El consejo de hoy, tmb tiene como objetivo, el tan indeseado efecto del SPAM. Muchas veces, este llega por el poco cuidado que tenemos a la hora de publicar nuestra dirección, otras, por la necesidad de tener que registrarnos en páginas o dar la dirección de correo para poder recibir una palabra de acceso a webs restringidos a usuarios registrados o descargarnos documentos tras la subscripción.

Pues bien, para esos casos, existe un Web que proporciona un servicio de acceso a una cuenta de correo ficticia, que podemos inventar y que nos sea un nemotécnico siempre que sea @mailinator.com

Ejemplo. Subscripción-pepe@mailinator.com

La dirección es lógicamente, www.mailinator.com

Espero que sea práctico.

Buenas,
En el portal de un compañero de trabajo (www.redlibre.net) he encontrado una noticia de alguien que también tiene una página dedicada a asesorar a usuarios y me ha gustado su planteamiento. A continuación, reproducto integramente su mensaje en el web de redlibre.

"He creado una pagina en http://www.geocities.com/aceituno/domestico.htm con consejos y enlaces para mejorar la seguridad de ordenadores domesticos. Como no he encontrado ninguna pagina buena sobre el tema, espero que esta lo sea.

Saludos

Vicente Aceituno"

Visitadla porque está muy bien, y establece la lista de mecanismos de seguridad que deben utilizarse asociadas a posibles situaciones que se plantean. A ver si un dia de estos tengo tiempo y comienzo mi prometido análisis de riesgos para entornos Home.

El consejo de hoy, comienza una serie de recomendaciones, para tratar de asesorar en la gestión de riesgo asociado a un equipo conectado a Internet. El orden lógico para hacer esto, debe seguir el ciclo básico de la seguridad, pero adaptada a usuarios domesticos.
Para ello, realizaremos un intuitivo análisis de riesgos, sin cuantificar variables, pero que nos aproxime a un conocimiento real del riesgo que se corre al estar, a dia de hoy, conectado a Internet. Por tanto, en dias sucesivos, trataremos de responder a las preguntas siguientes:

EL CONTEXTO1.- ¿Donde me encuentro, cuál es mi entorno?

LOS ACTIVOS
2.- ¿Qué tengo yo de valor? żCuáles son mis elementos a proteger (Activos)?

LOS RESPONSABLES DE TOMAR DECISIONES
3.- ¿Quienes son los usuarios de mis activos? żQuién es el responsable de mi equipo?

LAS AMENAZAS
4.- ¿ A qué peligros estoy expuesto al estar conectado a Internet?
5.- ¿ Quienes son mis agresores?
6.- ¿ Qué tipo de amenazas podrían afectarme?

LAS VULNERABILIDADES
7.- Para cada una de estas amenazas, ¿estoy protegido?

LOS IMPACTOS
8.- Si por desgracia, alguna de estas amenazas se manifiesta en mi sistema, ¿qué daños sufriré?

EL RIESGO
9.- Teniendo conocimiento pleno de mi situación, ahora llega la hora de tomar decisiones. ¿Que armas puedo usar? ¿Cuales son las más efectivas en mi situación? ¿Cuales rentabilizarán mejor mi inversión?. Todas estas decisiones han de tomarse en base a los datos y estimaciones obtenidos de las preguntas anteriores.

Buenas,
Retomo la andadura de este blog, que prometo actualizar más frecuentemente, con el anuncio de una asociación que pretende normalizar y establecer pautas de buena conducta dentro del mundo de la consultoría de la seguridad informática.

Se llama Asociación Espańola de Consultores de Seguridad Informática, y su dirección es www.asociacion-aecsi.es

Espero que en el futuro, tenga la relevancia nacional que debe atribuirsele, como órgano regulador de la buena praxis del sector.

Hola, el post de hoy tiene que ver con la nueva funcionalidad de la barra de Google, para ańadir links como post a tu web dentro de Bloger. Voy a ir pasando, poco a poco, mis enlaces preferidos a mi propio Blog de Seguridad, e iré comentando los links más interesantes.

El link de hoy nos lleva al Manual Alemán a utilizar como guía para la protección de sistemas de información.

Es completo y exhaustivo y establece, para cada conjunto de activos, sus posibles amenazas y las medidas de seguridad aplicables para contrarestarlas. Este documento es muy completo e ilustrativo. Se puede consultar accediendo a la dirección IT Baseline Protection Manual.

Buenas prácticas en el uso del correo electrónico.

Recopilado de la dirección Netiquette.
El término Netiquette (la etiqueta de la Red) designa a un conjunto de reglas para el buen comportamiento en Internet. Hay reglas para los distintos servicios de Internet (listas de discusión, IRC, FTP, etc.).
Las que siguen son algunas de las reglas para aplicar al correo electrónico:

1) Identificación clara del remitente y el destinatario
En una casa u oficina, puede ocurrir que varias personas utilicen la misma computadora y la misma cuenta de mail.
Por lo tanto:
- Debemos escribir el nombre de la persona a la que va dirigido el mail.
- También debemos firmarlo.

No es agradable recibir un mail que diga solamente "el envío fue despachado ayer".
Recibo en mi trabajo varios mails de este tipo a la semana. Como no tienen ni remitente ni destinatario, van a parar a la basura ya que no sé de quién vienen ni a quién debo entregarlo.

2) Privacidad
El mail no es tan privado como parece.
Debemos tener cuidado con lo que escribimos. Otras personas pueden leerlo.

3) Del otro lado hay seres humanos
No olvidar que, aunque estemos mirando un monitor, lo que estamos escribiendo lo recibirá una persona. Si recibimos un mail que nos disgusta, lo mejor es esperar al día siguiente para contestarlo y no escribir algo de lo que después nos arrepintamos.

4) Cadenas
No reenviar ninguna cadena de solidaridad. La mayoría son falsas. Si querés colaborar con gente que lo necesita, te propongo que te pongas en contacto con instituciones serias que pueden canalizar tu inquietud.
Seguramente encontrarás alguna forma de ayudar en esta lista de instituciones.

5) Alertas de virus
No reenviar ningún alerta de virus. La mayoría son falsos. Podés mantenerte actualizado sobre nuevos virus suscribiéndote al boletín de Virus Attack o consultando nuestra breve reseńa de virus más difundidos.

6) Mensajes publicitarios no solicitados (spam)
No enviar nunca mensajes publicitarios no solicitados.
Si querés promocionar tu negocio o tu página web, conseguí las direcciones de forma lícita, por ejemplo, poniendo un formulario en tu página o creando un boletín.
Es muchísimo más valioso tener una lista opt in (o sea, de personas que se suscribieron voluntariamente) de 500 o 1.000 direcciones que 1 millón de direcciones de personas a las que no les interesa nuestro negocio.
Por eso, para preservar la privacidad de todos en la red, jamás compres o vendas direcciones de mail.

7) No responder ningún mensaje no solicitado
No responder ningún mensaje no solicitado ni siquiera con la palabra REMOVE o UNSUSCRIBE ya que respondiendo estamos diciendo que nuestra dirección es válida.
Los spammers utilizan esta técnica para confirmar las direcciones con lo cual, en vez de dejar de recibir mensajes, comenzamos a recibir más.

8) Subject o Asunto
No envíes un mensaje sin Subject.
En el Subject o Asunto, describí breve y claramente el contenido del mail.

9) żDe qué estás hablando?
No respondas un mail diciendo solamente "OK" o "Yo no".
Explicá en forma concisa de qué estás hablando.

10) No incluir todo el mensaje original en la respuesta
No incluyas, en la respuesta a un mensaje, todo el mail original.
Suprimí todo lo que no sirva, dejando solamente lo necesario para darle contexto a tu respuesta.

11) Reenviar mensajes
Si recibís un mail y querés reenviarlo asegurate de borrar todas las direcciones que aparecen en el mensaje.

12) Enviar un mensaje a un grupo
Utilizá el campo "CCO" o "BCC" para escribir las direcciones cuando quieras enviar un mail a varias personas.
De esta manera evitás que todos conozcan las direcciones del resto de la lista.

13) No utilizar MAYUSCULAS
No escribas todo el mensaje en mayúsculas. Es cansador para leer e implica estar gritando.

Bueno, este ańo no he tenido mucho tiempo, pero voy a tratar de recuperar el ritmo de publicación y postear al menos una vez por semana algo.
Esta semana, vuelvo a dar información sobre el spam y como atajarlo.
Para ello, consultar esta dirección que indica, de donde suelen sacar los spammers las direcciones de correo.
Información sobre los origenes de las fuentes de donde sacan los spamers las direcciones

Rumores(hoax) y mensajes en cadena

El consejo de esta semana, comenta los "mensajes en cadena" y "rumores (hoax)". En si, no son un peligro potencial de forma directa, o sea, por leerlos no suele pasar nada. De forma indirecta, y en función del contenido, si pueden producir mucho más dańo. Ya dependerá del objetivo que persiga el mensaje. Podemos distinguir varios
- Solo hacer perder el tiempo
- Hacer que la gente envie algo a algun sitio para saturar el servidor de correo destino
- Desprestigiar o atentar contra el honor de una persona u organización
- Intentar, por ingeniería social,que la gente proporcione información sensible (numeros de cuenta, contraseńas, etc)

Dado que supone una perdida de tiempo, y el hecho de reenviarlos no aportan ningun beneficio, solo conseguir hacer trabajar a los servidores de correo, como consejo, intentaría, antes de hacer un "reenvio compulsivo" tratar de verificar la noticia. Para ello, Google suele ser la mejor herramienta para saber si se trata o no de un rumor.

Suelen apelar a motivos humanitarios, porque de esa forma es mas facil sensibilizar a las victimas y hacer que se colabore en la difusión. Los motivos alegados suelen ser de lo mas variopinto, y no suele haber ningun tipo de escrúpulos a la hora de utilizar temas como la gravedad de un enfermo, evitar enfermedades, salvar una vida o hacer ingresar dinero.´A continuación, trato de identificar algunas reglas básicas para identificar este tipo de correos.

Características que comparten estos rumores (Hoax)
- Algunos dicen en su texto que ESTE NO es una mentira (o una cadena, o una leyenda urbana, o lo que aplique)
- La mayoría pide explícitamente dentro de su texto que es necesario pasarlo al menos a n personas para tenga efectividad. Mientras más, mejor.
- Hay que mandar una copia del correo a una cuenta en especial, que generalmente no existe o el originador de la cadena lo hace precisamente para llenar el buzón de la víctima.
- Tienen títulos o contienen frases como "Por si las dudas, mas vale creer", apelando al sentido común de la gente

Parece que la seguridad no pasa solo por el software ni por el hardware. Las grandes empresas empiezan a darse cuenta de que hay que cuidar siempre el eslabon más debil de la cadena, y ese, es siempre, el más indefenso. En el caso de la seguridad informática, suele suceder que el desconocimiento, la desinformación o el descuido, suelen ser las principales causas que producen incidentes en la seguridad. Pero, ¿Cómo vamos a saber la trascendencia de nuestras actuaciones si no entendemos los mecanismos de seguridad que estan implantados? ¿Cómo configurar correctamente las herramientas de seguridad, si nadie dice que es lo importante a proteger?.

En seguridad, como en el resto de disciplinas, hacen falta dos cosas siempre.
- Responsabilidad , para establecer quien tiene que tomar decisiones
- Información para saber que decisiones se pueden tomar y cuales de ellas son adecuadas en nuestro contexto

¿Por que delegar estos dos elementos al usuario, la persona posiblemente menos preparada?
Evidentemente, porque alguien no hace bien su trabajo, y no es capaz de establecer correctamente a quién deben otorgarse esas responsabilidades, y como siempre, eso es la labor de la dirección de la organización.

En resumen, SI NO HAY GESTÓN DE LA SEGURIDAD, no pidamos luego EFICIENCIA Y PROTECCIÓN de los mecanismos adoptados.

Esta semana, el enlace recomendado es Human Firewalls , una web que trata de explicar, que al final, los usuarios juegan un papel crítico en la protección de los sistemas, puesto que suelen ser siempre el eslabon más debil de la cadena, el menos cuidado y el mas desinformado. A quien le apetezca, podrá pasar un test para medir cómo está su organización en cuanto a concienciación y gestión de la seguridad. Human Firewalls

La recomendación de esta semana trata de solucionar de alguna forma, las molestias que supone el correo no deseado, conocido como "spam". El problema tiene una solucion técnica complicada, pues a priori es dificil saber que correos recibidos son deseados y que correos no lo son.

Este programa tiene una filosofía sencilla y es facil de utilizar. Se basa en puntuar los correos que entran, asignando pesos segun diferentes sintomas, como por ejemplo, que viene de cuentas conocidas por enviar spam, contiene palabras comunes de correos de spam, etc...

El programa que recomiendo es Spam Detective 2.10 que ahora se conoce tambien como Mail Shield Desktop al haber sido comprado el producto por otra compańia.

Spam Detective 2.10
Mail Shield Desktop


Bueno, espero que os funcione bien y os solucione el problema

Esta página (http://www.firewallguide.com) contiene información muy interesante que puede ser de ayuda en la elección del adecuado firewall personal que podeis instalar.
Ir a Home PC Firewall Guide

Selecciónde contraseñas

El primer consejo sobre seguridad informática para usuarios, no podía ser otro que unos requisitos y recomendaciones generales sobre la selección de contraseñas.
A día de hoy, es el mecanismo de seguridad en general más utilizado. Bueno, espero que este primer consejo os sea de utilidad


Requisitos para la elección de claves de acceso de seguridad normal
Todas las contraseńas del sistema deberán cumplir los siguientes requisitos:
• Contener dígito además de letras.
• Pueden incluir caracteres de control y /o espacios.
• Deben ser fáciles de recordar para que no haya que escribirlas, pero no se deben emplear datos propios que puedan ser averiguados por terceros (teléfono, fecha de nacimiento, nombre de la pareja, etc.)..
• Deben tener más de 6 caracteres.
• Las contraseńas deberán renovarse de forma periódica cada 3 meses.

Requisitos para la elección de claves de acceso de seguridad alta
Todas las contraseńas del sistema deberán cumplir los siguientes requisitos:
• Contener mayúsculas y minúsculas.
• Contener dígitos y símbolos de puntuación además de letras.
• Pueden incluir caracteres de control y /o espacios.
• Deben ser fáciles de recordar para que no haya que escribirlas, pero no se deben emplear datos propios que puedan ser averiguados por terceros (teléfono, fecha de nacimiento, nombre de la pareja, etc.)..
• Deben tener más de 8 caracteres.
• Las contraseńas de acceso se cambiarán de forma periódica.
• Las contraseńas deberán renovarse de forma periódica cada mes.

Sugerencias para la elección
Como sugerencias a la hora de elegir contraseńas podemos recomendar:
- Tomar dos palabras cortas y combinarlas intercalando un carácter especial o un número como arbol?madera, ventana-casa, etc.
- Poner junto un acrónimo que le diga algo como nssadespa ( No Se Si Algo De Esto Servirá Para Algo), euldlm (En Un Lugar De La Mancha)

Debe evitarse introducir claves como:
- Nombre propio, el de la esposa o del socio
- El nombre de la mascota o el hijo
- Nombres de amigos o compańeros de trabajo
- Nombres de personas
- Fechas significativas
- Patrones simples de letras de teclado como qwert
- Contraseńas que sean repetición de una misma letra

Primer post

Este es mi primer post de una serie de pequeños trucos y recetas, para hacer que usuarios inocentes o confiados no sufran el abuso de todos esos que navegan por la red con fines oscuros o ilícitos.
Espero que los pequeños consejos que vaya dejando o las recomendaciones de software sean de ayuda para todos vosotros.

salu2.

Javier Cao Avellaneda