viernes 10 de febrero de 2012

Código fuente robado a Symantec es subido a The Pirate Bay


En enero, un hacker de la India dijo haber conseguido el código fuente de varios productos de Symantec, entre ellos pcAnyware. Esta situación llevó a Symantec a publicar un documento con recomendaciones de seguridad, donde explica a los aproximadamente 50.000 usuarios del software cómo solucionar el problema.

El hacker en cuestión asegura además haber recibido el código fuente de Norton AntiVirus, Norton InternetSecurity y Norton SystemWorks, aunque se trataría de versiones antiguas, incluso de 2006.
A pesar de ser software antiguo, el código fuente podría facilitar a intrusos la detección de vulnerabilidades en versiones más recientes.
Symantec habría ofrecido pagar 50.000 dólares al hacker indio con el fin de recuperar el código fuente. Las negociaciones habrían colapsado, lo que resultó en la publicación del código en The Pirate Bay. La propia Symantec asegura haber sido víctima de un intento de extorsión, y que el ofrecimiento de pagar 50.000 dólares al hacker por destruir el código habría sido parte de un intento por revelar la identidad del hacker.

Anteriormente, Symantec explicó que el código había sido hurtado desde los sistemas de una empresa asociada. Sin embargo, en una versión más reciente Symantec admite que el código fue extraído desde su propia red.
Según la publicación Slashgear, el tema es más bien bochornoso para Symantec, pero no afecta la seguridad de los usuarios de pcAnywhere: "Para Symantec, esta situación ha resultado en publicidad negativa, junto a la posibilidad de que el código, una vez analizado, pueda ser beneficioso para empresas de la competencia, o para grupos de hackers interesados en aprender sobre el proceso de creación del código de seguridad". 

 Fuente: diarioti.com

FireCAT 2 released

FireCAT (Firefox Catalog of Auditing exTensions) is a mindmap collection of the most efficient and useful Firefox extensions oriented application security auditing and assessment. FireCAT is not a replacement of other security utilities and software as well as fuzzers, proxies and application vulnerabilities scanners.


What's New?

  • Current Version: 2.0
  • Addons: > 90
  • Categories: 7
  • Subcategories: 19
Added the Subcategory Protection (on Misc) with Addons to Protect your Navigation. 

jueves 9 de febrero de 2012

Sexting, Hoax o Grooming, los nuevos riesgos de Internet

El acceso a Internet y la constante expansión de las redes sociales han fomentado la aparición de nuevos términos que hacen referencia a prácticas y delitos como el robo de información bancaria o el acoso sexual que afectan desde a niños hasta a adultos.

Estos son algunos de los más frecuentes.
- Grooming: El fácil acceso a internet de la mayoría de los menores ha generado un nuevo tipo de delito, el ciberacoso o grooming. Los pederastas (o incluso también otros jóvenes) intentan acercarse a los menores para ganar su confianza y obtener información. Con estos datos pueden amenazarles con su difusión si no acceden a sus peticiones, que normalmente pasan por prácticas sexuales a través de la webcam. En España, este tipo de actuaciones constituye delito desde diciembre de 2010, pero sólo si el menor tiene menos de 13 años.
- Sexting. Este término se empleaba para definir la conducta de los adolescentes americanos que se fotografiaban con el móvil en poses eróticas y las enviaban a otros jóvenes. Actualmente 'sexting' también se emplea para referirse a la difusión por internet de este tipo de fotografías subidas de tono sin consentimiento de su propietario. La facilidad de acceder a datos privados y fotos de otros usuarios ha impulsado este tipo de práctica sobre todo entre los más jóvenes.
- Hoax: La posibilidad de difundir un bulo en cuestión de segundos es una realidad en la red de redes. En Internet se emplea el término hoax para la difusión de mensajes con contenido falso y atrayente. Puede tratarse de un email que alerta sobre virus incurables, cadenas de solidaridad o de la suerte, métodos para hacerse millonario, promesas de regalos de grandes compañías o incluso mensajes personales en las redes sociales provinientes de amigos.
- Phising: Es uno de los delitos más corrientes en la red y que más riesgos conlleva. El internauta recibe un email que aparentemente proviene de una fuente fiable. Normalmente, suele ser un correo electrónico que proviene de un banco y que mediante un link lleva al internauta a una web que tiene exactamente la misma apariencia que el portal de la entidad a la que imita, por lo que el usuario no dudará en introducir sus datos. Desde ese momento, el estafador cuenta con los datos bancarios del usuario y la posibilidad de utilizarlos a su antojo. Además de pérdidas económicas, es posible que el usuario pierda el acceso a sus propias cuentas. Comprobar que la web en la que se encuentra no tiene la dirección 'https://'(con una s) o que no aparece un candado en la parte inferior derecha de la web, son algunos trucos que pueden alertarle de si se encuentra en una web segura. Además, las entidades bancarias no solicitan información confidencial a través de canales no seguros, como el correo electrónico.
- Pharming: Es una modalidad del phising más difícil de detectar y aún más peligrosa. Esta técnica consiste en modificar el sistema de resolución de nombres de dominio (DNS) para conducir al usuario a una página web falsa. Según alerta Panda Security, existen ejemplares de malware que aunque el usuario introduzca en el navegador el nombre de una página web legítima, redirigen el nombre de dominio a una página web, en apariencia idéntica, pero que en realidad ha sido creada por el atacante para obtener los datos privados del usuario. A diferencia del phisinfg, el pharming permanece en el ordenador del usuario, a la espera de que este acceda a su servicio bancario.
- Smishing o Vishing. Si la vía para realizar el ataque de phising es el mensaje de texto, hablamos de smishing. Por su parte, en el vishing el usuario recibe una llamada telefónica que simula proceder de una entidad bancaria solicitándole que verifique una serie de datos.

Fuente: expansion.com

Herramientas para Pentesters Android



La siguiente es una lista de aplicaciones relacionadas con la seguridad y pentesting para smartphone que publicola web flu-project.com .
  • ANTI (Android Network Toolkit)  El pentesting sencillo desde Android
  • Terminal Emulator Terminal para Android
  • Fing Network discovery, scanner de servicios, ping, etc. Una de las mejores apps que he visto para Android.
  • ArpSpoof Herramienta para envenenamiento de las tablas ARP (requiere root)
  • DroidSheep Robo de sesión con un click. Versión de Firesheep para android
  • Shark for Root Sniffer de red para 3g y Wifi (requiere root)
  • PulWifi Muestra las contraseñas por defecto de alguna redes Wifi
  • Router Brute Force  Como su propio nombre indica, realiza ataques de fuerza bruta a Routers.
  • ConnectBOT  Sencillo pero eficaz cliente ssh para nuestro móvil con función copy-paste.
  • FaceNiff Permite capturar sesiones en redes Wifi de los principales servicios como twitter, facebook, Amazon, etc (requiere root)
  • Shark Reader Indispensable lector de paquetes .pcap
  • andFTP Cliente FTP con soporte para FTP bajo ssl
  • andSMB Cliente Samba para conectarse a recursos compartidos en redes locales. Se integra con Fing
  • ES File Explorer Uno de los mejores exploradores de archivos para Android
  • Network Spoofer Excelente utilidad para redirigir usuarios o cambiar búsquedas de google en redes LAN.
  • SSHDroid Simple pero útil servidor SSH para nuestro dispositivo.
  • Nessus Teenable Cliente para la conexión al servidor Nessus, controlarlo remotamente y ver los informes.
  • VMware View for Android Visor de máquinas virtuales en plataformas VMware

Symantec admite que el código de algunos de sus antivirus ha sido pirateado

Symantec, una de las mayores compañías de seguridad informática del mundo, ha admitido que alguno de sus antivirus más populares han sido pirateados. Eso sí, matiza que solo han sido hackeadas algunas versiones antiguas de sus productos PcAnywhere y Norton. Un matiz, sin embargo, que no evitará que algunos clientes de la compañía puedan replantearse si cambian de proveedor, tal y como advierten algunos analistas.

Según los datos conocidos hasta ahora, un hacker ha publicado en internet el código fuente del antivirus PcAnywhere. Al parecer, su liberación se produjo después de una supuesta negociación entre Symantec y el pirata en la que este habría pedido a la compañía 50.000 dólares (37.000 euros) a cambio de destruir el código. La multinacional ha negado tal negociación y afirma haber sido víctima de una extorsión por parte de una persona que dijo formar parte de Anonymous.

Más...

Fuente: www.cincodias.com



Día Internacional de la INTERNET SEGURA 2012


El DIA INTERNACIONAL DE LA INTERNET SEGURA  es un evento que tiene lugar cada año en el mes de febrero, con el objetivo de promover en todo el
mundo un uso responsable y seguro de las nuevas tecnologías, especialmente entre menores y jóvenes.

El evento está promovido por la Comisión Europea y está organizado por INSAFE, la Red Europea por una Internet Segura, y en España por el CENTRO DE SEGURIDAD EN INTERNET: PROTEGELES en el marco del Safer InternetProgram.
En 2012, el Día internacional de la Internet Segura -SID 2012- se celebra en más de 70 países de todo el mundo y está dedicado a frenar la famosa brecha digital. Promoviendo el diálogo y el trabajo entre generaciones,bajo el eslogan:

CONECTANDO GENERACIONES.
Link relacionados:
- El Día Internacional de la Internet Segura se celebra 'conectando generaciones'
- Una internet segura


miércoles 8 de febrero de 2012

12 tips para organizaciones sociales digitalmente seguras

Quizás las diferencias más fuertes en relación a una Organización “comercial” en contraste a una social, es que en principio esta última podría no tener los mismos recursos para proteger la información, además de que seguramente los riesgos serían muy distintos, a pesar de que todas las Organizaciones tienen riesgos distintos. .

A su vez, algunas cosas podrían no ser tan distintas, por ejemplo: .

● -  Todas las Organizaciones tienen un objetivo y activos que deben proteger.

● - Todas las Organizaciones están compuestas por personas y deben cumplir leyes.

Teniendo en cuenta esto último entonces se podría concluir que quizás las medidas de seguridad o controles que se implementan en las Organizaciones “comerciales” también podrían aplicar en las Organizaciones Sociales, con algunas salvedades o particularidades obviamente. .

 CONSEJOS PARA PROTEGER ACTIVOS VIRTUALES.
A continuación se enumeran algunas recomendaciones que podrían facilitar la tarea a aquellas Organizaciones que se hayan planteado como una necesidad proteger sus activos, siendo la información uno de ellos. 

1. Catalogar los Activos (saber que se tiene). Si bien puede verse como una tarea muy difícil, se podrían en cierta forma catalogar los activos con los que cuenta la Organización y así poder identificarlos unívocamente, para luego relacionarlos con el tipo de información que interactúan. Esto podría facilitar la “valoración” de dicho activo. .

2. Clasificar la Información (conocer su valor). Una vez que se tienen los activos catalogados, es importante definir ciertos niveles para clasificar la información, dado que en las etapas siguientes se identificarán los riesgos y para ello será muy importante conocer qué información es más importante y así poder priorizar y cuantificar el esfuerzo para su protección. Existen varias metodologías, pero más allá de imaginar algo complejo, se podría comenzar con una clasificación del tipo Público, Uso Interno, Confidencial o Sensible, como para dar una primera clasificación. .

3. Análisis de Riesgos. Una vez que se “sabe lo que se tiene” y “se sabe su valor”, la organización está en condiciones para proceder con el análisis de riesgos que permita identificar “qué cosas pueden pasar” y “que impacto generarían”. Con esta información se pueden tomar decisiones costo/beneficio, y el uso de los recursos será más eficiente. Existen muchas metodologías de Análisis de Riesgos que pueden servir de guía. Definir un alcance acotado e ir ampliándolo podría ser un punto interesante para que el equipo de trabajo se mantenga motivado y la Organización perciba cambios en forma rápida. .

Todas estas actividades requieren del compromiso de todos los colaboradores en la Organización y el impulso de los líderes. También es importante tener en cuenta que no son procesos de única vez, sino que deberían ejecutarse en forma periódica en un todo de acuerdo con un proceso de mejora continua. .

CONTINUACIÓN: PARA LOS MÁS “PRAGMÁTICOS” .
A continuación se describen una serie de medidas de seguridad que podrían considerarse la base que toda ONG debería tener en materia práctica, continuando con la lista anterior. .

4. Proteger la información de los Donantes (datos personales, medios de pago). Para una Organización que se sustenta con las donaciones de las personas que aportan a la causa, toda la información relacionada con dichas personas es crucial para el cumplimiento de los objetivos. Más allá de esto, hoy en día existen una serie de requisitos legales y regulatorios que hacen que no sea una opción su protección. Teniendo presente todo esto, es muy importante tener claro qué se debe cumplir como Organización para estar en compliance y no tener sorpresas desagradables. A su vez, dicho conocimiento debe trasladarse a todos los colaboradores. .

5. Protección contra código malicioso. Hoy en día todos los equipos informáticos deberían contar con una protección antivirus/spyware y demás variantes de código malicioso. Es importante mencionar que se debería controlar que dicha protección se encuentra activa y actualizada en todos los equipos. Evaluar la posibilidad de incluir dispositivos móviles. .

6. Firewalls personales. Todos los equipos deberían contar con un firewall, con una serie de reglas establecidas en forma centralizada, más allá de lo que el propio usuario pueda definir. .

7. Listado de Software Aprobado. El software instalado en los equipos debería ser el que la Organización considera necesario para llevar a cabo las actividades y que está dentro del proceso de gestión de vulnerabilidades. Este tipo de controles, facilitan el cumplimiento de leyes relacionadas con la propiedad intelectual. .

8. Actualizaciones de Seguridad. En relación con el “Listado de Software Aprobado” se encuentran las actividades que se deberían llevar a cabo para mantener todo el software actualizado, preferentemente en cuestiones relacionadas con parches de seguridad. .

9. Compromiso de todos los colaboradores. No hay una estrategia de seguridad que sea exitosa si no se cuenta con el compromiso de todos los miembros del equipo. Para ello, desde lo más alto de la Organización se deben impulsar las iniciativas de seguridad y comprometer a todos los miembros para que cumplan los requisitos establecidos y a su vez colaboren en la protección. .
Los Programas de Concientización son un elemento importante para que los colabores tomen conciencia de los riesgos a los cuales se encuentra expuesta la información, y cómo algunos hábitos que se modifiquen pueden mejorar notablemente el grado de exposición de los activos.

10. Documentar el conocimiento. Dicho conocimiento generalmente lo tienen las personas. Para ello sería muy bueno llevar a papel aquellas actividades críticas que podrían generar un impacto negativo en la Organización ante la ausencia de quiénes las ejecutan. Si bien esto muchas veces genera resistencia en las personas, sería bueno que en la Organización los colaboradores sean valiosos por lo que comparten y no por lo que ocultan. .

11. Gestión de Seguridad Centralizada. Sería la forma más eficiente de establecer los controles y/o medidas que se establezcan. .

12. Aprender de lo que sucede. Es fundamental que se mejoren las medidas y/o controles en base a las distintas situaciones que se presenten y que puedan considerarse incidentes de seguridad u oportunidades de mejora. El aprendizaje es lo que garantizará la mejora continua y a su vez permitirá mantener el riesgo en el nivel esperado por la Organización. .

CONCLUSIONES.
Los distintos puntos descriptos son sólo algunas recomendaciones de todas las cuestiones que podrían realizarse en materia de seguridad y que conforman las “mejores prácticas” o “prácticas habituales” en aquellas Organizaciones no Gubernamentales que gestionan la seguridad de la información. Sea cual sea la decisión que se tome, es importante tener en cuenta que no existen recetas mágicas. Lo que a una Organización sin fines de lucro le sirve, puede no servirle a otra dado que todas las Organizaciones son distintas. Lo que sí se debe tener claro es que hoy en día no es una opción proteger la información, tanto porque el mercado lo requiere como también porque se deben cumplir leyes o regulaciones como la de protección de datos personales, para poder operar legalmente. Es un buen momento para analizar cómo está el estado de la Organización social en este punto y comenzar a aplicar y mejorar las políticas de seguridad. 


martes 7 de febrero de 2012

Prevéngase de los robos de información en la oficina

Proteger documentos y claves de acceso, así como restringir el acceso a su lugar de trabajo, son algunas acciones para asegurar la información mientras se está fuera de la oficina.
Según diversos estudios, los principales problemas de seguridad de la información, que afectan a las empresas, tienen que ver con fraudes corporativos y robo de información.
Para muchas empresas, los primeros días del año son épocas de reincorporarse a sus actividades, planear temas para el año y empezar a ejecutar acciones pendientes. Con el fin de evitar momentos de preocupación a causa de robos de información o problemas de seguridad interna al volver a la oficina, MaTTica, compañía líder en investigaciones digitales en América latina brinda algunas recomendaciones básicas de seguridad que todo ejecutivo debe tener en cuenta, sin importar si trabaja en una gran organización o en un negocio personal.

De acuerdo con Andrés Velásquez, presidente y fundador de MaTTica, se debe tener en cuenta:
1. Asegurarse de tener sus papeles en orden. Evitar dejar documentos sobre el escritorio o en cajones que no tengan llave, así como post-its con palabras clave, contraseñas o cualquier otra información sensible a la vista. De acuerdo con la Encuesta Global de Delitos Económicos 2011 de PWC, el tipo más común de delito económico sufrido por las empresas fue el robo o malversación de activos, con el 72%.

2. Guardar siempre las claves de acceso en un lugar seguro. Ello quiere decir que si se tiene en el computador, que sea en una aplicación encriptada; nunca anotarlas en papeles que guardará en la billetera o libreta de notas. Tampoco cargarlas en el teléfono celular, ni dictar a nadie la contraseña por teléfono y en lo posible, no enviarlas por correo electrónico.

3. Controlar quién tiene acceso a su lugar de trabajo, y tratar de limitarlo lo más que pueda. Es importante que la empresa tenga conocimiento de todo el personal que tiene acceso a sus instalaciones, ya que, según la encuesta de PwC, el 56% de los delitos económicos son cometidos por estafadores internos.

4. Evitar proporcionarle los datos personales a terceros. Es mejor pedir un acceso remoto seguro a la intranet de la empresa, que dejarle la contraseña de la computadora a un asistente, por más confiable que este sea. Recordar que muchos de los robos de información se deben a trabajos internos de empleados descontentos.

5. Asegurar el hardware, y la información que guarda en él. No está demás decir que debe tener una contraseña para entrar en su computador, así como esconderla información más sensible bajo otra contraseña o encriptación. Según el informe, el robo de información sigue siendo el fraude más común en América latina.

6. No ingresar a ningún enlace externo que le envíen por correo electrónico, por Twitter o por Facebook. Si bien muchas empresas tienen asegurado el correo electrónico corporativo para evitar que los empleados visiten páginas de redes sociales, vídeos o sitios inseguros, muchos usuarios cuentan con dispositivos móviles desde los cuales tienen acceso libre a internet, donde muchas veces guardan datos corporativos.

“Si bien es cierto que las empresas deben tener cuidado con los riesgos relacionados con el manejo de las tecnologías de la información, no hay que olvidar que muchos fraudes aún se perpetran a la manera antigua. Así que debemos tener passwords efectivos y sistemas seguros, y asegurarnos de no dejar los memos de la gerencia encima del escritorio ni documentos confidenciales que tengan estadísticas que comprometan su trabajo”, comentó Andrés Velásquez.


Humor: Virus

5 herramientas para proteger la privacidad de los periodistas

Los periodistas utilizan las comunicaciones digitales para su trabajo más que nunca, pero a menudo no piensan lo suficiente sobre su seguridad en la web.
Aunque es imposible garantizar tu seguridad online, aquí te ofrecemos cinco sugerencias que periodistas y blogueros pueden utilizar para mejorar su privacidad y proteger su identidad:

1. Usa siempre HTTPS. Comprueba en tu navegador que la dirección que estás visitando comienza con "http" o "https". HTTPS, o Hypertext Transfer Protocol Secure, otorga una conexión cifrada con el servidor, es decir, sólo tú y el servidor pueden ver esta comunicación. Algunos sitios y servicios online han hecho uso de la opción HTTPS por defecto, incluyendo Gmail. Otros proporcionan una conexión HTTPS sólo cuando te conectes a proteger tu nombre de usuario y contraseña. Si tu conexión no es realizada a través de HTTPS eso significa que no está encriptada y puede ser vista por terceros. Para estos casos puedes instalar el plugin de código abierto HTTPS Everywhere, que te conectará con HTTPS cada vez que sea posible.

2. Protege tus contraseñas. La mayoría de nosotros tenemos una gran cantidad de contraseñas, y si estás preocupado por la seguridad de tus datos deberías matenerlas a salvo. (Guardarlas en un navegador o en un pedazo de papel no es suficiente). KeePass es un software gratuito y de código abierto que te permite guardar tus contraseñas usando una sola contraseña principal para desbloquearlas.

3. Navega de forma anónima. Si quieres escribir de forma anónima pero te preocupa que tu identidad pueda ser descubierta, echa un vistazo al navegador Tor. Tor es una red de miles de puntos de conexión que te permiten navegar por la web con una dirección IP diferente. Este navegador te permite moverte a través de conexiones en todo el mundo, impidiendo a otros ver las páginas que estás visitando o lo que estás enviando. Sin embargo, hay un inconveniente: la navegación a través de Tor puede ser lenta.

4. Protege tus datos en el disco duro. Los datos del disco duro también son vulnerables. Un ejemplo es un incidente reciente en el que el gobierno egipcio allanó las oficinas de organizaciones sin fines de lucro operando en el país y confiscó sus computadoras y programas. Truecrypt, una herramienta gratuita y de código abierto, puede proteger los datos en tu disco duro agregando un cifrado adicional.

5. Usa una red privada virtual o VPN. La mayoría de nosotros hemos oído hablar del término "red privada virtual" (o VPN por su sigla en inglés). Así es como funciona: imagina que los datos se ejecutan a través de un túnel y están sujetos a vigilancia del gobierno. Una red privada virtual esencialmente crea su propio túnel dentro del túnel más grande. Para ello, se necesita un servidor en un país seguro que te permitirá navegar por la web a través de ese servidor. Psiphone tiene un servidor en Canadá que puede ser usado por usuarios en cualquier parte del mundo para navegar por la web. También puedes chequear aplicaciones portátiles, en las que puedes instalar buenas aplicaciones de seguridad en dispositivos de memoria flash y utilizarlas en cualquier computador.

Fuente: ijnet.org