Ene 22 2016

Participando en un “Apache VS Nginx” para Desarrolloweb.com #programadorIO

Category: Dabo | Personaldabo @ 6:07 pm

apache vs nginxOtro post que tenía en “pendientes”. Los amigos de Desarrolloweb se pusieron en contacto conmigo para hablar de Apache (con interesantes cambios y mejoras en su rama 2.4x) y Nginx, servidor ligero donde los haya. Cuando me preguntaron, no se me ocurrió invitar a nadie mejor que a @rastreador para “defender” a Nginx.

Yo me quedé con Apache, lo sé, soy un sentimental, no está tan de de moda o quizás sea menos “cool” que el otro, pero alguno tenía que hacerlo (y me encanta Apache;).

Por cierto, también soy muy fan de Nginx. De hecho, en APACHEctl y creo que lo digo en el vídeo, soy el 33 % que más apuesta por él según proyectos (aunque por motivos que explico en el IO, “por defecto” y en códigos no muy controlados o algún CMS, me quedo con Apache y si acaso metería Nginx como proxy inverso (pero de todo eso ya hablamos ahí). OS dejo un enlace al post original del evento.

Un placer como siempre haber participado en el IO y seguro que repetiremos -;)

Tags: , , , ,


Oct 28 2014

En ConectaCON 2014. Sobre mi taller: “Hackeando Servidores GLAMP”.

ConectaCON 2014 (Jaén).Antes de ir a la parte relativa a mi taller, tengo que destacar el esfuerzo, ganas y calidad humana que hemos sentido todos los participantes de la tercera edición de ConectaCON Jaén.

Alguno puede pensar que estás en esa fase de exaltación de la amistad típica de las “CON”, en la que aún están vivos esos momentos (diurnos y nocturnos xD;) y te dejas llevar. Pero no, en Jaén, de nuevo lo han vuelto a conseguir. Más de 400 personas inscritas al evento, una gran asistencia a las diferentes ponencias y los tres talleres que se impartían al 150 % de su capacidad original.

Creo que esas cifras ya dicen bastante de su evolución. Lo que ya es más difícil de compartir son esas conversaciones entre ponencias o tomando unas cañas. Eso forma parte de las “CON”, alguno se quedaría alucinado del concepto de “socializar” que tienen muchos colegas que se pasan por ahí (asociales por naturaleza, más allá de tópicos).

Sobre el evento, se publicarán en la web las diferentes intervenciones, en su Twitter os irán informando.

Material de apoyo para mi taller: “Hackeando Servidores GLAMP“:

¿Qué hicimos en el taller? Partiendo de una (insuficiente) configuración por defecto e instalación mínima, fuimos auditando y asegurando servicios. Ataques de fuerza bruta, búsqueda de posibles puertas traseras, seguridad por oscuridad ocultando versiones de software instalado, ataques DoS, IDS-IPS, firewalls, monitorización, optimización, control de logs, etc.

Os recomiendo (dependiendo del tiempo que tengáis) mi intervención en DRagonJAR TV sobre ataques y defensas básicas en Apache, mi resumen en PDF de ConectaCON 2013 y “DebianHackers Elementals” (acceso al PDF).

También este webcast sobre Seguridad en WordPress, en el que encontraréis un enlace a mi paso por MorterueloCON (repito en 2015;) con extensiones para el navegador web a modo de complemento de otras herramientas que usé en Jaén. Sobre lo más social, en mi Twitter he guardado algún favorito con fotos de esos días. Muchas gracias a todos los asistentes a mi taller por hacerlo tan llevadero (más de 4 horas seguidas, nadie quiso parar). Por supuesto a la organización que tanto se esforzó pensando en cada detalle y al resto de compañeros por tanto buen rollo y ganas de compartir conocimientos estos días en Jáén.

Foto con parte de los alumnos -;)

ConectaCON 2014

Tags: , , , , , , ,


Abr 29 2013

Sem 17/2013. En Twitter –> GNU/Linux | Hacking | SysAdmin.

En mi TwitterA continuación, os dejo un resumen de lo que va llamando mi atención sobre (IN) Seguridad informática, los Servers o GNU/Linux. Son de la semana pasada y están recopilados desde mi Twitter (también usados como mi propio “almacén de links” ;).

También recordarte si te interesa la seguridad informática, que en Daboweb (puedes seguirnos vía RSS o Twitter ) publico regularmente y junto a mis compañeros, nos hacemos eco de una forma más elaborada sobre temas similares. También te animo a participar en nuestros foros.

Y si lo tuyo es Debian GNU/Linux, nos vemos por DebianHackers, saludos ;).

En mi Twitter, @daboblog, sobre GNU/Linux, Hacking, SysAdmin, semana 17/2013: (Anteriores).

(Del 22 al 28 de abril) Primero van los más recientes.

Leer el resto de;”Sem 17/2013. En Twitter –> GNU/Linux | Hacking | SysAdmin.”

Tags: , , , , , , , , , , , , , , , , , , , ,


Jun 27 2012

Servidores web y respuesta rápida a incidentes. Teoría Vs práctica. (Publicado en INTECO)

Disclaimer: Publicado originalmente en el blog de INTECO.

Existen muchos mitos sobre un concepto tan utilizado en el mundo IT como el de “respuesta rápida a incidentes“. Podemos incluso, realizar todo tipo de planes de contingencia, continuidad de negocio, previsiones y pruebas de concepto, pero en base a las experiencias vividas en mi día a día con los servidores web, a título personal, o junto a mis compañeros de APACHEctl, a pesar de intentar marcar unas pautas comunes de actuación, en la hoja de ruta a seguir cuando todo lo que puede ir mal sucede, en cada caso tienes que añadir una nueva variable.

Es como un teorema en permanente estado de revisión, cuestionamiento y actualización. Obviamente, cuando has preparado un entorno web desde cero, juegas con la ventaja de saber en que terreno te mueves (sabes cómo puede funcionar el proveedor de hosting, la gestión del incidente, tiempos de recuperación, backups, la gestión de la comunicación y posible respuesta del cliente, medios de los que dispones, etc).

Pero en mi opinión, la complejidad reside en un caso muy común y muchas veces olvidado, donde cuando estableces una conexión SSH, tienes la sensación de estar “en tierra de nadie”. En un panorama como el siguiente, no sirven de mucho las teorías, lo que cuenta es crearlas sobre la marcha con la experiencia adquirida en el desarrollo de ese teorema anterior y ponerlas en práctica en el mínimo tiempo posible. Me refiero al caso tipo de:

“Hola, el motivo de mi consulta es porque mi servidor web no va bien y creo que puede estar comprometido”.

Hablamos de escenarios hostiles, las frases hechas como “lo más seguro es quitar el cable de red” son sólo eso, coletillas con un efecto placebo para el usuario. En momentos así, el único mecanismo de defensa frente al pánico del responsable del entorno de producción de turno, es pensar que quizás pueda librarse de verlo parado con las consecuencias que ese hecho pueda tener, tanto para la empresa, como para los usuarios finales.

Y allí estás, frente a una línea de comandos en un sistema GNU/Linux conocido por su arquitectura, pero totalmente desconocido en cuanto a su estado, en el que ya sabes desde antes de empezar que ese día, tu lista de variables aumentará, esperando también que alguna de las almacenadas en memoria funcionen. En medio del fuego cruzado TCP/IP que está entrando y saliendo por el cable de esa máquina, donde tú sólo eres una pieza más del puzzle (olvídate de protagonismos heredados de Hollywood) y los daños colaterales pueden ser grandes.

Siendo consciente, de que eres posiblemente el paso previo a un posterior análisis forense que de hecho, ya lo estás haciendo, aunque sea a un nivel no tan bajo del sistema. Revisando conexiones, logs y alguna vez, compartiendo sesión con quien ha provocado que estés allí.

Y sí, tienes que manejar de la mejor forma posible tanto la gestión del incidente, la comunicación, plan de continuidad, impacto sobre el sistema, grado de intrusión y todo lo que está en la teoría, ya que una decisión errónea, puede ser el desencadenante de una serie de hechos totalmente desafortunados para todas las partes implicadas, el ligero problema, es que debes hacerlo en minutos, o segundos…

Ahí radica la diferencia con “el escenario ideal”, otra frase hecha, pero en esta ocasión para quien se ha esforzado en implementar todos los planes necesarios que comienzan por ISO, el cliente que ha pagado por ello, o para el sufrido “SysAdmin” que también tiene derecho a irse a dormir algún día tranquilo. Cuando ves la (IN) Seguridad como algo natural y estás familiarizado con ella, sabes que todo es susceptible de pasar de “ideal” a “infernal” en cualquier momento y tienes que estar preparado.

Quizás, por ejemplos como este, uno de tantos, si después lees algo acerca de los intentos de criminalización de nuestra profesión, queriendo limitar el uso de herramientas para realizar auditorías de seguridad o tests de intrusión, es cuando piensas que mucha gente vive en universos paralelos, que más bien podrían denominarse, “para lelos”. Hoy, ese teorema, tan inquietante como abstracto, seguirá evolucionando.

Por cierto, no sé cómo acabará, pero empieza con un “Hacking is not a Crime”.

Tags: , , , , , , , , , ,


May 18 2012

Reportando bugs en tiempos difíciles…

Así se podría llamar la película porque hoy en día, reportar una vulnerabilidad en un sistema ajeno, puede ser considerado como una actividad “extrema” o de riesgo (para quien reporta). Lo que no deja de ser curioso es que muchos, nos empeñemos en seguir haciéndolo en medio de una época de intentos continuados de fiscalización/criminalización del conocimiento en Hacking, seguridad o como se quiera denominar.

Claramente, sería una mala película en vista de los “teasers” que nos llegan desde “algún lugar de Europa” (ENG). Sin duda, estaría llena de amarillismos y excesos proteccionistas “apuntando” al lado incorrecto por parte del legislador de turno.

Pero no, esta vez va de “Hacking old school”, la sinopsis es simple. Un hashtag muy potente y activo en Twitter (ahí vamos mal con lo de “old”;) despierta el interés de quien reporta, un servidor web mal configurado permitiendo el listado de directorios, junto a un CMS vulnerable y todo ello visible a través del navegador (quedaría mejor para maquillar el guión un “después de un análisis súper complejo, bla, bla, bla…” pero no).

Quien lo ve, evaluando el gran peso del site junto al contexto y situación (no doy más datos ya que aún no han podido solventarlo aunque todo ha ido bien), decide enviar un e-mail con su nombre y correo real reportando los bugs y más o menos un par de horas después, recibe la siguiente respuesta;

MIL GRACIAS DAVID

Te lo digo sinceramente, como sólo lo usamos xxxxxxx lo tenemos
descuidado pero tomo nota.

Un saludo y espero poder devolverte el favor
xxxxxx

Sólo diré para terminar la historia que no hacía falta pero se agradece. También os digo desde aquí que el “favor” (fueron dos minutos…más enviar el mail) está devuelto con creces. El motivo es simple, aparte de todo y dándome igual si uno se dedica al Hacking o la (IN) Seguridad profesionalmente o no, estamos en esto porque nos gusta y también por la gente. Hoy sois vosotros y mañana puedo ser yo perfectamente, aquí no se libra nadie y también agradecería ser avisado.

Gracias a vosotros por poner algo de color a un panorama tan gris, también por ayudarme a no perder las buenas costumbres. Sí amigos, (aún) hay vida ahí fuera.

Tags: , , ,


Feb 10 2012

De Servidores Web comprometidos y personas o empresas que no se comprometen.

Disclaimer:

Este post puede considerarse como un acto de promoción dado que soy parte “interesada” o directamente implicada por mi participación en los casos que comento. Ante las (lógicas) posibles dudas, vamos a apelar a aquello de “pásate por ejemplo” por daboweb.com que en breve cumple 10 años y sólo verás un lugar más de ayuda informática, totalmente desinteresado, sin publicidad y hecho por amigos, no colaboradores, amigos, reitero, por y para la comunidad, aprovecho la ocasión para mandar un saludo a mis compañeros de Caborian.

Además, son más cinco años junto a vosotros por aquí en DaboBlog como para que os venga a contar películas en formato TS Screener (recuerda, descarga, pero con calidad).

¿Por qué esta entrada? Y tan tarde…

Bueno, era algo que tenía pendiente, a pesar de que intento conservar cierta actividad en las webs que promuevo o participo, colaborar con el podcast de mi amigo Dani, con el que he grabado unos audios sobre seguridad Wifi y seguridad en dispositivos móviles “para todos los públicos” (por cierto, sobre DaboBlog Podcast, pronto sacaremos un nuevo episodio, o eso espero;), Iniciación a la seguridad informática y “Crackers, Hackers & Hacktivismo“.

Como os decía, es frustrante por ejemplo, abrir Twitter y no poder leeros como me gustaría, no devolver todo el feedback que llega, dejar de publicar aquí con mayor regularidad o en Daboweb, DebianHackers, etc, pero uno da hasta donde da y tiene sus limitaciones. Acabo de ver que mi último post es del día 18 de Enero, día del famoso “Blockout“.

Situación actual.

Actualmente me encuentro inmerso entre una marea de cursos que estoy impartiendo (dentro de las actividades que llevo a cabo desde davidhernandez.es) y otra marea, pero en este caso, con APACHEctl.com junto a mis compañeros. Hablo de mareas de bytes, servidores web, auditorías de seguridad, terminales, intervenciones de urgencia, etc y todos los problemas a los que se puede enfrentar un autónomo en una época como esta, además de un proyecto en común que va gestándose con paso firme y a ritmo suave con Emma Fernández, buscando una diversificación en base a ciertos servicios que demandan algunos clientes.

Servidores y aplicaciones web, usuarios, condicionantes…

Y de mi actividad principal quería hablaros, servidores, seguridad, clientes, SysAdmins y algún ISP que en lugar de “Internet Service Provider“, bien podría ser un acrónimo de “Internet Sopla Pollas“. Sí, de varios hechos que he podido comprobar con mis propios ojos, algunos adelantados en medio de sensaciones entre el cabreo o la falta de comprensión por mi parte y…ciertamente hacen falta más de 140 caracteres para expresarlo. Eso sí, 140 caracteres son pocos, pero aunque tampoco quiero abusar de vuestro limitado tiempo en medio de una multitarea cada vez más acuciante, reconoceréis que a casi un post por mes, tengo que exprimir un poco el teclado ;)

Partamos de la base de que no siempre se puede actualizar como te gustaría o querría el cliente, existen ciertas dependencias entre algunas aplicaciones web, versiones del S.O, entornos de producción que no se pueden parar (de todo esto hablamos Sergio Hernando y yo en el “Especial Seguridad“) y situaciones en las que hay limitaciones tanto técnicas, comerciales o administrativas que impiden un estado ideal de algunos sistemas web en producción. Me tranquiliza en lo personal, saber que en ninguno de estos casos se den esas circunstancias.

Por otro lado, si alguien que trabaje en seguridad o sistemas no entiende que bajo ciertas condiciones, su infraestructura puede ser comprometida, debería pensar en cambiar de trabajo porque cuando viene un cliente buscando que le vendas una utopía, o veo en algún sitio web eso de “garantizamos al 100 % tu seguridad” me quedo alucinado o pienso ¡Qué envidia, si yo pudiera…!

A dos días de terminar de impartir un curso sobre SGSI, LOPD, LSSICE y todas las implicaciones y embrollos legales que se pueden dar cuando manejas datos de terceros, (aprovecho para saludar a esos 14 alumnos con los que tanto aprendo;), cada vez me doy cuenta de que en la solidez de la gestión de la seguridad entran en escena tantos protagonistas (ISP, Webmaster, sofware instalado, usuarios, SysAdmin, etc) que controlar todas esas variables al 100 % es prácticamente imposible, os recomiendo (sobre el factor humano) esta entradaPor qué falla la seguridad” de los colegas de Security By Default.

Leer el resto de;”De Servidores Web comprometidos y personas o empresas que no se comprometen.”

Tags: , , , , , , , , , , , , , , ,


Oct 24 2011

/* Sec tools */ (Cap 1). Whatweb y curl. “Seguridad por oscuridad” en servidores web GNU/Linux y Apache.

El concepto de “seguridad por oscuridad” viene ya de lejos. Imagino que, si hablamos de servidores web, nace de la necesidad de protegerse tanto de muchos ataques automatizados que pueden llegar a nuestro servidor web, buscando versiones de software vulnerables, como de la imposibilidad de realizar esas actualizaciones o frente a ataques “0 day”, para los que no hay ningún parche disponible.

Hoy vamos hablar de una herramienta interesante que ya mencioné  hace más de un año en el pasado FIMP. Se trata de “Whatweb”, (acceso a la web del proyecto y su lugar en GitHub). Se trata básicamente de una herramienta capaz de identificar las versiones instaladas de la gran mayoría de CMS (gestores de contenidos) actuales, plugins y una gran variedad de aplicaciones web. También proporciona datos tan relevantes como versiones de Apache, SSL o PHP a través de la información extraída de las “cabeceras” o “banners” que lee cuando realiza una petición al website en cuestión.

"Features" (Según se lee en la web del proyecto):
	* Over 1000 plugins
	* Control the trade off between speed/stealth and reliability
	* Plugins include example URLs
	* Performance tuning. Control how many websites to scan concurrently.
	* Multiple log formats: Brief (greppable)
          XML, JSON, MagicTree, RubyObject, MongoDB, SQL.
	* Proxy support including TOR
	* Custom HTTP headers
	* Basic HTTP authentication
	* Control over webpage redirection
	* Nmap-style IP ranges
	* Fuzzy matching
	* Result certainty awareness
	* Custom plugins defined on the command line

Por lo general, simplemente dentro del directorio desde donde hayamos descargado Whatweb, ejecutamos;

Leer el resto de;”/* Sec tools */ (Cap 1). Whatweb y curl. “Seguridad por oscuridad” en servidores web GNU/Linux y Apache.”

Tags: , , , , , , , , , ,


Mar 16 2011

DaboBlog Podcast. “Kernel Panic” especial Amazon EC2 con Ricardo Galli (Menéame, UIB) y Raúl Naveiras

tuxipod.jpgHola amigos, como sabéis, no hace mucho tiempo hicimos un “Kernel Panic” especial SysAdmin dedicado a la administración o gestión de un servidor y proyecto web. Creo que es un audio “imprescindible” para coger bien la onda de este. Ese podcast tuvo mucha pegada y por daros un datos, se coló en el Top 2010 de ivoox.com en tecnología. Este fue el post de Ricardo en su blog sobre su experiencia con ese especial e impresiones.

Es muy recomendable leer esta entrada de Ricardo sobre cómo migró Menéame hacia Amazon que es un poco la base de dónde viene todo esto. Actualización, Junio 2014, sobre AWS y escalabilidad (Hangount), muy recomendable.

En esta ocasión, tal y como digo con toda la sinceridad en el audio, se juntan el profesor (Ricardo) y mi “maestro” (Raúl Naveiras). Dos personas muy cercanas a mi y que por diferentes motivos me han marcado mucho en lo personal y profesional e imagino que (además de otros factores) por Raúl, que fue quien me empezó a enseñar algo de sistemas hace años, apachectl.com entre otros proyectos es una realidad…

El blog de Ricardo (@gallir) ; http://gallir.wordpress.com, el blog de Raúl (@rnaveiras) ;  http://raulnaveiras.es. Muchas gracias a ambos por la participación -;).

Especial SysAdmin y Servidores Web, en “Kernel Panic” con Ricardo Galli  y Raúl Naveiras.

Como muchos os daréis cuenta, yo aquí sí que actúo de “mediador”, entre lo que se dice y vosotros, la audiencia. Creo que se entiende todo bastante bien y hemos hecho todos un esfuerzo para que así sea. Si una vez escuchado este audio te surgen dudas, estaremos todos muy al tanto de vuestros comentarios.

Leer el resto de;”DaboBlog Podcast. “Kernel Panic” especial Amazon EC2 con Ricardo Galli (Menéame, UIB) y Raúl Naveiras”

Tags: , , , , , ,


Página siguiente »