Sin duda, el mundo de la seguridad no da espacio para el aburrimiento, se abordan temas que van desde el código malicioso en los teléfonos Android de Google, hasta proyectos avanzados de investigación del sector Defensa de los Estados Unidos. En el camino se va intentando entender cómo la tecnología impacta en el comportamiento humano. Aquí echamos un vistazo a 20 historias de seguridad que han dado forma a la industria en los últimos meses.
¿La represalia es la respuesta a los ataques cibernéticos?
¿Los ataques de venganza deberían ser otra herramienta de seguridad que los grandes departamentos de TI utilicen para contrarrestar los ataques cibernéticos? Es una idea polémica, y la ley por lo general le frunce el ceño a los ciberataques. Pero en la conferencia de Black Hat, realizada en Washington DC en enero, algunos conferencistas abordaron el tema sobre cuándo y cómo las organizaciones deberían contraatacar a los adversarios utilizando herramientas de ataque para romper y subvertir la seguridad en los datos corporativos. Una idea que captó mucha atención fue la noción de explotar las vulnerabilidades en las herramientas de ataque y bootnets para tratar de determinar lo que el atacante estaba buscando, dejar datos falsos o, incluso, sumergirse en la red de la guarida del atacante.
Los cibercriminales apuntan a dispositivos de punto de venta (POS)
Los dispositivos de procesamiento de pagos para tarjetas de crédito y de débito en los puntos de venta están demostrando ser generosos objetivos para los cibercriminales debido a sus bajos controles de seguridad, particularmente en las pequeñas empresas, según un informe de Trustwave. Trustwave, que investiga las violaciones a las tarjetas de pago para empresas como American Express, Visa y MasterCard, ha llevado a cabo en todo el mundo 220 investigaciones que implican violaciones de datos en el 2010. La gran mayoría de los casos se redujo a deficiencias en los dispositivos POS.
“Representando la mayoría de objetivos debido a sus bien conocidas vulnerabilidades, los POS siguen siendo el método más fácil por el que los delincuentes obtienen los datos necesarios para cometer fraude de tarjetas de pago”, según el informe de seguridad global 2011 de Trustware.
Las aplicaciones infectadas de Android revelan el peligro móvil
El mercado de aplicaciones de Google Android se supone que es un escaparate de aplicaciones, pero el hecho de hace unos días Google diera de baja 50 aplicaciones de Android que eran sospechosas, fue como una sacudida para muchos en la industria de seguridad.
“Creemos que todos tenían el mismo código malicioso”, señaló Kevin Mahaffey, director de tecnología en Lookout Mobile Security, que la llama la infección Droid Dream. Las aplicaciones fueron lanzadas bajo los nombres de desarrolladores registrados de Google “Kingmall2010”, “we20090202” y “Myournet”, de quienes Lookout Mobile sospecha que son la misma persona o grupo. Al menos una de las aplicaciones maliciosas se basa en software robado que fue convertido en troyano y enviado a Google.
La mayoría de las aplicaciones maliciosas de Google Android habían estado en sitios web de terceros, pero el episodio de aplicaciones maliciosas de Google en el mercado Android, pone en tela de juicio el proceso de selección.
FBI: los crímenes de Internet suben, los tipos de fechorías cambian
El décimo informe anual de la delincuencia en Internet del FBI estima que los reclamos y pérdidas de dinero han alcanzado un nivel altísimo, con falta de entrega de mercancías o pagos, estafas suplantando al FBI y el robo de identidad, lidera el top ten de las quejas online. El informe -que se emite a través del socio del FBI, el Internet Crime Complaint Center (IC3) y el National White Collar Crime Center (NW3C)- encontró que en 2010, el IC3 recibió 303,809 denuncias de delitos en Internet, el segundo total más alto en diez años de la historia del IC3. El IC3 también alcanzó un hito importante este año cuando recibió la denuncia número dos millones. En promedio, el grupo recibe y procesa 25 mil denuncias por mes.
Estados Unidos adopta un nuevo plan de ciberataque para los guerreros de la seguridad
¿El gobierno de Estados Unidos y la industria privada pueden unirse para luchar contra los que intentan crear una anarquía cibernética? El Departamento de Defensa espera que sí, y ha ideado un plan para ayudar a promover esa cooperación. Asegurar las redes de la nación exigirá una cooperación sin precedentes del gobierno y la industria, señaló el subsecretario de Defensa William J. Lynn a los asistentes a la conferencia de seguridad RSA.
“A través de la información clasificada basada en las amenazas, y la tecnología que hemos desarrollado para emplearla en defensa de la red, podemos aumentar significativamente la eficacia de las prácticas de seguridad cibernética que la industria ya está llevando a cabo”, indicó Lynn. Lynn señaló que más de cien agencias extranjeras de inteligencia han tratado de entrar en las redes de ese país.
Identidades robadas de militares estadounidenses son la cubierta ideal para el ejército de estafadores en línea
Es una nueva versión de una vieja estafa. El periódico Army Times informó los detalles de la tendencia, cada vez mayor, de los estafadores que roban la identidad de los soldados del ejército de Estados Unidos en las redes sociales y luego la usan para crear perfiles falsos en sitios de citas por Internet. Los perfiles se utilizan para robarles el dinero a las posibles citas. Pero también hay otras consecuencias.
Según el Army Times: “Los soldados a veces son víctimas inconscientes cuando sus seres queridos o seres queridos descubren los perfiles en línea y creen que están buscando una aventura [El sargento CJ Grisham, que utiliza su blog, “La perspectiva de un soldado”, para exponer a los estafadores que utilizan la trampa del soldado enamorado] dijo que la estafa es una nueva versión de la denominada “estafa de cuotas por adelantado Nigeria 419”, y su popularidad está creciendo, debido al uso rutinario de las redes sociales por parte de los soldados y la penetración de Internet en los paraísos del tercer mundo para estafadores. “En el último año, el tráfico en mi sitio web relacionado con las estafas sobre las que escribo se ha triplicado”, indicó Grisham. “Recibo entre 30 y 40 comentarios al día, y 20 correos electrónicos diarios, pidiéndome que les diga sin han sido o no estafados”.
¿Reflexión policial? DARPA quiere saber cómo influyen las historias en la mente y acciones humanas
Ya que suena como un guión básico de ciencia ficción, no le sorprenderá que los mejores científicos en la Defense Advanced Research Projects Agency estén detrás de él. En pocas palabras, la DARPA quiere saber sobre cómo es que las historias o narraciones, o como ellos las llamen, influyen en el comportamiento humano. Para ello, la DARPA organizó un taller denominado “Cuentos, Neurociencia y Tecnología Experimental (STORyNET): Análisis y descomposición de narrativas en contextos de seguridad”, el pasado 28 de febrero, para discutir el tema.
“Las historias ejercen una poderosa influencia en los pensamientos y en el comportamiento de los humanos. Consolidan la memoria, la forma de las emociones, la heurística de referencia y los sesgos en el juicio, influyen en las distinciones dentro o fuera del grupo, y puede afectar los contenidos fundamentales de la identidad personal. No es sorpresa que estas influencias hagan que las historias sean de gran relevancia para los molestos problemas de seguridad como la radicalización, la movilización social violenta, la insurgencia y el terrorismo, y la prevención y resolución de conflictos. Por lo tanto, comprender el papel que juegan las historias en un contexto de seguridad es un asunto de gran importancia y muy urgente para algunos”, afirmó la DARPA. “Conocer exactamente cuál es la función que representan las historias, y por qué mecanismos lo hacen, es una necesidad si queremos analizar de forma eficaz los fenómenos de seguridad en forma de relatos. Hacer esto de una manera científicamente respetable requiere una teoría de trabajo sobre los relatos, la comprensión del papel que desempeñan las narraciones en los contextos de seguridad, y la investigación de la mejor manera de analizar las historias -descomponiéndolas sistemáticamente al igual que sus efectos psicológicos”.
Anonymous fuerza la dimisión del CEO de HBGary Federal
El grupo de activistas Anonymous ha ganado su enfrentamiento con el director general de HBGary Federal, la empresa de seguridad de red cuyos correos electrónicos fueron robados y publicados en Internet, dejando a la empresa con la cara roja debido a su contenido, así como por la facilidad con que su red fue hackeada. El CEO Aaron Barr le dijo a Threatpost que se hace a un lado con el fin de ayudar a que la empresa recupere su reputación y para comenzar a mejorar la suya. Su promesa de exponer los nombres de los miembros de Anonymous provocó un ataque que produjo más de 50 mil emails de HBGary Federal publicados en la Internet. El grupo también detalló públicamente cómo explotaron las contraseñas débiles y servidores sin parchar para romper la red, entonces utilizaron la información obtenida con las contraseñas para entrar a las cuentas de Gmail de la compañía.
Se enjuicia a 27 en el fraude de tarjetas de crédito de productos Apple
Los fiscales de Nueva York acusaron a 27 personas en febrero por formar parte de una organización criminal que compró iPods, iPads y otros productos de Apple con información robada de tarjetas de crédito revendidas en el submundo del crimen. En redadas realizadas el 1 de febrero, los agentes incautaron 300 mil dólares en efectivo, tres armas de fuego y municiones, así como equipo para hacer tarjetas de crédito falsas, que se dividieron en dos operaciones, de junio del 2008 hasta finales del año pasado, según una nota de prensa de la oficina del fiscal del distrito de Manhattan.
Los servicios en la nube podrían reforzar la ciberseguridad
El cambio hacia la computación en la nube ofrece una oportunidad para mejorar la seguridad de la infraestructura digital mediante la concentración de la carga de seguridad cibernética en un número relativamente pequeño de proveedores de servicios en lugar de miles de empresas individuales, según un informe externo de políticas. “El cloud computing tiene debilidades, pero también ofrece la oportunidad de agregar y automatizar la defensa cibernética global”, según un nuevo informe del Centro para Estudios Estratégicos e Internacionales. El informe, titulado “Seguridad Cibernética, dos años después”, es un seguimiento de “Asegurando el Ciberespacio de la Presidencia número 44,” que el grupo publicó en el 2008.
¿Los sistemas de peaje electrónico se convierten en objetivos terroristas
Las deficiencias en las redes inalámbricas vehiculares 802.11p podría convertirlas en objetivos de los terroristas que buscan sembrar caos en las carreteras del país, según una presentación en la reciente conferencia Black Hat DC. Algún día la tecnología se utilizará para controlar el flujo de tráfico y alertar a los conductores sobre los peligros de la carretera -un sistema que podría ser aprovechado si no se aplica correctamente, señala Rob Havelt, director de pruebas de penetración del vendedor de seguridad de Trustwave, SpiderLabs.
Proxy SSL de bajo costo podría traer seguridad más barata y rápida; derrotar amenazas como Firesheep
Los investigadores han encontrado una manera más barata y más rápida para procesar SSL/TLS con hardware fuera de la plataforma, un desarrollo que podría permitir que más sitios web eviten ciberamenazas planteadas por la herramienta de secuestros Firesheep. La tecnología, apodada SSLShading, muestra cómo los proxies SSL basados en hardware pueden proteger los servidores web sin ralentizar las operaciones. SSL/TLS -los protocolos de cifrado utilizados para proteger las transacciones en línea de la web- encriptan el tráfico de las máquinas de los visitantes hacia los servidores web. Eso hace que sea imposible que se pueda recolectar información de datos -como cookies- aprovechándose de redes inalámbricas no encriptadas, que es lo que hace Firesheep.
El código malicioso de raspado de memoria va detrás de la información privada encriptada
¿Qué es “el raspado generalizado de memoria” y por qué es considerado por los investigadores de seguridad del Instituto de Serguridad SANS como una de las técnicas de ataque más peligrosas que pueden ser utilizadas el próximo año? En pocas palabras, el raspado generalizado de la memoria es utilizado por los atacantes que han obtenido privilegios de administrador para poder apoderarse de información de identificación personal (PII) y otra información confidencial sobre cifrados en un sistema de archivos, de acuerdo con Ed Skoudis, consultor senior de seguridad de InGuardians, quien también es un instructor en eventos SANS. Las evidencias de estos ataques aparecen una y otra vez en los casos de violación de datos, indicó.
Las tablets y los smartphones fuerzan a que Cisco reevalúe cómo funciona la seguridad
Cisco dio a conocer lo que se describe como una arquitectura de seguridad “complicada” denominada SecureX, que asegura proporcionar un contexto sensible para proteger las redes cada vez más invadidas por los teléfonos inteligentes, tablets y la virtualización. SecureX, que destacó en la Conferencia RSA en SanFrancisco el mes pasado, le dará inicialmente a los firewalls de Cisco -y, eventualmente, sus conmutadores, enrutadores y otros productos- la capacidad de escanear dinámicamente y etiquetar datos relacionados con la identidad de un usuario y su uso en una aplicación/dispositivo para tener una base en tiempo real para hacer cumplir las políticas de seguridad basadas en la identidad.
¿Qué es una “amenaza persistente avanzada”?
“Cuidado con la amenaza persistente avanzada” es el mantra actual de los proveedores de seguridad. Pero ¿qué es? Depende a quién se le pregunte… Algunos afirman que el término “amenaza persistente avanzada” se originó en algún lugar del Departamento de Defensa y sus contratistas cuando se enfrentaban a continuos ataques de espionaje cibernético. “Creo que fue la Fuerza Aérea”, señala Eddie Schwartz, CIO de NetWitness. “Es la persistencia del adversario y la variedad de técnicas que están usando, como malware o ingeniería social, en contra de importantes intereses económicos de una nación”.
¿Un firewall de última generación está en su futuro?
El firewall tradicional de la empresa tradicional basado en el puerto, que ahora se ve menos como un guardia y más como una parada para aplicaciones de Internet que corren a través de los puertos abiertos 80 y 443, está perdiendo poco a poco frente a una nueva generación de firewalls musculosos, rápidos e inteligentes. El llamado firewall de última generación (NGFW, por sus siglas en inglés) describe un firewall/VPN de la empresa que tiene el músculo para llevar a cabo barridos de prevención de intrusiones en el tráfico de manera eficiente, así como conciencia sobre las aplicaciones que se mueven a través de él con el fin de hacer cumplir las políticas basadas en la identidad autorizada. Se supone que tiene el cerebro para utilizar la información, como el análisis de reputación de Internet, para ayudar con el filtrado de malware o integrarse con Active Directory.
La Fuerza Aérea quiere seguridad criptográfica para los iPhones, Android
La fuerza aérea de los Estados Unidos está decidiendo si utiliza o no teléfonos inteligentes comerciales disponibles en el mercado, como los dispositivos basados en Android o los iPhone, y cómo estos pueden procesar voz y datos clasificados, con seguridad. La Fuerza Aérea ha emitido una solicitud de información, no una solicitud de contrato formal, ya que está tratando de conseguir el mejor plan. Proteger los smartphones para uso militar es una necesidad absoluta si los dispositivos encontrarán aplicaciones de uso en el campo. El Ejército también ha hecho que el desarrollo de smartphones sea una prioridad.
La Corte Suprema de EE.UU. dice que los controles de seguridad de la NASA no llegan demasiado lejos
En una larga disputa sobre privacidad y seguridad, la Corte Suprema de los Estados Unidos se puso del lado de la NASA diciendo que su verificación de background no eran invasiva y que la información requerida, no solo por la NASA, sino por la mayoría de las posiciones del gobierno, fue una medida de seguridad razonable y que las garantías de privacidad fueron suficientes para evitar revelaciones impropias. Puede recordar que en este caso, 28 científicos e ingenieros del laboratorio de propulsión Jet de la NASA presentaron una demanda contra el gobierno de Estados Unidos y el Instituto de Tecnología de California (Caltech) en el 2007, diciendo que las investigaciones de background de la NASA requeridas por las regulaciones del gobierno eran invasivas. Estos reglamentos están, en parte, destinados a reunir información para elaborar un estándar común de identificación que asegure que las personas son quienes dicen ser, para que las instalaciones del gobierno y la información confidencial almacenada en las redes estén protegidas.
El Servicio Secreto aprovecha la tecnología 3D de los videojuegos para entrenamientos avanzados de seguridad
Cuando se trata de prepararse para todo tipo de amenazas a la seguridad, el entrenamiento más realista es el mejor. Es por eso que el Servicio Secreto de Estados Unidos dijo que ha desarrollado un sistema de software que utiliza la tecnología de juegos y el modelado en 3D para ofrecer capacitación de alta tecnología a su personal. Con fondos de la Dirección de Tecnología y Ciencia del Departamento de Seguridad Nacional (DHS), el Servicio Secreto ha desarrollado Site Security Planning Tool (SSPT), un sistema de capacitación denominado “Virtual Tiny Town” para ofrecer preparación frente a los ataques químicos, biológicos o radiológicos, asaltos a mano armada, atentados suicidas y otras amenazas que requiere el servicio.
Los órganos de control federal señalan seis desafíos críticos de ciberseguridad de la red eléctrica
A medida que la red de electricidad del país sufre una transformación y se mueve hacia una sistema de red más inteligente y automatizado, se enfrenta a un creciente número de cuestiones de seguridad cibernética. Los organismos de control en la Oficina de Responsabilidad Gubernamental dijeron que si bien el aumento del uso de sistemas de red inteligente puede tener una serie de beneficios, “incluyendo una mayor fiabilidad en cortes más pequeños, bajar la presión sobre las tarifas de electricidad debido a la capacidad de desplazamiento del pico de la demanda, una mejor capacidad para transmitir energía de fuentes alternativas de energía como la eólica, y una mayor capacidad para detectar y responder a posibles ataques en la red”, pero aún quedan muchos retos.
