ATAQUES.

La mayor�a de los incidentes o intrusiones en nuestros ordenadores provienen de muy pocas vulnerabilidades, que son las que utilizan los intrusos para entrar en ellos. 
(Fuente: Instituto SANS (System Administration, Networking and Security), de los Estados Unidos, recopilado por http://www.hispasec.com): 

Para facilitar la identificaci�n de las vulnerabilidades, se encuentran reunidas en diversos grupos: 
vulnerabilidades que pueden afectar a todos los sistemas (G), vulnerabilidades espec�ficas de los sistemas operativos de la familia Windows (W) y vulnerabilidades espec�ficas de Unix y derivados (U).

G1. Instalaci�n por defecto de sistemas operativos y aplicaciones 
Muchos programas, incluyendo los sistemas operativos y aplicaciones, pueden realizar una instalaci�n en la que la seguridad no es un factor determinante. Es importante revisar todas las configuraciones antes de poner la m�quina accesible en la red.

G2. Cuentas de usuario sin contrase�a o con contrase�a f�cilmente identificable 
Muchas sistemas disponen de una �nica l�nea de defensa: la contrase�a del usuario. Es importante que todas las cuentas existentes dispongan de una contrase�a y que esta sea robusta y no f�cilmente identificable, por personas o programas. Igualmente algunos sistemas y aplicaciones crean cuentas de usuario en los que se asignan contrase�as por omisi�n que son conocidas.

G3. Copias de seguridad no existentes o incompletas 
Hay una certeza evidente: tarde o temprano ocurrir� un incidente que nos obligue a utilizar la copia de seguridad. Es importante que �stas se realicen, sean verificadas y que existan m�todos documentados y probados para restaurar los datos. No hay nada m�s in�til que una copia de seguridad que no pueda ser restaurada.

G4. Gran n�mero de puertos abiertos 
Tanto los usuarios leg�timos como los atacantes acceden a nuestro sistemas a trav�s de los puertos abiertos. Cuanto m�s puertos existan, m�s posibilidades de que alguien pueda conectar con nuestro sistema. Por tanto, es importante que s�lo est�n abiertos aquellos puertos que realmente son necesarios para el normal funcionamiento del equipo. 

G5. No realizar correctamente el filtrado de las direcciones entrantes y salientes 
La suplantaci�n de direcciones IP es un m�todo frecuente utilizado por los atacantes como medida de ocultaci�n. Por tanto, deben aplicarse las medidas necesarias para impedir la entrada y/o salida en nuestra red de direcciones IP incorrectas, inesperadas o no v�lidas.

G6. Registro de actividad no existente o incompleto 
La prevenci�n de los incidentes de seguridad es importante, pero mucho m�s es poder detectarlos lo antes posible. Para ello es importante registrar cuanta m�s informaci�n posible sobre la actividad de nuestros sistemas, aplicando las medidas necesarias para el an�lisis de estos registros de actividad.

G7. Programas CGI vulnerables 
La mayor�a de servidores web permiten utilizar programas CGI para acceder a informaci�n, recoger informaci�n, identificar a los usuarios, etc. Muchos de estos programas son habitualmente utilizados en los ataques contra los sistemas, por lo que debe prestarse una especial atenci�n a los mismos.

W1. Vulnerabilidad Unicode ("Web Server Folder Traversal") 
Las versiones de IIS (Internet Information Server), si no se ha aplicado el correspondiente parche, son vulnerables a un ataque consistente en ocultar URL ilegales (como el acceso a directorios del sistema) mediante la representaci�n de diversos caracteres en formato Unicode.

W2. Desbordamiento de memoria intermedia en ISAPI 
Cuando se instala IIS, se instalan autom�ticamente diversas extensiones ISAPI. Existen diversos problemas de desbordamiento de memoria intermedia en estas extensiones que pueden ser utilizadas por un atacante para obtener el control completo del sistema.

W3. Remote Data Services de IIS 
Existen diversas vulnerabilidades en el componente RDS (Remote Data Services) de IIS que pueden ser utilizadas por un atacante remoto para la ejecuci�n de mandatos del sistema con privilegios de administrador.

W4. NETBIOS - Recursos de red compartidos no protegidos 
Algunos protocolos de red incluidos en el sistema operativo Windows no ofrecen mecanismos de 
protecci�n adecuados, por lo que un atacante remoto puede obtener acceso a la informaci�n almacenada en los ordenadores.

W5.Obtenci�n de informaci�n mediante sesiones de usuario an�nimas 
Si el ordenador Windows NT o Windows 2000 permite la conexi�n de usuarios an�nimos (sin usuario ni contrase�a), un atacante remoto puede obtener informaci�n los recursos de red y las cuentas de usuario definidas en el sistema.

W6. Contrase�as d�biles en la SAM 
Con el objetivo de ofrecer compatibilidad descendente, tanto Windows NT como Windows 2000 almacenan por omisi�n las contrase�as utilizando un m�todo de cifrado de escasa calidad. Esta contrase�a cifrada puede ser desvelada mediante ataques de fuerza brutas con relativamente poco esfuerzo.

U1. Desbordamiento de memoria intermedia en servicios RPC 
Los servicios RPC permiten que un ordenador ejecute un programa en otro ordenador. Existen 
m�ltiples vulnerabilidades por desbordamiento de memoria intermedia en estos servicios que permiten a un atacante remoto la realizaci�n de ataques de denegaci�n de servicio o la obtenci�n de privilegios de administrador.

U2. Vulnerabilidades en sendmail 
Sendmail es el programa m�s utilizado para en env�o, redirecci�n y encaminamiento de mensajes de correo. Las versiones antiguas de este programa tienen un gran n�mero de problemas y vulnerabilidades que pueden permiten a un atacante obtener acceso al sistema.

U3. Vulnerabilidades en BIND 
El programa BIND es habitualmente utilizado para actuar como servidor de nombres de dominio (DNS). Algunas versiones del mismo pueden ser utilizadas para obtener acceso al sistema con privilegios de administrador.

U4. Mandatos "R" 
La familia de mandatos "R" permiten a un usuario autenticado de forma local ejecutar mandatos o acceder a sistemas remotos sin necesidad de volver a autenticarse. Esto puede permitir a un atacante con acceso a un sistema acceder libremente al resto de sistemas donde exista una relaci�n de confianza.

U5. "Daemon" del protocolo de impresi�n remota (LPD) 
Existe una vulnerabilidad de desbordamiento de memoria intermedia en diversas versiones del "daemon" lpd que pueden ser utilizadas por un atacante para ejecutar c�digo arbitrario en el sistema vulnerable con privilegios de administrador.

U6. sadmind y mountd 
Sadmind es un programa para la administraci�n de los sistemas Solaris desde un entorno gr�fico de usuario. Mountd facilita el acceso a los directorios exportados mediante NFS. Ambos programas tienen diversos problemas de desbordamiento de memoria intermedia que permiten a un atacante remoto obtener privilegios de administrador en los sistemas vulnerables.

U7. Valores de SNMP por omisi�n 
El protocolo SNMP es ampliamente utilizado en la monitorizaci�n y administraci�n de virtualmente cualquier dispositivo existente en una red. El sistema de seguridad utilizado, basado en los nombres de comunidad, es muy d�bil. Adem�s, los valores por omisi�n de muchos de estos perif�ricos permiten que cualquiera pueda modificar su configuraci�n.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldiacom.asp?id=1074 

M�s informaci�n:

The Twenty Most Critical Internet Security Vulnerabilities. The Experts' Consensus 
http://www.sans.org/top20.htm 

How To Eliminate The Ten Most Critical Internet Security Threats. The Experts' Consensus 
http://www.sans.org/topten.htm 

C�mo eliminar las diez vulnerabilidades de seguridad en Internet m�s cr�ticas 
http://www.selseg.com/sans_top10/ 

PROTEGERSE.

Entrar en un ordenador ajeno no tiene ning�n m�rito: la mitad de los espa�oles ya ha entrado en los ordenadores de la otra mitad, y para ello �nicamente han necesitado leer algo de lo publicado en alguna de las miles de webs con fondo negro, muchas calaveras y cientos de enlaces a p�ginas que no existen - Error 404 - �te suena de algo?.

�Lo dif�cil es protegerse!. Si bien el mejor sistema de defensa consiste en no conectar el ordenador ni a internet ni a ninguna otra red, esto a veces no es posible. Cortafuegos y antivirus nos hacen experimentar una falsa sensaci�n de seguridad, pues desconocemos sus agujeros, su configuraci�n (dado que suelen estar en el idioma de los hijos de la gran breta�a), y eso de las actualizaciones a�n no tenemos muy claro de lo que se trata. Todo ello sin contar con los troyanos activos o pasivos que solemos descargarnos de parte del Se�or Astalavista.

�Troyanos pasivos?. Es lo �ltimo en espionaje para evitar los cortafuegos. Los tiempos del NetBus o del BackOriffice son ya pertenecientes al plioceno inferior. 

Algunos incautos, creen que pas�ndose a Linux lo tienen mejor. Craso error. Linux podr�a ser igual de seguro que Windows si supieran configurarlo. Estos incautos son los que antes caen, al conectarse a internet como "root".

Encriptar nuestros archivos es una medida recomendable, utilizar contrase�as fuertes es imprescindible, pero si luego lo anotamos en un papelito amarillo pegado en el lateral del monitor, o lo dejamos en un fichero de texto dentro del disco duro, estamos peor que los chistes de Jaimito o de Mafalda (�otra vez sopa?).

Navegando, nos podemos encontrar con individuos que nos ponen trampas-java al entrar en su p�gina, o al pasar el rat�n sobre determinados sitios. Por ejemplo:

Otro tipo de ataques puede provenir de nuestra red interna, a trav�s de programas esp�a, o bien recuperando los datos que hayamos borrado de la papelera de reciclaje. �No has utilizado nunca el comando UNDELETE bajo MS-DOS?. Pues los hay mucho mejores.

Tras haber le�do esta p�gina, me conformo con una cosa: Que me recuerdes cada vez que navegues.

ATAQUES INTERNOS.

Sin embargo, la mayor�a de los ataques a nuestros ordenadores proceden de nuestros propios empleados. Algunos, involuntariamente, como el empleado de mantenimiento que corta la corriente para reparar un enchufe, y que con ese simple hecho ha causado m�s da�os en el ordenador que los que nos pudiera causar un virus: El ataque del virus lo esper�bamos, mientras que el corte de fluido el�ctrico no.

Hasta aqu� hemos visto los ataques involuntarios. Respecto de los voluntarios, merecen una menci�n especial los producidos por ex-empleados, especialmente aquellos que fueron invitados a abandonar nuestra empresa y que conocen las debilidades del sistema. Cuenta como debilidad la no cancelaci�n inmediata de sus contrase�as de acceso.
Un empleado peligroso es PAQUITO (el personaje de gomaespuma en www.gomaespuma.net, el t�pico empleado "a tiempo real" que conoce las contrase�as de otros compa�eros (apuntadas con l�piz en cualquier sitio u obtenidas mediante ingenier�a social). Paquito, �ala!, cuando no est� reunido, habitualmente alega "no poder disponer en este momento de los suficientes elementos de juicio como para poder acreditar si hizo o no hizo algo".

�Cual es el m�vil que lleva a Paquito a atacar a su propia empresa?. Desde las ganas de saber el salario de otros empleados o jefes, hasta preparar su salida de la empresa llev�ndose las bases de datos, pasando por tratar de conseguir un sobresueldo vendiendo informaci�n, maquillando objetivos, distrayendo peque�as cantidades, probar fallos, conseguir privilegios, demostrar lo buen inform�tico que es ...
Paquito trabaja dentro de la empresa. Conoce  perfectamente el sistema y sus puntos d�biles.  Un ataque realizado o coordinado por Paquito es directo, r�pido y casi imposible de detectar.
Por otra parte no debemos olvidar que todo el mundo, sobre todo Paquito, tiene un precio. 

�C�mo defendernos de paquito?:

• Cada empleado ha de tener los privilegios m�nimos para el desempe�o de sus funciones.

• Cancelaci�n inmediata de las cuentas de ex-empleados.

• Rotaci�n en los puestos de trabajo.

• Dos administradores mejor que uno. Ideal: que existan rencillas entre ellos.

No s�lo hemos de temerle a paquito. Otras personas interesadas en curiosear nuestros datos son:

• Clientes

• Competidores

• Crackers

• Curiosos

• Empleados

• Ex-empleados

• Espias

• Proveedores

BASUREO. 

UNA REFLEXION. �Cuanto cuesta una trituradora de papel?. Infinitamente menos que el riesgo de que caigan nuestros documentos en manos de la competencia. Personalmente conozco a una persona que vende "basura" al m�dico precio de 5.000 pesetas diarias. Su procedimiento es muy simple: esperar a que el personal de limpieza de la oficina v�ctima saque el resultado de su trabajo al contenedor.

Bien es cierto que este conocido es "todo un profesional" en su sector de actividad, pues incluso en una de sus v�ctimas ha colocado un recipiente de reciclaje de papel, que personalmente se encarga de recoger todas las semanas con su flamante uniforme de trabajo, de color verde, eso s�.

Una vez depurada "la mercanc�a", sus clientes captan de la competencia todo tipo de listados con nombre, tel�fono, precios de compra y venta, descuentos, volumen de negocio, etc.

SALAMI.

Esta t�ctica consiste en la distracci�n de peque�as cantidades (c�ntimos de cada operaci�n) en transacciones de gran cantidad, como por ejemplo en cada recibo domiciliado, en cada n�mina, en cada factura. Al cabo de un par de meses, el delincuente cuenta con una generosa cantidad de dinero que le ha llovido del disco duro, sin que nadie sospeche lo m�s m�nimo.

Se suele dar principalmente en entornos bancarios y aseguradores, dudando a veces si lo hace alg�n empleado por cuenta propia, o por orden de la empresa.

El ataque del salchich�n

Por Juan Carlos Garc�a Cuartango

El ataque del salchich�n consiste en una serie de peque�os delitos inform�ticos, dif�cilmente detectables, pero que en conjunto pueden producir sustanciosos beneficios para el delincuente inform�tico

Existe un tipo de ataque inform�tico llamado "Salami Attack", cuya traducci�n literal ser�a "el ataque del salchich�n" consistente en una serie de peque�os delitos inform�ticos, dif�cilmente detectables, pero que en conjunto pueden producir sustanciosos beneficios para el delincuente inform�tico. Supongo que el t�rmino es una analog�a entre la degluci�n de un salchich�n rodaja a rodaja y la obtenci�n de un buen bot�n en base a la distracci�n de peque�as cantidades pues ni un salchich�n nota que le han rebanado una rodaja de dos mil�metros ni un gran banco detecta la desaparici�n de 66 c�ntimos de peseta. Este tipo de delito es legendario, todos hemos o�do hablar de un listillo del Banco de Tormes que en el siglo XVI se hizo multimillonario utilizando este tipo de pr�cticas pero en realidad no existen registros hist�ricos sobre la existencia de dicho "Lazarillo " inform�tico.

Hace uno d�as en una charla de caf� con gente del mundillo de la seguridad inform�tica escuch� un cotilleo referente a la posibilidad de la existencia real de este tipo de fen�meno en base a nuestra situaci�n de conversi�n al Euro como nueva moneda.

En cuanto tuve un rato disponible para la experimentaci�n cibern�tica decid� hacer unos ejercicios digitales (de dedos) con mi banco habitual con el que me relaciono a trav�s de Internet.

Dado que dispongo de dos cuentas corrientes, casualmente una de ellas en Pesetas y la otra en Euros, y que las transferencias entre ellas son gratuitas e instant�neas al tratarse del la misma entidad (mi banco en un encanto) decid� hacerme unas cuantas transferencias por importe de una peseta y descubr� con sorpresa que en la cuenta de origen (en Pesetas) se me descontaba una peseta pero en la destino (en Euros) se me abonaba un c�ntimo de Euro (0,01 Euro) es decir 1,66 Pts. Un inter�s del 66% en 1 segundo (mi banco es r�pido y eficiente) no est� nada mal as� que decid� estudiar detenidamente la posibilidad de obtener de forma continua dicha rentabilidad dado que en los tiempos que corren obtener una rentabilidad anual de un 4% constituye un buen negocio.

Tambi�n observ� que una transferencia de 1 C�ntimo de Euro me descontaba dos pesetas en a cuenta de origen tras abonar 1 c�ntimo de Euro en la de destino, "donde las dan las toman" me dije mientras comprobaba con satisfacci�n que mi banco parec�a ser una entidad ben�fica pues parec�a estar dando m�s de lo que tomaba.

Tras un trasiego de 10 pesetas con unas ganancias netas de unas 7 pesetas decid� aplicarme en el an�lisis de la situaci�n y en la elaboraci�n de lo que, los que han hecho un "master" de direcci�n de empresa llaman "plan de negocio" y que suele ser un plan tendente a la captaci�n de unos cuantos inversores avispados dispuestos a perder unos cuantos miles de millones y a justificarlo considerando que su an�lisis era correcto pero que les falt� apoyo accionarial y que tal contingencia ya estaba contemplada en el anexo 27 del brillante plan de negocio (casilla XF128 de la brillante hoja de c�lculo ultra secreta resumen del plan).

Me puse a reflexionar sobre el asunto y a trazar un peque�o "plan de ganancias", un plan humilde puesto que mi formaci�n Jesu�tica y en la Universidad P�blica no hab�an formado mi entendimiento para preparar los grandes "pelotazos" que dise�an los que han hecho uno de los mencionados "master" por universidades tan prestigiosas como la de "Three Stones Upon the Lozola River"

Primeramente anot� los resultados obtenidos:

Inversi�n inicial peque�a, basta con una peseta para iniciar el negocio
Riesgo nulo, el capital se mueve entre cuentas propias. No se involucra a terceras personas.
Pela movida, 0,66 pelas ganadas
Tiempo invertido: 30 segundos por operaci�n (tecleando r�pido)
Tras un breve an�lisis descubr� que factor tiempo era lo que limitaba el �xito del negocio puesto que una persona haciendo transferencias 24 horas al d�a obtendr�a un beneficio de unas 1.900 pesetas diarias. A la vista de las lamentables expectativas me puse a hacer lo que los de los "master" llamar�an redise�o del proceso de negocio (BPR), y que yo denominar�a: "a ver si podemos sacar algo de todo esto". El factor del �xito estaba en reducir el tiempo requerido para cada operaci�n, as� que estaba claro que hab�a que automatizar el negocio, desempolv� mis manuales de programaci�n y descubr� con alegr�a que era posible hacer que un aut�mata realizara las operaciones que yo acababa de realizar manualmente. Tras una noche de trabajo consegu� escribir un programa que era capaz de hacer 1000 transferencias por hora. Ya eran 15.840 Pts al d�a sin trabajar.

Una vez conseguida la automatizaci�n del proceso me puse a pensar sobre la posibilidad de paralelizar el proceso, es decir, de realizar el procedimiento repetidamente, aqu� apliqu� mis conocimientos Marxistas, puesto que ten�a el Capital (25.000 pesetas), los Medios de Producci�n (mi programa), tan solo me faltaba el factor trabajo, exist�a la posibilidad de contratar mano de obra ilegal a 10.000 pesetas d�a pero mis convicciones me lo imped�an. De repente me vino la gran idea: no necesitaba muchos trabajadores sino muchas cuentas bancarias y muchas copias de mi programa trabajando, as� que abr� 100 cuentas bancarias a mi nombre, unas en Pesetas y otras en Euros, me compr� un nuevo ordenador y contrat� a Terra una de sus magn�ficas conexiones ADSL a Internet. En cada cuenta coloqu� 250 pesetas puse mi programa a trabajar y al cabo de un d�a era due�o de unas ganancias de 1.584.000 pesetas.

El negocio iba viento en popa, pero al tercer d�a descubr� con sorpresa que ten�a a la puerta de mi casa 30.000 folios de extractos bancarios, unos 1.200 kilogramos de papel. Contact� con un tratante de papel que adem�s de resolverme el problema me pagaba diariamente a raz�n de 15 Pts el Kilo (18.000 pesetas extras).

Al cabo de cinco d�as mi negocio se vino abajo porque el cartero del banco que me atend�a denunci� la situaci�n, el banco contrat� a un gabinete de abogados de reconocido prestigio y la Brigada de Delitos Tecnol�gicos de la Guardia Civil me condujo muy amablemente a una lujosa celda de la c�rcel de Soto del Real.

Me siento bastante defraudado conmigo mismo y con mi pobre actuaci�n delictiva, pues mi amigo Zandueta que es un lince astracanado para estos negocios me coment� que lo de los extractos bancarios en papel hab�a sido un grave error de c�lculo dado que pod�a haberlos suprimido sin m�s que rellenar una sencilla solicitud en mi eficiente banco.

De todos modos, no se vive mal por aqu�, soy profesor de "nuevas tecnolog�as" de mis colegas de prisi�n, me he matriculado en un "Master" de la Universidad de Tubinga y tengo dise�ado un nuevo "pelotazo" que en cuanto salga de aqu�, dentro de 8 a�os, me va a hacer multimillonario en 10 segundos. Ya tengo contratado un "Jet" privado para estar en Mogadiscio tres horas despu�s.

Publicado en Web del Instituto para la Seguridad en Internet el 10/12/2001.

Juan Carlos Garc�a Cuartango , Ingeniero de Telecomunicaci�n, es el director general del Instituto para la Seguridad en Internet.

 

BOMBAS LOGICAS.

Son resquicios en el c�digo de algunos programas que no suelen activarse hasta que ocurra un determinado evento, como la llegada de una fecha o la coexistencia de alg�n fichero en el disco duro.
Ejemplo: Un conocido programa espa�ol de control de gasto telef�nico, deja de funcionar si encuentra en el disco duro la utilidad de crackeo "SoftIce". Tambi�n un conocido antivirus espa�ol impide la actualizaci�n si el n�mero de serie se encuentra en la lista negra "del se�or Astalavista".
Otros, toman represalias. No te extra�e si intentas digamos prolongar el periodo de evaluaci�n de un programa, y �ste te formatea el disco duro.

PIENSA EN ESTO (de Panda Software): 

• Si "alguien" puede entrar en tu ordenador, ya no ser� nunca m�s tu ordenador.

• Si "alguien" puede ejecutar algo en tu ordenador, ya no ser� nunca m�s tu ordenador.

• Si "alguien" puede alterar el sistema operativo de tu ordenador, ya no ser� nunca m�s tu ordenador.

• Si "alguien" puede entrar en tu ordenador, y desde �l, atacar otros ordenadores, TIENES UN PROBLEMA.

• Ese "alguien" puede ser un chantajista, un terrorista, un gamberro, un estafador, un acosador (sexual o no), en definitiva: un delincuente, que est� dentro de tu ordenador. A todos los efectos legales, eres t�, con tu imprudencia, quien est� permitiendo o facilitando a ese "alguien" un anonimato que le permite actuar con total impunidad.

• Si "alguien" entra en tu ordenador, t� no le importas lo m�s m�nimo. Para �l, eres un "julai" del que se va, como m�nimo, a divertir. Luego, ya veremos.

La pregunta que debes formularte ahora no es la de estar paranoico, sino de estar lo suficientemente paranoico. Por tu propio bien: t�mate en serio la seguridad de tu ordenador.

PRINCIPIOS DE SEGURIDAD.

Hace tiempo recib� un correo electr�nico muy simp�tico, con unos cuantos principios de seguridad en internet, y que creo recordar eran tal que as�:

INFORM�TICA PERSONAL SEGURA

Por Bruce Schneier ([email protected])
Traducido por Jos� Manuel G�mez ([email protected])
http://www.kriptopolis.com/criptograma/0037_8.html
(Sigue el art�culo completo)

Se me pregunta con frecuencia qu� puede hacer el usuario medio de Internet para garantizar su seguridad. Mi primera respuesta suele ser "Nada; no hay forma". Pero en realidad es m�s complicado que eso.

Contra el gobierno no hay nada que se pueda hacer. El desequilibrio de poder es demasiado grande. Incluso si se utiliza el mejor cifrado del mundo, la polic�a puede instalar un esp�a de teclado mientras uno est� fuera (Si usted es lo bastante paranoico para dormir con su pistola y su port�til bajo la almohada, este art�culo no es para usted). Hasta es dif�cil protegerse de las grandes empresas. Si tienen su n�mero de tarjeta de cr�dito, por ejemplo, no hay forma de hacer que se les olvide.

Pero hay algunas cosas que usted puede hacer para mejorar su seguridad en Internet. Ninguna de ellas es perfecta; ninguna es
infalible. Si la polic�a secreta desea obtener sus datos o acceder a sus comunicaciones, ninguna de ellas se lo impedir�. Pero todas constituyen buenas medidas preventivas para la red y har�n que usted sea m�s dificil de controlar que el ordenador del vecino.

1. Contrase�as. Las contrase�as suficientemente buenas no son f�ciles de memorizar, pero no se preocupe. Cree contrase�as largas y aleatorias, y an�telas. Gu�rdelas en su cartera, o en un programa como Password Safe. Gu�rdelas como har�a con su dinero. No deje que los navegadores web almacenen sus contrase�as por usted. No transmita contrase�as (o PINs) mediante formularios web o correos sin cifrar. Asuma que todos los PINs pueden romperse f�cilmente, y act�e en consecuencia.

2. Antivirus. Util�celo. Descargue e instale las actualizaciones cada dos semanas, y en cualquier momento en que lea algo sobre un nuevo virus en los medios de comunicaci�n. Algunos productos antivirus comprueban autom�ticamente si existen actualizaciones.

3. Cortafuegos personales. Util�celos. Habitualmente no existe ninguna raz�n para permitir conexiones entrantes de nadie.

4. Correo electr�nico. Borre el spam (correo basura) sin leerlo. No abra, y borre inmediatamente, mensajes con ficheros adjuntos, a menos que sepa lo que contiene. No abra, y borre inmediatamente, vi�etas, v�deos y ficheros del tipo "bueno para echar unas risas" enviados por bienintencionados amigos. Desactive el correo HTML. No utilice Outlook � Outlook Express. Si debe utilizar Microsoft Office, active la protecci�n frente a virus de macro; en Office 2000 cambie el nivel de seguridad a "Alto" y no conf�e en ninguna fuente a menos que tenga que hacerlo. Si est� utilizando Windows, desactive la opci�n "Ocultar
extensiones de fichero para tipos de fichero conocidos"; esa opci�n permite que los troyanos se hagan pasar por otros tipos de ficheros. Desinstale "Windows Scripting Host" si puede pasar sin ello. Si no puede, al menos cambie sus asociaciones de ficheros, para que los ficheros de script no sean enviados autom�ticamente al Scripting Host si se hace doble click sobre ellos.

5. Sitios web. SSL no proporciona ninguna seguridad sobre si el comerciante es fiable o si su base de datos de informaci�n de
clientes es segura. Piens�selo antes de hacer negocios con un sitio web. Limite los datos personales y financieros que env�e a los sitios web; no proporcione ninguna informaci�n a no ser que lo considere imprescindible. Si no quiere dar informaci�n personal, mienta. No acepte recibir anuncios de marketing. Si el sitio web le da la opci�n de no almacenar su informaci�n para usos posteriores, m�rquela.

6. Navegaci�n. Limite el uso de cookies y applets a esos pocos sitios que le dan servicios que necesita. Limpie con regularidad sus carpetas de cookies y ficheros temporales (yo tengo un fichero BAT que lo hace cada vez que arranco). Si eso no es posible, no utilice Microsoft Internet Explorer.

7. Aplicaciones. Limite los programas en su m�quina. Si no lo necesita, no lo instale. Si no va a necesitarlo m�s, desinst�lelo. Si lo necesita, compruebe con regularidad si hay actualizaciones e inst�lelas.

8. Copias de Seguridad. H�galas regularmente. Haga copias al disco, cinta o CD-ROM. Guarde por lo menos un juego de copias fuera de su ordenador (una caja de seguridad es un buen lugar) y al menos un juego en el ordenador. Recuerde destruir las copias antiguas; destruya f�sicamente los discos CD-R.

9. Seguridad en port�tiles. Mantenga su port�til con usted siempre que no est� en casa; piense en �l como si fuera su cartera o su bolso. Elimine regularmente los ficheros de datos que ya no necesite. Lo mismo puede aplicarse a los dispositivos Palm; la gente tiende a dejar en ellos incluso m�s datos personales, incluyendo contrase�as y PINs, que en los port�tiles.

10. Cifrado. Instale un cifrador de correo y ficheros (como PGP). Cifrar todo su correo no es realista, pero alg�n correo es demasiado sensible para enviarlo sin cifrar. De igual forma, algunos ficheros de su disco duro son demasiado sensibles para dejarlos sin cifrar.

11. General. Apague su ordenador cuando no lo utilice, sobre todo si tiene una conexi�n permanente a Internet. Si es posible, no utilice Microsoft Windows.

Sinceramente, todo esto resulta dif�cil. Ni siquiera puedo decir que yo siga escrupulosamente mis propios consejos. Pero sigo la mayor�a, y probablemente eso ya resulta suficiente. Y "probablemente suficiente" es casi lo mejor que se puede obtener hoy en d�a.

 

UTILIDADES.

Esta p�gina no estar�a completa si no mencionara (as� por encima), algunas utilidades imprescindibles para mantener nuestra red fuera del alcance de los intrusos, o al menos ponerles las cosas un poco m�s dif�ciles:

• Analizador del registro (y del sistema de archivos). Sirve el mismo habitual de los crackers para digamos ampliar el plazo de evaluaci�n del shareware, s�lo que nosotros lo emplearemos para comprobar permisos y configuraciones incorrectas.

• Analizadores generales de seguridad. Localizan numerosos problemas de seguridad en la red, y suelen incluir alguna/s de las utilidades que aqu� detallo, si bien mi recomendaci�n es su empleo por separado, o mejor a�n: simult�neo.

• Antivirus. Supongo que habr�s le�do mi p�gina de virus.

• Chat. Para aquellas consultas que requieran inmediatez, conversando con personas que tengan la misma concienciaci�n respecto a la seguridad, o incluso con hackers (que no son los malos de la pel�cula, como equivocadamente se piensa).

• Cortafuegos. Supongo que habr�s le�do mi comparativa.

• Detector de m�dems. En todas las empresas hay un mont�n de m�dems y ordenadores con placas ATX, dispuestos a facilitar una puerta trasera a los intrusos. Algunos de los m�s modernos detectores de m�dems incluso te informan si se trata de un m�dem o de una fax, e incluso prueban nombres y contrase�as habituales o por diccionario.

• Esc�ner de puertos. Permite analizar un rango de direcciones IP en busca de puertos a la escucha con alg�n servicio en ejecuci�n. Algunos escaneadores incluso informan del sistema operativo que corre la m�quina escaneada.

• Listas de correo. Al objeto estar al d�a en cuanto a nueva informaci�n de seguridad o actualizaciones de programas. Los intrusos est�n al d�a a trav�s de las listas. Nosotros tambi�n. � Suscr�bete !

• Monitor del registro de sucesos. Podemos emplear el est�ndar del kit de recursos del NT, pero mejor un par de ellos que hay por ah�, que adem�s muestran las conexiones fallidas y las conexiones remotas.

• Rastreador de paquetes. Tambi�n conocidos como sniffers. Recogen paquetes destinados a cualquier direcci�n de la red, para posteriormente analizarlos. No s�lo es �til para diagnosticar un mal estado de la red, sino que adem�s podemos detectar intentos de intrusi�n sin dejar rastro en el visor de sucesos de NT. 

• Reventador de contrase�as. Mediante volcado de la SAM, aplicando diccionario o fuerza bruta sobre los hashes de contrase�as, o con el rastreador que incorporan algunas utilidades.
  Para ordenadores en los que se desconozca la contrase�a de administrador, hay una herramienta que permite su recuperaci�n mediante la conexi�n con otro NT, permitiendo acceder directamente al registro del NT bloqueado. 

• Usenet. Si bien �ltimamente es el para�so de los que se dedican a enviar publicidad no solicitada, siempre encuentras algo interesante. Se puede acceder desde Outlook, desde programas espec�ficos, o desde web. 

• Visor de control de accesos. Si bien tenemos uno en el kit de recursos del NT, los hay que "cantan" los agujeros antes que sea demasiado tarde.

DESCONFIANZA TOTAL.

Hace poco le� una noticia creo que en i-br�jula, que me puso los pelos de punta y quiero compartir contigo, ya que me est�s prestando la suficiente atenci�n como para haber llegado hasta el final de esta p�gina tan larga:

Un chico de 16 a�os y de origen israel� pero residente en Jordania qued� para conocer personalmente a una supuesta chica con la que entabl� amistad en el IRC. Me imagino al pobre chaval ilusionado, pensando en que probablemente conocer�a a su media naranja gracias al chat.

Lo que se encontr� fue una r�faga de metralleta que acab� con su vida. Era una trampa a�n no se sabe de quien.

Recuerda: en internet como en la vida misma, nada es lo que parece.

Este art�culo est� dedicado a mis colegas que pasan las horas en determinados canales del IRC-HISPANO hablando con robots chateadores aut�nomos tipo Zebal o con un camionero con las manos "as�" de grandes y que emplea un famoso nick femenino, y luego van vacilando de ligones. Dime de que presumes y te dir� de que careces. Por amistad, respeto y consideraci�n, no difundo ni sus nicks ni sus nombres, pero ellos ya saben a quienes me refiero.

;-)

Date: Fri, 7 Dec 2001 19:58:26 +0100 (CET)
From: Lokutus < [email protected] >
Subject: Re: [HackIndex] �tica_y_Hacking


Es un poco complejo hacer comparaciones, pues si la vida real fuese como internet:

- No podr�as mirar a las mujeres atractivas, que te acusar�an de inmediato de hacer escaneos de puertos.

- Tendr�as que ir por la calle con mucho cuidado para no mirar propiedades privadas.

- De vez en cuando, aparecer�a un tio con pinta de payaso, intentando venderte algo para hacerte rico, o para que te crezca el pene.

- Muchos lugares p�blicos, estar�an gobernados por las dictaduras de ni�os de 10-15 a�os, que podr�an expulsarte en cualquier momento, s�lo por que le caes mal.

- Algunas veces, cuando vas de camino al trabajo, te quedas atascado, y tienes que volver a andar el camino partiendo desde tu casa.

- Al llegar al trabajo, te puedes encontrar con que faltan sillas, mesas, ordenadores, y puede que hasta falte la secretaria, en tal caso, tienes que volver a tu casa, y volver otra vez al trabajo.

En f�n, que las comparaciones entre el mundo internet y la vida real, es desafortunada, pero, no, no es aconsejable abrir documentos ajenos. Sobre todo, por que la se�ora de la limpieza, do�a IDS Garcia, es muy chismosa.



Lokutus, asimilando la red.

 

Si por cualquier motivo no debes, no puedes, no quieres o no sabes utilizar tu cliente de correo electr�nico o tu correo electr�nico v�a web, con cualquiera de los dos formularios que hay en la p�gina contactar, puedes ponerte en contacto conmigo. Si lo que deseas es formular cualquier tipo de pregunta sobre seguridad inform�tica, te recuerdo que existe una lista de correo espec�ficamente para ello. !Suscr�bete!