Entrevista a Alexis Fernández a.k.a. six2dez

Esta semana tenemos un nuevo invitado en el podcast #DaferraCyberTech.

Se trata de Alexis Fernández Fernández, hacker ético y experto en seguridad ofensiva.

Persona inquieta, curiosa y autodidacta, uno de los patrones clásicos de los que se dedican a la ciberseguridad técnica. Aficionado a los deportes de montaña y disfrutar con su familia.

Deja el bachillerato por la opción de letras sin terminar, y se inicia como programador Java y sys admin. Casi por mera necesidad profesional, descubre tempranamente su interés por la seguridad y termina por dedicarse al hacking ético y pentesting al máximo nivel.

Aprende y crece vertiginosamente hasta el punto de programar sus propias herramientas, mantener su proyecto de software de reconocimiento de activos open source o una base de datos de conocimiento sobre pentesting, aportar a proyectos de terceros, trabajar en el equipo de red team de una empresa de software noruega, hacer dinero en programas de bug bounty, y dar conferencias técnicas.

Con Alexis hablamos de:

Si se puede o no vivir del bug bounty
Si es posible automatizar un pentesting y la IA nos quitará el trabajo
De sus proyectos ReconFTW y Pentestbook y los pasos a dar para hacer un reconocimiento exhaustivo
De la iniciativa Axiom para paralelizar cargas de trabajo en actividades de hacking
De las actividades que realiza el red, blue y el purple team
De las competiciones Bugbounty y CTFs como la de HackerOne, en la que está inmerso con la selección española y que a fecha de grabación del podcast, parece que les ha llevado a estar en cuartos de final a nivel mundial
Las conferencias técnicas en las que ha participado: DragonjarCon, HacktivityCon y BitUp 2021, las que están por venir como Euskalhack 2023, y las dinámicas que se generan allí
La desmitificación de los ciberdelincuentes habituales y sus capacidades, en cuanto a que básicamente lo que suelen realizar es aprovechar los CVE y zerodays que van siendo publicados o apareciendo en el mercado negro, respectivamente
El perfil que debe tener alguien que quiera dedicarse a la seguridad ofensiva, el papel de la formación reglada y los certificados como OSCP, o los procesos de selección y el teletrabajo
De los principales medios para mantenerse al corriente de novedades de su nicho
Tendencias, amenazas a nivel de ciberseguridad ofensiva e impacto de la IA
Cómo acceder al sector siendo junior o senior, y las mejores plataformas para entrenar a su modo de ver
Consejos para las empresas que quieran permanecer ciberseguras

Luego pasamos a la parte personal de la entrevista.

Invitado

Alexis Fernández Fernández

Entidades mencionadas

Amazon, Cloudflare, Epic Games, Github, HackerOne, Intel, MS, MS Azure, Tesla, Visma

Conceptos

Antivirus, bug bounty, ChatGPT, CVE, dominios, EDR, FTP, hacking, hosts virtuales, IA, Java, Linux, Open Source, paralelización, pentesting, proxy, purple team, Python, reconocimiento de activos, sys admin, vulnerabilidades, web, zerodays

Personas

Bernardo Viqueira

Recursos

OffSec Certified Professional: OSCP

Framework de reconocimiento de activos: ReconFTW

Base de conocimiento Pentestbook

Proyecto Axiom para paralelizar cargas de trabajo

Plataformas de aprendizaje: Hack the Box, Tryhackme

Penetration testing: a hands-on introduction to hacking, de Georgia Weidman

Ocio

Restaurante Akuna Matata

Grupo Dremen