Un vistazo al mes

Ayer estuve en una interesante Jornada sobre Seguridad Informática, muchas gracias a la Fundación AreaTic por invitarme, entre las distintas ponencias, El Responsable de la Unidad de la Guardia Civil de delitos Telemático en Oviedo, Efectos legales desde el punto de vista de Garrides Abogados,Raimundo Garcia nos presento el producto de Cobertura (La versión orientada a Pymes) y la esplendida charla de David Hernandez Martín (Dabo) como experto en seguridad,todos ellos unos excelentes profesionales.

Así que como no me quedo mucho tiempo hoy para preparar algunos artículos que están por el tintero, y ya que se termina el mes, me interesa hacer un poco de balance, y aquí os dejo una serie de noticias, que me parecieron interesantes para los usuarios que no tienen un perfil técnico.

Como se puede ver, este mes hay mucho tema relacionado con Internet, viendo los escándalos en los sevidores, donde nos descargamos las versiones de Linux, el propio MySQL comprometido, y ni siquiera podemos confiar en los certificados, ni en el protocolo HTTPS la verdad es que los usuarios finales, que no tengan un perfil técnico, lo están teniendo mas que complicado. No quiero ser alarmista, los certificados están siendo revocados, las intrusiones están en investigación en busca de hasta donde se ha comprometido el sistema, y los protocolos se mejoraran, pero desde luego este mes ha habido acontecimientos importantes, esperemos que todo esto ayude a mejorar la seguridad.

Seguridad para Todos!!!!

Virus Total de HispaSec

Ayer termine de leer el libro Una al día Doce años de seguridad informática. Un libro de Hispasec Sistemas escrito por Sergio de los Santos, Excelente lectura, y no solo para los que nos gusta la informática, en los diversos capítulos podréis ir descubriendo o recordando todas aquellas noticias sobre informática que acontecieron, además cada año desde 1998 lo remarcan con noticias de otras índoles para recrear la época, habla desde como Antonio Ropero y Bernardo Quintero junto con Antonio Román y Jesús Cea empezaron el proyecto de Hispasec,( publicar una noticia sobre informática/seguridad cada día) hasta el año 2010.

El libro te descubrirá que hay de cierto en todos esos rumores que escuchaste, mediante un análisis serio tendrás un punto de vista de todos estos grandes profesionales, opiniones fundadas desde el conocimiento y la experiencia.No puedo dejar de mencionar también a Chema Alonso "El Maligno" por esta y otras muchas iniciativas que promueven la seguridad informática, el libro lo podéis conseguir en Informatica64.En este blog tenéis enlaces a todas estas paginas, ver el post Nuevos complementos.

Toda esta introducción (si un poco larga, quizás ) es para contaros un servicio que Hispasec desarrollo, este servicio se llama Virus Total (también hay enlaces, en la columna de la derecha, vas bajando, ...ahí ) y esta diseñado para que puedas enviar archivos sospechosos de ser virus, troyanos, etc.

Cuantas veces el antivirus te marca un archivo como amenaza, el archivo x7oyoqueseW2 "podría" ser peligroso. ¿Y ahora que? Lo borro, lo envió a no se que bóveda, y eso de la cuarentena...... Pues nada, te vas a la opción de "Ir al Archivo", y lo envías a Virus Total.Ahí te lo van a analizar, lo van a diseccionar, lo torturan un poco hasta que confiese y te envían un informe.

Algo mas que agradecer a todos los profesionales de Hispasec, que además de seguir informando, día a día, sobre seguridad informática, y las ultimas noticias y amenazas, nos ayudan a entender un poco esto de los antivirus, porque cada vez es mas complicado saber si esto o aquello es una amenaza y que peligrosa puede ser......desde aquí os animamos a que os suscribáis todos a las noticias de Hispasec, y utilices Virus Total.

Recomendaciones Una al Día Hispasec .

Seguridad a lo Jabalí para Todos!!!!

Ginecólogo o Informático

Bueno estamos terminando el mes, y después de la inundación de los copia/pega de los muros de facebook de ayer; hoy toca un poco de humor. 

Desde que recuerdo, lo de los informáticos es una maldición, en el momento que te presentan como informático "por arte de magia" has estudiado 36 especialidades distintas, en el tiempo que llevo en esto  arreglar ordenadores, instalar componentes, conectar routers, configurar software, crear paginas web, recuperar datos, y alguna cosita mas .......... que tampoco lo vamos a contar todo. Me han propuesto desde atacar paginas a robar cuentas de facebook, normalmente gente que además ni siquiera conoces!!!

Así que me pareció divertido, comparar esta profesión con la de medico, imagina que dices que eres medico y automaticamente, tienes estudiadas todas las especialidades, desde cirugía cardiaca a odontología. El supuesto seria algo así, tu esposa tiene un compromiso de trabajo, la típica cena  con los compañeros de ella y estas invitado  una cena con 6 o 7 personas que apenas conoces, empieza la cena  y hay una conversión que bien podría ser  la siguiente...........

-Hola! Encantado de conocerte ¿A que te dedicas?. 

-Soy Pediatra, trabajo en un centro ..........

-Que bien!! Luego cuando termine la cena, si no es molestia podrías mirar el ..... a mi señora.

-No, es que no soy Ginecólogo!!!

-¿algo entenderás? , si no te importa "echar un vistazo".........

-Bueno .....(Glup!!!!!), Una mirada rápida, es que tenemos que irnos pronto.

-Y ¿Que tenia? ¿Esta todo Bien?

-La verdad que este no es mi campo, pero si quieres se la puedo llevar a un amigo que mire......

-Que Bien!!!!    María !!!! .....ponte el abrigo que te vas con este señor a no se donde...........

Como os podéis imaginar, la situación es ridícula, pero no quiero contaros, la cantidad de veces que surgen situaciones así, además casi todo el mundo da por sentado, que dominas todos los campos de la informática, quizás te parezca que no es lo mismo, que lo del medico requiere mas intimidad, pero si los informáticos cuentan lo que encuentran en los ordenadores.

La verdad es que cuando alguien me pide ayuda, lo hago con todo el cariño, y si lo que me piden requiere de conocimientos que no tengo, intento informarme o avisar a alguien que sepa mas del tema. Así que seguiré haciendo todo tipo de trabajos para mis amigos, y conocidos, siempre y cuando el tiempo me lo permita. Pero no os sorprendáis si algún día me visto con una camiseta así, aunque solo sea para protestar un poco. Espero que os gustara este post, que no tiene mas objeto, que robaros una risas y que penséis un poco que ese amigo que tenéis, informático esta  haciendo muchas veces el trabajo de varios especialistas, desarrollador Web, Informático Forense, Programador, Soporte Técnico, Ingeniero de sistemas, Administrador de Base de Datos, Pentester, Auditor de Seguridad de la Información, y otras muchas, muchas, muchas........ por lo demás imagino que nos pasara a todos, a los mecánicos, a los electricistas, a los cantantes.

Seguridad para Todos!!!

Facebook Rumores (Parte 1)

Una de los aspectos que me resultan mas interesantes, son las redes sociales, ver como se comporta la gente dentro de ellas y como actúan, ayer "dando una vuelta por facebook" me encontré algo así.....

Usuaria de facebook publica en su muro un informe que dice que te van a cancelar tu cuenta de o tendrás que pagar,las recientes configuraciones de privacidad suponen un coste extra que facebook tiene que amortizar de alguna forma.En el muro también describe los pasos a seguir para evitar tener que pagar y conservar tu cuenta.Uno de sus contactos en un comentario le aclara que esta equivocada y que "le han tomado el pelo".Pero esto nos puede pasar a cualquiera, no es difícil ser engañado, lo que deberíamos tener en cuenta, es no propagar este tipo de mensajes, sobre todo si no estamos seguros que sean verdad. Eso si es Importante!!

       ( click en imagen  agrandar )

Hoy vamos a inaugurar una Nueva Sección llamada Rumores de Facebook con las etiquetas de rumores, rumores facebook, así iremos publicando todas esas "noticias y tutoriales" que aparecen en las redes sociales, que a mi me recuerdan aquello de los pueblos de "en las noticias decía que...." o el archiconocido "yo no lo vi, pero tengo un amigo que me dijo ......." .Así que esto no es nuevo, es anterior a Internet o la informática, pero cuan veas " si no quieres que .... y pega esto en tu muro...." piensatelo un poco.

 

Empezamos la sección con este rumor, lo he visto ya en al menos, seis o siete muros, Aquí detalla los pasos a seguir para que un contacto edite Tu privacidad, es decir tu amigo tiene que seguir estos pasos para que tus publicaciones no sean publicas. ¿Os parece Lógico? .Esto funciona así, tu editas tu privacidad, en este Blog lo habíamos explicado hace tiempo...Edita tu privacidad Facebook el problema es que si un contacto tuyo comparte tu publicacion, la copia en el muro de tu amigo esta sujeta a sus opciones de privacidad, no a las tuyas, porque en el momento que comparte tu publicacion, pasa a ser suya (Esta en su muro). Las redes sociales están diseñadas así, para extender la información, si no quieres que tus publicaciones sean publicas pide a tus contactos que no las compartan, que no hagan copia de ellas en sus muros, es la única solución.Cuando publiques algo puedes editar quien lo va a ver, tu editas tu privacidad no tus amigos.

(Click en Imagen para Agrandar)

Pulsando con el ratón en el botón al lado de publicar, se abre un menú desplegable, aquí seleccionas quien puede ver tu publicacion, yo creo que es mas lógico, otra cosa es que luego uno de los contactos permitidos que la lea / mire decida compartirla, entonces va en función, de como comparta esa persona esa información.

Hasta la Oficina de Seguridad del Internauta, que tiene un enlace en este Blog, intenta avisar del problema y ayudarnos en esto...........

(Click en Imagen para Agrandar)

Espero que os haya gustado y hasta ................................... el proximo rumor.

Facebook Rumores (Parte 2) .

Facebook Rumores (Parte 3) .

Seguridad a lo Jabalí para Todos!!!!!

Plan de Seguridad (Parte 4)

En anteriores artículos sobre El Plan de Seguridad................

Plan de Seguridad (Parte 1) Identificacion de Activos.

Plan de Seguridad (Parte 2) Documentacion del Riesgo.

Plan de Seguridad (Parte 3) Clasificacion de Medidas de Protección.

Ahora sabemos Que vamos a proteger, que riesgo hay, que tipo de medidas utilizar para protegerlo, es el momento de evaluar esas medidas, todos estos pasos deben estar documentados, aunque sea lo mas aburrido, una clara documentación es la única forma de verificar si las medidas funcionan, hay que modificarlas, o actulizarlas.... además tanto si es, el cumplimiento de la LOPD como si quieres aplicar a tu empresa la ISO 27001, te van a exigir toda la documentación.

Un documento interesante es el estudio de Aplicabilidad, esto es una lista detallada de todas las medidas disponibles para proteger un activo de la información.Por cada uno de los activos, se verifican todas las medidas posibles y se estudia la posibilidad de aplicarlas, pendientes de aplicar en un futuro, o no aplicables a ese activo en concreto.Cuando hablamos de aplicar una medida de protección para un activo y sobre todo detallar como aplicar dicha prevención, hay que dejar de lado el lado técnico....me explico, quiero asegurar una base de datos, mediante copias de seguridad periódicas, en la aplicación de la medida el informe debe contener base de datos, responsable del activo, proceso de backup, donde, cuando y por quien se realizara, y un anexo con los detalles técnicos.

Porque lo realizaremos de esta manera, porque si mañana cambio el software para realizar el BackUp no necesito cambiar el Plan de Seguridad, si decido que la copia de respaldo se va a almacenar en otro equipo tampoco, y cambiar un informe técnico es mas sencillo que cambiar una especificación del Plan de Seguridad, porque como ya veremos el plan debe ser un proceso, necesita verificarse, y volverse a aplicar ciclicamente. Pero sera en el siguiente capitulo.
Plan de Seguridad (Parte 5).

Seguridad para Todos!!!

Recomendaciones Hack x Crack

Es Domingo mi recomendación de la semana, esta vez quizás, para gente con un interes mas técnico, pero mi recomendación para hoy es el Portal de Hack x Crack y os cuento..... Hace tiempo algunos profesionales decidieron realizar una publicacion, para explicar como funcionaban las comunicaciones, como programar, y alguna travesura ,También!!!! Esta publicacion tenia un foro, servidores para pruebas,etc......luego hubo cambios en el proyecto, pero lo importante es el hoy, Hack x Crack es un portal dedicado a la informática, las comunicaciones, la seguridad, y muchos otros temas interesantes.

Hack x Crack tiene un Blog estupendo donde se van explicando, diversas técnicas de Hacker Ético o seguridad informática, cada articulo o tutorial suele ir acompañado de imagenes de las opciones o screens necesarios para comprender el ejercicio.En este portal también te puedes descargar un buen numero de cuadernos,explican desde como programar en C,Visual,Linux hasta como funciona con detalle TCP/IP unas publicaciones excelentes.

Y sobre todo mi recomendación es el foro, un lugar estupendo donde podéis consultar cualquier duda, esta muy bien organizado por temas, para que puedas preguntar en el lugar adecuado, tanto los integrantes del foro, como los moderadores son una gente excepcional, que se toman todo el tiempo para ayudar a los integrantes con dudas y problemas.Es uno de los lugares de la red donde se trata con respeto a todo el mundo, independiente de sus conocimientos,y eso a veces no es habitual en otros foros.Podréis encontrarme por allí, no tanto como quisiera (me gustaría tener mas tiempo), y si puedo ayudaros con algo no lo dudéis......nos vemos en Hack x Crack!!!!

Así que ya estáis tardando en suscribiros, apuntaros al foro, Recordad presentaros en el foro!!!, y a participar, preguntar las dudas que tengáis, compartir vuestra opinión o conocimientos y conocer un montón de gente Estupenda!!!

Un saludo desde aquí para todos en Hack x Crack.

 Seguridad a lo Jabalí para Todos!!!

Anonymous

Ya que llevamos una semana un poco Hacker!!! Ja,ja,ja....hoy vamos a hablar un poco de Anonymous,la verdad es que este movimiento social  en la red o Sentimiento común, no tiene una cúpula visible, no hay lideres, dentro de la organizacion, se comunican de diversas maneras, atraves de foros, redes sociales, etc y en ciertas paginas anuncian sus objetivos, cuando se requiere de un ataque coordinado!

Otras veces los ataques realizados son de ámbito personal,o un grupo determinado emprende una acción o serie de acciones a nivel independiente.Hay muchos casos en los que personas, se identifican como pertenecientes a este movimiento, cuando en realidad solo quieren conseguir temas personales, o dirigir la atención de las autoridades hacia otro culpable de un delito cometido.Con todo este panorama es muy difícil discernir cuando un ataque es realizado por anonymous o por otras personas o sociedades con intereses diferentes.El Origen de Anonymous, en cambio fue para protegernos a todos, para defender nuestros derechos al conocimiento , la privacidad, y el acceso a la información.Y como tal muchas personas siguen trabajando en esa linea............... Este es el manifiesto de intenciones que esgrimen, también son conocidos por aparecer en diversas fotos, con la famosa mascara de Vendeta.Cuando ves las fotos de las cenas en la Casa Blanca,con los dueños de Microsoft, Google, Apple, Oracle, Facebook y todos están felices y contentos,¿En serio crees que hablan de como respetar tus derechos?.   Seguridad para Todos!!!!!!

Actulizacion Critica Adobe

Aprovechando que hoy Adobe a publicado una Actulizacion Critica, vamos a hablar sobre el tema.Porque es importante tener todo actualizado, y digo todo, sistema operativo, paquete Office, Navegador, Flash Player, Java, etc.

Por la sencilla razón de que si no estamos ante un riesgo importante,funciona de la siguiente manera, algún investigador, quizás con pocos o ningún escrúpulo, descubre que en el ultimo software del pluginX puede ejecutar código malicioso, es decir cuando nuestra maquina visita una pagina Web, el navegador Mozilla, cede parte de la ejecucion a los diversos plugin, para ejecutar JavaScript, instalar diversas Cookies, y ejecutar ese software que nos permite jugar a Todos esos juegos del Tuenty.

Y esto no tiene nada de malo, nos permite disfrutar de un montón de aplicaciones, se podría desactivar en opciones de Internet, o en el navegador, sin Javascript, sin cookies,etc pero entonces apenas disfrutaríamos de la experiencia de Internet. Ahora bien, cuando los expertos en seguridad descubren este tipo de vulnearibilidades algunas de efectos críticos, suelen avisar a los fabricantes, y estos resuelven el problema mediante una actulizacion de ese software, si nosotros no instalamos esa actulizacion, algún indeseable podría redirigirnos a una pagina maliciosa, y solo por visitar dicha pagina, aprovechando esa vulnerabilidad, que permite que además del plugin se ejecute el código del atacante, tomar el control de nuestra maquina, y a partir de ahí explotar ese control para robarnos nuestras cuentas de correo, contraseñas del banco ,etc.

Según como sea la vulnerabilidad, puede ser mas o menos peligroso, pero pueden llegar a controlar nuestra maquina........Así que Actulicemos Señores!!!!!

Espero que os gustara y Seguridad Jabalí para Todos!!!

5000 Visitas

Seguridad "A lo Jabalí" 

Ya tiene 5000 Visitas, y no llevamos ni Dos Meses!!!!!!

Solo Dar las gracias, Muchisimas gracias a todos, por leer nuestros artículos, los comentarios, seguirnos o agregarnos en Twitter,Facebook,etc.............Muchas Gracias!!!!!!!

Seguridad Para Todos!

Como funciona "Un Ordenador Servicios"

En estos post estamos tratando de dar a conocer los principios básicos del funcionamiento de las computadoras, mas que un detallado informe técnico, pretendemos explicar la idea de como se diseño el sistema....en anteriores artículos Como funciona "Un Ordenador Introducción".Hablabamos un poco de el arranque y el encendido de el sistema operativo.Ahora que el ordenador esta encendido lo primero que debemos saber es que servicios están funcionando, pero ¿Que es un Servicio?

Un Servicio es un software(un programa o conjunto de estos) que esta funcionando en segundo plano para hacer un trabajo,ejemplo un servidor de paginas web,servidor apache.Hay muchos tipos de servicios,web,ftp,mail quizás los mas conocidos, otros como radius,dns o emisor de certificados no son tan conocidos aunque constantemente los estés utilizando.Estos servicios o demonios(Linux) permiten la comunicacion y se suelen basar en un modelo Servidor->Cliente.La maquina cliente, solicita mediante un navegador ver una pagina web, y la maquina servidor te envía el código de esa pagina para que en tu ordenador puedas verla. Se explicaba aquí...enlace.
Y así funcionan otros servicios como el mail, o las descargas de archivos, aunque cada servicio tiene sus peculiaridades, el modelo servidor cliente es habitual.Cada uno de estos servicios no deja de ser un software, aunque se utilicen maquinas dedicadas para mejorar los rendimientos, y suele abrir un puerto en la maquina, que se queda a la escucha de peticiones.

Muchas veces ese servicio o el puerto que esta esperando esas peticiones es utilizado para realizar ataques a esa maquina, por eso es importante conocer que servicios tenemos funcionando,que puertos abiertos y si son necesarios para el uso que damos al pc.Proximamente detallaremos los servicios que se utilizan frecuentemente,espero que os gustara el Post.
Hablando de ..... DHCP (Servicio de Asignacion de Direcciones IP) .

Seguridad para Todos!!

Día del BolluU !

Hoy en Oviedo se celebra el día de San Mateo, así que aunque el tiempo no acompaña,hay que comer un Bollin de Chorizo, todo bien acompañado de una buena Sidrina!!!!!!!

Seguridad a lo Jabalí para Todos !!!

Piratas Informaticos

Todos oímos el termino Hacker, Pirata informático, pero ¿sabemos lo que es?, uno de los primeros hacker fue una mujer, trabajaba para el gobierno de los Estados Unidos.... Grace Murray Hooper . Empecemos por definir el termino y diferenciar entre los distintos significados o interpretaciones que hay.

Hacker Es un experto informático, o apasionado de la tecnología, que siente curiosidad por el funcionamiento de las cosas, tanto software (programas) como hardware (dispositivos físicos), intenta medir las capacidades de dichos elementos, realizando muchas veces funciones, para los que el software o hardware ni siquiera estaba pensado,de esa manera descubre errores, pero también nuevas aplicaciones.

A principios de los 60 en el MIT Instituto Tecnológico de Massachusetts y el Laboratorio de Inteligencia Artificial se empezaba con el Software Libre, muchos consideraban a estos entusiastas, expertos informáticos y grandes científicos, apasionados de la informática como hackers.Hoy en día, el termino utilizado hasta la saciedad por los medios de comunicacion, ha desvirtuado su significado Original.Se considera a los hackers simplemente como piratas informáticos, sin pensar, que muchas denuncias que mantienen nuestros derechos en la red, son hechas por hackers y profesionales de la seguridad informática.Existen distintos términos para definir hoy en día a los hacker,incluso algunos de ellos, diseñados por los propios hackers para diferenciar, los objetivos o habilidades en una comunidad que se define por el estudio y el conocimiento.

Quizás no te has parado a pensar que en la red hay muchos intereses, y grandes sumas de dinero,las organizaciones criminales, se dedican a ganar dinero y contratan expertos informáticos, para diseñar complejos sistemas de ataque,en este articulo ya hablamos de ello Evolucion del Malware.

Además hoy en día es relativamente sencillo encontrar tutoriales para utilizar diversas herramientas casi sin conocimientos, y algunos chiquitos buscan reconocimiento y fama, atacando sitios que son vulnerables, muchas veces por falta de información.Hablando de Anonymous.

Sin embargo hay un gran grupo de profesionales, con muchos conocimientos, dedicando desinteresadamente muchas horas, para investigar, difundir y progresar en esto de la seguridad informática.......los verdaderos Hackers.

Seguridad Jabalí para Todos!!!

Hackea a tu hijo Capitulo 3

En Hackea a tu hijo Capitulo 2 hablamos un poco de ingeniería social,y como utilizarla para saber que hacen nuestros hijos,ahora es el momento de investigar un poco, que se puede encontrar en Internet sobre mi hijo.

En seguridad informática uno de los procesos que se realiza cuando hacemos una prueba de intrusión, porque seria exactamente lo que haría un atacante, es recopilar información..... y nada mejor que Google!!

Google es un buscador,funciona con una serie de motores o arañas, que se dedican a indexar paginas,es decir si algo es interesante, tiene muchas visitas, etc google lo añade a sus listas asociado a una serie de términos, cuando realizas luego una búsqueda te lo presenta.

Búsqueda de Imagenes de  Seguridad a lo Jabalí con distintos términos.Como se puede ver si se busca mi nick,la búsqueda no es tan precisa, pero a medida que vamos sumando palabras, relacionadas con lo que buscamos, la información que google muestra es mas exacta.Esto es lo que tenemos que conseguir,probar con tres o cuatro términos, nombre de mail, nombre y ciudad, no olvidar los nicks, motes o apodos.La búsqueda por imagen  es muy rápida, además google permite realizar búsquedas mas complejas.

Fíjate cuando realizas búsquedas avanzadas,que google utiliza una serie de argumentos,opciones para afinar la búsqueda.Si solo quieres buscar en facebook pondrías .....Site: facebook inurl: "seguridadjabali"  .

Aquí te dejo algunos parámetros de Google, hay mas,y también se puede buscar en Bing, Exalead, Yahoo, etc.

 

Investigar lo que Google tiene indexado sobre nuestros hijos, puede dar una idea de lo que están haciendo, y sobre todo, saber si pueden estar expuestos a algún tipo de amenaza.Aunque la mayor parte de la gente no conoce el funcionamiento de google en profundidad, si lo suficiente para localizar a niños, o compañeros de instituto.
En el siguiente Capitulo veremos Como configurar la Arquitectura de nuestra Red.

Espero que os gustara................Seguridad para Todos!!!!

Recomendaciones Twitter

Otro Domingo que seguimos por aquí,y como ya es costumbre traemos una recomendación, twitter.

Si, ya lo se, todos conocéis twitter, pero no deja de ser un medio de información, muy rápido, las noticias si algo sucede, se transmiten muy rápido por este medio.

No me cansare de repetir, que uno de los mejores medios para estar protegido, es estar informado.... desde este blog,intentamos que lo estéis. Nuevos enlaces y noticias!!!

El otro día fue vulnerada la base de datos de la policía, y se filtro públicamente un listado de datos de agentes, Escoltas del Presidente. Un hecho, que desde este blog se Rechaza !!!!!!

La noticia, circulaba por twitter, mucho antes de salir en las noticias, o el los diarios online, pero para saber estas cosas, estar informado, o saber si un rumor es cierto, hay que saber a quien seguir ............

Así que nuestra recomendación para esta semana, es esta lista para que sigáis en twitter!!!!!

Si algo sucede en Internet, aquí se estará comentando, espero que os sea útil, y os haya gustado
Guia Barrio Sésamo de Twitter .

Seguridad para Todos !!!!!

San Mateo 2011

Bueno hoy ya empezaron las Fiestas en mi ciudad,San Mateo,para los que no lo sepáis aquí en Oviedo normalmente del 12/14 de Septiembre al 22/24 de este mismo mes,Estamos de Fiesta!!!!!

La ciudad se viste de luces,se instalan chiringuitos por todas las calles del antiguo,y todo el mundo ,a pesar de la lluvia, sale a celebrar, a comer un bocadillo, tomar un mojito, escuchar música, hay conciertos para todos los gustos, Jazz, Rock, Opera, Orquestas etc.......

Una Semana de fiestas en la calle,donde comapartir grandes y pequeños una ciudad hermosa,Oviedo........................Quedáis todos Invitados San Mateo 2011.

Seguridad para Todos!!!!

Anonymous y los Automoviles!! Reflexión Sobre Seguridad.

Cuando empezamos con este blog uno de los motivos,fue el partir de la base que la seguridad, es muchas veces,mas una cuestión de buenas practicas,que una cuestión de comprar/instalar dispositivos y medidas.En aquel Articulo......Enlace.Explicamos como varios sitios con altos presupuestos eran vulnerados.

Hoy quiero hablar un poco de este tema,y voy a poner una analogía con los automóviles,en seguridad no se pretende que todo el mundo tenga un auto blindado,ni que sea un experto,mecánico,para eso ya están los profesionales.....pero ¿tenemos los mismos conocimientos de los riesgos y precauciones que debemos tomar?,siguiendo con la analogía........

Un ejemplo,cuando salimos del vehículo,cerramos con llave,nos cercioramos de que esta cerrado,no dejamos objetos de valor a la vista........para muchos conductores,es algo simplemente rutinario.

Sabemos que si nos rompen el vidrio,el estar cerrado no serviría de mucho,sabemos que hay cierto riesgo de que aun cerrado,nos pueden robar el automovil,¿quiere decir esto que debemos dejarlo abierto,que no hay diferencia?¿Deberiamos utilizar cristales blindados?

Cuando compramos un vehículo,ajustamos la seguridad(numero de airbag,sistemas de conducción segura,abs),a nuestras necesidades,y si es necesario se implementan(blindado para políticos,etc).

Además para poder conducir se nos exige.una capacitacion,El permiso de conducir......pero con el PC.

Así que sacaros el Permiso de Conducir en este Post     Como esta el Patio...........

Ayer pudimos ver como se publicaban los datos personales de la escolta del Presidente,En un Informático en el Lado del Mal,Pastebin,Twitter,y luego en El Mundo Digital se avisaba del ataque,esta intrusion pone en riesgo  vidas,en nombre supuestamente de anonymous......aquí dejo mi opinión,Click en la imagen para ampliar.

Mas sobre Anonymous!!!

Seguridad Jabalí para Todos!!

Hoy Nos tomamos un descanso.....

Hoy hay mucho trabajo por aquí,así que ya que estamos escasos de tiempo nos tomamos un descanso,mañana o a mas tardar pasado mañana seguiremos publicando (si,lo se,esto puede ser considerado una amenaza! Juaaaaaaa....).

Muchas Gracias por leernos y ...........Seguridad para Todos!!!!

Hablando de .....TCP/IP

Vamos a tratar un tema,que para muchos,es mas que complicado,en realidad estudiarlo en detalle es muy amplio,pero no es ese nuestro objetivo.El fin de este articulo es entender la idea de la comunicacion.

Hablemos del protocolo TCP/IP es el encargado de la comunicacion entre los diferentes dispositivos,un ejemplo,para conectarse a Internet con tu portátil,la informacion viaja hasta tu router wifi,desde ahí al router de tu proveedor(ISP) este envía la información por una serie de routers conectados de diferentes maneras hasta llegar al servidor WEB,y luego toda la vuelta.

En este caso la petición es http (puerto destino numero 80 el puerto origen es aleatorio dentro de un rango) pero si fuera un mail seria otro protocolo y otro puerto,por lo que deducimos que el puerto define el servicio y el protocolo(las normas de comunicacion) que se van utilizar para poder ver un vídeo,un mail.

La dirección IP es asignada a tu tarjeta (es como el donde vives),cada vez que te conectas a un router,a un acceso Wifi,etc este te asigna una serie de direcciones ip donde esta la que se asigna a tu maquina,para la comunicacion interna dentro de esa red,y la dirección para salir a Internet.

En cambio,tu dirección MAC esta impresa en la tarjeta de red,es como un numero de seriée y se utiliza para que otros dispositivos se puedan comunicar.Asignar IP en función de la MAC,seria el protocolo ARP y de esta asignación (falseándola) se realizan algunos ataques.

Luego se determina que tipo de medio fisico hay que utilizar,cable(Ethernet) o radio(Wifi ,en realidad 802.11)Y este medio y la disposicion del sistema,definen el protocolo a utilizar.

Importante,es bueno saber que el motivo de utilizar este protocolo TCP/IP es que así es totalmente independiente,un apple,windows,Linux da lo mismo que sea un router,un móvil o un portátil....así todos siguen las mismas reglas para comunicarse el conjunto de protocolos Estándar TCP/IP.
Tambien te puede interesar 
Como se asignan las direcciones IP (Servicio de DHCP) .

Seguridad a lo Jabalí para Todos!!!

Nuevos Complementos

Poco a poco tratamos de ir mejorando el blog,y me pareció que podría resultar interesante añadir algunas secciones nuevas......enlaces a otros sitios,y así conseguir que con una visita a este blog podáis estar actulizados,sobre todo para evitar riesgos,además hay pequeños tutoriales con configuraciones que mejoran mucho la seguridad de los internautas,y no son para nada difíciles.....son guias de configuración,generalmente para organizar correctamente las configuraciones de los sitios que habitualmente estáis a día de hoy utilizando.

Así que sin mas preámbulos ,paso a describiros un poco las nuevas actulizaciones y que podéis encontrar en ellas.¡No os podéis quejar !!! Que os lo doy todo Hecho.....ja,ja,ja.Se puede pinchar en cada noticia y te abrira una nueva ventana/pestaña (segun como este configurado tu navegador) a la pagina de origen. Para empezar hay el los laterales enlace a los rss de dos blogs para estar informados,Una al Día de Hispasec en la que podréis encontrar las ultimas noticias sobre informática,vulnerabilidades,entrevistas y mucho mas.En Seguridad Apple,desarrollado por los chicos de Informatica64 tendréis las ultimas noticias sobre el mundo Apple,vulnerabilidades,criticas,y a veces hasta alguna cosa buena.........

Espero que los disfrutéis...........

Desde la Oficina de Seguridad del Internauta y El centro de Alerta de Inteco las Ultimas noticias publicadas sobre seguridad,amenazas y los últimos virus descubiertos.Para consultar todos los días,y ver como anda el mundo.......

Y este enlace para que estéis actulizados con todas las guias que cada día se publican en Osi/Inteco destinadas para todos los usuarios unas mas tecnicas y otras mas comprensibles,pero siempre interesantes...........

Espero que os gusten todos los cambios y las nuevas incorporaciones,y si tenéis alguna sugerencia dejar un comentario,enviar un mail,lo que deseéis........

Muchas gracias por seguirnos ,hasta el próximo articulo.

Seguridad para todos!!!!



Recomendaciones DNI Electronico

Hoy como cada domingo estoy aquí para recomendaros una pagina que me parece interesante o útil,y explicaros un poco como funciona la pagina o para que nos puede servir.En este blog tenemos un enlace permanente a la oficina del DNI Electrónico.

Porque deberíamos tener el DNI Electrónico,porque es muy seguro,es muy cómodo y cada día va a ser mas necesario......¿no te lo crees? El otro día necesitaba una vida laboral,así que me fui a la oficina y descubro,que ya no la emiten,me pasaron a una cabina,con una maquina automática,para gestionar una petición.....¡para que me lo enviaran a casa!!!!!!

Cada día hay mas servicios publicos que te sugieren que los hagas desde Internet,pero claro para realizar algunas gestiones,es necesario autentificarse,tienes que demostrar que el que esta solicitando el tramite es quien dice ser......el nuevo dni es una forma practica y útil de autentificarse.

Porque es seguro,porque el certificado de identidad que esta en el dni,esta en la tarjeta, si extraes el dni del lector el certificado desparece del ordenador,con lo cual no te lo pueden robar,ese certificado informático,te identifica de forma inequívoca y segura.Para saber mas sobre Certificados Aquí.

Además esta pagina es muy intuitiva,con tutoriales de uso,enlaces a distintos servicios y los drivers necesarios para utilizar el dni.

En esta parte puedes ver una explicación de como debes instalar los drivers y certificados necesarios para utilizar el dni electrónico.

La explicación de la pagina te indica todas las operaciones para instalar los drivers necesarios para utilizar el lector de tarjetas criptográficas,además hay que instalar los certificados raíz para que se autentifique el certificado del DNI,una vez reiniciado el ordenador,nuestro navegador (Recomiendo utilizar Internet Explorer para estas operaciones) va a solicitarnos la clave de acceso y estaremos autentificados para cualquier tramite que realicemos ,las ventajas es que muchos tramites directamente podremos imprimir el documento ,igual que si firmaras en la oficina.

Y los servicios que se pueden realizar con el DNI cada da son mas,con la ventaja de que los puedes realizar ,cualquier día de la semana,las 24 horas del día,todos los días del año....

Todos los servicios estatales se pueden realizar mediante el dni,muchos de los autonómicos y cada día mas gestiones locales y privadas.

Enlaces de Interes
Recomendaciones Fabrica Nacional Moneda y Timbre .

Espero que todos tengáis vuestro dni, Seguridad para Todos!

Como funciona "Un Ordenador Introducción"

Muchas veces seguro que te preguntas como funciona un ordenador,además escuchas términos sobre puertos,operaciones lógicas,etc y no terminas de entender que es todo eso........pues hoy lo vamos a explicar,empezamos con el funcionamiento básico del ordenador y luego en posteriores post ya iremos ampliando.

Si estas esperando una esplicación técnica compleja y detallada mejor no sigas leyendo el fin de este articulo es explicar de una forma sencilla,el funcionamiento básico.

Esquema del Ordenador

Básicamente el ordenador esta compuesto por dos partes Física(Hardware) y Lógica (Software) aunque si es cierto que en algunas partes la linea es muy difusa.

Una maquina solo entiendo valores eléctricos,el valor 0 y el valor 1 y con este código,realiza todas las operaciones.Se denomina Código Binario.

Todas las operaciones (decisiones)se realizan en el microprocesador(CPU)y son intercambios eléctricos.Todos esos procesos y la memoria

que se necesite.Se utiliza la memoria de los registros del microprocesador,luego la memoria RAM y si es necesario se utiliza parte del disco duro como memoria auxiliar.Evidentemente en ese orden cada memoria es mas lenta (y mas barata).

Secuencia de Funcionamiento

Enciendes el ordenador ,lo primero que se inicia son los componentes básicos y una parte denominada ROM,un circuito donde esta programado el inicio de los sistemas,ahí arranca la famosa BIOS y busca las unidades de memoria,componentes,etc.

Disco Duro la bios posiciona al principio del disco duro para leer la MBR o Master Boot Record que indica cuantos sistemas operativos (porque puede haber varios) y donde iniciar los archivos de Sistema.

Sistema Operativo se inicia al principio hace funcionar los controladores que necesita,para manejar los distintos componentes,quizás esa cámara que compraste funcione bien,y sea el controlador el que falte o este dañado.Aquí también se validan los usuarios para iniciar sesión y gestiona los intercambios entre el resto de programas y la maquina.

El Software que el sistema operativo tiene definido para iniciarse al arrancar se inicia con el sistema operativo,así cuando un programa te pregunta si lo quieres instalar como servicio,eso quiere decir que arranca con el Windows,también consume mas recursos,aunque no lo estés utilizando ¿tarda mucho en arrancar tu maquina? Servicios o demonios ¿Que son?

En siguientes post explicaremos un poquito mas de cada cosa,esto es una pequeña Introducción,espero que os gustara......Seguridad para Todos!!!!



Un poquito de por favor.........

Como decía aquel personaje de todos conocido (aquí en España),hoy quiero tratar un tema escabroso,la relación social entre los aficionados a la tecnología (geek) y el resto de los mortales.

El otro dia leyendo un libro sobre Seguridad Informática "Blindaje de redes" John Mallery,Jason Zann,Patrcik Kelly y alguno mas.... llego a un capitulo que habla del problema de seguridad desde una perspectiva,cuanto menos curiosa,define mas o menos que las relaciones sociales entre los entendidos de informática y el resto de compañeros de otros departamentos influyen en la seguridad.

Así hoy en día existen arquetipos como los siguientes.......

El Informático Prepotente:Un compañero avisa al encargado del departamento técnico,que su software,que necesita para realizar su labor no funciona.El técnico arregla el problema y cuando se dispone a irse,le preguntan¿Que era lo que tenia?-El problema estaba entre la silla y el teclado,y se va con una sonrisa burlona.

El Usuario Desentendido:El mismo problema desde otra perspectiva,el informático advierte que el problema es derivado de un uso incorrecto del usuario,y trata de explicarle al compañero que si utiliza así el software,se podría repetir el error.Cuando el informático empieza a explicarle el compañero le contesta:-Si,si si vuelve a pasar ya te aviso,ahora estoy muy ocupado,si me disculpas.......

Es cierto que a veces la comunicación es difícil ,se emplean términos complejos o técnicos ,como .....el problema esta en la petición del navegador al puerto de esa url,no esta permitido en una acl por el firewall de la empresa,y ese servicio no te va a funcionar.

Seria mas fácil decir que hay un dispositivo de seguridad que bloquea ese acceso,que puede ser un riesgo para la seguridad de la empresa.Por supuesto,esta definición es menos exacta,pero quizás cumple mejor la función de comunicarse.Y esto es importante porque cada día,esta mas claro que la seguridad es una cuestión de Equipo,de nada sirve todo lo que implementes,lo buena que sea la política de seguridad,si al final no es cumplida por todos los usuarios.A veces,los expertos en tecnología,explican las cosas de manera tan técnica que se pierde el contenido del mensaje,pero en su defensa,yo personalmente opino que es el afán de compartir el conocimiento que tienen.Quizás si se prestara mas atención a los Administradores de Sistemas,a los Programadores y a los Expertos en Seguridad,se preguntara lo que no se entiende,o indicarles que utilicen símiles u otra terminologia dejarían de verse como en la ilustración.Empezando a verlos como un compañero mas que se apasiona de su trabajo y esta deseoso de compartir sus conocimientos.Con todo esto mejoraría la Seguridad en las empresas,y sobre todo las relaciones humanas.

Así que un poquito de por favor......entre ambas partes.El dibujo no deja de ser muy gracioso! 

Seguridad para todos!

Plan de Seguridad (Parte 3)

En anteriores artículos :

Plan de Seguridad (Parte 1) Identificacion de Activos.

Plan de Seguridad (Parte 2) Documentacion del Riesgo.

Ahora es el momento de pensar que medidas o tipo de medidas,queremos o podemos aplicar para proteger cada activo de la información.Siempre tomaremos medidas lógicas,que seamos capaces de aplicar y estén a nuestro alcance.

Es mejor aplicar las medidas mas urgentes primero,y organizar un sistema en el tiempo que permita ir mejorando,de forma progresiva iremos aplicando nuevas medidas,dentro de nuestras posibilidades para mejorar la seguridad.

Lo primero es asegurar la parte del recurso,es decir de este recurso concreto,¿Que quiero proteger?La Confidencialidad,La Integridad o La Disponibilidad.Una Pagina WEB es la imagen de una compañía,no debería ser modificada....Esto seria mantener la Integridad,nuestro negocio genera ingresos mediante esa pagina hay que evitar que se detenga (por ejemplo mediante un ataque DoS),esto es defender la Disponibilidad,si además la pagina tiene acceso a una base de datos el comprometer la pagina puede ocasionar que se acceda a esos datos,proteger esos datos por ejemplo mediante Https,seria proteger la Confidencialidad de nuestros clientes y evitar modificaciones otra vez la Integridad.

Como ya habréis visto en un mismo recurso,quizás nos interese defender las tres cosas,o una solo,según el caso y el uso de ese recurso dentro de nuestro negocio.

Algunos métodos para proteger los recursos son :

Confidencialidad:Se trata de que personas no autorizadas no accedan a recursos o información para los que no están autorizados,hay varios peligros básicos,el acceso,que se protege mediante contraseñas,biometrica,dispositivos físicos.

El acceso al entorno,mediante firewalls,evitar vulnerabilidades (mantener actualizado el software),control de usuarios y permisos,segregación de redes(Vlan).

El acceso a la información mientras viaja,Wifi,Cifrado,VPN(Redes privadas virtuales).

Hay que distinguir también entre Identificacion y Autentificacion,aunque parecen términos similares es vital diferenciarlos y tratarlos en consecuencia.

Integridad:Si no podemos confiar en que el contenido de los datos,no fue modificado,o que la fuente de la información,no sea quien dice ser tenemos un problema,por ese motivo publique el post de los certificados uno de los objetivos de los certificados es garantizar el remitente de la pagina,mensaje,mail y además garantizar que el mensaje no fue alterado.Aqui podeis ver el articulo.

Cuando descargamos un archivo,en el lugar de descarga suele estar su MD5,eso es el resultado de unas operaciones matemáticas que garantizan que el archivo descargado es igual al que se pretendía bajar.

Hablaremos proximamente de ello......MD5,Sha,etc.

El cifrado garantiza que los datos no puedan leerse (o casi),pero es el aplicar un hash,lo que garantiza que no fue alterada la información.

Otras medidas como un Firewall o la programacion segura,ayudan a proteger la integridad de la información,base de datos,etc.

Disponibilidad:El tener acceso a un recurso es básico,según la empresa y el recurso y en algunos momentos puede ser crucial,este es un tema largo y complicado porque mantener la disponibilidad,es difícil y muy diferente según de que se trate.Lo primero es tener las mínimas vulnerablidades,firewall,IDS,un buen diseño de Red,configuraciones adecuadas,actulizaciones y sobre todo aplicar una buena política de seguridad y mantenerla.

Y luego duplicidad y backup,osea copia de seguridad de todo lo importante,y con copia no quiero decir hacer un backup,hay que seguir haciéndolo,mantenerlo actualizado y cada cierto tiempo probar si los backup en realidad restauran de forma eficaz la información.

Y para los recursos indispensables,hay que duplicar recursos,una web lista para ser subida,virtualizacion,varios servidores o ISP.Esto es lo mas costoso,pero si hace falta..........

Espero que os haya gustado,iremos desarrollando todos estos temas uno por uno.
Plan de Seguridad (Parte 4)

Seguridad para Todos!!

Ingeniería Social

Muchas son las veces que se escucha este termino "y mediante ingeniería social consiguió...."; hace ya tiempo Bruce Schneier experto en criptografía,cifrado ,creador del método RSA,con frases celebres como "La seguridad es un proceso no un producto" ya opinaba en su libro Secretos y mentiras, que un negocio que utilice el algoritmo de cifrado para proteger sus datos  manejados por empleados tiene fallos .Una solución de seguridad actual que incluya tecnología,debe tener en cuenta ,los equipos,los programas  y a los usuarios.

La ingeniería Social :Seria la técnica o ciencia de engañar a un usuario legitimo para conseguir una información,claves,accesos abra un mail o que pulse sobre el enlace a una url(hacia una pagina maliciosa).

Una de las teorías de cualquier estrategia es la frase "Una cadena es tan fuerte como el eslabón mas débil ",que en nuestro caso seria el usuario de la empresa con menos conocimientos técnicos,o el que por motivos de carácter sea mas confiado. 

La solución ,formar a los trabajadores y documentar políticas de seguridad claras,respecto a que se puede hacer en el lugar de trabajo y como hacerlo de forma segura.

Kevin Mitnick en su obra  "El Arte del Engaño",hace varias referencias al termino,Mitnick uno de los hacker mas conocidos relataba  en una de sus conferencias, como accedió al código de un móvil en desarrollo, incluso antes de su anuncio en el mercado, con sólo seis llamadas telefónicas.

Kevin Mitnick relata que se fundamenta en cuatro principios básicos del ser humano .

• Todos queremos ayudar.
• El primer movimiento es siempre de confianza hacia el otro.
• No nos gusta decir No.
• A todos nos gusta que nos alaben.
• Yo,añadiría que nos importa menos,cuando el recurso no es nuestro,y si de la empresa.

Y de eso se habla con ingeniería social,de engañar,ni mas ni menos...y recordar que no deja de ser un método,ni bueno ni malo,según como se utilice,en marketing los estudios sobre las preferencias de la gente y las formas para manipular eso y mejorar las ventas son una realidad.

En un  curso para formar al personal,el instructor de la empresa de seguridad propuso un concurso y en un saco todos debían poner un papel con usuario/contraseña y la gente lo hizo..........les mostró de forma practica,como había conseguido los accesos a una empresa,y no se había identificado,nadie sabia si realmente era de la empresa de seguridad........es un buen ejemplo.

En el articulo Hackea a tu Hijo Capitulo 2 ,hablamos un poco de como usarla para algo positivo.

Seguridad para Todos!!!

Certificados Digitales

Hace tiempo que quería escribir este post,porque me parece importante la navegación segura HTTPS ,pero hoy en día esto no es viable sin entender como funcionan los certificados digitales.

Si yo quiero comunicarme con alguien y cifrar el mensaje por si lo interceptan,defendiendo así la confidencialidad de la información,me pondría de acuerdo con el receptor con una clave compartida,que solo los dos sabemos para descifrar los mensajes.....hasta ahí todo bien.Esto se denomina PSK o clave precompartida ,el problema surge cuando al comunicarme con mucha gente,¿como comparto la clave sin que el mensaje que lleva la clave no este amenazado?.

La solución fue las claves PKI o infraestructura de claves publicas,funciona mas o menos así,cada usuario maneja un par de claves,emitidas por una autoridad certificadora,la clave privada de cada usuario descifra lo que cifra su clave publica,entonces me envías algo cifrado con mi clave publica y yo lo descifro con mi clave privada.....además se utilizan funciones de hash para verificar el origen y la integridad del mensaje.

Todo esto se consigue con funciones matemáticas muy complejas,números primos muy grandes,y sistemas de cifrado muy probados,asi se autorizan los estándar para el tipo de navegacion segura,entidades certificadoras,etc.

Ya no hay problema ,entonces es seguro ? ......

Aquí esta el problema,todo esto al final, no deja de ser una comunicacion entre las entidades certificadoras y los navegadores...............

La fabrica nacional de moneda y timbre de España ,es una entidad certificadora,que Mozilla no reconoce como valida,esto se debe a que las Entidades Certificadoras ,las que emiten el certificado tienen que ser también Certificadas y como la FMNT se certifica a si misma,(eso también lo puede hacer un atacante) el navegador avisa,que no puede garantizar la procedencia.

Internet Explorer si que reconoce la FNMT,al final la responsabilidad es para el usuario.

Lo mejor es en el propio navegador,en opciones comprobar la ruta de certificacion,informarse de que esas entidades sean las reales,y no aceptar entidades certificadoras si se desconfía.

Los certificados digitales al final son así.....

Un archivo que tu navegador reconoce, que tienes que instalar y el navegador acepta,puedes copiarlo,guardarlo,y mucho cuidado el que otorga la fmnt para personas físicas ,tiene valided legal de firma,y se puede robar.Mucho Ojo!!!.

Para instalarlo, botón derecho con el ratón y siguiente,siguiente,etc luego en tus certificados personales,en el navegador debería de aparecer,ya puedes firmar,enviar mail firmados,etc..

Si queréis profundizar mas en el tema buscar en google PGP,es un proyecto muy interesante.........

Y no dejéis de hacer el DNI Electrónico,aquí explico porque es cada día mas necesario ,cómodo y un método muy seguro.Enlace DNI-Electrónico.

Así es mas o menos la instalación del certificado.........

No quería dejar pasar esta oportunidad para poneros este enlace sobre certificados muy divertido

Conversaciones sobre certificados,seguridad y pornografía, de hispasec.

Y este otro con una explicacion de Yago Jesus Fantastica sobre una vulneracion del sistema de Certificados Articulo de Security By Default.

Mi consejo,que utiliceis los certificados,pero con prudencia y emplear la lógica siempre,por política desconfía,en Ceres, Fabrica Nacional de Moneda y Timbre tienes mas información.

Otros enlaces.

Seguridad para Todos.!