uznał tekst za dobre techniczne wprowadzenie dla zespołów obrony do tego, jak atakujący mogą za pomocą DoH obejść praktycznie wszystkie stosowane zabezpieczenia, i przyznał, że po jego lekturze próbował opracować sposób spójnego wykrywania DoH, co jego zdaniem będzie trudne.

Jest autorem rozdziału Bezpieczeństwo aplikacji webowych (s. 119–131) w pracy zbiorowej Przestępczość teleinformatyczna 2014, wydanej w 2015 roku przez Wyższą Szkołę Policji w Szczytnie oraz współautorem poradnika Bezpieczeństwo IT w kancelarii, opublikowanego przez stowarzyszenie ISSA Polska pod patronatem honorowym Naczelnej Rady Adwokackiej.

Występował jako prelegent na konferencjach branżowych i naukowych, m.in. Techniczne Aspekty Przestępczości Teleinformatycznej (TAPT) Wyższej Szkoły Policji w Szczytnie i Security Case Study Fundacji Bezpieczna Cyberprzestrzeń. W 2020 roku przedstawił podczas Lightning Sekurak Hacking Party prelekcję o ataku z wykorzystaniem kolizji DNS, w 2021 roku wystąpił na konferencji Infoblox Exchange z prelekcją Anti-anti-sandbox w ruchu sieciowym o wykrywaniu technik omijania piaskownic, a w 2024 roku na konferencji Sekurak Cyberstarter z prezentacją o threat huntingu.

Przypisy

Linki zewnętrzne

• Strona domowa Adama Ziaji