Análisis de Riesgos Tecnológico, en la vida cotidiana

La seguridad en casas inteligentes y al usar dispositivos conectados al Internet de las Cosas ha estado sobre la mesa nuevamente en los últimos días, a raíz de la noticia de que un sitio muestra las imágenes capatadas por cámaras de vigilancia -debido a que sus usuarios no cambian las contraseñas por defecto y, en consecuencia, es posible acceder a ellas. El recordatorio de la importancia de cambiar las claves fue quizás un poco espeluznante, ya que se mostraban todo tipo de imágenes filmadas alrededor del mundo en directo -casas, empresas, un bebé durmiendo y más. Pero, de igual forma, sirvió para reafirmar que proteger la seguridad en la era de las casas inteligentes puede ser un desafío. “Por supuesto que hay amenazas asociadas a más dispositivos conectados a Internet”, dice Graham Cluley, experto en seguridad y autor de We Live Security. “En especial cuando son fabricados por compañías que pueden no estar bien versadas en seguridad de computadoras. Ninguno de nosotros deb

Con anterioridad hemos podido apreciar la importancia que tiene la programación a la hora de automatizar tareas de auditorías de seguridad de la información. Esto permite revisar en qué estado se encuentra una red, un servidor, un equipo o un servicio, entre otros, para poder protegerlo tomando los recaudos necesarios. En esta entrada te enseñaremos cómo crear tus propios módulos para el framework Metasploit. En otro caso anterior, hemos visto cómo llevar a cabo nuestras auditorías haciendo uso de Metasploit . Ahora crearemos un escáner para agregar en los auxiliares y poder usarlo cada vez que lo necesites, tal como cada módulo que ya viene por defecto. Para ello usaremos Ruby , uno de los lenguajes que más utiliza esta aplicación. En primera instancia veremos el código: En el punto A importa a “ msf/core ”, el motor de librerías en Metasploit. En el recuadro B se muestran las clases y librerías que importa el complemento, y seguido de esto inicializa. Lo más importan

Tras el cierre del tercer trimestre del año, les presentamos un nuevo Resumen Trimestral de Amenazas , que se destaca por la presencia de vulnerabilidades en dos sentidos: fallas y bugs en sistemas, como es habitual -basta recordar el reciente caso de Shellshock- y también en lo que respecta a la conducta de los usuarios, blancos de ataque que se siguen viendo afectados por incidentes como robo de credenciales. De esta forma, hemos sido testigos de la masiva filtración de fotos íntimas de famosas, con Jennifer Lawrence a la cabeza y una larga lista que incluyó a Rihanna, Kim Kardashian, Ariana Grande y Kate Upton, entre muchas otras. ¿Cuál fue aquí la “vulnerabilidad”? Contraseñas de acceso débiles , responsabilidad del usuario detrás de la cuenta -y no una falla en el servicio que almacenaba las fotos, en este caso, iCloud . Entonces, ¿qué conclusión nos arroja lo sucedido entre julio y septiembre de este 2014? Que las vulnerabilidades, además de estar presentes en los siste

El software de   computación en   la nube   open source   puede ofrecer   ventajas   a las organizaciones aprovechando   las   fuertes   comunidades   de usuarios y desarrolladores   que se han formado   y   los ciclos de actualizaciones   agresivos   que algunos de ellos mantienen. Tom's IT Pro ha publicado una guía   de las aplicaciones de Cloud Computing Open Source más conocidas y las ha clasificado según sus objetivos : Advantages of Open Source Cloud Computing Software Open Source Hypervisors Open Source Cloud Appliances Open Source Compute Clouds (IaaS) Open Source Cloud Storage Software Open Source Platform as a Service (PaaS) Open Source Software Defined Networking Tools Open Source NoSQL Databases Open Source Provisioning Tools Open Source Configuration Management Tools Para ayudar a elegir mejor, recientemente también hemos publicado   Cómo elegir un servicio de Cloud Computin g. Fuente: SeguInfo

En el día de hoy comenzó la conferencia más importante de la industria antivirus, Virus Bulletin ; tres días donde los principales investigadores de empresas de seguridad comparten los principales hallazgos sobre la evolución del malware y el cibercrimen . Este año el evento fue abierto por primera vez por Martin Grooten , Editor de Virus Bulletin, quien contó sus impresiones habiendo asistido a su primer conferencia Virus Bulletin en el año 2007 en la ciudad de Viena (casualmente el mismo año que yo asistí por primera vez a la conferencia también), y rememorando cuáles fueron sus impresiones sobre la “industria antivirus” que ahora es su comunidad. Martin comentó que su primer impresión, al igual que la de mucha gente, fue notar cómo los virus ya no eran la única amenaza existente: que gusanos, troyanos y otras amenazas comenzaban a ocupar un lugar preponderante en la agenda de las soluciones de seguridad que poco a poco dejaban de llamarse “soluciones antivirus”. En estos

Como muestra el caso de Edward Snowden, no hay tal cosa como la seguridad absoluta. Eso no significa que usted no debe tratar de asegurar su red tanto como sea posible. No hay tal cosa como la seguridad absoluta para los datos, redes o cualquier otra cosa . Si bien la seguridad informática es esencial en casi todas las organizaciones, existen vulnerabilidades en toda la cadena de valor de TI, desde la planta física hasta las redes (tanto WAN y LAN) y las aplicaciones. Nuestro objetivo es aplicar mecanismos, políticas y procedimientos que proporcionan un grado óptimo de garantía de que la información sensible no se verá comprometida por errores de hardware, software o humanos, o una nefasta intención humana. Los requisitos de seguridad básicos incluyen estos elementos esenciales : Una política de seguridad adecuada, Educación, capacitación, sensibilización y refuerzos, Cifrado de datos sensibles cuando estén en residencia (almacenados en dispositivos de la empresa o propiedad de

Con el propósito de transformar la manera en la que las organizaciones se protegen de amenazas sofisticadas, Cisco lanzó su primer firewall de próxima generación (NGFW) enfocado en amenazas, Cisco ASA con FirePOWER Services. El dispositivo integra las características del firewall Cisco ASA 5500 Series con el control de aplicaciones y los sistemas de prevención de intrusiones de próxima generación (NGIPS) y la protección avanzada contra malware (AMP) de Sourcefire para proporcionar un conocimiento completamente contextual y controles dinámicos que permiten evaluar automáticamente las amenazas, hacer correlaciones inteligentes y optimizar la defensa para proteger todas las redes a lo largo del continuo de los ataques, antes, durante y después de que estos ocurren. Cisco ASA con FirePOWER Services es un NGFW adaptativo , que entrega protección de varias capas, extendiendo sus capacidades más allá de las soluciones con las que ya cuenta las soluciones NGFW heredadas. Sus principales car

Karsten Nohl y Jakob Lell hablarán en la Black Hat de BadUSB . No es "malware indetectable" ni nada por el estilo, como se está diciendo. Es el nombre "comercial" que le han puesto a una serie de herramientas o técnicas que permitirán realizar ataques más sofisticados a través de dispositivos USB (memorias flash, por ejemplo). Obviamente, esto ha sido acogido en los medios con sirenas, bombos y platillos. Veamos si en realidad es para tanto. Quiénes son Karsten Nohl es un viejo conocido en el panorama de la seguridad. En la Black Hat de 2013 demostró cómo se podía tener total acceso a una tarjeta SIM de varios operadores solamente enviando un mensaje SMS y aprovechando fallos de seguridad Java en la implementación del software de la tarjeta SIM. Jakob Lell por su parte en 2012, descubrió cómo se calculaba la contraseña predefinida en routers Belkin. Ahora han desarrollado una técnica con la que se podría infectar cualquier PC (no habla de sistema ope

De acuerdo con el sitio web BGR, la actualización del sistema operacional de la Microsoft para smartphones, el Windows Phone 8.1, podrá ser lanzado en el mercado aún en el mes de junio. La actualización fue anunciada en abril, durante una conferencia anual para desarrolladores en San Francisco. La empresa americana debe insertar una asistente personal, Cortana, tal como ya existe el Siri, de Apple. Otras novedades son la inclusión de una central de notificaciones y opciones de personalización de la pantalla de bloqueo. La asistente Cortana fue pensada para contestar a los comandos de voz en celulares equipados con el Windows Phone, pero solamente comprende inglés, inicialmente. Otra habilidad de la asistente es registrar hábitos y preferencias del usuario para hacer recomendaciones precisas o emitir alertas. Además de la agenda y alertas de los compromisos, la asistente también podrá contestar a algunas dudas sobre el tiempo y la hora en otro país, los mejores

Los directores de seguridad se sienten frustrados; ahora tienen la responsabilidad adicional de asegurar el cumplimiento normativo de TI y alternativamente se ven obligados a gastar el tiempo, esfuerzo y dinero en cumplir los requisitos de auditor con los cuales pueden no estar de acuerdo. Además, la dirección ejecutiva normalmente equivale a más presupuestos y gastos en cumplimiento de una mayor seguridad. Si bien esto puede ser cierto en algunos casos, este error puede darles una falsa sensación de seguridad. El cumplimiento regulatorio no siempre conduce a una mejor seguridad La verdad es que es posible tener una excelente seguridad y no tener cumplimiento, y es posible pasar una auditoría de cumplimiento con gran éxito y tener poca seguridad. La falsa idea de que el cumplimiento es igual a la seguridad ha llevado a las organizaciones a gastar en exceso en el cumplimiento, a veces en detrimento de la seguridad. Muchas industrias reguladas dedican ahora una parte importante de l

Python se ha transformado sin dudas en el lenguaje base de cualquier profesional de seguridad debido a su formmato sencillo, potente y totalmente extendible. Python, un lenguaje multiplataforma, permite que trabajas rápidamente y eficientemente, permitiéndo concentrarse en el objetivo a lograr en lugar del lenguaje en sí mismo. A continuación una lista de más de 70 libros sobre diferentes formas de aprovecharlo al máximo 51 libros gratuitos sobre cómo programar en este lenguaje. 21 libros gratuitos hosteados en Google Docs Hacking Secret Ciphers with Python BlackHat Library The Hacker's Guide to Python Fuente: SeguInfo

Durante 2013 se produjeron  450.000 ataques de phishing  en todo el mundo que, en su conjunto, supusieron unas pérdidas de   5.900 millones de dólares , según informe de RSA. Otro estudio de Kaspersky, asegura  que el año pasado  39,6 millones de usuarios  se vieron afectados  por este tipo de ataques, con el phishing bancario como la técnica favorita de los  cibercriminales y ya supone el 31,45 por ciento del total.  Datos preocupantes de una amenaza cada vez más sofisticada que no para de crecer y es cada vez más sofisticada, como vimos la semana pasada con motivo de la Copa del Mundo de Fútbol 2014 .  Como todos los ataques de phishing , l os sitios falsos destinados a estafar a los internautas imitan dominios auténticos del evento, incluyendo a sus patrocinadores y socios -marcas conocidas – para tratar de atraer a los usuarios y que estos compartan sus datos privados  como nombres de usuario, contraseñas y números de tarjetas de crédito. Incluso comienzan con “

A la Agencia de Seguridad Nacional le está viniendo muy bien la casi infinita profusión de fotografías disponibles en Internet interceptándoas mediante sus sofisticados métodos de vigilancia durante los últimos cuatro años ha logrado extraerlas de correos electrónicos, mensajes privados, redes sociales y videoconferencias hasta lograr una técnica revolucionaria de reconocimiento facial capaz de rastrear a casi cualquier sujeto incluso si cambia de corte de pelo aunque las barbas aún le plantean alguna dificultad. "Cada día la NSA intercepta alrededor de 55.000 imágenes de alta calidad que le permiten afinar su método de reconocimiento facial" . Estas palabras se contienen en un documento fechado en 2011 y que se hizo público tras las revelaciones debidas a Edward Snowden. Las comunicaciones escritas y orales continúan teniendo importancia pero hace ya años que la agencia de seguridad estadounidense comenzó a emplear sus avanzados métodos para acceder a la val