DaboBlog

Lo de Spotify en GNU/Linux, mucho ruido, más dólares y pocas nueces

dabo — Wed, 14 Jul 2010 06:35:13 +0000

Me parece muy bien que un gran número de desarrolladores de Spotify usen GNU/Linux tal y como dicen en el “flamante” anuncio de su blog (ENG), también que nos tengan en cuenta, pero sobre todo, me siento ¿honrado? al ser considerado por ellos como un usuario “Premium”.

Y es que sus “brillantes desarrolladores” (no dudo que lo sean, lo dicen ellos), después de largos días y noches sin dormir por lo que se ve, han conseguido según sus propias palabras, llevar a nuestros escritorios una versión de Spotify que, si bien comparte muchas similitudes con las de Windows o Mac OS X (Ohh Wait !! cómo lo hará la gente de Firefox, Audacity, VLC u Open Office) no da soporte entre otras cosas a los archivos locales.

Además, como no han encontrado la forma de insertar la publicidad, sólo se ofrece para usuarios con cuentas “Premium”…Imagino que para quienes ya estén pagando, será una buena noticia, pero quizás para el resto de mortales que no pagamos y que lo usamos puntualmente bajo Wine, sólo es una (más) brillante estrategia comercial buscando llegar al corazón de esos usuarios con el síndrome del “Pingüino apaleado”.

Un síndrome que hemos de quitarnos de encima ya que cualquier distro de GNU/Linux (incluso una inestable como la rama que uso de Debian) cumple perfectamente con el cometido para que el ha sido programada y sólo faltaba ahora que nos volviéramos locos porque los “Nerds Developers” de Spotify, con sus cuentas premium, vengan a salvarnos haciéndonos pasar por caja con una versión que no tiene al menos lo mismo que un usuario de Mac o Windows.

No le puedo pedir lo mismo a una compañía como Spotify que a una comunidad de desarrolladores, hay software cerrado como Skype por citar un ejemplo que sin tener las mismas funcionalidades que sus versiones para Windows o Mac, cumplen con lo que necesito y por eso lo uso, pero prefiero mil veces usar Spotify bajo Wine (que lo habré usado no más de 10 veces) que caer en esa trampa tan medida y populista que se han montado.

Vamos a hablar de negocios que es de lo que va esto ¿no? Primero he de decir que me parece muy respetable que alguien pague por este servicio, alternativas hay, pero con su dinero cada uno hace lo que quiere. Y como yo miro mucho en qué lo gasto, he de deciros que me parece muy injusto que tenga que pagar la misma cantidad para usar nativamente Spotify que ese usuario de Windows o Mac, sin tener sus mismas funcionalidades.

A ver si se enteran, muchos usuarios de GNU/Linux no estamos en esto sólo porque (mayormente que no siempre) sea de uso libre y gratuito, valoramos el software bien hecho y si tenemos que pagar por algo, llegado el caso pagamos como cualquier otro usuario, pero lo hacemos por una mínima calidad gracias precisamente a la gran cantidad de alternativas que tenemos y sobre todo, no nos gusta pagar lo mismo por menos.

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

“Sobrevive a tu tráfico web” Impresiones y la parte de mi charla, seguridad a nivel de servidor en el #FIMP

dabo — Sun, 11 Jul 2010 10:48:43 +0000

Hola amigos, alguno me pidió que publicase enlaces y algún texto sobre la parte que me tocó a mi (Servidores web y seguridad) en el pasado ESET Foro Internet Meeting Point que se celebró en Gijón.

Foto cortesía de mi gran amigo Fernando (SInLaVeniA), su crónica.

En su momento, hablé más o menos aquí de lo que iba a hablar en esos 30 min que me tocaban a mi en el EFIMP, después, os comenté en esta otra entrada que tendría el placer de compartir mesa con Fernando De La Cuadra (ESET), muchas gracias por todo, además de con un gran amigo Oscar Reixa (Oreixa) que ya ha publicado su parte de la charla (Seguridad en WP y optimización), alguien que no dudo en estar conmigo allí cuando le comenté la posibilidad de hacer algo juntos para la ocasión.

No voy a intentar referenciar o enlazar a todos los amigos que estuvieron allí además de los que conocí “in situ”, porque seguro que me olvido de alguno así que sólo puedo decir que gracias, por todo.

Lo cierto es que el tiempo era justo y después estaba el partido de Paraguay, (que no lo pude ver entero ya que Oreixa tuvo que llevar a Julia a casa por un asunto familiar y me quedé encerrado en su coche 20 min, con radio, eso sí -;) pero quizás contra lo que más tuve que luchar fue contra mi mismo, el Sábado por la mañana andaba todavía con fiebre del gripazo que me pillé unos días antes.

Pude estar ahí gracias a los antibióticos, el Bisolgrip, la excelente organización con su máximo exponente en Ana Fernández Ordíz, tutelada por un gran profesional como Carlos Urioste y a esos grandes amigos que tengo -;).

El Viernes no pude estar por razones obvias, pero desde las 9,30 del Sábado, estuve asistiendo a las interesantes charlas que nos precedían y conseguí “desquitarme” un poco el Sábado por la noche cuando acabó todo y compartí unos cuantos buenos momentos con varios de los participantes del EFIMP.

Me precedieron como os decía Fernando De La Cuadra (ESET) que habló de seguridad local con algunos conceptos fundamentales y Oscar Reixa (Oreixa) que tomó el testigo hablando de seguridad a nivel de WordPress (El CMS más usado de los que estábamos allí) y cuestiones de optimización como podéis ver en el enlace de superior de su parte).

Luego seguí yo hablando de seguridad web a nivel del servidor (cuando publiquen el vídeo lo enlazaré desde aquí), cada ejemplo lo acompañé de una demostración práctica ya que no quería quedarme sólo en la teoría y me basé en experiencias propias usando para ello un par de servidores web dedicados en producción bajo Debian, el mismo S.O que corría en mi MacBook (con KDE 4x). Todo ello dentro de mis limitados conocimientos adquiridos a base de muchas noches intentando “comprender”.

Algún participante comentó que quizás mi parte era muy técnica pero en el programa y donde iba mi ficha de participante ya puse esto “Todo ello apoyado con escenarios reales de ataques web de diversos tipos” y vaya, Internet es tan real como lo que se pudo ver(me quedé corto, os lo aseguro).

Conocer los riesgos o amenazas antes de montar tu flamante negocio online (que se habló mucho de ello) por citar un ejemplo y saber a qué te enfrentas y cómo hacerlo o qué deberías contratar caso de que no quieras pasarte media vida frente un terminal, creo que es fundamental. Ya hablé en esta entrada de la situación inicial en la que te encuentras contratando un servidor virtual/dedicado administrado sólo con un Plesk, DA o Cpanel. Mucha responsabilidad y más riesgo.

Todo ello partiendo de la base de que como dije allí, hablamos de ataques automatizados en la mayor parte de los casos, si esos ataques se realizan de un modo directo por alquien que tenga los motivos, conocimientos o dinero suficiente para llevarlos a cabo, tienes un buen problema ya que de un modo u otro, acabaría por conseguir su objetivo…

Parte 1; Seguridad por oscuridad.

Como complemento a lo que comentó Oreixa a nivel de WordPress, di algún repaso a cuestiones de Apache y PHP frente a posibles ataques automatizados buscando versiones obsoletas como pueden ser las siguientes;

Ocultar la versión de Apache y PHP (con ello también la del sistema operativo a veces y PHP, SSL, etc)

Primero vimos cómo con una simple extensión de Firefox se podía conseguir una valiosa información acerca del servidor web que está ejecutándose en una web, se trata de Server Spy.

En apache2.conf (normalmente estaría en /etc/apache2/apache2.conf) cambiamos los siguientes valores; ServerTokens por defecto está en “Full”, lo cambiamos a “Prod”.
ServerSignature por defecto está en “On”, lo cambiamos a “Off”.

Luego vimos como con esto no es suficiente ya que el “flag” de PHP por defecto revela información acerca de estas cuestiones tal y como se comprobó con una simple petición con curl;
curl -i aqui-la-web.com y mediante la herramienta whatweb con un ./whatweb aqui-la-web.com

Para ello, editamos el fichero de configuración de PHP, php.ini (normalmente en /etc/php/apache2/php.ini)
El valor expose_php por defecto está en “On”, hay que ponerlo en “Off”, esto, además de revelar que está ejecutándose de facto PHP, algo que no es un riesgo para la seguridad realmente, revela la versión de PHP como se pudo ver también mediante una petición con curl, el mismo whatweb o vía un escaneo con nmap del tipo nmap -sS -sV -P0 aquí-la-web.com.

Para que todos estos cambios se hagan efectivos, es necesario recargar la configuración de apache, por ejemplo con /etc/init.d/apache2 reload.

Para testar cómo es nuestra configuración de PHP a nivel de seguridad, aconsejé el uso de phpsecinfo, sólo tenéis que descargarlo y descomprimirlo dentro de la raíz de vuestro site y acceder vía el navegador.

Parte 2; Rootkits, puertos, servicios ejecutándose en la máquina.

Aquí primero hice un par de demos con dos herramientas para buscar Rootkits-Troyanos además de cambios (al estilo Tripwire) en comandos esenciales en el sistema, configuración de algunos servicios y versiones, en este caso rkhunter, además de otra aplicación muy potente como chkrootkit.

También puse algún ejemplo de cómo controlar el estado de las conexiones viendo tanto puertos abiertos como qué servicios se ejecutan en dichos puertos con herramientas como;

iptraf, lsof o netstat o nmap pudiéndose añadir alguno más, varios ejemplos;

netstat -an
lsof -i
ps ax | grep apache | wc -l (Procesos que origina Apache)
netstat -an | grep :80 | awk ‘{ print $5 }’ | awk -F: ‘{ print $1 }’ | sort | uniq -c | sort -n (Tráfico SYN).

También hablé de la importancia de controlar el tráfico que enviamos o recibimos y además del uso de Munin (que se vio en la parte de Oreixa), puede ser una buena opción el comando vnstat, ejemplos;

vnstat -m (mes)

vnstat -d (dia)

vnstat -h (hora)

Parte 3, diferenciando el tráfico legítimo del no deseado y bloqueo con Mod Evasive.

En esta parte además de hablar de algún ejemplo de picos de tráfico supuestamente legítimos que al final no lo eran tanto (Robots de Yahoo, algún ataque de una Botnet, etc), recomendé para monitorizar en tiempo real el tráfico que llega a nuestras webs, el uso del módulo para Apache Server Status (ahí se puede ver en el sitio web de Apache a Mod Status en acción).

Luego, para los casos en los que sea necesario bloquear picos de tráfico puntuales (más que parar un ataque DoS como se lee mucho por ahí), otro módulo para Apache como Mod Evasive puede ayudarnos, hice una demo del script en Perl que viene con él, (test.pl) para ver cómo bloqueaba un intento masivo de 200 conexiónes a la vez.

Parte 4, acceso al servidor vía SSH, FTP, riesgos y medidas de seguridad.

Hablé de algún consejo para usar con mayor seguridad estos servicios, realizando una demo con Medusa de un ataque de fuerza bruta contra una cuenta FTP y el mejor consejo que pude dar es que no se use como nombre de usuario del FTP, el mismo que tiene la web, para que un ataque de fuerza bruta no sea tan fácil de realizar.

Recalqué lo importante también que es además de cambiar el puerto por defecto del SSH (el 22) y de no usar la cuenta de “root” para conectar vía SSH, revisar los logs del sistema con regularidad ya que este tipo de ataques dejan un rastro fácil de seguir a poco que se observen con atención esos logs (authlog, secure.log, etc).

Para proteger los intentos no deseados de conexión vía SSH, recomendé el uso de DenyHosts (también puede servir Fail2ban) que bloquea tras el número de intentos que definamos una conexión añadiendo la IP a “hosts.dey” y enviando un mail con la IP del bloqueo. También BFD os puede ayudar hablando de ataques de fuerza bruta.

Parte 5, APF Firewall trabajando junto a Iptables.

Para usuarios que no estén familiarizados con el uso de iptables, el firewall por excelencia en sistemas GNU/Linux, recomendé el uso de APF Firewall, puede trabajar junto a paneles como Plesk, CPanel, DA, etc, contando con un fichero de configuración (/etc/apf/conf.apf) muy faćil de interpretar, pudiendo cambiar valores del sistema a nivel de Kernel para paliar ataques DoS (sysctl, etc), descargar listas de IPs maliciosas de lugares como Dshield, etc, recargar la configuración pasado un tiempo (muy válido para DNS dinámicas) o al estilo de “Porsentry” detectar y bloquear un escaneo u otros ataques definiendo los valores deseados TOS o proteger ciertos rangos de puertos previamente definidos.

Hice una demo de ataque (DoS Flood Syn) y detección-bloqueo con una gran herramienta como es Pentbox creada por Alberto Ortega, por cierto, esa demo fue sólo una parte de lo mucho que puede hacer Pentbox.

Parte 6, Mod Security para Apache.

Aquí expliqué algo acerca de las bondades del módulo para Apache Mod Security, potente firewall de aplicaciones y del por qué de su uso en hostings compartidos donde el admin no puede controlar todo lo que instalan o no actualizan sus “inquilinos”.

Repasé a grosso modo las opciones de detección y bloqueo que se pueden definir en sus extensas reglas (CRS) de ataques XSS, inyección SQL, robots maliciosos, peticiones malformadas HTTP, etc.

Hice una demo de un ataque XSS con bloqueo incluido con la “Hackbar” para Firefox.

Parte 7, control del tráfico y servicios con Logcheck y Monit.

Aquí ya el tiempo apremiaba, como os digo esto fue en 30 min aprox y hablé de Logcheck para estar al tanto cada hora en tu e-mail de todos los avisos relevantes del sistema que rastrea buscando en los logs de un modo tan efectivo Logcheck.

Para monitorizar servicios como SSH, FTP, MySQL, etc, recomendé el uso de Monit que avisa caso de que algún servicio esencial caiga, pudiendo levantarlo o ejecutar un comando previamente definido.

Espero que os pueda ser de utilidad, se podría hablar mucho más sobre todo esto y seguro que mucho mejor, pero creo que puede ser un punto de partida para quienes estén interesados en estos temas.

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

DaboBlog Podcast, número 19. Kernel Panic y Manzanas Traigo.

dabo — Thu, 01 Jul 2010 09:29:32 +0000

Hola a todos, como os comentamos en el episodio anterior, hasta final de verano estamos en un formato más reducido en cuanto a las entregas del podcast.

Fruto del ritmo veraniego, uno de los habituales en Manzanas Traigo, Gorka Lasa (lur), no está en este número 19 pero tranquilos, le escucharéis en el siguiente -;).

Oreixa y yo estaremos en el EFIMP de Gijón (3 de Julio).

Ya lo he comentado en esta entrada, estaremos hablando junto a Fernando De La Cuadra (ESET) sobre blogs y optimización de tráfico web, (Oreixa) así como cuestiones de seguridad en servidores privados/dedicados (Oreixa y Yo).

También viene a Gijón a vernos (entre otros grandes colegas) Diego-N1mh, por lo que si estáis por la ciudad esos días o tenéis pensado pasar por el EFIMP, no dejéis de saludar ;D.

En el episodio de hoy (duración; 1,44 h)

En esta entrega, estoy acompañado en “Kernel Panic” (mundo GNU/Linux) de Forat (forat.info, sistematicos.com, factoriadeblogs.com) y en “Manzanas traigo” de Oscar Reixa. (Planeta Mac, Planeta iPhone, Planeta iOS, etc). A Diego (n1mh), le toca en el siguiente Kernel Panic.

Como siempre, os animamos a dejar cualquier sugerencia sobre temas a tratar en sucesivas entregas del podcast, podéis hacerlo aquí aquí o en Twitter donde los días de grabación, solemos comentarlo para que dejéis vuestras propuestas y comentarios o temas que os gustaría que tocásemos.

> Intro (00:00 hasta el 2:55)

Presentación, Dabo.

> Kernel Panic (Minuto 2:55 hasta el 52:15)

(Forat y Dabo) Interesante charla con Forat siguiendo la estela marcada con él en anteriores episodios, hablando de servidores web.

En esta ocasión, nos centramos en los tutoriales que está publicando en forat.info sobre el balanceo de carga y como redistribuir el tráfico web. Más info sobre el balanceo de carga en forat.info.

> Manzanas Traigo (Hora 55:17 hasta 1;44 h)

(Oreixa y Dabo) IOS 4, noticias sobre el iPhone 4 (políticas de precios de las operadoras, problemas localizados, situación de mercado, fechas, etc).

También hablamos del iPad y de las sensaciones de Oreixa tras un mes de uso intensivo, Safari 5 y todas sus novedades. Actualidad Mac (nuevos Mac Mini, OS X, iTunes, rumores Mac, etc).

Música;

Toda de Actual Proof, (Sunset Leaves, Necessary Spring, Venus in Cancer, World Traveler), con Creative Commons, su sección en Sound Click, contando además con el permiso explícito de su autor, mi colega Marc (saludos desde España-;).

El podcast está alojado en ivoox.com en el canal “DaboBlog Podcast” donde además os podréis suscribir tal y como os indico debajo en los enlaces junto al audio para que os resulte más sencillo. Debajo el super banner de Forat ;D.

DaboBlog Podcast nº19, “Kernel Panic” y “Manzanas traigo”.

Ficha completa en ivoox.com

Descargar fichero de audio (daboblog-podcast-n-19-kernel-panic-y_md_317129_1.mp3)

Baja >el audio. Escuchar o descargar. (Navegadores, lectores de feeds o móviles sin Flash)

Suscríbete al canal en iTunes | en iGoogle | tu lector de RSS

¿No ves el reproductor integrado vía tu lector de RSS?, entra con tu navegador web por favor -;)

Nos volvemos a escuchar en la siguiente entrega del podcast (El 1 de Agosto de 2010)

Archivo del Podcast;

Tenéis también todos los episodios desde el primero en esta nueva sección del blog.

DaboBlog Podcast nº10

DaboBlog Podcast nº11

DaboBlog Podcast nº12

DaboBlog Podcast nº13

DaboBlog Podcast nº14

DaboBlog Podcast nº15

DaboBlog Podcast nº16

DaboBlog Podcast nº17

DaboBlog Podcast nº18

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

Fernando De La Cuadra (ESET) se une a nuestra mesa en el EFIMP de Gijón -;). #FIMP

dabo — Thu, 24 Jun 2010 22:30:35 +0000

Algunos ya estaréis al tanto de que ESET, uno de los grandes hablando de seguridad, ha apostado tan fuerte por el Foro Internet Meeting Point que ahora lleva un “ESET” por delante -;).

Pues bien, tengo el placer de comunicaros que compartirá mesa junto a Oscar Reixa y yo en nuestro; “Cómo sobrevivir a tu tráfico web sin arruinarte o morir en el intento” del que ya os hablé en el blog hace unos días a modo de presentación.

Hablar de Fernando De La Cuadra es hablar de seguridad con mayúsculas, cuenta con una trayectoria impecable primero en Panda y ahora en ESET como director de comunicación y formación de Ontinet, distribuidor exclusivo de ESET en España (NOD32 antivirus, Outpost Firewall, etc). Pero sobre todo y por encima de todo, alguien que disfruta con lo que hace y que estará con nosotros en Gijón como uno más.

Ese “cómo uno más” es un matiz importante ya que, no se trata de ninguna imposición por parte del patrocinador, nada más lejos de la realidad, es el complemento ideal a nuestra charla y después de una conversación que he tenido con Carlos Urioste, alma mater del evento, Fernando y yo hemos contactado o más bien debería decir “conectado” porque estamos en la misma onda, quedando en que sería él quien “abra fuego” el Sábado a las 18,45 h, (Aquí el programa) para darnos paso después a Oscar y a mi.

Por último, os informo que él expondrá varios conceptos-consejos sobre seguridad informática y luego será Oreixa quien recoja el testigo hablando de optimización a nivel de server y seguridad en WordPress, la parte final me toca a mi y con ello, las cuestiones de seguridad y filtrado de tráfico legítimo e indeseado que afectan a nuestros servidores dedicados-privados con varios ejemplos reales de ataques web.

Bueno amigos, ya queda menos, nos veremos en Gijón y aprovecharé para poner cara a gente a la que sigo desde hace tiempo y ver a otros colegas que se pasarán por allí. Como podéis suponer, tanto Oscar como yo estamos encantados de compartir espacio y temática con Fernando -;).

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

“Hacking mindmap” (Mapa mental sobre el Hacking). Alucinante !!

dabo — Sat, 19 Jun 2010 22:26:16 +0000

Esta es una de esas joyas que te encuentras un día navegando por la red. Los más asiduos al blog o al podcast, ya sabéis que “por culpa” de Diego, me he hecho todo un adicto a los mapas mentales, para crearlos, uso en Debian “Freemind” (disponible también para Mac y Windows).

Pues bien, estaba preparando mi charla-demo para el Fimp del 3 de Julio y me he encontrado con este alucinante y más que completo mapa mental sobre el Hacking en casi todas sus variantes posibles (decir todas sería muy atrevido).

Es todo un compendio de técnicas, aplicaciones, organizaciones, eventos y un largo etc, sobre el mundo de la seguridad informática o el hacking que… tanto monta, monta tanto.

Se puede exportar en varios formatos, aunque alguno requiere una cuenta premium (como el .mm de Feemind), por mi parte, ya lo tengo en rtf y en PDF, lo podéis ajustar a un A4, A3, A2, etc y tendrá un lugar preferente impreso en papel para cuando necesite consultar algo, en la pared frente a la que tecleo.

Espero que disfrutéis tanto como yo con este descubrimiento, felicidades a su autor y gracias por el currazo -;).

Acceso a; Hacking Mindmap.

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

Alfon y Vlad, importantes refuerzos para la redacción de Daboweb (GNU/Linux, Seguridad y redes)

dabo — Fri, 18 Jun 2010 00:43:57 +0000

Si hace unos días os hablaba de nuestro octavo aniversario en Daboweb, hoy, tengo el placer de anunciaros que las áreas de GNU/Linux así como Seguridad y Redes, se ven reforzadas con la incorporación al equipo de redacción de; Alfon (Seguridad y Redes) y Vlad (redactor durante mucho tiempo en Fentlinux)

Un equipo (equipazo-;) que, como veis en la sección “El team”, está compuesto por gente con marcadas diferencias en lo técnico, pero que se encuentran (nos encontramos) en el plano personal y en la idea de cómo llevar adelante un proyecto orientado a una comunidad como la nuestra. Muchas gracias a ambos por la confianza.

La noticia al completo en Daboweb. Estad atentos a nuestro Feed.

Por cierto, estrenaremos una nueva sección sobre seguridad para los que empiezan, muy pronto -;).

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

Sobre mi participación junto a Oreixa en el FIMP 2010.(Foro Internet Meeting Point). #FIMP

dabo — Mon, 14 Jun 2010 17:58:04 +0000

A raíz de una distendida y enriquecedora charla que mantuve con Carlos Urioste (Blog > “Voolive“), gerente de El Comercio Digital y gran conocedor de un medio tan “desconocido a veces por los medios” (tradicionales) como es Internet, me he embarcado de lleno (hasta la piscina diría yo-;) en la tercera edición del Foro Internet Meeting Point, Fimp) que se celebrará en Gijón entre los días 1 y 3 de Julio.

En reunión estuvo también Ana Fernández Ordíz (Blog > “Con Alegría e Ilusión“), ella forma parte del equipo que se encarga de promoción y participación online en El Comercio Digital y se nota cuando la gente hace su trabajo llevando el título de su blog a la práctica “con alegría e ilusión”.

Insistieron en que tenía que estar en el FIMP de este año y a pesar de que les dije que hay gente más preparada que yo para estar en un evento de tal calibre, quise estar a la altura de la confianza que depositaron en mi y acepté encantado, consciente de la responsabilidad que supone.

No hay más que darle un vistazo al plantel de ponentes o participantes de este Fimp 2010 en las diferentes charlas o mesas redondas para darse cuenta de lo que hablo cuando digo “responsabilidad”…Podéis también ponerles cara a algunos de los organizadores y participantes (no pude estar) que vía Twitter lo presentaron.

Carlos me dio libertad total para prepararlo, imagino que buscaba también la experiencia personal de alguien que como yo, se ha tenido que ir buscando la vida para ir canalizando el tráfico que le llegaba a sus webs.

Un incremento de tráfico que tuve que lidiar primero con un Daboweb que, cuando empezamos (año 2002) ya era un foro con bastante tráfico y sobre todo, hablando de incremento de tráfico, la prueba definitiva para mi llegó a partir del 2005 con Caborian que, al mover tantas imágenes y con unas dos millones de páginas vistas al mes, además de muchas consultas a la base de datos, también es un buen “potro” que domar, además de otras webs que ya conocéis.

Por otro lado, los más asiduos al podcast o el blog, ya sabéis de mi relación tan estrecha con los temas relacionados con la seguridad. El eterno aprendiz, así me podría catalogar en un campo tan vivo como este. Al final, después de darte de leches noches y más noches con el sistema (ya lo digo en mi ficha de participante en el FIMP, no he tenido la suerte de poder estudiar nada relacionado con la informática dentro de un aula) te das cuenta de la gran relación con la seguridad que hay entre un sistema bien optimizado y uno que no lo esté.

Corría el año 2005 cuando contraté mi primer servidor dedicado en Interdominios, (a los que les doy las gracias por el apoyo continuado desde que empecé), un Pentium III con 512 mb de Ram y 40 Gb de disco duro que se portó siempre como un campeón, estaba cansado de sufrir caídas del foro dentro del alojamiento compartido en el que estaba y gracias a Raúl Naveiras, gran amigo y mejor sysadmin, programador y un largo etc, comencé a ser mi propio ISP y de paso, a verle las orejas al lobo y darme cuenta de lo poco que sabía acerca de estas temáticas.

Gracias a Raúl, también aprendí a vivir sin esos paneles gráficos como Plesk, Cpanel, DA, etc que tanto te facilitan la vida cuando no sabes pero que a su vez, tanto limitan tus conocimientos sobre el sistema (GNU/Linux en mi caso), además de tomar un protagonismo excesivo sobre el mismo. Ya les dediqué una entrada en el blog a estos sistemas y la falta de una administración adicional en la máquina.

Luego, cuando fui aprendiendo a base de prueba-error, pasé a meterle mano a servidores dedicados más potentes y a administrar otros de terceros. En estos 5 años, he ido pasando por diferentes fases hasta llegar a comprender más o menos como se mueve todo esto.

También a ser consciente de los problemas que se encuentra cualquiera que inicia un blog u otro proyecto web y empiezan a subir sus visitas, y con ello sus problemas a la hora de elegir su plan de alojamiento adecuado, o ser consciente de lo que deberían pedir cuando contraten un nuevo hosting.

No deja de ser menos cierto que el compartir experiencias en nuestros foros de Daboweb, te ayuda hacerte una idea de los problemas de los demás y cómo intentar paliarlos llegado el caso. Y relacionado con todo esto y la charla-demostración práctica del FIMP, pensé que el compañero de viaje ideal para llevarla a buen puerto era Oscar Reixa (Oreixa).

Alguien que de blogs, ahí están todos sus planetas dentro de Galaxia Blog, ( Recién renovados; Reixa, Mac, iOS, iPhone), de tráfico y de cómo buscarse la vida también sabe mucho. El mismo día en que se confirmó mi asistencia al FIMP, me tomé una cerveza con otro que de este medio podría hablar largo y tendido, desde el punto de vista del blogger, formador, usuario o sufridor de los picos de tráfico de su éxito -;). Hablo de mi amigo Juan García, “Kids” de Blogoff, quien por cierto ha escrito una recomendable entrada sobre “Por qué ir al Fimp sin conocer el Fimp“.

Juan me dio algún consejo para la charla, o más bien me contó cómo le gustaría que fuese según su percepción de las cosas o cómo le afectan las cuestiones de optimización y seguridad en el día a día de la publicación y la forma de afrontarlas. Además darme un montón de ánimos para el día 3, como muchos de vosotros -;).

También estos días, hablando con grandes amigos y gente que lleva adelante proyectos con peso y solera en Internet como pueden ser Destroyer y Danae, Forat, AJ, Rafa Espada o Diego, (juntos llevamos adelante DebianHackers) en este caso me refiero a personas que llevan adelante blogs regularmente pero que también administran sus servidores Privados/Dedicados (o co-administramos, ahí estamos ayudándonos unos a otros desde hace años-;), también voy cogiendo ideas (Liamngls, me faltas tú-;).

Pero para no perder la perspectiva, las sugerencias de otros que van “más tranquilos” en La Red como David Busto o Karbonato, nos vienen muy bien para preparar la charla. En este caso hablo de usuarios a los que no les preocupa tanto el sistema, sino el resultado final de la publicación aunque se interesan por el sistema y Karbonato por ejemplo, tiene un VPS bajo Debian.

¿El resultado?, más o menos la descripción que Oscar y yo a modo de resumen, hemos hecho para dar unas pinceladas de lo que compartiremos con el resto de compañeros que asistirán al evento. Tal y como se indica en el programa definitivo del Fimp; También está al completo con los participantes en PDF.

Título;

“Sobrevive a tu tráfico web sin morir o arruinarte en el intento”.

Descripción;

“Soñamos con aumentar el tráfico de nuestros blogs, pero ¿estamos preparados para un incremento súbito en las visitas sin perder el “sueño”? Repasaremos técnicas básicas de guerrilla para tener a punto tu WordPress, optimizar y preparar el servidor web para absorber ese tráfico.

También veremos con ejemplos y demostraciones prácticas, lo complejo que resulta a veces diferenciar entre el tráfico legítimo y el indeseado que llega hacia tu sitio web. Todo ello apoyado con escenarios reales de ataques web de diversos tipos, dando desde nuestra propia experiencia, algunas pautas para paliarlos y una visión global de lo que deberías saber antes de pasar por caja y contratar una nueva máquina”.

Quizás lo más complejo haya sido darle forma a todo o más bien resumir lo más importante. Esa fase ya está superada (más o menos-;) y ahora queda preparar cada uno nuestra parte. Dispondremos de 60 min y lo haremos en dos bloques, estamos controlando ahora mismo el tiempo para cada uno de ellos. En ambos casos, apoyaremos lo comentado con ejemplos realizados en riguroso (esperemos que no falle-;) directo.

Mi compañero de viaje en el Fimp, Oreixa, se centrará en temas relativos a lo importante que es la elección de un hosting y los puntos a tener en cuenta para contratar un nuevo plan de alojamiento, hablará de optimización desde lo más básico en WordPress (usado por la gran mayoría de asistentes a la charla, también dará pautas y herramientas para asegurarlo), hasta temas de más complejidad en el lado del servidor, válido para un VPS o dedicado, (cachés de disco, memoria, PHP, MySQL, etc), monitorización de servicios y el sistema, etc.

Por mi parte me centraré en temas que afectan a la seguridad y en lo complejo que resulta a veces diferenciar el tráfico legítimo del indeseado. También haré alguna demostración práctica de cómo se llevan a cabo ataques de fuerza bruta como los que realizan servidores o hosts troyanizados (típica Botnet) contra protocolos tan delicados como SSH, FTP, etc, ataques DoS bajo peticiones HTTP o Syn.

También se verán ejemplos de cómo un buscador puede tumbarte un servidor, ataques XSS, vulnerabilidades en PHP y otros servicios, seguridad por oscuridad con varios ejemplos y sus correspondientes test de intrusión externos, ver un firewall en acción y algún consejo para usarlos, búsqueda de Rootkits, control de puertos y servicios a la escucha, etc.

A su vez, iremos viendo alguna medida para poder paliar (en parte, ya que la seguridad “total” es una utopía y más en un servidor web). Como todo esto se va realizar usando 4 o 5 servidores reales en producción, sólo espero que no nos fallen las comunicaciones aunque intentaremos tener un plan B o C. Si os pasáis por el Fimp esos días, puede ser un buen punto de encuentro para ponernos cara delante de unas birras -;).

Edito y añado;

Muchas gracias a todos por los ánimos y por vuestras entradas que voy leyendo ;)

Oscar en Planeta Reixa

Fernando en SInLaVeniA

David en Ennegativo

Forat en Forat Dot Info

Diego en DebianHackers.

Caborian Caborians en el FIMP

Además de todos los apoyos que llegan desde Twitter, mails, etc. En “Fimp” que sois la leche ;)

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

El “efecto 301″ se apodera de Galaxia Blog. Nace Planeta iOS, la realineación…

dabo — Wed, 09 Jun 2010 21:38:29 +0000

En estos momentos estamos siendo testigos del llamado “efecto 301″, fenómeno blogosférico de gran impacto que está provocando la redirección del Planeta iPod y el Planeta iPad hacia la nueva estación base que se ha establecido en Planeta iOS.

No sabemos si habrá sido por efecto del LHC del que ya os hablé hace un tiempo (no confundir con THC-;), pero se prevee que el movimiento cósmico siga afectando a Galaxia Blog y que también el Planeta iPhone, muy pronto sufra ese “efecto 301″ y redireccione su órbita hacia el Planeta iOS.

Por lo que sólo se salvaría del cambio de rumbo el Planeta Mac, que seguirá en su ubicación actual, girando en paralelo con el iOS. Para seguir la evolución de este fenómeno, os aconsejo añadir la nueva fuente a vuestros lectores de Feeds, así como su Twitter.

Mucha suerte comandante Oreixa -;).

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

DaboBlog Podcast, número 18. Kernel Panic y Manzanas Traigo (Con iPad y Rafa Barberá-;)

dabo — Tue, 01 Jun 2010 22:41:37 +0000

Hola a todos, como podréis escuchar en la intro, vamos a pasar hasta final de verano a un formato más reducido en cuanto a las entregas del podcast. No hay ningún problema, realmente el tema es que llevamos muchos meses y sacarlo cada 15 días en una época como esta de tanta vacación es complejo -;).

Hasta Octubre saldremos los días 1 de cada mes.

Si a eso le añadimos que (salvo Oscar-;) todos los miembros del podcast tenemos unos cuantos temas que finalizar, se hacía muy necesaria la “parada” quincenal para, hasta Octubre, pasar a un formato mensual, saldrá así; el 1 de Julio, 1 de Agosto, 1 de Septiembre y 1 de Octubre donde según como haya ido la experiencia, volveremos a una periodicidad quincenal o seguimos en mensual. Estamos convencidos de que viendo (vosotros) en todos los fregaos que estamos implicados, la medida será entendida de sobra por vuestra parte.

En el episodio de hoy (duración record, 2,43 h)

En esta entrega, estoy acompañado en “Kernel Panic” (mundo GNU/Linux) de Diego (N1mh) (El sueño del mono loco, El taller de las palabras y La Curuxa y su nuevo dominio www.diegomc.org) y en “Manzanas traigo” de Oscar Reixa. (Planeta Mac, Planeta iPod, Planeta iPhone, Planeta iPad, etc) además de nuestra estrella consolidada y repartidor de manzanas (podridas y golden-;) Gorka Lasa (lur).

Contamos con un invitado de lujo en “Manzanas Traigo”.

Que no es otro que nuestro amigo Rafa Barberá, nos conocimos en Gijón en el pasado Congreso Caborian donde Rafa impartió un taller de iluminación (Strobist) y a partir de ahí, hemos seguido manteniendo el contacto y como el pasado día ¿26? le llego su iPad al igual que a Oreixa, (día de la grabación, os podéis imaginar…) le invitamos espontáneamente y aceptó encantado (gracias-;). Rafa es el responsable de traducir al castellano los artículos de Strobist, también mantiene un blog que os recomiendo seguir, “Vacio Perfecto” y le encontraréis en Twitter, @rbarbera.

Contenidos de este episodio; (2,43 h).

Como siempre, os animamos a dejar cualquier sugerencia sobre temas a tratar en sucesivas entregas del podcast, podéis hacerlo aquí aquí o en Twitter donde los días de grabación, solemos comentarlo para que dejéis vuestras propuestas y comentarios o temas que os gustaría que tocásemos.

> Intro (00:00 hasta el 8:38)

Presentación, nuevo formato de verano, personal, vuelvo a KDE, dedicado a Aurora -;)

> Kernel Panic (Minuto 8:40 hasta 1:23 h)

(Diego y Dabo) ¿Lost? Hablamos de Debian, la actualidad de otras distros, opinión de Diego sobre el tema GNOME Vs GIMP (en el anterior le tocó a Forat) Slackware, Fedora, Red Hat en la empresa, etc.

Además de seguir con la serie de Diego (N1mh) “GNU/Linux en un entorno hostil” hablando de la adaptación de herramientas libres en el ámbito laboral con varias alternativas en diversos campos.

(Información y enlaces sobre lo comentado en Kernel Panic, por Diego en DebianHackers)

> Manzanas Traigo (Hora 1:24 hasta 2;43 h)

(Oreixa, lur y Dabo con Rafa Barberá como invitado)¿Lost? Actualidad Apple, noticias sobre el iPhone, aplicaciones, nuevos MacBook, políticas de precios (info sobre los precios del MacBook) y sobre todo, iPad, tanto Oreixa como Barberá ya tenían los suyos justo el mismo día de la grabación y se pueden escuchar sus primeras impresiones. Como guinda final las famosas Manzanas de lur ¿Para quién serán?.

Música;

DaboBlog Podcast nº18, “Kernel Panic” y “Manzanas traigo”.

Ficha completa en ivoox.com

Descargar fichero de audio (daboblog-podcast-n-18-kernel-panic-y_md_294285_1.mp3)

Baja >el audio. Escuchar o descargar. (Navegadores, lectores de feeds o móviles sin Flash)

Suscríbete al canal en iTunes | en iGoogle | tu lector de RSS

¿No ves el reproductor integrado vía tu lector de RSS?, entra con tu navegador web por favor -;)

Nos volvemos a escuchar en la siguiente entrega del podcast (El 1 de Julio de 2010)

Archivo del Podcast;

Tenéis también todos los episodios desde el primero en esta nueva sección del blog.

DaboBlog Podcast nº10

DaboBlog Podcast nº11

DaboBlog Podcast nº12

DaboBlog Podcast nº13

DaboBlog Podcast nº14

DaboBlog Podcast nº15

DaboBlog Podcast nº16

DaboBlog Podcast nº17

Comparte esta entrada si te resultó interesante.

Entradas relacionadas

8 años de Daboweb o…”Gracias a estos 8 años de Daboweb”

dabo — Thu, 27 May 2010 23:39:12 +0000

Iba a traer aquí la tarjeta que como siempre y con tanto cariño se curran los compañeros de Cajón Desastres, pero ya que la han hecho para Daboweb, allí estará -;). Hoy es el día de Daboweb, un lugar al que como he comentado en la entrada de allí sobre el aniversario, le debo lo mucho o poco que he llegado a hacer en Internet.

Los proyectos, (la mayoría orgullosamente compartidos) que se ven en davidhernandez.es, Caborian incluido con su dos millones de páginas vistas al mes, no hubieran podido ver la luz si no fuera por la experiencia adquirida en Daboweb, incluido en el lote el apoyo constante de un grupo de amigos que se han convertido en parte de mi familia y así me lo han demostrado a lo largo de estos 8 años.

Luego, llegó como dije Caborian, esa familia virtual fue creciendo, este blog donde os he conocido a muchos, el podcast y ese entrañable “etc” en el que muchos estáis englobados. Daboweb lleva mi nombre por casualidad, hace 8 años, este eterno apasionado aprendiz de la seguridad de las comunicaciones y dispositivos, no sabía que nombre poner y no se me ocurrió uno mejor.

Lleva mi nombre pero el sello de mucha gente a la que le he visto “crecer” personal y digitalmente allí, si me pongo a escribir la lista de webs y blogs, os aburriría -;). ¿Lo mejor? ya lo he dicho en el post del cumpleaños, que mis colegas, los de siempre, salvo entrañables y dolorosas ausencias, están o mejor dicho, siguen ahí.

Muchas gracias, 8 años, en un medio como este, son muchos años -;) Liamngls, las birras este año, las pagas tú ”

Añado; La “otra” tarjeta de felicitación de Cajón Desastres | Reflexión de Liamngls de las que llegan…

Comparte esta entrada si te resultó interesante.