El link de hoy tiene por objetivo mostrar la filosofía con la que pensar cuando tratemos de establecer la estrategia de protección de nuestro PC. Para ello, es adecuado recurrir al sabio Sun Tzu y su texto del "Arte de la guerra".
A modo de resumen, me quedo con estas frases que expresan perfectamente nuestra actitud y estrategia de defensa:
"El arte de la guerra se basa en el engaño. Por lo tanto, cuando es capaz de atacar, ha de aparentar incapacidad; cuando las tropas se mueven, aparentar inactividad. Si está cerca del enemigo, ha de hacerle creer que está lejos; si está lejos, aparentar que se está cerca. Poner cebos para atraer al enemigo. Golpear al enemigo cuando está desordenado. Prepararse contra él cuando está seguro en todas partes. Evitarle durante un tiempo cuando es más fuerte. Si tu oponente tiene un temperamento colérico, intenta irritarle. Si es arrogante, trata de fomentar su egotismo. Si las tropas enemigas se hallan bien preparadas tras una reorganización, intenta desordenarlas. Si están unidas, siembra la disensión entre sus filas. Ataca al enemigo cuando no está preparado, y aparece cuando no te espera. Estas son las claves de la victoria para el estratega. "
Y como conclusión final:
"Por tanto os digo: Conoce a tu enemigo y conócete a ti mismo; en cien batallas, nunca saldrás derrotado. Si eres ignorante de tu enemigo pero te conoces a ti mismo, tus oportunidades de ganar o perder son las mismas. Si eres ignorante de tu enemigo y de ti mismo, puedes estar seguro de ser derrotado en cada batalla. ". Sun Tzu - El Arte de la Guerra
Hoy está siendo un día muy productivo. Además de encontrar documentación sobre modelados de ataque y herramientas software para hacer estudios de impacto, he hallado este diccionario sobre Seguridad de la Información. En este área a menudo tenemos un problema con el uso de los términos.
Espero que esta recopilación de términos me ayude en el futuro.
Computer Security Dictionary: Dictionary of Information Security
Espero que esta recopilación de términos me ayude en el futuro.
Computer Security Dictionary: Dictionary of Information Security
A menudo, me maravillo con los desarrollos que la gente del Open Source hace. En el área de la seguridad, sus contribuciones llevan colaborando en la mejora de los procesos de gestión y monitorización desde hace años.
Siempre me he preguntado cómo alguien puede tirarse horas y horas programando con el único benefício de la realización profesional y el orgullo de realizar dicha obra. Como profesional y titulado en Ingeniería en Informática, el movimiento del software libre me genera sentimientos contradictorios.
OSSIM es un intento por proporcionar una herramienta de correlación de eventos de libre distribución, como contribución a la mejora de los procesos de monitorización de la red. Mezcla eventos que miden la vulnerabilidad de los equipos con los eventos que vienen de fuera, las agresiones que reciben.
Con esta información, podemos evaluar en qué frentes estamos siendo más castigados. Desde luego, me quito el sombrero ante esta nueva contribución opensource.
OSSIM (Open Source Security Information Management)
Siempre me he preguntado cómo alguien puede tirarse horas y horas programando con el único benefício de la realización profesional y el orgullo de realizar dicha obra. Como profesional y titulado en Ingeniería en Informática, el movimiento del software libre me genera sentimientos contradictorios.
OSSIM es un intento por proporcionar una herramienta de correlación de eventos de libre distribución, como contribución a la mejora de los procesos de monitorización de la red. Mezcla eventos que miden la vulnerabilidad de los equipos con los eventos que vienen de fuera, las agresiones que reciben.
Con esta información, podemos evaluar en qué frentes estamos siendo más castigados. Desde luego, me quito el sombrero ante esta nueva contribución opensource.
OSSIM (Open Source Security Information Management)
En este enlace, Microsoft TechNet - Análisis de Riesgos se encuentra la metodología que utiliza Microsoft para realizar un análisis de riesgos en materia de seguridad de los sistemas de información. Básicamente, todas las metodologías comparten un mismo cuerpo:
- Identificación de activos, inventariando y cuantificando cada uno de ellos.
- Identificación de amenazas
- Estimación de vulnerabilidades
- Estimación de impactos
Calculo de riesgo= función (vulnerabilidad, impacto).
La gestión del riesgo implica más cosas. Con MAGERIT, metodología para el análisis y la gestión de riesgos en sistemas de información, del Ministrario de Administraciones Públicas, además se puede utilizar una herramienta software para hacer simulación. Todo es gratuito, dado que es propiedad del estado. La dirección en donde encontrar este material es MAGERIT, web del MAP
- Identificación de activos, inventariando y cuantificando cada uno de ellos.
- Identificación de amenazas
- Estimación de vulnerabilidades
- Estimación de impactos
Calculo de riesgo= función (vulnerabilidad, impacto).
La gestión del riesgo implica más cosas. Con MAGERIT, metodología para el análisis y la gestión de riesgos en sistemas de información, del Ministrario de Administraciones Públicas, además se puede utilizar una herramienta software para hacer simulación. Todo es gratuito, dado que es propiedad del estado. La dirección en donde encontrar este material es MAGERIT, web del MAP
Esta semana me voy a dedicar a recopilar blog's sobre Seguridad de la información, aunque posiblemente acabe actualizando mis links y los termine por especializar, con aquellas referencias imprescindibles en materia de seguridad.
Información sobre Seguridad de la información, por Ausejo
Información sobre Seguridad de la información, por Ausejo
Y otro blog más. Este es de una chica, a la que le apasionan los aspectos de la seguridad en el desarrollo de software.
Dana Epp's ramblings at the Sanctuary
Dana Epp's ramblings at the Sanctuary
Hoy los post van todos de blog's. Me acabo de encontrar uno especializado en el tema del Spam, que además realiza comentarios sobre herramientas software que ha evaluado y comparativas entre los diferentes productos. Me alegra comprobar que el que tengo instalado, SpamBayes, es uno de los que más le gusta.
The War on Spam
The War on Spam
Blog muy bueno dedicado a algo que hoy es un aspecto complementario a los sistemas de información y que en el futuro será el principal pilar de los mismos, la Seguridad de la InformaciónInsights into Information Security
El enlace que esta semana indico, es la mejor herramienta para luchar con otras de las lacras de la seguridad, y que afecta especialmente a la Privadidad, el SPYWARE.
Página de inicio de Spybot Search&Destroy!
Este tipo de programas, que no son considerados troyanos ni virus puesto que no se replican ni dan acceso al exterior, si que recolectan información sobre nuestros gustos, las visitas webs que hacemos, e incluso, en los casos de los programas más maliciosos, ocupan a nuestra CPU en actividades no deseadas como pueden ser la aparición de ventanas emergentes con publicidad cada X minutos.
En fin, como son cosas que se instalan sin autorización del propietario del equipo, a luchar contra ellas, por abuso de autoridad y de la ingenuidad o ignorancia del usuario.
Página de inicio de Spybot Search&Destroy!
Este tipo de programas, que no son considerados troyanos ni virus puesto que no se replican ni dan acceso al exterior, si que recolectan información sobre nuestros gustos, las visitas webs que hacemos, e incluso, en los casos de los programas más maliciosos, ocupan a nuestra CPU en actividades no deseadas como pueden ser la aparición de ventanas emergentes con publicidad cada X minutos.
En fin, como son cosas que se instalan sin autorización del propietario del equipo, a luchar contra ellas, por abuso de autoridad y de la ingenuidad o ignorancia del usuario.
¿Cuándo un sistema es realmente seguro?
Se me ocurren dos respuestas posibles y solo una viable.
La clasica contada como un chiste casi es :
"El único sistema auténticamente seguro es el que está
desconectado, desenchufado, y empaquetado en un recipiente
hermético de titanio, guardado en un bunker de hormigón,
rodeado de gas nervioso y custodiado por guardias muy bien
armados y magníficamente pagados. E incluso así, yo no me
jugaría la vida por él". Gene Spafford.
El principal problema es que "sistema" ha dejado de ser tal, puesto que "desconectado, desenchufado, y empaquetado en un recipiente hermético de titanio, guardado en un bunker de hormigón, rodeado de gas nervioso y custodiado por guardias muy bien armados y magníficamente pagados" ¿para que sirve?. Portanto, no es una solución aceptable.
La segunda, que es en el paradigma en el que creo y al que la
industria tiende, es la gestión del riesgo. La seguridad, como la
vida, está expuesta a incertidumbre. Siempre habrá cosas que no
sabremos o no podremos controlar, por tanto, el que garantize 100% de seguridad miente, porque es imposible.
De lo que se trata es de jugar inteligentemente las cartas que están
en tu mano. Para ello, necesitas conocer tu sistema y su entorno.
Creo que la segunda respuesta, la viable está mejor contada con este texto de Sun Tzu, "El arte de la guerra":
"Conoce a tu enemigo y conócete a ti mismo; en cien batallas, nunca
saldrás derrotado. Si eres ignorante de tu enemigo pero te conoces a
ti mismo, tus oportunidades de ganar o perder son las mismas. Si eres
ignorante de tu enemigo y de ti mismo, puedes estar seguro de ser
derrotado en cada batalla. En esencia, el Arte de la Guerra es el
Arte de la Vida"
Y si aplicamos al día a día, creo que en seguridad informática es lo
que mejor resume lo que pasa.
Para quien quiera saber mas:
Sun Tzu fué un general chino que vivió alrededor del siglo V antes de
Cristo. La colección de ensayos sobre el arte de la guerra atribuida
a Sun Tzu es el tratado sobre dicho tema más antiguo que se conoce. A
pesar de su antiguedad, esta obra domina sobre cualquier otra sobre
el tema.
La obra de Sun Tzu llegó por primera vez a Europa en el periodo
anterior a la Revolución Francesa, en forma de una breve traducción
realizada por el sacerdote jesuita J. J. M. Amiot. En las diversas
traducciones que se han hecho desde entonces, se nombra
ocasionalmente al autor como Sun Wu o Sun Tzi.
El núcleo de la filosofía de Sun Tzu sobre la guerra descansa en
estos dos principios:
- Todo el Arte de la Guerra se basa en el engaño.
- El supremo Arte de la Guerra es someter al enemigo sin luchar.
Mas información y el libro traducido en:
http://www.gorinkai.com/textos/suntzu.htm
Se me ocurren dos respuestas posibles y solo una viable.
La clasica contada como un chiste casi es :
"El único sistema auténticamente seguro es el que está
desconectado, desenchufado, y empaquetado en un recipiente
hermético de titanio, guardado en un bunker de hormigón,
rodeado de gas nervioso y custodiado por guardias muy bien
armados y magníficamente pagados. E incluso así, yo no me
jugaría la vida por él". Gene Spafford.
El principal problema es que "sistema" ha dejado de ser tal, puesto que "desconectado, desenchufado, y empaquetado en un recipiente hermético de titanio, guardado en un bunker de hormigón, rodeado de gas nervioso y custodiado por guardias muy bien armados y magníficamente pagados" ¿para que sirve?. Portanto, no es una solución aceptable.
La segunda, que es en el paradigma en el que creo y al que la
industria tiende, es la gestión del riesgo. La seguridad, como la
vida, está expuesta a incertidumbre. Siempre habrá cosas que no
sabremos o no podremos controlar, por tanto, el que garantize 100% de seguridad miente, porque es imposible.
De lo que se trata es de jugar inteligentemente las cartas que están
en tu mano. Para ello, necesitas conocer tu sistema y su entorno.
Creo que la segunda respuesta, la viable está mejor contada con este texto de Sun Tzu, "El arte de la guerra":
"Conoce a tu enemigo y conócete a ti mismo; en cien batallas, nunca
saldrás derrotado. Si eres ignorante de tu enemigo pero te conoces a
ti mismo, tus oportunidades de ganar o perder son las mismas. Si eres
ignorante de tu enemigo y de ti mismo, puedes estar seguro de ser
derrotado en cada batalla. En esencia, el Arte de la Guerra es el
Arte de la Vida"
Y si aplicamos al día a día, creo que en seguridad informática es lo
que mejor resume lo que pasa.
Para quien quiera saber mas:
Sun Tzu fué un general chino que vivió alrededor del siglo V antes de
Cristo. La colección de ensayos sobre el arte de la guerra atribuida
a Sun Tzu es el tratado sobre dicho tema más antiguo que se conoce. A
pesar de su antiguedad, esta obra domina sobre cualquier otra sobre
el tema.
La obra de Sun Tzu llegó por primera vez a Europa en el periodo
anterior a la Revolución Francesa, en forma de una breve traducción
realizada por el sacerdote jesuita J. J. M. Amiot. En las diversas
traducciones que se han hecho desde entonces, se nombra
ocasionalmente al autor como Sun Wu o Sun Tzi.
El núcleo de la filosofía de Sun Tzu sobre la guerra descansa en
estos dos principios:
- Todo el Arte de la Guerra se basa en el engaño.
- El supremo Arte de la Guerra es someter al enemigo sin luchar.
Mas información y el libro traducido en:
http://www.gorinkai.com/textos/suntzu.htm
Puertos
De la Web de la Asociación de Internautas, pego a continuación, una explicación de que son los puertos, a colación de mi post anterior.
"¿Que son los puertos?
En el momento que nuestro ordenador se conecta a internet, éste pasa a ser un elemento más dentro de la Red, es decir, forma parte de toda la Red y como tal se tiene que comunicar con el resto. Para poder comunicarse, lo primero que necesita es tener una dirección electrónica y poder identificarse con los demás. Si haces una petición, por ejemplo de una página web, el servidor tiene que saber a quien se la envía. Esa dirección electrónica es la dirección IP, qué es un número de 4 grupos de cifras de la forma xxx.xxx.xxx.xxx . Pero eso no es suficiente, ya que en internet se pueden utilizar muchos y diversos servicios y es necesario poder diferenciarlos. La forma de "diferenciarlos" es mediante los puertos.
Imaginaros un edificio de oficinas, éste tiene una puerta de entrada al edificio (que en nuestro caso sería la IP) y muchas oficinas que dan servicios (que en nuestro caso serian los puertos). Eso nos lleva a que la dirección completa de una oficina viene dada por la dirección postal y el número de la oficina. En el caso de Internet viene dado por la dirección IP y por el número de puerto. Así por ejemplo, un servidor web escucha las peticiones que le hacen por el puerto 80, un servidor FTP lo hace por el puerto 21, etc... "
Fuente: V Campaña de seguridad en la Red - ASOCIACION DE INTERNAUTAS
De la Web de la Asociación de Internautas, pego a continuación, una explicación de que son los puertos, a colación de mi post anterior.
"¿Que son los puertos?
En el momento que nuestro ordenador se conecta a internet, éste pasa a ser un elemento más dentro de la Red, es decir, forma parte de toda la Red y como tal se tiene que comunicar con el resto. Para poder comunicarse, lo primero que necesita es tener una dirección electrónica y poder identificarse con los demás. Si haces una petición, por ejemplo de una página web, el servidor tiene que saber a quien se la envía. Esa dirección electrónica es la dirección IP, qué es un número de 4 grupos de cifras de la forma xxx.xxx.xxx.xxx . Pero eso no es suficiente, ya que en internet se pueden utilizar muchos y diversos servicios y es necesario poder diferenciarlos. La forma de "diferenciarlos" es mediante los puertos.
Imaginaros un edificio de oficinas, éste tiene una puerta de entrada al edificio (que en nuestro caso sería la IP) y muchas oficinas que dan servicios (que en nuestro caso serian los puertos). Eso nos lleva a que la dirección completa de una oficina viene dada por la dirección postal y el número de la oficina. En el caso de Internet viene dado por la dirección IP y por el número de puerto. Así por ejemplo, un servidor web escucha las peticiones que le hacen por el puerto 80, un servidor FTP lo hace por el puerto 21, etc... "
Fuente: V Campaña de seguridad en la Red - ASOCIACION DE INTERNAUTAS
Windows XP Service Pack 2
Se anuncia ya la segunda revisión del segundo service pack para Windows XP, con sustanciales mejoras que permite un mayor control de este sistema operativo cuando se encuentra integrado en un dominio.
La principal novedad es la activación por defecto del ICF, el firewall integrado de XP. A ello se suma un mejor interfaz, nuevas funcionalidades y una configuración gestionable a través de políticas de grupo del dominio.
El problema sigue siendo el mismo. El usuario final no sabe que dispone de esta funcionalidad, o no sabe gestionarla. Estamos exigiendo al usuario que entienda los conceptos básicos del TCP/IP y que se gestione el mismo los puertos. Es algo excesivo viendo la pobre interfaz que tiene este firewall. Al menos, Microsoft empieza a utilizar la política de la seguridad por defecto.
Microsoft TechNet - SP2 RC1
Se anuncia ya la segunda revisión del segundo service pack para Windows XP, con sustanciales mejoras que permite un mayor control de este sistema operativo cuando se encuentra integrado en un dominio.
La principal novedad es la activación por defecto del ICF, el firewall integrado de XP. A ello se suma un mejor interfaz, nuevas funcionalidades y una configuración gestionable a través de políticas de grupo del dominio.
El problema sigue siendo el mismo. El usuario final no sabe que dispone de esta funcionalidad, o no sabe gestionarla. Estamos exigiendo al usuario que entienda los conceptos básicos del TCP/IP y que se gestione el mismo los puertos. Es algo excesivo viendo la pobre interfaz que tiene este firewall. Al menos, Microsoft empieza a utilizar la política de la seguridad por defecto.
Microsoft TechNet - SP2 RC1
Detenido el presunto creador de Sasser
Por esta vez hemos de dar gracias... Porque este presunto programador del Sasser solo quería demostrarle a su mamá, lo "bueno" que era en informática, y "bueno" entre comillas, porque no se yo si realmente se mide el conocimiento en informática por elaborar un programa así.
Este chico al menos, es de los que están en la parte del iceberg de la seguridad visible, puesto que la creación del virus solo pretendía generar un programa de rápida difusión.
Si el nene en cuestión hubiera estado pagado o patrocinado por cualquier otro personaje del mundo de la delincuencia, posiblemente los resultados podrían haber sido devastadores.
¿Hasta cuando una Internet con pies de barro?
Mientras tanto, adjunto un enlace de la Asociación de Internautas AUI, que está trabajando en campañas de concienciación a usuarios en temas de seguridad y a la cual apoyaré plenamente en la medida de mis posibilidades. En este caso, informa sobre cómo prevenir el código malicioso.
Recomendaciones para prevenir la infección por virus y gusanos.
Por esta vez hemos de dar gracias... Porque este presunto programador del Sasser solo quería demostrarle a su mamá, lo "bueno" que era en informática, y "bueno" entre comillas, porque no se yo si realmente se mide el conocimiento en informática por elaborar un programa así.
Este chico al menos, es de los que están en la parte del iceberg de la seguridad visible, puesto que la creación del virus solo pretendía generar un programa de rápida difusión.
Si el nene en cuestión hubiera estado pagado o patrocinado por cualquier otro personaje del mundo de la delincuencia, posiblemente los resultados podrían haber sido devastadores.
¿Hasta cuando una Internet con pies de barro?
Mientras tanto, adjunto un enlace de la Asociación de Internautas AUI, que está trabajando en campañas de concienciación a usuarios en temas de seguridad y a la cual apoyaré plenamente en la medida de mis posibilidades. En este caso, informa sobre cómo prevenir el código malicioso.
Recomendaciones para prevenir la infección por virus y gusanos.
Virus Sasser
Hoy es un día triste debido a que ha aparecido un nuevo virus de difusión masiva. Esta noticia empieza a repetirse con demasiada frecuencia y por desgracia, no se pronostica que en el futuro la cosa mejore.
La aparición de estas constantes amenazas ponen de manifiesto dos cosas:
1.- Por un lado, estos experimentos de propagación todavía no están abusando de su potencial para hacer daños. Por ahora, solo tienen por objetivo la distribución pero no la destrucción. Claro que eso no lo hacen, porque no lo quiere su creador, porque el poder lo tiene para provocar en cualquier nueva versión un desastre.
2.- Por otro lado, estos gusanos utilizan vulnerabilidades que han sido publicadas meses antes. Es necesario por tanto una actitud pro-activa en el mantenimiento de los sistemas operativos.
El concepto que refleja la distancia entre el fallo y la solución se denomina "Ventana de exposición o ventana de vulnerabilidad". Es cierto que los usuarios no somos a menudo conscientes de la criticidad o importancia de un parche, pero está claro que cuando hay una vulnerabilidad en el aire, ya hay gente que está interesada en explotarla en forma de gusano o virus, para hacer daño. Mientras no exista concienciación por parte de todos sobre la importancia de la auto-protección, los problemas serán más graves. Además, estos programas que envían tráfico dejan de manifiesto la necesidad de una protección global. De nada me sirve que yo esté perfectamente securizado si mi compañero me bombardea con tráfico por no haber hecho él bien los deberes. En fin,... ¿que tiene que pasar para que aprendamos?
TREND MICRO - Security Information - WORM_SASSER.D
Hoy es un día triste debido a que ha aparecido un nuevo virus de difusión masiva. Esta noticia empieza a repetirse con demasiada frecuencia y por desgracia, no se pronostica que en el futuro la cosa mejore.
La aparición de estas constantes amenazas ponen de manifiesto dos cosas:
1.- Por un lado, estos experimentos de propagación todavía no están abusando de su potencial para hacer daños. Por ahora, solo tienen por objetivo la distribución pero no la destrucción. Claro que eso no lo hacen, porque no lo quiere su creador, porque el poder lo tiene para provocar en cualquier nueva versión un desastre.
2.- Por otro lado, estos gusanos utilizan vulnerabilidades que han sido publicadas meses antes. Es necesario por tanto una actitud pro-activa en el mantenimiento de los sistemas operativos.
El concepto que refleja la distancia entre el fallo y la solución se denomina "Ventana de exposición o ventana de vulnerabilidad". Es cierto que los usuarios no somos a menudo conscientes de la criticidad o importancia de un parche, pero está claro que cuando hay una vulnerabilidad en el aire, ya hay gente que está interesada en explotarla en forma de gusano o virus, para hacer daño. Mientras no exista concienciación por parte de todos sobre la importancia de la auto-protección, los problemas serán más graves. Además, estos programas que envían tráfico dejan de manifiesto la necesidad de una protección global. De nada me sirve que yo esté perfectamente securizado si mi compañero me bombardea con tráfico por no haber hecho él bien los deberes. En fin,... ¿que tiene que pasar para que aprendamos?
TREND MICRO - Security Information - WORM_SASSER.D
Suscribirse a:
Entradas (Atom)
- Follow Us on Twitter!
- "Join Us on Facebook!
- RSS
Contacta por Linkedin