Seguridad informatica en el mundo actual

Cualquier parecido es pura coincidencia

Tenga en cuenta que sólo hace falta un clic en el sitio equivocado para ser infectado. Como consejos generales para evitar infectarse con Malware (software malicioso) mientras se visita un sitio web:

• Chequee que su navegador y las aplicaciones o plugins que tiene instalados están actualizados. Para esto puede usar la aplicación en: Http://browsercheck.qualys.com/

• Cierre los pop-ups haciendo clic en el botón X de cerrar la ventana, no presione ningún botón de “cerrar” ya que puede ser falso e instalar un programa malicioso en su computador.
• No haga clic en anuncios de empresas que no conozca o que sean muy llamativos o que clamen regalar productos atractivos como iPods. Note que el malware puede venir también en anuncios insertados en sitios web prestigiosos.
• Evite hacer clic en enlaces a juegos o vídeos con el enganche de que aparezca gente famosa de actualidad ya que a menudo tienen spyware u otros problemas.
• Cuando termine de usar un servicio que requiere contraseña termine la sesión antes de visitar otros sitios web.

Seguridad Informática

En la actualidad la seguridad informática continúa marcando horizontes y justificando inversiones corporativas con el fin de mantener un nivel adecuado de aseguramiento de las arquitecturas de cómputo. En este sentido se hace necesario contar con personal idóneo para adelantar estas labores y mantener monitoreo permanente del proceso de administración de la seguridad informática. Una estrategia utilizada por la industria para establecer un estándar de formación o habilidades requeridas en seguridad son las certificaciones. Dicha estrategia establece una serie de características y requisitos los cuales serán abordados en la charla, con el fin de analizar de manera independiente los alcances y limitaciones de algunas certificaciones como son CISA, CISSP, GIAC (ofrecidas por el SANS), entre otras.

Los riesgos producidos por una mala securización en los sistemas de una empresa derivan directamente en su margen de beneficios. En el siguiente esquema se puede ver como los fallos de seguridad pueden derivar en pérdidas de dinero, independientemente del tipo de vulnerabilidad que posea dicho sistema:

                                                                                                                          

Ángel Herrera

Vulnerabilidad implementacion IPN de paypal por algunos desarrolladores

En Internet existen muchas paginas que usan mecanismos de pagos automáticos para ofrecer a sus clientes comprar online en tiempo real, hoy les hablare de IPN de paypal, muchos desarrolladores han implementando este mecanismo en sus proyectos, pero el problema radica que si no se sabe implementar de forma adecuada pueden ser victimas de algunas personas con conocimientos básicos de como funcionan estos servicios.
El fin de este post no es enseñarles a robar ni obtener algún beneficio económico de esta vulnerabilidad (La vulnerabilidad no es de paypal sino de los desarrolladores que implementan estos servicios sin saber como funcionan correctamente) sino enseñarles como podemos protegernos y hacer desarrollos mas seguros con este servicio.
Lo primero que voy a hacer es mostrarle un gráfico donde se explica de forma sencilla como seria el ataque y como se aprovecharía un intruso de la vulnerabilidad.

Para el laboratorio necesitamos:

• Firefox
• Plugin Web Developer (http://chrispederick.com/work/web-developer/)

Para realizar la prueba realizamos los siguientes pasos.
1. Encontramos un sitio web que implemente los pagos de algun producto mediante el boton “pago rapido”, casi siempre son sitios web que venden créditos online o solo un producto.

2. Desde nuestro firefox en la barra de herramientas tenemos una nueva barra (Web Developer) hacemos clic en Formulario > Mostrar detalle formulario

El campo que nos interesa se llama “business” como podemos ver este campo tiene el email donde se enviara el pago, lo que hacemos es editar y meter el email de una cuenta paypal que nos pertenezca o de un amigo.
3. Realizamos los pasos normales de la compra y seremos enviados a la pagina de paypal para proceder con el pago.

4. Realizamos el pago en paypal con nuestra cuenta de paypal 2.
5. Paypal procesara el pago correctamente y notificara al servidor de la tienda que el pago fue realizado.
6. El servidor procesara el pago y enviara el articulo (que por lo general es digital) a la cuenta del usuario que realizo la compra.
NOTA: Como podemos observar todo el proceso del pago en paypal fue correcto, se debitara de la cuenta de paypal1 el saldo y se enviara a la cuenta de paypal2, es decir el dinero lo movimos entre 2 cuentas de nosotros, ya que nunca llego el dinero a la cuenta oficial de la tienda.
¿Cuando se presenta esta vulnerabilidad? 
Cuando el desarrollador no valida el email al cual se realizo el pago en el archivo que recibe la notificacion del IPN de paypal.
En este articulo se muestra una forma segura de implementar pagos paypal instantáneos para los desarrolladores que trabajan con PHP (http://www.micahcarrick.com/paypal-ipn-with-php.html)
Después de ver este articulo se podrán dar cuenta que necesitamos hacer muchas validaciones antes de procesar un pago, ya que podemos cambiar el tipo de moneda para pagar, el valor del articulo que estoy comprando, etc.. se que a muchos se les ocurrirán muchas otras ideas.
Como siempre, espero que les sea de mucha utilidad.

 "Nayarith Hernàndez" Ventajas y Desventajas de La Ley Especial de Delitos Informaticos

 Esta ley fue promulgada por la Asamblea Nacional el 4 de Septiembre de 2001 y publicada en Gaceta Oficial el 30 de Octubre de 2001. Y pretende ofrecer una legislación sobre los delitos contra las tecnologías de información o haciendo uso de estás. Esta ley consta de 32 artículos y esta dividida en 4 títulos: un primer titulo donde se definen algunos términos básicos relacionados a las Tecnologías de la Información (T.I), en el segundo se especifican los delitos que se penan en la ley y su respectiva condena; en el tercer titulo las disposiciones generales y en el cuarto las disposiciones finales.

Entre Ventajas que ofrece esta Ley Especial:

• Por primera vez se tiene una legislación que regule los delitos informáticos.
• Se define un glosario de términos relacionados con las T.I, lo que ayuda a evitar confusiones.
• Se condenan fuertemente delitos como el robo de la información personal, la pornografía infantil y la apropiación de la propiedad intelectual.

Entre las desventajas que ofrece tenemos:

• No especifica los mecanismos e instituciones encargadas de actuar en caso de que se cometa un delito.
• La ley es solo de carácter punitivo, no se hace referencia a otros aspectos aspectos de la seguridad de las T.I como los certificados digitales.
• No ofrece regulaciones acerca del correcto uso de la Internet.
• Existen delitos que están fuera de la legislación como el envió de correo electrónico no deseado.

Según Mendoza, Eugenio y Urdaneta Eugenio otras desventajas de la ley son:

La nueva Ley especial contra los delitos informáticos (LECDI) presenta deficiencias al tipificar los delitos; el carácter abierto de las redes, el continuo avance en el software y hardware; el carácter virtual de la informática; la necesidad de adiestramiento continuo, y la falta de adecuación del régimen probatorio con las características técnicas de estos nuevos delitos, constituyen los principales factores que limitan su persecución y penalización”

Y para Fernando Fernandez las desventajas son:

“(i) Utiliza términos en el idioma inglés, cuando la Constitución solo autoriza el uso del castellano o lenguas indígenas en documentos oficiales;

(ii) No tipifica delito alguno relativo a la seguridad e integridad de la firma electrónica y a su registro;

(iii) La terminología utilizada es diferente a la de la Ley de Mensaje de Datos y Firmas Electrónicas, tal como se observa en la definición que hace del mensaje de datos con lo que se propicia un desorden conceptual de la legislación en materia electrónica;

(iv) Repite delitos ya existentes en el Código Penal y en otras leyes penales, a los cuales les agrega el medio empleado y la naturaleza intangible del bien afectado;

(v) Tutela los sistemas de información sin referirse a su contenido ni sus aplicaciones;

(vi) No tutela el uso debido de Internet; y

(vii) Establece principios generales diferentes a los establecidos en el libro primero del Código Penal, con lo cual empeora la descodificación

Delitos informaticos

 "Nayarith Hernandez"Delitos informáticos prevalecen en Venezuela

Por: Venpres | Miércoles, 07/05/2003 

Caracas, 06 May Venpres (Rosa Sánchez).- La clonación de tarjetas inteligentes o de telecajeros, es uno de los delitos informáticos más comunes cometidos en Venezuela, informó el consultor jurídico del Centro Nacional de Tecnología de la Información (CNTI), Gerardo Pages.

Pages quien asistió este martes al Seminario de Nuevas Tecnologías y Delitos Informáticos que se lleva a cabo en el Centro Internacional de Educación y Desarrollo (Cied), al ser consultado sobre estos casos, explicó que entre otros delitos también está el robo o destrucción de bases de datos y violación a la propiedad intelectual, pero aclaró que fue a raíz de la manipulación y alteración de las referidas tarjetas y las pérdidas que tuvo el sector bancario que surgió una ley especial para la penalización de estos hechos delictuales.

Señaló que esta legislación vigente desde el año 2001 es producto de la iniciativa pública y privada; igualmente destacó la necesidad de la preparación y capacitación de profesionales del derecho en esta materia, por ser justamente los actores del sistema judicial venezolano.

Según las declaraciones de Pages, este tipo de delitos, de alguna manera es nuevo en el país porque se vienen presentando desde hace unos 6 años y se hicieron comunes luego de la masificación de las tarjetas de débitos o de créditos. Además la facilidad de conseguir los dispositivos permitió que se cometieran estos hechos punibles.

Pages también se refirió al desarrollo normativo en los últimos 4 años en relación a las tecnologías de la información y comunicación. De acuerdo a su visión el Estado venezolano ha desarrollado una labor bastante intensiva al vincular las tecnologías de la información al ordenamiento jurídico, porque de acuerdo a su opinión esta área de la informática cada día está posicionándose de la actividad humana.

-La legislación venezolana sanciona a los delitos informáticos como la propiedad intelectual y el uso de equipos informáticos que atenten contra la moral y la sanción dependerá del tipo de delito. Es una ley que ha sido considerada como muy punitiva porque castiga fuertemente este tipo de conducta- puntualizó

Delitos informaticos

 

"Nayarith Hernandez" Pasos para verificar que tu usuario Google y tu servicio Gmail no esta siendo supervisado sin autorización por terceros.

Imagen Patrick Chappatte

Si alguna vez fuiste hackeado o sospechas de haber sido hackeado en tu cuenta Gmail, debes tener en cuenta lo siguiente:
• En Gmail así como en otros servicios de correo electrónico pueden haber múltiples sesiones de usuario en una misma cuenta de correo electrónico; Esto quiere decir que tu cuenta de correo puede estar conectada a varios equipos a la vez. Por esto al utilizar una cuenta de correo un usuario se puede conectar desde su casa, oficina, o desde su móvil. Si te conectas desde tu casa, oficina, móviles, cada una estas conexiones es una sesión abierta.
• Cuando una persona cambia la clave pero existen otras sesiones abiertas, es decir, otros equipos conectados en ese momento, el cambio de claves no afecta a las otras sesiones abiertas.

Es posible que el delincuente informático, haya activado en tu cuenta Google aplicaciones en equipos móviles que no son de tu propiedad, permitiendo supervisar tu correo en un dispositivo extraño adicional.

Cómo usar las redes sociales sin ser víctima de delitos informáticos

En los próximos meses, los sitios seguirán estando en la mira de los atacantes. Sugerencias para no caer en la trampa.

 La popularidad de redes sociales como Facebook y Twitter no pasa desapercibida para quienes cometen delitos informáticos y ven en estos sitios la posibilidad de sacar provecho económico del desconocimiento o descuido de los usuarios.

Sebastián Bortnik, gerente de Educación y Servicios de la empresa de seguridad informática Eset, sostiene que las redes sociales seguirán estando en la mira de los atacantes en los próximos meses.

El especialista asegura que el principal vector de ataque en las redes son los mensajes falsos y tentadores, como los que promocionan videos de famosos.

“En estos casos se habla de ingeniería social, es decir, de usar habilidades sociales para hacer que la otra persona haga lo que el atacante desea”, apunta Bortnik.

Enlances maliciosos. Los ataques, por lo general, aparecen bajo la fórmula "mensaje más enlace", que es el que lleva al usuario al contenido malicioso. En Facebook, puede llegar a través de un mensaje en el muro, un privado (inbox) o una foto en la que el usuario aparece etiquetado, entre otros. En Twitter, a través de una mención o un mensaje privado.

El especialista de Eset asegura que los ataques más comunes en Facebook son los que buscan la infección de equipo o el robo de información.

“El usuario muchas veces peca de esta velocidad e instantaneidad con la que se hace todo en Internet, lo que juega a favor del atacante. Cuando te dan un billete grande uno le da una mirada. Bueno, en Internet eso no existe. En el mundo físico parece ridículo, pero en el mundo virtual es lo que estamos haciendo”, dice Bortnik.

Videos prometedores. Uno de los “anzuelos” más comunes para un ataque son los videos impactantes, como el que prometía mostrar la muerte de Osama Bin Laden tras conocerse su deceso.

“Lo que siempre decimos a los usuarios es que usen la cabeza”, dice el ingeniero y explica: “Si murió Osama y me llega un link por Twitter o Facebook que dice que hay un video, ¿por qué no prendo la tele? Si hay un video, va a estar en los medios de comunicación, en todos lados”, apunta.

Los atacantes suelen aprovechar los temas candentes para posicionar sus enlances maliciosos. "Toman noticias muy mediáticas. Por ejemplo, cuando fue el boom de los tsunamis, aparecían alertas de tsunamis. Intentan reemplazar a los medios con noticias exageradas que se sabe van a tener mucha repercusión".

Para evitar caer en la trampa, el ingeniero recomienda tener una buena tecnología de seguridad e implementar buenas prácticas, como por ejemplo, pensar antes de hacer clic.  Así, por ejemplo, sugiere revisar los enlaces. Para eso hay que posar el mouse sobre el link y ver cuál es la dirección a la que nos llevará. Con ese simple paso, el usuario puede detectar si el enlace lo conducirá a un sitio extraño.

Bortnik también recomienda tener otras precauciones y hacer una buena configuración de privacidad de las redes. “Siempre es importante ver cuántos contactos tengo, si me pueden etiquetar o si pueden poner cosas en mi muro de Facebook. Son pequeñas buenas prácticas para minimizar la probabilidad de hacer clic en enlaces maliciosos”, añade.

POLITICAS DE SEGURIDAD EN INFORMÁTICA:

POLITICAS DE SEGURIDAD EN INFORMÁTICA:

Hoy es imposible hablar de un sistema cien por cien seguro, sencillamente porque el costo de la seguridad total es muy alto. Por eso las empresas, en general, asumen riesgos: deben optar entre perder un negocio o arriesgarse a ser hackeadas.

La cuestión es que, en algunas organizaciones puntuales, tener un sistema de seguridad muy acotado les impediría hacer más negocios. "Si un Hacker quiere gastar cien mil dólares en equipos para descifrar una encriptación, lo puede hacer porque es imposible de controlarlo. Y en tratar de evitarlo se podrían gastar millones de dólares".

La solución a medias, entonces, sería acotar todo el espectro de seguridad, en lo que hace a plataformas, procedimientos y estrategias. De esta manera se puede controlar todo un conjunto de vulnerabilidades, aunque no se logre la seguridad total. Y esto significa ni más ni menos que un gran avance con respecto a unos años atrás.

Algunas organizaciones gubernamentales y no gubernamentales internacionales han desarrollado documentos, directrices y recomendaciones que orientan en el uso adecuado de las nuevas tecnologías para obtener el mayor provecho y evitar el uso indebido de la mismas, lo cual puede ocasionar serios problemas en los bienes y servicios de las empresas en el mundo.

En este sentido, las Políticas de Seguridad Informática (PSI), surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector de negocios.

Una política de seguridad informática es una forma de comunicarse con los usuarios, ya que las mismas establecen un canal formal de actuación del personal, en relación con los recursos y servicios informáticos de la organización.

Una política de seguridad informática es una descripción técnica de mecanismos, ni una expresión legal que involucre sanciones a conductas de los empleados, es más bien una descripción de los que deseamos proteger y él por qué de ello, pues cada política de seguridad es una invitación a cada uno de sus miembros a reconocer la información como uno de sus principales activos así como, un motor de intercambio y desarrollo en el ámbito de sus negocios. Por tal razón, las políticas de seguridad deben concluir en una posición consciente y vigilante del personal por el uso y limitaciones de los recursos y servicios informáticos.

ELEMENTOS DE UNA POLÍTICA DE SEGURIDAD INFORMÁTICA:

- Alcance de las políticas, incluyendo facilidades, sistemas y personal sobre la cual aplica.

- Objetivos de la política y descripción clara de los elementos involucrados en su definición.

- Responsabilidades por cada uno de los servicios y recursos informáticos aplicado a todos los niveles de la organización.

- Requerimientos mínimos para configuración de la seguridad de los sistemas que abarca el alcance de la política.

- Definición de violaciones y sanciones por no cumplir con las políticas.

- Responsabilidades de los usuarios con respecto a la información a la que tiene acceso.

Las políticas de seguridad informática, también deben ofrecer explicaciones comprensibles sobre por qué deben tomarse ciertas decisiones y explicar la importancia de los recursos. Igualmente, deberán establecer las expectativas de la organización en relación con la seguridad y especificar la autoridad responsable de aplicar los correctivos o sanciones.

Otro punto importante, es que las políticas de seguridad deben redactarse en un lenguaje sencillo y entendible, libre de tecnicismos y términos ambiguos que impidan una comprensión clara de las mismas, claro está sin sacrificar su precisión.

Por último, y no menos importante, el que las políticas de seguridad, deben seguir un proceso de actualización periódica sujeto a los cambios organizacionales relevantes, como son: el aumento de personal, cambios en la infraestructura computacional, alta rotación de personal, desarrollo de nuevos servicios, regionalización de la empresa, cambio o diversificación del área de negocios, etc.

PARÁMETROS PARA ESTABLECER POLÍTICAS DE SEGURIDAD:

- Efectuar un análisis de riesgos informáticos, para valorar los activos y así adecuar las políticas a la realidad de la empresa.

- Reunirse con los departamentos dueños de los recursos, ya que ellos poseen la experiencia y son la principal fuente para establecer el alcance y definir las violaciones a las políticas.

- Comunicar a todo el personal involucrado sobre el desarrollo de las políticas, incluyendo los beneficios y riesgos relacionados con los recursos y bienes, y sus elementos de seguridad.

- Identificar quién tiene la autoridad para tomar decisiones en cada departamento, pues son ellos los interesados en salvaguardar los activos críticos su área.

- Monitorear periódicamente los procedimientos y operaciones de la empresa, de forma tal, que ante cambios las políticas puedan actualizarse oportunamente.

- Detallar explícita y concretamente el alcance de las políticas con el propósito de evitar situaciones de tensión al momento de establecer los mecanismos de seguridad que respondan a las políticas trazadas.

EVALUACIÓN DE RIESGOS

El análisis de riesgos supone más que el hecho de calcular la posibilidad de que ocurran cosas negativas.

1.      Se debe poder obtener una evaluación económica del impacto de estos sucesos. Este valor se podrá utilizar para contrastar el costo de la protección de la información en análisis, versus el costo de volverla a producir (reproducir).

2.      Se debe tener en cuenta la probabilidad que sucedan cada uno de los problemas posibles. De esta forma se pueden priorizar los problemas y su coste potencial desarrollando un plan de acción adecuado.

3.      Se debe conocer qué se quiere proteger, dónde y cómo, asegurando que con los costos en los que se incurren se obtengan beneficios efectivos. Para esto se deberá identificar los recursos (hardware, software, información, personal, accesorios, etc.) con que se cuenta y las amenazas a las que se está expuesto.

La evaluación de riesgos y presentación de respuestas debe prepararse de forma personalizada para cada organización; pero se puede presupone algunas preguntas que ayudan en la identificación de lo anteriormente expuesto:

• "¿Qué puede ir mal?"
• "¿Con qué frecuencia puede ocurrir?"
• "¿Cuáles serían sus consecuencias?"
• "¿Qué fiabilidad tienen las respuestas a las tres primeras preguntas?"
• "¿Se está preparado para abrir las puertas del negocio sin sistemas, por un día, una semana, cuanto tiempo?"
• "¿Cuál es el costo de una hora sin procesar, un día, una semana...?"
• "¿Cuánto, tiempo se puede estar off-line sin que los clientes se vayan a la competencia?"
• "¿Se tiene forma de detectar a un empleado deshonesto en el sistema?"
• "¿Se tiene control sobre las operaciones de los distintos sistemas?"
• "¿Cuantas personas dentro de la empresa, (sin considerar su honestidad), están en condiciones de inhibir el procesamiento de datos?"
• "¿A que se llama información confidencial y/o sensitiva?"
• "¿La información confidencial y sensitiva permanece así en los sistemas?"
• "¿La seguridad actual cubre los tipos de ataques existentes y está preparada para adecuarse a los avances tecnológicos esperados?"
• "¿A quien se le permite usar que recurso?"
• "¿Quién es el propietario del recurso? y ¿quién es el usuario con mayores privilegios sobre ese recurso?"
• "¿Cuáles serán los privilegios y responsabilidades del Administrador vs. la del usuario?"
• "¿Cómo se actuará si la seguridad es violada?"

PLAN DE CONTINGENCIA:

Es el conjunto de procedimientos alternativos a la operativa normal de cada empresa, cuya finalidad es la de permitir el funcionamiento de ésta, aún cuando alguna de sus funciones deje de hacerlo por culpa de algún incidente tanto interno como ajeno a la organización como un fallo en la correcta circulación de información o la falta de provisión de servicios.

El hecho de preparar un plan de contingencia no implica un reconocimiento de la ineficiencia en la gestión de la empresa, sino todo lo contrario, supone un importante avance a la hora de superar todas aquellas situaciones descritas con anterioridad y que pueden provocar importantes pérdidas, no solo materiales sino aquellas derivadas de la paralización del negocio durante un período más o menos largo.

supuesto acto de ciber-espionaje contra el palacio presidencial frances

El semanario francés L´Express revela un supuesto acto de ciber-espionaje contra el palacio presidencial galo.

Diario Ti: Un artículo publicado en el semanario L´Express describe la forma en que Estados Unidos habría realizado una intrusión informática contra la red del palacio del Eliseo, sede del gobierno francés.

En el artículo se recalca que Janet Napolitano, secretaria (ministra) de seguridad interior estadounidense, se negó a comentar la información revelada por el semanario, limitándose a recordar que Francia es uno de los principales aliados de Estados Unidos. Por su parte, un portavoz de la embajada de Estados Unidos en París negó que su país haya espiado a Francia, que define como "uno de nuestros aliados más importantes".

Ninguna autoridad del gobierno francés, ni tampoco de la oposición, aceptó comentar la información.

El artículo de L´Express se basa en fuentes anónimas de los servicios franceses que habrían investigado la intrusión y que habrían identificado al malware Flame. La situación habría sido detectada en mayo pasado, entre las dos rondas de las elecciones francesas, cuando el entonces presidente Nicolas Sarkozy perdió frente al candidato socialista Francois Hollande.

El presidente Sarkozy no habría sido afectado por la situación, lisa y llanamente debido a que no tenía PC. Sin embargo, varios de sus colaboradores más cercanos, incluyendo el más importante, el jefe de gabinete Xavier Musca, fueron espiados directamente, según L´Express.