Mar 18 2012

2011 – 2012. Estado de la (IN) Seguridad Informática. (Publicado en el Blog de INTECO).

Los que tenéis a bien seguirme a través de Twitter y estáis al tanto (entre pingüinos y bugs) de mi día a día, ya sabéis que he comenzado a colaborar con el Blog de Seguridad de la Información de INTECO, junto a grandes profesionales del sector.

También, los habituales de aquí, sabéis el gran sabor de boca con el que vine dentro de mi participación el año pasado en León, dentro de las actividades del 5ENISE, en la ponencia “Bloggers de Seguridad 2011“, además del excelente trato recibido por INTECO-CERT.

El haber podido conocer al equipo humano del CERT, no ya dentro de las actividades del propio 5ENISE, sino donde conoces mejor a las personas, tomando unas cañas por ejemplo junto a mis compañeros de ponencia, (muy grandes;) sumado a la gran cantidad de material que suelo utilizar en mis cursos de INTECO, tal y como podrían dar fe la media de unos 14 alumnos que suelen asistir, hace que para mi, sea algo muy natural el haber empezado a aportar mi granito de arena en su blog (saludos Cristina, siempre pendiente del más mínimo detalle -;).

Ya venía siguiendo todos los resúmenes del resto de compañeros de blog acerca de su visión sobre el pasado 2011 y lo que esperaban para este año. Hablando de un campo como el de la Seguridad, tan cambiante por momentos que es verdaderamente complejo apuntar tendencias, me pidieron cerrar los resúmenes y aquí podéis leer mi valoración sobre el 2011 / 2012, o el “estreno en “ObservaINTECO Blog”.

Muchas gracias por la confianza depositada, intentaré ir escribiendo sobre lo que vea y recopilaré aquí todo lo publicado.

 

Tags: , , , , , , , , ,


Ene 07 2012

Hablando de seguridad wi-fi en el podcast de “El telar del Geek”. (Antes “El Arca de la Alianza”)

Bueno, pues estamos de estreno, por fin Dani se ha animado a volver a grabar y he tenido el honor de ser con quien “acabó”, o más bien cerró una etapa en “El Arca de la Alianza“, para ahora, bajo otro nombre y dominio www.eltelardelgeek.com, comenzar a colaborar en la sección de seguridad informática, (con espíritu de; “para todos los públicos”), cada mes.

Podcast

Me alegro mucho por él ya que, viendo que en un día ha tenido más de 1.000 descargas según me comentaba, tiene que ver el tirón de su podcast y que la gente estaba ahí esperando a que se pusiera “micro a la obra” ;).

Como comento en la entrada original (acceso al audio y demás datos), en el momento de grabar. no sabíamos nada sobre la vulnerabilidad en WPS y lo he recomendado desactivar la opción caso de venir habilitada, en los comentarios de esta primera entrega.

Muchas gracias “Sr Perogrullo en Twitter o Dani para los amigos, ya sabes que puedes contar conmigo y ahí estaré todos los meses intentando aportar algo de lo aprendido.

Por cierto, si en el año 2010 tuve la satisfacción de que uno de nuestros podcast (especial SysAdmin con Ricardo Galli) se colase en el “Top 2010” en tecnología (se seleccionan dos por cada categoría) en el  2011 repetimos con el que grabé para Daniel, hablando de “Hackers y Crackers“, Estad atentos a sus audios ya que sacará uno cada semana (fotografía, seguridad, tecnología, etc).

(Pdta, para los aficionados a estos temas, grabé otro sobre seguridad con Dani y está el “Especial Seguridad” con Sergio Hernando).

Tags: , , ,


Oct 31 2011

[FAIL] Primero fue Twitter y ahora Dropbox. Cambias el password y hasta el “logout” sigues conectado.

Primero fue Twitter…

Bueno, sobre lo de Twitter y el cambio de password vía web no voy a hablar mucho porque los habituales de DaboBlog lo sabéis. Ya hice la demo en el pasado FIMP, demostrando que se podía acceder (en el caso que presenté) con un cliente móvil con la contraseña antigua todo el tiempo que quisieras hasta que que cerrase la sesión (también lo mencioné en el 5EBloggers del ENISE e hice otra demo vía móvil a varios compañeros de mesa). A modo de recordatorio, en caso de pérdida de un móvil u otro dispositivo ya sabéis, o borrado remoto, o ir a Twitter y revocar el acceso a la aplicación. Aún cambiando vía web el password, seguirán conectados a tu cuenta.

Ahora Dropbox.

Leer el resto de;”[FAIL] Primero fue Twitter y ahora Dropbox. Cambias el password y hasta el “logout” sigues conectado.”

Tags: , , , , , ,


Oct 28 2011

Sobre mi participación en León en el “5EBloggers” de INTECO-CERT

Ayer llegué de León con muy buen sabor de boca, después de haber participado en el evento “Encuentro blogueros de Seguridad 2011” organizado por INTECO-CERT, una mesa redonda (larga y rectangular más bien;) dentro de las actividades paralelas del 5º ENISE (Encuentro Internacional de Seguridad de la Información).

Edito y añado, ya están los vídeos.

Creo que un buen resumen acerca de lo que hablamos lo hizo (y muy rápido, dada la hora a la que nos retiramos) Sergio de los Santos en el Blog del laboratorio de Hispasec. (no “de los Santosm” como dice ABC, tampoco su crónica, leyendo ya el primer párrafo se ajusta a la realidad-;). Edito y añado la crónica de Manolo (grande;) en Security Art Work, así podéis leer todos los puntos de vista.

Por añadir algo a los suyos, entramos en un debate con opiniones diversas sobre si la concienciación en buenas prácticas sobre seguridad informática era efectiva. Bien desde la divulgación pura y dura, acompañada de la dureza de posibles sanciones, etc. Sobre este punto hay una cosa que tengo muy clara, independientemente de las opiniones vertidas, la realidad es que todos los que estábamos en la mesa, desde hace años, venimos haciéndolo en distintos medios y seguiremos haciéndolo. Creo que por encima de nuestras opiniones o percepciones, seguiremos porque es necesario y más con el panorama actual, ciertos mensajes sí llegan al usuario final.

Leer el resto de;”Sobre mi participación en León en el “5EBloggers” de INTECO-CERT”

Tags: , , , , , , ,


Oct 21 2011

El Miércoles 26 nos vemos en León. “Encuentro Blogueros de Seguridad 2011” (INTECO-CERT)

Pues sí, allí estaremos, el próximo Miércoles día 26, a las 19 h en el Salón Auditorio A, del Parador San Marcos. Compartiendo mesa y ponencia con gente a la que sigo habitualmente (y admiro) como una actividad paralela a los actos que se celebran en torno al 5º ENISE (Encuentro Internacional de Seguridad de la Información).

Con el tema “Hacia una sociedad conectada más confiable” (ceo que el tema dará mucho juego), pudiendo seguirse de un modo presencial (entrada libre hasta completar el foro) o para quienes no puedan asistir, vía web. Tras una primera intervención por parte de quienes formamos la mesa, luego habrá un turno de preguntas y respuestas. En Twitter, el “hashtag” será; #5Ebloggers

En la mesa compartiré espacio junto a;

Moderador; Javier Berciano (Coordinador del Área de Operaciones de INTECO-CERT)

José Selvi Pentester | Manuel Benet Security Art Work |  Yago Jesús SecurityByDefault

Así que ya sabes, si te pasas por León, allí nos veremos, gracias a la organización por invitarme a asistir y un saludo a los compañeros de mesa ;).

Más info; “Encuentro Blogueros de Seguridad 2011“.

Tags: , , , ,


Oct 04 2011

Sobre mi participación en la “Jornada de Seguridad Informática” de Area Tic

Category: Hacking | Redes,Mi Opinión,Seguridad Informaticadabo @ 10:10 am

Hace unos días, tuve la oportunidad de participar en la “Jornada de Seguridad Informáticaorganizada por “Area Tic” en Oviedo. Antes que nada, dar las gracias a los impulsores del evento y asistentes por invitarme a asistir y compartir experiencias junto a otros profesionales del sector (Garrigues Abogados, Cobertura Informática y el responsable de delitos telemáticos de la Guardia Civil de Oviedo). Vaya mi más cordial saludo desde aquí.

Mi ponencia tenía una duración de 20 minutos y hablé de (IN) Seguridad en la PYME. Me centré en algún caso vivido en primera persona como puede ser en este blog y el post sobre Gmail, Google Apps y Twitter, como un ejemplo de algo tan de moda como es la “reputación online” y cómo pueden llegar a afectar a empresas tan grandes ciertas opiniones y blogs tan pequeños dentro del “mundo blog” como es este.

También cité algún ejemplo vivido en primera persona bien con las labores de consultoría que llevo a cabo desde davidhernandez.es, o como parte del equipo de APACHEctl llevando el área de Hacking Etico. Hablé de cómo un sólo equipo en red, puede afectar a toda una infraestructura empresarial, convirtiéndola en parte de una botnet en base a una infección que bien podía haber sido evitable tanto por las medidas de protección instaladas (que no eran las adecuadas), como por parte de un empleado víctima de un engaño a través de la descarga de un fichero (visor de vídeo) malicioso. Aquí suscribiría mis palabras de no hace mucho tiempo, acerca del poco interés de las empresas en dotar a sus empleados de una cultura de la seguridad informática que vende menos que el “Social Media” o el Marketing de siempre.

Tuve tiempo para exponer un ejemplo de ataque por “ingeniería social” con el fin de conseguir el código de desbloqueo a un “Smartphone” supuestamente olvidado (haciéndome pasar por alguien de la oficina de objetos perdidos y aprovechando que el móvil tenía un logo corporativo visible aún con el bloqueo), sobre medidas de protección en ese tipo de dispositivos que hoy en día son como una extensión de nuestra oficina, además de otros como lápices de memoria, portátiles, etc.

Para acabar, recordé un caso no muy lejano hablando de auditorías de seguridad, en el que, por cuestiones de la LOPD, un sólo fichero que no estaba donde debía estar, podría comprometer a nivel legal (y cerrar llegado el caso) a una ya no pequeña, sino mediana o gran empresa. También de la LSSICE, etc.

Pero sobre todo, cada vez que vas a un evento de este tipo, te das cuenta de lo complejo que es para cualquier PYME cumplir las diferentes normativas vigentes y más cuando operan en entornos web, algo muy habitual hablando de “Comercio electrónico” y la gran cantidad de empresas que llevan su modelo de negocio a La Red o lo complementan desde una tienda virtual u otros sistemas.

Creo que existe un “vacio” entre la parte legal (diferentes normas ISO, LOPD, etc), técnica (Redes, soluciones anti-malware, software instalado, soporte) y en cómo realizar un plan de actuación “real” ante los diferentes escenarios hablando de seguridad a los que se enfrenta una PYME en la actualidad si nos referimos a la Gestión de la Seguridad de la Información (SGSI).

Y es que, además de intentar cumplir en este caso por ejemplo con la ISO/27001 (que puede servir para todas las series “27000”) por aquello de “conseguir la certificación”, habría que ir más allá del marco jurídico o de las propias certificaciones para pensar que una empresa que dote de buena formación a sus empleados, tendrá mucho más fácil intentar cumplir con toda la normativa vigente y certificarse de un modo más sólido, pero sobre todo, evitarse “sustos” y de los buenos en medio de esos procesos. De todos es sabido que el eslabón más débil en la cadena de la seguridad es el ser humano, cualquier fleco o cuestión sin pulir puede acarrear a esa empresa multas que según las cuantías, acabarían forzando un “cerrojazo” por no poder afrontarlas.

Creo que no es lo mismo que le digas a un empleado (que no está de más); “Ojo con no poner la opción con copia oculta cuando envías correos masivos que igual nos meten 3.000 € de multa“, a que le enseñes cómo tiene que hacer un uso racional de las nuevas tecnologías. No digamos en puestos como “Recursos Humanos”, donde se manejan datos potencialmente críticos si hablamos de la LOPD ¿de qué sirve realizar todos los pasos que dictamina la Agencia de Protección de Datos, si ese empleado no sabe por dónde tiene que navegar o no, que ficheros puede instalar en su equipo, o lo que supone “hacer click” en un enlace que secuestra su sesión de usuario vía un ataque de phishing?

El problema es que cada vez aprietan más a la PYME con normativas y leyes cuasi-imposibles de cumplir (también nos pasa a muchos blogs / webs) en momentos difíciles y se sobrecarga de trabajo a empleados que realizan otras tareas para implementar las correspondientes certificaciones, luego, el resto de la plantilla lo ve como el típico rollo que hay que cumplir “por que sí” y se puede dar el caso de que estén todos los procedimientos escritos, pero, o nadie sepa llegado el caso dónde están, o cómo aplicarlos con efectividad.

Si tienes todos “los deberes hechos” y luego tu extranet está alojada en un servidor potencialmente vulnerable, alguien con responsabilidad en la empresa se conecta a esa extranet desde conexiones que no son seguras o por la primera Wi-Fi que encuentra, el software no está debidamente actualizado, no se cifran los ficheros o datos más comprometedores, en las mesas de los despachos están desde contraseñas de usuario, fichas o datos de clientes al alcance de cualquiera, no se protegen los dispositivos móviles como se debería hacer y no se intentan “romper” mediante una auditoría todas las medidas puestas en marcha, las certificaciones no serán más que bonitos cuadros o estatuillas colocadas en los despachos…

Quizás algún día, la gente empiece a ver la seguridad informática, como un activo hoy en día para la empresa mayor aún que los muchos cursos (sí, a veces obligatorios por parte de multinacionales o franquicias) de ventas, marketing, etc. La (IN) Seguridad es algo “vivo” que va por delante de cualquier certificación o normativa. En un escenario como el actual, la prevención, rapidez de respuesta y formación, pueden ser nuestros mejores aliados. Seguridad “real” y actual como apoyo a las diferentes empresas de certificación / adecuación.

 

Tags: , , , , , , , ,


Sep 21 2011

El “misterioso” caso de Gmail, Google Apps y Twitter. ¿Casualidad, causalidad o inseguridad?

#Disclaimer; Esta entrada debe ser considerada como un post o reflexión seguramente paranoide y bajo ese aviso (cuidando la salud mental de quienes tenéis a bien seguirme;) debe ser leída.

#Actualización, me han llamado hoy 27 de Septiembre desde Google (Irlanda) para aclararme el caso, concretamente la persona que añadió nuestras cuentas (Cristian) dándome una explicación. Lo pongo en los comentarios del post.

El título quizás es algo “novelesco”, también buscando quitarle trascendencia a algo que puede ser (como seguramente es) fruto de la casualidad, o para dejar la pregunta final a vuestro criterio. Para responder a esa pregunta; ¿Casualidad, causalidad o inseguridad? os pondré en antecedentes.

Mi colega Salva, mejor “Xsas” para los habituales del blog, y yo (a quien le comenté que quizás escribiría algo sobre el tema entre risas y sensación de “uhmm” -;), nos cruzamos un par de correos hablando de cómo hacer un backup de la cuenta de un cliente con su correo y otros datos funcionando bajo Google Apps (servicio proporcionado por Google).

Aclaro que no hubo conversación previa vía Twitter del tema, sólo por correos electrónicos, en ambos casos cuentas de Gmail / Google Apps lo que viene a ser lo mismo. El detalle de que ni en público ni en privado, comentamos nada en Twitter, tiene su peso para la sensación de “conspi-paranoia” que sufrimos en ese momento ;D.

Bien, hasta ahí todo normal, nuestra “extrañeza” llego cuando pasada más o menos una hora del último envío de correo, nos llegó un aviso casi a la vez, de que la cuenta oficial de Google Apps España nos estaba siguiendo en Twitter…Si os fijáis en la lista de a quien siguen, tal y como se ve en la captura de pantalla, efectivamente están las dos seguidas, primero la mía y luego, la cuenta de Quadux que es de Salva.

Cuando recibimos el aviso de Twitter, casi a la vez, vía mail nos cruzamos un “hostia” ¡Qué casualidad ! y ciertamente aquí puede haber opiniones para todos los gustos, ahí quedan 3 de las muchas opciones posibles.

Como dato adicional, he de decir que hace cerca de un mes escribí en Twitter algo así como “no uses como cuenta de admin tu cuenta personal en Google Apps” (para que, en el caso de un acceso no autorizado, puedas recuperar tu cuenta “normal”, aconsejaba hacer otra con un nombre “enrevesado” y administrar Google Apps desde esa). Puse como “hashtag (#) GoogleApps.

¿Casualidad?

Una mera casualidad, el súper algoritmo “Panda” de Google o los responsables de la cuenta de Google Apps España van buscando temas sobre administración de sistemas, la gestión de cuentas de Google, “hastags” o menciones que contengan “GoogleApps”, etc y encuentran lo que escribí en Twitter sobre Google Apps, “ven” la relación entre la cuenta de Salva y la mía y nos siguen a ambos. Sería lo normal pero ¡ qué casualidad ! que sea después de los mails. Aunque de eso van las casualidades ¿no?

¿Causalidad?

Causa-efecto. En los dos mails que nos enviamos, Salva y yo estábamos usando cuentas de Gmail / Google Apps, como dentro de los mensajes se hacía mención a Google Apps, su súper algoritmo (modo <conspi-paranoide> ON ;) rastrea las palabras, el mensaje viaja por Matrix y llega a “su sitio” en Google, acto seguido, (en una hora) nos sigue su cuenta de Google Apps España en Twitter. Sería algo muy factible en lo técnico a la par que más que censurable en cuanto a la privacidad.

¿Inseguridad?

 Este último punto vendría a colación si la respuesta fuese “causalidad“. Muchas veces, comentamos la gran cantidad de datos que maneja Google sobre todos nosotros (y muchas otras empresas) así como de los usos que hacen de datos “cruzados” las compañías. Bien para ofrecernos algún servicio determinado, saber nuestras preferencias de navegación, lugares visitados, etc (aquí se podría hablar de las cookies). Aunque no es menos cierto, que el administrador de tu correo, también puede leerlo sin llamarse Google…

Os comento que esta entrada ha estado como “borrador” durante unos días, esperando a que pasase un poco el tiempo para intentar quitarle trascendencia, sólo con el título escrito y con todos los papeles de no pasar de “borrador”. Pero también que, aún con las risas que nos echamos Salva y yo respecto a lo sucedido, uno se queda con “la mosca detrás de la oreja” como se suele decir. Si me preguntáis sobre mi respuesta, diría que claramente se trata de una casualidad, pero en este negocio de “los unos y ceros“, hay artistas (del código-;) que pueden convertir las “casualidades” en inquietantes “realidades” (y viceversa).

 

Tags: , , , , , , ,


Sep 13 2011

Con seguridad (informática), si estás cansado, no lo hagas. Y si lo haces…

Que nuestro mayor enemigo somos a veces nosotros mismos no es nada nuevo, aquí en DaboBlog no es la primera vez que hablo de ello. Que hay veces en las que las cosas no salen como queremos y pasado un tiempo acaban saliendo, también es algo de todos conocido. Murphy y su Ley están ahí, esperando el momento justo para “justamente” mandar al carajo ese trabajo que tanto te importa. Es por ello el; “si estás cansado, no lo hagas. Y si lo haces…” con precaución.

A lo largo de estos años, he podido comprobar que el cansancio, las preocupaciones externas y esa mitificada (pero ciertamente real) falta de sueño que suele acompañar a desarrolladores, administradores de sistemas o alguien que lleva adelante un proyecto web, son factores que afectan a nuestro rendimiento y se multiplican exponencialmente en situaciones “críticas”. No digamos si a eso le sumas que puedas estar enfermo o tomando alguna medicación que merme tus facultades.

No voy a hacer un pseudo estudio barato de psicología, pero la experiencia me dice que hay veces en las que por mucho que queramos avanzar, nuestra mente está perezosa y por mucha cafeína que te metas en vena, salvo algún “pico” de lucidez, es mejor hacer un “suspend to RAM al equipo y a tu cabeza, para pasado un tiempo, volver a ello con más fuerza y seguridad.

En mi caso, dentro los trabajos que realizo administrando servidores web, bien sea en tareas de mantenimiento o actualizaciones del sistema, como en cuestiones de seguridad que a diario debo afrontar dentro de APACHEctl (Implementación de un IDS, Firewall, auditorías, tests de intrusión, análisis de logs, etc) me encuentro a veces con esas situaciones un tanto “críticas” que comentaba en las que hay terceros que pueden verse afectados por un fallo y nadie está libre de ello. Lo importante es intentar evitarlo a toda costa y si nos sobreviene, tener un buen “plan B” para aplicarlo con rapidez.

Hay algo muy bueno cuando estás trabajando con una línea de comandos, la falta de una capa gráfica que puede abstraerte de tu verdadero fin ayuda a concentrarse, también que si fallas, lo puedes ver al momento. No he visto a muchos terminales equivocándose. Tampoco soy la persona más indicada para dar consejos a nadie, pero quizás encuentras algo aplicable a tu forma de trabajar en estas líneas.

# Algún consejo…
Leer el resto de;”Con seguridad (informática), si estás cansado, no lo hagas. Y si lo haces…”

Tags: , , , ,


« Página anteriorPágina siguiente »