Ciberamenazas 2015

El pasado abril Websense publicó el “2015 Threat Report”, en el cual se dan a conocer las diferentes ciberamenazas para el 2015, los factores que se deben tener en cuenta y cómo estamos preparados para afrontarlas.

El análisis incorpora 2 secciones:

• Una primera sección basada en comportamientos humanos, donde se explica cómo afecta el comportamiento humano en diferentes ciberataques.
• Una segunda sección de tendencias basadas en técnicas, donde trata los nuevos comportamientos que se están aplicando a los ciberataques.

A continuación presentamos un resumen con los aspectos más relevantes de la citada publicación:


SECCIÓN 1: COMPORTAMIENTOS HUMANOS

1. Cómo los ciberatacantes pueden disponer más fácilmente de aplicaciones para poder provocar ciberataques.
• Aparición del nuevo fenómeno Malware as a service: la capacidad de que un ciberatacante o una organización que quiere perpetrar un ciberataque le sea muy fácil, ya que cada vez se dispone de más infraestructura, herramientas y troyanos personalizados para cometer este tipo de ataques.
• Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona. Se están utilizando alrededor de un 90% de las url’s utilizadas en ataques anteriores. El ciberatacante ya no necesita disponer de sus recursos propios.


2. Atribución de un ataque
Cuando una compañía sufre un ciberataque lo primero que suele interesar a la gerencia es quién ha sido. Se pueden cometer muchos errores en la atribución indebida de un ataque. Cuando se sufre un ciberataque se invierte mucho tiempo en saber quién está detrás de ese ataque, lo que se recomienda es dejar eso a las agencias oportunas, y ocuparse de la contención.


3. Capacidad de elevar el conocimiento en ciberseguridad
Cada vez es más fácil para un ciberatacante disponer de más herramientas, incluso dentro el mercado negro hay cursos para aprender a realizar ciberataques. Con tal de poder hacer frente a los ciberataques las empresas deben desarrollar cursos de información, pero debido a los pocos recursos, tanto a nivel humano como económico, se hace necesario también que las herramientas utilizadas puedan proporcionar una inteligencia que permita tomar una decisión a la hora de hacer frente a estos ciberataques.


4. Usuario interno
Ha sido el principal riesgo para la fuga de información y podemos diferenciar dos tipos:

• Alguien que para seguir trabajando en casa sube información confidencial en Gmail, Dropbox o algún disco duro virtual, y con eso facilita que otro usuario o atacante infiltrado en los sistemas pueda acceder fácilmente.
• Usuarios que cogen información de forma malintencionada, normalmente personas que están a punto de abandonar la organización.

SECCIÓN 2: TENDENCIAS BASADAS EN TECNOLOGÍA

1. Vulnerabilidades presentes en la infraestructura
Se han descubierto nuevas vulnerabilidades en sistemas (estables y seguros) que llevan muchos años en las organizaciones. Este tipo de vulnerabilidades de productos que existen en las organizaciones han estado presentes en 2014 y lo estarán en 2015.
A continuación se detallan una serie de recomendaciones de como mitigar las amenazas:

• Tener presente las revisiones de seguridad en los sistemas con el objetivo de detectar las vulnerabilidades lo antes posible.
• Estar pendiente de las actualizaciones.
• Mejorar los procesos de parcheado para reducir el nivel de exposición de esta vulnerabilidad.
• Disponer de otras herramientas capaces de bloquear la comunicación el control con los servidores.


2. ¿Se trata de algo nuevo o algo que hemos visto?
En algunos casos se han utilizado herramientas sofisticadas, pero una de las vías más habituales para los ataques e infecciones vuelve a ser el correo electrónico. El 81% de los correos se han clasificado como spam, lo que representa un aumento del 25% de los correos no deseados, y los correos maliciosos no son detectados por las firmas (el origen es bueno, el destinatario existe, el fichero no es un ejecutable). Se tienen que dotar a los sistemas de algo más para poder ser capaces de detectar este tipo de ataques.

Las técnicas van evolucionando para no ser detectadas. El malware es capaz de utilizar la nueva tecnología para conseguir el éxito. Se siguen utilizando este tipo de técnicas para introducir malware a los sistemas.


3. Internet of Things
Este concepto hace referencia a pequeños dispositivos, como sensores de temperatura o sistemas de video vigilancia con información, conectados a la red para poder ser controlados remotamente, tanto en uso doméstico como industrial. Alrededor de 2020 puede haber entre 20 y 50 billones de dispositivos conectados. A medida que las organizaciones vayan introduciendo estos dispositivos para control industrial, el riesgo va a aumentar considerablemente. Nadie piensa que pueden ser explotados pero el impacto es altísimo ya que estos sistemas llegan a controlar refinerías de petróleo o centrales nucleares y por lo tanto hay que tener muy presente este nuevo fenómeno.


4. Evolución de las amenazas
Se ha detectado que normalmente el objetivo del ataque ya no pretende destruir un pc o servidor sino que pasa a ser económico. El malware se va orientando a este tipo de objetivo puramente económico y dirigido a una víctima en concreto. Se han dado cuenta en la potencia de los ciberataques para conseguir un objetivo económico.

Se observa una sofisticación tanto a nivel de componentes como en las técnicas. El malware es capaz de detectar si está en un entorno virtual, y no activarse, y activarse cuando esté en un entorno de cliente

Para concluir, remarcar los siguientes aspectos más relevantes del documento:

• Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona.
• El usuario interno es el principal riesgo para la fuga de información.
• Se han descubierto nuevas vulnerabilidades en sistemas estables y seguros que llevan muchos años en las organizaciones.
• Se está volviendo a utilizar el correo como fuente de ataque informático.
• El objetivo del ataque informático pasa a ser puramente económico y dirigido a una víctima en concreto.

Fuente consultada:
Threat Report Identifies 8 High-Risk Cyber Threats For 2015

TrueCrypt - Tus archivos podrían no estar seguros

TrueCrypt se ha convertido en la herramienta de cifrado de datos a nivel local que más usuarios y empresas ha utilizado hasta la fecha. No obstante, en los últimos meses esta herramienta se ha visto envuelta en una nube de conspiraciones que han acabado con el proyecto. Si hoy en día entramos en su página web, veremos un cartel que nos anuncia:

"WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues"

Seguido de una guía para migrar todo el contenido que tengamos en nuestro TrueCrypt hacia la plataforma de cifrado de Microsoft, BitLocker. La teoría de su caída que más peso ha tomado hasta la fecha es la existencia de backdoors en su código producidos por la N.S.A. y la auditoría realizada a dicha herramienta.

La Unidad de Auditoría y Consultoría de Seguridad TI de Abast Systems ha realizado una prueba de concepto para determinar hasta qué punto es posible acceder a datos encriptados en un ordenador ajeno. Para ello necesitaremos un ordenador en caliente (hibernado, suspendido, en funcionamiento) o una captura de la memoria ram, en caso de que el ordenador se haya apagado. Esta prueba no es posible realizarla si el ordenador se encuentra completamente apagado.

Con un análisis exhaustivo de una captura de RAM es posible detectar programas en funcionamiento, sesiones abiertas a memoria, conexiones establecidas y otro tipo de información que puede complementar o ayudar a detectar nuevas evidencias. Una de las herramientas más potentes para realizar esta tarea es el framework Volatility.

Figura 1 - Volatility descubre un TrueCrypt en uso

Figura 2 - Devicetree de Volatility muestra el contenedor

En las imágenes superiores se puede apreciar la existencia de la herramienta de encriptación de unidades TrueCryp. El alto nivel de seguridad que conlleva esta herramienta está reconocido internacionalmente. No obstante, el hecho de tener una captura de la memoria RAM puede ayudar a descifrar o, al menos identificar qué unidad es la que se encuentra cifrada.

Con el módulo volshell de Volatility abre una consola y se miran las propiedades del Device_object situado en la dirección de memoria 0x856f37a0, que es la que se ha devuelto en la imagen anterior.

Figura 3 - Propiedades del objeto situado en 0x856f37a0

Con estos datos ahora es posible mostrar todo lo que hay en esta parte de la memoria. Se mostrará 1416 (size) unidades de memoria, a partir del offset 0x856f37a0.

Figura 4 - Obtención del "container"/archivo encriptado: Mine

Ahora se intentará obtener la clave de desencriptación del archivo. El próximo paso necesitará de la ayuda del Driver_object del TrueCrypt, mostrado previamente a la imagen de las propiedades del Device_object.

Figura 5 - Información del driver_object

Para realizar esta tarea expulsaremos toda la memoria que hay desde la posición DriverStart hasta DriverStart + DriverSize. El problema de esto es que nos devuelve un trozo demasiado grande como para hacer búsquedas manualmente. Así que, automatizar el proceso restante usando herramientas como CryptoScan (con Volatily1.3), aeskeyfind o alguna más "user-friendly" como Elcomsoft Forensic Disk Decryptor.

Figura 6 - Ejemplo de extracción de keys AES

Con estas claves se permite descifrar el archivo previamente comentado (mine) y montarlo. De esta manera se puede acceder a su interior, y ver toda la información que creíamos tener guardada de manera segura.

Heartbleed – Vulnerabilidad crítica en OpenSSL (CVE-2014-0160)

En las últimas horas se ha hecho pública una vulnerabilidad que afecta a las conexiones consideradas seguras de tipo HTTPS. En concreto todas aquellas conexiones que usen OpenSSL como librería criptográfica. Se estima que aproximadamente dos tercios de las páginas web que existen en el mundo usan actualmente alguna de las versiones afectadas.

No obstante, la criticidad del esta vulnerabilidad se encuentra en el número de versiones a las cuales afecta: la vulnerabilidad se remonta a la versión OpenSSL 1.0.1 lanzada el 14 de marzo de 2012 y afecta también a la versión 1.0.1f (versión actual hasta el 7 de Abril del 2014). Por tanto, estamos hablando de un problema de seguridad en las conexiones HTTPS que existe desde hace 2 años. Aprovechando esta vulnerabilidad es posible acceder a los datos de sesión de los lugares considerados seguros que usen esta versión de OpenSSL.

Mark Loman, analista de software y malware, haciendo eco de la vulnerabilidad.

Los grandes portales de internet ya han confirmado que han actualizado sus librerías criptográficas. Google, Facebook, Twitter y Amazon son algunos de los grandes que se habían visto afectados.

Se recomienda a todas las empresas que utilicen esta librería en sus portales web que actualicen a la versión 1.0.1G. Por otra parte, a los particulares, la recomendación es cambiar en los próximos días las contraseñas de las cuentas que creamos que hayan podido ser vulneradas (dos años dan para mucho).

Enlaces de interés:

• Listado de webs vulnerables
• Comunicado oficial OpenSSL
• CVE-2014-0160

Seguridad y privacidad en WhatsApp. Ejemplo práctico nº1

En los últimos días se está hablando constantemente de WhatsApp por varios motivos. Mientras el ciudadano de a pie debate entre comprar pastas Gallo o marca blanca, Mark Zuckerberg compra WhatsApp por 16 Billones de Dólares Americanos. Se dice rápido. Pero éste no es el único motivo: a los pocos días de su compra, la compañía líder de mensajería sufre un corte en el servicio que afecta a millones de usuarios durante horas.

A pesar de esto, en la comunidad de Seguridad de las TIC se lleva ya mucho tiempo mirando con ojo escéptico a esta aplicación. La ausencia de encriptación en las transmisiones de datos de las primeras versiones hizo que muchas empresas se empezaran a plantear si su uso a nivel corporativo podría suponer un problema de seguridad. Poco a poco WhatsApp fue actualizando y blindando sus API con el objetivo de arreglar estos agujeros de seguridad. Pero el aroma y olor a intranquilidad que desprende esta aplicación se ha propagado incluso al ciudadano de a pie, dando fuerza a otras alternativas de mensajería como Line y Telegram.

Hace unas semanas, tras una tarde de tertulia con Emilio Alonso y otros compañeros del gremio, decidí adentrarme en una prueba de concepto con el objetivo de ver hasta qué punto WhatsApp había mejorado sus puntos más débiles: la seguridad y la privacidad.

• INCISO: Febrero del 2014 -> La WhatsAPI de la que a continuación se habla ha sido retirada por infringir, supuestamente, la DCMA americana. Desconozco hasta qué punto su uso a partir de este momento puede ser cuestionable o incluso ilegal. Por otro lado y como comentario personal alegaré que WhatsApp está basado en el protocolo XMPP, de código abierto y extensible, por tanto el hecho de bloquear una aplicación basada también en el mismo protocolo libre no se sostiene por ningún lado.

El proceso consiste en instalar en un ordenador el cliente de mensajería Pidgin junto con un plugin que permite la ejecución de los comandos de la WhatsAPI e interactuar con los servidores de WhatsApp. El envío/recibo de mensajes usando una API externa no es ninguna novedad, pero el hecho de integrar muchas de las funcionalidades de WhatsApp en una interfaz de un cliente de mensajería de escritorio facilita la interacción con la herramienta y abre nuevas posibilidades. Algunas de ellas bastante alejadas de la línea de la moralidad.

Después de añadir una cuenta de usuario de WhatsApp con la ayuda de WARP para manejar el proceso de autenticación con SMS que utiliza Whatsapp la primera vez que se instala en un dispositivo, podremos ver una ventana de contactos vacía. A partir de este momento es posible añadir contactos a nuestra lista pero, he aquí la primera disyuntiva: Si la aplicación para Smartphones se alimenta de la lista de contactos de tu dispositivo, ¿de qué manera podremos seleccionar usuarios con los que interactuar en la aplicación de escritorio? Pues tan sólo necesitamos un número de teléfono. Cualquiera.

Esto puede ser un problema de privacidad, ya que a continuación podremos ver el estado de la persona, el nombre que tenga asocioado en WhatsApp e inclusive su foto de perfil. Esta violación de privacidad ya sucede actualmente en la aplicación de Smartphones, pero al portarla a una computadora, las posibilidades de usar este sistema como recopilación de información o incluso como envío masivo de mensajes de spam con fines ilícitos o propagandísticos aumenta considerablemente.

No contento con haber estado buscando números al azar y haber gastado alguna que otra broma a compañeros y amigos suplantando identidades (puede llegar a ser muy adictivo hablar con Scarlett Johansson), decidí ver cómo se gestionaba el tema de los grupos, el envío de imágenes, audio, situación…

Por ejemplo, en el caso del envío de fotos, WhatsApp codifica las imágenes mediante una función de hasheo y las almacena en sus servidores. De esta manera, cuando algún usuario comparte una imagen (o archivo multimedia), se verifica que ésta no exista previamente en sus servidores. Posteriormente se permite, o no, la subida de la foto para a continuación transmitir el enlace de descarga al destinatario.

Como se puede ver en la imagen superior, el enlace generado es una URL a los servidores multimedia de Whatsapp cuya dirección está formada por una función hash. Por tanto, he aquí la pregunta para la próxima entrada en el blog: ¿Sería posible autogenerar esta función de hash con el objetivo de encontrar fotos al azar enviadas a sus servidores?

Wifi: La amenaza invisible

Las redes inalámbricas o redes wifi están presentes en la mayor parte de las organizaciones hoy día. Es más, muchos comercios, hoteles, bares y restaurantes lo ofrecen de forma gratuita a sus clientes. La moda de las redes wifi abiertas pasó y la gran mayoría ya usan protocolos como los WEP (Wired Equivalent Privacy) o WPA/WPA2 (Wi-Fi Protected Access) para proteger el acceso. La gente se siente segura detrás de contraseñas interminables y complejas de números, símbolos, mayúsculas y minúsculas. Pero ¿estamos realmente seguros? ¿Qué pasaría si alguien pudiera travesar esta barrera de protección?

Crackeo de Wifis

Los protocolos más comunes de cifrado wifi son WEP y WPA/WPA2. El algoritmo WEP se rompió hace años. Por eso, obviando los métodos o detalles técnicos, una red wifi WEP con clientes haciendo uso de ella se tardaría desde segundos (claves por defecto de operador), a una hora como máximo en descifrar. Cuando una contraseña WEP es la única barrera de protección a la red interna la organización tiene definitivamente un problema.

Existen métodos para el crackeo de redes WPA/WPA2, aunque dependen en gran medida de la fortaleza y longitud de la contraseña. Es preferible tomar las recomendaciones típicas sobre políticas de contraseñas y cambiarla cada cierto tiempo.

Algunos de los métodos para conseguir contraseñas WPA/WPA2 agilizan el proceso con el uso de clústers y GPUs, ya que el crackeo se puede realizar offline, es decir, fuera del alcance de la red, una vez capturados los datos necesarios (WPA handshake).

Segmentación e independencia

Otros de los factores que debemos analizar son la información, servicios y recursos a los que pueden acceder los usuarios una vez obtienen acceso. Se debe tener en cuenta por dos razones: por los distintos roles de usuarios que pueden acceder a dicha red y por los usuarios no legítimos que puedan obtener la contraseña (crackers, curiosos, antiguos empleados, etc.).

No es lo mismo un Director General de una empresa accediendo por wifi a los archivos confidenciales de una empresa que un empleado externo o un invitado accediendo a internet. Se debe ser riguroso con el control y acceso a las redes y cuidadoso con la asignación de permisos para los distintos roles de usuario.

Cada vez es más importante diseñar una estructura de red que mantenga una arquitectura con dos o más redes separadas o incluso segmentadas internamente a través de redes virtuales VLANs.

Por otro lado, imaginemos por un momento que alguien de forma fraudulenta o un antiguo empleado accede a la red wifi corporativa. ¿Sabemos con seguridad a qué recursos tendría acceso? ¿Se auditan o monitorizan estas acciones de forma regular? ¿Cuándo fue la última vez que se cambió la contraseña de las redes wifi? La contraseña de la red inalámbrica no puede ser nunca la única forma de protección.

Sniffing de tráfico

Todos los datos/paquetes que se envían por redes inalámbricas, pueden ser interceptados por tarjetas en modo monitor. En los protocolos WEP y WPA/WPA2 los datos interceptados están cifrados, pero en el protocolo abierto (sin contraseña), los datos transmitidos pueden ser capturados y leídos tal como son emitidos.

Lo que mucha gente no sabe, es que conociendo la clave de una wifi puede descifrarse el tráfico entre emisores y receptores. La prueba de concepto siempre sorprende, y el nivel de seguridad al que se está expuesto dependerá del protocolo de red usado. Si se usan FTPS, HTTPS, ssh, nuestros datos siempre estarán más seguros que con los protocolos FTP, HTTP o telnet en los que pueden verse en texto plano datos y contraseñas. En resumen, alguien que supiera la contraseña de la red, no sólo podría campar a sus anchas en la red, sino que podría recopilar credenciales de la organización.

Para estas pruebas de concepto, existen programas como Firesheep (addon de Firefox -http://codebutler.github.com/firesheep/) o Faceniff (Aplicación de Android http://faceniff.ponury.net/) que sorprenden por su facilidad de uso, y por los resultados obtenidos. Existen herramientas de uso más complejo que consiguen resultados más sofisticados y exhaustivos .

Medidas de seguridad adicionales

Existen varias medidas complementarias a una simple contraseña:

• Filtrado de MAC: en grandes entornos puede ser complicado gestionarlo, pero es un método de control simple pero efectivo. Debemos tener en cuenta que existen técnicas sencillas de mac-spoofing (http://www.govannom.org/seguridad/14-wifi-wireless-redes/154-como-hacer-mac-spoofing.html) y también es cierto que algunos Access Point pueden detectar el mac-spoofing. Tal como la contraseña, no puede ser la única medida de seguridad.
• SSID oculta: Medida que sirve básicamente para evadirse del punto de mira de curiosos. Cualquiera con los conocimientos y herramientas necesarias puede obtener fácilmente el SSID (también conocido como nombre de la red). La seguridad por oscuridad se convierte en un sencillo paso más en el crackeo de la red y más cuando el atacante sabe qué se busca.
• SSID distinto: Una medida de seguridad sencilla es renombrar la wifi con un SSID que no identifique la empresa.
• Otras: a medida que crecen las organizaciones, la complejidad de sus redes y la concienciación en la seguridad de la información se usan soluciones más sofisticadas como pueden ser NAC, UAC, Radius o portales cautivos por poner algunos ejemplos. Todas son herramientas que mejoran de forma sustancial la seguridad de las redes inalámbricas.

En Conclusión:

Para evitar la intrusión de usuarios maliciosos y garantizar la confidencialidad de los datos es recomendable seguir las siguientes instrucciones:

• Las redes wifi deben considerar la encriptación WPA2 preferentemente, con una contraseña compleja y larga (mínimo 12 caracteres).
  
• Debe existir una segmentación de red adecuada para los tipos de usuarios que se conectaran a la red inalámbrica.
• Crear una red de invitados separada de la red interna, para conceder únicamente conexión a internet a los proveedores que lo requieran.
  
• No se puede confiar solamente en una contraseña, el uso de más medidas de seguridad es muy recomendable.
• Monitorizar la red y los equipos conectados a ella, ya sea de forma manual o automatizada para evitar ataques.

Es posible que alguno piense que estas medidas son muy básicas, pero nuestra experiencia nos dice que no siempre se siguen estas recomendaciones. Para ilustrarlo, desde nuestras oficinas, se puede ver una red inalámbrica con el SSID que es el nombre de una organización que utiliza una clave WEP. Esperamos por su bien, que sea una red de invitados bien gestionada. Aunque desafortunadamente, creo que eso sería mucho esperar.

Las FAQ del Hacking Ético

Antes de realizar un proyecto de hacking ético, test de penetración o auditoria de seguridad surgen ciertas preguntas comunes que nos gustaría responder. Estas son las FAQ (Frequent Asked Questions) que surgen antes de afrontar un proyecto de este tipo.

¿Porqué realizar una Auditoría de seguridad?

Las razones son muy variadas, aunque las más comunes son: prepararse para auditorías corporativas obligatorias, auditorías de certificación (ISO27000, SOX, Basilea, VISA, etc.), cambios recientes en la infraestructura, comprobar el funcionamiento de nuevos productos tecnológicos, iniciarse en la gestión de la seguridad o un plan director de seguridad, conocer las prioridades de inversión en seguridad, justificar inversiones o proyectos, conocer el riesgo potencial existente, etc.

¿Como se van a ver afectados mis sistemas durante la auditoría?

Para responder a esta pregunta se debe tener en cuenta que nuestro objetivo durante estos proyectos es el de vulnerar la confidencialidad de los sistemas de información de la forma más discreta y sigilosa posible.

La afectación típica que reciben los sistemas, es un ligero incremento de tráfico provocado por los distintos tipos de ataque que en la mayoría de casos es imperceptible. En casos en que el cliente desee realizar algún tipo de prueba específica que pueda comprometer la disponibilidad o integridad de algún sistema concreto, se advertirá y se tomarán las medidas de seguridad necesarias para provocar un impacto controlado.

¿Qué tipos de auditorías de seguridad se realizan?

Hay varias formas de catalogarlas y definirlas. Una forma común es catalogarlas por la red dónde se encuentra el atacante, interna o externa (perimetral). Aunque la categorización que más nos gusta es la siguiente:

• Caja Negra: Se trata de la auditoría en los que el atacante no debe conocer ningún detalle de los sistemas a auditar, sólo información mínima y realiza un ataque externo.
• Caja Gris: En este caso se realiza desde dentro de la organización. Se conecta un portátil a una toma de red, o se accede a un ordenador con un perfil estándar y privilegios limitados.
• Caja Blanca: Este tipo de auditorías se realizan desde dentro de las instalaciones del cliente. Se da a los auditores credenciales válidas y una lista de IPs o de servidores de los cuales se quieren auditar riesgos y vulnerabilidades.
• Aplicación Web: En este tipo de auditoría se revisa la seguridad de una aplicación web específica. Por norma general se auditan los riesgos más comunes, publicados en OWASP Top 10. Es común realizarlas antes de poner en producción la aplicación web, o para auditar su seguridad si ha sido realizado por un tercero.
• Completa: Es una combinación de las anteriores (sobre todo de las 3 primeras), es habitual realizarlas cuando se quiere hacer un análisis general de la seguridad de una organización. Los resultados son muy completos y abarcan muchos ámbitos (webs, arquitectura de redes, DMZ, correo, hardware, software, wifi, configuración, intranet, proxy, firewall, etc.).

¿Qué tipo de ataques se realizan en una auditoria?

Esta respuesta es compleja, ya que dependerá del tipo de proyecto y del sistema a auditar. Si se trata de una aplicación web, se suelen auditar los OWASP top 10. Si es un ataque externo, se probaran escaneos, ataques de fuerza bruta y diccionario, fallos de configuración de hardware y software, errores conocidos, etc. Si es un ataque interno se auditará la seguridad de la plataforma de trabajo, configuración correcta, contraseñas por defecto o compartidas, etc. Se debe tener en cuenta que una de las limitaciones dentro del alcance es la temporal, esto merma las capacidades de algunos tipos de técnicas como es el de fuerza bruta o el análisis de código.

¿Cómo se garantiza la confidencialidad?

En cualquier proyecto, se realizan contratos de confidencialidad, aunque en este caso, no se debe olvidar que se está redactando un “manual de intrusión” en la organización, por lo que los datos son especialmente sensibles. Todos los datos que se recopilan durante la auditoría son encriptados de forma segura tanto durante el transporte como dentro de nuestras oficinas. Sólo el personal que participa en el proyecto tiene acceso a los datos. Una vez finalizado el proyecto, entregados los documentos al cliente, y firmado el acuerdo de cierre, estos son eliminados definitivamente de nuestros sistemas.

¿Cuál es el resultado de este tipo de proyectos?

Se obtiene uno o varios informes de auditoría (dependiendo del alcance) en el que se detallan paso a paso las acciones realizadas por el equipo de auditores señalando las vulnerabilidades y la criticidad de éstas. Según se acuerde se pueden auditar o crear políticas de seguridad, definir planes directores de seguridad, dar formación en seguridad a distintos roles dentro de la organización, etc.

¿Cuáles son las reacciones ante los resultados?

Curiosamente la reacción más habitual en las auditorías de seguridad completas es la sorpresa, aunque hay que diferenciar dos perfiles que son el técnico y el de negocio. El técnico en muchos casos ya conoce algunas de las carencias técnicas, y se sorprende de la criticidad de otras. En algunos casos sale reforzado en su opinión de ser más estricto con la seguridad a nivel organizativo. El perfil orientado a negocio también queda sorprendido ya que en algunos casos no eran conscientes del potencial peligro al que estaban expuestos. Cuando los resultados son muy distantes a lo esperado, crece la focalización en la seguridad de la empresa a nivel técnico y organizativo. Es muy importante dejar claro que el objetivo del proyecto es mejorar la seguridad global y no señalar a nadie.

---

En definitiva, detrás de todo proyecto de hacking ético existe una metodología contrastada de gestión de proyectos que se encarga de que se ejecuten todas las pruebas de forma rigurosa y controlada, hecho que nada tiene que ver con los falsos tópicos existentes sobre la figura del hacker, donde un personaje excéntrico a altas horas de la madrugada trata de acceder a los sistemas basándose en su inspiración, y sin tener en cuenta las consecuencias de sus acciones.

Nos podría pasar a todos

La seguridad de la red es un tema muy de moda últimamente con las noticias que llegan desde Sony en relación a su Play Station Network (PSN). Los datos de 77 millones de usuarios, incluidos datos bancarios y contraseñas, han sido robados por un grupo de hackers paralizando el acceso durante 9 días de la Play Station Network de Sony. A día de hoy se conocen aún pocos detalles sobre el suceso como la autoría, el alcance real del ataque y la finalidad de éste.

Esta noticia lleva a varias reflexiones:

¿Si le ha pasado a Sony, podría suceder en mi organización?

¿Dispongo de las medidas de seguridad necesarias para evitar un ataque de hacking?

En caso que sucediera ¿Cuánto tardaría en detectarlo?

¿Nuestra organización puede permitirse soportar un escándalo similar?

A pesar de que Sony es una compañía fuerte y consolidada, todavía no se conoce el impacto que producirá en la imagen de marca y en la confianza de sus clientes, ya que la información robada es crítica por su repercusión mediática y por el temor de sus clientes a ver expuestos en la red sus credenciales y sus datos bancarios. Por este motivo es muy importante en nuestras organizaciones saber qué datos son especialmente críticos, quién tiene acceso a éstos y si están debidamente protegidos.

Las Auditorías de Seguridad o Tests de Penetración se realizan para prevenir este tipo de ataques. Se simula la ejecución de un ataque informático realizado por un hacker de la forma más realista posible. Estos proyectos son una buena forma de auditar la seguridad interna o perimetral de la organización, no sólo para ayudar al Departamento TIC a justificar inversiones que la organización no percibe como prioritarias, sino también para conocer la respuesta a estas preguntas:

¿Qué nivel de madurez tiene nuestra seguridad de la información?

¿Cuáles son nuestras vulnerabilidades críticas?

¿Qué debe cambiar en nuestro sistema o nuestros procedimientos para ser mejorar la seguridad?

¿Son efectivas nuestras medidas de seguridad?

Es importante destacar que no se audita la seguridad solamente a nivel técnico sino también a nivel de procedimientos y políticas. La mayoría de las vulnerabilidades que se encuentran en este tipo de auditorías pueden ser subsanadas aplicando medidas organizativas, políticas de seguridad adaptadas a la organización y formación a los usuarios. La concienciación de los usuarios a todos los niveles es fundamental en la seguridad, de nada sirven las mejores y más caras soluciones de seguridad sin unos procedimientos y sin una cultura de seguridad organizativa. Los resultados de un test de penetración son una buena herramienta para lograr dicha concienciación.

La seguridad de la información es una cadena que siempre se rompe por el eslabón más débil. Por este motivo, es imprescindible conocer las vulnerabilidades existentes para saber qué medidas pueden mejorar la seguridad proactiva, la seguridad activa y la seguridad reactiva. Llegando a la conclusión de que no deberíamos esperar sufrir un incidente para invertir en seguridad.

El ROI (Retorno de la Inversión) en seguridad es mucho mayor en la prevención que en la reparación, sobretodo porque existen casos en que el daño puede ser irreparable.