Un informático en Isbilya

Radar COVID

noreply@blogger.com (José María González Bueno) — Sun, 23 Aug 2020 01:33:00 +0000

Tras largo tiempo sin publicar una entrada en el Blog, me he animado a escribir acerca de una App que podría llegar a ser muy útil en el control de la pandemia por SARS-CoV-2 (COVID-19) en España, Radar COVID.

Ha sido desarrollada por INDRA, en principio será de código abierto de acuerdo al principio PUBLIC MONEY, PUBLIC CODE pero de momento el código no ha sido liberado. Parece ser que cuando el 15 de septiembre esté la aplicación disponible en todo el territorio español será publicado.

En principio sólo necesita permisos sobre el bluetooh (vincular con dispositivos bluetooth), tenerlo activo y tener acceso a la red.

La App utiliza el bluetooth para recolectar y compartir IDs/ códigos aleatorios con otros teléfonos de forma segura. En una entrevista de radio escuché a uno de los desarrolladores hacer referencia a IDs "semialeaotorios", ¡ay lo semialeatorio! ¡Miedo me da! El tiempo dirá si tiene vulnerabilidades importantes.

El terminal almacena los códigos de los terminales con Radar COVID con los que te cruzas a menos de dos metros y durante al menos 15 minutos en los últimos 14 días.

En teoría (ya se verá), al no recoger datos de carácter personal, ni teléfono, ni nombres, ni correos directamente, se comunica con el servidor central de forma anónima con los códigos aleatorios mencionados anteriormente cuando el usuario comunique su positivo a la App.

El usuario introducirá un código en la App que le proporcionará un profesional del Servicio Público de Salud, tras su confirmación de positivo por PCR. En ese momento la App notificará y dará instrucciones a los usuarios con los que se haya cruzado el usuario que ha notificado el positivo a menos de dos metros, durante al menos 15 minutos en los últimos 14 días.

Para que esta App sea productiva debe usarla cuanta más gente mejor y para ello hace falta más información al respecto. Esta información debería generar confianza y compromiso por parte de la sociedad. Según he podido leer no es compatible con cualquier versión de Android e IOS, por lo que habrá terminales, los más antiguos en los que la App no funcionará. Esto me parece un inconveniente.

Por otro lado, la Sociedad puede desconfiar de que una App del Gobierno no haga sólo lo que dice que hace, como lo hace y no instalársela. Pero lo mismo que con cualquier otra, no tenemos más remedio que confiar en ellas. Dada la importancia de la pandemia considero que la debemos instalar y formar parte del sistema de lucha contra "el bicho".

Antes de terminar la entrada te planteo, ¿podrían usarse este tipo de Apps como excusa de los Gobiernos para vigilar digitalmente al pueblo? ¿Acaso no crees que ya lo hacen por otros medios?

Estaremos vigilantes. Me encantaría que me dejaras algún comentario con tu opinión al respecto, si la usas, si tienes pensado usarla, o por el contrario no la vas a usar y los motivos.

Hasta la próxima.

Fuentes:

https://www.newtral.es/radar-covid-app-rastreo-espana/20200810/

https://www.sspa.juntadeandalucia.es/servicioandaluzdesalud/ciudadania/consejos-de-salud/nuevo-coronavirus-informacion-sobre-la-alerta/app-radar-covid

https://www.mineco.gob.es/portal/site/mineco/menuitem.ac30f9268750bd56a0b0240e026041a0/?vgnextoid=359f50a4c34b3710VgnVCM1000001d04140aRCRD&vgnextchannel=864e154527515310VgnVCM1000001d04140aRCRD

Fases de un Test de Intrusión

noreply@blogger.com (José María González Bueno) — Sun, 30 Jul 2017 15:34:00 +0000

Buenas! Hoy recojo en esta entrada un resumen de algunas partes de unos libros de 0xWord (que pondré al final de la entrada como referencias) que he leído y de un curso de Introducción al Pentesting en DaragonJar que he realizado. Como disclaimer decir que esta entrada sólo pretende ofrecer información y no pretende favorecer la intrusión sin permiso en sistemas ajenos.

A continuación se expondrán las fases de las que consta un Test de Intrusión o Pentesting (Penetration Testing), es importante hacer constar que el orden importa. De lo contrario, se podría poner en riesgo la propiedad intelectual y privada y/ o el entorno de producción del cliente o incluso producir un incumplimiento del contrato con las correspondientes consecuencias que podrían derivarse de estos hechos.

1. Alcance y términos del Test de Intrusión

Esta es la fase en la que se lleva a cabo la redacción del contrato firmado por las partes que recogerá los objetivos que la Organización pretende alcanzar, así como los límites de dicho Test. De esta forma queda legalmente registrado y se proporcionan las coberturas legales necesarias a las partes. También es común firmar un NDA (documento de confidencialidad) por el que se prohíbe la utlización y divulgación de cualquier información a la que se tenga acceso durante el proceso más allá de lo estrictamente necesario para llevarlo a cabo. Las limitaciones se establecen en función de diferentes criterios como preservar la estabilidad del entorno de producción para no afectar a la actividad productiva de la empresa, preservar información confidencial, etc. Es una fase formal pero muy importante para el proceso, porque en caso de problemas habrá que dirimir responsabilidades y recurrir al contrato firmado.

2. Obtención y recogida de Información

Esta fase está enmarcada en la obtención de la mayor cantidad de información posible de la Organización haciendo uso de entre otras técnicas:

Footprinting: Tiene como fuente de información Internet, de la que se extraerán los futuros objetivos de la Organización. Para ello:

Visitar pagina/s de la Compañía, servicio y aplicaciones

Búsqueda de enlaces por la utilización de motores de búsqueda,, como Google, Bing, Ficheros robots.txt

Listar Dominios y subdominios

Descargar los sitios webs de la Organización para poder buscar en ellos enlaces y anotaciones que se hayan podido quedar olvidadas en ellos.

Utilizar Dorks (preguntas más concretas a los buscadores utilizando etiquetas y opciones). Mediante el uso de FOCA se pueden automatizar.

Buscar versiones anteriores de las páginas web de la Organización mediante el uso de servicios de “archiving”.

Estudiar las DNS de la Compañía para obtener información acerca de su navegación, etc. Podríamos intentar llevar a cabo una transferencia de zona, hacer uso de técnicas de Evilgrade.

Comprobación de la existencia de lo denominado como Hosting Compartido. Servicios como ServerSniff facilitan esta tarea.

Obtener emails de la Organización, en futuras fases podrían servir para llevar a cabo ataques de Phising o una APT. Maltego es de gran ayuda para esta tarea.

Llevar a cabo el estudio de metadatos para intentar obtener nombres de empleados, versiones de software embebidos en archivos, etc. FOCA nos puede ayudar en este menester.

Puertos abiertos en las máquinas de la organización mediante el truco de la barra con la intención e intentar descubrir los servicios que se encuentran tras dichos puertos, versiones de so o software, etc.

Búsqueda inversa de imágenes

Fingerprinting: es el proceso mediante el cual se recolecta información mediante la interacción directa con los sistemas/ dispositivos de comunicaciones para conocer su configuración y comportamiento. Estas técnicas llevarán a cabo escaneos de puertos para el estudio de puertos abiertos y determinar con qué servicios, versiones etc están relacionados. NMAP es una de las posibles herramientas que podemos usar para estas tareas.

3. Análisis de vulnerabilidades

Tras recolectar la toda la información a la que se haya podido tener acceso mediante la utilización de diferentes técnicas hay que analizar y organizar los resultados. Como resultado de este análisis se obtendrá un listado de objetivos con su información relacionada, co laque se planificará el siguiente paso.

De la información relacionada con los sistemas, servicios y versiones de los mismos se identificarán los métodos de acción con más posibilidades de éxito, creando el mejor el mejor plan de acción para intentar acceder a la información de los sistemas. Para este paso se harán uso de herramientas de escaneado de puertos como por ejemplo NMAP y escaneadores de vulnerabilidades como OPENVAS o NESSUS.

4. Explotación de las vulnerabilidades

Fase en laque en función de la información recabada y disponible, junto con la experiencia del auditor se intenta comprometer la seguridad de la Organización. Para ello se intentan aprovechar las vulnerabilidades descubiertas con anterioridad, haciendo uso de diversas técnicas entre ellas el Exploiting.

El auditor de seguridad debe preservar la estabilidad de los sistemas de información de la Compañía sin comprometer su normal funcionamiento por lo que debe seleccionar muy bien los ataques que va a llevar a cabo así como valorar sus posibles consecuencias. Una de las herramientas más utilizadas a la hora de utilizar exploits es el framework Metasploit.

5. Postexplotación del sistema

Aunque esta etapa no suele formar parte de un proceso de auditoría ya que se supone que los accesos a la Organización no se deben hacer persistentes, en el proceso de Hackig Ético y no tan ético es una fase importante. Suponiendo que se hace persistente el acceso a la Organización mediante una máquina controlada, a partir de él se pueden estudiar las posibilidades de pivotar hacia objetivos más importantes dentro de la Organización.

6. Generación de Informes

La última fase y no por ello menos importante, al contrario entre otras cosas porque por los resultados obtenidos es por lo que se paga. Debe recoger la documentación de las acciones y pruebas realizadas así como los resultados y evidencias obtenidos.

El documento final debe contener la descripción de las tareas realizadas, las técnicas y herramientas junto con la valoración de las vulnerabilidades descubiertas y explotadas por las herramientas.

Suele contener dos tipos de informes:

Informe Técnico: para los empleados de perfil técnico en el que se expondrán con gran detalle técnico las vulnerabilidades y posibles soluciones.

Informe Ejecutivo: se harán referencias a las vulnerabilidades descubiertas sin detalles técnicos y se expondrán los riesgos para la Organización derivados de dichas vulnerabilidades. Debe contener algunas recomendaciones de bajo nivel técnico para intentar solucionarlas.

En ocasiones los clientes solicitan además de los anteriores el documento en un formato que permita una gestión más fácil y eficiente de las vulnerabilidades reportadas.

Como siempre te invito a que comentes la entrada y la mejoremos juntos. ¡Nos leemos en la próxima!

Referencias

-Ethical Hacking, Teoría y práctica para la realización de un pentesting, 0xWord de Pablo González Pérez

-Pentesting con Kali, 0xWord de Pablo González Pérez, Germán Sánchez Garcés, José Miguel Soriano de la Cámara

Seguridad en cámaras de vigilancia para bebés

noreply@blogger.com (José María González Bueno) — Tue, 04 Jul 2017 15:06:00 +0000

¡Hola de nuevo! Dos entradas en tres días es un record para mí, lo sé. Supongo que tiene "algo" que ver que estoy de vacaciones y que quería traer a mi nuestro Blog las estradas que en su día escribí para wetec.es. Hoy traigo una entrada que considero superinteresante "los sistemas de videovigilancia para bebés". Los sistemas de vigilancia para bebés se encuentran entre nosotros desde hace tiempo y desde esta entrada se pretende hacer un repaso por las consideraciones de seguridad que deberían tener en cuenta los papás que quieran usar cámaras de vigilancia para bebés. Estos dispositivos forman parte de un concepto tan extendido actualmente como es el IoT (Internet of Things).

El mundo del bebé es tan “tierno” que muchos papás se despreocupan de los riesgos que asumen al hacer uso de estas tecnologías.

Internet está lleno de noticias de casos de cámaras ips de bebés comprometidas por las que desconocidos les hablaban a los bebes, les ponían música, etc. ¿Da miedo verdad? No es un tema que los papásy las mamás deban tomarse a la ligera.

Básicamente podríamos distinguir tres tipos de dispositivos de vigilancia para bebés:

Dispositivos que emiten señal analógica en una frecuencia de radio abierta sin protección, por lo que estando lo suficientemente cerca del dispositivo con un receptor de vídeo adecuado cualquier persona podría visionar las imágenes de nuestro bebé.

Dispositivos que emiten una señal digital con la comunicación cifrada entre la cámara y su receptor de vídeo pareado.

Camaras ips que transmiten a través de la red LAN de nuestras casas con la posibilidad de conectarse a Internet, ser gestionada y/ o visionada desde cualquier lugar del mundo a través de Internet mediante una app o web.

Por las características descritas anteriormente el primer tipo de sistemas y el tercero son los más inseguros. El primero porque la señal emitida va en “claro” a una determinada frecuencia a través del aire, y la tercera por los riesgos derivados del uso de tcp/ip. Como regla general cualquier dispositivo conectado en red sin las medidas y “políticas” de seguridad oportunas es susceptible de ser comprometido, más aún si éste se conecta a Internet. Ojo con Shodan. También puede servir como pivote para comprometer otros dispositivos conectados a la red y en general a la seguridad de la red.

¿Entonces? El primer tipo de dispositivo lo descartaría, nunca se sabe qué tipo de gente aburrida, con conocimientos y medios tenemos cerca. Ahora los papás tendrán que valorar si necesitan o no, acceder desde cualquier parte a la cámara del bebé o no. Papás, si tenéis claro que no vais a querer/ necesitar ver al bebé “desde la calle”, sino que te vas a limitar a visionar el receptor de vídeo desde el sofá o la cama mientras tu bebé duerme, yo no lo dudaba utilizaría un sistema formado por una cámara que no se conecte a internet que cifre las comunicaciones entre la propia cámara y el receptor de video relacionado. Sin duda es el método más seguro.

Ahora si no lo sabéis o queréis dejar abierta la posibilidad entonces haremos uso de una cámara ip. Con las cámaras ips que hacen uso de un servidor web en internet contra el que nos logamos para visionar las cámaras a través de la web o alguna app debemos asumir que no sabemos quién tiene acceso a él, ni qué hacen o dejan de hacer con las imágenes.

Al margen de lo anterior, las consideraciones y consejos que se proporcionan a continuación son aplicables a cualquier tipo de cámara ip sea de bebés o no.

Vamos a suponer que vamos a comprar un sistema de vigilancia para bebés, ¿qué tengo que tener en cuenta?

Consideraciones de seguridad relacionadas con los Sistemas de vigilancia para bebés

Tendremos que tener en cuenta y exigir que la cámara cifre las comunicaciones hacia/ desde Internet.

Más caro no implica más seguro. Existen análisis de sistemas para bebés que muestran que sistemas de más de 200 € son igual o más inseguros que algunos que no llegaban a 100. Suele ocurrir que al ser más caros traen más funcionalidades y servicios lo que implica muchas veces la ampliación de los vectores de ataque.

La web o app debe exigirnos un usuario y una contraseña o hacer uso de otras metodologías para hacer login y acceder a las imágenes.

Cambiar regularmente la contraseña de acceso.

Cambiar la contraseña de acceso que trae por defecto haciendo uso de una contraseña lo suficientemente robusta y segura.

Desactivar la gestión remota (desde Internet) del dispositivo si no lo vamos a utilizar.

Apagar el sistema mientras no lo estemos utilizando.

Hay que prestar atención con lo que ponemos delante de los ojos de la cámara, no es lo mismo que lo único que pudiera llegar a ver la cámara es un bebé durmiendo que ya de por sí es importante, que pudiera llegar a presenciar otro tipo de comportamientos y actuaciones en caso de que el sistema fuera comprometido.

Espero una vez más que esta entrada haya resultado de utilidad, y por supuesto me nencantaría que me dejárais un comentario con el que complementar y mejorar la entrada.

¡Nos leemos en la próxima!

Referencias

http://www.cbsnews.com/news/baby-monitors-connect-internetvulnerable-hackers-cybersecurity/

Creación y Gestión Segura de Contraseñas

noreply@blogger.com (José María González Bueno) — Fri, 30 Jun 2017 22:21:00 +0000

Ey! ¡Qué de tiempo! Lo sé, lo mío y éste nuestro blog no tiene nombre... ¡La primera entrada del 2017 en Julio! Sin comentarios... Muchas veces pienso en escribir pero siempre priorizo otras cosas. Una pena, pero me consuelo con el más vale tarde que nunca.
Hoy traigo un tema muy importante el tema de la gestión de las contraseñas, y una posible respuesta a la pregunta ¿qué contraseña le pongo a ésto?
Las contraseñas son el caballo de batalla de muchos usuarios en su día a día, el propósito de esta entrada es exponer una estrategia para generar contraseñas seguras que nos permitan asegurar (valga la redundancia) nuestros accesos a sistemas, servicios y redes sociales, así como unas recomendaciones de cosas que NO debemos hacer. En muchas ocasiones los usuarios comprometen el acceso a sus sistemas, servicios y redes sociales porque éstos no llevan a cabo una buena elección de contraseñas.

Ya de por sí, el sistema de contraseñas es un modelo poco seguro y caduco que

está tendiendo a desaparecer y a ser reemplazado por sistemas de doble autenticación y biometría. Muchos sistemas y servicios ya lo ofrecen. Básicamente existen tres factores de autenticación:

Algo que sabes, por ejemplo las contraseñas
Algo que tiuenes, por ejemplo la tarjeta de coordenadas, el móvil...
Algo que eres, por ejemplo huellas dactilares, lectura de iris...

La combinación de al menos dos factores hacen del sistema de autenticación un sistema más seguro y más difícil de comprometer. Pongamos un ejemplo, cuando hacemos una operación mediante nuestra banca online además del par usuario/clave se hace uso de una tarjeta de coordenadas, o se recibe en nuestro móvil un código. Aquí combinamos algo que sabemos usuario/contraseña más algo que tenemos tarjeta de coordenadas, móvil, etc. De ahí la importancia del doble factor de autenticación.

Desde aquí te animamos a que los utilices y asegures tu información, tus datos, tu identidad digital… Nuestra información tiene mucho valor, debemos ser conscientes de ello y tomar medidas para asegurarla. Pero en cualquier caso el sistema de contraseñas nos seguirán acompañando aún durante algún tiempo y de ahí que sea importante crear contraseñas seguras y llevar a cabo una gestión segura de las mismas.

En mi día a día escucho frases del tipo ¿qué contraseña pongo? Es que se me olvidan porque tengo muchas contraseñas. Desde aquí vamos a intentar ayudar a los usuarios a crear contraseñas seguras y fáciles de recordar.

¿Qué características debe cumplir una contraseña segura?

Al menos 12 caracteres

Deben contener letras (mayúsculas y minúsculas),números y símbolos ($@#-, etc)

No deben contener palabras que puedan estar en un diccionario de cualquier idioma, ni palabras deducibles de la información que proporcionamos en nuestras redes sociales. Por ejemplo si en tus redes sociales dices que eres forofo del Real Madrid no es buena idea que uses Cristiano7, aunque tenga más de 8 caracteres, use mayúsculas, minúsculas y números.

Los números no deben estar relacionados con información personal como la fecha de nacimiento.

Creación de contraseña

Existen aplicaciones para generar contraseñas robustas en las que se les especifica la longitud mínima, si se van a utilizar símbolos, etc y él genera una como por ejemplo pwgen. Estos aplicativos se aconsejan que se ejecuten en local, no hacer uso de servicios online de creación de contraseñas porque se desconoce la forma de generación y si se repiten con frecuencia, etc.

Desde aquí proponemos un sistema fácil para crear y recordar nuestras contraseñas. Es un “algoritmo” que permite crear un patrón de claves seguras.

Piensa en una frase que nos resulte fácil de recordar, teniendo en cuenta que no debe ser fácil de adivinar a través de la información que proporcionamos en la Red.
Piensa en un número de 4 cifras, el año de nacimiento no por favor…
Nos quedaremos con la primera letra de cada palabra de la frase que hemos pensado, le añadimos el número de 4 cifras y por delante o por detrás le ponemos la primera letra del servicio con el que está relacionado.
Sustituiremos alguna de las letras por símbolos o números.

Ejemplo:

Piensa en una frase que nos resulte fácil de recordar, “Morón es un pueblo de la provincia de Sevilla"
Piensa en un número de 4 cifras, “2095”
Nos quedaremos con la primera letra de cada palabra de la frase que hemos pensado, le añadimos el número de 4 cifras y por delante o por detrás le ponemos la primera letra del servicio con el que está relacionado. En este caso supongamos que la clave será para Facebook y que la F la vamos a poner por delante, el resultado sería Fmeupdlpds2095.
Sustituiremos alguna de las letras por símbolos o números, Fmeupdlpd$2095

El resultado resulta difícil de adivinar ¿verdad? Cumple con las características deseables para una contraseña segura. La seguridad no reside en la metodología sino en la elección de los componentes de la misma. Si después queremos una clave para nuestra cuenta de Google, sustituimos la F de Facebook por la G de google y obtenemos Gmeupdlpd$2095 otra clave difícil de adivinar y fácil de recordar para nosotros.

Cosas que NO debemos hacer para mantener a salvo nuestras contraseñas

Por favor, hazte el favor haznos el favor:

No apuntes las contraseñas y no las dejes en un lugar accesible por cualquiera. ¡No a los post-it y cuadernos con contraseñas!

No apuntes las contraseñas y no las dejes en un lugar accesible por cualquiera. ¡No a los post-it y cuadernos con contraseñas!

No utilices la misma contraseña para todo

No dejes la misma contraseña para siempre, cámbiala regularmente. Si la cambiamos cada 180 días las cambiamos dos veces al año, ¿tampoco es tanto no?

Valora la importancia de tu información y no le digas a nadie tus contraseñas.

No utilices contraseñas del tipo 123456, qwerty,password.No a partir de ahora, te he proporcionado una metodología para crear una buena contraseña... ¡No tienes excusas!

Espero que este método fortifique y asegure vuestros servicios.

Como siempre espero vuestros comentarios para hacer la entrada buena, sin más, ¡nos leemos en la próxima!

Contramedidas para el Ransomware en dispositivos móviles

noreply@blogger.com (José María González Bueno) — Sat, 05 Nov 2016 18:04:00 +0000

¡Hola de nuevo! Sí… Lo sé… Por desgracia es raro que escriba dos entradas en tan poco tiempo… Pero estoy a tope con el curso de Incibe aprendiendo, recordando y generando material, y quiero compartirlo con vosotros. Y más si cabe si es una cuestión como el Ransomware, un tema que nos afecta a todos. Y no sólo es cosa de ordenadores también afecta a dispositivos móviles. ¿A qué no te gustaría a que ningún bicho de esos te secuestrara tu información? El 30 de Mayo del año pasado escribí una entrada en el blog relacionada con el Ransomware pero más centrado en ordenadores, https://uninformaticoenisbilya.blogspot.com.es/2015/05/ransomware-directrices-generales-sobre.html. Si te acuerdas puedes darle una vuelta, creo que puede ayudarte.

Algunas fuentes afirman que la navegación a través de internet con dispositivos móviles supera ya al de los ordenadores, eso sumado a que nuestros dispositivos guardan información muy valiosa tanto personal como profesional, no es muy difícil intuir que los dispositivos móviles son un objetivo “muy goloso” para los ciberdelincuentes y el Ransomware.

Es difícil hablar de Ransomware sin hablar de Ingeniería Social. Dichas técnicas de engaño y suplantación provocan y facilitan las infecciones y la difusión del Ransomware. Como siempre las personas somos el eslabón más débil en la cadena de la Seguridad de la Información, por lo que considero que debemos concienciarnos del valor de nuestra información y formarnos en cuestiones básicas relacionadas con la seguridad.

Las organizaciones y sus empleados tienen mucho que decir, las organizaciones deberían proporcionarles mecanismos y formación a sus empleados para asegurar su información que gestionan los dispositivos móviles que les proporcionan.

A continuación se expondrán una serie de consejos para evitar la infección por Ransomware, la verdad es que la mayoría de los consejos son aplicables de manera general también para los pcs, así como directrices para un uso seguro de los dispositivos. Estos consejos podrían convertirse en políticas para las organizaciones para asegurar sus dispositivos móviles y por ende su información.

Los usuarios debemos procurar llevar a cabo una navegación segura. Debemos huir de hacer clic sobre pop-ups, ventanas emergentes y usar el sentido común (que por desgracia es el menos común de los sentidos) prestando especial atención a eventos y circunstancias sospechosas y que pueden resultar peligrosas para la información de su dispositivo mientras navega.

Los usuarios debemos evitar proporcionar información personal que podría ser usada en el futuro para llevar a cabo ataques de ingeniería social.

Los usuarios no debemos utilizar “WiFis públicas” en la medida de lo posible. Si aun así te conectas no hagas operaciones bancarías, cuidado con el acceso a redes sociales… Una wifi pública es “la jungla”, hay gente que sabe mucho y/ o se aburre, y nuestra información puede verse comprometida. ¿WiFi Pública? No, Gracias.

Si el dispositivo es de empresa el usuario debería tener limitada la capacidad de instalar aplicaciones en el dispositivo.

Los usuarios debemos tener cuidado y consciencia de lo que almacenamos en nuestros dispositivos. No debemos almacenar información sensible en el dispositivo en la medida de lo posible.

Si el dispositivo es de empresa sería conveniente una revisión y restauración periódica de los dispositivos. Los dispositivos deben ser periódicamente revisados y si fuera necesario restaurados a su estado de fábrica para garantizar la seguridad de la información que gestionan.

Si el dispositivo es de empresa, el usuario debe procurar hacer uso del dispositivo para los fines profesionales para los que se le proporcionó.

Debemos deshabilitar la conexión WiFi, bluetooth, ubicación y datos móviles mientras no estén siendo usados.

Ojo con “rootear” y hacer “jailbreak” a nuestros dispositivos. Es genial tener el control total de nuestro dispositivo, pero tiene una contrapartida en lo que a la seguridad de la información se refiere.

Los consejos anteriormente descritos pueden implementarse con los siguientes mecanismos y recomendaciones para incrementar el nivel de concienciación del usuario:

Si podemos y/ o sabemos en Wifis Públicas, en la del Hotel, etc deberíamos hacer uso de alguna VPN. Si la hemos montado nosotros en la red de casa, o es de la empresa mejor, de esta manera nuestra navegación será más segura.

Los usuarios sólo debemos instalar aplicaciones desde fuentes oficiales. Ojito con instalar aplicaciones de markets underground, o desde enlaces desconocidos.

No cuesta nada echarle un vistazo y comprobar las opiniones y valoraciones de otros usuarios acerca de alguna aplicación antes de llevar a cabo la instalación de la misma, es útil.

Revisa los permisos solicitados por la aplicación tanto durante la instalación como en tiempo de ejecución declinando en su caso los permisos necesarios, su instalación y buscando una alternativa a dicha aplicación. No tiene sentido que una aplicación de una linterna necesite acceder a Internet (más allá de para descargarse publicidad para la app), que necesite acceso a tus contactos, a las llamadas y a la tarjeta SD. ¿Tú la instalarías? Yo tendría que estar loco.

Los usuarios debemos prestar especial cuidado a enlaces o archivos recibidos por correo electrónico, más aún si cabe si no conocemos al remitente. Por ejemplo, Correo que dice ser Vodafone que nos manda una factura. ¿Tengo Vodafone? No, borro el email. Si tengo Vodafone tenemos que mirar la dirección que envía el correo, y si tengo otros correos de Vodafone buenos comparo las direcciones, ¿no coinciden? Borro el correo, ¿no recibo mis facturas de Vodafone por correo? Borro el correo.

Se harán uso de aplicaciones de seguridad, antimalware, etc.

Se llevarán a cabo backups (copias de seguridad) de forma periódica. Los backups pueden ser la única salvaguarda de nuestra información en caso de que ésta sea cifrada por un Ransomware, o que se pierda, sea sustraído el dispositivo.

Cuando se hagan uso de servicios “sensibles” (conexión al Banco, etc) mientras se navega es importante comprobar las URLs de dichos servicios, y a ser posible escribiéndolas o accediendo a ellas desde un acceso directo en el que hayamos comprobado previamente dichas URLs evitando llegar a ellas mediante enlaces.

Algunos mecanismos adicionales que pueden servir para evitar alguna de las prácticas peligrosas descritas con anterioridad son (a las que hago referencia son las relacionadas con Android, habría que hacer uso de su homóloga en cada una de las plataformas si las hubiera):

No habilitar la opción de instalación desde orígenes desconocidos.
No habilitar el modo desarrollador.
No habilitar la depuración USB.

La seguridad al 100% es imposible de alcanzar, pero con estas sencillas recomendaciones podremos mantener un poco más lejos el Ransomware de nuestra información. Recuerda que nuestra información vale dinero, intentemos mantenerla a salvo.

Si aun así somos víctimas de algún tipo de Ransomware o tenemos un amigo que lo hay sido, pagar no es una opción. No te garantiza recuperar la información. Más vale prevenir que curar.

Seguro que tienes algo que aportar para mejorar esta entrada, alguna medida más, alguna experiencia... Me encantaría que la compartieras a través de los comentarios.

¡Nos leemos en la siguiente entrada! ¿No?

Primera aproximación a Apple Pay

noreply@blogger.com (José María González Bueno) — Sat, 29 Oct 2016 10:05:00 +0000

¡Hola de nuevo! En esta entrada os traigo información relacionada con Apple Pay, la cual me he tenido que trabajar para unas de las actividades propuestas de un curso online que estoy realizando a través de INCIBE relacionado con Ciberseguridad en dispositivos móviles. Y quería compartirla. Los que me conocéis, sabéis que no soy “muy de la gente de cupertino”, pero para sucesivas entradas trataremos los detalles de su “homónima” en Android que en un alarde de imaginación se llama…Sí, Android Pay. También me he tenido que informar acerca de Android Pay para poder identificar las diferencias principales de ambas tecnologías que expondré al final, pero no al detalle de Apple Pay. En líneas generales son dos sistemas muy parecidos en conceptos, aunque difieren en la forma de implementación de los mismos.

Apple Pay es un sistema de pago “contactless” desarrollado por Apple para promover el pago a través de sus dispositivos anunciada en Septiembre de 2014. Dicho sistema permite el pago en tiendas físicas a través de NFC, pero también facilita el pago a través de apps que lo permitan así como a través de la web. Proporcionado todo ello un sistema fácil, cómodo y seguro para el usuario aunque todo ello con matices. Aun así, estos métodos de pagos ya sea por desconfianza del usuario, por el lento despliegue de estos sistemas de pagos, etc lo cierto es que aún no es un sistema común de pagos en España.

Es un sistema de pago seguro en principio, asumiendo que no existe la seguridad al 100%. Se basa en un sistema de “tokenización” en el que en ningún caso se almacena en el dispositivo ni en los servidores de Apple información alguna relativa a las tarjetas con las que el usuario lleva a cabo las transacciones. Apple Pay no recoge información de ninguna transacción, dichas transacciones son entre el usuario, el comerciante y la entidad emisora de la tarjeta.

Por otra parte, Apple no proporciona información de las tarjetas a los vendedores.

Apple Pay se basa en un chip aislado denominado Secure Element en el que una vez validada la tarjeta del usuario se genera, se asigna, se cifra y se guarda un número de cuenta de dispositivo, no un número de cuenta bancario.

Los componentes principales de Apple Pay son:

Secure Element: chip aislado utilizado para almacenar de forma cifrada el número de cuenta de dispositivo y generar para cada compra un código aleatorio para la generación de un número de pago.

Controlador NFC (Near Field Communication), es el encargado de gestionar los protocolos y poner en contacto a Secure Element y el TPV del vendedor.

Wallet: es una app encargada de añadir,gestionar y almacenar las tarjetas que usará el sistema Apple Pay.

Secure Enclave: se encarga del proceso de autenticación y habilitar el pago si procede. Almacena el resumen de los datos en los que se basará Touch ID para verificar la identidad del usuario.

Apple Pay Servers: gestionan el estado de las tarjetas en Wallet y el Número de cuenta del dispositivo. Comunicando el dispositivo con la red de servidores de pagos. También es responsable del recifrado de las credenciales de pagos para los pagos dentro de las apps.

Dispositivos compatibles

Los dispositivos compatibles son iPhones desde iPhone 6, Apple Watch, iPad Air 2, iPad Mini 3 y 4, y los iPad Pro de 9,7 y 11,9 pulgadas. Para que la funcionalidad sea completa y poder pagar con el terminal en un TPV en una tienda, el dispositivo además de Secure Element debe contener tecnología NFC, si sólo se dispone de Secure Element sólo se podrá comprar a través de apps y vía web.

Fases y funcionamiento general del sistema

Se dan de alta las tarjetas que deseemos utilizar como medio de pago en Wallet. Para ello se disponen de las siguientes opciones:

Se introducen los datos directamente en Wallet
Fotografiando la tarjeta
Pasando a Wallet las tarjetas definidas en una cuenta de iTunes.

Una vez se introducen las tarjetas Wallet llevará a cabo un proceso de verificación de las mismas y si ese proceso es exitoso se darán de alta. En ese momento se genera, se asigna, se cifra y se guarda un número de cuenta de dispositivo en Secure Element.

Cuando se lleva a cabo una compra acercando el dispositivo al TPV del establecimiento se debe seleccionar a través de Wallet la tarjeta con la que se pagará. La transacción se llevará a cabo cifrada a través de NFC, Secure Element generará un número de pago mediante un token aleatorio de un solo uso y un código de seguridad (CVV) dinámico que cambiará con cada compra.

Tras confirmar el importe a pagar, con Touch ID se garantiza la identidad del usuario.

En caso de perdida y/ o robo a través de la app Find My Phone se puede bloquear el terminal y se inhabilitarán los pagos.

Mecanismos de seguridad utilizados

Cifrado de la información (número de cuenta del dispositivo) en el dispositivo mediante el estándar AES.

Localización segura en Secure Element, el cual es un chip aislado.

Comunicaciones cifradas tanto en el proceso de alta de las tarjetas a través de ssl como en las transacciones a través de NFC.

Sistema de identificación mediante Touch ID.

Utilización sistema de tokenización de un solo uso y aleatorio para crear e identificar los pagos.

Utilización de un código de seguridad dinámico.

No utilización de la información de las tarjetas en las transacciones.

No exposición ni de las tarjetas ni de la información de la misma durante el proceso de compra.

Apple Pay no guarda información de las tarjetas en los servidores ni en el dispositivo.

Posibles amenazas en su uso

La principal amenaza que puede sufrirse es la suplantación, propiciada por la vulneración de algún proceso en el que se apoya Apple Pay.

Utilización de tarjetas robadas incluidas en Wallet. Este problema no es tanto técnico como de metodología a la hora de comprobar la titularidad de las mismas en las correspondientes entidades bancarias. Se establece una cadena de confianza a favor de la facilidad de uso debilitándose el proceso de autenticación. La verificación adicional debería ser obligatoria, mediante un segundo factor de autenticación como usuario clave, sms al móvil con un código, tarjetas de coordenadas, etc establecidas previamente con la entidad bancaria.

Problemas derivados no del sistema en sí sino durante el proceso de comunicación entre el dispositivo y los servidores de Apple Pay durante el registro de las tarjetas. Posible interceptación de las comunicaciones. Los usuarios deben favorecer escenarios y comportamientos seguros a la hora realizar las comunicaciones.

Suplantación del usuario legítimo por la exposición del código del dispositivo y no utilización del Touch ID como método de autenticación durante el proceso de compra y tras haber perdido el control sobre el terminal por pérdida o robo. Esta circunstancia es heredada de las tarjetas usuales, en el momento en el que se detecta la perdida hay que bloquear el dispositivo para inhabilitar los posibles pagos.

Diferencias respecto a Android Pay

Al margen del número de entidades bancarias adheridas a cada una de ellas, la cantidad de dispositivos que los puedan soportar, etc las diferencias principales de estas dos tecnologías de pago se centran en:

Lugar de creación del token para llevar a cabo el número de pago.

o Apple Pay lo genera en local en un chip denominado Secure Element

o Android Pay hace uso de Host Card Emulation (HCE) servidor en la nube para la generación de los token.

La característica anterior condiciona a que con Android Pay necesita tener conexión a Internet para llevar a cabo la transacción (con los riesgos adicionales derivados de dicha comunicación), mientras que con Apple Pay al generarse en local no necesita de conexión a Internet.

Espero os haya resultado al menos interesante, a mí me lo ha parecido. Es importante saber cómo funcionan las cosas. Como siempre os animo que con vuestros comentarios completemos la información, la corrijamos etc. Además me encantaría que compartiéramos las experiencias de uso si las habéis tenido.

¿Nos leemos en la próxima?

Enlaces

https://www.apple.com/business/docs/iOS_Security_Guide.pdf
https://developer.apple.com/apple-pay/
https://www.android.com/pay/
https://developers.google.com/android-pay
https://support.apple.com/en-us/HT203027

Segunda interfaz de red en Proxmox y habilitar el tráfico entre ellas

noreply@blogger.com (José María González Bueno) — Mon, 18 Jul 2016 11:37:00 +0000

¡Hola a todos de nuevo! En esta entrada traigo los pasos que debemos seguir para tras instalar una segunda interfaz de red en Proxmox, las máquinas virtuales que se conecten al bridge virtual creado relacionado con dicha segunda interfaz puedan enrutar su tráfico hacia internet. Esto se podría aplicar a cualquier servidor servidor con Gnu/Linux obviando la parte relacionada con vmbr (Linux bridges) ya que al final lo que se hace no es más que habilitar el enrutamiento en el server y configurar una regla de nat en iptables para permitir el tráfico entre las redes que hay tras las interfaces.

En esta entrada lo traigo con Proxmox ya que el otro día revisando las configuraciones de un VPS que tengo montado con Proxmox vi las reglas de iptables relacionadas y no me acoraba de ellas, así que pensé en hacer una publicación en el blog al respecto.

Para explicarlo partiremos de un modelo simplificado, en el cual tienen cabida todas las opciones de conectividad y dispositivos de red que se os ocurra sólo tendréis que adaptarlo a vuestras necesidades.

Pero antes de nada es necesario haber instalado y hacer visible la nueva interfaz de red (NIC) en Proxmox. Dicho proceso no se describirá aquí por tratarse de un proceso general en Gnu/Linux. Suponiendo que la primera interfaz de nuestro VPS con Proxmox es denominado eth0 y la segunda interfaz eth1, el siguiente paso en crear un nuevo bridge virtual relacionado con eth1 que por defecto se llamará vmbr1. A partir de entonces cualquier máquina virtual que se cree con dicha vmbr1 usará dicha interfaz para comunicarse con dispositivos y máquinas que formen parte de su segmento de red.

Creación de Linux bridge en Proxmox

En el árbol jerárquico de las vistas seleccionamos Server View, a continuación seleccionamos Proxmox bajo Datacenter, a continuación en el panel de la derecha seleccionamos Network, Create y Linux Bridge. Lo podemos ver en la siguiente imagen:

Rellenamos los campos con la información de red que queramos configurar teniendo en cuenta que en Bridge Ports pondremos eth1 que hemos supuesto que es la segunda interfaz de nuestro VPS Proxmox. Aquí lo hemos completado con la información que usaremos en el modelo que se presenta a continuación. En la siguiente imagen podemos ver como quedaría.

Es importante resaltar que el campo Gateway debe quedarse en blanco ya que no puede haber dos puertas de enlaces diferentes, si por lo que sea lo rellenamos Proxmox se encargará de recordárnoslo.

Una vez creado vmbr1 deberemos reiniciar nuestro VPS. Muy importante pensar si podéis reiniciarlo en ese momento por los servicios que puedan estar ofreciendo vuestras máquinas virtuales, o es mejor hacerlo más tarde. En cualquier caso, los cambios se harán efectivos tras el reinicio del sistema.

A continuación se muestra como ya se mencionó con anterioridad un modelo simplificado en el que aparece el VPS con Proxmox, dos conmutadores (uno en la “pata” de eth0 y el otro en la “pata” de eth1), dos máquinas físicas (machine1 y machine4) y dos máquinas virtuales (vmachine2 y vmachine3).

¿Qué es lo que ocurre?

Vamos a suponer lo siguiente; el VPS tenía conectividad a internet a través de su puerta de enlace que estará en la red 192.168.1.0/24 que alcanzaba a través de su interfaz eth0 aunque no se haya representado en la imagen. Por ende, si así se hubieran configurado (vamos a suponer que sí) las máquinas virtuales conectadas a vmbr0 saldrían a Internet.

Por defecto, tras instalar la nueva tarjeta de red en el VPS, crear vmbr1, las máquinas virtuales que se creen relacionadas con vmbr1 no saldrán a internet (recuerda que no se le pudo poner ninguna puerta de enlace en su creación).

¿Solución?

Crear unas reglas iptables que permitan el tráfico entre las redes de cada una de las interfaces.

Editamos el fichero /etc/network/interfaces en nuestro VPS Proxmox con nuestro editor de texto favorito y añadimos las siguientes líneas bajo la interfaz vmbr0 (Linux bridge inicial).

post-up echo 1 > /proc/sys/net/ipv4/ip_forward

Habilita el enrutamiento de paquetes de red ipv4

post-up iptables -t nat -A POSTROUTING -s 192.168.3.0/24 -o vmbr0 -j MASQUERADE

Añade una regla iptables tras “levantarse” la interfaz que permite que el tráfico proveniente de la red 192.168.3.0/24 salga a través de vmbr0 haciendo nat con la ip de la interfaz de vmbr0.

post-down iptables -t nat -D POSTROUTING -s 192.168.3.0/24 -o vmbr0 -j MASQUERADE

Borra una regla iptables tras “tumbar” la interfaz que permitía que el tráfico proveniente de la red 192.168.3.0/24 salga a través de vmbr0 haciendo nat con la ip de la interfaz de vmbr0.

Recuerda que esto es aplicable a cualquier server Gnu/Linux sólo tendrás que adaptarlo a tu escenario. Espero que os haya resultado útil o lo sea en algún momento. Como siempre voloro muchísimo vuestras aportaciones, experiencias en forma de comentarios para completar y mejorar las entradas de este blog.

¡Nos leemos en la próxima!

Ha nacido WeTec.es

noreply@blogger.com (José María González Bueno) — Fri, 10 Jun 2016 19:09:00 +0000

¡Hola de nuevo! La entrada de hoy es un poco diferente y está dedicada al nacimiento de WeTec.es. WeTec es un proyecto de tres amigos Manuel Acebedo (@Manuel_Acebedo), Cayetano Caraballo (@cayetanocn) y el que os escribe. En su día fuimos compañeros en la Escuela Técnica Superior de Ingeniería Informática de la Universidad de Sevilla. Si quiereas conocernos un poquito más puedes visitar el siguiente enlace ¿Quiénes somos? Os podéis imaginar las “fatiguitas” que pasamos juntos, aunque lo que nos ha unido desde entonces han sido los buenos ratos, las risas, el proyecto de ISG3…

Desde entonces hemos compartido cenas, bodas, partidos de fútbol (vistos por la tv por supuesto) y en una de esas cenas surgió la idea de hacer algo juntos. ¡Y nació WeTec!

WeTec aspira a ser tu sitio de tecnología, seguridad, comunicaciones e informática en general. No vendemos nada. Intentamos compartir información y conocimiento que pueda resultar interesante y útil. Se tratan temas diferentes y de distintos niveles de complejidad todo ello en un lenguaje fácil. Con WeTec queremos estar actualizados, aprender y aprovechar los conocimientos, inquietudes y experiencias que nos han aportado los diferentes caminos que han tomado cada una de nuestras carreras profesionales. No pretendemos hacernos ricos ni siquiera ganar dinero, pero quién sabe si ésto es el germen de algo más grande.

Las diferentes especializaciones de los componentes del equipo de WeTec permiten tener una visión horizontal de las tecnologías de la información y las comunicaciones. Estaríamos encantados de poder ayudarte a encontrar una solución eficiente a tus necesidades y/ o problemas.

Esto no significa el final de este blog ni mucho menos, seguiré con publicaciones periódicas (espero que sean más periódicas que hasta ahora) y también colaboraré intensamente con WeTec. Allí podrás encontrar más publicaciones que lleve a cabo.

Espero que te guste esta nueva idea y que nos sigamos leyendo. Ni que decir tiene que en WeTec estaremos encantados de poder completar la información publicada con tus comentarios, opiniones y experiencias que estamos seguros que supondrán un valor añadido para WeTec.

¡Nos leemos!¡Aquí y en www.wetec.es!

Guía minimización del impacto de un incidente de seguridad sobre la información de una empresa

noreply@blogger.com (José María González Bueno) — Thu, 26 May 2016 13:54:00 +0000

¡Buenas a todos! Sí que hace tiempo sí! 5 meses para un nuevo post es demasiado tiempo pero no he estado demasiado motivado para escribir, aunque no he dejado de hacer cosas y leer.

En esta entrada traigo una guía para mitigar el impacto de un incidente en los procesos de negocio de la empresa. Con ella pretendo poner en negro sobre blanco resumido, adaptado y completado el contenido de un vídeo muy interesante del que he podido disfrutar mientras hacía un curso de Incibe relacionado con la Ciberseguridad para PYMES y Autónomos.

Esta guía podría formar parte del Plan de Contingencias TIC de una Organización que a su vez podría formar parte del Plan de Continuidad de dicha Organización. Porque no es lo mismo un Plan de Contingencia que un Plan de Continuidad de Negocio. No está en el alcance de esta entrada especificar los detalles de cada uno de los planes, pero ya que hemos tocado el tema los definiré.

Un Plan de Contingencia TIC [1], “estrategia planificada en fases, constituida por un conjunto de recursos de respaldo, una organización de emergencia y unos procedimientos de actuación, encaminados a conseguir una restauración ordenada, progresiva y ágil de los sistemas de información que soportan la información y los procesos de negocio considerados críticos en el Plan de Continuidad de Negocio de la compañía”. Está más orientado a nivel de IT.

Por otro lado, un Plan de Continuidad de Negocio está por encima del Plan de Contingencia, más a nivel de negocio, según ISACA "Proceso destinado a reducir los riesgos del negocio de una organización originados en una interrupción inesperada en las funciones/ procesos (manuales o automáticos) necesarios para la supervivencia de la organización. Esto incluye los recursos humanos/ materiales que dan soporte a estas funciones/ procesos críticos así como el aseguramiento de la continuidad del nivel mínimo de servicios necesarios para las operaciones críticas".

La guía contendrá una serie de aspectos a considerar para minimizar y mitigar el impacto de los incidentes de seguridad que se pudieran producir en las Organizaciones derivados de los riesgos a los que éstas se encuentran expuestos.

1. Documentar el equipamiento esencial de la empresa

Lista de equipos de la empresa

Crear y establecer una estrategia de acceso seguro a la información almacenada.

2. Centralizar la información y crear copias de seguridad

Reunir toda la información/ documentación esencial de la organización en un repositorio documental.

Realizar copias almacenadas físicamente fuera de las instalaciones de la organización. La frecuencia y el tipo de copias de seguridad deberá estar relacionado con la criticidad de la información que se respalda.

Documentar el proceso de recuperación de copias con la finalidad de:

Agilizar el proceso de recuperación frente a alguna contingencia

Comprobar periódicamente que sabemos y podemos restaurar las copias, así como si éstas se están llevando a cabo correctamente.

3. Identificar los contratos externos esenciales

Lista con información de contacto de personas y/ o empresas ajenas a la organización cuya ayuda se podría necesitar en caso de que se produzca un incidente que pueda comprometer la continuidad del negocio.

4. Determinar el equipo de contingencia

Hacer uso de proveedores de equipamiento alternativo en caso de que el equipamiento de la empresa resulte dañado.

Identificar Servicios, Equipos y Recursos que cada proveedor podría proporcionar en caso de contingencia. Con esto se gana tiempo, dado que de lo contrario cuando surjan las necesidades tendríamos que proceder a buscar y comparar los proveedores y no debe ser el momento de hacerlo.

5. Localizar una ubicación de contingencia

Ubicación temporal de la empresa o servicio de la misma, dentro de las instalaciones de la empresa o fuera donde se llevarán a cabo las operaciones de la empresa mientras la ubicación original no esté disponible.

Desde la ubicación temporal deben estar accesibles la información así como los recursos necesarios para que el personal pueda desarrollar su trabajo.

6. Determinar quién puede realizar teletrabajo

Si hubiera operaciones que no pudieran continuar en las instalaciones de la empresa y dichas operaciones pudieran realizarse fuera de la misma, el teletrabajo es una opción para que los empleados puedan realizar las funciones propias de sus puestos de trabajo.

Si se considera el teletrabajo como una opción habría que dotar de una conexión segura la conexión con la organización. Para ello sería conveniente la utilización de un servidor VPN con lo que la información que pase a través del túnel creado vaya cifrada garantizando su confidencialidad.

7. Formación de los empleados sobre las herramientas que utilizan

Formación de los empleados para que utilicen de forma correcta los sistemas corporativos.

Establecer las políticas y los medios necesarios para que los empleados no puedan instalar software sin autorización.

Navegar por páginas web de contenido de dudosa reputación.

Concienciación y buen uso del correo electrónico corporativo.

Cumplimiento de las políticas de seguridad de la empresa.

No es una tarea simple, pero este esfuerzo ahorrará importantes pérdidas económicas así como el desgaste de la imagen de la Organización en caso de producirse un incidente de seguridad.

Todo ésto tiene que ir como he mencionado en ocasiones anteriores a crear una cultura de Seguridad de la Información en la empresa, nadie dijo que fuera fácil.

¿Te ha parecido interesante la entrada? ¿Aburrida? ¿Útil? ¿Patética tal vez? Estaría encantado de que me comentaras tus impresiones y opiniones, así como de completar la entrada con tus sugerencias y apreciaciones.

¡Nos leemos en la próxima! Espero que no sea dentro de 5 meses...

¡Un saludo!

Referencia

https://www.incibe.es/blogs/post/Empresas/BlogSeguridad/Articulo_y_comentarios/Contingencia_vs_Continuidad

Compra segura por Internet

noreply@blogger.com (José María González Bueno) — Sat, 02 Jan 2016 01:14:00 +0000

¡Feliz y seguro año 2016!
Hoy, día 1 de Enero de 2016 y con la entrada del nuevo año tenía pendiente la publicación de una entrada relacionada con la seguridad en las compras on-line. Lo sé habría sido más útil haberla publicado antes de las fiestas navideñas y seguro que alguien más se hubiera beneficado de los consejos y medidas de seguridad que proporcionaré. Todavía tenemos por delante los Reyes, ¿tienes pendiente alguna compra por Internet? Si es así, creo que esta entrada te resultará muy útil.

A continuación describiré algunas de las medidas de seguridad y precauciones que tomo personalmente y recomiendo cuando compro algo por Internet. Seguro que a muchos de vosotros os parecerán paranoicas algunas de ellas, y entiendo que no todo el mundo, en todo momento pueda tener los recursos para desarrollarlas tanto de conocimientos (que intentaremos subsanar en parte con esta entrada) como materiales (tampoco necesitamos nada del otro mundo pero podemos no tenerlos disponibles en un momento dado).
¿Recursos materiales?¿Qué vamos a hacer manualidades o algo? No, pero para los consejos que propongo hacen falta algunas cosillas más allá del sentido común y de un pc.
Necesitaremos un cable Ethernet y un pendrive con una distribución Gnu/Linux. ¿Por qué? Ahora lo veremos.
Las primeras medidas básicas de seguridad a la hora de comprar en Internet deben ser las medidas generales de seguridad que debemos estar implementando diariamente. Dichas medidas son el sentido común (que obviamente es el menos común de los sentidos) y mantener nuestros sistemas actualizados. Esto incluye si haces uso de un programa antimalware tenerlo activo y actualizado. ¡Tópicos a mí!
Una vez dado por supuestos que vamos a estar mentalmente activos frente a posibles "trampas" que podamos encontranos por Internet y con nuestros sistemas perfectamente actualizados, siento decirte que todo ello puede no servir de nada llegado el momento, pero ayuda. Recuerda que la seguridad al 100% no existe.
Vale empezamos con los consejos y medidas de prevención que podemos tomar. Me gustaría que en los comentarios me dijérais paranoico si realmente lo pensáis, así como que medidas adicionales tomáis, o si alguna de las que a continuación expongo os parecen inútiles. Creo que puede ser una entrada algo larguita pero estoy seguro de que merece la pena invertir 5 minutos en leerla.

Medidas

Primero, no llevar el proceso de compra a cabo desde ordenadores que no sean de confianza. Con nuestras máquinas si tomamos nuestras medidas de seguridad siempre serán más fiables que los ordenadores de terceros que sabrá Dios cómo lo tendrán...

Segundo, a ser posible dentro de las posibilidades de cada uno, no llevar a cabo transacciones bancarias a través de una conexión Wifi. Ni mucho menos desde "wifis" públicas. Wifis publicas... ~~Caca~~! De ahí que necesitemos un cable Ethernet, cogemos nuestro cable y conectamos el ordenador a nuestro router o dispositivo de red local. En las"wifis" nunca se sabe. El tema de la seguridad en las redes inalámbricas es superinteresante pero se sale del alcance de esta entrada. No descarto tratar algunas cuestiones independientes en alguna entrada futura. Bien Jose Mari, pero resulta que por lo que sea no puedo tirar el cable hasta el router. Bueno, en este caso podriamos llevar a cabo una comprobación previa a usar la wifi, y es analizar quién está conectado a la red relacionada con la red wifi a través de la cual vamos a comprar. ¿Cómo lo hacemos?

Uno, nos conectamos al router y buscamos quien está conectado a la red.
Dos y más fácil, con una aplicación móvil (con el móvil conectado a la red, yo uso para Android Fing aunque hay muchas) vemos quien está conectado a la red. Esto es una práctica que recomiendo hacer asiduamente nunca se sabe quien puede estar husmeando en nuestra red. Debemos tener controlado nuestros dispositivos conectados, si vemos algo raro mi consejo es cambiar inmediatamente la clave de la red wifi.

Tercero, yo siempre uso una distribución Gnu/Linux para este tipo de tareas y en la medida de los posible una distribución actual live arrancada desde un pendrive. De este hecho deriva la necesidad de un pendrive con Gnu/Linux. Lo sé rozo la paranoia... ¿O quizás nade en ella? El por qué uso Gnu/Linux para este tipo de tareas tampoco está dentro del alcance de esta entrada, pero para los que no seáis técnicos deciros que en terminos generales (aunque algún técnico puede no estar de acuerdo) Gnu/Linux es más seguro que las plataformas basadas Windows, aunque Windows ha mejorado mucho. Resumiendo, que si podéis os hacéis con un penlive con una distro Gnu/Linux y la "correis". Cuando arranquemos nuestra distro Gnu/Linux si podemos/ sabemos/ queremos la actualizamos.

Cuarto, el navegador, nuestro caballo de batalla. Independientemente del Sistema Operativo (SO) que utilicemos ojito con nuestro navegador. Es importante que esté actualizado, y además nada de Java, flash y Acrobat Reader. En ellos está el demonio... (¡Risas!) Pero José Mari, ¿quién hoy día no utiliza Java, flash o Acrobat reader? Parafraseando a un gran profesor del Master que tuve: "Mucha gente en su sano juicio". Entre otras cosas por eso uso una distro live, porque por defecto no suelen traer instalados dichos programas, que pueden suponer un riesgo de seguridad para nuestros sistemas. Cuanto más programitas de estos tengamos instalados, corriendo mientras intentamos comprar por Internet más papeletas tenemos de que algún tipo de malware explote alguna de sus vulnerabilidades comprometiendo nuestro sistema y nuestros datos bancarios. ¿No nos gustaría verdad?

Vale Jose Mari como sigamos así necesitamos una hora nada más que para empezar... Creeme, no supone tanto tiempo y es una inversión de tiempo que sale muy rentable.
Hasta el momento nos hemos conectado con cable al router, hemos arrancado una distro Gnu/Linux live, no tenemos corriendo ni java, flash ni Acrobat reader y tenemos actualizado el navegador. Mola. ¿Ahora qué? Pues habrá que intentar comprar considerando las peculiaridades y los servicios ofrecidos por cada una de las entidades bancarias.

Quinto, Siempre que nuestro Banco nos ofrezca el servicio de utilizar para nuestras transacciones tarjetas virtuales las usaremos. Existe un auténtico tráfico en manos de cibercrimilaes, mafias, etc de tarjetas de bancos con los datos de gente desde las que se les roba el dinero. Por lo que, en la medida de lo posible NO poner los datos de nuestras tarjetas reales/ físicas en las transacciones que realicemos.

Sexto, la url, es decir la dirección de la página web de nuestro banco. Siempre que nos sea posible es preferible escribirla y no acceder a ellas desde "enlaces dudosos". La siguiente circunstancia es crucial, si el navegador os arroja un error en el certificado... ¡Miedito, alerta, alarmas sonando! El tema de los certificados, las entidades certificadoras, etc es un tema muy extenso en sí mismo que se escapa del alcance de esta entrada pero sólo apuntar que se basa en la confianza, y en la comprobación de que una entidad es quien dice ser. Pero la realidad es que alrededor de este tema pueden surgir numerosos problemas. No entraremos ahí. Nos quedaremos en que como regla general si nos estamos conectando a la dirección correcta de nuestro banco el navegador no debe arrojar ningún error de certificados, y tendremos que tener muy en cuenta la dirección del mismo. Ojo con no conectarnos a una página de una "entidad" que se parezca en el nombre, el navegador no falle, nos creamos que estamos en la página correcta y allí comprometamos nuestra información bancaria. Un ejemplo de lo que he querido decir, supongamos que nuestro Banco es el Santander y que su web es https://bancosantander.es y nosotros cometemos un error al escribir la url o de alguna manera a través de un navegador llegamos al sitio https://bancosamtander.es. El certificado del sitio puede darse por bueno, allí podríamos meter nuestras credenciales, etc y comprometer nuestas información. Aquí entra en juego nuestro sentido común. Tenemos que conocer la url de nuestro banco en la medida de nuestras posibilidades. Si lo buscamos a través de un buscador, después nos cercioraremos de que la url es la correcta, que no da error de certificado el navegador, etc.

Séptimo, seguridad en las comunicaciones entre nuestro navegador y el servidor web del banco. Las páginas de nuestros bancos deben empezar por https no por http si es así desconfiar y contrastar la drección de la página o url. Para los que no seáis técnicos a grandes rasgos la s de https está relacionada con una conexión segura en la que se cifrarán las comunicaciones entre el navegador y el servidor web con la seguridad que esto proporciona en caso de que las comunicaciones sean interceptadas.

Octavo, método de confirmación de transacciones. Los bancos implementan al menos dos medidas relacionadas con la identificación de los individuos en la red. Suele ser algo que sabes (credenciales de acceso), y algo que se tiene (tarjeta de coordenadas, mensaje al móvil con un token, etc). Bueno pues los bancos no nos pedirán NUNCA que pongamos todos los datos de nuestras tarjetas de coordenadas si la tuviéramos, nuestro sentido común nos tendría que alertar. ¿Por qué? Porque para qué quieren saber todos los datos de la tarjeta de coordenadas, si el Banco las conoce porque nos la facilitó. Si nos pide unas coordenadas concretas es para asegurarse de que tenemos dicha tarjeta de coordenadas por ser nosotros quien decimos ser. Parece de perogrullo pero es importante, ponemos un ejemplo. Imaginemos que nos hemos conectado a una página de un Banco creyendo que era la "página buena" de nuestro Banco porque la página se parecerá muchísimo por no decir que puede ser clonada, hemos metido nuestras credenciales ("los malos" ya tendrían nuestras credenciales de acceso con las que podrán ir a la página real del Banco) y si encima nos solicitan todas las casillas de nuestra tarjeta de coordenadas y nosotros se las damos pues lo tienen todo para operar con nuestro dinero como si fueramos nosotros.

Noveno, si la página de nuestro banco nos ofrece un teclado en pantalla a la hora de introducir códigos lo utilizaremos. Esto nos ayudará en caso de estar "infectado" por un keylogger y evitará que este capture nuestras pulsaciones del teclado.

Hasta aquí mis consejos para efectuar de una manera segura unas compritas por Internet. Recuerda la seguridad al 100 % no existe.
¿Te ha gustado? ¿Te ha resultado útil? Espero que sí.
¿Nos leemos en la próxima? Eso espero.

Privacidad y Seguridad en Internet.

noreply@blogger.com (José María González Bueno) — Thu, 03 Dec 2015 23:10:00 +0000

¡Hola de nuevo!
Quería publicar la que posiblemente sea la última entrada del año, y compartir un ratito más con ustedes que visitáis mi Blog,vuestro Blog.
Estoy leyendo el libro de Antonio Salas, Los hombres que susurran a las máquinas y tengo que decir que me está gustando mucho y lo recomiendo, aunque hasta que no lo termine no podré tener una opinión completa y formada del mismo.
En él he leído algunas analogías muy interesantes que me han inspirado a la creación de esta entrada. En las páginas 66 y 67 podemos leer:

"Nuestra vida digital transcurre en casas de cristal, pero las cortinas están al otro lado del vidrio. No tenemos control sobre ellas. Mantenemos nuestra fantasía de intimidad mientras no hagamos nada que pueda despertar la curiosidad del casero, porque él es quien puede correrlas, cuando le apetezca, para ver que estamos haciendo."

Tras leer esto es imposible que no se nos venga a la cabeza el famoso caso de espionaje de la NSA con programas de vigilancia masiva como PRISM o Xkeyscore desvelado por Edward Snowden.
Aquí, en casa en estos días, España ha comprado un sistema de vigilancia masiva denominado Evident X-Stream por unos 12 Millones de Euros. Evident X-Stream es una tecnología que facilitará el control de las comunicaciones y actividades de la población. Dicha herramienta será controlada por los cuerpos y fuerzas del Estado. Este sistema vendrá a sustituir a SITEL.
Como hemos hablado en otras ocasiones hay que alcanzar una solución de compromiso en la difícil ecuación que contiene variables como la Seguridad y la Privacidad, intentando obtener un complicado equilibrio. En estos tiempos difícles que estamos atravesando con ataques terroristas, etc este tipo de cuestiones siempre están en el centro del debate. ¿Qué opinas?
¿Qué si ésto se convertirá en un Gran Hermano a lo G. Orwell? Estoy seguro de que ya lo es.
Lo peor es que no nos damos cuenta de la cantidad de información que proporcionamos en nuestras interacciones con Internet y las redes sociales. Se indexan nuestras búsquedas, me gustas, ficheros subidos a no se que sistemas/ servicios de intercambio de ficheros, llevamos a cabo publicaciones de todo tipo, de hasta por donde corremos, si nos hemos ido de viaje, no desactivamos las coordenadas gps de las fotos que subimos, etc,etc. ¿Lo habías mirado desde ese prisma?
Si eres de los que piensan que puedes decir y/ o hacer en internet lo que quieras sin consecuencias estás muy equivocado... Si realizas apología del terrorismo, intentas suplantar o suplantas un estado civil, y demás "cosas malas" vivirás más temprano que tarde una escena de película de acción en tu casa. Y no olvides que lo que subes a Internet subido queda, y lo que dices dicho queda...
¡Cuidadín con venirnos arribita con según que comentarios, estados y publicaciones!No sabemos si mañana nos podemos arrepentir de ellos. Como dice mi amigo Pepe, "No demos tres cuartos al pregonero". Piensa que estamos conformando nuestra imagen digital, la imagen que tiene la gente, las empresas de tí en Internet. ¿Cómo quieres que te vean?
Internet es genial, pero vívela con sentido común y responsabilidad. Hazte el favor.
Esto me sirve para enlazarlo con otro fragmento del libro de Antonio Salas que me encantó, repito, si tienes la oportunidad de leerlo hazlo. En la página 94 podemos leer:

"Hoy un anciano de ochenta años y un niño de ocho saben que tiene que mirar a ambos lados al cruzar la calle, que no deben internarse en plena noche (ni tampoco de día) en barrios de dudosa reputación y que si no quieren que les roben sus bienes más preciados, deben guardarlos bajo llave... Pero no sospechan que en Internet también existen lugares de mala reputación. Que deben leer a un lado y a otro antes de darle al clic. Y que para que no les roben sus vidas digitales, deben guardarlas bajo contraseñas seguras."

No te fíes de Internet, tampoco le tengas miedo, pero valora tu información, vale mucho dinero aunque no te lo creas. Entre todos tenemos que concienciar a los que tenemos a nuestro alrededor de que la Seguridad en todo lo que hacemos en Internet es importante, como en la vida real. A nadie se le ocurriría coger un coche que no frena, o como dice Antonio Salas en su libro no te meterías en según que barrios, ¿no?
Hay en internet muchos lugares con mucha información buenísima, repleta de consejos, etc. Además de éste claro...
Porque la Seguridad no va sólo de tecnología, va de personas. Y somos vulnerables.
Gracias por leerme. Me encantaría que complementáramos esta entrada con tus reflexiones y opiniones, con ellas la haríamos una entrada buena.
A continuación pongo unos enlaces que me parecen muy interesantes.
¡Hasta la próxima!

Enlaces:

http://www.elladodelmal.com/2015/12/evident-x-stream-deep-packet-inspection.html

http://www.pabloyglesias.com/el-control-por-el-control/

Envío de correos desde scripts

noreply@blogger.com (José María González Bueno) — Mon, 09 Nov 2015 21:33:00 +0000

¡Hola de nuevo!
Esta vez traigo una entrada muy interesante y útil (como todas XD) para poder mandar mails desde scripts.
Esta misma semana me he tenido que repasar como hacerlo dado que quería desarrollar un script y desde él a través del comando mail mandar correos.
¿Cómo lo vamos a hacer? Ante todo fácil, sólo para mandar correos no necesitamos configurar un servidor de correo completo, ni configurar las DNS para el correo entrante con un dominio propio, etc.
Existen varias opciones para poder satisfacer la necesidad de envío de correos, me centraré en dos opciones que considero las más fáciles como son Exim4 y sSMTP. Exim4 sólo lo configuraremos para envíar correos.
Configuraremos tanto sSMTP como Exim4 para que envíen correos a través de otro servidor de correo. Básicamente configuraremos sSMTP y Exim4 como configuramos por ejemplo nuestras cuentas de correos en nuestros smartphones a través de una app de gestión de correos, en las que les proporcionamos los parámetros de envío y recepción de correos del servidor.En nuestro caso, en esta entrada los configuraremos través de gmail, usando una cuenta ficticia info.ejemplo@gmail.com cuya contraseña será Passcuentainfo.ejemplo.
En vez de a través de gmail podríamos configurarlos con cualquier otro servidor de correo, por ejemplo, uno que tengamos montado en nuestras empresas.

sSMTP

sSMTP es MTA simple (no es un servidor de correo completo) para enviar correos desde una máquina a través de otro servidor de correos. Es una herramienta sencilla, liviana, segura (cuando se utiliza adecuadamente) y no hace uso de demonios con el consiguiente ahorro de recursos. A diferencia de Exim4, sSMTP no recibe correo, no hace uso de alias ni administra colas.
De forma general un componente importante de la seguridad del correo electrónico, además del uso de la firma digital y el cifrado, es la protección de sus intercambios de autenticación para las conexiones con los servidores de correo, sSMTP proporciona funcionalidad para el uso de TLS / SSL para proteger las conexiones con el servidor SMTP.

Exim4

Exim4 a grandes rasgos es un servidor de correo monolítico completo con un formato de configuración sencillo por lo que resulta más fácil de configurar que otros servidores de correo como Sendmail. Con un dominio propio y las DNS correctamente configuradas Exim4 puede gestionar el envío y la recepción de correos desde/ hacia dicho dominio. Exim4 sí hace uso de demonios para su funcionamiento.

Instalación, configuración sSMTP

La instalación y configuración la llevaremos a cabo en una máquina Gnu/Linux con Debian. En la Red hay muchos recursos al respecto pero quería hacer "mi versión" con mis palabras para quizás hacerlo si cabe más claro.

Instalamos ssmtp y mailutils
#apt-get install ssmtp mailutils

A continuación configuraremos sSMTP editando el fichero de configuración /etc/ssmtp/ssmtp.conf. Antes es de "buena educación" hacer una copia de dicho fichero por si nos liamos y algo va mal, siempre podamos contar con el original.

Hacemos una copia del fichero de configuración
#cp /etc/ssmtp/ssmtp.conf /etc/ssmtp/ssmtp.conf_original
Editamos /etc/ssmtp/ssmtp.conf con nuestro editor favorito, yo utilizaré nano
#nano /etc/ssmtp/ssmtp.conf

Ahora se muestra el contenido del fichero comentando/ aclarando un poco cada parámetro

#
# Config file for sSMTP sendmail
#
# The person who gets all mail for userids < 1000
# Make this empty to disable rewriting.
#Esta cuenta es la que recibiría los correos, pondremos la cuenta de gmail que configuraremos o la dejamos #en blanco ya que no gestionaremos con ssmtp la recepción de correos
root=info.ejemplo@gmail.com

# The place where the mail goes. The actual machine name is required no
# MX records are consulted. Commonly mailhosts are named mail.domain.com
#Servidor de correos que usaremos para enviar los correos
mailhub=smtp.gmail.com:587
AuthUser=info.ejemplo@gmail.com
AuthPass=Passcuentainfo.ejemplo
#Añadiremos las siguientes dos líneas para decirle a ssmtp que cifre las comunicaciones con el server
UseTLS=Yes
UseSTARTTLS=Yes

# Where will the mail seem to come from?
#Es el nombre del dominio que queremos mostrar como enviador, pero sólo será visible si abrimos el correo #con las cabeceras de lo contrario veremos la cuenta de gmail que configuremos para el envío
#Ejemplo de correo de pueba X-Google-Original-From: "root" <root@micasa.com>rewriteDomain=micasa.com
# The full hostname
#Si abrimos el correo original con las cabeceras veremos una línea que hace referencia a este parámetro
#Ejemplo línea mensaje original correo de prueba Received: from sysinfo
hostname=sysinfo

Hasta aquí lo relacionado con el contenido de ssmtp.conf

Esta configuración tiene un problema claro de seguridad tanto en cuanto la clave de la cuenta que utilizaremos para enviar correos aparece en claro. Realmente no es lo suyo, sería más adecuado que se le pudiera pasar un fichero con la clave cifrada en él. Una vez más debemos alcanzar un equilibrio entre funcionalidad y seguridad.
Para asegurarlo un poco, lo protegeremos por permisos y cambiaremos su propietario a root y su grupo a mail.

#chmod 640 /etc/ssmtp/ssmtp.conf
#chown root:mail /etc/ssmtp/ssmtp.conf

Hay que tener en cuenta que tendremos que añadir al grupo mail los usuarios del sistema a los que queramos permitir enviar correos, por ejemplo, si quisiéramos permitir al usuario josemaria enviar correos deberíamos ademas ejecutar:

#adduser josemaria mail

Instalación, configuración Exim4

La instalación y configuración de Exim4 la llevaremos a cabo en una máquina Gnu/Linux con Ubuntu Server en esta ocasión. En la Red hay muchos recursos al respecto pero quería hacer también con Exim4 "mi versión".
Una cuestión importante a la hora de hacer uso y antes de instalar Exim4, es que si tenemos instalado Sendmail debemos desinstalarlo porque pueden surgir problemas de incompatibilidades.

#apt-get purge sendmail

Instalamos Exim4
#apt-get install -f exim4

Configuramos Exim4
#dpkg-reconfigure exim4-config

Seleccionamos enviar a través de smarthost porque haremos uso de otro server para enviar los correos.

Establecemos nombre de sistema de correo por ejemplo correo.prueba.es.

Aceptamos las direcciones ipv4 e ipv6 que aparecen.

Otros dominios con los que se configura el correo lo dejamos en blanco.

Otras máquinas a las que reenviar correo lo dejamos también en blanco.

Aquí configuramos la dirección y el puerto del servidor a través del que enviaremos los correos, en este caso es gmail pero podríamos configurar otro.

Decimos No a ocultar la dirección de los correos salientes.

Seleccionamos No al límite de consultas DNS

Seleccionamos mbox como formato de almacenamiento de correo local.

A continuación se reiniciará el MTA...

El siguiente paso es editar con nuestro editor preferido el fichero que contendrá los datos relacionados con las credenciales de la cuenta con la que enviaremos los correos a través del servidor de gmail. Dicho fichero es /etc/exim4/passwd.client.

#nano /etc/exim4/passwd.client

Se muestra un ejemplo del contenido del fichero /etc/exim4/passwd.client donde tendremos que añadir las líneas que están en negrita

# password file used when the local exim is authenticating to a remote
# host as a client.
#
# see exim4_passwd_client(5) for more documentation
#
# Example:
### target.mail.server.example:login:password

gmail-smtp.l.google.com:info.ejemplo@gmail.com:Passcuentainfo.ejemplo
*.google.com:info.ejemplo@gmail.com:Passcuentainfo.ejemplo
smtp.gmail.com:info.ejemplo@gmail.com:Passcuentainfo.ejemplo

Hasta aquí el fichero de ejemplo

Reiniciamos servicio de exim4

#/etc/init.d/exim4 restart

Ejemplo de uso

Con independencia de la solución que adoptemos, en nuestros scripts podemos mandar correos mediante el comando mail.

Un ejemplo sencillo sería:

#echo "prueba correo desde exim4"|mail -s "Test desde Exim4" correo.destino@dominio.com

Con -s Especificamos un asunto y correo.destino@dominio.com es la dirección a la que queramos mandar el correo.

El comando mail tiene un mayor número de parámetros, podremos encontrar información al respecto a través de man o en la Red.

Como en cada entrada, sólo pretendo hacer referencia a lo más importante y funcional, e intentar ser un buen punto de partida en los diferentes temas tratados. De estas cuestiones hay mucho escrito, donde podremos indagar y encontrar las soluciones que mejor se adapten a nuestras necesidades.

Espero que os haya resultado al menos útil.

Me gustaría completar y añadir valor a mi blog con tus comentarios, experiencias, etc. ¿Me ayudas?

Nos leemos en la próxima entrada.

¿De qué será? Tengo algo en la cabeza pero no lo tengo decidido.

Saludos.

Fuentes

http://www.techrepublic.com/blog/it-security/use-ssmtp-to-send-e-mail-simply-and-securely/

https://wiki.debian.org/es/sSMTP

https://jolthgs.wordpress.com/2012/05/15/configurar-exim4-como-smarthost-para-envio-de-avisos-del-sistema-por-e-mail/

Miniguía tcpdump

noreply@blogger.com (José María González Bueno) — Tue, 27 Oct 2015 19:12:00 +0000

¡Hola de nuevo!¿Qué de tiempo no?
Llevo dos meses queriendo redactar esta entrada con las anotaciones que me hice en verano en una hojita ~~guarra~~ que hacía las veces de chuleta. Lo reconozco, he estado a punto de perderla y/ o tirarla en varias ocasiones y quería redactar esta entrada para poder despreocuparme de que si la tiro o la pierdo.
Reconozco y me da mucho coraje (pero lo hago) mirar 7 veces lo mismo...Miro un tema porque me interesa y/ o me hace falta manejarlo, durante unos días genial "lo tengo fresquito". Al cabo de los días... De no usarlo... Uff! Olvido los parámetros, el orden de los mismos...
Pues a mirarlo otra vez, ahora no encuentras las fuentes que tanto te sirvieron la vez anterior...¡Se acabó!Me hago una chuletilla, miro algún libro, consulto en internet etc y lo pongo por escrito en mi blog. La próxima vez ya sé donde mirar directamente.
Con tcpdump me ha pasado ésto en varias ocasiones, por lo que a continuación describiré unos ejemplos básicos que nos servirán para despegar con tcpdump. En la Red hay multitud de material al respecto, y tcpdump es una herramienta para escribir una biblioteca.
Yo sólo pretendo proporcionar unos ejemplos básicos y a la vez útiles que nos permitirán resolver un porcentaje importante de los problemas a los que nos enfrentaremos, intentando hacer efectivo el principio de Pareto o del 80-20.Resumiéndolo muy mucho viene a decir que el 80% de lo que necesitas saber se encuentra en el 20% que resulta más importante. Ya me estoy yendo por las ramas otra vez.No aprendo.
Tcpdump es un sniffer de red supercompleto por línea de comandos muy útil porque no siempre se dispone de entorno gráfico en el que podríamos usar por ejemplo wireshark. Con él podremos ver los paquetes que viajan por la red/ segmento de red a las que están conectadas las interfaces de la máquina que ejecuta tcpdump y decidamos "escuchar".
Tcpdump proporciona una gran potencia y granularidad, por ejemplo hasta nivel de flags en cabeceras tcp entre otras cosas. Una pasada.
El scope de esta entrada no pretende abarcar tanto aunque dejaré algunos enlaces interesantes para profundizar o mirar algo más concreto algún día.
Empecemos.
Hacer notar que para ejecutar tcpdump es necesario ser/ tener permisos de root.

#tcpdump -D --> Saca una lista con las interfaces disponibles

#tcpdump -i eth0 --> Definimos la interfaz eth0 para "escuchar"

#tcpdump -i eth0 [tcp|udp|icmp] --> Filtra lo que escucha por eth0 por protocolo

#tcpdump -i eth0 not icmp --> Captura el trafico que escucha por eth0 menos el trafico icmp, especificado por not icmp

#tcpdump -i eth0 tcp port 80 --> Captura el tráfico tcp que escucha por eth0 que vaya por el puerto 80. Con port filtramos un puerto

#tcpdump -i eth0 -w captura --> Guarda el tráfico que "escucha" por eth0 en un fichero denominado captura

#tcpdump -r captura --> Lee la captura de tráfico recogida en el fichero captura

#tcpdump src 192.168.1.29 [and|or] dst 192.168.1.105 --> Captura trafico con origen (src) en 192.168.1.29 [and|or] destino (dst) 192.168.1.105

#tcpdump 'src 192.168.1.29 and (dst 192.168.1.105 and icmp)' --> Ojo con las expresiones anidadas, si no les ponemos comillas simples nos arrojarán un error.

#tcpdump ether [src|dst] AA:BB:CC:DD:EE:FF --> Captura el trafico con origen|destino (src|dst) con la MAC (ether) AA:BB:CC:DD:EE:FF

#tcpdump -i eth0 [-v|-vv|-vvv] --> Captura el trafico que llega a eth0 con un nivel de detalle definido por -v,-vv,-vvv cada cual con más detalle

#tcpdump -i eth0 [-n|-nn] --> Captura el tráfico que llega a eth0 pero no resuelve los hostname con -n, o no resuleve ni los hostanames ni los puertos con -nn

#tcpdump -i eth0 -c100 --> Captura 100 paquetes de los que le llegan por la interface eth0 y se para.

#tcpdump -s 0 --> Captura todos los bytes que conformen los paquetes

Con una combinación de todo lo anterior podemos afrontar el filtrado de una gran cantidad de situaciones. Siempre nos quedará #man tcpdump.
Espero que os haya resultado interesante y útil la entradita.
Me encantaría completarla con las aportaciones de vuestros comentarios.
¿Alguien se anima?
¡Vamos!
Bueno...Al menos nos leemos en la próxima entrada ¿no?

Fuentes y enlaces interesantes

https://danielmiessler.com/study/tcpdump/
http://www.hackplayers.com/2013/12/que-deberiamos-saber-sobre-tcpdump-1.html
http://www.hackplayers.com/2013/12/que-deberiamos-saber-sobre-tcpdump-2.html
http://www.hackplayers.com/2014/01/que-deberiamos-saber-sobre-tcpdump-3.html
http://rm-rf.es/tcpdump-ejemplos/

Blacklist y SPF en Zimbra

noreply@blogger.com (José María González Bueno) — Sat, 24 Oct 2015 10:24:00 +0000

¡Hola de nuevo!
Traigo una nueva entrada relacionada con un tema tan extenso como es el del correo electrónico. Vamos a tratar un caso real de envío/recpción de correos fraudulentos relacionados con la suplantación del remitente, llevar a cabo una valoración de las causas que pudieron provocarla, así como unas recomendaciones básicas para evitarlas y contrarestarlas.
También se hará referencia a la creación de una blacklist/whitelist en Zimbra, una introdución a SPF y su activación también en Zimbra.
¿Zimbra?
Zimbra es una suite colaborativa que proporciona servicios de correo electrónico.
Más información podemos obtenerla aquí.

Hace algunos días un amigo me comentó que había sufrido un incidente de seguiridad que aún estaba investigando,posiblemente relacionado con un caso de physing en el que se podría haber visto comprometida su cuenta de correo, o al menos sus contactos.

¿Cómo se dio cuenta?

Detectó que recibía reportes ante la imposibilidad de entregar correos destinados a muchos de sus contactos,recibió correos con nombres parecidos (sospechosos) al de sus contactos en la que la dirección del remitente era la suya y varios de sus compañeros le llamaron para preguntarle acerca de que era ese correo que estaba mandando.
Dicho correo contenía un enlace a una página donde se solicitaban datos que de ser proporcionados serían robados.
Él no había llevado a cabo esos envíos, y dichos correos no se encontraban en su bandeja de enviados. Abrió el correo junto con todas sus cabeceras y pudo observar que los envíos se estaban llevando a cabo desde otro dominio.
Por lo que de alguna manera, habían "secuestrado" sus contactos y habían "spoofeado"/suplantado la dirección del remitente utilizando la suya.
Esta circunstancia es muy peligrosa porque según que usuarios pueden "picar" y proporcionar la información indebidamente pensando que se trataba de un correo legítimo del remitente, pudiendo ser utilizada la información comprometida recabada para futuros usos fraudulentos.Aquí ha entrado en juego la ingeniería social.

¿Cómo pudo verse comprometido su correo y/o sus contactos?

Esta circunstancia pudo ser motivada por:Si se hace uso de servicios de correo electrónica vía web pudo ser provocado por la explotación de alguna vulnerabilidad del navegador, flash, java, acrobat reader o algún complemento del mismo en la que hubieran quedado expuesta la cuenta de correo y/ o sus contactos.

Explotación de alguna vulnerabilidad del sistema operativo, de alguna aplicación de gestión de correo electrónico o de gestión de contactos por parte de algún tipo de malware.

Haber sido presa de alguna app maliciosa de gestión de contactos en su smartphone

Haber sido presa/ victima de algún "artefacto" de ingeniería social.

¿Qué medidas se deben tomar en estas situaciones?

La primera y más urgente cambiar la contraseña de la cuenta de correo.

Revisar las versiones del navegador, flash, java, Acrobat Reader, etc y llevar a cabo las actualizaciones necesarias.

Actualizar el sistema operativo y las aplicaciones instaladas, prestando especial atención a las relacionadas con la gestión de correos y/ o contactos.

Revisar las apps del smartphone en busca de alguna sospechosa haciendo especial hincapié en las relacionas con la gestión de correos y/ o contactos.

Hacer uso de algún sistema antivirus/antimalware.

Además de las precauciones básicas a la hora de navegar, instalación de aplicaciones, etc, incrementar el nivel de atención a la hora de fiarnos de los correos que recibimos, no sólo del nombre mostrado sino también prestar atención a la dirección desde la que se manda el correo. En caso de duda eliminarlo y por supuesto no abrir ninguna url que éstos pudieran contener.

Medidas técnicas

La seguridad en un servidor de correo es un tema muy interesante y extenso que se escapa del objeto de esta entrada, aunque no descarto dedicarle una en el futuro. En esta entrada sólo daremos "dos pinceladas".

Activar Sender Policy Framework (SPF) es un sistema de validación de correos electrónicos basado en la comprobación de que el remitente efectivamente tiene permiso para enviar correos con el dominio desde el que lo hace mediante la verificación de la dirección IP del remitente con un servidor DNS.

La siguiente imagen muestra de forma gráfica como funciona.

Esto permite prevenir el "spoofeado"/ suplantación de los remitentes, ayudando a reducir el correo spam.
Es muy importante configurar bien SPF de lo contrario se puede sufrir problemas con el envío de correos.

Por otra parte, podemos querer crear una blacklist para evitar recibir correos desde un dominio, una determinada cuenta de correo a nuestro servidor zimbra.

Creación de blacklist en Zimbra

A continuación se expone como elaborar una blacklist en Zimbra. Por ejemplo si sufrieramos la oleada de correo con el remitente suplantado que sufrió nuestro amigo, mientras que estudiamos como activar SPF, etc y proteger las cuentas de nuestro correo de dichos envíos podríamos empezar por crear una blacklist.
Para crear una balcklist/whitelist en Zimbra, (nosotros nos quedaremos con la blacklist como medida de contención) usaremos un parámetro de de configuración de Amavis llamado read_hash(). Amavis es un filtro de contenido opensource para correo electrónico, y con read_hash() le diremos a Amavis donde debe ir a buscar los ficheros de configuración relacionados con las blacklist/whitelist. EL proceso podríamos definirlo como:

Creamos fichero que contendrá los dominios o correo que formarán parte de la blacklist, con permisos 664 así como propietario y grupo zimbra:zimbra.El fichero lo podemos crear donde queramos, yo recomiendo alguna ubicación relacionada con Zimbra para tenerlo todo "recogidito".Por ejemplo en /opt/zimbra

Supongamos que estamos en /opt/zimbra con vuestro editor de ficheros favoritos vi, nano creamos un fichero que se llame por ejemplo blacklist (imaginación al poder) y dentro pondremos los dominios y/o cuentas de correos de los que queramos evitar recibir correos.
Damos los permisos 664 con #chmod 664 blacklist y establecemos propietario y grupo al fichero #chown zimbra:zimbra blacklist

El siguiente paso es configurar Amavis con read_hash() para decirle como se llama y donde está el fichero de blacklist que tiene que tener en cuenta, en este ejemplo en /opt/zimbra/blacklist.Para ello tenemos que editar /opt/zimbra/conf/amavisd.conf.in. Justo debajo de la línea que dice #ENVELOPE SENDER SOFT-WHITELISTING/ SOFT-BLACKLISTING añadiremos la siguiente línea read_hash(\%blacklist_sender, '/opt/zimbra/blacklist'); el segundo parámetro alberga la ubicación del fichero blacklist si se ha creado en otra ubicación, habrá que poner ahí dicha ubicación.Guardamos el fichero.
Con el usuario zimbra, cambiamos a el con #su zimbra reiniciamos Amavis y la mta para ello respectivamente haremos #zmamavisdctl restart y #zmmtactl restart

A partir de ahora si hacemos el intento de mandar un correo con esa cuenta y hacemos cat /var/log/mail.log y filtramos con grep el correo/dominio que hayamos incluido en la blacklist, aparecerá como BloquedSPAM.
Sólo decir que si en vez de una blacklist queremos hacer una whitelist es lo mismo, crearemos un fichero whitelist con los mismos permisos,propietario y grupo que el del ejemplo y en amavisd.conf.in pondremos en el mismo sitio que blacklist read_hash(\%whitelist_sender, '/opt/zimbra/whitelist');

Activación SPF

Para hacer referencia a SPF y su activación en Zimbra voy a enlazar a una entrada de MFCP blog http://blog.kvs-solutions.com/?p=940. Ahí aparece descrito superclaro.¿Reinventar la rueda?No, gracias.

Conclusiones

¿Con estas medidas se solucionaría el problema de nuestro amigo?
Se solucionaría sólo el problema relacionado con la recepción de correos enviados en su nombre hacia los contactos de su dominio, para los demás contactos si sus correspondientes servidores de correos no tienen implementados SPF si los recibirán, ya que los envíos pueden seguir sucediéndose exponiédolos a los correos maliciosos.
Entonces,¿las blacklist y SPF sirven para lo mismo? No. Las blacklist "cortarán" la recepción de los correos desde determinados dominios o cuentas de correos concretas pero no implementa mecanismo alguno de comprobación de remitentes.SPF sólo impedirá que se reciban correos desde servidores que no tienen permisos para enviar correos de determinados dominios por desgracia algo muy común, con la consiguiente disminución de correos no deseados.

Espero que os haya resultado útil.
Nos leemeos en la próxima entrada.

Fuentes

https://linuxyotrascosas.wordpress.com/2013/01/17/crear-blacklist-en-zimbra/

http://soporte.itlinux.cl/hc/es/articles/200120578-Whitelists-y-Blacklist-globales

http://blog.kvs-solutions.com/?p=940

Creación y restauración de backups en Proxmox

noreply@blogger.com (José María González Bueno) — Sat, 26 Sep 2015 15:05:00 +0000

Hola de nuevo,esta entrada voy a dedicarla a una cuestión básica pero importante relacionada con creación y restauración de backups en Proxmox. ¿Qué es Proxmox? Dediqué una entrada a hablar de esta tecnología en http://uninformaticoenisbilya.blogspot.com.es/2015/05/virtualizacion-low-cost-con-proxmox-ve.html, venga anda te dejo que te la leas y seguimos.
El proceso de creación y restauración de máquinas virtuales en Proxmox es trivial pero nunca me acuerdo de como hacerlo...Ni de manera gráfica, ni de los parámetros para hacerlo desde la consola.Vamos un desastre...¿Nunca te ha sucedido? A mí continuamente de ahí que le quiera dedicar una entrada en este blog.
La versión de Proxmox que usaré para ilustrar el proceso será la 3.3-1.

Creación de backups de nuestras máquinas virtuales

Al grano que empiezo a divagar, sí, tenemos dos formas de crear y restaurar un backup de nuestras máquinas virtuales en Proxmox. Una a través de su interfaz web o a través de la consola mediante línea de comandos. Las dos funcionan bien, quizá como casi siempre, a través de la línea de comandos tienes más versatilidad. Yo suelo hacer uso de la línea de comandos, ya que me gusta saber cómo funcionan las cosas "por dentro".
Antes que nada me gustaría hacer referencia al concepto de "storage" como lugar de almacenamiento, el cual puede ser un disco local, un sistema de almacenamiento compartido por red con NFS o con una SAN por iSCSI. Si queremos profundizar en este concepto podemos visitar https://pve.proxmox.com/wiki/Storage_Model
Vamos a suponer que tenemos un pendrive, u otro disco adicional de donde está instalado Proxmox que queremos convertir en un staorage para , por ejemplo guardar nuestros backups seguiremos los siguientes pasos:

Vemos que dispositivos tenemos conectados con #fdisk -l
Supongamos que tenemos un pendrive por ejemplo etiquetado como sdb con una partición sdb1 en /dev/sdb1 que queremos montar por ejemplo en /tmp.
#mount /dev/sdb1 /tmp
En este momento tenemos montado el pendrive en /tmp en el árbol de directorios de la máquina donde tenemos instalado Proxmox pero aún no es un storage.
Entramos en la interface web de Proxmox, y hacemos clic en el padre (Datacenter) del árbol jerárquico que está a la izquierda, en el panel que aparecerá a la derecha hacemos clic en la pestaña Storage, a continuación haremos clic en Add y aparecerá una pantalla con diferentes opciones a la hora de crear un storage, por ejemplo por NFS, en un directorio, etc. En nuestro caso, vamos a seleccionar Directory y estableceremos /tmp que es el directorio donde teníamos montado el pendrive así como un storage de backup. Una cuestión importante como en todo sistema Gnu/Linux si queremos que el pendrive se monte siempre que se inicie el sistema tendremos que añadirlo en /etc/fstab o si en vez de un pendrive fuera otro disco. ¿Por qué digo ésto? Porque el storage se quedará creado independientemente de si los dispositivos están montados en el directorio o no. De hecho a mí me pasó, monte un disco, olvidé meterlo en /etc/fstab creeé el storage,trabajé con él, reincié y cuando quise ver el contenido del storage no había nada. No había nada porque en el directorio donde apunta el storage estaba vacío, en el momento que monté ahí el disco ya pude ver su contenido (y respiré...)

Una vez que ya sabemos montar un dispositivo y crear un storage por si queremos usarlo, llega el momento de crear un backup.

Creación de backups en Proxmox de forma gráfica

Desde la vista Server View, seleccionamos del árbol jeráquico la máquina de la cual queramos hacer el backup
De la ventana de la derecha seleccionaremos la pestaña Backup.
Aparecerán backups anteriores si los hubiera, a continuación sólo tenemos que hacer click en Backup now.
A continuación aparecerá una pantalla donde seleccionaremos algunas opciones para hacer el backup como el modo y tipo de compresión. Un poco más adelante en este artículo hago referencia a los diferentes modos y tipos de compresión de los backups.

La imagen que se muestra a continuación muestra la pantalla con las opciones de creación del backup.

Creación de backups a través de líneas de comandos

Por consola a través de líneas de comandos no es mucho más difícil, aunque aquí nos centraremos sólo en los parámetros más comunes y prácticos bajo mi humilde punto de vista.
Para ello usaremos un "programita" que se llama vzdump, si quieres conocer todos los detalles puedes usar su manual con #man vzdump.
En /etc/vzdump.conf podemos configurar los parámetros por defecto. Los parámetros principales
son:
--storage Especifica el storage donde se guardará el backup
--mode (stop|suspend|snapshot) donde a grandes rasgos:

stop Con stop la máquina se para durante el proceso de backup
suspend

Con máquinas virtuales openvz se hace uso de rsync para copiar la máquina virtual a un directorio temporal, a continuación la máquina es suspendida,un segundo rsync copia los ficheros y se reanuda el funcionamiento de la máquina.

Con máquinas qemu y kvm el funcionamiento es similar a stop pero suspendiendo/reanudando las máquinas en vez de pararla e iniciarla.

snapshot Hace uso de LVM para llevarlo a cabo. No se necesita parar la máquina pero se necesita espacio adicional para la creación del LVM.

--compress (0|1|gzip|lzo) Comprime el backup, por defecto es lzo y 1 es igual que lzo
--dumpdir directorio Establece el directorio donde se guardará el backup creado
--maxfiles 1-N Establece el número máximo de backups que puede almacenar de la misma máquina, por defecto es 1.De manera que si por ejemplo hubieramos puesto --maxfiles 2 y ya hubiera dos backups en el directorio, borraría el más antiguo haciendo que quearan dos backups.

Ejemplos:

#vzdump 102 --storage backups --mode snapshot --maxfiles 2 ->Por defecto la compresión es 1=lzo
#vzdump 110 --mode stop --compress gzip --dumpdir /tmp ->Si especificamos un directorio no debemos usar el argumento --storage de lo contrario lo guardará en el storage y no en el directorio especificado.

Tablas comparativa relacionada con el modo de backups y tipos de compresión

Cómo quería comparar cuanto tiempo tardan en hacerse los backups en función de sus diferentes modos considerando las particularidades de funcionamiento de cada uno de ellos me pareció interesante llevar a cabo unas tablas comparativas.

Los resultados se obtuvieron ejecutando vzdump sobre una máquina virtual de 646 Mb de peso, sobre un storage denominado backups que estaba montado en /tmp y era un pendrive.

Modo suspend

Se ejecutó #vzdump 102 --storage backups --mode suspend --compress [0|1|lzo|gzip] cambiando los correspondientes parámetros de compress y se obtuvieron los siguientes resultados:

Modo stop

Se ejecutó #vzdump 102 --storage backups --mode stop --compress [0|1|lzo|gzip] cambiando los correspondientes parámetros de compress y se obtuvieron los siguientes resultados:

Modo snapshot

Se ejecutó #vzdump 102 --storage backups --mode snapshot --compress [0|1|lzo|gzip] cambiando los correspondientes parámetros de compress y se obtuvieron los siguientes resultados:

Como podemos ver en los resultados de las ejecucuiones no hay apenas diferencias entre los tiempos entre los diferentes modos, aunque como se describió con anterioridad sí en su forma de funcionar. Entre los tipos de compresión el más rápido es lzo aunque el que mayor grado de compresión proporciona es gzip. Por lo tanto a igualdad de condiciones si se dispone de espacio suficiente para poder ejecutar el backup en modo snapshot dado que no es necesario parar la máquina para llevarla acabo se postula como la mejor opción. Entre gzip y lzo tendremos que escoger entre la velocidad de ejecución y el grado de compresión. El grado de compresión influye directamente en el tamaño del backup y la diferencia de tiempo tampoco es importante, por lo que para aprovechar mejor los recursos de almacenamiento yo me decantaría por la opción gzip.

Programación de copias

Por otra parte gráficamente también tenemos la posibilidad de crear una plantilla/horario de backups donde podemos configurar los días, las horas, el tipo de backups etc para ello:

Nos vamos a la raiz del arbol de directorios que tenemos a la izquierda
Hacemos clic en Backup
Add
Seleccionamos los parámetros
Create

La siguiente imagen ilustra un poquito las opciones de creación del backup.

Por la línea de comandos también lo podríamos hacer con una tarea en crontab etc.

Restauración de un backup de una máquina virtual

Si la creación de backups es importante también lo es por ende la restauración del mismo. En este caso también podremos llevar a cabo la restauración a través de la interfaz web que nos proporciona Proxmox o vía línea de comandos.
En cualquier caso recordar que si los backups están en discos o unidades extraíbles es necesario montarlas con anterioridad en el sistema de ficheros de Proxmox, crear el storage tipo backups para que a partir de ellas restaurar los backups, tal y como describimos al comienzo del artículo.

Restauración a través de la GUI de Proxmox

Seleccionamos del arbol jerárquico que tenemos a la izquierda la vista Storage View, ahí seleccionaremos el storage donde se encuentran los backups.
Seleccionamos la pestaña Content
Aparecerán listados los ficheros de backups disponibles de entre los que escogeremos el backup que queramos restaurar
Seleccionamos Restore
Ahora seleccionaremos el storage de destino y el vm id, ojo con esto del storage que si seleccionamos un storage con espacio limitado nos arrojará un error y no se restaurará el backup y hacemos clic en Restore.
Comenzará el proceso de restauración que tardará en función del tamaño de la máquina a restaurar.

A continuación se muestra una imagen de ejemplo con la situación de los principales objetos mencionados. Tened en cuenta que para mí, el storage donde se alojan los backups se llama backups (en un alarde de imaginación), en vuestro caso se llamará como se llame el storage donde tengáis alojado el backup. Además para mí el storage destino se llama local, el vuestro se llamará como se llame vuestro storage destino.

Restauración a través de la línea de comandos

A través de la línea de comandos tenemos dos aplicaciones, vzrestore para vm openVz y qmrestore para vm KVM.
La estructura es similar en ambas aplicaciones.
Nos situamos en el directorio donde se encuentren los ficheros de backups

#vzrestore [--storage storage_name] archivo vmid
#qmrestore [--storage storage_name] archivo vmid

Ejemplos

#vzrestore --storage local vzdump-openvz-110-2015_09_08-18_43_39.tar.gz 110
#qmrestore --storage local vzdump-qemu-111-2015_09_08-18_43_39.tar.gz 111

Sin más y esperando que esta entrada sea de utilidad, ¡nos leemos en la próxima!

Un saludo.

Conceptos básicos de Seguridad de la Información

noreply@blogger.com (José María González Bueno) — Thu, 27 Aug 2015 11:42:00 +0000

¿Hola? ¿Alguien me lee? Si te gusta esta o cualquier entrada de este blog, quieres dar tu visión de la temática o quieres quitarme la incertidumbre de que alguien me lee puedes dejar un comentario.

Llevaba tiempo sin escribir y no quería terminar mis vacaciones sin hacerlo, tengo un borrador a medias de una instalación básica de Drupal en Docker, que tras experimentar no llevé a cabo directamente y tengo las anotaciones por ahí…

A lo que iba, tenía ganas de recopilar información para generar en cierto modo algún tipo de documentación en lo que a la introducción a la seguridad de la información se refiere, que después podamos usar en nuestras labores de concienciación, charlas, etc.

Esta entrada está basada en gran parte, en la información recibida en el Master en Seguridad en Tecnologías de la Información y las Comunicaciones que cursé durante el curso pasado a través del Centro de Formación Permanente de la Universidad de Sevilla, así como en información recabada y “masticada” por mí.

¿Qué es la Seguridad?

No, no es el de la garita… Es típico plantearse para explicar algo de manera sencilla preguntarse: ¿Cómo se lo explico a mi abuela?

Vayamos por partes. La información de las organizaciones es muy importante para el desarrollo de sus actividades productivas y por consiguiente para su buen funcionamiento. Tanto es así que es considerada un activo para las mismas, y como tal hay que protegerlo garantizando su confidencialidad, autenticidad, disponibilidad e integridad.

Hay que tener en cuenta varias consideraciones al respecto de la información:

1. La información se encuentra en múltiples formatos y soportes. No es sólo la información contenida en una BBDD. Puede tratarse de información en soporte digital o físico, incluso podríamos estar recibiendo información vía conversación. “La información es el objeto de mayor valor en una organización y por ello su salvaguarda debe ser una prioridad, independientemente del lugar en donde se encuentre registrada, y de la naturaleza del medio que lo soporte, electrónico o físico"[1].

Precauciones

“No dejar solos” los soportes/ dispositivos al alcance de terceros donde se encuentra la información.Por ejemplo, se dan casos en que personas que viajan en tren mientras trabajaban en sus cosas, dejan el portátil solo mientras van al servicio sin ni siquiera bloquear la sesión, o vamos a algún sitio y nos encontramos “papeles indefensos” al alcance/ vista de curiosos.

Tener cuidado de lo que se habla de la información que manejamos. No es raro escuchar en trenes, bares, pasillos conversaciones de ejecutivos, personas con responsabilidad, etc tratando información sensible.

No mostrar la pantalla de nuestros dispositivos con información sensible a nadie. ¿Nunca os ha pasado que habéis ido a algún organismo y la persona que está allí te ha dicho: mira como puedes ver en el programa me sale…?

2. La información tiene su ciclo de vida: creación, distribución, uso, mantenimiento y destrucción. No sólo tenemos que securizar el acceso, tendremos que asegurar todo el ciclo de vida. Al tratarse de un ciclo, la seguridad de dicho ciclo será tan segura como lo sea la fase donde sus medidas de seguridad sean más débiles.

Precauciones

Tomar especial cuidado cuando la información se mueva sea dentro o fuera de la organización ya sea en soporte digital o en soporte físico. Especialmente si sale y en el ciclo de vida intervienen terceros. La información digital debe viajar cifrada, y para la física deben implementarse medidas de seguridad adicionales. No es extraño ver a mensajeros transportando información sensible entre organizaciones, algunos en moto, ¿y si el mensajero sufre un accidente? ¿Y si le roban? La información se puede poner en riesgo.

La destrucción es una fase clave. Cuidado con los dispositivos o “papeles” que albergan la información, en cómo la destruimos y dónde “la tiramos”. Las organizaciones deberían implementar protocolos de destrucción de información proporcionando por ejemplo, destructoras de documentos y cuidando que los dispositivos que van a dejar de ser útiles son formateados a bajo nivel y/ o destruidos convenientemente.

Las impresoras. Existen lugares en los que las impresoras compartidas en red se encuentran en ubicaciones desafortunadas ya que la documentación generada queda expuesta a todo “el que pasa por allí”.

(Abuela)-Vale José Mari muy bien, todo muy bonito pero aun no sé qué es la Seguridad de la Información

Podemos definir la seguridad de la información como:

“La protección de la información frente a las distintas amenazas con el fin de garantizar el buen funcionamiento de la organización”

Dicha protección se alcanza atacando las dimensiones de la seguridad, para nosotros:

Autenticidad + Confidencialidad + Integridad + Disponibilidad

Autenticidad: Capacidad de asegurar que el emisor de un mensaje es quien dice ser y no un tercero que esté intentando suplantarlo.

Confidencialidad: Propiedad por la que la información no se pone a disposición o se revela a individuos, entidades o procesos no autorizados.

Disponibilidad: La propiedad de ser accesible y utilizable por una entidad autorizada.

Integridad: La propiedad de salvaguardar la exactitud y completitud de los activos.

Me gusta representar la seguridad como una mesa y cada una de las dimensiones de la seguridad como cada una de las patas, el dibujo no es gran cosa pero sí ilustrativo.

La tecnología es muy cambiante y evoluciona a un gran ritmo, y este hecho influye directamente sobre la Seguridad de la Información, ya que tanto la forma de trabajar como la ciberdelincuencia evolucionan en la medida en la que lo hace la tecnología.

Como se ha descrito anteriormente hay que tener en cuenta que la forma de trabajar en las organizaciones cambia en la medida que la tecnología evoluciona, aunque si es verdad que se produce el efecto denominado consumerización. La consumerización se define como el efecto en el que las nuevas tecnologías llegan antes a las personas de a pie (consumidores) que a las empresas.

Hoy en día existe una tendencia relacionada con el cómo y dónde se trabajará, exigiendo flexibilidad a las organizaciones con las consiguientes repercusiones sobre la seguridad de la información.

Podríamos hacer una primera división relacionados con estos cambios en la forma de trabajar entre trabajos en movilidad y servicios ofrecidos en la nube.

El trabajo en movilidad motivado por la conciliación de la vida laboral y familiar, ubicaciones cambiantes de los empleados, etc tiene necesidades como:

Necesidad de acceso remoto a sistemas corporativos desde redes públicas

Uso masivo de portátiles, smartphones y tablets

Itinerancia entre sedes de la misma organizacion

Redes WiFi de invitados para visitantes

El trabajo en movilidad tiene asociados una serie de riesgos:

Pérdida o robos de terminales móviles

Acceso a través de redes WiFi públicas

Uso personal y profesional de los equipos: BYOD (Bring Your Own Device)

Menor control por parte de los Departamentos de TI

Aumento del malware para SO móviles

Algunos enlaces relacionados:

http://www.20minutos.es/noticia/1541193/0/ministro-interior/perdio-ipad/datos-eta/

http://www.elconfidencial.com/espana/2012-11-06/los-diputados-han-perdido-o-roto-tantos-ipads-en-menos-de-un-ano-que-ya-no-hay-recambios_215060/

Por otro lado, los Servicios en la nube están relacionados con:

Servicios corporativos de cloud computing (SaaS ejemplo gmail, PaaS ejemplo hosting, IaaS ejemplo CPD externo)

Uso profesional de redes sociales, consignas, intercambio de archivos, herramientas colaborativas, etc. Ejemplo: Uso de Dropbox, Box, We transfer…

Algunos de los riesgos asociados a los Servicios en la nube son:

Creciente interés de los ciberdelincuentes por los proveedores de servicios en la nube.

Incumplimientos normativos y falta de aislamiento de los datos respecto a los de otros clientes.

Enlaces maliciosos e ingeniería social en redes sociales (Facebook,Twitter,etc)

Falta de control en el acceso a los datos por terceros.¿Podemos estar seguros por ejemplo que la información que subimos a Dropbox no es accesible por nadie más?

Otra cosa que evoluciona en la medida en la que lo hace la tecnología es la ciberdelincuencia. Ya no es sólo que hay mucha “~~gente aburrida que sabe mucho con ganas de dar por culo~~”, es que la ciberdelincuencia es una industria profesionalizada y rentable que mueve muchos millones de euros al año, con motivaciones ya no sólo económicas sino también estratégicas y político-sociales. Para muestra un botón, http://www.abc.es/tecnologia/redes/20150220/abci-ciberdelincuencia-cibercrimen-espana-barometro-201502201650.html

Por otra parte se está experimentando una mayor especialización de los ataques, a destacar:

Aprovechamiento de vulnerabilidades 0 day y amenazas avanzadas persistenctes (APTs, que son código malicioso diseñado para un determinado objetivo)
Ataques esponsorizados por Estados dirigidos al sabotaje y el ciberespionaje

Algunos ejemplos:

http://www.elmundo.es/elmundo/2012/06/20/navegante/1340173299.html

http://www.20minutos.es/noticia/1960151/0/espionaje-eeuu/espana-interceptadas/llamadas-telefono/

http://www.eldiario.es/turing/vigilancia_y_privacidad/NSA-programas-vigilancia-desvelados-Snowden_0_240426730.html

¿Cómo se consigue la seguridad?

“Si crees que la tecnología resolverá todos tus problemas, no entiendes nada de problemas y no entiendes nada de tecnología.”Bruce Schneier.

Las personas son el elemento clave de la seguridad, no la tecnología.

Una tecnología por muy buena que sea si no es bien usada por las personas no proporcionará buenos niveles de seguridad. Por ejemplo, para no echar la culpa a los usuarios no técnicos, si una web está mal diseñada y/ o mal implementada por la persona encargada para ello por muy buena que sea la tecnología, dicha web puede sufrir graves problemas de seguridad.

Otro ejemplo puede referirse a los diferentes métodos de autenticación que por muy robustos que estos sean si los usuarios dejan sus credenciales escritas en post-it sobre la mesa, en lugares accesibles, etc para nada sirven.

Por ello, de la misma forma en que una cadena es tan fuerte como lo sea su eslabón más débil, en seguridad de la información el eslabón más débil son las personas.

La información se protege mediante buenas prácticas en las actividades diarias de la organización.

La seguridad es un medio para que la empresa funcione por lo que debe alinearse con lo que marque la dirección, no un fin en si misma.

La seguridad no debe ser una carga para la organización

Las actuaciones en seguridad han de ser proporcionales y eficientes en costes

La seguridad debe ser parte integrante de las tareas de la organización.

Hay que alcanzar una solución de compromiso por parte de toda la organización, no sólo por la dirección y los correspondientes departamentos de TI.

¿Es rentable invertir en Seguridad de la Información?

Para responder esta pregunta podríamos apoyarnos en multitud de datos e información que podemos encontrar en la red. Desde aquí no entraremos en detalles sino que mencionaremos de manera general que desde el punto de vista económico, los incidentes de seguridad cuestan dinero (multas por incumplimiento de normativas, desprestigio de la organización, etc) por lo que en la medida en la que desciendan las incidencias descenderán ciertos gastos, se verá beneficiada la imagen de la empresa, y como resultado la empresa al completo con sus correspondientes beneficios.

Resumiendo, un alto nivel en seguridad de la información no sólo depende de las inversiones en tecnología, sino principalmente de las inversiones en formación, concienciación y creación de una cultura de empresa comprometida con la Seguridad de la Información.

Espero no haber sido demasiado aburrido ;p
¡Nos leemos en la próxima entrada!

Referencia

[1]Sociedad española de informática de la salud, Fundamentos de Seguridad de la Información. Seguridad
de la información en entornos sanitarios., 2008.

Primera aproximación a Docker

noreply@blogger.com (José María González Bueno) — Thu, 25 Jun 2015 17:37:00 +0000

Introducción

Esta entrada del Blog voy a dedicarla a una tecnología que emergió en Marzo de 2013, Docker. Desde aquí sólo quiero proponer una primera aproximación a la tecnología y explicar un poco con mis palabras sus fundamentos y proporcionar una visión general, así como una serie de enlaces a recursos. Dichos recursos nos servirán para poco a poco conocer y profundizar más en la tecnología.

La implementación y gestión de la infraestructura de red y cuestiones relacionadas con la seguridad las dejaré para futuras entradas.

¡Así que vamos al turrón!

¿Docker?¿Qué es Docker?

Docker es un proyecto open source que permite empaquetar en contenedores virtuales sistemas funcionales que “corren” sobre el kernel del sistema anfitrión, facilitando el despliegue de aplicaciones.

Docker se instala sobre el sistema anfitrión introduciendo una capa de abstracción, y aunque es multiplataforma y se puede instalar en Gnu/Linux, MS-Windows y Mac OS X los sistemas que puede “dockerizar” son únicamente sistemas Gnu/Linux.

No es un sistema de virtualización completo como el que proporciona KVM, es una especie de virtualización a nivel de sistema operativo en la que los contenedores interactúan con los recursos del sistema anfitrión.

Las instancias de los contenedores se ejecutan como procesos aislados proporcionando a dichos procesos independencia a nivel de:

Sistema de ficheros
Usuarios
Recursos como CPU, RAM, etc
Librerías

Los recursos destinados a dichas instancias pueden limitarse, por todo ello Docker proporciona un gran nivel de rendimiento y aprovechamiento de recursos.

Hay que aclarar que aunque Docker se ejecuta directamente sobre el kernel del sistema anfitrión e interactúe directamente con él, puede levantar instancias con sabores de Gnu/ Linux diferentes al del sistema Gnu/ Linux anfitrión. No olvidemos que Docker también corre sobre sistemas con Mac OS X y MS Windows.

En la imagen anterior podemos observar las diferencias entre las arquitecturas propuestas por una máquina virtual con virtualización completa y Docker. Mientras que la vm tiene que virtualizar todo un so completo, con todas las dependencias para cada una de las vm que aloja el sistema anfitrión, Docker sólo “virtualiza” lo estrictamente necesario para poder desplegar el sistema dockerizado. Todo lo que los contenedores puedan tomar/ compartir del kernel es compartido.

Conceptos básicos para entender Docker

Para entender Docker es necesario tener claro algunos conceptos como:

Contenedor: es un “artefacto” que se ve como un subconjunto de directorios dentro del árbol de directorios del sistema que encapsula un sistema operativo junto con todos los recursos, librerías y servicios para que una aplicación pueda ejecutarse.

Imágenes: son plantillas de contenedores, a partir de las cuales se crearán contenedores.

Repositorio: almacén de imágenes. Algunos son públicos y otros privados, los hay gratuitos y los hay “de pago” donde se ofrecen imágenes con multitud de servicios.

¿Cómo funciona Docker?

Docker está conformado por Docker Engine y Docker Hub. Docker Engine o simplemente Docker es el encargado de la gestión/ administración de las instancias de los contenedores. Será el encargado de la creación, eliminación, iniciar y detener los contenedores. Docker Engine se despliega sobre el sistema operativo anfitrión.

Por otro lado, Docker Hub es un recurso centralizado para trabajar con Docker y sus componentes. Algunos de sus servicios ofrecidos son:

Almacenamiento de imágenes
Autenticación de usuarios

Como ya se ha hecho mención anteriormente Docker lo que hace es empaquetar en un contenedor una aplicación junto con todas las librerías, dependencias, etc que necesita para desplegar compartiendo el kernel del sistema anfitrión con otros contenedores si los hubiera. Dichos contendores corren como procesos aislados en el sistema anfitrión.

Para conseguir el aislamiento entre contenedores Docker se basa en LXC (Linux Container). LXC es un sistema de virtualización ligero a nivel de sistema operativo (como lo es también OpenVZ) que permite la creación de múltiples instancias/ contenedores, cada uno de ellos aislados, invisibles, impermeables e inaccesibles para los demás contenedores. A su vez LXC hace uso de algunas características del kernel de Gnu/ Linux de ahí que exija para correr al menos la versión 3.10, a saber:

Cgroups: es una característica del kernel de Gnu/ Linux que limita, registra e independiza el uso de recursos (CPU, memoria, red, etc) de un conjunto de procesos.

Namespaces: es un mecanismo de seguridad que aísla los contenedores para que éstos no puedan ver y afectar a otros contenedores.

¿Qué aporta Docker?

Algunos de los beneficios que proporciona Docker son:

Portabilidad: podemos desplegar el contenedor en cualquier sistema que soporte Docker.

Sistema liviano: ya que no virtualiza un sistema completo sino sólo lo indispensable según las funcionalidades que queramos encapsular en el contenedor.

Multiplataforma: puede instalarse en Gnu/ Linux, Mac OS X y MS Windows

Escalabilidad: podemos desplegar más contenedores que permitan satisfacer las necesidades de los servicios que se ofrecen.

Facilidad de despliegue de contenedores, permitiendo crear diferentes entornos aislados (pruebas de código, software, actualizaciones, etc).

Fiabilidad

Rendimiento y aprovechamiento de recursos: dada la baja penalización en rendimiento que suponen los contenedores.

Espero al menos haberme acercado al objetivo de proporcionar una visión general de Docker, de qué hace, cómo lo hace y en qué se basa para hacerlo.

¿Qué os parece? Ni que decir tiene que podemos comentar este tema y así completar el material expuesto.

Nos leemos en la próxima entrada, ahora os dejo una serie de enlaces a recursos.

https://docs.docker.com/userguide/

https://www.nessys.es/docker/

http://codehero.co/como-instalar-y-usar-docker/

http://docker-ee.blogspot.com.es/

http://koldohernandez.com/instalacion-y-primeros-pasos-con-docker/

https://openwebinars.net/docker-contenedores-de-aplicaciones-el-futuro-de-la-distribucion-de-aplicaciones/

https://openwebinars.net/docker-que-es-sus-principales-caracteristicas/

https://www.youtube.com/watch?v=UjlNWCQgpF0

https://www.youtube.com/watch?v=e6B_Y_tGFDE

¿Ransomware? Directrices generales sobre Seguridad de la Información

noreply@blogger.com (José María González Bueno) — Sat, 30 May 2015 16:27:00 +0000

Introducción

De un tiempo a esta parte es común que aparezcan noticias de oleadas de infecciones masivas a cargo de un tipo de malware denominado ransomware en pcs con MS Windows. De ahí que pensé que sería una entrada interesante del blog, donde exponer un poquito el tema. Además quiero aprovechar e intentar dar unas directrices generales y útiles relacionadas con la seguridad de la información para la mayoría de los usuarios independientemente de la plataforma que utilicen. Por otra parte, las medidas preventivas concretas relacionadas con el ransomware estarán relacionadas con la plataforma MS Windows.

Ransomware

Ransomware es un tipo de malware que tiene como finalidad “secuestrar” impidiendo el acceso/ cifrando ficheros contenidos en discos duros y unidades compartidas de Red a las que el usuario infectado tenga acceso y permisos de escritura.

El nivel de robustez de los algoritmos usados por este tipo de malware ha ido “in crescendo”, de la misma forma que los diferentes tipos y versiones de ransomware. Los algoritmos usados actualmente usan algoritmos de cifrado muy robustos minimizando las posibilidades de descifrar los ficheros infectados. Aun así no está todo perdido, hay en la Red algunos kits de descifrado de ransomware que con un poco de suerte pueden sacarnos de algún apuro.

Una característica de este tipo de malware es la solicitud del pago de un “rescate” para poder descifrar el contenido de los ficheros infectados fraguándose alrededor de este tipo de malware un auténtico negocio.
Ejemplos de este tipo de malware son los conocidos:

-Virus de la policía
-Cryptolocker
-Teslalocker
-CBL-locker

¿Cómo se lleva a cabo la infección?

Los modos de infección son variados, pero los más comunes están relacionados:

Con la recepción de correos fraudulentos, que pueden albergar:

o Adjuntos que contienen el malware

o Urls desde las que se descarga/ ejecuta el malware explotando alguna vulnerabilidad del navegador, de algún plugin/complemento, flash, java, etc

o Ej: Correo electrónico suplantando a Correos para que recojas un paquete

Navegando por Internet a través de páginas desde las que se descarga/ ejecuta el malware explotando alguna vulnerabilidad del navegador, de algún plugin/complemento, flash, java, etc.

¿Cómo detecto que estoy infectado?

La forma de detectar que estamos infectados por este tipo de malware dependerá del malware en sí. Algunas versiones de CBL-Locker cambian el fondo de escritorio por uno en el que aparecen instrucciones a seguir para la recuperación de los ficheros infectados. Otros de los indicios que considero más llamativo es la desaparición de archivos con extensiones .doc .docx, .xls, .xlsx, .txt, etc y la aparición de otros con extensiones poco comunes que nos deben hacer pensar que algo está pasando en la máquina.

¿Qué debo hacer si detecto que estoy infectado por algún tipo de malware ransomware?

Lo primero, como en todas las circunstancias que nos pueden resultar excepcionales mantener la calma. Inmediatamente desconectar la máquina de la red para evitar que el malware infecte recursos compartidos en la red.

Lo siguiente será “correr” un antimalware, por ejemplo Malwarebytes Anti-malware, el cual a mí personalmente me ha servido para desinfectar equipos que se habían visto afectados por este tipo de malware.

En este punto me gustaría pararme, y resaltar una cuestión. Según el tipo de malware, éste puede borrar el fichero original dejándonos sólo el cifrado. Si una vez infectados tenemos que instalar por ejemplo un antimalware, es posible que estemos machacando “por debajo” la información borrada cerrándonos la posibilidad de poder recuperar posteriormente dicha información borrada con alguna herramienta diseñada para tal efecto. En este caso una vez más se cumple aquello de “es mejor prevenir que curar”.

Una vez pasado el antimalware, si éste no ha afectado el MBR una vez reiniciado el equipo tendremos el equipo desinfectado, pero la información seguirá cifrada. Eso es harina de otro costal.

¿Con la información cifrada qué hago?

Ahora es el momento de enfrentarnos al problema de la información cifrada. PAGAR el rescate NO ES UNA OPCIÓN. Primero porque no garantiza que recuperes la información, segundo porque estaríamos haciendo rentable este negocio del malware financiando estos proyectos.

Gran parte de las opciones que tendremos ahora pasarán por lo prevenidos que hayamos sido con anterioridad. ¿Por qué?

1. Si hubiéramos tenido la precaución de haber llevado a cabo backups, una posibilidad sería restaurarlos. De lo contrario, una opción menos.

2. Si hubiéramos creado un punto de restauración anterior a la infección podríamos volver a dicho estado y recuperar nuestros ficheros. De lo contrario, una opción menos.

3. Si tuviéramos instaladas herramientas que podríamos llegar a necesitar en este caso como por ejemplo un antimalware, una herramienta de recuperación de ficheros borrados, etc, no tendríamos que instalarlas una vez infectados minimizando las posibilidades de poder rescatar mucha de la información borrada al existir muchas opciones de que hayan sido machacadas durante la instalación de las herramientas.

Vale, no he tenido en cuenta nada de lo descrito anteriormente… ¿Qué hago?

1. La primera opción es según el tipo y la versión del malware ver si el antivirus/ antimalware que tenemos instalado es capaz de descifrar los ficheros. El año pasado me encontré con una cepa del virus CryptoLocker que los ficheros cifrados por él fueron descifrados por un antivirus como McAfee.

2. Correr algún kit de descifrado de ransomware de los que hay por la red, rezar y esperar que éste sea capaz de descifrar nuestra información.

3. Correr alguna herramienta de recuperación de ficheros para ver si podemos sacar algo.

4. Resignarnos, aprender de lo ocurrido y poner medios para que no nos vuelva a ocurrir.

¿Cómo protegernos del ransomware? Directrices generales de seguridad.

Podría tirar de teoría y hacer esta entrada mucho más larga pero vamos al grano y que sea útil a la mayoría de los mortales. Tengo que decir que estas directrices son generales para mantener un nivel aceptable en Seguridad de la Información independientes del SO y del tipo de malware, pero que nos servirán como medidas de prevención frente al ransomware.

Lo primero que tenemos que asumir en todas las cuestiones de Seguridad, de la información o no, es que más vale prevenir que curar. Esto trae una serie de implicaciones no siempre cómodas de ejecutar pero hay que intentar encontrar un equilibrio entre Seguridad y Usabilidad.

1. Es un tópico pero el sentido común (que es el menos común de los sentidos) tiene que ser nuestra primera barrera. Por ejemplo: Recibimos un correo de “Correos y telégrafos”

¿Estamos esperando algún paquete?

Si no estamos esperando ningún paquete debería alertarnos, no lo abras
Si lo estamos esperando pero el remitente es un remitente extraño proveniente de un dominio sospechoso, no lo abras.
En caso de dudas, no lo abras.

2. No abras correos de remitentes desconocidos, no abrirías la puerta de tu casa a un desconocido ¿verdad?

3. Navega con responsabilidad, tú sabrás que tipo de contenido consumes y de dónde.

4. Regularmente lleva a cabo copias de seguridad de tus documentos más importantes en unidades externas al Sistema. Si la información es sensible ¡cífrala!

5. Crea de vez en cuando puntos de restauración que te permita volver a un estado anterior consistente en caso de emergencia. Desde Windows puede hacerse directamente, si eres usuario de Gnu/ Linux puedes usar herramientas tipo Systemback.

6. Es otro tópico pero mantén tanto tu sistema operativo como tu software actualizado. Esto es una cosa que creo casi todo el mundo tiene asumido pero la mayoría del personal no cumple. Deberíamos prestar especial atención a las actualizaciones del SO, del navegador, de Java, Flash y Acrobat Reader.

7. Hazte con un arsenal efectivo de aplicaciones, con eso no estoy diciendo que tengamos 3 antivirus, 7 antimalware y EMET corriendo simultáneamente. Para un usuario normal podría tener su antivirus “corriendo”, si usas Windows podrías tener corriendo además EMET. Además debería contar con algún antimalware, alguna herramienta de recuperación de ficheros borrados en la recámara que usaremos de vez en cuando, no hace falta tenerlo todo “corriendo”.

8. Usa habitualmente un usuario “perruno” (con pocos privilegios) para tus tareas ordinarias y un usuario con permisos de administrador sólo para administrar, obviamente esto es aplicable tanto en Windows como en Gnu/ Linux.

9. Sólo mantén corriendo en el sistema las aplicaciones necesarias en cada momento. No tiene sentido que tengas corriendo un servidor sftp si no lo vas a usar. La cuestión es estar expuesto lo mínimo posible en cada momento, “cuantas más cosas diferentes tengamos ejecutándose a más cosas estamos expuestos”.

Medidas de protección concretas para MS Windows

Sabéis que no soy partidario de reinventar la rueda, así que si hay recursos accesibles de buena calidad que me han servido para que voy a intentar hacer una aproximación a los mismos. Os los enlazo. A continuación hago referencia a una URL que trata medidas concretas para protegernos del ransomware en general y de Cryptolocker en particular en Windows ya que la mayoría de los usuarios aún lo son de este sistema operativo, así como el número de usuarios infectados. Hay que tener en cuenta que las limitaciones de ejecución en ciertos directorios como medida de seguridad puede influir en la ejecución de programas lícitos por lo que a lo mejor puntualmente para llevar a cabo ciertas instalaciones/ procesos debemos deshabilitar dichas limitaciones temporalmente.

https://josecarlosnietoramos.wordpress.com/2015/01/30/como-evitar-que-el-ordenador-se-infecte-con-cryptolocker/

Espero no haber cansado demasiado con la lectura de esta entrada, creo que puede resultar muy útil.

A continuación se enlazan varias URLs interesantes relacionadas con el tema, algunas de ellas están en inglés.

¡Nos leemos en la próxima entrada!

http://www.elladodelmal.com/2015/01/me-han-cifrado-los-archivos-y-me-piden.html

http://www.redeszone.net/2015/05/20/espana-sufre-una-oleada-de-ransomware/

http://www.securitybydefault.com/2013/06/pagando-un-ciber-rescate.html

https://blog.kaspersky.com/cryptolocker-is-bad-news/

http://www.elladodelmal.com/2015/05/como-eliminar-algun-ransomware.html

https://www.osi.es/gl/actualidad/avisos/2013/09/criptolocker-virus-que-cifra-los-ficheros-del-ordenador

http://soyinformaticosv.blogspot.com.es/2014/11/el-nuevo-virus-ransomware-lo-que.html

http://www.computerworld.com/article/2485214/microsoft-windows/cryptolocker-how-to-avoid-getting-infected-and-what-to-do-if-you-are.html

http://www.securitybydefault.com/2015/06/analisis-de-un-ransomware-de-cifrado.html

Virtualización Low Cost con Proxmox VE

noreply@blogger.com (José María González Bueno) — Thu, 28 May 2015 18:07:00 +0000

Introducción

En un tiempo en el que el concepto Low Cost “está muy de moda” dadas las circunstancias socioeconómicas en la que vivimos, voy a mezclarlo con el concepto tecnológico “Virtualización” para componer parte del título de esta tercera entrada del blog. Entendiendo Low Cost como la capacidad de ofrecer una buena calidad a un precio competitivo, lejos de centrarnos sólo en los costes.

¿Qué es la Virtualización? La virtualización es el proceso mediante el cual un servidor físico es capaz de albergar mediante la abstracción de sus recursos proporcionado por diferentes tipos de software uno o varios servidores, dispositivo de red y/ o dispositivo de almacenamiento virtuales.

La virtualización tiene ventajas e inconvenientes, aunque bajo mi entender las ventajas compensan sobradamente los inconvenientes.

Ventajas

Ahorro de costes relacionados con un menor número de servidores físicos

Ahorro de espacio en los Centros de Procesado de Datos

Flexibilidad en la creación de diferentes máquinas virtuales con sus respectivos recursos

Agilidad a la hora de proporcionar nuevos servicios relacionados con la creación rápida de nuevas máquinas.

Gestión centralizada de las máquinas y/ o recursos virtualizados

Desventajas

Un problema técnico en un servidor físico afectará a todas las máquinas/ recursos virtualizados que éste albergue.

El sistema anfitrión necesita contar una buena cantidad de recursos para garantizar el buen funcionamiento de sus máquinas/ recursos virtualizados.

En esta entrada pretendo abordar el despliegue de un VPS (Virtual Private Server) Low Cost, tan low cost que el coste al margen de los recursos de tiempo invertidos por la persona encargada de dicho despliegue será 0.

Con este VPS podremos contar con diversos servidores virtuales “corriendo” en un servidor físico. Dichos servidores virtuales son independientes y autónomos, con matices relacionados con la tecnología utilizada para su virtualización.

Me centraré en una solución denominada Proxmox VE para la creación de nuestro VPS. Proxmox VE este año cumple 10 años, en el momento en el que se redacta esta entrada está en la versión 3.4.

La primera vez que entré en contacto esta tecnología fue en 2008, cuando apenas había leído acerca del concepto de virtualización. Las características más destacables de esta tecnología son la robustez, estabilidad, seguridad, versatilidad y facilidad de gestión centralizada de las máquinas virtuales.

No voy a entrar a describir detalles pormenorizados de Proxmox VE ya que en la Red hay multitud de recursos e información al respecto. La URL de su sitio oficial es https://www.proxmox.com/en/proxmox-ve.

Sólo apuntaré algunas ideas a fin de describir de forma general la tecnología, algunos detalles/ conceptos en los que se basa su funcionamiento y su proceso de instalación.

Proxmox VE

Proxmox VE es una solución software libre de virtualización basada en Debian que se postula como alternativa a soluciones comerciales proporcionadas por VMWare o Citrix.

Establece una infraestructura completa de virtualización, gestión de máquinas virtuales centralizada, alta disponibilidad basada en clusters, posibilidad de conexión con recursos de almacenamiento en red, etc.

Para llevar a cabo la virtualización se basa en KVM y OpenVZ. Para describir la idea principal de estas tecnologías apuntaré:

KVM

KVM (Kernel-based Virtual Machine) es una solución para proporcionar virtualización completa en GNU/ Linux. Puede virtualizar diversos Sistemas Operativos basados en Windows, GNU/ Linux y Solaris. Para su ejecución es necesaria la implementación por parte del microprocesador del servidor de tecnologías de virtualización por Hardware, en Intel se denomina VT y AMD-V en AMD.

OpenVZ

Es la solución preferida para la virtualización de máquinas con GNU/ Linux por su rendimiento. Básicamente es un contenedor que “enjaula” una distro GNU/ Linux que "corre" sobre otro Sistema Operativo GNU/ Linux con el comparte directamente sus recursos. Sólo virtualiza SOs GNU/ Linux.

Instalación de Proxmox VE

La instalación de Proxmox VE es trivial ya que una vez tenemos descargada y quemada la imagen se instala como cualquier distro GNU/ Linux con GUI, donde se definirá el nombre del servidor, sus parámetros de red, etc.

Por defecto, la instalación no nos proporciona muchas opciones para definir los tamaños de las particiones del sistema o de la partición swap. Algunos parámetros que permiten "customizar" la instalación de Proxmox se exponene a continuación:

ext4 --> Establece como Sistema de ficheros ext4. Por defecto proxmox usa ext3.
hdsize=nGB --> Establece el tamaño del disco asignado a la instalación de proxmox. Debe ser más pequeña que tamaño del disco.
maxroot=nGB --> Establece el máximo tamaño de la partición root en GB.
swapsize=nGB --> Establece el tamaño en GB de la partición swap.
maxvz=nGB --> Establece el máximo tamaño asignado a la partición de datos donde almacena los discos duros de las máquinas virtuales.
minfree=nGB --> Establece la cantidad de espacio mínima en GB que quedará libre tras la instalción de Proxmox.
pve=nGB --> Define el tamaño en GB del lvm principal.

Algunos ejemplos de uso podrían ser las siguientes sentencias cuando al arrancar permanece esperando boot:

boot: linux maxroot=100 maxvz=1000 swapsize=10
boot: linux ext4 hdsize=2000 pve=500 maxvz=500
boot: linux maxroot=100 swapsize=20

Una vez terminada la instalación, sacamos el soporte extraíble desde donde se haya llevado a cabo la instalación y reiniciamos.

A continuación nos logamos como root y ejecutamos:

# apt-get update

# apt-get dist-upgrade

A partir de ahí dispondremos de un VPS listo para montar/ gestionar máquinas virtuales. Para acceder desde un navegador:

https://ip_establecida_durante_la_instalacion:8006

Ahora sólo nos queda empezar a "trastear" con nuestras máquinas virtuales.

Esperando que os haya resultado de interés, ¡nos leemos en la siguiente entrada!

Subnetting

noreply@blogger.com (José María González Bueno) — Sat, 17 Jan 2015 01:13:00 +0000

En esta entrada pretendo escribir acerca del proceso de subnetting, para tener recogido dicho proceso para futuras consultas.
Que sí...Que hay calculadoras Ips y de subredes...
En general, me gusta conocer cómo funcionan las cosas, y después ya por comodidad uso las aplicaciones si las hay, pero ya sabiendo en que se basan sus funcionamientos.
Cuando se lleva a cabo un estudio/ análisis o diseño de una red, por ejemplo de una PYME, una de las cuestiones más importantes a considerar será el número de hosts que albergará o alberga dicha red. De ello dependerá la dirección de red que se determine utilizar. A partir de ahí se podría llevar a cabo un proceso de subnetting para adaptar el modelo de red al modelo de la PYME persiguiendo las siguientes ventajas proporcionadas por dicho proceso:

Direccionamiento más asequible
Contención del tráfico broadcast
Incremento de la seguridad en la red
Incremento del control sobre el tráfico
Aumento del rendimiento de la red
Mayor y mejor nivel de administración de la red

¿Pero por qué “subnetear”? El subnetting pretende resolver problemas derivados de:

Agotamiento de las direcciones ips v4
Asignación ineficiente del espacio de direccionamiento donde se desperdician muchas direcciones.
Gran tamaño de las tablas de enrutamiento.

Dado que no soy partidario de reinventar la rueda y sí de aprovechar los recursos de la forma más eficaz y eficiente posible, a continuación hago referencia a dos enlaces a un blog muy interesante de D. Carlos Quiroz del que recomiendo su lectura.

http://lareddequiroz.blogspot.com.es/2011/09/subnetting-y-vlsm-primera-parte.html

http://lareddequiroz.blogspot.com.es/2011/09/subnetting-y-vlsm-segunda-parte.html

En ellos se describen el proceso de subnetting con detalle. Yo no lo habría hecho mejor. En dichas entradas se hacen referencia a otros conceptos como VLSM y CIDR que intentaré tratar en posteriores entradas.
El proceso de subnetting podría ser utilizado para por ejemplo a partir de sus resultados crear diferentes VLANs o crear diferentes redes para después interconectarlas.
Antes de terminar sólo destacar una cuestión muy importante, el subnetting se basa en el incremento del número de bits que conforman la parte de red dentro de una dirección ip, que tendrá su repercusión sobre su correspondiente máscara de red. No tiene sentido (clama al cielo) intentar “subnetear” por ejemplo una dirección de red 192.168.2.0/24 hacia redes con máscaras de red /23 o menores.
Agradecería vuestros comentarios y aportaciones para completar la información así como para corregir posibles errores que se hayan podido cometer.
¡Saludos!

Motivación del Blog

noreply@blogger.com (José María González Bueno) — Mon, 05 Jan 2015 00:55:00 +0000

Este blog pretende convertirse en un cuaderno de bitácora que recoja un resumen de las cosas que estudio, pruebo y leo con la intención de compartir el conocimiento. Hasta ahora tenía la información distribuida en distintas ubicaciones y formatos dificultando en muchas ocasiones su localización.

La temática de este blog estará relacionada con la Seguridad TIC, networking, virtualización, nuevas tecnologías e informática en general.

Sería genial poder contar con las opiniones, sugerencias y experiencias de las personas que se pasen por el blog para completar el material publicado, considero que ganaríamos todos.

Otra de las motivaciones es por qué no decirlo, obligarme a escribir e intentar hacerlo bien, exigiéndome estructurar la información, expresarme con corección, etc.

Espero que el material publicado resulte útil, sin más comienza este proyecto.