I need to prepare a presentation for San Diego Bsides, a security conference, in the second week of April. Please prompt me with questions to create the presentation.
My presentation topic is "From Simplicity to Sophistication: How Will the Evolution of Breach and Attack Simulation Impact Your Defense Strategies?"
My goals are to make the presentation
1) Engaging.
2) Entertaining.
3) Educational.
Some important context about me
1) I co-founded a breach and attack simulation company called AttackIQ with Stephan Chennette in 2012-13.
2) I was a software engineer, writing kernel device drivers in the network and storage stack for security products. Endpoint protection, Network Protection. Forensics.
3) I am not a hard-core security practitioner but a software engineer. John Lambert, threat intelligence at Microsoft, said, "Defenders think in lists. Attackers think in graphs." It may be true for software engineers and security practitioners. 
Some important context was provided to me by the person inviting me to talk.
1) There are going to be 10-45 people in the audience.
2) People attending are a friendlier mix. Security conferences attract irreverent individuals. As it's a more embracing environment with a lower bar of entry, we've gotten individuals who are policy focused to super technical Red Teamers who attack Web APIs daily.
3) Talk about Something you are invested in; passion translates well into these talks and resonates with like-minded security-focused individuals.
4) It's going to be at a brewery.
5) It's a 20-minute presentation.
6) Usually, Q&A doesn't extend past 10 minutes for a 20-minute talk. 
The format of the presentation needs to follow the example below.
1) Talk Title: Automating Startup Security Programs
2) Talk Length: 20 Minutes 
3) Short Abstract Outline
3.1) Who I Am
3.2) Startup Security - Understanding the Why
3.3) Establishing a Security Program Early
3.4) Shift Left… or Start Left
3.5) Automating All The Things
3.6) Build Security SaaS Relationships
3.7) Key Takeaways
4) Detailed Outline
4.1) Who I Am 
4.2) Startup Security - Understanding the Why 
You should understand your business before you start jumping into things. Especially for a startup, the security program shouldn't be coming up with blockers, but rather figuring out how to be an enabler. Identify what security frameworks are most appropriate for your business, and plan accordingly.
4.3) Establishing a Security Program Early 
Establishing a security program early will pay dividends. There is generally a high cost to 'bolting on security' afterward. Adding security processes and controls afterwards usually introduces friction, technical debt, and long-term design flaws. 
4.4) Shift Left… or Start Left 
Security shouldn't just be the security team's responsibility. Especially if you're a security team of 1, this just isn't scalable. You'll need to enable your developers and overall team to find and address security issues early and enable them to fix them efficiently. Establish security training, awareness, and champions.
4.5) Automating All The Things 
Let the robots do the work. There will be an incredible amount of work required to meet security compliance requirements. So start scripting away, or start researching SaaS vendors who can help. Everything can be automated; the question is to build it or buy it?
4.6) Build Security Vendor Relationships 
No matter how advanced your security program and team are… you're going to need to invest in some 3rd party security tools. The security vendor industry is rapidly evolving. Find vendors that solve your problems and mutually grow with them.
4.7) Key Takeaways

If it makes sense, I would like to include some topics below in my presentation.
1) In the "Who I am section."
If it makes sense, include that I was a kernel device driver software engineer. Some self-deprecating humor about I see myself thinking in lists, unlike security practitioners who think in graphs.
2) Why Breach and Attack Simulation (BAS)?
2.1) Does anyone know the average number of controls an enterprise has? It's 75! Introduce this theme as a meme.
2.2) Does anyone know the average tenure of a CISO? 18-24; we have a tendency to shoot the messenger; introduce some meme about this message;
2.3) Software-defined capabilities of controls rather than static capabilities? 
Back in my day, things were simple...
You have an AV, Firewall, IDS/IPS, Proxy Server and just few others...
A firewall was a firewall...and AV was an AV...
What is a Crowdstrike EDR? A firewall, AV, DLP protection, or all of the above?
2.4) Point in time testing in a world that has become too dynamic, threats are evolving, controls are evolving, defenders are few, and the adversary is evolving in flight.
3) To understand how BAS evolved, understanding how security controls evolved may be interesting. As you will see, BAS is a cat-and-mouse game; its evolution followed the evolution of security controls.
3.1) Have you heard about the pyramid of pain? IMO best way to understand is through the pyramid of pain.
3.2) Security Controls evolved by blocking the artifacts with increasing complexity; start with hashes, then signatures, then IP addresses, then domains, and finally TTPs. That's how AVs, Firewalls, IPS/IDS, and EDRs evolved.
3.4) BAS evolution could be understood with the pyramid too.
3.4.1) Automate easy things. 
Prebreach is hard.
Finding zero days is hard.
3.4.2) But there is a lot you can do.
Assume the breach makes sense.
Check if the damn this is even on.
You have spent money on it; does it still work; after the update...
Then automate IoC, which is less painful
hashes, domain, pcap.
3.4.3) Have you heard about MITRE ATT&CK?
TTPs are a great way to challenge your controls with.
3.4.5) It's not part of the pyramid of pain; what we see now is that we need to emulate Attack Flows or Attack Graphs; because atomic MITRE ATT&CK TTPs in themselves could be too naive in isolation, but in a graph execution, they should raise suspicion which your program should prevent and detect.
4) What to Look for in BAS Solutions?
4.1) Focus on the gaps.
4.1.1 ) Have you heard about Sonil Yu's cyber defense matrix?
There are thousands of vendors if you go to any conference.
Sonil made it easy to see which ones do the same things and help you with gaps.
4.2) What you should be looking for
4.2.1) Efficacy of Attack & Detection
4.2.2) High Attack Behavior efficacy
4.2.3) High Detection efficacy
4.2.4) Something open rather than closed
That helps you to test your assumptions by replicating your own Attack Scenarios and craft integrations to craft your own detection rules.
4.3) Open source from MITRE
Caldera
4.4) Commercial solutions
4.4.1) AttackIQ
4.4.2) SafeBreach
4.4.3) Cymulate
4.4.4) Many new incumbents
5) Benefits of Adopting BAS
5.1) Look for Resiliency & Antifragility. Embrace failures just like the DevOps mentality.
5.2) Focus on the things that matter. 
5.2.1) Automate easy things away.
5.2.2) Automate orchestration of graphical execution of TTPs 
5.4) Improve team collaboration using an evidence-based approach - Red/Blue. Less finger-pointing, more cooperation between red teams, blue teams, detection engineering, and threat hunters.
5.4) Proactive.
6) Key Take Aways
6.1) Know the gaps highlighted by the cyber defense matrix
6.2) The importance of understanding the evolution of security controls and BAS
6.3) How BAS can improve security strategies and team collaboration
6.4) The Sun Tzu quote - "If you know the enemy and know yourself, you need not fear the result of a hundred battles. If you know yourself but not the enemy, for every victory gained you will also suffer a defeat. If you know neither the enemy nor yourself, you will succumb in every battle."
4월 둘째 주에 열리는 보안 컨퍼런스인 샌디에이고 B사이드에서 발표할 프레젠테이션을 준비해야 합니다. 프레젠테이션을 작성하는 데 도움이 될 만한 질문을 알려주세요.제 발표 주제는 '단순함에서 정교함으로'입니다: 침해 및 공격 시뮬레이션의 발전이 방어 전략에 어떤 영향을 미칠까요?"입니다.프레젠테이션의 목표는 다음과 같습니다.1) 참여 유도.2) 재미있게.3) 교육적.나에 대한 몇 가지 중요한 맥락1) 저는 2012~13년에 Stephan Chennette와 함께 침해 및 공격 시뮬레이션 회사인 AttackIQ를 공동 설립했습니다.2) 소프트웨어 엔지니어로서 보안 제품을 위한 네트워크 및 스토리지 스택의 커널 디바이스 드라이버를 작성했습니다. 엔드포인트 보호, 네트워크 보호. 포렌식.3) 저는 하드코어 보안 실무자가 아니라 소프트웨어 엔지니어입니다. Microsoft의 위협 인텔리전스 담당자인 John Lambert는 "방어자는 목록으로 생각합니다. 공격자는 그래프로 생각합니다."라고 말했습니다. 소프트웨어 엔지니어와 보안 실무자에게는 맞는 말일 수 있습니다. 저를 대담에 초대해준 사람이 몇 가지 중요한 맥락을 제공했습니다.1) 청중은 10~45명이 될 것입니다.2) 참석하는 사람들은 더 친근한 사람들입니다. 보안 컨퍼런스는 경건하지 않은 사람들을 끌어들입니다. 진입 장벽이 낮고 포용적인 환경이기 때문에 정책에 초점을 맞춘 사람부터 매일 웹 API를 공격하는 고도의 기술력을 가진 레드팀원까지 다양한 사람들이 모입니다.3) 자신이 투자하고 있는 분야에 대해 이야기하세요. 열정은 이러한 이야기에 잘 녹아들고 같은 생각을 가진 보안 중심적인 사람들과 공감을 불러일으킵니다.4) 양조장에서 진행됩니다.5) 20분간 프레젠테이션이 진행됩니다.6) 일반적으로 20분 강연에서 Q&A는 10분을 넘기지 않습니다. 프레젠테이션 형식은 아래 예시를 따라야 합니다.1) 강연 제목: 스타트업 보안 프로그램 자동화2) 강연 길이: 20분 3) 짧은 요약 개요3.1) 내가 누구인가3.2) 스타트업 보안 - 그 이유에 대한 이해3.3) 보안 프로그램 조기 구축하기3.4) 왼쪽으로 이동... 또는 왼쪽으로 시작하기3.5) 모든 것 자동화하기3.6) 보안 SaaS 관계 구축3.7) 주요 테이크 아웃4) 자세한 개요4.1) 나는 누구인가 4.2) 스타트 업 보안 - 이유 이해 시작하기 전에 자신의 비즈니스를 이해해야 합니다. 특히 스타트업의 경우, 보안 프로그램은 차단하는 것이 아니라 어떻게 조력자가 될 수 있을지 고민해야 합니다. 비즈니스에 가장 적합한 보안 프레임워크가 무엇인지 파악하고 그에 따라 계획을 세우세요.4.3) 보안 프로그램을 조기에 구축하기 보안 프로그램을 조기에 구축하면 큰 효과를 볼 수 있습니다. 일반적으로 '보안을 강화'하는 데는 많은 비용이 듭니다. 보안 프로세스와 제어를 나중에 추가하면 일반적으로 마찰, 기술 부채 및 장기적인 설계 결함이 발생합니다. 4.4) 왼쪽으로 이동... 또는 왼쪽에서 시작하기 보안은 보안팀만의 책임이 아니어야 합니다. 특히 보안 팀이 1명이라면 이는 확장성이 떨어집니다. 개발자와 전체 팀이 보안 문제를 조기에 발견하여 해결하고 효율적으로 수정할 수 있도록 지원해야 합니다. 보안 교육, 인식, 챔피언을 구축하세요.4.5) 모든 작업 자동화 로봇에게 일을 맡기세요. 보안 규정 준수 요건을 충족하려면 엄청난 양의 작업이 필요할 것입니다. 따라서 스크립팅을 시작하거나 도움을 줄 수 있는 SaaS 공급업체를 조사하세요. 모든 것을 자동화할 수 있습니다. 문제는 그것을 구축할 것인가 아니면 구매할 것인가입니다.4.6) 보안 공급업체와의 관계 구축 보안 프로그램과 팀이 아무리 뛰어나더라도 타사 보안 도구에 투자해야 합니다. 보안 공급업체 업계는 빠르게 진화하고 있습니다. 문제를 해결하고 함께 성장할 수 있는 벤더를 찾아보세요.4.7) 주요 테이크아웃프레젠테이션에 아래 몇 가지 주제를 포함시키고자 합니다.1) "내가 누구인가 섹션"에서.제가 커널 장치 드라이버 소프트웨어 엔지니어였다는 사실을 포함하세요. 그래프로 생각하는 보안 실무자들과 달리 저는 목록으로 생각한다는 자기 비하적인 유머도 넣을 수 있습니다.2) 왜 침해 및 공격 시뮬레이션(BAS)인가?2.1) 기업의 평균 제어 개수를 아는 사람이 있나요? 75개입니다! 이 주제를 밈으로 소개하세요.2.2) CISO의 평균 재임 기간을 아는 사람이 있나요? 18~24년; 우리는 메신저를 쏘는 경향이 있습니다. 이 메시지에 대한 밈을 소개하세요;2.3) 정적 기능이 아닌 소프트웨어 정의 제어 기능? 제 시절에는 상황이 간단했습니다...AV, 방화벽, IDS/IPS, 프록시 서버 등 몇 개만 있으면 됐죠...방화벽은 방화벽이었고, AV는 AV였습니다...크라우드스트라이크 EDR이란? 방화벽, AV, DLP 보호, 아니면 위의 모든 것을 제공합니까?2.4) 너무 역동적으로 변하고, 위협은 진화하고, 제어는 진화하고, 방어자는 적고, 공격자는 비행 중에도 진화하는 세상에서 특정 시점 테스트.3) BAS가 어떻게 진화했는지 이해하려면 보안 제어가 어떻게 진화했는지 이해하는 것이 흥미로울 수 있습니다. 보시다시피 BAS는 고양이와 쥐의 게임과 같아서 보안 제어의 진화에 따라 진화했습니다.3.1) 다음과 같은 피라미드에 대해 들어보셨나요?