Quantcast
Channel: INSEGUROS Seguridad informática
Viewing all 510 articles
Browse latest View live

Ser autónomo en España. Prepárate...

$
0
0
Estimados amigos de Inseguros !!!

Cabreo, cabreo al cuadrado, cabreo al cubo !!!

Comienza el año y se cierran ejercicios fiscales del anterior. Llegan las prisas, las llamadas del asesor y los disgustos.


Voy a explicar un poco como va el tema del autónomo, porque sé que muchos lo estudian, se que el gobierno anuncia a bombo y platillo rebajas, ayudas, incentivos, y todo el circo que hay alrededor del circo del emprendedor.

Cuando uno se hace autónomo, tiene que pagar sus seguros sociales, lo que te hace ser persona, lo que te hace que haya paro, pensiones y no se cuantas cosas más. El mínimo son 270€ por una cotización de 950€ al mes. Esto quiere decir que si ganas 1000€ o 123.000€, cuenta cómo 950€ mes. Como es lógico, es la opción más usada, al menos al principio.

El gobierno tiene rebajas de 50€ el primer año creo que es ahora, y el segundo año paulatinamente va subiendo. Perfecto, esta ayuda es real y tangible, pero no lo olvides, tu cotización no serán tus números de actividad, serán 950€/mes/270€.autonomo.

Ahora va el IVA, esto es más sencillo de lo que parece. El IVA no es tuyo, es de los españoles. Si tu cobras 2.000+ IVA el iva tienes que darselo al estado, es suyo. Como eres una "empresa" o más bien una compresa diría yo, puedes hacer lo siguiente: yo compré un ordenador por 1.000€+ iva. compré una licencia de photoshop para hacer mis montajes, 600€ +iva. Tu ya has pagado por ese iva, por lo que debes restar al iva de tus ventas que debes pagar a Montoro. Sencillo. Iva que vendes - ivas que compras= iva que tienes que pagar.

10.000+iva de ventas= 2.100 que debes de pagar.

Si has compras cosas para tu trabajo por valor de 10.000 +iva= 2.100 que ya has pagado en la tienda.

Total a pagar= 0 de IVA.

Queda claro que el IVA no cuenta en los negocios, no a este nivel. La gente dice " es que luego a ti te devuelven el iva.." y cosas así... Vuelve a la regla de atrás y respóndete.

Ahora entramos en lo marronero, hasta ahora la cosa es fácil. Puedo desgravarme el tabaco que fumo en el trabajo porque lo necesito para el trabajo? puedes hacerlo !!! eres libre de poner en los documentos lo que quieras, pero no es legal. En una inspección te diría el tipo: es usted un fumador profesional? le pagan por fumar? está usted inscrito como fumador? Por supuesto que todo lo que hubieras desgravado tendrías que devolver, más una multa.

Más cosas: las comidas? todo el mundo sabe que si sales a comer por ahí, puedes desgravar la comida, da igual donde comas, en un menú o en una estrella Michelín. Da igual que seas tu, o tu y 3 clientes. Puedes hacerlo, pero lo mismo, llegará hacienda y te dirá: puedes desgravarte 15€ al día...

Te voy a seguir comentando cosas, que son las que yo CREIA o escuchaba,  o incluso me dice la gente, los que no saben o los defraudadores. El coche. Hacienda dice que el coche no se desgrava si no constituye tu nucleo productivo. Ejemplo: taxista, repartidores, chofer, etc. Estos si que usan el coche como herramienta. La gente dice, pero claro, tienes que ir a trabajar en coche, tienes que ir a ver clientes en coche, YA, sí, y qué parte del coche es para ti y qué parte es para la actividad?. Solo lo usas de lunes a viernes o te vas de vacaciones? Hacienda no es tonta, y COMO MUCHO puede ser que te deje desgravar la mitad del coche, NUNCA ENTERO, y el que te diga que sí mienta y es un defraudador, o lo pillaran o ira al infierno xD.

Hasta ahora está claro no? el concepto de desgravar que he introducido hace relación a lo del IVA, a que si vale un portátil 1500 + iva puede descontar 315€ de lo que tenga que pagar por mis ventas.

Aparte, la desgravación tiene otro concepto. El resultado anual de tu actividad, por decirlo de alguna manera.

TODOS los españoles, autónomos a o no, pagamos IRPF. Los que teneis nómina lo sabeis, es esa diferencia entre el bruto y el neto. Cuanto más ganas, mas retención tienes.



Quien paga ese IRPF? lo pagas tu o la empresa? depende como lo veas. Si piensas que tu sueldo  el bruto que negociaste y que no percibes porque te quitan el irpf, lo pagas tu. Si no piensas en eso, y al final piensas solo en el líquido a percibir, que es lo que te ingresan en el banco, lo paga la empresa...

Realmente lo pagas tú, a través de la empresa, por eso los sueldos los debes negociar en bruto/año.

Bien, según cobras más, pagas más. Mola !! es algo lógico. Moral !! pero cuánto? cuánto de moral?


Esta tabla es aproximada, porque habla de base imponible y el sueldo se divide en varios conceptos. Además, hay una variación según tienes hijos o no, según donde vives, minusvalias, etc, pero en términos generales, es así.

Parece lógico no? quien más tiene más paga? pero... para eso está el concepto de %, quiero decir.
si ganas 10.000 y pagas el 15%, si ganas 20.000 y pagas el 15%, si ganas 50.000 y pagas el 15%, ya está pagando más quien más tiene... este modelo es injusto, y da como resultado lo que tenemos en España, mucho dinero negro porque se penaliza MUCHO ganar dinero. Ahora todos estaremos pensando en D. Amancio y las grandes fortunas... no no, voy a demostrar aquí que no es así, y que es injusto.

Sin desviarnos más del tema, como autónomo que eres, tienes que pagar eso, por lo que hacienda te dice: págame en cada factura el 15% y luego a final de año ya veremos. Bueno, eso no te lo dicen, te dicen: NUEVA REBAJA FISCAL para autónomos, 8% para los nuevos, 15 % para los no nuevos... pero esto no significa eso, significa que eso es lo que tienes que pagar en cada factura... luego viene el final de año...

Recordamos más cosas, que ganes 10.000/100.000... para el paro o jubilación estás cotizando 950€...cuando estás pagando un disparate de impuestos.

Cuando eres empresario y eres tu el que paga a los empleados, PASA lo mismo, porque lo que no pagas de irpf lo pagas en seguros sociales, o al revés, y que pasar pasta de empresa a persona cuesta dinero, pero eso sería otro artículo.

El gobierno hace publicidad FALSA diciendo que te quietes el 15% de IRPF para los autónomos !!! yujuuu, pero eso una estimación de que vas a ganar 10/12.000€ Si vas a ganar dinero, esa afirmación es mentira por lo que fomentan el mil euorismo legal. La media de facturación de los autónomos es de mas o menos esas cantidades por que? Si me obligas a quitarme el 15% de cada una, yo voy facturando para que al final de año el glogal se quede en ese tramo, y el resto lo hago en negro, porque es una putada que en junio del año siguiente me pidas dinero de lo que gané el año anterior.

Esto es la REALIDAD de la calle, y no me cabe duda de que si fuera más barato declarar el dinero, más dinero se declarará porque al final la gente no es mala, CREO que a nadie le gusta defraudar, y todos entendemos que hay que contribuir, pero el gobierno lo tiene que poner fácil. Insisto, de ganar 40.000 € a pagar la mitad, es UN ROBO, no es el caso de Messi o Ronaldo, por lo que la gente al final, en negro !!! Aquí entra la corriente política de cada uno y su situación, pero está demostrado que en los países donde se pagan menos impuestos se recauda más... curioso...

Si cuando viene el fontanero a casa te dice 200 o 240 con factura? estás EMPUJANDO a que diga 200. Sin embargo si fuera , 200 o 215? todo el mundo querría la factura. por la legalidad, moralidad, por garantía, etc...

Solo quiero manifestar mi enfado y unos números que no son los míos, pero que muestran como en España te castigan por ganar dinero, cifras pequeñas, o relativamente pequeñas. Si ganas 1.000€ seguro que te sonarán a escándalo todo esto, pero es que si ganas 1.000€ estás bien jodido, la solución no es joder a los demás.

Si puedes, no te hagas autónomo, no te hagas emprendedor, no te creas NADA. Como más tranquilo se vive es con un salario fijo y dos o tres pagas extras al mes. Los autónomos en España están castigadísimos y no reciben una mierda.

Gracias por leerme, necesito pasta :-)










Azure App para IOs. Tu mundo Azure en la palma de tu mano...

$
0
0
Estimados amigos de Inseguros !!!

No va a ser este el primer ni último capítulo del que habla de las bondades del usar el cloud, en sus distintos proveedores, y en particular el que más manejo y me gusta, Azure.

Al final todo suma, y al igual que cuando compramos un coche, no solo nos importa el motor, sino que apreciamos o valoramos en gran medida los "extras", con la gestión del cloud y la facilidad de uso ocurre lo mismo.



En esta mini entrega voy a enseñaros la aplicación para móvil Iphone de Azure.

Tomando como referencia algunos listados, varias entidades coinciden en que el top 5 proveedor de cloud más importantes ofrecen sus servicios básicos de gestión mediante aplicación móvil, habrá que probarlos.

El orden de importancia, facturación, implementación, popularidad suele ser este:

Microsoft Azure. Aplicación móvil.
Amazon Aws. Aplicación móvil.
Ibm. Aplicación móvil.
Salesforce. Aplicación móvil.
Sap Google quiero meter yo :-) . Aplicación móvil.

Es curioso porque lo he comentado con varios usuarios de Azure y no todo el mundo la usa.

Qué se puede hacer? pues ver toda la gestión de subscripciónes, el estado de tus servicios, objetos, operaciones básicas como apagado/encendido y gráficas de rendimiento. Imagino que poco a poco podremos recibir alertas y hasta crear recursos, pero de momento es un buen "featuring".

Unas imágenes mejor que mil palabras.





Espero que os sirva de ayuda, y como siempre, gracias por leerme !!!



VEO TRELLO, que ves ? Una cosita... y qué cosita es: Indexado de paneles públicos muestra información sensible

$
0
0
Estimados amigos de Inseguros !!!

En el post de hoy voy a mostraros un pequeño truco de búsqueda en Google, ya sabéis, un DORK que publicó hace unos días el señor https://twitter.com/xKushagra/ en donde podíamos buscar información indexada por Google en tableros PUBLICOS mediante el sencillo DORK: inurl:https://trello.com AND intext:COSAS.

Para los que no lo sepan, Trello es un servicio en la nube que permite crear paneles de trabajo con distintas etiquetas, fases, al estilo de soporte para metodologías Canvas. Es muy potente y tiene muchas opciones.

Antes del contenido, un poco de chapa. Cuando usamos servicios en la nube como este o cualquier otro, confiamos en la seguridad del proveedor. Es MUY importante saber con quien estamos operando y cual es su nivel de madurez respecto a calidad del servicio y seguridad.

Estoy harto de ver gente con servicios low cost implementados en empresas y que luego adolecen de tremendos fallos, tanto de productividad, disponibilidad como de seguridad.

Al final todo en esta vida se paga, y cuando te vas a un proveedor de soluciones en la nube potente, la diferencia suele ser abismal. En este caso ha sido solo un pequeño "fallo de concept" en permitir a Google indexar el contenido, aunque mirándolo bien, es el usuario el que publica Paneles de manera descontrolada... El resultado es peligroso y doloroso para algunas organizaciones. Es que las empresas no buscan su nombre en Google todos los días?...

Probando cosas de mi región encontré panales graciosos:



Esta gente sospecho que ha tenido algún que otro incidente de seguridad en el pasado o gatillazo :-)

Otro panel curioso que he visto es el de una periodista Mexicana que va recopilando información y luego escribe post para distintos medios. Sería gracioso inventar alguna noticia y hacerle el desarrollo hasta ver donde llega xD...


Un panel entretenido también y peligroso es este, un sistema de gestión de mutuas o similar en desarrollo en el que trabajan con datos reales, datos de salud, partes de accidentes, ingresos y demás.



Más de lo mismo





Como puedes ver, hay información de todo tipo.

Solo es cuestión de jugar con la palabra que buscas y echarle un ratito.

Espero que busques bien tus empresas, datos y contactos y sobre todo, se consciente del riesgo que tiene publicar información en servidores ajenos.

Gracias por leerme !!!

Usando DefectDojo para control de vulnerabilidades

$
0
0
Estimados amigos de Inseguros !!!

Cuando ofrecemos servicios de auditoría o pentesting, o incluso como cliente te planteas hacer un proyecto de este tipo, es indudable que aparezca el temor a que el resultado del trabajo sea un entregables, en papel, más o menos bonito, con un montón de hallazgos y soluciones, pero escasas herramientas de tracking de cambios.

En algunos clientes se acompaña el trabajo de auditoria con el trabajo de gestión del proyecto global, incluidos los resultados. Me eeeeeexplicoooooo.



Si en una auditoría se detecta la necesidad de hacer una actualización puntual, se crea un ticket en la plataforma de incidentes del cliente ( o nuestra) para poder establecer un control sobre la remediación. Qué persona se va a encargar, cuando, como, rellenar una KB, etc etc.

A las malas malas malas, estoy hablando de usar ese libro gordo de petete del resultado de la auditoría, e ir "tachando" qué se va a haciendo !!!

Una de las cosas que se mide en la mayoría de normativas de seguridad y certificaciones es el control de las auditorias. Bueno, en primer lugar es que la organización pase auditorías, pero lo segundo es que se vayan controlando los cambios y solucionando los hallazgos.

Para meternos más en este mundo, voy a comentar una aplicación que he visto por las redes sociales que me parece muy interesante para esta gestión. Quizás más interna por lo que veremos ahora, pero vamos paso a paso y vamos a instalarla. Me refiero a DEFECT DOJO.

Como en todo lo "moderno", podemos usar contenedores tanto en Docker como en vagrant, pero yo soy de montarme mi máquina virtual en Azure e instalar desde cero.

El proceso es sencillo, instala Mysql y corre el script de instalación. Nota mental, en las nuevas Debian 9 mysql es Mariadb, y hay alguna librería de desarrollo que cambia y da problemas, asegúrate de montar el aplicativo sobre Mysql.

También tendrás que permitir los allowed_host para la app en django y poco más...


Vamos a hacer uso de las integraciones que nos trae el framework de casa.



Vamos a crear un producto, vamos a establecerle unos test y vamos a subir un report de Burp con una Sql Injection.



Como se aprecia en la imagen, se adquiere la información de Burp y se pueden añadir imágenes.

El framework permite añadir una plantilla para cada tipo de elemento, lo típico de nuestro trabajo de tener el texto en castellano con nuestra explicación...

Sin duda es una herramienta con mucho potencial, gracias a su integración con JIRA y la gestión de tickets.

Voy a darle unas pocas vueltas y otro día vemos más cosas.

Un saludo, gracias por leerme !!!


Aquí te paso un video de una demo por si te interesa ampliar información:

https://youtu.be/3Voscdxg4FA

Generación de diccionario de usuarios tipo jmolina@ gracias a linkedin scraping.

$
0
0
Estimados amigos de Inseguros !!!

Una de las opciones que tenemos a la hora de realizar un pentest o auditoria es la fuerza bruta.

Debemos detectar aquellos sistemas que no protegen de ataques de este tipo, pero debemos ir un paso más allá e intentar demostrarlo mediante la obtención de una clave válida.

Ahora vamos a imaginarnos un escenario de auditoria bastante común en las empresas, los nombres de usuario.

Conoces alguna empresa en la que la nomenclatura del usuario sea napellido@  o n.apellido@ ?

Contar con un diccionario de este tipo sin duda te ayudará para detectar usuarios.

Si a esto le sumas la capacidad de usar las redes sociales corporativas, como pueda ser Linkedin, para realizar un proceso de búsqueda de empleados que trabajan en la empresa objetivo, podemos crear un diccionario de usuarios más acercado a la realidad que uno descargado de internet con los ene mil nombres de usuario más comunes...



Para realizar la tarea de scrapping linkedin puedes usar esta herramienta muy cómoda.

https://github.com/test4a/linkScrape

No usa ni API ni nada sofisticado, te pide tu usuario y contraseña linkedin para poder acceder...



Ahora podemos usar la magia del lenguaje de programación que más te guste para combinar nombres y apellidos en una lista usable.

Durante varios procesos he creado una lista con nombre +apellido de los apellidos más habituales, creo que es útil para completar con tu proceso de scrapping de linkedin.

Si quieres descargar mi lista la tienes en mi github:

https://github.com/kinomakino/hackingtools/tree/master/diccionarios

Espero que te sirva !!!

Gracias por leerme !!


Linux más seguro: claro que no guapiiii !!!

$
0
0
Estimados amigos de Inseguros !!!

Hoy voy a reflexionar o contar una pequeña anécdota laboral pero que realmente aporta valor en la reflexión de muchos de mis argumentos cuando discuto con algún fanboy/talibán de mi también querido Linux.



Me gusta lo mismo Mac, Windows, Linux... son herramientas con las que trabajo, es como a quien quiero más, a Papá o Mamá...


Por supuesto, tengo mis preferencias, prefiero MICROSOFT, pero lo que tengo claro es que los 3 son válidos, y siempre intento ser objetivo a la hora de usar unos u otros en beneficio del cliente/solución/necesidad, etc. Los que sólo reivindican uno u otro, sois unos pringuis, jejejeje.

Entonces ahora sigo con la reflexión.

Auditoría interna a empresa NORMAL, ni ibex35, ni banca, ni pyme, empresa NORMAL, con 150 equipos, no muchas medidas de seguridad, un montón de fallos, un montón de cosas que también hacían bien...si si, has leído bien, aunque esto no lo ponemos en los informes hay empresas que también hacen algunas cosas bien.


En esta empresa usaban una red Active Directory basada en 2012 server. Los equipos eran medio recientes con Windows 10. No es esa mirda de escenario de algunas demos con DC 2008, windows 7, smb1, wdigest y Mimimatz hasta la cocina porque no hay antivirus en el servidor. Esta empresa no era así, eran normales !!!! su sysadmin hacía las cosas normal, ni muy pro seguridad ni muy cafre.

Tenía un Wsus para actualizar los equipos y una herramienta de gestión y monitorización de equipos. Ahora es cuando un fanboy me diría un Nagios... un Zabbix.... NO, una RMM tools. Con sus indicadores, gestión de parches de aplicaciones cliente, soporte, etc... * no digo que las dos herramientas Software Libre que menciono no sean buenas, sino que no son RMM, son solo M*

Los equipos tenían un antivirus normalito, con su consola centralizada empresarial. La verdad es que el antivirus no era el más pelado, pero tampoco era un EDR, simplemente que aparte de por firmas, detectaba algún comportamiento raro, algo de Threat I... eso, que no era como ClamAv...

La empresa tenía departamento de programación y diseño (marketing), tanto para la web como para procesos internos de integración, reporting, tambien algo normal. En estos departamentos se usaban 3 equipos MAC para diseñadores y 4 linux, 3 debian y 1 ubuntu creo.

El resultado de la parte interna fué el esperado, cocina, clave del administrador y un porrón de servicios vulnerados.

La cuestión es, que es a donde voy, en cómo medimos la seguridad. Si me apuras, podría incluso medio aceptar que el diseño del kernel de linux y su funcionamiento puede ser un poco más seguro que el de Windows. Quizás borre esto algún día, pero la vida no es Kernel, la vida es MUY compleja.


Dentro del catálogo de recomendaciones generales que hicimos a dirección, encontramos que:

1.- los antivirus en linux/mac no existían. Y que no me digan que no hay virus en LINUX porque virus quizás no, pero cuando auditas un equipo que tiene un AV y te pilla la webshell, o la shell meterpreter, o la ejecución de algún exploit conocido, te complica más el asunto, y si tienen monitorización ponen al perro en guardia...

2.- las actualizaciones de los equipos regían por el criterio del usuario, osea, ninguno. Encontramos en el entorno Microsoft un relación de software más o menos bien controlado, mientras que en linux/mac, a pesar de usar la misma herramienta RMM, tenían disparidad de versiones, por las particularidades del diseñador/programador.

3.- los entornos no cumplian la LOPD ni la gestión centralizada del servicio de directorio,en este caso Active Directory, porque no tenían instalado los agentes. complejidad de contraseña, revocación, bloqueo de escritorio, GPO´s varias, NADA.

4.-en estos equipos se encontró un montón de software no controlado por permisos de instalación. Máquinas virtuales de pruebas al antojo del usuario eran la tónica general de estos sistemas. Normal, el programador levantaba su entorno de PRE. sin control ninguno. Insisto, eran una empresa normalita, no había team master, DEVops y ni versionado de aplicaciones.

Al final de las muchas recomendaciones que emitimos en el informe, y de los fallos que aparecieron, muchos estaban relacionados a cómo se gestionaban o como NO-gestionaban estos equipos.

Como es normal, para estos 4 casos que os pongo, si eres un buen sysadmin, tiene solución. Una buena monitorización, un directorio activo LDAP standard, Ansible, etc etc, pero hablo de la REALIDAD de las empresas. De las empresas en las que he trabajado que el usuario Linux suele ser el avanzado, el de departamento de informática, los programadores, y al final, son puntos habituales de fallos. ya sabes, dejale el root del servidor al programador y que haga lo que quiera...

Entonces, vuelvo a mi planteamiento inicial, Es más seguro Linux? en este caso NO. Como siempre, abogo porque la seguridad está en las manos de quien administra, pero insisto en que esta tendencia que indico en el post, no es de un o dos clientes, suele ser la tónica general respecto a linux, igual que tener un AD bien configurado no es la tónica general, también tengo que aclarar...

No obstante, las cosas están cambiando. Esta mañana he leído en Barrapunto que era el año del Escritorio basado en Linux...

Gracias por leerme.

Matriz del Mitre...

$
0
0
Estimados amigos de Inseguros !!!

Tanto si te dedicas a la seguridad ofensiva, al famoso Red Team, como si tus problemas son los logs, la respuesta a incidentes y la parte defensiva, el Blue Team, coincidiras conmigo en que la matriz del Mitre es algo que habrás visto en la redes, conferencias y demás.



Yo personalmente la menciono y trabajo en mis charlas, porque creo que es un framework, un marco de trabajo, una taxonomía, una biblioteca... podría darle bastantes calificativos.

En este post voy a presentaros algunos opiniones y explicaciones al más puro estilo murciano para centraros en este "mundillo" que seguro os apasiona.

En primer lugar, quien son MITRE.  Una organización, empresa, que indica en su texto de presentación: Nosotros solventamos problemas para hacer el mundo más seguro. Lejos de ser una consultora de informática, tienen distintas líneas de actuación, y solo una de ellas es la línea de trabajo dedicada a la ciberseguridad.

Desde hace 5 o 6 años han desarrollado varias matrices de datos, las conocidas como Attack en las que aglutinan conocimiento en base a técnicas, tácticas y procedimientos conocidos en el mundo del ciber...

Pero lo mejor es ver una imágen para que lo entiendas.


Como puedes ver, a la izquierda, podemos filtrar entre recursos por sistemas y desde hace poco para entornos móviles.

La matriz selecciona en distintas columnas las tácticas que se emplean, y en filar las técnicas exactas, pudiendo éstas estar en distintas tácticas. Por ejemplo, la fuerza bruta puede ser un elemento de acceso inicial, pero también de escalada de movimiento lateral.

Initial Access
Execution
Persistence
Privilege Escalation
Defense Evasion
Credential Access
Discovery
Lateral Movement
Collection
Exfiltration

Command and Control

El número de técnicas que documentan crece y es muy amplio, pero voy a dejaros dos pantallazos para que os hagáis una idea.


Si nos fijamos en la información que nos muestra, podemos ver la explicación de la técnica, como mitigar el ataque, como detectarlo !!! casi más importante que nada...

Nos muestra bibliografía relacionada, herramientas usadas, grupos de cibercriminales que las han usado, informes públicos en los que aparece esta táctica/técnica.

Al final, es una gran base de datos de conocimiento que podemos usar para muchos propósitos.

Una de las informaciones que manejo son Data Source. Qué fuentes de datos monitorizan o alertan de este ataque.

En el trabajo defensivo, el Blue Team, no solo debemos confiar en un Firewall/UTM, o en un Endpoint o EDR, o en un IDS/IPS, o en un WAF, o en... al final, debemos tener MUCHOS elementos de monitorización para detectar en mayor medida la cantidad de ataques, o intentos, o actividades maliciosas que ocurren en la red y que muchas deben ser estudiadas.

Pongo en mis charlas siempre el ejemplo de imaginar que el atacante tiene la clave de un admin de la red. Ahí ya no valen el 90% de las protecciones "habituales" en la pyme... y luego a luego solo en SOC´s muy preparados.

En la matriz de Mitre podemos encontrar muchos data source: ['File monitoring', 'Process monitoring', 'Process command-line parameters'], ['Packet capture', 'Netflow/Enclave netflow', 'Malware reverse engineering', 'Process use of network'] ['WMI Objects'] etc etc etc

Un buen atacante sería aquel que conoce y controla todas las técnicas implicadas en la matriz, y un buen atacante sería aquel que tendría la manera de detectar/mitigar/parar estos ataques.

El camino es largo amigo... y más si tienes dos o tres elementos. Como he indicado, no creo que haya ningún SOC que sea capaz de darte un 100% de Mitre, no me refiero a la seguridad, porque Mitre no recopila TODO, recopila lo que sabe...

Volvemos al ruedo. Si usas un SIEM para aglutinar la información en un SOC, ya sea este externo, interno, toda una organización o un pequeño software en una VM que nadie ve, al final, tendrás que haberte visto liado con las taxonomías. Cómo categorizar los incidentes, o mejor, los eventos, porque muchas veces el paso de evente a incidente debería ser automático, y no que necesitará la ayuda de un analista... pero bueno, esto son otras cosas.

Imagina que tienes en tu SIEM aparejadas las alarmas con técnicas del Mitre, por ejemplo, cuando un fail2ban detecta una fuerza bruta en un ssh, manda un log al siem, y aparte de los datos típicos, añade : T1078 Valids Account. En esta técnica indica que los data sources que la monitorizan son los logs de autenticación, y la monitorización de procesos, en nuestro caso son los logs de la autenticación.

No podemos decir que para todos los servicios que requieran "account" que requieran login y password tengamos monitorización, pero si sabemos que para el SSH si.

Si vinculamos todas nuestras técnicas a "técnicas Mitre" podemos hacer un estudio mensual por ejemplo, y pedirle al sistema, en base a las alertas que has generado, dame los data sources que tengo.
Tendríamos una lista de Data source, que nosotros ya sabemos, pero estos se identifican dinámicamente según las apariciones de alertas. Digamos que es una vía más de control de si estamos haciendo las cosas bien.

Esta cuestión va dirigida a la auto-evaluación de nuestras capacidades, pero antes de seguir por ahí, vamos a hablar de otro recurso no-Mitre pero muy interesante, y luego seguimos con el Mitre.



Hablo de un proyecto muy interesante para medir las capacidades del SOC a varios niveles, no solo a nivel de la capacidad de correlación, monitorización, respuesta a incidentes, sino desde todos los planos. incluyendo el organizativo, empresarial, reporting, etc. El proyecto recopila una seria de preguntas en formato Excel guiado y mediante unas fórmulas nos da el grado de madurez del servicio.

Podemos descargar gratuitamente el proyecto desde https://www.soc-cmm.com/ y realizar nuestros "self assestment".

Pero ahora volvemos al Mitre, y al concepto de medir nuestras capacidades.

Tenemos un mapa Mitre sobre el que podemos "trabajar" ubicado en : https://mitre-attack.github.io/attack-navigator/enterprise/#

Por supuesto es un proyecto que podemos bajar a nuestros servidores y así "garantizar" la seguridad del mismo. Si hacemos uso de las numerosas api´s de consulta que hay ( yo uso la api https://github.com/Cyb3rWard0g/ATTACK-Python-Client/blob/master/notebooks/Usage_Basics.ipynb del señor @Cyb3rWard0g ) podemos hacer "chulas"

Por ejemplo, a mi se me ha ocurrido usar una capa sobre la matriz original, que según el grado de madurez del data source, busque las técnicas asociadas y coloree, según un gradiente, el mayor o menor estado de la monitorización. Bien para informes, para clientes, para control interno, para tener un mapa de ataques por técnicas Mitre, por lo que sea, podemos jugar con casi todo.

Un ejemplo de json sencillo:

{
    "domain": "mitre-enterprise",
    "name": "example",
    "gradient": {
        "colors": [
            "#ffffff",
            "#ff6666"
        ],
        "maxValue": 100,
        "minValue": 0
    },
    "description": "hello, world",
    "version": "2.1", 
    "techniques": [
{
"techniqueID": "T1213",
"score": 85
},
{
"techniqueID": "T1092",
"score": 15
},
{
"techniqueID": "T1200",
"score": 10
},
{
"techniqueID": "T1119",
"score": 20
},
{
"techniqueID": "T1160",
"score": 10
},
{
"techniqueID": "T1188",
"score": 10
},

Si subimos esta capa a la matriz navegable obtenemos algo así:


Podemos usar una tabla intermedia para construir el json que vaya incrementando el valor de la detección según los data sources, pero sobre elementos distintos, para no creernos que con monitorizar el ssh estamos cubiertos, ni mucho menos. Tanto la gestión como organización de esta información es algo tedioso, que necesita de bastante dedicación, y que solo para estructuras de SOC formales con personal cualificada tendrá sentido trabajar.

Otra cosa es que como he dicho, como atacante o defensor, usas este matriz para evaluarte y guiarte en tus estudios, o en tu trabajo. 

Sin duda,  ir aumentando el grado de "control" de las técnicas es algo básico tanto para Red como para Blue.

Espero que os haya gustado la medio explicación de la matriz de Mitre y que os sirve de inspiración las distintas vías de interacción que nos permita el framework.

Hay muchas aproximaciones que podemos hacer con la matriz, como por ejemplo, usar este magnífico recurso que correla eventos de Windows con posibles técnicas de ataque.

Tenemos otros recursos en forma de aplicaciones de entrenamiento, Caldera y RedCanary, similares a Infection Monkey que vimos aquí hace años. Son colecciones de ataques basados en las taxonomías de Mitre que nos ayudan a evaluarnos, de una manera ordenada.

Muchas gracias por leerme, un saludo !!!

Gestión de incidentes... The hive. Cortex. Mips. Episodio 1. El incidente...

$
0
0
Estimados amigos de Inseguros !!!

La gestión de incidentes es algo que puede dar para varios libros, el DFIR (Data forensic & Incident Response) pero desde el blog quiero daros unas pinceladas, unas opiniones y algunas guías de cómo podemos abordar este proceso tan interesante y puede que a su vez complejo.

Voy a empezar desde lo más bajo, lo más simple, un incidente. Cuando hablamos de incidente, más allá de las nomenclaturas, definiciones, taxonomías y demás historias, vamos a hablar en términos generales para un sysadmin, un responsable de informática como TU, que no tienes porque trabajar en el vertical de la seguridad pero si te gusta.

Imagina el caso de un Ransomware en una empresa, ¿has vivido alguno? lo hayas sufrido en primera persona, en segunda, seas tú el responsable, el técnico, el amigo al que llaman... al final, creo que todos hemos vivido alguna situación relacionada con el Ransomware.

Creo que podemos coincidir sin duda, en que algo común en las empresas en las que pasa, es que se produce un desmadre !!!


El primer punto de desmadre o desconcierto si queremos emplear alguna palabra más acertada es la parte no técnica. A quién llamamos? cómo actuamos? cómo se ha producido? qué pasos damos?

Es normal que esto pase. La gente está parada, hemos perdido o sospechamos que vamos a perder información y estamos "jodidos"...

Si la empresa es pequeña, llamarán al usuario-avanzado-informático que hará lo que pueda, y en paralelo llamarán a una empresa de informática o gurú-freelance para que les ayude.

Si la empresa es mediana, lo mismo, primero al departamento, luego apoyos.

Si la empresa es algo más que mediana, lo mismo el incidente lo detecta programación, se lo pasa a sistemas, estos a seguridad o al pobre que se dedica a la seguridad, a la empresa x, a la y y por si acaso a la Z.

Unos hacen unas cosas, otros recomiendan, asesoran, presupuestan !!!!. este punto es importante.

Es normal en tiempos de crisis que llegue una empresa a "ayudar" y hacer el agosto. Mezclar la fase de urgencia, de remediación, con la consolidación de sistemas, o mejor dicho, implementación de nuevos sistemas es algo habitual. Me explico: tienes un ransomware, lo vas a perder todo, pero aprovecha para mejorar TODA tu infraestructura informática, que es mala o inexistente, pero hazlo ya !!! a prisa !!! porque tienes un ransomware y no queremos que vuelva a pasar !!!!

En la mayoría de los casos habrá que realizar mejoras, pero hay que separar las fases.

Sin haberlo estudiado, con sentido común, lo normal es separar el problema actual del Ransomware, ver como ha entrado, y una vez haya pasado el temporal proponer acciones de mejora.

Comprar antivirus de gama alta, renovar el firewall, aprovechar para replicar en la nube el pequeño servidor, mil copias de seguridad de distinta índole no sirve de nada, si el problema lo tenían con una clave débil en un RDP, o en un Wifi...

Coincides conmigo en que tenemos que ser profesionales ante un incidente. Hay que tener en cuenta una cosa, y es que vamos a vivir pocos incidentes SERIOS en nuestra vida profesional, esto no es una cosa que pasa todos los días y aprendes, sino que debes aprender a "ciegas" o confiar en profesionales muy preparados.

Otro problema muy importante en los incidentes es su detección. Detectar un Ransomware es sencillo, evidente, aparente. trazar su entrada es muy "facilico" también, pero hay datos que avalan que los incidentes de seguridad en las empresas son detectados, de media, 150 días después...

Pongo el caso reciente del ministerio de no se donde de no se qué país...


Calculan que ha estado 3 meses comprometido el sistema...

Recuerdo otro incidente famoso que todo el mundo conoce, Wannacry. Un fallo de seguridad infantil, tontico, sin mucho mérito, provocó un caos monumental, y que he dicho siempre que Telefónica gestionó con maestría.

Recuerdo tener amigos y clientes que me llamaban porque otros informáticos les habían aconsejado apagar internet. no conectarse a internet porque si usaban telefónica, era MUY probable que se infectaran. Hablo de empresas GORDAS recomendando a empresas GORDAS apagar Internet, sin haber estudiado e investigado NADA.

Como es normal, esto es algo que requiere de departamentos complejos o empresas dedicadas, pero dentro de nuestras posibilidades, podemos gestionar estos incidentes o supuestos incidentes de una manera organizada apoyándonos en un software como el que vamos a relatar en las serie.



Vamos a poner otro ejemplo de incidente menos "cantoso" pero que seguro has manejado: un e-mail con spear phishing, con un ataque dirigido hacía alguien de la empresa. O aún más sencillo... un intento de ataque que para el IPS.

Imagina que tu UTM, Firewall, Next Gen o máquina de café te informa de que ha parado un exploit contra un servicio expuesto a las 7:00 am. Perfecto... el correo funciona !!! me llegan notificaciones.

Me llega otro intento a las dos horas. Soy una Pyme y no tengo SIEM ni nada de esto...

A las 3 horas, tercer exploit que detectó. Esto es algo normal, solo si tienes logs ves estas cosas, pero... y si compruebas que la dirección de origen es de una ip de tu ciudad... podrías sospechar que hay alguien "cercano" intentando darte caña? no es lo mismo un ataque así que uno de una botnet que se sabe que recorre internet a diario en busca de...

Realizar esa pequeña comprobación de la ip de origen frente a fuentes públicas puede ayudarte en ponerte alerta.

Esto es una gestión de incidente !!! abres tu ticket, documentas, le pasas un análisis de whois, blacklist, etc y ejecutar una remediación técnica, bloqueas la ip 7 días. Todo esto lo documentas en un software de tickets "dedicado" a los incidentes, y a correr.

Espero que te vayas animando en descubrir algo más de la gestión de incidentes y que profesionalices en la medida de tus posibilidades estas acciones.

En próximos artículos hablaremos de procesos y software que nos ayude en el camino.

Como siempre, gracias por leerme !!!





Detección de Lazagne... easy baby.

$
0
0
Estimados amigos de Inseguros !!!

No es nada nuevo si hablamos de la herramienta Lazagne. Una conocida herramienta "juanckers" que ejecutada en el equipo de nuestra víctima, vuelca las claves guardadas que tiene de distintos sitios tan curiosos como los que indica en su repositorio: navegadores, wifis, vnc, putty, etc etc...


La verdad que la detectan todos los antivirus, o la gran mayoría, pero en kiosko, puestos de mediamarkt y cosas así, es muy efectiva, sobre todo con Pendrives Rubber .. etc.

No voy a explicar más sobre esto, pero sí que vamos a intentar ver una manera sencilla de detectar su ejecución.

Para ello nos vamos a nuestro Windows a defender, habilitamos las opciones de auditoría avanzadas, y en concreto, la auditoría de acceso a ficheros tanto correcta como incorrecta.


Luego nos vamos al fichero sobre el que queremos aplicar la auditoría, y elegimos: C:\Users\kinomakino\AppData\Local\Google\Chrome\User Data\Default\Login Data o cualquiera que sea tu usuario. 

Con esto y un bizcocho, tendremos un log muy simpático cada vez que alguien o algo acceda al susodicho recurso. Por lo que si en nuestro gestor de logs levantamos una alerta para cuando el proceso que lee el fichero sea distinto a Chrome... tenemos la detección hecha.



Simple, sencillo, eficaz !!

Y recuerda... vamos por los malos... MUA HAHAHAHA

Gracias por leerme.

Ni Kali Ni Parrot. Windows para pentesting con COMMANDO from Fire eye...

$
0
0
Estimados amigos de Inseguros !!!

Fué liberar ayer la herramienta y planificarme un hueco para el sábado para probarla.

Ya ha salido en varios medios, pero sospecho que ninguno la ha instalado y todos hablan de la misma nota de prensa, más que nada ,porque hablan de lo mismo y usan las mismas capturas...

Como buen freak que soy, voy a darle un vistazo, y como soy viejuno, voy a escribir un post por si a alguien le sirve, o a mi mismo cuando el Alzheimer incipiente aparece.


Commando no es una distribución Windows para pentesting, es una serie de herramientas preconfiguradas que se se instalan en un Windows Existente ( es decir, no te regalan la licencia del Windows) pero que viene cargada de un montón de utilidades super interesantes, con lo que hace muy cómodo el setting inicial de una máquina de pentesting.



Las instrucciones de instalación las tenemos muy amablemente explicadas en la página del proyecto.

Como indican, después de dos clicks y un buen rato tenemos todas las herramientas a nuestra disposición.






Muchas de las herramientas que nos instala son habituales, pero otras muchas no tanto, como por ejemplo todas las herramientas administrativas de windows...Ya sabes, si quieres conectarte a hackear el DNS de un server...mejor por GUI xDD

Otras herramientas como screentogif, editores de texto, gestores de contraseñas, todo eso walkaround necesario para nuestro trabajo...

Una de las recomendaciones generales que tienes que tener en cuenta es que esto baja todas las defensas del sistema, por lo que no es una buena idea instalar este set de herramientas en tu Windows nativo...

Otra de las cosas que me he percatado, como siempre, es que a veces los planteamientos que leemos en internet no son ciertos :-).  Mi instalación del sistema no contiene los mismos elementos que indican desde el proyecto:


Al final por eso es mejor hacer que leer. Varios problemas con Chocolatey, el "ansible" windosero xD me han hecho perder varias horas hasta conseguir instalar todos los scripts. Al final, imagino que el script está diseñado para máquinas muy "virgenes", si ya tienes settings y paquetes complejos instalados, no gestiona muy bien con la definición de versiones y fallos.

Al final, un ratico interesante para descubrir esta "herramienta" que sin duda usará más en detalle.

Gracias por leerme como siempre !!!



CON CON CON: Conferencias a montón...

$
0
0
Estimados amigos de Inseguros !!!

Voy a meterme en uno de esos jardines tropicale como suele ser costumbre, pero si no lo hiciese así no sería yo.

En esta entrada voy a hablar sobre varios temas relacionados con las conferencias, sueldos, salarios y demás.

Tengo que decir que muchas de estas reflexiones son fruto de charlas con colegas, que pensamos igual, parecido, distinto, pero que tenemos claro que es algo que tenemos regular, que trabajar, que solucionar.

Estoy hablando de las numerosas conferencias de seguridad que hay al cabo del año por el territorio español, y de varios aspectos a mejorar que aparecen como es el precio, salario, temática, nivel, calidad, repeticiones, etc.


Antes de empezar, tengo que decir que estoy profundamente agradecido a todos aquellos colectivos, empresas, personas, amigos, que han contado conmigo alguna vez para dar una charla, formación, taller, actividad, etc.

Cualquiera podría TIRAR todas mis opiniones y argumentos con un simple: haz lo que quieras, no vayas, ve, o similar, pero no se trata de mi opinión. En este blog si que voy a hablar de mi opinión por supuesto, pero me refiero a que es algo que debe regularse entre nosotros, entre los profesionales, los que nos dedicamos a esto de la ciberseguridad, y que por un motivo u otro participamos en eventos.

No se trata de no participar, todo lo contrario, animo a todo el mundo a hacerlo. Dar una charla es algo enriquecedor en muchos aspectos, pero no voy a entrar ahora por ahí, solo en la necesidad de hacer las cosas bien o medio bien.

Y dicho esto, voy a enfocar el asunto en tres escenarios: El que da la charla, el que la recibe y el que organiza el evento. Aparecerán más actores como familia, patrocinadores, haters, medios de comunicación, etc, pero poco a poco...


En mi caso tengo que agradecer lo que fué mi primera charla en público a Navaja Negra, a Pedro, Alexico y Dani. Recuerdo el día de antes con fiebre y a punto de apagar el móvil y pegarle fuego a todo. No lo hice, dí mi primera charla y a pesar del desastre... me gustó...

Desde mi punto de vista, hay muchas charlas. Debería haber menos y mejores. Así como norma general.

Entrando en detalles... Mi padre !!! Me ve por las redes sociales y se cree que soy millonario. Se cree que por estar practicamente viajando cada 15 días a eventos, me pagan una pasta en estos, y me hago de oro. Ni mucho menos, las conferencias de seguridad y me cuesta dinero !!!!! y aquí me voy a explayar.

Vivo a 4 horas de Madrid, y desde ahí la distancia que haya hacia la ciudad del evento. Si está en Huelva son 4 +4. Si está en el frío y lejano Norte, 4+4. Al final, inviertes una jornada.

Salgo de casa para el tren, y me gasto 10 euros en taxi. 10 euros.

Después de uno o dos trenes, algo tendré que comer? algún café de mierda en el tren? algún bocata? ponle otros 10 euros en el tren.

Si sumamos lo mismo a la vuelta, 20 euros más.

Ahora he llegado a la ciudad, a veces te recogen en la estación, otras no. Yo no suelo querer molestar y al final me cuesta otros 10/15 euros ida y otros tanto vuelta el llegar al hotel del evento.

Por lo general, pongamos que el evento es un sábado. Si llegas el viernes suele haber una cena de ponentes esa noche de antes. Pagada. Ahora bien, cuál suele ser mi realidad. Qué si salgo de mi casa a las 9 de la mañana, llegó a Madrid, me tiro una hora allí tirado, me monto en otro tren que me va a ocupar otras tantas horas. Cuando llego a la ciudad en cuestión, la mayoría de las veces, me apetece tomarme una ensalada o una hamburguesa en el hotel y morir esa noche... Sí, vale, esto es mi opción, pero estoy contando MI opinión, mi vida. Esto me cuesta 20/30 euros. Ya llevo 100 pavos mínimo gastados.

Ahora es el turno de la conferencia. Suele haber un coffe break, una lunch, un aperitivo, pero yo como. Como mucho, y la verdad que un café de mierda de máquina y una galleta no es mi almuerzo ideal. A final te escapas y tomas algo por ahí, un bocata, medio, un plato, lo que sea, pero te gastas pasta. Ponle mínimo 10 euros.

Algunas veces ese mismo sábado vuelves, otras no, con lo que esa noche o sales de fiesta, o cenas, o lo que sea, pero te gastas otros 30 euros. Ya vamos por 140€.

La última charla que di, perdí el cargador, compré una camiseta para mi crio y comí con los amigos un poco más detenidamente. Al final, me gasté 200 pavos. Invertí el viernes, el sábado y parte del domingo cansado por la vuelta. NO Es ASí REALMENTE, mi última charla no fue fin de semana, pero da lo mismo, el concepto es el concepto, y no quiero "que la paguen" unos u otros.


El coste "económico" indirecto es que el viernes no trabajé, me tiré todo el día leyendo correos y capeando lo más urgente, pero sin ponerme  a tope. Ni sábado ni domingo. El lunes tengo que recuperar tiempo, voy de culo siempre, pues ese lunes más aún, a invertir más horas.

Mi mujer a veces trabaja, a veces no. A veces me acompaña, a veces no. Si viene conmigo, el gasto es por dos. Aquí es donde alguno me dice: claro, pero te vas de turismo con la señora...NO. Yo decido mi tiempo libre como lo paso, y aunque vaya con mi mujer, haga turismo y coma fuera, es algo que no he "decidido yo" Suele ser una parche a un mal mayor. Si se queda en casa ella peor, estamos solos.

Preparar la charla te cuesta tiempo. O bien sea para diseñar la demo, la presentación, para preparar el contenido, técnico, motivacional, concienciación, sea lo que sea, inviertes tiempo.

En el caso de que atiende a la charla. Charlas repetidas, siempre lo mismo y los mismos. Si realmente haces un estudio de las charlas al año y la gente que aparece, al final ves que muchas personas repetimos la charla. Pero claro, si das una charla en Murcia y otra en Galicia, el % de gente que repite es MINIMO. SI vas a 4 charlas al año, es normal que alguna repita, pero es cuestión de que el ponente no siempre tiene mil cosas para contar. Tiene un estudio/trabajo/motivo y tu eres el que decide ir o no.

Lo que sí me causa respeto es el nivel. ODIO el tema de los nombres y el nivel. Yo soy de los que usa nombres "cachondos" pero soy de los que opina que la organización debería informar del nivel técnico de la charla. En una charla de 2000 expertos, seguro que hay cabida para tODO, temas nuevos, viejos, fáciles, difíciles, de todo, pero no engañes a la organización ni a la gente.

Si voy a una charla y me creo que es una master class de X, y luego es la introducción, me estás engañando. Al reves tambien, si entro en una charla y el ponente es DIOS de su materia pero la charla parecía de introducción. Al final esto es muy sencillo, 101,201, 301, alto, medio, bajo, LO QUE SEA !!!! pero dejar claro el nivel de la charla.


He sufrido en mis propias carnes, que no son pocas, tanto el efecto UP como el efecto DOWN. Gente que espera una charla super técnica, y tu das una de motivación, o al revés, que das unas charla super técnica para gente no profesional. ES IGUAl DE MALO.

Hay muchos subnormales, porque no se me ocurre otro nombre, que critican que des una charla en la que no aportes nada nuevo, por ejemplo, una investigación, un 0 day, una técnica nueva. Hay veces que contar tu experiencia, tu visión de un problema, una crítica, es igual o más enriquecedor que ver al experto de turno con su sacada de "miembro".

Al final, creo que todo se arregla identificando el nivel de la charla. No por el nombre/fama/trayectoria del ponente una ponencia debe ser de un tipo u otro. Tiene que haber de todo !!!

En el caso del que organiza... Cosas importantes. lo MAS importante de un congreso no es el picnic, los regalos, el café, no, noooooooo. Lo más importante es la organización de los tiempos.

Hay una agenda prevista, en la que el que atiende hace el esfuerzo por adaptar su agenda, y el que da la charla intenta respetar. Que una persona madrugue para luego esperar es una puta falta de respeto. Que una persona extenda su charla, y que el que viene detrás tenga que asumir el error es una puta falta de respeto. Esto me endemonia. Tanto por el que organiza como por el ponente empanao. Vamos a ver, si llevamos 45 minutos de retraso, RECORTA 5/10 minuticos de tu puta charla hermano. No eres el mejor, ni el único, ni tu ni yo, RESPETA y adaptate a la situación. SI eres el organizador, despreocupate más por la comida, y preocúpate más por los tiempos.

Otro asunto es el de los sponsors. Me cuenta la gente que muchos de los habituales, "pagan" en merchan. Es decir, que porque una empresa ponga una bolsa con publicidad, está contribuyendo al congreso? NO LO PErMITAS, la CONferencia que organizas es buena, o pretende serlo, y no acepta migajas. El que quiera ser patrocinador, que apechugue. Una correcta política sería publicar las condiciones de patrocinio. Yo siempre lo mismo, porque me gusta saber quién ha gastado 1000 € en fomentar el evento, quien 5.000€, o quien es el jeta del amigo que sale por salir,  o las instituciones que no pagan pero "deben" salir. Señores y señoras, queremos información, transparencia.


Aunque me quejo de que gasto pasta, organizar estas cosas cuesta pasta, pero no todo vale. Si no tienes sponsors/entradas que permitan pagar los gastos COMPLETOS e incluso un salario, no lo hagas !!! deja tu ego, tus ganas de fiesta, tu empatía, no se como llamarlo, pero si no puedes, no lo hagas. Llama a tus amigos y monta una fiesta pijama hacker, o unas cervezas, pero no quieras organizar una conferencia NACIONAL, aparecer en las redes sociales, ser el puto amo del momento, si tienes dos empresas que dan pegatinas y una que paga bocatas.

Es una pena, pero es que el problema va más allá del que organiza. Es de las empresas que patrocinan. Estas empresas tienen que pagar pasta !!!!  No estamos en la ciberseguridad? no es el trabajo de moda? no es el trabajo con los sueldos más altos? pero tengo que invertir dos días de mi vida y mi dinero, para que la empresa pague 500€ de mierda y aparezca como patrocinadora y abanderada de la ciberseguridad.

El otro día flipaba porque aparecía una empresa de libros como patrocinadora, porque tenía un stand de libros allí. Pero no que los regalaba, que los vendía !!!, es decir, dejas que esa empresa venda en tu CON gratis? encima aparece como sponsors? no se si me entendeis.

La conferencias nacionales deberían PAGAR a los ponentes, y si deben cobrar o no entrada es algo que la contabilidad debe marcar, pero no es justo que en TODOS los sectores se pague, y en este no.

Al final somos el amigo que formatea el windows al vecino gratis pero en versión CON.

Tengo amigos de COACH, marketinianos, científicos que viven de las charlas. Yo vivo de mi trabajo, y las charlas no me dan trabajo. Me dan visibilidad, y es algo bueno, pero hay que pagarlas.

No se trata de que KINO no vaya ahora a charlas gratis, porque va de subido y es una estrella. NO, TODOS debemos cobrar, los más yayos y los más rookies. Si alguien decide que eres digno, capaz, interesante para dar una charla, tienen que pagarte. Aunque sean esos 300 euros que te cuesta el viaje, que al menos REALMENTE te salga gratis el viaje, pero no que te cueste dinero.

Hay dos o tres estrellas famosas en la cibersec que SI lo hacen. el problema no son ellos, TODOS deberíamos animar a las organizaciones a que lo hagan. a que si das unas conferencia de un dia, de 10:00 a 14:00 y de 16:00 a 20:00, y tienes a 10 ponentes, calcules que tienes que gastarte 3.000€ + dieta para pagar ese gasto, al igual que sabes que si haces un coffe break debes gastar 2€ por público.

Hay algunas conferencias que son más "bestias" que otras, en el sentido de que en unas el CFP manda la agenda, y en otros casos son los sponsors los que lo hacen. Hay charlas que pagan casi todo, y otras no porque no tienen sponsors. Al final da igual, si no tienes con qué pagar, no hagas nada NACIONAL.


Esto no quiere decir que no me guste juntarme con los colegas del sector a charlar. Es más, son estas experiencia las que más te enriquecen por son realmente en estos círculos donde haces buenos contactos, amistades, y donde te enteras de "lo último".

Animo a todo el mundo que crea que tiene algo que contar, que lo haga, que prepare su CFP y que asista a la Conferencia. Yo seguiré haciéndolo a pesar de que no me paguen, y a pesar de que me cueste el dinero, lo haré por esa parte que me gustá, la de contribuir, pero por última vez ya en este post, si esto es un trabajo, es una profesión, y hay empresas patrocinadoras de por medio, se debe cobrar.

Me gustaría enormemente saber qué opinas. Das charlas? organizas? asistes a las charlas y tienes tus opiniones?

Gracias por leerme !!!



Servidor de salto: el host bastión de toda la vida con nombre guay

$
0
0
Estimados amigos de Inseguros !!!

Hablando el otro día con un amigo discutíamos la mejor manera de segmentar una red Active Directory para evitar ataques convencionales como propagación de Ransomware, ataques de obtención de contraseñas y demás bondades.


Volvió a sonar algo que lleva muchos años siendo una buena práctica, pero que no siempre se encuentra en las pymes. Hablo de esas empresas con 2 o 4 informáticos, con mucha carga de "otras" cosas y poco tiempo para ese cuidado fino del sistema. Al final si las cosas medio van... la seguridad siempre es un después, y está asociada a máquinas con nombres de star trek.

Hablo del host bastión. Esto es algo que empecé a leer allá por los 2000 con los primeros directorios. Si nos vamos a la RAE se define bastión como: Construcción o recinto fortificado para resistir ataques enemigos. En seguridad informática podría ser un equipo configurado con mucho nivel de seguridad. Podría ser igual que una DMZ, al final es lo mismo, es un equipo aislado. La cuestión es que suele emplear para usar este equipo como pasarela de administración del resto de servidores, por eso lo de salto.

Siendo más claros, es un Windows al que petas de seguridad, y solo administras tu red desde ese equipo.

Más o menos todos sabemos por dónde nos vienen los ataques en redes Windows, las tácticas suelen ser las mismas, cambian las técnicas concretas, pero las líneas maestras siempre son las mismas.

En este post voy a intentar describir algunos procesos de fortificación o más bien ideas sobre cómo acometer este proyecto.

* lo hago gratis, por la comunidad, y no para que nadie venga a comprar servicios. este blog es personal, de la comunidad y para la comunidad, no un disfraz de comunidad para luego vender XD*

Coño, que esta frase? lo mismo la incluyo en todos mis textos para esos niños/adultos malas personas. XD

Lo primero que vamos a hacer o deberíamos es segmentar la red de los "informáticos". Una vlan enrutada por un firewall para poder elegir qué puertos son accesibles para que redes. Ningún usuario de la empresa debería poder acceder a esta lan/vlan, pero nosotros a todas las redes si... o no?

Acceder a un servidor de nóminas con el pc con el que veo gatitos en Internet no es muy buena idea.

Si vas a las charlas de mi maestro Carlos o has visto el ciber kill chain one two three de Microsoft, verás como el primer paso suele ser comprometer un equipo, y realizar tanto escalado horizontal y vertical: de máquina y de permisos. El mejor sitio por donde empezar es tú equipo.

 Si las estadísticas indican que el 90% de los ataques comienzan con un Phishing, seguido de ataques al navegador y por último software, vamos a por ello.

Con la red de administradores segmentada, vamos a montar un windows, mejor físico que virtual, pero en los tiempos que corren esto es inviable, que usaremos para administrar AD.

Configuramos las GPO locales para que SOLO los usuarios administradores puedan acceder al servidor, tanto por login como por RDP. Mejor enumerar los usuarios que pueden, y no hacerlo como se suele hacer por grupos administrativos. Al final, definir el usuario en vez del grupo da más granularidad y evita el despiste de usuarios que por cualquier motivo, son dios en AD.

A este equipo, le quitamos la navegación por Internet por supuesto. Bueno, lo suyo sería que ni fuera del dominio, pero esto es también inviable, porque si sois 4 tip@s administrando esto, gestionando los cambios de password (no vayas a usar un genérico que está prohibido por ley).

Ahora vamos con el firewall de Windows. Hay mil guías y recomendaciones para aislar equipos en una red WIndows a nivel de puertos. Esta guía es la buena: https://docs.microsoft.com/es-es/windows/security/threat-protection/windows-firewall/mapping-your-deployment-goals-to-a-windows-firewall-with-advanced-security-design Pero no voy a entrar en esto, porque reconozco que te puedes enjardinar, pero con el RDP SI.



Te vas a cualquier servidor, creas una regla que permita el RDP SOLO al equipo bastionado, al que va a hacer de máquina de la muerte xD y a alguno equipo más... no sea que la picies xD. Exporta la regla desde el menú. Ahora vete a tu editor de políticas y crea una política de seguridad específica para tus servidores miembro, no solo para los controladores de dominio, ya sabes. Aplica esa regla de seguridad al firewall de Windows.

En este punto, valoraría que la comunicación entre el host bastionado y los members servers fuera mediante IPSEC. Implementar IPSEC en una red Windows son dos clicks, porque usamos una directiva de seguridad relajada en la que los servidores hablan IPSEC siempre y cuando sea posible. De esta manera, si tienes sistemas no-Microsoft que no admitan el IPSEC, no hay problema.

Nuestra operativa diaria para administrar el DNS de la empresa no debe ser meternos en el DNS SERVER y administrarlo, al final, si tenemos una máquina bastión con las plantillas administrativas, me conecto a la consola DNS remotamente, nada de entrar al DC por RDP y dejar las claves en memoria...

Una de las cosas a nivel de máquina que podemos hacer, si hemos decidido usar un Windows 10 es pasar la guía básica de seguridad, en la que me va a detectar fallos o mejoras de seguridad.

Y hable de algo parecido en mi 4º artículo, hayá por el 2012.

Para proteger la gestión de las contraseñas, ya sabes, los ataques basados en pass-the-hash, y básicamente, mimikatz y compañía, podemos usar Credential Guard. Básicamente es un subsistema para LSA en el que se aprovecha de la tecnología de virtualización, la ISOLATION, para aislar el almacenamiento de la contraseña fuera del proceso LSA en memoria, lo que hace imposible dumpear las claves de LSASS.exe ...Como usa virtualización, necesita los mismos requisitos que para montar hyper-v, extensión de la CPU, y como dato negativo, el equipo debe ser físico, no contempla que haya virtualización nested...

Pablo González habló muy bien hace unos años de esta tecnología aquí.

Dentro de la seguridad del RDP, tenemos MIL COSAS por hacer.

Los nuevos Windows 10 en escenarios de directorio 2016 implementan el Hello Business, una solución de 2FA nativa para Microsoft pero requiere de despliegues mixtos en Azure y quizás algo más complejo que el propósito del post.

Una de ellas, algo viejo ya, es la seguridad a nivel de red NLA que establece una autorización previa basada en Kerberos ( si estás en dominio) o mediante TLS antes de realizar el login contra el RDP.

Ahora tenemos la posibilidad de elegir entre dos modos de conexión por RDP a nuestros servers, Windows Defender Remote Credential GuardRestrictedAdmin

Windows Defender Remote Credential Guard

Como puedes comprobar, es más seguro Restricted Admin Mode ya que fuerza a NO usar NTLM y te impide mecanismos de SSO contra otros servicios. Por ejemplo, si usamos el Server Manager de 2016 para administrar un sistema con esta característica, no podremos. Tendremos que hacer login, es más tedioso, pero más seguro.

Al final, en la práctica, basta con activar el modo en el servidor miembro destino, y usar el delimitador mstsc /restrictedAdmin tal que así.

Otra cuestión básica de fortificación es eliminar servicios innecesarios en ese equipo de salto, como por supuesto spooler de impresión, tráfico de SMB, clientes DHCP y todo tipo de servicios que consideréis innecesarios. Esta guía es muy buena si el equipo es server.

Al final, queda claro el sistema bastión o de salto. Microsoft va un paso más allá, y añade el concepto de PAW, privileged Access Workstation en donde especifica una serie de guías detalladas a nivel de UEFI, GPO´s, hardware dedicado de criptología TPM y todo un conjunto de escenarios para desplegar este tipo de equipos bastionados. Dentro de una red Windows el equipo PAW sería el propio de salto, pero imaginaros un entorno de máxima seguridad en el que tengamos un entorno de salto para Amazon, añadiremos una escenario seguro de salto para el equipo de salto xD

Figure showing how accessing an administrative jump server from a PAW adds no path for the attacker into the administrative assets

Para entornos de máxima seguridad en el que tenemos directorios en Azure, se recomiendan estrategias avanzadas de host bastión o de salto, basadas en confianzas de dominios y dominios delegados para administración. Imagina el sysadmin de una sede regional tocando el erp de Azure internacional...

Al final, el objetivo de este post es que penseis en estos escenarios de seguridad, en el que cualquier que sea el caso, no es lógico usar el mismo equipo para bajar películas o ver videos, que para navegar por el banco, o administrar la red de la empresa.

Sea cual sea nuestro tamaño o recursos, debemos llegar a más o menos cotas de aislamiento.

Para cada tecnología o concepto he puesto un link con los pasos exactos y mejores explicaciones de las que pueda dar yo, al final, mi intención es transmitiros la necesidad y aglutinar un poco mi experiencia, los detalles, como siempre, los sacamos por ahí.

Gracias por leerme !!!


Gestión de incidentes... The hive. Cortex. Mips. Episodio 2. La detección...

$
0
0


Estimados amigos de Inseguros !!!

Seguimos con esta serie de artículos relacionados con el amplio mundo de la gestión de incidentes.

En el capítulo 1 introdujimos los conceptos básicos y más bien la necesidad.
Al final este post iba a versar sobre 4 integraciones de 20 productos, pero creo que puedo aportar más dando mi visión y experiencia global, más que con unas cuantas guías, que las pondré !!! pero mejor ir paso a paso.



Somo informáticos, nos gusta la tecnología y probar programitas y cacharros es lo que más. La sensación de instalar un nuevo software, de hacer los primeros pasos, a mi dilata experiencia, toda via me motiva, me gusta !!! Pero como informáticos que somos, debemos recordar que lo primero de todo es hacer un buen análisis de requisitos de qué queremos hacer, luego haremos un análisis funcional, y luego diseñaremos la solución tecnológica. 

Conozco MIL pilotos de software que nunca llegan a solución por eso, porque se prima el programa...

Por desgracia, y por eso lo decía, muchos de nosotros orientamos nuestras soluciones a que nos gusta más WIndows que Linux, o al revés, o a que yo tengo mucho conocimiento sobre una tecnología y NECESITO ponerla donde sea !!! No amigo, no, esto no debería ser así.

Cuando hablamos de la gestión de incidentes, el primero punto debería ser establecer cómo vamos a detectar estos incidentes. Con qué herramientas.

Al final, estas herramientas no dejan de ser eventos (logs), muestras ( pcap, ficheros, memoria...) y sobre todo la correlación que existe entre ellas. Imagina un radar de una autovía, y la típica foto de que te  han cazado a 200km/hora. y aparecen dos coches, uno adelantando a otro. Serviría dicha foto como muestra de la infracción? NO.

Presuponemos que el vehículo de la izquierda adelantaba al de la derecha, por eso saltó el radar, y el que iba "lento" o legal era el de la derecha, pero puede que no sea así !!!! en este caso, el dato de la imágen y el radar no nos sirve, deberíamos tener video en ese contexto....

En este caso, si salta el radar, a quien debería sancionarse?

Podría ponerme 200 ejemplos más del contexto, de la relación entre fuentes, de la correlación pero creo que ya hemos hablado bastante en Inseguros en los capítulos de OSSIM.

Pero ahora vamos más allá. como comenté en el post de la matriz de MITRE, tenemos enumerados la mayoría de procesos de ataques, las tácticas y técnicas, y tenemos los data source que las detectan.

Con esta información, debemos hacer mapa de qué herramientas y tecnologías serían necesarias para llegar al máximo número de data source, y tener claro un plan de trabajo a medio plazo en el que vayamos incorporando fuentes de información.

Tener un IDS no es tener un SOC, ni tampoco es tener un IDS con un SIEM, por supuesto, tener una consola centralizada de alarmas de antivirus tampoco, vamos poco a poco.



Enumeramos los distintos data source a día de hoy. Ahora vamos a empezar a crear supuestos, los use-cases.

Vamos a imaginar un ataque a una empresa. Comienza con un ataque de deautenticación *1 a la red wifi*2 para forzar eso, que clientes legítimos se desconecten a la red y así poder capturar las credenciales o el handshake. Una vez conseguimos acceso a la red wifi, realizamos un ataque de arp-spoofing*3 simple para esnifar tráfico del cliente, o más fácil aún, vamos a realizar un Man In the middle del DNS*4, vamos a suplantarlo para conocer los accesos y poder establecer otro tipo de ataque. Conociendo accesos típicos a una web interna, vamos a intentar montar un web similar*5 y con un proxy inverso capturar credenciales.

Hasta aquí un ataque de primero de hacker de los 2000, pero vamos a desgranar cómo debería ser la monitorización, qué fuentes serían necesarias para detectar este ataque.

*1 Monitorización de la plataforma de WIfi y correlación de eventos para detectar multiples peticiones deauth.
*2 WIFI IDS para detectar rogue AP y nuevos elementos en la red Wifi.
*3 Switches gestionables con detección de arp broadcast storm o similar.
*4 hay varias técnicas de detección para suplantación dns, depende si se cambia en el adaptador cliente, o es un envenamiento DNS, DHCP, etc. En la mayoría de los casos vas a necesitar monitorización total de red.
*5 detectar la navegación de usuarios a sitios con certificados no válidos, como cuando se usa ssltrip y herrmientas de proxy.

Como puedes comprender, desarrollar una estrategia de monitorización es muy complicada para casos de uso muy sencillo. Si a estos casos de uso le sumamos complejidad en el ataque, la monitorización se hace MUY compleja.

En el caso de los IDS de toda la vida, o como vimos en el episodio de OSSIM, se suele guardar el fragmento de pcap que ha saltado la alerta, pero en el caso de uso comentado, debería analizar el tráfico de red PASADO, almacenado, es decir, no el que genera el evento, sino 1 semana de estudio, un día, una hora, lo que necesitemos.

Cómo guardamos el tráfico de red de una empresa para monitorizar después? IMPOSIBLE, podrías guardar x horas, minutos, o días, pero el tráfico es gigante. Hay que trabajar con herramientas como puedan ser BRO o Logtash que generen eventos relacionados con el tráfico. Por ejemplo, en este caso del DNS, no tiene sentido tener un MEGA pcap para ver las peticiones UDP 53. Mejor será tener ese sistema automatizado y preguntar por ese datos, consultas UDP 53, no el PCAP entero.

Cuantos más indicadores "transformemos" del pcap a eventos, más capacidad de usar esa información tendremos. Bro tiene muchas capacidades ya dispuestas, por ejemplo, detectar los mensajes OSCP para detectar el código de error del certificado del caso *5.

Estos son los elementos que presenta el Mitre.
Access Tokens
Anti-virus
API monitoring
Application Logs
Asset Management
Authentication logs
Binary file metadata
BIOS
Browser extensions
Data loss prevention
Detonation chamber
Digital Certificate Logs
DLL monitoring
DNS records
EFI
Email gateway
Environment variable
File monitoring
Host network interface
Kernel drivers
Loaded DLLs
Mail server
Malware reverse engineering
MBR
Named Pipes
Netflow/Enclave netflow
Network device logs
Network intrusion detection system
Network protocol analysis
Packet capture
PowerShell logs
Process command-line parameters
Process monitoring
Process use of network
Sensor health and status
Services
SSL/TLS inspection
System calls
Third-party application logs
User interface
VBR
Web application firewall logs
Web logs
Web proxy
Windows Error Reporting
Windows event logs
Windows Registry
WMI Objects

Algunos son muy evidentes, pero otros? Detonation chamber ? Se refiere a algún tipo de sandbox que inspeccione el contenido del fichero adjunto en un ataque de Phishing.

Las peticiones DNS !!! en los servidores Windows por defecto no se registran, en este artículo aprendimos a registrar estos eventos en servidores DNS Windows,
pero también imagina la cantidad de registros que se van a generar...

Seguro que si repasas todas las fuentes de datos te saldrán mil dudas.

Otra cuestión a tener en cuenta es el propio dato, la calidad del dato. Tenemos un sistema consolidado por el tiempo, para el tiempo? para que cuando un evento me dice las 22:00 sea utc o utc+2 ?. 

Tenemos la misma política de retención de eventos en un log de Apache que en un log de un AP wifi?

Tenemos el campo ip_source en todos sitios, o en algunos es ip_src y en otros es una MAC? tenemos que hacer transformaciones específicas para homogenizar el dato? es decir , construir un modelado de datos para que tenga sentido comparar peras con peras, y no con manzanas...

Imagina un sistema con firewalls de 5 fabricantes, y que cada uno llama a sus datos de una manera distinta...

Aparte, si integras este modelado de datos con estándares de compartición como pueda ser STIX

Imagina un antivirus que te dice: amenaza X detectada en PC-JOSE , la fecha y el nombre del binario. Esa amenaza puede ser un malware en un js de navegación , o la ejecución de Mimikatz !!! Si es la ejecución de una powershell sospechosa, o un CMD, debería tener el comando exacto y los parámetros... y la fuente de la amenaza, si es una web, un proceso remoto en una red local...

También deberíamos tener el fichero en caso de existir, para poder hacer aunque sea un análisis dinámico...

PC-jose es el nombre netbios? DNS? el nombre que se le dió en la consola antivirus...

A mi ya se me están viniendo a la cabeza varios data-source en este mini user-case que es una mera detección de un antivirus. Use-case a millones, tantos, como representar todas las posibilidades reales en un proceso de hacking... infinitos diría yo !!!


A la hora de trabajar con los eventos, con la correlación, debemos usar lenguajes que nos permitan generar alertas y realizar búsquedas de supuestos. 

Cuando realizamos una gestión de incidentes, una respuesta a incidentes, se trabaja con supuestos, vas analizando la información que tienes y vas suponiendo, por ejemplo, si ves indicadores de compromiso o IOC´s relativos a navegación web, debes pensar que ha sido una intrusión por esta vía, deberás revisar en profundidad los logs de acceso y navegación. No vas a ponerte a leer todos los logs del sql-server del servidor de nóminas si no se ha visto implicado, a priori... 

Para trabajar con estos supuestos, con estas búsquedas de IOC´s, usar sistemas con lenguajes "compatibles" como pueda ser el proyecto SIGMA para la definición de búsquedas en los SIEM´s más populares es una ventaja, ya que te permite trabajar en entornos multi SIEM, que aunque parezca una locura, existen. El mismo SOC proveedor puede trabajar con N tecnologías SIEM.

Para la gestión de IOC´s tengo varios favoritos, pero hemos iniciado el artículo diciendo que no iba a hablar de software, para eso tenemos la tercera entrega.

De momento quédate con la idea del data-source. Si vas a trabajar con un fabricante X y tienes fuentes de información Y y Z, comprueba la facilidad que vas a tener de integrar esta información, de cómo vas a poder "meter" pero también "sacar".

En el próximo programa hablaremos de escenarios específicos con software que conoces como The Hive, splunk, MIPS, Alien Vault, Qradar, ELK etc.

Gracias por leerme.




Wannacry? Industria 4.0? Se olvidaron de nosotros: El boom de la ciberseguridad.

$
0
0
Estimados amigos de Inseguros !!!

En el post de hoy voy a hablar de uno de esos temas que se rumorea, o lo hacemos algunos, y que sospecho que no va a gustar mucho, y quizás sean opiniones mías subjetivas y solo eso, ojalá !!!


La ciberseguridad vive un BOOM tremendo y las noticias están lejos de la realidad.

Voy a ir por partes, porque tengo mucho que contar y me amontono. Voy a empezar con el título.

Wannacry.

Recuerdo con cariño ese día, ese fin de semana, porque me pilló viernes que me iba de viaje de fin de semana a mi querida playa de Almería, y gracias a la paciencia de mi santa mujer, pude estar enterado de todos los movimientos por las redes sociales y atendiendo a clientes.

La noticia tenía un componente muy bueno para los que nos dedicamos al negocio, pero desde el punto de vista empresarial. Para el currante que tuvo que estar todo el fin de semana trabajando, e incluso sufriendo coletazos las semanas siguientes fue un caos, igual que para la reputación de las empresas afectadas, pero para mi como empresario, me habría una ventana: los grandes medios nacionales en televisión haciendo ruido con la ciberseguridad !!! esto va a ser la bomba !!!

Esperaba que ese mismo lunes me llamaron todas esas empresas a las que llamas y no te atienden, a esas empresas a las que les presentas los servicios y ni siquiera les interesa un presupuesto, a esas empresas a las que le pasas un presupuesto y no lo aceptan, y por qué no, aquellas empresas a las que hiciste algún trabajo, quedaste bien, y quieren seguir con el proceso de la seguridad...


Pero espera Joaquín, como dices, esas noticias las vieron millones de españoles. no habrá quizás más empresarios como tú, de la ciber, o de empresas de micro-informática/sistemas/etc que piensen lo mismo? Efectivamente la respuesta es sí. 

Resulta que Wannacry no tuvo ninguna repercusión en mis cuentas, más allá de algún cliente fidelizado. Por qué? porque muchos se concienciaron, otros no, pero los primeros, tiraron de su informático, de su partner, y cuando preguntaron si estaban seguros, que cómo estaba el tema les contestaron:

Si, estamos seguro!!!
No, tienes que comprarte este cacharro !!!
Si, tranquilo, nosotros somos expertos en ciberseguridad y podemos ayudarte !!!

Al final, resulta que los que llevamos un tiempo con esto, no nos hicimos de oro, todo lo contrario, aparecieron nuevos actores aprovechando el nicho de negocio, las noticias, el boom !!!

Industria 4.0.

El término de Industria 4.0 lo podeis interpretar como querais, o podais leerlo en las mil páginas que hay sobre esto, pero básicamente compete a una transformación que de fondo, ofrece un ahorro de costes a la empresa o proceso de innovación que las hagas diferenciadoras.

En una empresa normal, la ciberseguridad ni le ahorra coste, ni la hace diferenciadora. Como mucho, le ayudará a perdurar en el tiempo, en ser más resistente, pero no más barata.

Las empresas tienen un objetivo claro, y al igual que los ecologista no entienden como una empresa no gasta el 0.7% de su beneficio a causas medioambientales, o sociales, los que nos dedicamos a la ciberseguridad tenemos que entender que muchas no están dispuesta a invertir en ciberseguridad.


Pongo el ejemplo de la CALIDAD. Cuando esto llegó a Europa a principios de los 2000, todo el mundo necesitaba calidad, nos prometieron que iba a ser la solución a todos los problemas empresariales, tenía sentido. Documente usted todo lo que hace, obtenga una certificación por documentarlo, y luego ya si eso, mejore los procesos. 


Para mejorar los procesos ya no había certificación, ni premio directo ( si, la empresa funcionaría mejor) es más, tenía unos coste "ocultos" como la re-certificación, procesos de adecuación, mejora, software, mantenimientos, cambios en los procesos productivos, ahora en vez de 60 minutos haciendo zapato, había que estar 59, 1 minuto anotando.  


No estoy diciendo que la calidad no sea buena, o mala, y nótese cierto tono irónico en mis palabras, pero la calidad no fue la revolución, no al menos como las vendían las grandes consultoras que exportaban el modeo yanki a Frutas Paco, S.L.

La industria 4.0 o por qué no, la Digitalización ha dejado de un lado la ciberseguridad. Si es muy necesaria !!! todo el mundo está concienciado, pero hay una brecha enorme entre concienciado y que compren !!!

Varios ejemplos, todo el mundo sabe que el tabaco es malo, que estar gordo o no llevar una vida sana es malo. Cuanta gente hay gorda, con vida insana y/o fumando?

La Digitalización si ha traído de su mano las redes sociales, el marketing digital. Esta profesión creo que está como la ciberseguridad. Más extendida, porque un buen marketing tiene impacto directo sobre las ventas de una empresa, la ciber no.

Ahora es cuando seguro alguno de los profesionales puede pensar: ya, pero sin ciber, puedes estar días sin producir, puedes perder dinero, puedes perder i+d+i, etc. YAAAAAA, pero no pienses como profesional de la ciber, piensa como empresario: mejor meter a un técnico de marketing para que suba la publicidad y posiblemente las ventas, que a un técnico/empresa de ciberseguridad que me cobra por no sé qué.

La moda de Apple, Steve Jobs ha hecho mucho por el marketing. Esa pequeña empresa que gracias a una idea se come el mundo: Apple, Amazon, Facebook, Uber, etc etc etc etc etc

En la ciberseguridad tenemos al máximo exponente mediático, el señor del gorro, que ha hecho mucho por popularizar la ciberseguridad en los medios, pero no tanto como Steve Jobs :-)

Que viene el lobo, pues que venga.


Este concepto lo hablo mucho. En todas las reuniones los profesionales coinciden en que las empresas son reactivas, no se protegen, no suelen. Son aquellas que han sufrido un incidente de cerca las que invierten... si pero no. Algunas. Déjame explicarme.

Nos está pasando, que vamos a empresas, que les ha pillado un Ransomware. Cual es la MEJOR SOLUCIÓN PARA UN INCIDENTE DE RANSOMWARE? la mejor no lo sé, la más barata, el backup. Si se infecta un pc, se restaura. Un servidor, igual. Un entorno de red... pues mas o menos con cierta configuración de vlans y permisos de Active Directory se puede contener. Esto es SISTEMAS, no es ciberseguridad. Quizás, ahora lo veremos más adelante.


Entonces, seamos honestos, debe una empresa con 25 ordenadores, sin informático, el típico "power user" que se encarga del día a día y que tiene a una empresa de micro-informática/informática detrás,  iniciar un proceso de mejora continua en ciberseguridad, empezando por un informe de auditoría de 3.000€, una serie de recomendaciones de seguridad, otros 5.000€, y unos mantenimientos de X al mes? 

Si estás en el mercado de la ciberseguridad por supuesto que sí, pero qué opina el empresario?
El empresario estira los equipos 10/15 años, recuerda que hablo de la mayoría de empresas en España, no del Ibex35 ni las grandes corp con rentings y cambio cada 4 años. Hablo de Aceros Pepe. S.L que tiene a 300 trabajadores y que factura 65.000.000€. Ese empresario aguanta los servidores hasta que están muy viejos, pirate el software, o aún le queda algo pirata. Tiene gente echando una hora extra en negro para ahorrarse impuestos, quizás maneje algún sobre más, pero esto es otra cosa.

Las empresas son máquinas complejas con prioridades, y si bien el CEO, el CTO, el CFO están concienciados, el gasto o inversión es otra cosa.

Volvemos al Ransomware. En papelería Cristina S.L. entró un ransomware, y se quedó un equipo sin servicio toda la mañana. Eso le cuesta a la empresa XXX euros. NOOOOOOO, eso es un estudio en una revistaaaaaa, de unos señores con corbataaaaaaa. En papelería Cristina, esa mañana sin equipo, se uso para ordenar los AZ de las estanterías, subir al almacén los viejos, y ordenar unos cuantos papeles más que había por ahí, no se ha perdido NADA. Quizás, los 180 euros del informático que ha ido a hacer el trabajo: Insisto, hablo o intento hablar como piensa el empresario, no el gremio.

Ahora vamos con el timo del CEO, empresas que pierden 10/15/50/100k en un pago a otra cuenta. Las conocemos, entre ellas no se conocen o habría más medidas, pero no es algo que se vaya proclamando a los 4 vientos. Ahora es visto varias campañas de ciber que prometen soluciones técnicas a este asunto. A ver... hay soluciones técnicas para combatir el phishing y el spam, pero si un correo llega de un hotmail con el cambio de cuenta y se lo traga el operario, zascalas !!! la única medida 100% efectiva es que no se pueda cambiar el número de cuenta de un cliente en el ERP/pagos sin una llamada para confirmarlo a la empresa. Esto funciona 100% y no requiere de pentesting o redteam. Otra cosa es que sea un indicador de poca madurez de la ciber de la empresa, pero vuelvo a lo mismoooooo, piensa como el gerente, no como el experto en seguridad.

La semana de la Seguridad.


Este término no es mio, pero prometí usarlo, gracias Javier por resumirlo así.

Gerente o informático sufre un incidente como mencionamos, o acude a una charla, o su primo le cuenta en el café algo de ciberseguridad. Esa semana pasa a ser la semana de la seguridad.

Pide presupuestos, que estamos haciendo?, reuniones con dirección. Gente de dirección poniéndose medallas de que hay que luchar contra esto, etc. 

El informático o bien miente y dice que están seguros, de los más seguros del mundo, o admite la necesidad. En el mejor de los casos, se comprará un UTM de 2800€, o se comprará ese antivirus pirata que el CTO llevaba meses reclamando, los más aventureros contratarán una auditoría de seguridad... 

Para el que dice que está seguro, perfecto. Es como cuando oyes el ruido en el coche y subes el volumen de la radio.

Para el que compra el cacharro, solución, bien y mal. Bien porque ha incrementado su seguridad... (este es otro tema, cacharras al 10%...) pero mal porque al año siguiente le recordarán que el año pasado ya se invirtió en ciber, y que este año la pasta está para centralita IP que ahorra costes...

Los que compraron la auditoría han solucionado lo que han podido, invirtiendo el mínimo dinero posible, y no van a hacer una auditoría al año siguiente por varios motivos, el económico, y que hay cosas que no han podido cambiar, y que NUNCA van a poder cambiar, como que su jefe no quiere VPN para ver las cámaras ni muchos menos usar contraseñas de 12 símbolos griegos...

En el mejor de los casos, esa semana de la ciberseguridad te hará aumentar algún dígito tus ventas de experto, pero la INMENSA mayoría no va a acudir a ti, va a acudir su partner de confianza, a sus informáticos, y ahora es cuando recuerdo la frase de arriba: ahora todo el mundo sabe/vende ciber. Por lo que en el mejor de los escenarios, TAMPOCO vas a pillar pasta en la semana de la ciber...

La seguridad horizontal.

Este tema también lo expuse en un foro de debate hace ya algunos años y casi me comen, pero claro, no les venía bien a ciertas empresas.

La ciberseguridad al fin y al cabo convierte el trabajo del auditor en encontrar fallos. Fallos en la programación o en la implementación de sistemas, en cómo se configuran.

Si los programadores mejoran su trabajo, gracias a los frameworks y el conocimiento es más fácil programar. Hace 10 todos los desarrollos tenían sqli y ahora ya no es tan tan tan normal en desarrollos jóvenes. Siiiii, valeeeeee, la alhambra de granaaaaa. 

Poco a poco la gente hace sus cursos, sus masters, la gente estudia ciclos !!! es que antes los informáticos éramos de haber empezado leyendo revistas !!!!

Ahora hasta el más newbie ha hecho o puede hacer un curso de hacking que le enseñen metasploit, un poco de burp, algún vulnscan y si es es de programación, pues buenas prácticas, devops etc.

Al final, para llevar la seguridad de una empresa no hace falta MEGA EXPERTOS. Imagina un tio de estos que hace reversing, que se mete en "Matrix" y lo entiende... solucionando fallos de configuración de un Active Directory... o una sqli de libro? 

Nos han vendido siempre que la ciberseguridad era la hostia, lo más TOP, tenías que saber sistemas, programación, años y años en las trincheras. Poca gente lo conocía. Eso era antes.

Ahora hay críos de institutos ganando retos CTF a diestro y siniestro. No estoy diciendo nada con esto que no sea, que la ciberseguridad del día a día se puede gestionar sin ser el top 100 de hackers de España o tu universidad. 

Insisto en que no pienses como un profesional, piensa como un empresario. Un buen administrador de sistemas, BUEN, no va a tener un servicio corriendo como root con una clave fácil, o un equipo sin actualizar. He hablado mucho de esto en mis charlas, aquí el bueno no es el auditor que saca el fallo, es que el defensor es MUY MUY MALO.

De pequeño siempre he escuchado que el director del banco es el que más ganaba, lo escuché de vecinos, que indicaba a sus hijos que se hicieran banqueros. Un corto espacio de tiempo escuché que había que ser informático. Que los consultores de SAP ganan dinero, claro !!! fuera de Madrid los consultores de SAP son como los dentistas o traumatólogos, millonetis !! forrados!!! pués no. Ganan 1700€ con suerte y alguna propina a final de año. 

Al final siempre hará falta empresas de ciber, con mucha verticalidad en el ramo, para respuesta a incidentes serios, auditorías complejas, entornos de máxima seguridad, pero la empresa de 20 ordenadores quizás nunca llegue a demandar esos servicios.

El mega-incidente.


Coincidiras conmigo que hay muchas noticias relacionadas con la ciberseguridad en cuanto a cifras. Una de ellas, Todos los días aparecen 2.000 muestras nuevas de malware. Otra, todos los días se sufren en torno a 10.000.00.0.00. millones de ataques en nuestras redes. Otra, en España se realizan no se cuantas actividades defensivas en no se donde... 

Vamos a ver, tu miras un aparato, un SIEM, y por suerte, la mayoría de ataques son convencionales, masivos, buscando un fallo estrepitoso. Un portscan, un brute force, intentos de exploits con actualizaciones de hace un mes/año/10 años. Todo eso no vale naaaaaa. La seguridad avanzada, la que hacen las empresas especializadas y los expertos no es para eso. Eso lo para el UTM de turno, o el endpoint.

Yo opino que ataques gordos gordos, un APT o similar, las empresas van a sufrir uno como mucho dos en toda su vida. Esto quiere decir que o estás entrenado, o estás muerto. Es cierto que las empresas que sufren un ataque gordo, es raro que remontan, o al menos es muy difícil, pero esto es el cuento del lobo en versión ciber y con más secretismo.


Cuando hablamos esto con el empresario, este no entiende como María, su contable de toda la vida le va a hacer daño desde dentro !! si confía en ella para la contabilidad de toda la empresa, cómo va a desconfiar de ella en materia de ciberseguridad. Es muy sencillo, lo sabemos !!! pero insisto, piensa como el ceo. Que tienes gente descontenta, que esta gente tiene un sobrino hacker, que se va a la competencia. Que Maria ya no está sola en el departamento y ahora son 3. Que el informático es curioso e investiga/toca. Que hay chinos/rusos que quieren su dinero. Que la competencia juega sucio. Que el fallo puede ser intencionado o no. Todo esto es difícil de transmitirlo a un CEO, o quizás sea fácil, lo difícil son todos los escollos que aparecen hasta que una empresa invierte.

A mi no me va a pasar !!! eso lo piensa todo el mundo. Tu llevas toda tu vida contratando seguros de coche a todo riesgo? con todas las cláusulas? tienes tu casa vigilada con todas las medidas de seguridad oportunas? actualizas el contenido de tu seguro del hogar todos los años? tienes un seguro médico?cambias las ruedas  del coche con puntualidad? vas a la revisión del dentista justo el día que hace 1 año? tienes antivirus en el móvil? usas un content filtering para los dispositivos de tus menores? si a todo me respondes que si, eres un máquina y estás concienciado, si no, coincide conmigo en entender que si TU no haces todo esto, ir a pedirle al empresario que invierta en seguridad como proceso, en mejora continua es complicadoooooooooo

El sector en cifras.


Ahora viene la parte más dolorosa, las cifras. Voy a empezar por los salarios.

Los salarios en ciber son BAJOS, como en todas las TIC´s. hay cierto movimiento entre perfiles juniors, me atrevería a decir de menos de 37k/año, pero por encima? para superar la barrera de los 2.000euros? No hablo de las mega corps madrileñas. Vivir en Madrid tiene un coste, desde el coste directo de los precios, pasando por el desplazamiento, hasta por los viajes de vacaciones etc, pero no voy a entrar por ahí. Hablo de España y su tejido empresarial, no 4 referencias.

Hace poco discutíamos en twitter sobre esto, y llegó el troll de turno, el tonto simpático de siempre que cobra bien, y orienta el problema a la valía de las personas. Que si eres bueno si te pagan, y la cosa está en que no hay nivel. Vamos a ver tonticos míos.  Cuando se habla del sector, se habla de toda la gente, y voy a poner el ejemplo de los futbolistas.

Cuanto gana un futbolista? poco o mucho? creo que en cada liga hay 20 equipos, 40 entre las dos. a 22 futbolistas por equipo son unos 800 futbolistas. No se la segunda b como va muy bien, pero lo miro, y me dice que hay 4 grupos de 20, 80, otros 1700. Pongamos 2.000 jugadores jugando al fútbol y cobrando bien. Desde los millones de Messi hasta la nómina de 2b de un jugador que gana 4.000€

En España hay federados más de 700.000 jugadores y solo está bien pagados 2.000. Entonces, el sector del fútbol está bien pagado? aquí se mezclan jóvenes, viejos, amateurs, está claro, pero la moraleja es que no todos son messi y cobran millones. Conozco amigos en tercera que cobran sus 2.500 euros con 30 años y esa es su vida, una vida normal. Nada de coches ni historias.

Que haya cierta élite de gente MUY MUY potente que cobra sueldazos, es inevitable, me alegro joder !!! pero eso no es lo que dicen las noticias, de que faltan no se cuantos y que se cobra no se qué.

Por otro lado, y este es más serio, voy a coger varios Pure Player de la ciber. Empresas de reconocido nombre, líderes en España y alrededores en ciberseguridad, las que llevan bastante años ofreciendo un gran trabajo. Aquí no están todas, porque no hay datos objetivos de todos , pero para lo que quiero expresar me sirve.
Tarlogic: no sale, pero si miras el ranking de los últimos datos de empresas y su posición , puedes hacerte una idea.
Isec Auditors: Mismo caso que Tarlogic.

Si estas empresas, que son aquellas en las que todos los profesionales quieren trabajar, o han trabajado, o son referente por hacer su trabajo bien, tienen esas facturaciones... mal vamos.

A ver, el día que yo tenga una empresa así con esos números quizás me sienta el hombre más feliz del mundo, no es un crítica, sino una reflexión. Que de las mejores empresas de ciber de España se muevan esas cifras, indica que el sector no es tan próspero como parece ser en las noticias, ni mueve tanto dinero.

Otra cosa es que leas que la grande de España !!! y no me refiero a una faraona ni cantante de coplas, indique que en sus números ha hecho no se cuantos records y no se cuantos millones. 

Dicho de otra manera, si Telefónica vendiera sofás, sería una de las empresas que más sofás vendería. Si vendiera palomitas, sería la número uno. 

En ciber pasa lo mismo. No puedes medir el pulso del sector porque Telefónica, Indra o Accenture hayan facturado 1000 millones en el sector, porque esos números son de equipamiento, contratos muy muy tochos de muchas personas. 

Vender Firewalls o endpoint es ciberseguridad, pero eso mueve a una pequeña parte de los profesionales de la ciberseguridad. Es más, soy de los que piensa que un Firewall es un elemento de sistemas, pero bueno, esto es discutible.

Lo que está claro es que no vas a tener esas cifras ni de lejos ofreciendo servicios expertos. Ni ellos tampoco, se basan en equipamiento.

Otro enlace de referencia es este generalista. Hay varios datos interesantes, uno de ellos el ranking por actividades en España. Sale la ciber? jajajaj ni las TIC´s salen. 
Otra cosa es que por millones, por ejemplo Murcia sale la 7ª potencia económica. Quiero decir, que cuando uno dice: no todo es Madrid y Barcelona, claro, parece que decir Murcia es como decir un pueblo, no ojito, que hablamos de grandes ciudades también, y la ciber/tic´s no aparecen.

Ahora lee este ranking con la información de las ventas de las empresas del CNAE Consultoría de informática. Crees que en el sector tic´s la seguridad aparece con empresas de vertical ciber? noooooo, aparecen las consultoras de siempre. Las que estaban ahí sin vender ciber, y las que ahora pillan cacho también de la ciber, mañana lo harán de otra cosa, y así siempre. Por más necesidad que haya de ciber, se repartirá como siempre. Entonces, qué historia pasa con la ciber y las noticias? Ya lo he dicho, burbuja total !!!!

Linux como escritorio, Virtualización de escritorio, la nube, la hyperconvergencia, blockchain, big data, al final, hay un Fortune 500 en Estados Unidos, algo lejos de mi humilde Murcia, que dicta los caminos que se siguen y al final todos como borregos caemos, pero la realidad de una pyme en Zaragoza no es la de una empresa del valle del silicio.

El futuro.


Si pudiera ver el futuro sería millonario, o tendría pelo... Lo que es cierto es que la Ciberseguridad vive en una burbuja, tanto positiva como negativa para el sector, y que con el tiempo estallará.

Las empresas que venden ciber sin ser expertas seguirán vendiendo, porque es gratis ponerlo en sus catálogos,  pero tendrán que diversificar.

Los pure players de ciber tendrán un camino duro por recorrer, pero confío en esa parte vertical necesaria, y si bien se ajustará un poco el número, a la baja, las buenas quedarán.

A nivel profesional, los que hacemos esto, será como todo, independientemente del trabajo, nos gusta, es nuestra afición. En mi caso fue el hacking, luego los sistemas y ahora ciertas áreas de la ciberseguridad. No se dentro de 10 años si seguiré haciendo auditorías, haciendo blue team o enseñando a un robot, pero tengo claro que seguiré en el sector.

Los que se creen que esto es un sector en alza, con grandes números y beneficios, creo que de momento se equivocan, y soy bastante pesimista con esto.

La RGPD hizo un intento de mejorar la ciberseguridad, o más bien la privacidad, pero no termina de ser el impulsor necesario. 

En una sociedad limitada, no se cual es el límite de facturación, pero al pasarlo tienen que tener una auditoría externa financiera y presentarla en hacienda. No sé exactamente los parámetros, pero esto debería ser ASI en ciberseguridad. El gobierno debería obligar, por seguridad nacional, a qué empresas de cierto volumen pasen auditorías de cumplimiento en ciberseguridad.

Esto conlleva otros problemas, como qué empresas pueden certificar esa auditoría, las 4 grandes? yo como autónomo? qué auditoria se hace, la mía que soy muy bueno? la de mi vecino que es muy barato?

Cuando algo es por ley, si bien sería un impulso, no sería la solución porque nadie quiere ser perfecto en cumplir una ley, las empresas quieren cumplirla y punto. Quien quiere ser excelente en pararse en los semáforos en rojo? con pararme basta, no tengo que ser excelente y pararme 10 segundos antes de que se ponga en ámbar...

La solución para concienciar a la empresas es eso mismo, formación, concienciación, que ocurran incidentes, que se solucionen, que se aprenda de ellos, pero estamos en España, el tejido empresarial y laboral no es el mejor del mundo, hablo para TODAS las profesiones, por qué creemos que con la ciber va a ser distinto?

Espero que se entienda este texto como una opinión personal, sin querer faltar a ninguna de las marcas o empresas mencionadas, y que respeto que no pienses como yo, pero me gustaría saber tu opinión, y sobre todo, a tus consejos si sabes como mejorar la situación.

Tengo un amigo CTO en una empresa, concienciada en la ciberseguridad, que no para de decirme que no entiende cómo las empresas no invierten en ciber... y por más que se lo cuento, no lo entiende.

No lo entiende nadie, pero las empresas, a dia de hoy, NO INVIERTE EN CIBERSEGURIDAD.

Gracias por leerme. xD



Cómo de grande lo tienes: Auditoría de Logs de Windows. Log-Md

$
0
0
Estimados amigos de Inseguros !!!

Poco a poco vamos trabajando en el blog con algunas herramientas y procesos que uso en mi día a día en el mundo blue team.

En esta entrada vamos a hablar una vez más del log de Windows, de la matriz Mitre y esas cosas que tanto nos gustan.

El equipo de Malware Archaelogy pone a disposición nuestra una seria de Cheat Sheet diversos muy interesantes. En este caso, nos muestra una lista de Técnicas Mitre y el Id de evento que lo localiza, en el caso que así sea. Es decir, identifica o mide el grado de detección de ciertas Técnicas Mitre en base a la capacidad de nuestros windows de recopilar eventos.


Como sabéis, la configuración de auditoría de eventos de Windows que viene por defecto es INSUFICIENTE para poder hacer un buen trabajo de detección.

Es recomendable activar la auditoría avanzada e implementar SYSMON como mínimo.

Con esta información podemos conocer un poco más sobre el papel el estado de detección de ciertas técnicas, y si nos apetece, pintarlo como vimos en el último post de Mitre.

Pero se que sois perezosos, incluso alguno vago !!! :-) y es mejor que todo lo haga una máquina.

Para eso llega Log Medical Doctor o Log- Md. Una aplicación en dos versiones, gratuita y de pago, que nos va a ayudar mucho en nuestra tarea de setear correctamente nuestros Windows.

Podemos empezar con la herramienta utilizando el parámetro -c para hacernos ese diagnostico de qué logs deberíamos tener activados. No muestra según el sistema operativo si están disponibles o no, o si bien debemos auditar los intentos correctos, incorrectos o ambos.


Otra opción interesante es la de crear un línea base de seguridad del registro y compararla cada cierto tiempo buscando cambios.

-rb Baseline the registry, creates or overwrites Reg_Baseline.txt
-rc [f] Compare a new registry snapshot with Reg_Baseline.txt
 f = baseline location full path

Otra opción muy interesante es que hace de una especie de FIM, File Integrity Monitor, al estilo de OSSEC, es decir, podemos indicarle una ruta y realizar una seria de hashes a ficheros, y comprobar posteriormente si ha habido cambios.

hf Hashes a single file, outputs hash to screen
-hd [d] Used with -hb or -hc to designate a starting directory for hashing
 d=full path of directory
 ex: -hc -hd "F:\Test_Dir"
-hb [-d] Baseline hashes of filesystem
 creates/overwrites Hash_Baseline.txt
 d = directory containing Hash_Baseline.txt
 Creates Hash_Locked_Files.csv
-hc [d] [-md] Compares new hashes and locked files with baseline
 Creates Hash_Latest.txt and Hash_Compare.txt
 Creates Hash_Locked_Files_Compare.csv
 d = directory containing Hash_Baseline.txt (full path)
 Uses whitelist file:
 + Whitelist_File_Hash.txt
 [+ MasterDigest.txt]
 Creates Hash_Locked_Files_Compare.csv

La herramienta cuenta con una detallada documentación y la mayoría de las opciones son libres y gratuitas.

Espero que le saques provecho y pongas esos Windows un poco "al sol" que no todo es siguiente siguiente siguiente como algunos creen.

Gracias por leerme.

Hoy entrevistamos a ... RADIOHACKING !!!

$
0
0
Estimados amigos de Inseguros !!!

Hace algunos meses que no hacemos ninguna de estas, de estas entrevistas medio en serio, medio en broma, medio denuncia por acoso ... que suelo poner por aquí.

Hoy le ha tocado a un compañero de profesión, y porque no, amigo del mundillo David Marugán más conocido como RADIOHACKING o más conocido como el tipo que puede escuchar cosas que los demás no :-)

Una persona muy querida en el colectivo, por sus conocimientos, pero sobre todo por su pasión y dedicación a lo que le gusta. Gira de ciudad en ciudad contando lo que sabe a los más jóvenes, y no tanto, y es un habitual en las charlas de pasillo, o como se dice ahora NETWORKING.

Como muestra de respeto y admiración, y para que todos disfrutemos un poco más de él, aquí va esta pedazo de entrevista, o INTERVIU, como querais llamarlo :-)




1.- ¿Quién es David “Radio Hacking”? ¿De donde vienes… a donde vas… que has desayunado hoy?

Puessimplemente una persona con inquietudes e intención de divulgar sobre los temas que me apasionan. Nací en un barrio obrero de Madrid llamado Canillejas, en una época muy complicada. De ahí vengo. Algunos chavales en lugar del smartphone de hoy llevaban escopetas recortadas, y apenas llegaban a los pedales de los coches que robaban para dar "palos" y meterse un pico. Yo me fui de allí siendo todavía adolescente, y aunque fue una época dura para todos a nivel social y económico, guardo maravillosos recuerdos de mi infancia y de la gente del barrio, de su lucha y de su valor. Siempre será mi barrio. *con esa cara de mafioso ruso, sospecho que esos chavales ahora te tendrían miedo a ti xD*

No me preocupa tanto dónde voy, lo que sí tengo muy claro es dónde NO quiero ir. Esta mañana me he comido un donut de chocolate de la máquina ;)
2.- ¿Cómo comenzaste en el mundo de la radio?


Se pierde en la noche de los tiempos, pero tuvo mucho que ver una cama que heredé de mi hermana mayor, y que tenía una radio de AM integrada en el cabecero, era algo muy kitsch que se llevaba en los 70 y yo me pasaba las noches en vela buscando emisiones extranjeras en el dial, aprovechando la propagación nocturna de Onda Media. Obviamente hace más de 35 años no tenía ni idea de cómo funcionaba esa "magia", simplemente me fascinaba recorrer el dial pintado con nombres tan evocadores como: "El Cairo", "Berlín"... y escuchar esas voces en idiomas exóticos para mi hasta que me quedaba dormido. 


Por la mañana la "magia" había desaparecido, en parte también porque a mis padres les ponía de mala leche que estuviera haciendo frikadas con la radio a esas horas y luego no me despertaban con demasiado tacto.

Un poco más adelante descubrí que los radiocasetes de la época (en mi caso un Sanyo M2420) tenían una "zona" de dial extendido al principio de la banda de FM comercial (88 MHz) y permitía bajar lo suficiente como para escuchar los indicativos de la Policía Nacional de Madrid. Entonces no lo sabía, pero había gente que había seguido incluso la evolución del 23F con este tipo de radiocasetes, de hecho hay grabaciones muy curiosas grabadas en cinta con estos aparatos.  

Después "convencí" a mi padre para que me comprara una estación de radioaficionado muy modesta, de segundamano, como regalo de navidades y comencé a realizar contactos internacionales o DX (repitiendo en inglés de carrerilla lo que escuchaba a otros, modificando mis datos y ubicación). Todavía recuerdo con mucho cariño mi primer contacto transoceánico con una antena de coche en el balcón, fue con Pasto, Colombia, corría 1987 creo recordar... ha llovido ya.

3.- ¿A qué te dedicas? Creo que haces Hacking ético o al menos controlas de técnicas menos radio y más informática.

Actualmente soy responsable de equipo en un integrador IT, dentro del área de desarrollo de servicios de ciberseguridad. A lo largo de mi vida profesional he realizado labores de auditoría, consultoría y hacking ético en diferentes empresas. También he trabajado en el ámbito de I+D de seguridad electrónica y RF. Como anécdota decir que mi primer sueldo (trabajaba esporádicamente para un importador de radiocomunicaciones asesorando a clientes) lo gasté íntegro... en uno de los equipos de su catálogo. En aquella época un equipo costaba prácticamente el sueldo íntegro de un obrero.


4.- ¿Qué nexo de unión ves entre el mundo radio y el mundo informática? Yo cada vez que veo asuntos Radio y lo que se puede hacer me rio de los “nmap” y las sqli….


La comunidad hacker y la radio es todo uno. De hecho si definimos "comunidad hacker" como grupo de personas que investigan y comparten información sobre tecnologías para mejorarlas, encontrar ciertos fallos o estudiar su seguridad, nos encontramos que las primeras comunidades tecnológicas de la historia eran lógicamente las de radio. 

En USA a principios del siglo pasado ya había decenas de revistas de esa época sobre radio y construcción de equipos, lo que hoy llamaríamos "makers" fue un boom hace un siglo. El primer "troleo" también lo sufrió el mismísimo Marconi en una demo del telégrafo sin hilos en 1903. Él se jactaba de que su invento era imposible de vulnerar (¿Os suena esto eh...?) y un tal Nevil Maskelyne, que era un ilusionista (no quedó claro si era un hacker o un "ciberdelincuente" pagado por la competencia de Marconi, que tenía las patentes del telégrafo con hilos) le dejó en ridículo haciendo lo que hoy denominariamos ataque de "spoofing". 

Hackers contemporáneos como Kevin Mitnick o Clifford Stoll (autor del libro "El huevo del cuco") han tenido mucha relación con la radio, de hecho Cliff además es radioaficionado con indicativo legal.

Hoy radio e informática van de la mano. La eclosión de las tecnologías SDR low-cost (radios definidas por software) ha cambiado el panorama totalmente, también para desgracia de la gente que no ha podido o querido hacer la transición desde la época analógica. 

Hoy es necesario conocer ambos mundos para hacer cosas interesantes o analizar señales de cierta complejidad. Quizás mucha gente que viene del mundo informático, han llegado con poca base de radio y se vuelven locos por el espacio radioeléctrico o confunden algunos conceptos, especialmente en temas legales y de procedimientos.

Con las tecnologías actuales se pueden hacer ataques a redes e infraestructuras radio con muy poca inversión. Te puedo asegurar que si la gente supiera lo que se "cuece" realmente por las ondas, a más de uno se le pondrían los pelos de punta y se le olvidarian los SQL injection. Si ya hablamos de Guerra Electrónica, COMINT o SIGINT a nivel gubernamental,  militar, etc... es otro mundo.

5.- Todos te vemos por numerosos eventos de formación y concienciación. ¿Cómo está el panorama de la radio en España? La comunidad “hackers” si se ve y hace mucho ruido, pero sospecho que la radio no tanto, o es que os comunicáis por radio?

Creo, y ojo, es una opinión muy personal y por tanto muy subjetiva, que la gente de radio no suele tener tanto ego o afán de protagonismo, también puede ser porque hemos estado muy regulados desde siempre (el ámbito de la radio es de lo más regulados por ser una tecnología muy madura) y hemos estado más cómodos en ciertos grupos, no digo ya cerrados, pero sí de confianza. 

Debemos comprender que en informática tu puedes probar, emular y compartir mil cosas en una máquina virtual o servicio sin problemas legales, pero en radio, aunque también se pueden emular muchas cosas y usar señales de laboratorio, a veces alguien puede necesitar interceptar o probar una señal real y eso es muy diferente, puede ponerte sin apenas darte cuenta en una "línea gris".

Actualmente veo cosas en lo que se denomina "comunidad hacker", si es que existe tal concepto de "comunidad" realmente, que me dejan perplejo. No sé, a veces no entiendo de qué va todo esto, pero parece que muchas veces por desgracia no va de lo que debería: compartir conocimiento y apoyar a otros, sino todo lo contrario: a ver quien es "más popular". La comunidad radio históricamente es poco de "egos" y postureo, y sí de apoyar a los que empiezan, de compartir y ayudar a todos los niveles, creando desde puentes humanitarios en catástrofes de todo tipo a canales de evasión de censura en algunas dictaduras recientes. 

Muchas personas que vienen del mundo de la informática les choca mucho la diferencia (aunque ególatras y patosos hay en todas partes), no entienden porqué nos prohiben cifrar nuestras conversaciones o por qué nosotros mismos somos tan rígidos en nuestros protocolos de comunicación, en el respeto y cumplimiento de la normativa, pero en eso precisamente se sustenta nuestra comunidad con un mínimo de seriedad y de filtro. Incluso en ocasiones algunos se sorprenden porque debamos pasar un examen para operar equipos. 

La radio yo creo que sí vuelve a estar de moda por muchos motivos, pero ojo, debemos saber qué terreno pisamos, la radio no es tu chat de colegas ni un grupo de Telegram para hablar de futbol o política, podrías estar interfiriendo una torre de control o comunicación crítica si no sabes bien lo que haces. Un equipo con picos de 1000W y con una antena direccional no es precisamente una placa de Arduino. Hasta con un simple walkie de los chinos podrías liarla. La radio es otra historia: una historia apasionante.

Yo participo en eventos porque creo que es una forma de acercar estos dos mundos, de hacer un poco de router,  y porque siempre he sentido la obligación de devolver lo que otros tantos me dieron antes, cuando no existía Internet y nos pasábamos fotocopias de frecuencias en encuentros semiclandestinos,o cuando usábamos ciertos trucos para pasarnos los teléfonos fijos en emisiones públicas. 

También es cierto que después de tantos años y eventos, es necesaria una renovación, y aunque no hablo de dejar de participar en estos eventos de ciberseguridad de un día para otro, creo que esa deuda está saldada y estamos obligados de alguna forma a "dar el relevo" (estoy convenciendo a mi amigo FernandoEA4FSV y no cuela). Creo que es algo sano, nos vamos haciendo mayores y hay que bajar un poco el pistón. 

6.- Cuántos aparatos tienes en casa que usen pilas y/o tengan antenas?

No tengo ni idea, pero se cuentan por decenas y repartidos por varios "búnkeres", desde equipos de espionaje de la Guerra Fría a modernos SDR. Como sabes a veces sorteo o regalo alguna radio, porque tengo un "diógenes RF" importante, como todos los que nos dedicamos a esto.


7.- ¿ qué es lo más raro que ha pasado por tus ondas en todos estos años? Conversaciones de vecinos, radios de países enemigos… quizás extraterrestres????


Para hacernos una idea las comunicaciones, salvo excepciones puntuales, no se cifraban (hoy algunas tampoco, en honor a la verdad). Con un sencillo escaner VHF-UHF se podía acceder en los años 90 a comunicaciones de todo tipo, desde telefonía móvil analógica a comunicaciones policiales, pasando por los típicos teléfonos domésticos por radio. 

Ahora esto llama mucho la atención y seguro que llenaría portadas (¿Os imagináis poder escuchar, a día de hoy en claro las conversaciones de los móviles?), pero antes era algo habitual. A mi sinceramente me han atraído más otras bandas y otro tipo de comunicaciones, como por ejemplo la Onda Corta o HF. Una cosa curiosa es poder recibir señales (voz o datos) desde la Estación Espacial Internacional (en otras épocas se hablaba también con la Mir rusa) o incluso los intercomunicadores de los cascos de los cosmonautas cuando salen al exterior de la ISS. 


Las Estaciones de Números también son muy interesantes; poder escuchar mensajes de servicios de inteligencia extranjeros, y aunque no puedas nunca conocer su contenido poder analizar sus señales e identificarlas, no deja de ser apasionante. Hay personas que llevan décadas dedicadas a investigarlas con mucho rigor. Una época muy impactante en Onda Corta fueron los días anteriores y posteriores a la caída del Muro de Berlín, por los motivos que os podéis imaginar.


8.- ¿Qué consejos le darías a un novato que quiere empezar con la radio, pero desde el punto de vista de lo técnico, es decir, estudiando algún libro referente? Algo más que comprarse un SDR…


El mejor consejo es que se haga radioaficionado (o simplemente radioescucha) antes de nada. Que obtenga cierta base "analógica" antes de ir a los SDR. Suelo recomendar que se informen en la URE (Unión de Radioaficionados Españoles) o asociaciones de este tipo y que cuando estén preparados se presenten al examen para obtener la autorización de operador. 

Si solo se quiere escuchar no es necesario examen, se puede visitar la web de AER (Asociación Española de Radioescucha) y por supuesto buscar por Internet. Conozco personas que saben decodificar TETRA y que no serían capaces de sintonizar RNE en una radio analógica. Mejor tener unos pocos conceptos pero bien afianzados. Estudiar el libro del examen y preguntar a otros radioaficionados es la mejor forma de iniciarse. 

La autorización te abre un mundo de posibilidades brutal, que te puede venir genial para ir luego a la parte digital o SDR, donde pueden complicarse las cosas si no se sabe un mínimo. 


9.- Y los que quieren comprarse un SDR y hackear “Facebook” qué les recomendarías?


Les recomiendo que dejen Facebook y que se compren una radio, nadie les espiará y no tienen que usar una password fuerte. 

Bueno, ahora en serio, la traducción de la pregunta "¿Como hackeo el Face de mi novia/o?" en radio sería: "¿Cómo puedo escuchar a la policía?". No sé las veces que me lo han preguntado e intento ser lo más educado posible, pero lo cierto es que si tu interés por la radio es este, simplemente no te interesa un pimiento la radio, ni lo que yo pueda contarte. Como suele decirse en los manuales de radio: "infórmese antes de la legislación vigente en su país".


10.- ¿Cuánto dinero tienes en la cuenta? Jejeje. Bueno aquí más que nada, comenta cómo ves el mercado laboral de la profesión.


Remitiría a las charlas o comentarios de David Menéndez, que es quien mejor lo describe. En cualquier caso debo decir que en mi opinión personal el hacking no es una profesión, sino más una forma de vida o una forma de "ser" y pensar, y no necesariamente está relacionada con la informática. Esto lo he dicho en muchas ocasiones. 


Si es cierto que cuando estás en un rol profesional determinado deberías cobrar como mínimo de forma digna y acorde a lo que puedas aportar. Sinceramente creo que se está creando una burbuja de: "fórmate en la profesión del futuro... faltan 390 millones de hackers" para luego decir: "es que tienes que cobrar poco porque claro... ahora sois demasiados." (hace tiempo pasó algo similar con otras profesiones, pero ya nadie se acuerda). No faltan tantos profesionales ni talento, faltan profesionales y talento por el precio que algunos quieren pagar. 

A mi también me pasa algo parecido: siempre "me faltan equipos" de inteligencia de señales de grado militar que no me puedo pagar; porque los fabricantes de equipos SIGINT, que son unos malvados, los venden muy caros, claro...claro. 

A otros les pasa con los Ferrari también, qué cosas eh. En resumen, usaré una frase que siempre me decía un amigo y convertí en un lema personal:"DON'T HACK FOR FOOD" ;) 


11.- ¿Cuánto has “ñacañaca” este último mes ¿ xDDDDDD. Entiendo que si no responde, o es más 1, está exagerando  ¡!! xDDD


Soy un asceta, un hombre casto y puro, ¿¡Qué clase de brujería murciana o tentación del Maligno encierra esta pregunta!? ¡Vade retro creatura del averno!

Gracias por la entrevista... ¡cabrito! jajaja

Azure Sentinel: Nuestro SIEM en Azure de MS y convertir reglas SIGMA a Sentinel

$
0
0
Estimados amigos de Inseguros !!!

En el capítulo de hoy, vamos a comentar algunas opciones o trabajos sencillos con Azure Sentinel, el nuevo servicio SIEM de Microsoft para la nube. Aún en fase de pruebas, gratuito, pero muy consolidado.


Como le digo a mis amigos últimamente, y como dice el CEO de Microsoft en algunas declaraciones, MS ha pasado de ser una compañía a la que tenías que comprar sus productos( por ejemplo, para usar Word) a una compañía a la que quieres comprarle productos. Eso del viejo, estancado, abusivo, privativo modelo Microsoft que muchos han detestado, se ha ido, se ha esfumado.

Desde plataformas Github gratuitas, pasando por Hyper-v gratuito ( en modo consola) hasta mil y unas funciones de alto interés, como por ejemplo la revolución que ha sido O365 para el mundo empresa.

Bueno, vamos al lío, SIEM, Gestor de eventos de seguridad de la información. Recolector de logs, con capacidades de correlación, identificar comportamientos en base a relaciones entre distintas fuentes de datos. Esto es de primero de SIEM, y seguro que habéis leído algo por aquí o por allá al respecto.

Una de las cosas que me ha gustado mucho es la capacidad de respuesta y orquestación que promete la suite, el famoso SOAR.

Hay que dar dos pasitos para configurar Sentinel, tan sencillos que con 1 minuto de esta lectura ya puedes tenerlo en marcha.

Uno de los pasos que se suelen repetir en todo siem son los data source, conectar las fuentes de datos que van a nutrir a nuestro SIEM de información, de ricos y jugosos logs.

De momento nos vamos a ceñir en las opciones por defecto que tenemos, aunque ahora más adelante haremos cositas chulas. Estos son algunos de los Data Sources disponibles a click:



Uno de los aspectos que hace muy sencillo el despliegue en entornos complejos es la capacidad de instalar una pasarela local para un entorno sin acceso a internet. Imagina una delegación con 5 equipos sin conectividad a internet, sin proxy ni nada, una fabrica de trabajo !!! y una vlan hacía el entorno de red de la empresa, donde si hay salida a internet... Click click click y nos bajamos una pasarela que nos hará de intermediario entre los logs y Azure. Tan sencillo como esto: https://docs.microsoft.com/es-es/azure/azure-monitor/platform/gateway

Una de las cosas que me ha llamado la atención es que tiene un agente para equipos Linux on premise, y que este hace uso del paquete Auditd, lo que viene siendo el sysmon de Windows para linux... pero seguro que tu ya usas auditd verdad...

Para instalarlo nos bajamos el instalador. Realmente es el mismo paquete de OMS para logs analytics, ya que es la base del control de logs. Sentinel solo implementa por encima la capa de seguridad.

Bueno, seguimos haciendo unos clicks para configurar el datasource más simple, los logs de las máquinas Windows.


Tenemos varias opciones generales a la hora de conectar fuentes de datos, pero la más normal es usar el un agente que normalice los datos en formato CEF y transporte UDP syslog hacia azure. En caso de grandes ingestas de datos se usará TCP, por eso del control ...


Después de conectar alguna máquina, empiezo a tener eventos relacionados con seguridad.


Lo interesante del siem es que no viene con un dashboard y unas cuantas alertas o reglas configuradas, pero podemos crear la que queremos, al más puro estilo asistente. Eso sí, de momento, son pocos los campos que nos permiten controlar, apenas 3, pero con el tiempo se ampliarán.


Al igual que en otros SIEM como splunk, no solo tenemos alertas sino que podemos realizar consultas puntuales, asociarlas como ellos llaman Hunting xDD. Estas consultas son bastante interesantes y como muestra de ellas, la página en github con las querys disponible: https://github.com/Azure/Azure-Sentinel/tree/master/Detections/SecurityEvent 


Tiene muchas posibilidades, pero vamos a aportar algo más de valor al post. Vamos a generar una alerta personalizada.

Imagino que todos conocéis las SIGMA RULES, un trabajo INCREIBLE del señor NEO23x0. Consiste en un lenguaje de definición de marcas, yaml, para definir reglas de detección en formato genérico, y luego poder convertirlas al formato concreto del SIEM que uses. UNA PASADA !!!

Pués vamos a usar la herramienta que usamos para otros propósitos, pero esta vez para crear nuestra primera alerta en SENTINEL. Voy a usar una regla sencilla para detectar el acceso a un admin share o lo que es lo mismo, a un c$. Esta es la regla en formato SIGMA. 

https://github.com/Neo23x0/sigma/blob/master/rules/windows/builtin/win_admin_share_access.yml

Si usamos la herramienta del proyecto, podemos convertirla en muchos formatos, por ejemplo, de splunk:

(EventID="5140" ShareName="Admin$") NOT (SubjectUserName="*$")

o ELK:

[
  {
    "_id": "Access-to-ADMIN$-Share",
    "_type": "search",
    "_source": {
      "title": "Sigma: Access to ADMIN$ Share",
      "description": "Detects access to $ADMIN share",
      "hits": 0,
      "columns": [],
      "sort": [
        "@timestamp",
        "desc"
      ],
      "version": 1,
      "kibanaSavedObjectMeta": {
        "searchSourceJSON": "{\"index\": \"*\", \"filter\": [], \"highlight\": {\"pre_tags\": [\"@kibana-highlighted-field@\"], \"post_tags\": [\"@/kibana-highlighted-field@\"], \"fields\": {\"*\": {}}, \"require_field_match\": false, \"fragment_size\": 2147483647}, \"query\": {\"query_string\": {\"query\": \"(EventID:\\\"5140\\\" AND ShareName:\\\"Admin$\\\") AND NOT (SubjectUserName:\\\"*$\\\")\", \"analyze_wildcard\": true}}}"
      }
    }
  }
]

Pero mejor hacerlo en formato SENTINEL.


Ahora nos vamos y creamos una alerta xD.


Nos permite hacer el mapeo de campos a mano, y una cosa muy chula, establecer la táctica al estilo MITRE !!! bieeeennnnn

Recuerda que si quieres poder ver este evento en concreto, deberás auditar el acceso a objetos en una GPO...

Otra de las funciones que me parece muy interesantes es la creación de un caso, opción que se habilita cuando tenemos configurada una alerta a nivel de Analytics. Es importante haber mapeado alguno de los campos principales para poder investigar el caso.


De momento solo podemos asignarlo a un usuario y agrupar los registros, ver el estado, pero próximamente nos prometen más información que pinta muy bien.


Como decíamos, SENTINEL tiene capacidades SOAR, mediante LOGIC APP de Azure, lo que podríamos denominar una especie de Webhooks o automatismos, en los que elegimos desencadenadores y se realizan acciones. Lo básico de la orquestación.

Podemos usar plantillas por defecto o crear una. Las por defecto de enganchar con Teams no está nada mal, ver en tu chat del SOC la alerta...



Al final, pudiendo elegir extraer un dato y conectaros a una API, tenemos todo un mundo de integraciones, de playbooks a nuestro alcance.


Como puedes comprobar, Microsoft se suma a la tendencia global de la seguridad, con sistemas más o menos económicos, uso de github para compartir inteligencia, uso de Mitre para taxonomías, SOAR...

Sin dunda un SIEM a tener en cuenta, y más que nada, crear todo el "walkaround" de controlar los logs de nuestra organización, luego el SIEM que usemos es una decisión organizativa.

Gracias por leerme.


MI OPINIÓN SOBRE LA CIBER-RESERVA: De pequeño me peleaba con jinchos...

$
0
0
Estimados amigos de Inseguros !!!

Como viene siendo habitual en mi vida, y en la redes sociales, soy un bocachancla y cosas que otros piensan, más o menos, yo lo suelto, y me caliento. Es por ello que inicio este post, para explicar mi postura sobre el tema de la ciber-reserva.

Como es normal, todas nuestras opinione se basan en ese conjunto de cosas que nos han pasado, que nos hacen ser como somos. Por esto mismo, voy a empezar mi opinión contando cosas que tienen que ver, y muy mucho, en como soy y como pienso, y sobre todo, relacionado con la ciber-reserva.


Nací y crecí en un barrio humilde de Murcia, con 507 viviendas sociales, de jinchos y gitanos, y algunas personas decentes, no la mayoría. Drogas, motos, coches robados etc.

De pequeño me tuve que pelear porque no me robaran la BMX, una California Pro 2, al menos 10 veces que yo recuerde. Bueno, también era por el casio, por el balón, por cualquier cosa. No usaba a la policía, no había !!!

Un poco más mayor, corría delante de la policía porque no me dejaban patinar en los parques y jardines. Hoy parece una tontería, pero en mi época te quitaban el monopatín.

Un poco más mayor, recuerdo que me robaron la moto de 50cc. Puse una denuncia, y la encontré YO. Me pasé 3 días por los peores barrios de Murcia y la encontré. Cuando lo hice, llamé a la policía, y aún así, me pusieron problemas, porque me decían: esta moto está denunciada... si no tiene usted papeles... Cosas raras.

Con la mayoría de edad me hice INSUMISO, porque no creía en el ejercito militar, y por supuesto, mucho menos en tener que hacer "algo" para substituir la mili. Si es no es NO. El tiempo me dió la razón: Pasó de ser obligatoria...

No tengo padre policía, ni primo militar, ni abuelo guardia civil, es más, como puedes imaginar, me crié pensando en que todo esto nunca me sirvió mucho en lo personal. Tampoco hace unos años cuando robaron en casa de mis padres. 

Bueno al grano, vamos con la ciber-reserva...

El mundo ha cambiado, las guerras no son con ballestas como en la 1ª Guerra Mundial y las trincheras. Tampoco va a ser como en la 2ª Guerra Mundial, con combates de cazas, barcos y submarinos y los N documentales del dia D en Normandía. Esto ha cambiado.

La 3ª Guerra Mundial, como concepto, porque realmente ya estamos en guerra constante en el ciberespacio, se desarrollará en los despachos, en los sistemas informáticos. Es mucho más barato paralizar un ejército con un APT de 500.000 $ que con un f16, que cuesta 16 millones de euros, más el mantenimiento, armas, piloto, etc... y no tenemos ni uno ni dos.


El ejército , que emplea la cantidad de 15.000 millones de euros en presupuesto al año para una tropa de 150.000 personas, reconoce el ciberespacio como un escenario de confrontación. 

Dicho esto, tenemos tierra, aire, mar y ciberespacio. 

Yo ahora me pregunto, si tenemos unos 70 eurofighters de 88 millones de euros cada uno , un puñao de F18 y unas cuantas aeronaves más. En el tema marino igual, tenemos incluso un porta-aviones, estamos en esos 10 países del mundo que tenemos uno !!!

Tenemos esas capacidades en ciber-seguridad? Me refiero a HACKERS, expertos en comunicaciones, criptografía, reversing, hacking, defensa. 


Países como China, Rusia, por supuesto EEUU tienen divisiones enteras de estos profesionales, en plantilla.


Documentos como el del think tank THIBER,  revela estrategias de países como Francia,... en el que invertirán 1.600 millones de euros en ciberseguridad en los próximos años. Al igual que UK y otros países. En el caso de Francia, además, desarrollan un supuesto programa de ciber reserva mixto, pero nosotros tenemos que copiarlo todo, no solo esto... Sino los 1.600 millones de inversión.

Tener unos 3.000 profesionales en nómina, y tener algunos expertos externos me parece correcto, pero no tener un ejército ciber gratis* de 2.500 patriotas.

Ahora empieza la parte delicada, la subjetiva, la política. Hasta aquí está claro que necesitamos cambiar el modelo de FFCCSSEE y sobre todo el ejercito. necesitamos equiparar el gasto en ciber,que en aviones y naves marinas. En ciber armas igual o más que en cetmes y pistolas.

Si alguien quiere ser voluntario de algo, que lo sea !!! bien sea en un ambulancia los fines de semana, en un despacho de alimentos los L, X y V por la tarde, o limpiando bosques en su pueblo. Eso está muy bien, pero el trabajo, TRABAJO, lo hacen profesionales cualificados y pagados. Yo si vienen los alienígenas a destruir el planeta o practicar colonoscopias a diestro y siniestro, me presentaré voluntario, pero mientras, tengo que trabajar !!!

Ser un profesional de la ciberseguridad me cuesta MUCHO, mucho dinero en formación, tiempo, esfuerzo, encontrar un trabajo, desarrollarlo, crecer, y así día tras día. Yo me pregunto si para entrar al ejercito hay que hacer 30 dominadas y correr 20 km , y si esto es así para la gente que lleva 20 años también, porque si no es así, no lo entiendo...A mi me EXIGEN renovación constante. Bueno, esta crítica es algo hacía los funcionarios en general, el que no les obliguen a renovarse, pero bueno..., sigo.

El ejército de España tiene que tener sus programas de formación internos como tiene ahora con los pilotos. Una carrera EXCLUSIVA para ciber seguridad. Si no tienen formadores internos, que empiecen con contratos privados, pero con el fin de tener su propia estructura. 

Militares de carrera, no que hagan dominadas, sino que sepan hacer exploits y descubrir 0 days. Lo mismo para policía y Guardia Civil.

Esto no es una queja contra estas instituciones, todo lo contrario, aunque parto de un punto de vista "rebelde" reconozco que son necesarias, y conozco muy buenos profesionales en todos los cuerpos, que se forman y luchan dia a dia por una España mejor y más segura, como yo y seguramente tu... pero desde el ámbito público, Y todos cobran !!!!

Hay Médicos que podrían estar en quirófanos privados ganando millones, y son militares. Ahí es donde apelo al sentido patriótico, el que quiera, que haga su oposición y entre a ser funcionario. 

Yo no soy funcionario, trabajo en la privada, como autónomo encima !!! no tengo paro, baja, vacaciones. Pago MUCHOs impuestos por y para España, y aún así, se espera de mí que sea más patriota aún y me haga ciber-reservista? A los chavales que cobran 1500 euros y pagan 800 de hipoteca también los animamos a eso? el que quiera servir al país que lo haga, pero el gobierno tiene que crear una estructura propia, pagada, de profesionales.

Ahora me voy a poner en el otro caso, en el del ciudadano de a pie que paga MUCHOS impuestos, y que me secuestran el PC con un Ransomware y voy a la guardia civil a que me ayude... o soy una empresa y les llamo porque me han robado con el timo del CEO y necesito un forense. Vendrán? si no dan a basto !!!! tienen más casos que manos !!! Ahora soy yo el que pide !! el que demanda  ese servicio !!! la solución es la ciber reserva?

Tengo un amigo militar de carrera, que podría estar forrado en la privada, y está forrado en la pública... bueno. Está deseando que lo lleven de misiones, porque regresa de 6 meses con un buen botín de guerra. Y yo le he preguntado muchas veces, a qué se dedica normalmente?

El trabajo de los militares, a parte de mantener la propia infraestructura, enseñar, practicar, aprender, prepararse para la guerra !!!! Pero para la ciber? debería ser así no?  IGUAL. Mandamos a los 150.000 militares a casa como reservistas, nos ahorramos una millonada, y cuando haga falta los llamamos por un sueldo, y ellos mientras que trabajen donde puedan !!! No tiene sentido.

Al final, el concepto es claro: TRABAJO= SUELDO. y un trabajo, y más como la ciber, necesita de dedicación TOTAL.

Hay empresas que regulan el know how de sus empleados con serios contratos de NDA, y queréis pagarles unos meses y aprovecharse de ellos? del empleado y su conocimiento de empresa?

Vais a dar las claves de la criptografía a un civil de la reserva que luego va a ir a la privada? No tiene sentido.

Y vuelvo a lo del principio, quien quiera hacer esto por España, que lo haga !!! pero España y yo como español, demando un ejercito y FFCCSSEE preparadas para la seguridad que me atañe, y la ciber es MUY importante, sino la que más.

Un abrazo muy fuerte y muchos ánimos a los compañeros que están en las instituciones públicas, infra-pagados. Esta lucha en la gran mayoría es por ellos, yo con no ser ciber-reservista basta, pero me indigna por ellos, porque la solución esta en ellos, en mejor formación y más dinero.

Respecto a que yo haya llamado Personajillo a un personajillo? pues es que el nos llama "lobby" y el otro nos llama Freeks...el respeto se gana, no se viste.

Un saludo equipo, qué opinais ?

Helk...Salgamos de caza. Ejemplo Sysmon y logs de Windows

$
0
0
Estimados amigos de Inseguros !!!

En el capítulo de hoy vamos hablar de una herramienta, o framework, o al final no se que !!! relacionado con el mundo de la respuesta a incidentes, el blue/red/purple team, Mitre, y todas estas cosas que llevo un tiempo manejando.

The Hunting ELK es el hilo conductor pero espero que esto sea algo más que un how-to de instalación :-)

Creo que todos conocemos la suite ELK, un motor de base de datos no relacional, un gestor de logs y una interfaz gráfica. Lo están usando empresas de todo tipo para monitorizar sus eventos, desde entornos de desarrollo, hasta empresas de seguridad, servicio IT, muchas empresas implementan ELK.

Aunque la propia Elastic ofrece una solución SIEM completa bajo la tecnología base, y aunque en tu organización manejes un SIEM de las marcas populares, lo hagas como lo hagas, al final el tamaño importa. Tanto si licencias por tamaño en bbdd, por logs/día, por equipos monitorizados, al final, tener una ingesta de datos grande, con suficiente retención en el tiempo para poder "tirar" de eventos pasados hará que la cuenta de costes crezca.

Contar con una solución ELK intermedia o incluso final para la gestión de logs puede ser interesante o al menos un elemento a estudiar. Me refiero a tener ELK como repositorio de larga duración de logs y nuestro SIEM. Sobre nuestro SIEM por ejemplo en el caso de Splunk podríamos trabajar con el filtrado antes de indexar, para recibir información valiosa, pero tener una suite ELK para investigar casos concretos.

Os pongo un ejemplo, imaginar el consumo de logs de una regla ACCEPT en el firewall. Sin duda, para analizar qué ha pasado o como ha sucedido algo, es información de alto valor, pero sin duda, consumirá muuuuuchos datos/dinero de nuestra cuenta de costes.

Podemos pasar en bruto a nuestro ELK toda esta información, que al final nos costará Gigas de disco, y hacer los famosos user-cases y consultas específicas antes del indexado de datos (En Splunk se tarifica por dato indexado, no recibido) para establecer ese equilibrio entre datos que necesito y datos que tengo.

Entonces, una vez planteada la necesidad o visión, por qué H elk... HELK incorpora nuevos elementos para mejorar las capacidades analíticas del stack ELK y sus consultas.

Por ejemplo, el machine learning !! es raro el Siem que no proporciona este tipo de funcionalidades, o por ejemplo los playbooks para la respuesta a incidentes organizada, o usar tecnologías de "graph" para poder visualizar relaciones que a simple vista nos proporcionen información o indicadores. Al final todo esto lo implementamos a base de módulos.





El proceso de instalación no dista del proceso que indica al autor en el repositorio, cosa que no siempre es así !!!


Para realizar la ingesta de datos en un servidor Windows, vamos a realizar los pasos como lo haríamos con un stack ELK

Accedemos a la web de WinLogBeat y procedemos a instalar el cliente en nuestro servidor Windows. Se recomienda usar el fichero de configuración específico para el proyecto.

Aunque se que lo haces, pero por si acaso, abre el fichero de configuración y revisa donde esta la ip del servidor Kafka, tu HELK e introduce la ip de tu instancia.

Instalamos el servicio y lo iniciamos.

Si quieres sacarle el máximo provecho a las capacidades de detección que tenemos con HELK, sabrás que tener SYSMON corriendo y medianamente configurado es un requisito, y más, cuando tenemos Dashboards específicos que nos sugieren el uso de Sysmon.

Si no estais muy puestos con el asunto, os recomiendo usar una de las exportaciones que se generan en el proyecto https://github.com/olafhartong/sysmon-modular y empeceis a investigar vuestro setting de SYSMON más apropiado.

Lo más sencillo es probar la detección de algún ataque conocido, vamos a ver por ejemplo si detectamos logs relacionados con Mimikatz.



Para darle un poco más de juego al asunto, vamos a usar la herramienta APTsimulator de Florian Roth para generar algo de ruido y ver cómo se comporta nuestra detección basada en Sysmon y Windows tradicional.


Como es normal, comprobamos que todos los logs están llegando bien a HELK y todo dependerá de tus Data sources, el detectar más o menos elementos de los ataques.

Seguiremos escribiendo sobre esta potente herramienta y le daremos caña a los dashboards y las alertas.

Gracias por leerme !!!


Entrevista a... Javier Cao

$
0
0

Estimados amigos de Inseguros !!!

Hoy en el blog traigo una de esas entradas que ya se de antemano que va a generar muchas visitas y quien sabe, lleguemos a 100 en un dia ¡!! 


En esta ocasión voy a intentar acercar al público a uno de los profesionales con mejor trayectoria en el mundo de la ciber que conozco, y tengo la suerte de tener cerca ya que entre viaje y viaje, las maletas residen habitualmente en la ciudad de Cartagena. 

Como os podéis imaginar, no hablo de otro que de Javier Cao.

Profesor en distintas universidades repartidas por toda la nación, miembro de varios colectivos importantes como Isaca o Apep, de la que es vocal. Propietario de un blog de ciberseguridad que está a punto de cumplir...20 años !!! Creo que me dejó mucho CV suyo en el tintero...


Espero que os guste.



1.- ¿Quién es Javier Cao? ¿Donde vives? ¿Que te gusta hacer?

Soy Ingeniero en Informática por la Universidad de Murcia, resido en Cartagena y me gusta pasar tiempo con mi familia. Durante la semana los disfruto poco y los fines de semana aprovecho al máximo para disfrutar de las cosas que tenemos en la Región. Soy mucho de salir a ver pueblos o ir a la playa, tanto en verano como en invierno. Como hobby, me gusta la fotografía, pero utilizando como cámara el móvil que es lo que siempre llevo encima. En Twitter subo a menudo paisajes y situaciones que me llaman la atención y con las que juego mediante aplicaciones de retoque. Me gusta mucho hacer fotos y mezclar partes en color y blanco/negro.

Foto de Javier Cao y su Cartagena

2.- Cómo empezaste en esto de la ciberseguridad?

Pues casi por casualidad. A finales del año 1998, recién terminada la carrera, empecé a trabajar como ingeniero en una empresa y estaba con temas de análisis de requisitos con un ERP. Llevaba 2 meses y mi director de proyecto me ofreció la posibilidad de trabajar en un proyecto de investigación para probar una metodología de análisis y gestión de riesgos, MAGERIT 1.0 en la Dirección General de Informática de la Comunidad Autónoma de la Región de Murcia. Fue una experiencia que me cautivó y despertó en mí la vocación por identificar situaciones de riesgo y buscar puntos de fallo. Aquello cambió mi forma de pensar. Un ingeniero, por vocación, aplica su conocimiento y creatividad a construir algo con una finalidad. En mi caso, me gusta identificar las piezas que constituyen el todo y analizar qué podría ocurrir y dónde puede haber puntos de fallo. 

Fantástica foto de Javier Cao y su tierra
3.- Eres de ese colectivo de grandes hackers que apareció en la época de finales de los 90 en Murcia? Cuéntanos tu paso por esa escena.

No, no pertenezco a ese grupo de gurús de la Región que se movía de forma muy activa en aquellas épocas. Una vez terminé el proyecto de análisis de riesgos, tuve claro que me quería dedicar a la seguridad, pero en la Región no había ninguna oportunidad. En aquella época ni siquiera se consideraban necesarios los firewalls. Tuve que emigrar a Madrid donde fui contratado por una empresa especializada en seguridad desde la consultoría hasta la implantación de soluciones. De hecho, mi jefe de aquella época es ahora CISO en un gran proveedor de servicios de Cloud. Mi primera tarjeta si nos identificaba como E-hackers y en aquella época si estuve bastante tiempo jugando con crackeadores de contraseñas, sniffers y tuve que certificarme en la instalación de firewalls, antivirus, entornos de firma electrónica y autenticación fuerte, etc.

En el área de consultoría éramos un grupo heterogéneo. Tenía compañeros que hacían los pentesting pero a mí me tocaba la consultoría estratégica de negocio y cumplimiento legal, para identificar necesidades y diseñar planes directores de seguridad de la información.
Estuve trabajando fuera de Murcia desde el 2000 al 2005 porque no había empresas en nuestra zona que hicieran estas cosas. De hecho, para poder llegar a Murcia, en el año 2003 tuve que desplazarme a Almería donde estuve trabajando también un par de años en el sector banca. Luego aterricé en Murcia y levanté el área de consultoría de seguridad de la información, en el año 2005 coincidiendo con la aparición en escena de la norma ISO 27001 y las certificaciones de sistemas de gestión de la seguridad.

4.- Independientemente de tu labor como docente universitario, masters y todo tipo de iniciativas, eres el propietario del blog Seguridad de la Información. Cuéntanos un poco más. Que se te pasaba por la cabeza aquel octubre de 2002, en el que muchos lectores aún no habían conocido las virtudes de la red…

Pues tenía un compañero de universidad que estaba haciendo bastantes cosas innovadoras por aquella época en Barcelona. Me comentó que muchas empresas estaban tratando de gestionar el conocimiento mediante la creación de foros públicos donde iban colgando consejos, buenas prácticas, etc. y me nombró Blogger. En aquella época todavía no la había comprado Google. Me pareció una buena idea ir escribiendo sobre todo lo que iba leyendo… y de hecho, me ayudó mucho a asimilar la cantidad de noticias y situaciones con las que me iba enfrentando. Si miras el histórico, inicialmente lo dediqué a consejos a usuarios, aplicaciones para proteger el equipo, cosas interesantes que pudieran hacerlos más conocedores de los riesgos, aunque luego ya lo centré en la problemática de seguridad de la información. En aquella época éramos muy poquitos los que hacíamos estas cosas… y algunos se hicieron muy “ilustres” después… 
Quizás yo si fui de los pocos que no me centraba en temas de hacking sino en temas de gestión y de la visión corporativa de la seguridad de la información. La aparición de estándares como ISO 27.001 en el 2005 hizo que muchas organizaciones se empezaran a plantear poner orden a la ciberseguridad. Hasta la fecha, las decisiones de protección se basaban en adquirir tecnologías, pero sin análisis de necesidades y riesgos. Esto ha ido cambiando muy lentamente y he tenido la fortuna de ver cómo cada vez más, las decisiones se basan en tratar de analizar qué se hace, qué puede pasar y con qué estrategias defenderse frente a esos riesgos. Las diferentes normativas han ido obligando a ello porque tanto en Administraciones Públicas con el Esquema Nacional de Seguridad o la Ley de Protección de Infraestructuras Críticas, como por el cumplimiento del Reglamento Europeo de Protección de Datos, hacer análisis de riesgos es algo obligado.

El blog me da cierta nostalgia. De hecho, en octubre de este año cumplirá 17 años … aunque los últimos dos lo tengo en barbecho. La vida tiene las horas contadas… y no puedes llegar a todo. Sigo escribiendo porque me toca elaborar temarios para algunos de los sitios en donde imparto formación… pero ese lugar de intimidad donde hacer reflexiones hacia Internet se añora. 

5.- En la actualidad representas a una gran firma nacional líder en el sector del gobierno y la ciberseguridad. ¿Cómo ves la postura de las empresas en España? Pero no me refiero a las 10 grandes, ni tampoco a las 10 pequeñas, ¿sino a la media?

Pregunta complicada, aunque a lo largo de mis 20 años de experiencia he tenido que trabajar en todos los sectores y con todos los tamaños. He estado en una consultora pequeña como Responsable de Consultoría de Seguridad de la Información 12 años y trabajando con clientes principalmente de la Región, aunque un porcentaje importante ha sido la Administración por el cumplimiento del Esquema Nacional de Seguridad. El empresario se centra en su negocio, en tratar de maximizar beneficios y las cuestiones de seguridad, que son una inversión, no tienen retorno si no te ocurre algo. Es complicado hacer ver que no puedes estar expuesto a cualquier imprevisto y que de ello dependa la continuidad de la empresa. Hay un problema también de percepción. El ser humano está capacitado para detectar y evitar los peligros físicos… En todas las empresas no se cuestionan nunca no tener medidas frente a incendios. Tu, al igual que yo, habrás escuchado la frase “¿Por qué nos van a atacar a nosotros? O “Si nunca nos ha pasado nada”, pero ese razonamiento no lo aplican contra las amenazas físicas. El hecho de no haber sufrido un incendio no hace que decidan no invertir en protección (Además de que por normativa no podrían) pero los riesgos de ciberseguridad son invisibles… y, por tanto, más complejos de gestionar. De hecho, algunos lo han vivido en sus propias carnes porque en la moda de subir a la nube, muchos han migrado sin contemplar los factores importantes y algunos han tenido problemas o se han quedado tirados… por no haber valorado bien lo que supone ese salto. No hay proactividad y no todo el mundo considera que debe ser resiliente a imprevistos. Mucho me temo, con las riadas que hemos sufrido, que muchas empresas no sólo habrán perdido sus instalaciones… muchas también sus servidores y probablemente los datos que les permitan volver a la normalidad. Ojalá no ocurra demasiado. 

6.- Cómo ha sido la evolución en estos 15 años o más de tu carrera en la sociedad? ¿Crees que la tecnología crece de la mano del conocimiento de la sociedad?

La tecnología va demasiado rápida… no hemos solucionado unos problemas y ya estamos creando otros nuevos. En el blog, no recuerdo en qué fecha, hablé de la “deuda técnica” que se estaba produciendo en seguridad. Disfrutamos de tecnologías que se basan en protocolos de los años 70 y 80 cuyo objetivo era asegurar el servicio y la disponibilidad. No se pensaba en aquella época en que terceros pudieran tratar de ponerse en medio de las comunicaciones o que pudieran interceptar tráfico. Ha existido una ausencia de “seguridad por defecto” y “seguridad por diseño” cuya factura vamos a pagar durante muchos años. Además, ahora todo es software… los electrodomésticos ya llevan firmware o incluso sistemas operativos embebidos… y si hay software, hay error humano, hay vulnerabilidades y hay necesidad de actualización y aplicación de parches. La gestión de parches funciona en entornos centralizados y se puede aplicar a equipos informáticos… pero a estos nuevos aparatos es bastante más complicado… por lo que vamos a tener agujeros por todos sitios.

En lo profesional he ido evolucionando, aunque como digo, mis comienzos ya fueron sobre áreas de gestión y gobierno de la seguridad. He estado dedicado a implantar sistemas de gestión bajo ISO 27001, adecuación a la legislación en protección de datos, implantación del Esquema Nacional de Seguridad, elaboración de normativas y procedimientos de seguridad, definición de procesos de comunicación y notificación de incidentes, … en general, todo lo que asume el rol del CISO al que suelo asesorar. La ciberseguridad ahora vive un buen momento y no hay tantos profesionales que alcancen los 20 años de experiencia. Quizás el hecho de querer residir en Cartagena, por conservar mi entorno familiar, si ha podido suponer un freno en mi carrera dado que las grandes oportunidades para este puesto se generan en las grandes ciudades como Madrid, Barcelona, Valencia… pero no por nuestra zona. Ahora trabajo para clientes en esas zona pero me desplazo en los proyectos que lo requieren, aunque ya la gente se está habituando a reuniones por videoconferencia.

7.- Como miembro de la comunidad, seguro que has recibido ofertas te “hacer el mal” de algún contacto, ¿alguna anécdota o caso que puedas contar?

Como te decía antes, no he pisado nunca “el lado oscuro de la fuerza”. Mi trabajo siempre ha estado basado en defender o proteger, no en investigar por donde entrar o qué vulnerabilidad explotar. Obviamente como conocedor de estos temas, porque si me mantengo al día de todo lo que puede ocurrir, te preguntan…pero nunca he tenido que hacer nada al respecto. Si recuerdo la desaparición de un familiar de una amiga, y me pidieron si podía tratar de entrar a su ordenador. Aquello era un conflicto importante porque era mayor de edad… y se puede cruzar una línea roja… pero afortunadamente se resolvió antes y no hizo falta actuar, aunque ya había indicado que había que ponerlo en manos de la policía.



8.- Qué tecnología sueles usar? Eres Android? iPhone? Mac? Alexa? ¡¡¡Cuéntanos tus secretos en materia Freak !!!.

Bueno, otro de mis campos profesionales es la privacidad y en ese sentido, cada vez vivo más obsesionado por tratar de dejar el menor rastro posible que pueda permitir análisis o estudios sobre mi persona y la de mi familia. He usado siempre la filosofía de “divide y vencerás” para que no única empresa conociera demasiado. Pero soy de IPhone (Que permite un control muy exhaustivo de la configuración de la privacidad) y tengo un iMac porque en materia de fotografía me facilita mucho las cosas.

Por desgracia, soy usuario de algunos de los servicios de Google (El verdadero peligro) y era de otros que han ido comprando las grandes. Ahora hay una peligrosa concentración de poder en las empresas tecnológicas que Europa, con la regulación en materia de privacidad, debe tratar de frenar. Hay en juego más de lo que nos imaginamos. Somos la sociedad más monitorizada… y eso pone en riesgo ya hasta nuestra libertad. Ya hemos visto que pueden diseñar qué hacernos llegar para condicionar lo que podemos pensar… Ahora hay que tener un mayor espíritu crítico… y cuestionarse la fuente, la intención y la veracidad.

9.- Cómo ves el sector de la ciber en 5/10 años? ¿Realmente las IA y demás tendencias se implementarán de la manera que creemos? A riesgo de equivocarse, haznos una pequeña visión tuya del escenario.

Cualquier nueva tecnología que sea capaz de procesar grandes volúmenes va a ser relevante… y si encima, aplicamos algoritmos que puedan detectar patrones allá donde el ser humano no es capaz de encontrarlos será beneficiosa, pero tanto para “los buenos como para los malos”. No vienen buenos tiempos… como decía antes, hay una deuda técnica con la seguridad que no se aplica por diseño y por defecto… y ahora estamos inmersos en la digitalización, en la industria inteligente, en hacer que todo tenga software, reporte un estado de situación, pueda ser monitorizado y, por tanto, pueda ser gestionado.

La inseguridad y los fallos software, por desgracia, va a costar vidas humanas. Bueno, eso ya está pasando. Hemos tenido accidentes de avión por errores software, han hecho saltar por los aires un gaseoducto al modificar los parámetros de control de la informática industrial que controla el proceso, hemos tenido filtraciones de información como el caso Ashley Madison que supuso el suicidio de dos personas. Si quieres ver más allá, en esas situaciones hay siempre una causa, la falta de garantías del software. Uno de los profesionales que más admiro y un referente es Bruce Schneier. Lo sigo desde hace años y si tiene esa capacidad visionaria de ver las cosas con simplicidad, pero identificando lo que nos viene encima. Su último libro, que he devorado este año, lo ha titulado “Haz clic para matarlos a todos”. La explicación es sencilla. Si hasta la fecha hemos estado preocupados por la confidencialidad de la información y asociábamos los problemas con las fugas o filtraciones, ahora el problema se centra en la integridad del dato. Con la cantidad de entornos automatizados, ser capaz de modificar valores supone un peligro inmenso. De hecho, esta semana he finalizado el Curso práctico Responsable de Ciberseguridad en IACS (Sistemas de Automatización y Control Industrial) y estamos en pañales en estas cuestiones. Soy coordinador del Centro de Ciberseguridad Industrial en la Región (http://www.cci-es.org) y hay una labor de evangelización muy importante todavía por hacer.

El mundo del cibercrimen por desgracia está muy industrializado ya, y dado los ingentes beneficios que genera, no va a parar. Pensemos en que cada campaña de ransomware genera ingresos que les permiten mejorar y obtener nuevos recursos para lograr crear una nueva variante que les vuelva a generar ingresos. Ellos están en una espiral de investigación e inversión continua con alta rentabilidad. ¿Qué industria pararía de crecer?

Además de la industria del cibercrimen, tenemos un nuevo problema: los Estados. Ahora, y será así en los próximos años, la seguridad se emplea como armamento. De hecho, no tengo ya tan claro que se aplique la seguridad por diseño y por defecto sin una motivación. Piensa que ahora una vulnerabilidad desconocida, es un punto débil para quien la tiene y un arma poderosa para quién la conoce y la puede usar. Vamos a ver una carrera armamentística por dotarse de equipos de investigadores cuya misión sea identificar vulnerabilidades (Eso ya existe y el mercado negro de estas mercancías mueven millonadas) que en el fondo es malo para todos. El objetivo de estos investigadores es identificar errores y, por tanto, ahora todo es revisado, analizado con la finalidad de encontrar agujeros. Pero una vez que se encuentran, no siempre se publican, se guardan para un uso posterior. Por tanto, los Estados ahora tienen un dilema: o trabajan por hacer las infraestructuras más robustas o trabajan para tener este tipo de ciber armamento a buen recaudo para que les sea útil en algún momento.

Hay una frase que cita BruceSchneier en su libro, de Dan Geer que lo resume todo “Una tecnología que puede darte todo lo que deseas, es una tecnología que puede quitarte todo lo que tienes”.


10.- Por último, y después de tu gran trayectoria, ¿crees que puedes lanzar algún mensaje de ánimo o sugerencia para los lectores jóvenes que nos leen?

Pues sí, hacen falta muchos ciber guerreros, mucha gente que se sitúe en las zonas de defensa. Y esta guerra se defiende desde muchas posiciones:

·      Siendo consciente como programador de que el software debe responder a una función pero asegurar que no hará nada extraño en un caso extraño. Hay que pensar en el uso habitual pero también en el caso de abuso.

·      Ser responsable y respetar la privacidad y la legislación existente en materia de intimidad. Doy clase en la universidad y muchas veces… me encuentro con alumnos que tienen ideas interesantes para montar su start-up pero no hay caído en que no todo se puede hacer. Las leyes establecen límites a la tecnología y ahora en el contexto del nuevo Reglamento de Protección de Datos, antes de “construir” hay que diseñar y según el tipo de tratamiento, incluso formalizado en una “Evaluación de impacto de la privacidad”. Es un análisis de riesgos sobre un producto en diseño para asegurar la seguridad de los datos tratados.

·      Ser un técnico responsable e instalar las cosas realizando tareas de bastionado y robustecimiento de la configuración. ¿Cuántos disgustos tienen su origen en instalaciones por defecto sin modificar cosas tan básicas como password por defecto o puertos y servicios abiertos que no son necesarios?

·      Ser ya un profesional centrado en la seguridad que se dedique a asesorar o vigilar empresas.

Hay un mundo apasionante … y diferentes tipos de perfiles técnicos que ocupar en las distintas capas de la seguridad:  Estrategia, táctica y operacional. No todo es pentesting o hacking. Esa es una actividad importante porque identifica problemas existentes… pero también se necesitan estrategias que definan los procesos a poner en marcha, la manera de medirlos, la forma de vigilarlos.

Últimamente también estoy trabajando en eso: diseñar cuadros de mandos de indicadores que sirvan para poder visualizar, de forma sencilla, gráficos en tiempo real que indiquen si se están produciendo situaciones que van a poner en riesgo la organización. Es un tema complejo porque tenemos muchas fuentes de datos distintas que proporcionan una visión parcial del problema… pero se trata de unirlo todo de forma que puedas tomar decisiones. En la gestión de incidentes se aplica el ciclo “OODA Loop”: Observar, orientar, decidir y actuar. Cuanta mejor información, más significativa y más accionable recibas, antes podrás obtener “conciencia situacional” que permita una reacción adecuada y eficiente que evite daños. 

Gracias por todo Javier, ha sido un placer que cuentes con Inseguros.

Viewing all 510 articles
Browse latest View live


<script src="https://jsc.adskeeper.com/r/s/rssing.com.1596347.js" async> </script>