martes, 31 de julio de 2007

VIDEOS relacionados con Hacking




Uno de los mejores portales con VIDEOS relacionados con Hacking es MilwOrm. En dicha web se puede observar más de 60 videos donde la mayoría están en formato de Flash (swf), por lo que se puede observar en línea o con pasos extras descargarlos al disco. Para tener una idea adjunto algunos de los títulos disponibles:

Fecha Publicacion / Titulo del Video
18/06/2007 Exploiting SW Vulnerabilities
15/06/2007 Patching KeyGenMe with OllyDbg
12/06/2007 Find, Exploit & Cure XSS w0rms
23/05/2007 Rooting SQL Server via SQL Injection
14/05/2007 Aircrack-ptw
14/05/2007 Hacking Mac OS X - A Case Study
14/05/2007 Hacking SQL in Linux using the SecureState Swiss Army Knife
14/05/2007 LSO: MSFweb 3.0 part 2
14/05/2007 The dangers of Ad-Hoc networks in Windows XP SP2
14/05/2007 Classical Basic Local Buffer Overflow
19/04/2007 How To Founding Win32 Stack Overflow Exploit
03/04/2007 Cursed Animations from teh Wi1d W3st
02/04/2007 Windows Shellcode
02/04/2007 faking wep using linux wifislax
15/02/2007 Clientless WEP Cracking (fragmentation attack using the air crack suite)
29/01/2007 Local JPG shell Inclusion (LFI using php injected JPG)
29/01/2007 XSS injection in image formats // Taking advantages on it
05/01/2007 Quicktime Media 0day Exploit Video
05/01/2007 [Win32] Learn Stack Overflow Exploitation - Part 2
05/01/2007 Cracking the Bluetooth Pin and Link key
13/12/2006 RealVNC V4.1.1 Bypass Authentication Exploit Video
11/12/2006 VNC Authentication Bypass Vulnerability Video
08/12/2006 Metasploit 3 Video (msfconsole with db_autopwn)
25/11/2006 Ettercap Video
19/11/2006 [Win32] Learn Stack Overflow Exploitation - Part 1
07/11/2006 Attack on Windows Systems based on the ActiveX Vulnerability
03/11/2006 MSF-eXploit Builder in Action
28/10/2006 How to Exploit Stack Base Buffer Overrun Under Windows XP SP2
23/10/2006 Dns Spoofing
15/10/2006 Terminal Server / RDP Cracking
15/10/2006 MS-SQL Exploitation Video
15/10/2006 Exploiting Microsoft RPC DCOM using Metasploit Framework (Español)
28/09/2006 WMF + SWF Exploit
04/09/2006 Cross Site Scripting HQ 0 Day
17/08/2006 Windows Server Rooting (Remote Desktop Connection)
02/07/2006 0-DAY Simple SQL Injection
14/06/2006 Intruders D-Link Wireless Access Point Configuration Disclosure
11/06/2006 vBulletin XSS Demonstration with Session Hijacking
30/04/2006 PHP Remote File Inclusion / Windows Backdoor
11/04/2006 Heap Overflow Basics (Español)
01/02/2006 Simple ASP Administrator SQL Injection by (ruiner_zer0)
31/01/2006 JSP 1 or 1 SQL Injection Demonstration by (ruiner_zer0)
10/01/2006 Tunneling Exploits Through SSH (whoppix)
19/11/2005 Reverse Engineering with LD_PRELOAD
13/11/2005 Qnix Demonstrating Exploration of Simple Buffer Overflows

Fuente: MilwOrm

Insecuremag 12

Insecuremag
Esta publicacion es un magazine digital de libre descarga en pdf que habla sobre temas de seguridad informatica. (Ingles)

Temario del numero 12

  • Enterprise grade remote access
  • Review: Centennial Software DeviceWall 4.6
  • Solving the keylogger conundrum
  • Interview with Jeremiah Grossman, CTO of WhiteHat Security
  • The role of log management in operationalizing PCI compliance
  • Windows security: how to act against common attack vectors
  • Taking ownership of the Trusted Platform Module chip on Intel Macs
  • Compliance, IT security and a clear conscience
  • Key management for enterprise data encryption
  • The menace within
  • A closer look at the Cisco CCNP Video Mentor
  • Network Access Control.

Descarga del ultimo numero: www.insecuremag.com

Contribución de la Auditoría de Sistemas Información a la seguridad de la información

Aún cuando el auditor de sistemas de información es observado en ocasiones como "el que busca fallos", la tarea de esta disciplina es mucho más compleja y amplia, y sus objetivos incluyen aportar un valor adicional que ayude a mejorar la seguridad.

Al mismo tiempo la seguridad no sólo debe entenderse como la seguridad lógica de accesos o de red, o la física, sino con un sentido mucho más amplio, y siempre teniendo como referencia los objetivos de una entidad.

Definición de Auditoría de SI:
- La auditoria de SI se define como cualquier auditoría que abarca la revisión y evaluación de todos los aspectos (o alguna sección/área) de los sistemas automatizados de procesamiento de información, incluyendo procedimientos relacionados no automatizados, y las interrelaciones entre ellos. (ISACA)
- La auditoría es el proceso de recogida, agrupación y evaluación de evidencias para determinar si un sistema de información salvaguarda los activos, mantiene la integridad de los datos, lleva a cabo los fines de la organización y utiliza eficientemente los recursos.

Estos son algunos de los conceptos presentados por la auditora certificada Marina T. Troitiño en una conferencia realizada en la Escuela Universitaria de Informática

Porcentaje de usuarios de Internet que han tenido problemas de seguridad en España


El índice se desglosa según el origen del problema: fraude con tarjeta de crédito; uso indebido de información personal y virus informático con pérdida de información y/o tiempo. Última actualización Enero/2006.

El porcentaje de usuarios españoles que han sufrido un uso indebido de la información personal es del 15,4% mientras que en la UE-15 es de 4,1%.

En lo que respecta al porcentaje de empresas sobre el total que han tenido problemas de seguridad, el índice se desglosa según el origen del problema: bien sea por accesos no autorizados o por haber recibido ataques de virus informáticos. Última actualización Enero/2006.


En España el porcentaje de incidencias cuyo origen es un acceso no autorizado es del 3%, situándose ligeramente por encima de la media europea (UE-15:2%).

Este informe tiene como fuente EuroStat (EuroStat Information Society Statistics)
Para tener acceso al informe en español se puede acceder al sitio de Inteco.

lunes, 30 de julio de 2007

Motorola proporcionó la infraestructura de seguridad e inteligencia para los Juegos Panamericanos


El consorcio Integração Pan, liderado por Motorola y con la participación de Rocha Bressan/GE, Dígitro, ISDS, OLM y Sisgraph, proporcionó las soluciones de inteligencia y comunicación de misión crítica - que incluyen voz, datos, video e imágenes - para los Juegos Panamericanos que tuvieron lugar en Río de Janeiro.
Para garantizar la seguridad de la información recibida en los más de 60 puntos en funcionamiento e instalados en lugares estratégicos de la capital carioca, Motorola utilizó un sistema de seguridad con criptografía, que operó con tecnología inalámbrica y con total redundancia. Según Eduardo Stéfano, Vicepresidente de Government & Public Safety de la empresa, uno de los mayores desafíos fue el plazo de implementación, que llevó apenas cinco meses. “Esto fue posible gracias a la elección de un sistema wireless de alta velocidad, que funciona punto-a-punto y punto-a-multipunto”, destacó el ejecutivo.

Para proveer toda esta tecnología y seguridad a la ciudad, Motorola utilizó un sistema de comunicación híbrido, que combinó tecnologías fijas, nómadas y móviles. Canopy - su plataforma de banda ancha inalámbrica de alta velocidad- fue combinada con MOTOMESH Duo, una solución de red mesh Wi-Fi de alto rendimiento que provee acceso de banda ancha inalámbrica de forma escalonable para redes de todos los tamaños. Y en el extremo, estaba el HC700, un PDA equipado con Microsoft Office Communicator Mobile y proyectado para atender las exigencias de fuerzas de trabajo móviles.
Fuente

domingo, 29 de julio de 2007

OPEN SOURCE VULNERABILITY DATABASE (OSVDB)








OSVDB
es una base de datos abierta e independiente de vulnerabilidades.

Tiene como meta proporcionar información técnica, detallada, actual e imparcial de diversas plataformas y aplicaciones.
Este proyecto Open Source promueve la colaboración abierta entre las compañías y los individuos, busca eliminar trabajos redundantes, y reducirá los costos inherentes con el desarrollo y el mantenimiento de las bases de datos internas de la vulnerabilidades
.

El sitio oficial:
www.osvdb.org ofrece la posibilidad de realizar búsquedas con distintos filtros en la base de datos:
- Vulnerability Title
- Disclosure Date Range
- Reference
- Text
- Vendor
- Product
- Version
- Vulnerability Classification:
-- Location: Physical, Local, Remote, Telephony and Unknown.
-- Attack Type: Authentication, Cryptographic, Denial Of Service, Hijacking, Information Disclosure, Infrastructure, Input Manipulation, Misconfiguration, Race Condition, Other and Unknown.
-- Impact: Loss of Confidentiality, Loss of Integrity, Loss of Availability, Unknown.
-- Exploit: Available, Unavailable, Rumored and Unknown.
-- OSVDB: Verified, Myth/Fake, Best Practice, Concern and Web Check.

Este proyecto también tiene publicado un
blog, donde se publican respuestas de soporte y noticias vinculadas.

Muchos productos de seguridad se están integrando al proyecto.
Entre algunas herramientas que son compatibles OSVDB podemos mencionar:
- Nieto: Escáner Open Source (GPL) de servidores Web (
www.cirt.net/code/nikto.shtml)
- Sandcat: Escaneador de Servidores y Aplicaciones Web (
www.syhunt.com/section.php?id=sandcat)
- Y las populares herramientas
Snort y Nessus

CRYPTEX - Seguridad de la Información?

Porque este Blog se llama CRYPTEX?
Cryptex, es una combinación de las palabras cryptology and codex.
La palabra cryptex neologismo acuñado por el autor Dan Brown para su best seller "El código Da Vinci”, denotando un dispositivo cilíndrico diseñado por Leonardo da Vinci para transportar mensajes con seguridad.

Para abrir el dispositivo, la combinación de componentes rotatorios deben estar en orden correcto. Si se lo intenta abrir a la fuerza, un mecanismo interno rompe un tubo que contiene vinagre disolviendo el mensaje escrito en papiro.

Para los que quieran observar en fragmento del film donde aparece el Criptex lo pueden hacer en la web y en esta otra.

En los siguientes link se puede observar otras web vinculadas con el dispositivo:

http://seguridad-informacion.blogspot.com/

sábado, 28 de julio de 2007

Auditoria de Seguridad WIRELESS - Wifislax


¿Qué es Wifislax?


Wifislax es una herramienta creada por el equipo de HWAGM y que esta basado básicamente y principalmente en SLAX (con base en la distribución Slackware Linux), pero debido al gran trabajo realizado por los autores del BackTrack hemos trabajado directamente sobre este ultimo live CD, así pues catalogar al Wifislax como una live CD podría incluso considerarse como erróneo”.

Los autores han realizado una serie de modificaciones que pueda cambiar el concepto de remasterización, y por lo tanto definirlo como una propia live CD. Tampoco la definición de traducción de la fuente original podría ser correcta, ya que no solo hemos traducido algunos aspectos importantes de trabajos anteriores, sino que han dotado a esta live CD de ciertas características que la hacen únicas.
Wifislax es una herramienta de seguridad orientada la auditoria inalámbrica, algunas de sus características principales son:
  • Alto índice de reconocimiento de las tarjetas inalámbricas (wireless)
  • No realiza un simple análisis pasivo a través del modo monitor con cualquier sniffer sino que además esta dotada de los parches necesarios para la aceleración de tráfico.
  • Incluye herramientas de auditoria wireless por ejemplo airoscript como tambien una serie de programas o lanzadores gráficos de scripts que facilitan el manejo del entorno.
  • Traducción parcial al español del software.
  • Incluye las herramientas adecuadas para que sea instalado en el disco duro o en una memoria USB.
La descarga de la ultima version de la imagen ISO se puede hacer desde el sitio de comprawifi.
En lo que respecta al soporte existe un
foro del producto y distintos videos demostrativos.

Fuente: Web oficial y HWAGM

jueves, 26 de julio de 2007

Ni hablar: Linux es más seguro que Windows pero menos que Solaris etc..”

Creo que Windows es más seguro que Linux...” ni hablar: Linux es más seguro que Windows pero menos que Solaris etc..”.
¿Cuántas veces hemos participado o asistido a conversaciones de este estilo? Y realmente es una conversación que nunca o casi nunca lleva a conclusiones porque suele estar enormemente cargada de subjetividad. Pero no podría ser de otra manera. Siempre suele transcurrir en torno a la experiencia personal y profesional de cada uno, así como a los conocimientos adquiridos sobre cualquiera de ellas. Se hizo necesaria la existencia de un organismo de estandarización independiente que arroje cierta objetividad sobre este tipo de disquisiciones en torno a la seguridad de los productos. Este organismo, no sin enormes dificultades en su constitución, existe y se llama
"
CRITERIOS COMUNES” o Common Criteria (ISO-IEC 15408)

Common Criteria es un estándar internacional relativo a seguridad informática fundamentado en las normas ISO/IEC 15408:2005 e ISO/IEC 18405:2005.8.
Evaluar un producto en relación a la seguridad requiere identificar las necesidades de seguridad del cliente y valorar las capacidades del producto. Criterios comunes ayuda a los clientes en ambos procesos a través de dos componentes clave: perfiles de protección y evaluación de niveles de seguridad.
Utiliza una graduación de requisitos llamada "Evaluation Assurance Levels", normalmente conocidas como EALs, las cuales están numeradas del 1 al 7, siendo creciente el número de controles y requisitos a cumplir. Los niveles altos de EAL NO IMPLICAN necesariamente que el producto sea más seguro, sino que los niveles de seguridad que un desarrollador o usuario proclama tener en su producto de software han sido analizados de un modo más exhaustivo.

"Common Criteria" permite en un laboratorio verificar los requisitos de seguridad que un dispositivo presenta. Estos requisitos a su vez pueden ser de dos clases:
- Requisitos funcionales: lo que el aparato hace o garantiza.
- Requisitos de garantías: lo que el aparato bajo ningún concepto realizará.

Para descargar la ultima versión del estándar y sus anexos acceder al siguiente link o este otro

Ejemplo de Certificacion
: DNI-Electrónico (España)

Entre los organismos certificadores tenemos en España al Centro Criptológico Nacional (CCN) que ha sido el organismo que ha certificado el DNI electrónico.

Más información:
- Certificación Common Criteria y CA

- Certificación Common Criteria y Microsoft [1] y [2]
- Certificación Common Criteria y SUN
[3]
- Certificación Common Criteria y Apple
[4]

Selenium - JavaScript Web Application Security Testing Tool

Entre las buenas practicas de desarrollo seguro esta el uso de distintas herramientas de test de aplicaciones y tests automatizados de errores, para el caso de los desarrollos web tenemos a ...

Selenium
,
una herramienta de código abierto que funciona directamente sobre el navegador web, carga los script de prueba y los va comprobando uno a uno dando al final una tabla con los resultados.
Esta herramienta trabaja con aplicaciones en línea y es multilenguaje (Java, PHP, .NET, Perl, otros), admite páginas DHTML complejas, funcionalidad para JavaScript así como llamadas AJAX, permite también un fácil y rápido testeo de aplicaciones complejas Web 2.0.

Selenium tiene dos maneras básicas de funcionar:
-Selenium IDE: mediante el navegador firefox (extensión), esta herramienta te permite grabar las acciones para luego repetirlas y así comprobar que una aplicación web, o el propio navegador, siguen funcionando bien. Crea pruebas funcionales sin programar nada, pero son algo rígidas.
Es decir te permite "automatizar acciones" por ejemplo rellenar formularios, test de funcionalidad específicos, parametrizar, navegar por webs con menú tediosos etc.
Para ver una pantalla de esta versión acceder a este link y para acceder a un vídeo de demostración tenemos este otro link.
- Selenium RC (Remote Control): Selenium Remote Control provides a Selenium Server. Realiza tareas automáticas en JavaScript. Trabaja con con una una librería llamada PHPUnit que se integra perfectamente en PEAR mediante su propio canal, permite automatizar la interacción de un usuario virtual con el navegador, y tomar nota posteriormente de los resultados producidos.
Los tests con Selenium se ejecutan directamente en cualquier Navegador :
* Windows: Internet Explorer 6.0, Firefox 0.8 to 1.5, Mozilla Suite 1.6+, 1.7+, Seamonkey 1.0, Opera 8
* Mac OS X: Safari 1.3+, Firefox 0.8 to 1.5, Camino 1.0a1, Mozilla Suite 1.6+, 1.7+, Seamonkey 1.0
* Linux: Firefox 0.8 to 1.5, Mozilla Suite 1.6+, 1.7+ y Konqueror.

Rubén Gómez, autor de la web RKG@home nos recomienda los siguientes link relacionados:
. Guía de instalación de PHPUnit

. Guía de instalación Selenium-RC
: Recordar que buscará el nombre del navegador configurado en nuestro sistema de pruebas en el path, para Firefox por ejemplo buscará firefox-bin
. Artículo muy interesante
con un proyecto ejemplo de este tipo de sistema de pruebas, e información más o menos detallada de cómo probarlo (tener en cuenta el tutorial anterior)
Con respecto al unit test de toda la vida, una característica muy interesante también de PHPUnit es la capacidad de generar clases de pruebas esqueletos sobre nuestras clases e incluso crearlos en tiempo real a partir de unas directivas de preprocesamiento que incluiríamos en las mismas a modo de comentarios, la información sobre esto se encuentra en la guía de bolsillo de PHPUnit, sección Skeleton.

Otro link vinculado con la herramienta es la web programania.net donde presentan una opinión distinta de la utilidad de Selenium.
Actualizado al 16/Sep/07

LIVE USB

Muchos ya utilizaron Sistemas Operativos en Live CD para hacer pruebas relacionadas con auditorias y pruebas de seguridad, ahora es el momento de experimentar Live USB con boot dual, donde lo único que hace falta es tiempo, por supuesto un dispositivo con un tamaño aceptable para poder poner mas de un SO.

Para los interesados les adjunto los siguientes link:

miércoles, 25 de julio de 2007

Congreso Seguridad en Cómputo 2007 (Mexico)

La Universidad Nacional Autónoma de México /UNAM-CERT organizo el pasado mes de junio el Congreso de Seguridad en Cómputo 2007, uno de los principales eventos en Latinoamérica relacionado con la seguridad informática en cualquiera de sus formas. Dicho congreso de Seguridad permitió reunir a investigadores reconocidos a nivel mundial que permitieron compartir las nuevas tendencias de la seguridad informática con los distintos asistentes provenientes de una gran variedad de universidades e instituciones de educación superior, organizaciones comerciales del sector público y privado.

Para los interesados en descargar todas las ponencias del evento, se encuentra publicada la
imagen ISO con las ponencias (Aprox. 50 Mb)

La mayor parte de la pérdida de información interna obedece a errores del personal

Según un informe, la mayor parte de la pérdida de información interna obedece a errores del personal. Las empresas deben alentar planes de concientización para preservar que la información sea confiable y confidencial.

En el mundo empresario hay una máxima que dice: “el que tiene la información gana mercados y tiene el poder”. Con los avances informáticos, esa frase debe ser completada con otros elementos: “se gana poder y mercados, en tanto y en cuanto esos datos sean exactos, oportunos y no sean alterados”.

La información es un activo intangible para cualquier empresa y, por lo tanto, es necesario aplicar esquemas de seguridad informática que sostengan su confiabiabilidad y su confidencialidad, señala a LA GACETA Pablo Silberfich, socio de BDO Becher & Asociados y experto en Aseguramiento de Procesos Informáticos. El buen manejo de la información es imprescindible para un banco, donde la mayor parte de sus transacciones son electrónicas; para una AFJP, con el fin de preservar la base de datos de sus afiliados, o para las firmas de tarjetas de crédito o de compañías de servicios públicos privatizados por la sensibilidad que tiene los datos de sus usuarios. Silberfich considera también que puede haber algunos descuidos del personal de una organización en el manejo de esa información que hace necesario ir eliminándolos paulatinamente. “La seguridad de la información no es un problema tecnológico ni de la gerencia de sistemas, sino de todos los empleados de la empresa: desde sus dueños, pasando por los directores, los mandos medios y hasta los trabajadores en general (técnicos o no técnicos)”, dice el experto. A menudo, en cualquier oficina puede observarse que los errores humanos constituyen una de las principales causas de la filtración de información crítica para la empresa.
El experto de BDO afirma que planos de fábrica, resultados financieros de una empresa, información interna de ventas o de rentabilidad pueden salir de una empresa porque el trabajador, como usuario de internet, no sabe a qué se expone al grabar datos en un CD o en un pen drive, o ingresar a páginas de la web de dudosa procedencia en las que los crackers (expertos en informática que operan en la red para delinquir) usan programas para capturar nombres y claves de usuarios. Los errores en el uso de datos críticos se dan, según Silberfich, por “el amiguismo o la informalidad en el trabajo donde una persona transfiere a otra datos como password de la PC que utiliza”. “De allí los crackers controlan la información interna y tratan de ir escalando en la intranet de la empresa hasta llegar al servidor”, indica. ¿Qué hacer?Para evitar esos inconvenientes, cualquier empresa -no importa su envergadura ni la prestación de sus servicios al público- debe instrumentar un plan de concientización sobre el uso correcto de la información, apunta el experto de BDO. “Y esta política, para clasificar qué sectores del personal pueden manejar determinados datos y a cuáles les estará vedado, debe surgir de un convencimiento de los niveles de alta gerencia”, acota. Para que la protección de los datos internos de la empresa sea efectiva, se requiere del consenso e involucramiento de la alta gerencia de la empresa, sostiene Silberfich, en las siguientes cuestiones: • Considerando el Plan de Seguridad Informática con el Plan Estratégico de Negocios y de Sistemas, de acuerdo con la cultura de la rmpresa.• Definiendo normas, procedimientos de Seguridad Informática y controlando su cumplimiento (estándares de sistemas operativos, uso de Internet, e-mail, mantenimiento de passwords, roles y perfiles y acceso a transacciuones en los aplicativos de producción)• Y concientizando a los usuarios finales diariamente en las tareas de protección de datos.

Claves para la seguridad informática
LAS DEFINICIONES CLASICAS que se dan sobre la seguridad de la información, pueden ser sintetizadas de esta manera:es una forma de evitar futuras pérdidas; es una forma de evaluar y gestionar los riesgos relacionados con la tecnología y es algo necesario para evitar que los hackers entren en nuestros sistemas.LA INFORMACION DEBE SER PROTEGIDA, entre otras razones porque garantiza la continuidad comercial, minimiza el daño y maximiza el retorno sobre las inversiones y las oportunidades. La seguridad informática apunta a mitigar los riesgos, y la que puede lograrse por medios técnicos tiene límites y debe ser respaldada por una gestión y procedimientos adecuados en el trabajo tanto de los recursos humanos técnicos como no técnicos (usuarios finales), señalan los especialistas de BDO Becher, una firma que en Tucumán es representada por el estudio Saieg Consultores y Asociados en Dirección.

ALCANZAR LA SEGURIDAD de la información requiere como mínimo los siguientes pasos y requerimientos: evaluar los riesgos que enfrenta la organización (amenazas, vulnerabilidades, probabilidad de ocurrencia, cuantificación de los riesgos); evaluar los requisitos que deben cumplir (legales, normativos, reglamentarios, contractuales) e identificar y evaluar respecto de la información (los principios de la organización, los objetivos establecidos y los requisitos de procesamiento).
SEGUN LOS EXPERTOS BDO, la instrumentación de una sana política empresarial de seguridad informática no es costosa, ya que no requiere actualizar la tecnología (software ni hardware), sino capacitar y actualizar a todos los niveles de personal sobre las reglas de juego para el uso de la información interna (privada, pública o confidencial). También que el personal tome conciencia de que, si maneja información crítica, debe evitar fotocopiar o imprimir informes en lugares de uso común con el resto del plantel de la empresa.

Fuente

Certificaciones en Seguridad de la Informacion - International Information Systems Security Certification Consortium (ISC)2

Certificaciones en Seguridad de la Informacion - International Information Systems Security Certification Consortium (ISC)2 - 1º Parte


El International Information Systems Security Certification Consortium, Inc. [(ISC)2®] es reconocido internacionalmente como una de las principales certificaciones de profesionales de la seguridad.
El Consorcio tiene su sede en Palm Harbor, Florida, EE.UU., y cuenta con sucursales en Vienna, Virginia (EE.UU), Londres, Hong Kong y Tokio.

(ISC)2 ofrece un programa de formación profesional continua; una cartera de productos y servicios de formación basados en CBK® de (ISC)², una taxonomía de temas relativos a la seguridad informática; y es responsable también del estudio anual entre profesionales de la seguridad de la información de (ISC)2.

(ISC)2 otorga las siguientes certificaciones a aquellos individuos que satisfacen los requisitos de competencia profesional necesarios:
  • Certified Information Systems Security Professional (CISSP), que es la certificación mas reconocida,
  • Certification and Accreditation Professional (CAP) y
  • Systems Security Certified Practitioner (SSCP).

CISSP®, CISSP-ISSEP®, CISSP-ISSAP® y SSCP® se cuentan entre las primeras certificaciones informáticas que satisfacen los exigentes requisitos del estándar ANSI/ISO/IEC 17024, un estándar de referencia mundial
para la evaluación y la certificación del personal.
Desde su fundación en 1989, (ISC)2 ha certificado a más de 50.000 profesionales de la seguridad de la información en más de 129 países.
Algunas estadisticas oficiales que fueron publicadas el pasado 16 de Julio de 2007 sobre certificaciones de paises de latinoamerica: Brazil (192), Chile (74), Argentina (46), Colombia (38), Venezuela (13) y Uruguay (12).

Si esta interesado en buscar a un profesional certificado o analizar cuantos certificados hay hasta la fecha en algun pais en particular puede acceder directamente a la base de datos del organismo (*) y usar los filtros (certificación, pais, ciudad, Nombre del profesional, otros)


(*) https://www.isc2.org/cgi-bin/directory.cgi?displaycategory=503


Fuente: ISC2


Autenticación Biométrica:
La seguridad de la información corre por las venas


La empresa nipona ha desarrollado VeinID, un dispositivo de autenticación biométrica de identificación dactilar para computadoras, basado en la distribución "única y no reemplazable" de las venas del interior de los dedos del usuario.
Hitachi desarrolló VeinID: un dispositivo compacto de autentificación dactilar que utiliza las venas de los dedos para distinguir una persona de otra. Serviría, entre otras cosas, para proteger una computadora frente al acceso no autorizado y a la filtración de información. La caracterización de las venas del dedo se detecta a través de un haz de luz y de esta forma, se obtiene una imagen que procesada mediante un algoritmo especial se convierte en información digital preparada para ser registrada.Este dispositivo fue diseñado por Hitachi a partir de un modelo realizado para Japón y su núcleo está basado en un circuito integrado a partir de un pequeño chip LSI (Large Scale Integration). A su vez, esta unidad está acompañada por un kit de desarrollo para crear aplicaciones o ayudar a integrar el dispositivo en las ya implantadas. Por otro lado, al estar basado en un patrón biométrico que no puede ser reemplazado, esta tecnología de autentificación imposibilita la falsificación.Se encuentra disponible en Japón desde 2006, y ahora se ha dispuesto a lanzarlo en Europa, EE.UU., Asia y Oceanía, con la meta de vender 10.000 unidades al año en el sector de seguridad de las tecnologías de la información.

martes, 24 de julio de 2007

"Dos terceras partes de datos de negocios críticos se conservan en las estaciones de trabajo de empleados, no en servidores”.

Máxima protección a los datos

Eventos recurrentes como pérdida y robo de datos, registros de clientes e incumplimientos a la seguridad hacen aparente que las amenazas a la seguridad pueden ser costosas (e incluso posiblemente irrecuperables).
La investigación realizada por Gartner Inc. indica que "dos terceras partes de datos de negocios críticos se conservan en las estaciones de trabajo de empleados, no en servidores”. La firma de consultoría global Capgemini seńala que hotspots “disfrazados” "constituyen uno de los vehículos más graves y más probables para las infracciones de seguridad inalámbricas”.
Está claro que las organizaciones de TI se esfuerzan por proteger sus sistemas y sus datos, al tiempo de mantener la productividad de sus empleados. Con clientes móviles, dispositivos USB y Bluetooth y capacidad inalámbrica que se suman a la variedad, las defensas perimetrales estándares ya no son suficientes para proteger sistemas de negocios y activos de información. Las organizaciones de TI que toman con seriedad la preservación de entornos seguros deben centrarse también en los siguientes aspectos:

Personas y procesos: La organización de TI debe combinar el "bloquear sistemas" con los requisitos del usuario final de control y productividad.

Seguridad de los datos: Los ataques maliciosos se hacen cada vez más inminentes. Tan sólo la amenaza de los dispositivos USB tiene la probabilidad de alcanzar proporciones epidémicas conforme aumente el número de estos dispositivos en uso.
Las compańías necesitan proteger sus datos de la transferencia a medios en donde se pueden perder o ser robados fácilmente. Las organizaciones de TI deben definir dispositivos aceptables para el entorno e implementar controles adicionales basándose en elementos de identificación como números de serie. Con estos controles, las compańías pueden especificar un estado de “lectura-escritura” o “sólo lectura”, o bien deshabilitar por completo el acceso basándose en el tipo de dispositivo.

Conectividad y Wi-Fi: Las organizaciones deben detener el uso de dispositivos inalámbricos no autorizados e imponer estándares de seguridad mínimos a todos los usuarios. Una solución efectiva reforzaría el uso de la VPN de la compańía en la casa, en el aeropuerto o desde un lugar que no sea la oficina misma.
Integridad de las aplicaciones de seguridad: Las compańías necesitan impedir que los usuarios desactiven o modifiquen la configuración de software de seguridad crítico. Las organizaciones de TI deben tener la capacidad de verificar de forma centralizada el que todos los usuarios cumplan con aplicaciones antivirus, parches de software y actualizaciones de seguridad, y poder reforzar la política, independientemente de la ubicación.

Aplicaciones disfrazadas: Se debe adoptar una solución de control de punta a punta para impedir que se ejecute código malicioso en un sistema. La solución debe asegurarse de que los usuarios no puedan sacarle la vuelta a los controles cambiando el nombre a un archivo o modificando el registro.

Marcos Valencia- Director General de Altiris en México y Centroamérica
Fuente del articulo

Video de Seguridad de redes inalámbricas / Wireless Security


Zebra ofrece un video sobre las diez amenazas a las redes inalámbricas buscando guiar a las empresas para proteger el valor de su red.
El seminario es presentado por Robert Danahy, director de Soluciones Mundiales, Móviles e Inalámbricas de esta compañia.

En el video se presentan los diferentes estándares de seguridad inalámbrica, así como sus ventajas y desventajas.
Para descargar el video de 30 Mb (archivo wmv) hacer clic
en este vinculo

Consejos de Seguridad para Computadoras Portátiles

El robo de computadoras portátiles es un gran problema, es común hoy en día utilizar una notebook para realizar teletrabajos, Viajes, vistas a clientes, otros.
Desafortunadamente, la movilidad y la tecnología que manejan hacen de este tipo de computadoras objetos de valor y por lo tanto blanco de robos.
Si se roban tu computador portátil, la información de tu compañía puede resultar expuesta, también tu información personal y esto puede conducir al hurto de identidad.
En este artículo te damos 5 consejos esenciales para a mantener tu computadora portátil más segura.


Consejo 1: Nunca dejes ninguna de tus contraseñas en el maletín/mochila donde guardas la computadora portátil. Si guardas tus contraseñas con tu computadora, es como dejar las llaves colocadas en tu automóvil. Recordar que sin tus contraseñas, será más difícil abrir tu computadora y tener acceso a tu información personal.

Consejo 2
: Lleva siempre tu computadora contigo, dale un vistazo regularmente. Por ejemplo, si estas en reunión con alguien, dejas tu computadora portátil en un lugar seguro y fuera de la vista. No dejar la computadora en un área accesible, tal como un mostrador de un hotel. Si tienes una caja fuerte o un cable de la seguridad, utilizarlo.

Consejo 3
:
¿Tener datos sensibles? Cifrarlos. Si alguien consigue tu computadora portátil y accede a tus archivos, el cifrado puede darte una capa adicional de protección. Los programas tales como TrueCrypt hacen el trabajo muy fácil. Los usuarios de Windows pueden utilizar el sistema de ficheros cifrado (EFS) para cifrar archivos y carpetas.

Consejo 4
:
Una contraseña protege tus sistemas. Cada usuario de portátiles debe proteger su computadora portátil con contraseñas de inicio. Colócale una contraseña a la BIOS para trabar el sistema antes de que el sistema operativo incluso comience.
TAmbien se aconseja cambiar el orden de boot, nunca dejar como boteo por defecto la lectora de CD/DVD, disquetera, puerto USB, etc. para evitar el uso no autorizado de Live CD.
Los usuarios de Windows pueden fijar una contraseña para comenzar Windows.
Elige una buena contraseña - utiliza letras, números y caracteres ASCII. Difícil de adivinar solamente así evitarás que los ladrones adivinen tu contraseña. Si tu computadora portátil tiene autentificación biométrica, debes utilizar tu huella digital en lugar de una contraseña. (en algunos casos se complementan)

Consejo 5:
¿Si sucede lo peor y tu computadora portátil fue robada… no sería genial recuperarla? Existen compañías que ofrecen este servicio vía software, permitiendo que la computadora portátil robada envíe su localización (por ejemplo LaptopLock y Laptopcare). Desafortunadamente, esos programas trabajan solamente cuando la computadora portátil se conecta a Internet.
Publicación realizada por security-hacks.

Norma de Accesibilidad Web: UNE 139803:2004

Aunque esta norma no este relacionada directamente con la seguridad de la información se incluye dentro de las guías de buenas practicas que son utilizadas durante el desarrollo e implementación de sitios Web, principalmente en España.
Esta norma fija una serie de características que todo portal Web debe cumplir si quiere ser accesible, sirviendo además como base para la Certificación de Accesibilidad Web.
La norma se puede descargar de este link.

Otros guias y herramientas relacionadas:
- Iniciativa WAI (Web Accessibility Initiative)
- HERA (utilidad para revisar la accesibilidad )
- Guia w3c
- TAW (analizador de accesibilidad Online)

Ejemplos de Sitios comprometidos con la accesibilidad
http://www.t2o.es/acerca-del-sitio/accesibilidad/index.php
http://www.cvida.com/content.aspx?co=3495&t=32&c=3

Sitios Web certificados: http://www.accesible.aenor.es/index.asp?MP=3&MS=0&MN=1
Tal y como hizo Google en marzo, Microsoft y Yahoo borrarán a los 18 meses los datos de sus usuarios (historial de las búsquedas efectuadas por los internautas y almacenadas en sus servidores)

El pasado mes de marzo Google limitó el almacenamiento de las cookies de sus usuarios en respuesta a la presión ejercida tanto por autoridades como consumidores.
Ahora son los motores de búsqueda Live Search de Microsoft y Ask.com los que han decidido seguir su ejemplo y conservar el historial de las búsquedas efectuadas por los internautas y almacenadas en sus servidores sólo 18 meses.Es decir, una vez transcurrido ese periodo se borrarán los números IP o la información provista por los usuarios que ingresaron al servidor.Por su parte, Yahoo!, ha decidido desmarcarse del resto y volverá anónimos los datos de los internautas al cabo de 13 meses.En un comunicado conjunto, Microsoft y Ask.com han hecho un llamamiento a todos los motores de búsqueda a elaborar una normativa común para la protección de datos privados.
Fuente: http://www.vnunet.es/Actualidad/Noticias/Seguridad/Privacidad/20070724030

Un fallo informático permite piratear y controlar el iPhone

Exploiting the iPhone:
Un fallo informático permite piratear y controlar el iPhone

Un fallo informático permite piratear y controlar los iPhone del grupo Apple para copiar la agenda de contactos de su propietario o para programar su aparato para hacer llamadas, ha revelado un instituto especializado de Baltimore.
Investigadores del ISE (Independant Security Evaluators) han probado un código que permite controlar un iPhone si éste se conecta en una página de internet que contenga ese misma encriptación, explica el ISE en su página, con un video de apoyo. Distintos métodos pueden llevar al propietario de iPhone a conectarse a través de internet: un correo electrónico que le propone conectarse bajo un pretexto u otro, por ejemplo para cargar a distancia un tono de llamada, o también desde foros o puntos de acceso wifi. Conseguir datos personales y programar llamadas.
El pirata podría entonces apoderarse de todos los datos personales almacenados en el iPhone o programar el aparato para llamar por teléfono o incluso impedir que éste funcione normalmente, explica la empresa. Una portavoz de Apple, Lynn Fox, ha declarado en The New York Times, que el grupo informático "toma la seguridad muy seriamente y examina el informe del ISE". El ISE ha precisado por su parte haber informado a Apple y haber propuesto un programa informático para solucionar este problema, y aconseja a los usuarios no navegar nunca en centros dudosos.

Un noruego consigue navegar sin la suscripción ATT.
El ISE explica en su web no haber examinado si este fallo informático permitiría a un pirata usar el iPhone sin el abono obligatorio con el operador ATT, los compradores del teléfono deben firmar un contrato de dos años con la empresa para usar el aparato, lo que intentan hacer muchos piratas desde la salida del aparato a finales de junio en EEUU. A principios de julio, el programador noruego Jon Lech Johansen afirmó haber pirateado el iPhone, lo cual le permitió recibir música y video y navegar por internet sin la suscripción con ATT.


lunes, 23 de julio de 2007

Cuarto Congreso Iberoamericano de Seguridad Informática CIBSI'07 (Argentina)

El Congreso Iberoamericano de Seguridad Informática CIBSI es una iniciativa de la Red Temática Iberoamericana de Criptografía y Seguridad de la Información, una comunidad virtual que aglutina a expertos de 180 universidades y más de 220 empresas de las Tecnologías de la Información, siendo uno de sus objetivos principales promover y desarrollar el área de la Seguridad Informática en Ibero América, creando para ello un espacio tecnológico que facilite el intercambio de conocimiento y la formación de redes de colaboración en el ámbito de la investigación. El primer congreso CIBSI se celebró en febrero del 2002 en Morelia, México, el segundo en Octubre del 2003 en Ciudad de México, la tercera edición en noviembre de 2005 en Valparaíso, Chile, siendo su periodicidad de dos años.

El Congreso se celebrará del 26 al 28 noviembre del 2007 en la ciudad de Mar del Plata, Argentina, y está organizado por la Universidad Nacional del Centro de la Provincia de Buenos Aires (Argentina) en conjunto con la Universidad Politécnica de Madrid (España).

Algunas Sesiones Plenarias:

  • "Criptografía post-cuántica" - Dr. Paulo Barreto - Universidad de Sao Paulo, Brasil
  • "Seguridad y composición de protocolos criptograficos" Dr. Alejandro Hevia .
  • "Atacando RSA mediante un nuevo método de factorización de enteros" - Dr. Hugo Scolnik - Universidad de Buenos Aires, Argentina


"Las compañías temen más al colapso de sus sistemas de Tecnología de la Información o TI que al terrorismo, los desastres naturales, riesgos financieros y las limitaciones legislativas "

Sin embargo, de acuerdo con el reporte elaborado por la Unidad de Inteligencia de la publicación The Economist titulado Coming to grips with IT risk o Asimilando los riesgos de la Tecnología de la Información, basado en una encuesta realizada a 145 altos ejecutivos de empresas alrededor del mundo, la mayoría de dichas compañías no administra efectivamente los riesgos asociados con la TI.

El estudio en cuestión, patrocinado por SAP, líder mundial en el suministro de software de negocios, revela que sólo 13% de los encuestados cuenta con una estructura integral de administración de riesgos de TI debidamente establecida en sus respectivas compañías. Aunque consideran que los altos directivos de sus organizaciones están conscientes de los riesgos financieros asociados al fracaso de los sistemas de TI, tan sólo 11% de los entrevistados describe el manejo dado por su compañía a los riesgos de TI como “altamente efectivo”. Esto, a pesar de que 27% de los participantes cita el fracaso de los sistemas de TI como el mayor riesgo de negocios que debe afrontar, superando por seis puntos porcentuales al segundo mayor riesgo afrontado por los ejecutivos que participan en el estudio. Las violaciones a la seguridad de la información representan la principal amenaza para el 22% de los encuestados.

Los complejos sistemas de TI conectan todas las partes de la organización, expandiendo considerablemente el alcance de las fallas potenciales. A pesar de ello “un número considerable de altos directivos aún percibe los riesgos asociados a la tecnología de la información como algo inherente exclusivamente a la seguridad”, afirmó Rama Ramaswami, miembro de la Unidad de Inteligencia de The Economist y editor del reporte en cuestión.

Dicha perspectiva es demasiado obtusa. Los riesgos asociados a la TI deberían abarcar todos los daños posibles en el rango completo de actividades asociadas a este tipo de tecnología, incluyendo todos los aspectos inherentes a la continuidad de los negocios, al impacto de las demoras ocurridas en los proyectos de TI y a la manera en que los fracasos en el área de TI afectan el servicio al cliente, la generación de ingresos y la productividad”.

Fuente: SAP

Reporte Completo:
http://www.eiu.com/site_info.asp?info_name=eiu_SAP_Coming_to_grips_with_IT_risk&rf=0

Seguridad en Mac OS X

Links relacionados:

- Web oficial de seguridad de Mac OS
http://www.apple.com/es/macosx/features/security/

- Foro de Noticias de Overclocking, Seguridad, Virus, Network, herrameitas de OS X
http://hackintosh.org/

- SecureMac.com es un sitio dedicado a la seguridad de Macintosh
http://www.securemac.com/about.php

- Mac OS X, 100 bugs parcheados en 2007: ¿Aún más seguro que Windows?
http://www.kriptopolis.org/macosx-100-bugs-en-2007

- Mac OS X Server Security Configuration Guide
http://pdf.euro.apple.com/pdf/pn=Tiger_Server_Security_Config/Tiger_Server_Security_Config.pdf

- Mac OS X Security Configuration Guide
http://pdf.euro.apple.com/pdf/pn=Tiger_Security_Config/Tiger_Security_Config.pdf

- Mac OS X Hacking Tools
http://www.kernelthread.com/mac/osx/tools.html

SABOTAJE INTERNO: UNA DE LAS PRINCIPALES CAUSAS DE PÉRDIDA DE INFORMACIÓN

"80 por ciento de los fraudes son cometidos por el personal en las empresas"
"Nueve de cada diez compañías presentan irregularidades vinculadas con el robo, fraude o abuso de confianza"

Uno de los delitos más comunes en las empresas es el sabotaje interno, conocido como el daño que alguien del personal hace intencionadamente a una empresa para beneficiar intereses particulares. Ninguna compañía en la actualidad se encuentra exenta de sufrir un ataque ya sea cibernético o físico.

La consultora Ernst & Young, realizó el año pasado una encuesta a 500 empresas (60 por ciento mexicanas y 40 por ciento internacionales) y encontró que más del 90 por ciento aceptaron haber sufrido o estar sufriendo algún tipo de fraude, pero sin conocer los detalles, como quién cometió el ilícito. Generalmente, las empresas no investigan a fondo y casi siempre desconocen quién, cómo y cuándo se cometió, y a cuánto ascendió la estafa.

El estudio también arrojó que el 80 por ciento de los fraudes son cometidos por empleados internos pues conocen íntimamente la forma de operar de la empresa y cuáles son las lagunas de los sistemas de control que pueden ser burladas.


No sólo los desastres naturales están relacionados a la pérdida de información, ésta puede ser causada por diversos factores, internos o
externos: errores humanos, mala organización, falta de protección, fallas en las medidas de seguridad y sabotaje. Lo anterior significa que la pérdida de información es un riesgo latente con el que las empresas deben lidiar día tras día, pues independientemente de su origen, las consecuencias pueden ser dramáticas y perjudicar gravemente la continuidad o supervivencia del negocio afectado.

Articulo completo

Por: Andrea Ramírez Riestra
- 20-07-2007

En Córdoba existen 11 empresas con certificación CMMI



CMMI - Córdoba - Argentina

Software local, calidad Mundial

Por fuera parecen una empresa tecnológica más. Salvo por el certificado que cuelga de la pared de la oficina central que acredita que la calidad de software que produce tiene una madurez de nivel internacional.

En Córdoba existen 11 empresas con certificación CMMI (siglas en inglés del Modelo de Maduración de Capacidades integradas), que otorga el Instituto de Ingeniería de Software (SEI, por su siglas en inglés) de la Universidad Carneguie Mellon. A principios de agosto serán 12 las Pyme locales con sello de calidad internacional, además del centro de software de Motorola, lo que convierte a la provincia en el mayor conglomerado de empresas con este sello de calidad en el país y uno de los más importantes de Latinoamérica.

La certificación tiene cinco niveles, que varía de uno a cinco, según el grado de madurez alcanzado por la empresa. En Córdoba, hay 10 Pyme con nivel dos, una con nivel tres, otra con nivel cuatro y Motorola, que alcanzó el máximo nivel de maduración en mayo último.

"Este conglomerado es inédito en el país y posiciona a Córdoba en el mapa mundial de calidad de software, además que nivela hacia arriba al sector", señala Daniel Lempert, vicepresidente del Cluster Córdoba Technology y cuya empresa acaba de certificar CMMI nivel dos.

La firma Vates, que conduce el empresario Mario Barra, fue la pionera en poner el sello de calidad a sus desarrollos. En 2004 certificó CMM nivel dos y en agosto obtendrá el nivel cinco en CMMI. "Esto nos convierte en la primera empresa nacional de capitales argentinos en tener este nivel de calidad", indica Rosana Bonnet, gerente de calidad de la empresa.

De las 12 Pyme que lograron su certificación, la Agencia para el Desarrollo Económico de Córdoba (Adec), a través del Programa Cadenas Productivas, financiado por el BID, aportó la mitad de los costos de implementación y consultoría de siete, es decir, alrededor de 20 mil pesos por empresa.

Además, a las 12 empresas le financió la mitad de los costos de la certificación, lo que significó un aporte de 4.250 dólares por empresa, según precisó Martín Dellavedova, coordinador de la cadena productiva Informática y Electrónica, del programa de la Adec. "Hoy, el programa está llegando a su fin y el objetivo fue apoyar la certificación de, al menos, 10 empresas, con lo cual, vemos superadas las expectativas", afirmó el especialista.

Además de la "cartulina" y la carta de presentación que implica tener una certificación mundial en calidad de software, las empresas aseguran que la metodología CMMI contribuyó a la mejora continua de los procesos internos, de los productos y, consecuentemente, en bajar los costos. "Esto nos permite una mejora en la competitividad, ya que nos hace más predecibles", señala Bonnet.

En el caso de SEA Consulting, empresa que recientemente certificó CMMI nivel dos, este nuevo "formato" de calidad les "permitirá incrementar los clientes, tanto dentro como fuera del país", al tiempo que los posiciona frente a la firma SAP, de la que son representantes, según anticipa Martín Jaimez, uno de los directivos de la empresa que planea un crecimiento sostenido a partir de este nuevo escenario.

Para Daniel Lempert, que hace 10 días también recibió la acreditación en nivel dos y el próximo mes inicia la cuenta regresiva para subir un nivel, este estándar de calidad "abre un sinnúmero de posibilidades. Garantiza la calidad de procesos y de productos, al tiempo que muchas licitaciones del Estado están pidiendo este tipo de normas".

Daniel Horovitz, director de la consultora Horovitz Kravetz y Asociados, que tiene fecha el 3 de agosto para certificar y tener CMMI 2, está convencido que le permitirá "lograr mayor trascendencia en el mercado internacional", potenciando sus acciones".

Fuente: Diario La Voz del Interior.

jueves, 5 de julio de 2007

Seguridad Física

Videos:

Educational Comedy for physical IT security