miércoles, 30 de abril de 2008

Confirman que usar Internet en el trabajo no es causal de despido (Argentina)

UN NUEVO FALLO DE LA CAMARA LABORAL PORTEÑA RATIFICA LA TENDENCIA Confirman que usar Internet en el trabajo no es causal de despido

Una textil echó a un empleado porque utilizaba con fines personales una computadora durante su horario laboral. Ahora, la Justicia dijo que la sanción tendría que haber sido menos grave. Y deberán indemnizarlo.

"DESPROPORCIONADA". ASI, DIJO LA JUSTICIA, FUE LA SANCION PARA EL EMPLEADO ECHADO POR USAR INTERNET.

Navegaba en una computadora que no era la suya, con fines personales. Así fue descubierto y en la empresa donde trabajaba lo echaron al considerar que esa actitud era causal suficiente de despido. Un juez de primera instancia y ahora la Cámara Laboral porteña juzgaron que si bien el empleado era pasible de una sanción, esta tenía que ser "de menor gravedad". Y ordenó que lo indemnizaran.

Ocurrió en la empresa Nomar Textil S.A, cuya marca es Millaner, con casa central en Thames y Nicaragua. En el fallo, del 28 de marzo, le tocó a la doctora María García Margalejo, integrante de la Sala V de la cámara, fundamentar su decisión. Lo hizo así: "El despido obedeció a que fue sorprendido el actor en horario de trabajo, al mediodía, utilizando una de las computadoras personales de la empresa extraña a su lugar de trabajo, para navegar por Internet en páginas de ocio y no vinculadas con su labor".

La jueza ponderó que el trabajador, Pablo Marcelo Fernández, estaba "advertido de que no estaba autorizado al uso del equipo de computación" y también juzgó que "falseó la realidad en su respuesta al ser interrogado por el Sr. Millaner sobre la tarea que estaba desarrollando lo cual implicó, al entender de la empleadora, un uso indebido de los recursos de la empresa y un derroche de su tiempo de trabajo, configurando ello injuria grave".

Según quedó acreditado, "el trabajador reconoció haber ingresado a la oficina en donde se encontraba la computadora, aunque también dijo haber manifestado las debidas disculpas (...) sin embargo desconoció que el episodio hubiere tenido lugar en su horario de labor, invocando que ocurrió dentro de su pausa de almuerzo".

A pesar de este reconocimiento, la Justicia en primera instancia no consideró probado que haya usado Internet, pero "tampoco se acreditó algún perjuicio en detrimento de la demandada". El abogado de la empresa, Marcelo Hamra, dijo a Clarín: "No es una PC: es una computadora que se usa para colocar moldes. Sabemos lo que pasa con los modelos de diseño, su potencial de robo. No es que este empleado lo haya hecho, pero tampoco se puede esperar a que se compruebe".

La Justicia consideró que como Fernández no tenía antecedentes disciplinarios, la decisión de despedirlo "aparece como notoriamente desproporcionada". Sugirió que podrían haberlo suspendido "con pérdida de jornales".

A la camarista no le interesó tanto si está probado que navegó o si conocía que no debía utilizar las computadoras destinadas a la producción, ni siquiera si lo hizo en su horario de almuerzo. "No considero que la falta en la que incurrió el trabajador constituya un hecho de tal gravedad que resulte por sí solo impeditivo de preservar la relación laboral", dijo. Lo que importa, agregó, es que no la usó para sacar información de la empresa y no tenía antecedentes disciplinarios. Que no era un mal empleado, en otras palabras. "La falta si bien existió, era susceptible de ser proporcionadamente castigada con una sanción de menor gravedad".

En el último tiempo, la Justicia comenzó a fallar, en estos temas, a favor del empleado. Esta sentencia se suma a otra jurisprudencia (ver Antecedentes) y se puede hablar de tendencia."Si la empresa tiene una política de uso de los medios electrónicos y el empleado no las cumple, puede ser despedido con causa, por supuesto, luego de apercibimientos y sanciones -aporta el abogado Daniel Monastersky, especialista en derecho informático-. Ahora, si no tiene política, todo despido estará injustificado".


Antecedentes
En marzo de 2006 se conoció una decisión de la Sala IV de la Cámara Laboral porteña: chatear por el Messenger en horario laboral no puede ser causa de despido mientras no sea "abusivo". Un poco antes, la misma sala había fallado sobre un hecho ocurrido en 2000, cuando una empresa echó a un empleado por usar el correo electrónico que le proveía "para su actividad particular". En ambos casos se advirtió que las empresas nunca señalaron "cuál es el procedimiento que debió observar el actor en el cumplimientos de sus funciones específicas".

Debates y premisas
Esteban Christensen
Hoy, el acceso a Internet y el uso del e-mail es una de las principales vías de comunicación con la que contamos para relacionarnos con el mundo y, asimismo, para cumplir con nuestras tareas laborales. El problema que a diario debe enfrentar un empleador tiene que ver con el uso abusivo o indebido que el trabajador haga de esa herramienta.Aquí surgen dos debates. Uno: hasta dónde se invade la privacidad si la empresa revisa qué hizo el empleado en la PC del trabajo. Dos: cuál es el tiempo razonable en el que un empleado puede navegar por la red en horario laboral.
Las premisas básicas son también dos: las empresas deben comunicar a los empleados los límites con que les otorgan el acceso al e-mail y a Internet. Y el trabajador debe tener presente esas limitaciones como así también la posibilidad de revisión que podría hacer el empleador.

RFC 3126 Formatos de firma electrónica para firmas logevas

El blog Todo es electrónico publico ayer el siguiente post relacionado con las firmas electrónicas.

Sabeis que llevo algún tiempo promocionando la adopción del formato de firma ES-XL descrito en los estándares TS 101 733 y TS 101 903, porque si esta variante de firma se emplea desde el lado del firmante, se libera al receptor que confía en la firma, del problema de la validación (lo que es un verdadero reto en un contexto europeo de más de 100 prestadores de servicios de certificación).
Estos desarrollos normativos de ETSI se han visto reflejados en la norma del epígrafe
RFC3126Electronic Signature Formats for long term electronic signatures” en el cuerpo de normas de IETF.

El formato se considera una extensión de las normas
RFC 2630 y RFC 2634 sobre las que se han definido nuevos campos de atributos de la firma firmados y no firmados.
An Electronic Signature (ES) , with the additional validation data forming the ES-X long:


PCI SSC emite una nueva norma para la seguridad en las aplicaciones de pago electrónico

El PCI Security Standards Council, el organismo global de normas abiertas que suministra gestión de la norma para la seguridad de la información en la Industria de Pagos con Tarjeta (PCI DSS), requisitos de seguridad para los dispositivos de entrada de PIN (PED), y aplicaciones de pago (PA-DSS), anunció la presentación de la versión 1.1 de la Norma de Seguridad de la Información para las Aplicaciones de Pago (PA-DSS, Payment Application Data Security Standard).

Muchos comerciantes y minoristas confían el proceso a terceros proveedores de software, para que se ocupen de las aplicaciones que ejecutan el procesamiento del pago", declaró J. Joseph Finizio, director ejecutivo de la Asociación de Proveedores de Soluciones Minoristas estadounidense. "Gracias a que el Consejo se ocupará de la gestión de una lista de aplicaciones de pago homologadas, reconocida a nivel global, todos los comerciantes, sin importar el tamaño de su empresa, podrán seleccionar las aplicaciones de pago homologadas y aceptadas por las marcas de pago más importantes, asegurando así que la información del usuario de tarjetas de pago seguirá protegida".

Noticia completa en Finantialtech.

Enlace relacionado en PCISecuritystandards.

Visto en www.iso27000.es

ESET SysInspector

En un post pasado presentamos esta herramienta, en la actualidad la misma cuenta con las siguientes características:
  • Ability to generate and save a detailed log to be used by an IT expert or uploaded to an online forum for diagnosis.
  • Option to exclude private, personal information from being saved in logs.
  • Integrated Anti-Stealth technology allows discovering hidden objects (e.g. rootkits) in MBR, registry entries, drivers, services and processes.
  • Ability to compare two existing logs for differences makes it easy to detect changes over time.
  • Log entries are assigned a color code risk level for easy filtering.
  • Intuitive hierarchical navigation of logs.
  • Fast and compact single file executable, ideal for first responders to run from a USB drive without lengthy installation.

    Download - Windows:
    ESET SysInspector 32-bit, version 1.1.1.0 Download
    ESET SysInspector 64-bit, version 1.1.1.0 Download

Argentina: Avanza el proyecto de ley de delitos informáticos

Avanza el proyecto de ley de delitos informáticos

En 22/4/2008 se llevó a cabo reunión conjunta entre las comisiones de Comunicaciones e Informática y de Legislación Penal, de la Cámara de Diputados de la Nación. Se analizo el proyecto de delitos informáticos con media sanción del Senado y se decidió aprobarlo.

En concreto el proyecto penaliza la pedofilia a través de Internet, la violación a la privacidad en sus mas diversas formas, la interceptación de correo electrónico, el daño informático, la estafa informática, la fabricación y distribución de virus, la interrupción de comunicaciones (incluyendo los ataques tipo DoS), la alteración de pruebas en soportes informáticos y las falsedades digitales. Es mas que esperado teniendo en cuenta que el código penal data de 1921!!!!

Aquí encontrarán un breve informe del autor de este post sobre el proyecto (PDF), que es válido para la versión final de la ley porque ésta no tendrá cambios aparentemente. A fines de mayo entonces habrá ley de delitos informáticos en la República Argentina. Vaya un agradecimiento para los numerosos congresistas, sus asesores, expertos, académicos, penalistas, empresas, y organizaciones que apoyaron el proyecto y su trámite.

Situación actual de la serie 27000

La semana pasada tuvo lugar en Kyoto una reunión del Subcomité 27 de ISO para seguir avanzando en la elaboración de estandares de la serie 27000. En concreto el listado actual de normas que se encuentran en desarrollo y finalizadas son:
  • ISO/IEC 27000 - proporcionará una vista general del marco normativo y un vocabulario utilizado por las normas de la serie.
  • ISO/IEC 27001:2005 - Especificaciones para la creación de un sistema de gestión de la seguridad de la información (SGSI). Publicada en 2005.
  • ISO/IEC 27002:2005 - Código de buenas prácticas para la gestión de la seguridad de la información describe el conjunto de objetivos de control y controles a utilizar en la construcción de un SGSI (actualizada desde la ISO/IEC 17799:2005 y renombrada en el 2007 como ISO 27002:2005). Publicada en 2005 y renombrada en 2007.
  • ISO/IEC 27003 will proporcionará una guía de implantación de la norma ISO/IEC 27001.
  • ISO/IEC 27004 describirá los criterios de medición y gestión para lograr la mejora continua y la eficacia de los SGSI.
  • ISO/IEC 27005 proporcionará criterios generales para la realización de análisis y gestión de riesgos en materia de seguridad. Se espera su publicación en breve a lo largo del año.
  • ISO/IEC 27006:2007 es una guía para el proceso de acreditación de las entidades de certificación de los SGSI. Publicada en 2007.
  • ISO/IEC 27007 será una guía para auditar SGSI.
  • ISO/IEC TR 27008 proporcionará una guía para auditar los controles de seguridad de la norma ISO 27002:2005.
  • ISO/IEC 27010 proporcionará una guía específica para el sector de las comunicaciones y sistemas de interconexión de redes de industrias y Administraciones, a través de un conjunto de normas más detalladas que comenzarán a partir de la ISO/IEC 27011.
  • ISO/IEC 27011 será una guía para la gestión de la seguridad en telecomunicaciones (conocida también como X.1051)
  • ISO/IEC 27031 estará centrada en la continuidad de negocio.
  • ISO/IEC 27032 será una guía para la cyberseguridad.
  • ISO/IEC 27033 sustituirá a la ISO/IEC 18028, norma sobre la seguridad en redes de comunicaciones.
  • ISO/IEC 27034 proporcionará guías para la seguridad en el desarrollo de aplicaciones.
  • ISO/IEC 27799 no será estrictamente una parte de la serie ISO 27000 aunque proporcionará una guía para el desarrollo de SGSI para el sector específico de la salud.

Via Javier Cao Avellaneda, blog Sistemas de Gestión Seguridad de la Información

martes, 29 de abril de 2008

HP aplica a la seguridad su tecnología de impresión

Con los gobiernos de Estados Unidos y Europa queriendo aumentar la seguridad de las fronteras con pasaportes basados en RFID, Hewlett Packard propone una tecnología que ayuda a reforzar este tipo de documentos y evita falsificaciones por parte de criminales y terroristas.

viernes, 25 de abril de 2008

Evento: Gestión de la Identidad en la Era Digital (Buenos Aires)



Buenos Aires, 6 de mayo de 2008

Los participantes de esta jornada podrán profundizar su conocimiento para evaluar los riesgos de manipulación o robo de identidad en su sector industrial. Podrán analizar qué prácticas y soluciones se están estableciendo en distintos mercados para resolver los delitos, conocer las herramientas más efectivas y detectar en forma proactiva los riesgos potenciales.


TEMAS:
- Cómo se preparan las empresas para prevenir los delitos sobre la identidad de sus clientes, sus directivos y sus empleados.
- Cuánto invierten y deberán invertir.
- Cómo tipificar un delito que no está penalmente definido.
- Cuáles son los sectores más afectados y cuáles los más desprotegidos.
- Cómo proteger los datos corporativos y personales del fraude informático.
- Casos de robo de identidad, phishing y de proyectos exitosos de protección.
- Cuáles son los procedimientos y las herramientas más efectivas para evitar las consecuencias más desagradables.
- Ingeniería social: establecimiento de normas, procedimientos y verificación sistemática para prevenir el robo de identidad.

Sede: Instituto Universitario de la Policía Federal Argentina
Informe e inscripción: info@dixitcomunicaciones.com.ar

La Cámara de Comercio de Mallorca explica la importancia de proteger la información ante riesgos de destrucción y sabotajes

Aplicar sistemas para garantizar la seguridad de la información resulta cada vez más esencial para las empresas

La Cámara de Comercio de Mallorca explica a empresarios la importancia de proteger la información ante riesgos de destrucción y sabotajes.

Palma (ABN).- La información, uno de los principales activos de las organizaciones, requiere de sistemas de protección adecuados ante cualquier amenaza; riesgos físicos, como incendios, inundaciones, sabotajes, vandalismos, accesos indebidos e indeseados, y riesgos lógicos, como el fraude informático, el espionaje, daños por virus informáticos, ataques de intrusión o denegación de servicios.
Por ello, aplicar sistemas para garantizar la seguridad de la información resulta cada vez más esencial para las empresas. La Cámara de Comercio de Mallorca organiza una jornada gratuita para explicar los beneficios de la gestión de una buena política de protección de datos que impida la pérdida de confidencialidad, integridad y disponibilidad de la información.

La jornada, que será inaugurada por el presidente de la Comisión de Innovación de la Cámara de Comercio de Mallorca, Gregorio Bibiloni, y por el director de la empresa Start Up, Luis Gómez, analizará las fases para la aplicación de una política de seguridad (recogida en la NORMA ISO 27001), que incluyen el inventario de activos, el análisis de riesgos, la selección e implantación de controles, la formación del personal encargado y la evaluación de resultados.

Participarán como ponentes el responsable de la División de Desarrollo Estratégico y Corporativo de AENOR España, Carlos Manuel Fernández, y la jefa de Proyectos de Start Up, Ana Andrés. Las sesiones tendrán lugar el próximo lunes, 28 de abril, a partir de las 18.30, en la Cámara de Comercio de Mallorca.

Entrada libre, previa confirmación de asistencia.

Hackers atacan la Web de CNN

La web de la CNN está siendo atacada desde el 17/Abril mediante un ataque de denegación de servicio (DDoS), un grupo de hackers chinos (llamados los Revenge of the Flame) son los responsables de estos ataques y prometen que este sábado lanzarán otro ataque aún más fuerte.

Mas información...

¿Qué debes hacer si han hackeado tu sitio web?

Por: Rebecca Steelman y Alvar López de Pedro, Equipo de calidad de búsqueda

Bueno, han hackeado tu sitio. Esto le sucede a muchos webmasters, incluso a pesar de todo el trabajo dedicado a evitar que este tipo de cosas ocurra. Evitarlo incluye mantener tu sitio actualizado con los últimos parches y software; crear una cuenta de Herramientas para webmasters de Google para ver qué contenido se ha indexado y vigilar tus archivos de registro para asegurarse de que no sucede nada sospechoso, etc. Hay más información en un texto que publicamos el año pasado, "Quick Security Checklist" en inglés.
Recuerda que no estás solo: Los sitios hackeados son cada vez más comunes. Si tu sitio ha sido hackeado puede que se vea infectado con software malicioso. Echa un vistazo al informe que ha publicado la ONG StopBadware.org sobre tendencias de badware en 2007 (Trends in Badware 2007, texto en inglés) para obtener un análisis exhaustivo de las amenazas y las tendencias del año pasado. Lee este post en el blog sobre seguridad en línea de Google que destaca el aumento del número de resultados de búsqueda que contienen alguna URL clasificada como maliciosa. Para informes técnicos más detallados sobre el análisis del malware en la web, consulta el documento The Ghost in the Browser (pdf) y este informe técnico (pdf en inglés) acerca de descargas involuntarias. Léelos y tendrás una mejor idea del problema. Éstos también incluyen algunos ejemplos reales de diferentes tipos de malware.

En cualquier caso, el primer paso debe ser contactar al proveedor de alojamiento web, si dispones de uno. A menudo ellos pueden hacerse cargo de los aspectos más técnicos. Muchos webmasters utilizan alojamiento compartido, que puede dificultar algunas de las cosas enumeradas a continuación. Los consejos marcados con un asterisco (*) son casos en los que los webmasters que utilizan alojamiento compartido probablemente necesitarán ayuda de su proveedor de alojamiento. En caso de que tengas control absoluto del servidor, recomendamos cubrir estos cuatro puntos básicos:

Sitio temporalmente fuera de servicio
*Pon el sitio fuera de servicio temporalmente, al menos hasta que sepas que has arreglado las cosas.
*Si no puedes ponerlo fuera de servicio temporalmente, haz que devuelva un código de estado 503 para evitar que se indexe.
*En las Herramientas para webmasters, utiliza la herramienta de solicitud de eliminación de URL para eliminar cualquier página hackeada o URL de los resultados de búsqueda que se hayan podido añadir. Esto evitará que se muestren páginas hackeadas a los usuarios.

Evaluación de los daños
* Es una buena idea saber qué buscaba el hacker.o ¿Buscaba información delicada? o ¿Quería hacerse con el control del sitio con otros propósitos?
* Busca cualquier archivo que se haya cargado o modificado en tu servidor web.
* Busca cualquier actividad sospechosa en los registros de tu servidor, como por ejemplo, intentos fallidos de inicio de sesión, historial de comandos (especialmente como raíz), cuentas de usuario desconocidas, etc.
* Determina el alcance del problema. ¿Tienes otros sitios que también puedan verse afectados?

Recuperación
* Lo mejor que puedes hacer aquí es una reinstalación completa del sistema operativo, realizada desde una fuente de confianza. Es la única manera de estar totalmente seguros de que se ha eliminado todo lo que el hacker haya podido hacer.
* Tras la reinstalación, utiliza la última copia de seguridad para recuperar tu sitio. Asegúrate de que la copia de seguridad esté limpia y libre de contenido hackeado.
* Instala las últimas versiones de parches de software. Esto incluye cosas como por ejemplo plataformas de weblogs, sistemas de gestión de contenido o cualquier otro tipo de software de terceros instalado.
* Cambia las contraseñas.

Recuperación de la presencia en línea
* Vuelve a poner tu sitio en línea.
* Si eres un usuario de las Herramientas para webmasters, inicia sesión en tu cuenta.
o Si tu sitio se ha marcado como malware, solicita una revisión para determinar si está limpio.
o Si has utilizado la herramienta de solicitud de eliminación de URL para URL que deseas tener indexadas, solicita que se reincluya tu contenido revocando la solicitud de eliminación.

Vigílalo todo, ya que el hacker podría querer volver.


Respuestas a otras preguntas que puede que te hagas:
P: ¿Es mejor tener mi sitio temporalmente fuera de servicio o usar robots.txt para evitar que se indexe? R: Ponerlo temporalmente fuera de servicio es la mejor manera de hacerlo. Esto evita que se muestre malware o badware a los usuarios y evita que los hackers sigan abusando del sistema.

P: Una vez que haya solucionado esto, ¿cuál es la manera más rápida de volver a ser indexado?R: La mejor manera, independientemente de si el sitio fue hackeado o no, es seguir las Directrices para webmasters, disponibles en el Centro de asistencia para webmasters.

P: He limpiado mi sitio pero, ¿a pesar de esto me penalizará Google si el hacker enlazó a malos vecindarios? R: Intentaremos que esto no suceda. Nos aseguramos siempre de que no se penalicen sitios buenos por acciones de hackers y spammers. Para estar seguros, elimina completamente cualquier enlace que los hackers hayan podido añadido.

P: ¿Qué pasa si esto ocurrió en mi computadora personal? R: Todo lo de arriba sigue siendo aplicable. Pon especial atención a limpiarlo todo. De lo contrario, es probable que vuelva a ocurrir lo mismo. Lo ideal es una reinstalación completa del sistema operativo.


Recursos adicionales que puedes encontrar útiles:
* Si Google ha marcado tu sitio como malware, te avisaremos cuando visites las Herramientas para webmasters
* No te olvides del Grupo de asistencia para webmasters de Google. Está lleno de usuarios expertos, y también de Googlers. Para ver un buen ejemplo sobre el tema, lee este mensaje. También está el grupo de Stop Badware.
* Matt Cutts escribió en su blog consejos para proteger tu instalación de Wordpress ("Three tips to protect your WordPress installation", texto en inglés), y también tiene comentarios muy buenos.

miércoles, 23 de abril de 2008

Open Source Computer Emergency Response Team (oCERT)


OCERT es un proyecto de esfuerzo público que apoya a proyectos de código abierto afectados por incidentes o vulnerabilidades de seguridad, al igual que los CERT nacionales que ofrecen servicios para sus respectivos países. (Por ejemplo ArCERT de Argentina)
La misión que tiene es ayudar tanto a grandes infraestructuras como a proyectos más pequeños que no pueden permitirse un verdadero equipo de seguridad y/o recursos de seguridad.

El equipo oCERT es un voluntario basado en la fuerza de conocidos profesionales de la seguridad de importantes proyectos de código abierto, Vendors y la comunidad de seguridad:
  • The Team
    Andrea Barisani, Founder & Project Coordinator, Inverse Path
    Will Drewry, Google Security Team
    Rob Holland, Inverse Path
    Marcel Holtmann, Intel
    Tavis Ormandy, Google Security Team
    Advisory Board
    Solar Designer, Openwall
    Dragos Ruiu, SecWest

  • Registered public members
    Annvix
    Annodex
    CiviCRM
    ClamavTM
    Foresight
    Gentoo Linux
    Mandriva
    Nginx
    Nmap
    OpenBSD
    OpenSSH
    openSUSE
    Openwall
    Open Source Lab
    PERMIS
    ReactOS
    SNORT©
    SUSE Linux
    Wind River
    Xine
Web del proyecto: http://www.ocert.org/

Herramienta de Auditoria de los principales dispositivos de red: Nipper 0.11.6 Released


Como complemento a post "Mejores herramientas de auditoría y seguridad del 2007", les presentamos en más detalle una herramienta referenciada en dicha publicación:

Nipper permite a los administradores de red y profesionales de la seguridad a elaborar informes con rapidez sobre los principales dispositivos de infraestructura de red.

El reporte puede incluir una detallada auditoría de la seguridad de la configuración de dispositivos, la salida es personalizable (HTML, XML, text, etc).

Ficha
Homepage: sourceforge.net/projects/nipper
Began life in May 2006
Programming Language: C
Environment: Console (Text Based)
Intended Audience: System Administrators
License: The latest version of Nipper is covered by the GPL v3 license with the two exceptions highlighted below.
Operating System: OS Independent
Version 2008-04-09: Nipper 0.11.6 Released
Nipper currently supports the following devices:
Nipper soporta una amplia variedad de dispositivos de diferentes fabricantes como Cisco, Nokia, Juniper, Nortel y CheckPoint.

  • Cisco Switches (IOS)
  • Cisco Routers (IOS)
  • Cisco Firewalls (PIX, ASA, FWSM)
  • Cisco Catalysts (NMP, CatOS, IOS)
  • Cisco Content Service Switches (CSS)
  • Juniper NetScreen Firewalls (ScreenOS)
  • CheckPoint Firewall-1 (FW1)
  • Nokia IP Firewalls (FW1)
  • Nortel Passport Devices
  • Bay Networks Accelar Switches
  • SonicWALL SonicOS Firewalls (SonicOS)

Official Nipper downloads are provided for the following platforms:

  • Microsoft Windows (NT/2000/XP). 32-bit Binary Package. Platform Independent Source Code.
  • Linux And UNIX Systems. Platform Independent Source Code.
  • Apple Mac OS-X. Platform Independent Source Code

Several mainstream Linux distributions also provide pre-built and source-based packages for Nipper. For Linux end-users, it is worth querying your distributions package management system before downloading the official release package.

Download

Ejemplo de aplicación y Reporte

Disponible Windows XP SP3 para fabricantes de equipo

Tal y como ya se había informado, el día de ayer se publicó para fabricantes de equipo el Service Pack 3 para Windows XP, el esperado paquete de actualizaciones que incluye todas las actualizaciones para Windows XP publicadas desde la salida del Service Pack 2, y otras numerosas correcciones y mejoras de rendimiento como se ha comentado.

De acuerdo con las fechas del lanzamiento, el próximo 29 de Abril estará disponible para todos los usuarios la descarga del Windows XP SP3. Posteriormente será hasta el 10 Junio cuando pase a ser una actualización automática de Windows Update.

Como siempre pasa cuando se distribuye primero una versión para fabricantes de equipo, en sitios Web y redes P2P comienzan a circular estas posibles versiones. Este caso no ha sido la excepción, pero es recomendable no descargar ninguna supuesta versión de sitios no confiables y esperar hasta el 29 de Abril cuando Microsoft publique oficialmente el SP3 de Windows XP.

martes, 22 de abril de 2008

Insecure Mag 16

Se publico el ultimo numero de la revista digital de libre descarga Insecuremag (para descargar el numero hacer click en la imagen).

Temario del numero:

  • Security policy considerations for virtual worlds
  • US political elections and cybercrime
  • Using packet analysis for network troubleshooting
  • The effectiveness of industry certifications
  • Is your data safe? Secure your web apps
  • RSA Conference 2008 / Black Hat 2008 Europe
  • Windows log forensics: did you cover your tracks?
  • Traditional vs. non-tranditional database auditing
  • Payment card data: know your defense options
  • Security risks for mobile computing on public WLANs: hotspot registration
  • Network event analysis with Net/FSE
  • Producing secure software with security enhanced software development processes
  • AND MORE!

Metagoofil v1.4a released


El pasado 20 de Abril se publico una nueva version de la herramienta Metagoofil.

This new version extracts MAC address from Microsoft Office documents. Now you can have an idea of what kind of hardware they are using.
All this information should not be available on the net, but most of the companies doesn't have policies about information leaking... and most of them don't know this information exists. So you can show them what information an attacker can obtain, with this simple technique
.

Downloads
MetaGooFil 1.4a - TAR (20/04/2008)

Responsables de Microsoft han prometido no tomar represalias contra los ‘hackers éticos’

Responsables de Microsoft han prometido no tomar represalias contra los ‘hackers éticos’ que encuentren fallos de seguridad en su sitio web, algo que muchas otras empresas se toman con un talante muy distinto.
Es un movimiento importante a la hora de revelar información sobre la seguridad de sitios web de todo el mundo. Las conferencias de seguridad ToorCon que se están celebrando en Seattle están sirviendo para dar más libertad de movimiento a los expertos en seguridad que investigan vulnerabilidades en todo tipo de servicios web.

Normalmente dichos investigadores - considerados como ‘hackers éticos’ - pueden meterse en un problema muy grave si tratan de reproducir esos errores en los servicios ‘reales’, y deben probarlos en pequeños prototipos en servidores propios.

Sin embargo, Microsoft ha afirmado que aquellos descubrimientos en materia de seguridad que se encuentren respecto a sus servicios deben ser comunicados sin miedo por parte de sus responsables, ya que no habrá posibles demandas o represalias legales por publicar información sensible.

Una de las responsables de seguridad de Microsoft confirmó dichas intenciones en una de las conferencias del evento: “No odiemos al descubridor de la vulnerabilidad. Odiemos a la vulnerabilidad. No queremos para nada desanimar a gente que está tratando de ayudarnos haciendo que se sientan en peligro porque vayamos a ir a por ello [si descubren algo]”.
The Register

Via theinquirer.es

lunes, 21 de abril de 2008

Google Hacking Tool Taller

Download File

Malware Threat Center (daily updates)

SRI International, an independent nonprofit research and development organization, today announced the launch of the Malware Threat Center, a website dedicated to fighting malware.

SRI's Malware Threat Center posts daily updates of firewall filters, malware-related domain name system (DNS) names, antivirus statistics, intrusion detection system (IDS) signatures, and malware binary data to help network administrators understand current and emerging computer security threats and provide key network defense information that can be configured into security products to help network administrators fend off the latest malware threats.

The Malware Threat Center (MTR) is a community service Internet site that is built using data produced from the Cyber-TA Honeynet Project (www.cyber-ta.org/Honeynet).


Data Analysis:

viernes, 18 de abril de 2008

Paper: VMware Infrastructure 3 Security Hardening

This paper provides recommendations for steps you can take to ensure that your VMware Infrastructure 3 environment is properly secured. It also explains in detail the security-related configuration options of the components of VMware Infrastructure 3 and the consequences for security of enabling certain capabilities.

By introducing a layer of abstraction between the physical hardware and virtualized systems running IT services, virtualization technology provides a powerful means to deliver cost savings via server consolidation as well as increased operational efficiency and flexibility. However, the added functionality introduces a virtualization layer that itself becomes a potential avenue of attack for the virtual services being hosted. Because a single host system can house multiple virtual machines, the security of that host becomes even more important.
Because it is based on a light-weight, kernel optimized for virtualization, VMware ESX Server is less susceptible to viruses and other problems that affect general-purpose operating systems.
However, ESX Server is not impervious to attack, and you should take proper measures to harden it, as well as the VMware VirtualCenter management server, against malicious activity or unintended damage. This paper provides recommendations for steps you can take to ensure that your VMware Infrastructure 3 environment is properly secured.
The paper is divided into sections based upon the components of VMware Infrastructure 3:
  • Virtual Machines
  • Service Console
  • ESX Server Host
  • VirtualCenter

The paper also explains in detail the security-related configuration options of the components of VMware Infrastructure 3 and the consequences for security of enabling certain capabilities.


Canarias: El nuevo reglamento de protección de datos entra a vigor (LOPD)

Canarias/ Este sábado entra en vigor el nuevo Reglamento de desarrollo de la Ley Orgánica de Protección de Datos (LOPD), y con él las nuevas obligaciones en materia de protección de datos de carácter personal que afecta a más de 120.000 empresas en el Archipiélago, que tendrán un plazo máximo de entre los 12 y los 18 meses para adaptarse a las nuevas exigencias de la legislación.
Ante el impacto que tendrá el nuevo Reglamento sobre las empresas, los Servicios Jurídicos de la Cámara regional han abierto una línea específica de asesoramiento gratuito en materia de protección de datos, desde la que abogados especializados atenderán de forma prioritaria las consultas de los empresarios. El incumplimiento de la normativa supone multas que pueden llegar hasta los 600.000 euros. De hecho, Canarias es la octava Comunidad Autónoma más investigada por la Agencia Española de Protección de Datos, lo que ha determinado que, además, sea la sexta región con mayor número de expedientes sancionadores tramitados a empresas, explica la Cámara de Comercio de Santa Cruz de Tenerife en un comunicado.
Los Servicios Jurídicos advierten que es relativamente fácil incurrir en sanciones ya que, entre otras actuaciones, no haber notificado los ficheros a la Agencia Española de Protección de Datos, no informar debidamente en la recogida de datos, o incumplir los deberes de secreto y confidencialidad (tirar sin seguridad curriculum vitae a la basura, por ejemplo) puede conllevar una sanción de hasta 60.000 euros.

FALTAS GRAVES
Por otra parte, entre las faltas graves se encuentra, por ejemplo, no contar con el consentimiento de los titulares para tratar sus datos, mantener datos desactualizados, o no adoptar en las empresas las medidas de seguridad. Estos cumplimientos supondrían multas que oscilan entre los 60 mil y los 300 mil euros. También hay que tener en cuenta que la cesión o comunicación ilegal de datos a terceros puede acarrear la penalización máxima. El impacto de este nuevo Reglamento en las pymes canarias es evidente e importante, no sólo por el incremento del número de ficheros automatizados de datos que las mismas usan, sino también por el mantenimiento generalizado de ficheros de datos en papel por éstas.

A tal efecto, respecto a los ficheros automatizados de datos, la Encuesta sobre uso de TIC y Comercio Electrónico en las Empresas 2006/07, del Instituto Nacional de Estadística (INE), revela un importante incremento del porcentaje de empresas canarias que utilizan las tecnologías de la información y comunicación para el desarrollo de sus actividades empresariales. De hecho, según esta Encuesta, el 99,04% de las empresas del Archipiélago disponen de ordenadores; el 98,3º% cuentan con acceso a Internet,- de las que casi el 80,61% han actualizando recientemente sus servicios de seguridad informática-; y, al menos, el 92,75% disponen de correo electrónico.
Unos datos que son valorados positivamente por la Cámara de Comercio como muy positivos para la mejora de la competitividad general del empresariado. Sin embargo, destacan que la paulatina introducción de nuevas técnicas informáticas que facilitan y multiplican las posibilidades de tratamiento de la información puede, asimismo, conllevar riesgos desde el punto de vista de la protección de datos, si no se adoptan las cautelas necesarias.

MEMORIA
De hecho, las cifras para Canarias derivadas de la última Memoria de la Agencia Española de Protección de Datos de 2006 respecto al grado de cumplimiento de la obligación de inscripción de ficheros revela, por ejemplo, que tan sólo 745 empresas de la provincia de Santa Cruz de Tenerife, cumplieron con esta obligación de proteger sus ficheros. En el Archipiélago, continúa aumentando el número de actuaciones inspectoras y sancionadoras realizadas a empresas lo que se debe, entre otras causas, a un mayor conocimiento por los ciudadanos de los derechos y mecanismos de amparo con los que cuentan en este ámbito.

Otra de las principales causas de tales resultados, radican en la desinformación o desconocimiento por las empresas de sus obligaciones lo que, irremediablemente, está conllevando a la imposición de sanciones por vulneración de los principios y normas básicas LOPD. Al respecto, “se debe reforzar de forma inmediata y urgente el déficit informativo de las empresas en tales materias”, según manifestó el presidente de la Cámara Oficial de Comercio de Santa Cruz de Tenerife, Ignacio González Martín.
El Reglamento, que entrará en vigor a partir del próximo 19 de abril, concreta las obligaciones previstas en la Ley Orgánica de 1999, y establece nuevas medidas de seguridad, en particular para los ficheros en papel, y define un plazo para la aplicación de dichas medidas, que varía en función del tipo de fichero, de los datos que contiene y de su nivel de seguridad (básico, medio, alto), oscilando entre los 12 y los 18 meses. El objetivo principal es cubrir las lagunas que habían surgido en los más de 10 años que llevaba aplicándose la Ley Orgánica, y al mismo tiempo, reforzar la seguridad jurídica entre los sujetos obligados a cumplir esta norma.

COSTES DE IMPLANTACIÓN
La aplicación del Reglamento, con el que básicamente se viene a reforzar las medidas de seguridad impuestas para todos los ficheros, supone un coste adicional para las empresas que, según los primeros cálculos, rondará entre los 3.000 y los 90.000 euros, en función del tipo de empresa. Entre los nuevos gastos destacan aquellos relacionados con la obligación que, desde abril, tendrán todas las empresas de almacenar y custodiar sus ficheros de papel, lo que conlleva la habilitación de nuevos espacios adecuados que, quizás no tengan, en estos momentos.
Además, las empresas deberán asumir nuevos costes asociados con la obligación de actualizar los datos de carácter personal que manejen, acreditar el cumplimiento y deber de información, y poner a disposición de los usuarios medios gratuitos y sencillos, tales como una línea telefónica o envíos de correo prefranqueados, para poder ejercer sus derechos o revocar el consentimiento que inicialmente otorgó para le manejo de sus datos.
Por el contrario, el Reglamento flexibiliza algunas de las obligaciones de los autónomos, a los que, entre otras cosas, exime de contar con un registro de acceso, siempre y cuando sean ellos los únicos que pueden acceder a los datos de carácter sensible, como son los referidos a la salud, la ideología, afiliación sindical, etc.

DERECHOS DEL USUARIO
Entre los derechos que se concede a los usuarios, destaca el derecho que tienen de oponerse a que su información personal sea usada en el caso de no haber obtenido antes su consentimiento, cuando se quieran usar para fines de publicidad y prospección comercial o cuando del tratamiento de sus datos se derivan decisiones que les afectan directamente. En esta línea, se autoriza a los menores de más de 14 años a que sean ellos los que den el consentimiento para tratar sus datos personales.
Además, el Reglamento especifica los derechos que tienen el usuario de preguntar, en cualquier momento, a la empresa cuáles son los datos personales que maneja y con que finalidad los está usando. En este sentido, el interesado podrá igualmente rectificar la información que no está actualizada o decidir cancelar el permiso que ha concedido para su utilización. Si una vez denegado el consentimiento, la empresa continua usando los datos, podría incurrir en una sanción grave o muy grave, castigada con una multa que oscila entre los 60.000 y los 600.000 euros, en función de la sensibilidad de los datos que se usen.

NUEVAS OBLIGACIONES
En cuanto a la empresa, el nuevo Reglamento impone la obligación de acreditar y conservar los archivos en los que se demuestra que el usuario ha sido informado previamente de cual va a ser el uso que se va a hacer de sus datos personales y de sus derechos personales.
Asimismo, establece, por primera vez, el procedimiento que deben seguir las empresas a la hora de actualizar los datos personales que maneje y, determina, entre otras muchas cosas, el marco en el que se deben desarrollar las relaciones entre las empresas y las personas o entidades que accedan o puedan acceder a sus datos personales para prestarle un servicio.

Fuente: Canarias24horas.com

jueves, 17 de abril de 2008

7 de cada 10 ordenadores de empresa están infectados con virus pese a contar con sistemas de seguridad

El 72% de los ordenadores de empresa y el 23% de los equipos de usuarios particulares están infectados con virus informáticos pese a contar con un sistema de seguridad activo y actualizado.

Así lo afirma un estudio de Panda Security que ha analizado 1,5 millones de ordenadores en 80 países de todo el mundo.
Muchos sistemas de seguridad actuales no detectan parte del "malware" (programas nocivos), lo que, según Pedro Bustamante, responsable de Marketing de Producto de Panda, significa que los dispositivos tradicionales de protección "ya no funcionan".
Además, el modelo de infección ha cambiado, puesto que ahora un programa nocivo infecta a menos ordenadores pero "muta más rápidamente", lo que dificulta su detección, afirma Bustamante.
Este experto asegura que los creadores de "malware" usan técnicas cada vez más automatizadas y sacan provecho del desconocimiento que existe sobre la necesidad de cambiar el tradicional sistema de defensa contra estas aplicaciones.
Por eso cada vez hay más puntos de infección. Así, si hace dos años Panda detectaba 300.000 programas de "malware", ahora el número ha crecido hasta los 11 millones y la tendencia es al alza.
Ante esta situación, Bustamante apuesta por que sean los propios ordenadores los que envíen información al laboratorio para ir recopilando las distintas tipologías de "malware" y poder frenar su efecto nocivo.

Via Consumer.es

Los jefes podrán leer el correo electrónico de sus empleados en Australia

  • Se aplicará a las empresas de servicios críticos para la economía.
  • Hasta ahora sólo afectaba a las agencias de seguridad.
  • Temen que estos poderes se usen de forma indebida.
El Gobierno australiano anunció que estudia una nueva legislación antiterrorista que permitiría a las empresas de servicios críticos para la economía leer el correo electrónico de sus empleados.
Un ataque contra los sistemas operativos de la bolsa o la red eléctrica "causaría un daño económico mucho mayor que un atentado terrorista físico", dijo el fiscal general del Estado, Robert McClelland.

La nueva legislación necesitaría de una enmienda de la actual Ley de Telecomunicaciones, que permite intervenir los correos electrónicos únicamente a las agencias de seguridad.
Esta propuesta ha sido muy criticada por los defensores de las libertades civiles, quienes afirman que podría ser utilizada con malicia por los empresarios contra sus trabajadores.
"Lo que nos preocupa es que puedan utilizar (estos poderes) para escuchar a escondidas y para hacer cazas de brujas empresariales, más que para proteger Australia de un ataque cibernético", según Dale Clapperton, presidente de Electronic Frontiers Australia, que defiende los derechos de los usuarios de Internet.

Via 20minutos.es

Curso de Seguridad en transacciones comerciales online (Plataforma Educativa de ESET)

La Plataforma de Educación online de ESET Latinoamérica incluye en su programa, un nuevo curso orientado a los servicios de comercio electrónico, con el objetivo final de que el usuario conozca su manejo, las posibles vías de ataque que apuntan a su dinero y los procedimientos correctos que garantizan un uso seguro del comercio en línea para evitar estafas y otro tipos de ataques.

Este completo curso aporta definiciones para comprender el funcionamiento del comercio electrónico y las transacciones que ofrecen estos servicios. Además, se repasan las técnicas y herramientas que utilizan los delincuentes para intentar estafar a los usuarios y se estudian los conceptos necesarios para asegurar el uso correcto de estos servicios, que tantos beneficios acarrean cuando se realizan en forma segura y libre de riesgos.

Decidimos lanzar un curso sobre transacciones en línea, ya que la percepción de los usuarios es que este tipo de herramientas y tecnología es insegura, pero si se la usa adecuadamente, puede ser tan segura como cualquier otro tipo de transacción comercial. Esto mismo es lo que intentamos mostrar y contar con este nuevo curso”, explicó Ignacio M. Sbampato, Vicepresidente de ESET para Latinoamérica.

Además, la plataforma presenta nuevas funcionalidades y un nuevo diseño que acompaña la idea detrás de las últimas soluciones inteligentes de ESET: “Think Smart”, un concepto innovador en tecnologías de protección proactiva para los equipos que, combinado con el conocimiento adquirido del internauta en materia de Seguridad Informática, consolidan una sólida prevención frente a los más complejos ataques informáticos en constante evolución.

En diciembre del 2006, ESET Latinoamérica fue pionera en lanzar la primera Plataforma Educativa sobre seguridad informática, gratuita y para todos los usuarios de Internet. Con el objetivo de brindar conocimiento para garantizar un uso seguro de los recursos informáticos y de la navegación en Internet, la inauguración fue con un curso acerca de la seguridad en la utilización de de medios informáticos.

Todos los cursos incluyen la posibilidad de realizar un examen que, de ser aprobado, brindará al usuario un Certificado imprimible.

Más del 50% de los usuarios examina su carpeta de spam

Según una reciente encuesta de más de 1000 visitantes a la página web de Virus Bulletin (VB), el 52% de los usuarios dicen que comprueba periódicamente su carpeta de spam en busca de falsos positivos, mientras que solo el 12% nunca se toma la molestia de comprobar si existen allí mensajes legítimos mal clasificados.
Por otra parte, el 25% de los encuestados dijo que sólo comprueban su carpeta de spam de vez en cuando.

Cuál de estas políticas es la mejor, depende del filtro de spam utilizado y la forma en que el mismo esté configurado, así como de la naturaleza de la cuenta de correo electrónico.
Si se trata de correspondencia personal, la pérdida de un mensaje podría ser simplemente un inconveniente, mientras que para una empresa, un correo electrónico incorrectamente identificado como spam, puede significar la perdida de importantes negocios.
La naturaleza subjetiva del spam (lo que es un correo no deseado para una persona, puede ser un mensaje legítimo para otra), junto con las tácticas siempre cambiantes de los spammers, que cada día experimentan nuevos trucos para eludir los filtros, hace improbable que la clasificación de "correo bueno", "correo malo", tenga un cien por ciento de precisión.

Tal vez el 12% que nunca verifican la carpeta de spam, estén perdiendo mensajes legítimos, mensajes que pueden significar la perdida de oportunidades. Pero con un tráfico de más del 90% de spam contando todo el correo electrónico que actualmente circula por Internet, muchos empleadores comienzan a estar más preocupados por la cantidad de tiempo que sus empleados tienen que pasar buscando el correo bueno.
En cualquier caso, esto demuestra que el spam se ha convertido en algo más que una simple molestia de la era digital.



Mas informacion...
More than 50% of users regularly double-check for false positive spam filtering

Fuente: Por Angela Ruiz, VSantivirus No 2691 Año 11, jueves 17 de abril de 2008

miércoles, 16 de abril de 2008

El Rol del Oficial de Seguridad

Information Security Officer, ISO, Chief Security Officer ó CSO para los amigos.

Sin temor a delatar mi longevidad, debo decir que ya llevo más de 15 años en el tema de Seguridad y no dejo de escuchar las mismas discusiones que oía allá por mis inicios:
¿El ISO debe Administrar Seguridad? ¿Debe controlar que se implementen las medidas recomendadas? ¿O simplemente debe decir qué hacer? ¿O ninguna de las anteriores…?

Pareciera que no hay Norma, Ley, Disposición o Circular que dé luz sobre el tema. Y las interpretaciones nos pueden llevar a tomar como válida cualquiera de las respuestas anteriormente dadas.
El hecho es que tampoco hay una respuesta lineal y única para todas las empresas. Cada una tiene su realidad y, por lo tanto, sus propias necesidades. Con lo cual el problema es aúnmayor. Entonces, ¿qué rol debe cumplir el ISO? Evidentemente, el que la Empresa demande. No es la intención dar una respuesta universal al problema planteado. La propuesta es desafiara cada modelo y así poder decidir conscientemente con cuál de los esquemas podemos salir a combatir más dignamente. Hacia allá vamos.

El ISO como Administrador de Seguridad.
Muchas instituciones tienen esto por Norma. Los Perfiles, Usuarios, Accesos y otros aspectos sumamente críticos, son administrados por un área de Seguridad de la Información independiente de TI. Visto de otra forma, lo que antes podía hacer IT, ahora no puede (o se supone que nopuede…), pero sí lo puede hacer el Oficial de Seguridad. Por ejemplo, dar de alta un usuario, otorgarle privilegios, hacer un par de transacciones, eliminarlo, sacar un pasaje y partir hacia destino incierto, sin dejar rastro. Sospechas, muchas. Certidumbres…. Depende de la habilidad.

La pregunta que naturalmente surge es ¿por qué el ISO es más confiable que la gente de IT? Supongamos que no se trata de un tema de confianza. ¿Es una cuestión de conocimiento y capacidades? Pensemos en la cantidad de cosas que se podrían hacer, desde las ya explicadas, hasta vender información. En mi opinión, hoy en día está más consciente un ISO que una persona de TI de las maravillas que se pueden hacer.

Pero veamos el tema desde otra óptica. Supongamos ahora que nuestro ISO “Administrador” es muy celoso de su trabajo. Define unaPolítica de Contraseñas con un mínimo de longitud de clave de 12 caracteres, que combine mayúsculas, minúsculas, caracteres especiales y números, no comience con 0 ni finalice con 08(el año que viene se actualiza), que se deba cambiar cada 30 días, no repetir las últimas 12 yque sea distinta para cada Sistema (cualquier similitud con la realidad es pura coincidencia). Pero tampoco escapa a los problemas Presupuestarios y de Recursos. Por lo tanto, seincrementa la cantidad de cuentas bloqueadas, los “blanqueos” de contraseñas y losIncidentes que debe investigar, pero con la misma cantidad de Recursos.

Y su subconsciente repitiéndole 24 horas al día “Si con 6 caracteres era más que suficiente!!!” Es evidente que Definir y Administrar genera pérdida de independencia por problemas de Segregación de Funciones. La ventaja: la próxima vez lo va a pensar mejor, y los usuarios finales y IT, agradecidos…Para colmo de males, la Compañía tiene Windows, Unix, Linux, AS/400, Oracle, MySql, unSolaris por acá, un Atala por allá y un sinnúmero de aplicativos existentes y por aparecer…Analicemos este tema desde el punto de la Gerencia General o el Directorio, que deberían serlos principales interesados y son sin duda los principales afectados. Bajo un esquema de caeteris paribus, ¿se reduce el riesgo? Si Uds. fueran el DirectorFinanciero, ¿se irían a dormir tranquilos?... Pasemos a otro tema.

El ISO como “Auditor”
Para esto vamos a comenzar desde el principio. En 1985 aparece el primer estándarinternacionalmente reconocido de Control Interno: el Informe COSO. Ya en ese momento seestablece que el Control Interno es responsabilidad de la Gerencia y no de Auditoría. Si no se cumplen los Controles establecidos por el Directorio o Gerencia General a través de la Política de Seguridad y sus derivados, no es responsabilidad de Auditoría y mucho menos del ISO. Es responsabilidad de la Gerencia. Obviamente, si el ISO no ha desarrollado nada al respecto, ya las responsabilidades sondudosas. No se puede pedir control sobre lo que no está definido o normado.
Pero igualmente insistamos sobre el tema y, desde la óptica del Directorio o la GerenciaGeneral, hagámonos la siguiente pregunta: Si el ISO Define y Audita, ¿Quién me asegura que el ISO esté haciendo lo correcto? Salvemos esta situación, un tanto engorrosa, con una Auditoría Interna o Externa que audita al ISO. Y ya que está, ¿por qué no audita el resto también? Es como que el tema se potenciaría.
Pero igualmente insistamos. ¿Cómo vamos a ver a los Usuarios? ¿Cómo quién viene a recomendarles mejoras para elcuidado de la información o a obligarlos a implementar controles, sobre los cuales luego los va a auditar quien los obliga? ¿Cómo nos verán los Usuarios? ¿Cómo alguien a quien hay que contarle para que los ayude ocomo alguien a quien si le cuentan cometen un acto de SINCERICIDIO? (si, está bien escrito. La Real Academia Española debería incorporarlo, si no lo hizo ya!!!!)

Si sumamos a la pérdida de independencia, el rechazo por parte de la Organización, este esquema no suena muy apetecible. No cabe duda alguna que si la Auditoría no existe o no es muy hábil en la materia, alguien debería hacerse cargo de esto.

Dos utopías al respecto:
  1. Entrenar a la Auditoría Interna si la hay.
  2. Que sea las mismas Gerencias que determinen como se va a Controlar ante la ausenciadel amado auditor. Si en definitiva son ellos los responsables del Control.
Y si no hay mas remedio, convivir lo mejor que se pueda con ambos sombreros.

El Rol del Oficial de Seguridad
Insistamos con las fuentes, pero esta vez extrayendo dos párrafos de la ISO 17799:2005 y veamos si nos puede dar un poco de luz sobre el tema.“Implementation of a measurement system that is used to evaluate performance in information security management and feedback suggestions for improvement.” Existe una diferencia importante entre Auditar e Implementar un Sistema de Medición para Evaluar y “Sugerir” mejoras. El inglés es un idioma conceptualmente muy preciso. Pero esto no es todo.

In many organizations an information security manager will be appointed to take overallresponsibility for the development and implementation of security and to support theidentification of controls. However, responsibility for resourcing and implementing the controls will often remain withindividual managers. One common practice is to appoint an owner for each asset who then becomes responsible for its day-to-day protection.” Ups!!!! Como se le parece al Informe COSO!!!! En una oportunidad, en una reunión de Comité Ejecutivo de una empresa, se definió el rol delBack-Office (todo lo que soporta el Negocio), donde estaba incluida el área de Seguridad de laInformación, de la cual estaba a cargo. Esta definición me fue de una ayuda enorme, y por estoquiero compartirla:

En un barco están el Capitán, el Timonel, los Marineros, Maquinistas, Artilleros, Médicos, Cocineros, etc. Pero hay un rol y una función que muy pocos conocen: El Navegante. Su tarea consiste en leer las cartas de navegación, saber la ubicación actual exacta, ver el clima, el estado de los motores, el estado general del Barco, de la tripulación y fundamentalmente sabe donde está el Puerto al que se quiere llegar (Estrategia), el camino que se quiere seguir (Táctica), el Tiempo (Objetivos) y en que Estado se quiere llegar (Valores).
Su función: entender los Riesgos a los que está expuesto el Barco, que pueden impedir su llegada a destino en las condiciones planteadas. E informar de esto al Capitán, para que pueda tomar la mejor decisión
” El Tripulante no va en el timón, no está en las máquinas ni limpiando la cubierta. No toma las decisiones, sino que es parte integral del proceso de Toma de Decisión del Barco.En mi opinión personal, éste es la principal función del ISO. Ayudar a la Gerencia a evitar las amenazas que les impidan lograr los Objetivos planteados. No a evitarlas por ellos.
El método: Conociendo claramente los Objetivos del Negocio, sus Estrategias, Tácticas y Valores. Y realizando un Análisis de Riesgos a partir de ellos, involucrando en él a la Gerencia.

El resultado: la decisión correcta. Pero volvamos a la cruda realidad. Nada es así de perfecto. Hay algo que es totalmente cierto. Estamos para cuidar el Negocio.

Y permanentemente oigo hablar de Firewalls, VPN’s, Vulnerabilidades, Ataques, Exploits, Logs. Excepcionalmente escuché a un colega hablar de Participación de Mercado, Crecimiento, Rentabilidad, Cash-Flow, Posicionamiento de Marca, y todos estos factores que son la base fundamental del Negocio.

¿Cómo podemos proteger adecuadamente algo que no conocemos y mucho menosentendemos?¿Y cómo podemos hacerlo sin contar con la estructura adecuada? En mi modesta opinión, hay que lograr tres pilares fundamentales sobre los cuales apoyarnos:
  1. Definir que se quiere hacer y medir lo realizado (Comité e ISO)
  2. Hacer lo que se debe hacer (Dueños de Datos, Usuarios y TI)
  3. Verificar en forma independiente si se ha hecho bien (Auditoría)

Como todo, si uno de estos pilares se debilita o no existe, hay que reforzar los otros dos paraque la estructura no se desmorone. Pero sin duda va a quedar más débil y va ser más costosa. Lo importante: reflexionar sobre dónde estamos, y determinar las causas de nuestros males. Y a partir allí, hacer lo mejor que podamos. O tal vez estemos fantástico donde estamos…Atreviéndome a extraer un párrafo de la obra Edipo Rey de Sófocles, cuando Tiresias, un ciego adivino, responde a una acusación de Edipo: “Y te digo, puesto que ahora me has ultrajado de ser ciego, que tú tienes y no ves en qué punde desgracia estás, ni dónde habitas, ni con quién convives

Les deseo la mejor de las suertes!!!!!!
Lic. Marcelo F. RodríguezMBA/CISA/PMO
mrodriguez at root-secure.com

Via identidadrobada.com

martes, 15 de abril de 2008

SEG-USB herramienta gratuita para prevenir el robo de información en dispositivos USB

El alto crecimiento de herramientas malwares preparadas para el robo de información, obtener claves o infectar nuestra maquinas, etc, es un hecho cotidiano. Tras un análisis realizado por la Comisión de Seguridad de la Asociación de Internautas se comprobó el uso de malware por terceros usando simples dispositivos USB preparados para obtener datos de nuestras maquinas, por ello se crea una herramienta gratuita para la prevención de robo de datos por medio de USB.

En poco minutos podemos conseguir una herramienta para obtener datos de un tercero.
La aplicación gratuita SEG-USB.EXE previene el auto arranqué en dispositivos USB, evitando la ejecución automática de programas sin nuestro consentimiento. El programa contiene dos opciones:
  • Prevenir el uso automático de dispositivos removibles USBPREVENCIÓN ACTIVADA
  • Configuración original en de dispositivos removibles USBPREVENCIÓN DESACTIVADA

La opción prevención activada nos modifica una clave en registro de nuestra maquina para impedir el autorun de los dispositivos USB, esta clave es la siguiente:
HKLM\SYSTEM\ControlSet001\Services\USBSTOR\Start

La opción prevención desactivada restaura la opción de nuestro registro al valor original.Solo hace falta usarlo una vez para activar o desactivar la opción seleccionada.Esta aplicación gratuita es valida para maquinas con sistema Microsoft.

Descargar SEG-USB.EXE SEG-USB.ZIP

Comisión de Seguridad en la Red.
José María Luque Guerrero
http://seguridad.internautas.org/


link relacionados:
- Nuevo estudio que demuestra los riesgos del uso flash USB
- Alertan de dispositivos USB para robar información
- Como saber que dispositivos USB se han conectado
- 82% de pérdida de información es producida por los empleados
- Ocultan programas espía en hardware para exportación

Phrack # 65 released

El pasado 12 de Abril salió al público la edición número 65 de la revista Phrack, una de las pocas magazines de la década de los 80 que todavía sigue viva (el primer número salió en 1985) a pesar de todos los cambios de staff que ha tenido.

En esta ocasión, para nosotros es aún más interesante puesto que incluye un artículo de nuestros colegas David y Juan Carlos sobre una nueva técnica de realizar hooks en ring: phook, the PEB hooker (versión en castellano también disponible) ¡Enhorabuena! Seguro que estarán encantados de recibir comentarios sobre su artículo.

El índice del número 65 es el siguiente:
  • Introduction
  • Phrack Prophile on The UNIX Terrorist
  • Phrack World News
  • Stealth Hooking: another way to subvert the Windows kernel
  • Clawing holes in NAT with UPnP
  • The only laws on Internet are assembly and RFCs
  • System Management Mode Hacks
  • Mystifying the debugger for ultimate stealthness
  • Australian Restricted Defense Networks and FISSO
  • phook - The PEB Hooker
  • Hacking the $49 Wifi Finder
  • The art of exploitation: Technical analysis of Samba WINS overflow
  • The Underground Myth
  • Hacking your brain: Artificial
  • International Scenes

Via s21sec

¿Quién se ocupa de la seguridad de la información de su compañía?

¿Se reúne al menos una vez por mes con los responsables de tecnología de su empresa para hablar sobre la seguridad de la información? ¿Está incorporado el tema en la agenda de su organización? ¿Es conciente de los riesgos que implica para su negocio compartir información con terceros por canales tecnológicos?
Si las respuestas a estas preguntas son negativas, debería empezar a preocuparse. Por que cada vez más, los esquemas de seguridad de la información en las empresas son vitales para prevenir vulnerabilidades que puedan afectar la marcha de los negocios.

Según la 10ª Encuesta Global de Seguridad de la Información de Ernst & Young, todavía existe “una gran brecha en la comunicación entre los responsables de IT y los niveles directivos de la organización”.

En México, que obtuvo el tercer lugar en número de participantes de la encuesta, uno de cada tres participantes del sondeo aseguró que “nunca” se reúne con los niveles directivos y sólo uno de cada cinco lo hace de forma mensual.
En el caso mexicano, el 49% de las organizaciones carecen de una estrategia formal de seguridad de la información, y si bien existe conciencia sobre las amenazas y vulnerabilidades, no se entienden los riesgos, indicó el informe.

Bajo nivel de conciencia
Pero lo más grave en términos corporativos es que, si bien aumentó respecto de la anterior medición, en México todavía son bajos los niveles de conciencia de las organizaciones: pasó de 15% a 19%. El estado de conciencia implica, según el estudio, que la seguridad de la información es una parte inherente de los procesos de negocio y “se mantiene un proceso permanente de evaluación de riesgos” con acciones preventivas antes de reactivas.

Las tres principales preocupaciones de los responsables de seguridad de la información mexicanos son, en este orden:
  1. El uso de dispositivos removibles,
  2. Las redes inalámbricas y
  3. La convergencia entre seguridad lógica y física. A nivel global, las tendencias están siendo además las aplicaciones web y el cómputo móvil, según se desprende del estudio que analizó más de 1.300 compañías en todo el mundo.

La administración de relaciones con terceros es una de las áreas de riesgo más relevantes para las compañías mexicanas: seis de cada 10 participantes lo hacen de manera “informal o no lo tienen considerado”, sostiene el informe, difundido esta semana.

¿Cuestión de dinero?
Carlos Chalico y Sergio Ruiz, socios del área de Control y Administración de Riesgos Electrónicos de Ernst & Young, explicaron que “los presupuestos para atender las áreas de seguridad de la información equivalen a una fracción muy pequeña del presupuesto total que se le asigna a las áreas de TI”.
La información no debe verse como un tema de presupuesto. Nuestra sugerencia es que los encargados de la seguridad se enfoquen a detectar vulnerabilidades para identificar riesgos y poder informar a la dirección general entorno a las recomendaciones para instrumentar controles de seguridad”, comentó Ricardo Lira, gerente de CARe de Ernst & Young.
Para los expertos, no se trata de pedir presupuestos, sino algo aun más importante. “Que los encargados de la seguridad de la información establezcan metodologías que permitan desarrollar procesos de comunicación más efectiva con los tomadores de decisiones de las compañías para hacerlos concientes de las vulnerabilidades y riesgos”, ahondó Lira.

Pese a estos indicadores negativos, el estudio logró establecer que hubo una leve evolución:
  • La seguridad de la información es considerada como un elemento importante para el cumplimiento de los objetivos de negocio.
  • La privacidad y la protección de la información está ganando terreno como el principal habilitador para la seguridad de la información en las organizaciones en lugar del cumplimiento regulatorio.
  • La seguridad de la información se empieza a reconocer como un factor importante para la eficiencia operativa y de TI.

Via Riesgos Informaticos