Por favor róbame

February 25th, 2010 | Posted by in Uncategorized - (0 Comments)

Un sitio web holandés muestra un listado en tiempo real de todos aquellos que salieron de su casa y no tienen mejor idea que hacerlo público en Twitter.

Un grupo de jóvenes programadores holandeses notó que era sorprendente la cantidad de gente que avisaba desde Twitter que estaba visitando a algún amigo o entrando a algún local comercial, dando la dirección exacta en la que se encontraba, en el exacto momento en que lo visitaba. Y todos coincidieron en que era muy buen material para poner un sitio web.

Así nació pleaserobme.com, una web sencilla en su desarrollo -se limita a levantar tweets de aquellos que publicitan que salieron de sus casas-, pero interesante en su significado.

“La gente estaba avisando que había llegado a su casa, o a la de su novia o de un amigo, y pasaba la dirección – me parece que no se estaban dando cuenta del todo lo que estaban compartiendo,” explicó Boy Van Amstel, uno de los creadores del sitio.

La web está pensada como una herramienta de alerta, un llamado de atención. “No es una herramienta delictiva. Lo que queremos demostrar es que hasta no hace mucho uno dudaba en dar a conocer su nombre completo en internet. Hace rato que superamos esa etapa,” reflexionó Van Amstel.

Errado no está. El estusiasmo desmedido por las redes sociales nos lleva a compartir información que jamás daríamos cara a cara. Como bien dijo un especialista de seguridad: “Si no serías capaz de colgar un cartel en la puerta de tu casa avisando que no estás, ¿por qué lo vas a publicar en internet?”.

Fuente: Dattatec

Botnets corporativos

February 25th, 2010 | Posted by in Uncategorized - (0 Comments)

Aprovecho que estos últimos días han estado movidos en el tema botnets para lanzar al aire una serie de comentarios.
El pasado 16 de Febrero Damballa publicó su top ten de incidentes debidos a botnets criminales, situándose el infame Zeus en primera posición, con un 19% de nuevas víctimas coporativas integradas en su red. No le anda a la zaga Koobface, otro conocido de la escena. Para todos aquellos que queráis profundizar en el tema, pasaos por el blog del amigo Dancho, que suele publicar al respecto con bastante asiduidad. El asunto da para mucho, y podríamos estar años hablando de esta problemática.

Contenido completo en Sergio Hernando

Estrategia internacional contra ataques cibernéticos

February 24th, 2010 | Posted by in Uncategorized - (0 Comments)

La mejor arma contra los ladrones online, espías y vándalos que amenazan a las empresas globales y la seguridad sería una especie de regulación internacional del ciberespacio, indicaron expertos del sector

Desde la perspectiva de un atacante, esa meta no es una prioridad para la comunidad internacional, a pesar de las protestas por la piratería, la censura y las disputas por el ciberespacio que protagonizan China e Irán contra la empresa estadounidense Google.

Los países son demasiado provincianos a la hora de pensar sobre su seguridad online para colaborar en la elaboración de un reglamento informático a nivel mundial, se escuchó la semana pasada en la conferencia de seguridad del EastWest Institute.

Las declaraciones políticas de los gobiernos en todo el mundo están dominadas por la necesidad de incrementar las defensas cibernéticas nacionales. Como resultado, demasiados cibercriminales se están beneficiando.

“Los países están en negación”, dijo el experto en derecho cibernético indio Pavan Duggal a Reuters, señalando que las legislaciones nacionales tenían un uso limitado en la protección de los usuarios de una herramienta de comunicación sin fronteras.

“Puede que un choque de grandes consecuencias despierte a la gente de su complacencia, algo equivalente a un 11 de septiembre en el ciberespacio”, dijo, refiriéndose a los atentados coordinados en Estados Unidos en el 2001.

Con una cuarta parte de la humanidad conectada a internet, el ciberdelito supone un peligro cada vez mayor para la economía mundial.

Objetivo, el autor

El FBI determinó que las pérdidas derivadas de la delincuencia en internet sumaron en los Estados Unidos u$s264 millones en el 2008, frente a los u$s18 millones de dólares de pérdidas por el mismo motivo en el 2001: probablemente eso es sólo una fracción de las pérdidas causadas a empresas y departamentos gubernamentales.

La amenaza se extiende a muchos sectores, incluidos los sistemas de control de las fábricas, los servicios públicos y la refinación de petróleo, dado que muchos de ellos están vinculados a internet para mayor comodidad y productividad.

Una prioridad para los reguladores es encontrar la manera de localizar a los delincuentes a través de las fronteras y que no salgan impunes de sus crímenes, una tarea difícil cuando los delincuentes pueden utilizar servidores proxy para permanecer en el anonimato.

“No podemos aplazar el debate hasta que estemos en medio de un ataque cibernético catastrófico”, dijo el ex secretario de Seguridad Nacional de Estados Unidos Michael Chertoff en la conferencia.

“Debemos formular una estrategia internacional y responder a los ataques cibernéticos que van paralelos a las leyes tradicionales que rigen la tierra, el mar y el aire”, añadió.

Expertos en seguridad dicen que la capacidad de realizar ataques cibernéticos desastrosos masivos es competencia exclusiva de algunos gobiernos, más allá de la capacidad de grupos guerrilleros extremistas como Al Qaeda.

Pero no se puede asumir que las redes internacionales de delincuencia organizada, que llevan tiempo practicando el fraude online masivo y el robo, no están desarrollando un interés en conseguir esta habilidad.

“El cibercrimen es un delito muy sofisticado con unos actores sofisticados y se necesita un esfuerzo multinacional para garantizar que se puede hacer cumplir la ley”, dijo el presidente de Dell Services Peter Altabef, a Reuters.

James Stikeleather, jefe de Tecnología de Dell Services, dijo a Reuters que rastrear a los criminales a través de las fronteras podría plantear problemas jurídicos a los redactores de una regulación multilateral.

Dando un ejemplo, dijo que cuantas más empresas añadan la tecnología que necesitan los investigadores para poder atribuir un delito, la privacidad y anonimato de los usuarios se ve reducida.

“Probablemente el punto de fricción de los gobiernos será ‘¿dónde está el nivel adecuado de imputación contra el anonimato o la intimidad para lo que la gente está haciendo (online)’”, señaló.

Datuk Mohamed Noor Amin, presidente de la Asociación Internacional contra las Ciberamenazas, afiliada a la ONU, dijo que la incapacidad para regular podría perpetuar los “estados fallidos” cibernéticos.

Citó los países pobres donde los clientes pueden comprar tarjetas SIM no registradas con capacidad de Internet móvil, dándoles la posibilidad de cometer delitos en línea, tales como el robo de identidad de personas en países ricos sin temor a ser rastreados.

Señaló que va en el interés de los países ricos ayudar a los más pobres desarrollar la capacidad de rastrear este tipo de delitos, porque son sus ciudadanos el objetivo.

“Los gobiernos tienden a ver sólo su propio interés. Pero en realidad colaborar es su propio interés”, dijo.

“La gente cree que internet es una parte integral de cada país. No se centran en la seguridad cibernética y se está jugando con fuego”, añadió el experto.

Fuente: Infobae

Los valores incontables

February 24th, 2010 | Posted by in 342 - (0 Comments)

Aunque sepamos que la seguridad depende de personas, procesos y tecnología, es chulo de vez en cuando poder hacer alguna comparación de seguridad entre distintos sistemas operativos.

Parece evidente, o al menos de uso común, que la unidad que debe ser manejada ha de ser el bug, el fallo de seguridad, el expediente. Y sobre él hacer rondar el resto de medidas, teniendo en cuenta el nivel de criticidad, la facilidad de explotación, el tiempo de exposición al riesgo, el tiempo necesario de abolición del bug, etc…

Para catalogar las vulnerabilidades, bug o fallos de seguridad se utilizan sistemas como el CVSS (Common Vulnerability Scoring System) que determinan un valor de criticidad de los mismos teniendo en cuenta todos los factores citados en el párrafo anterior. Dicho sistema, del cual es posible utilizar una calculadora en la siguiente URL, evalúa cosas como la existencia o no de un exploit público, la necesidad de estar autenticado en el sistema para explotar la vulnerabilidad o el nivel de acceso a datos que se obtiene para así sacar una nota final a cada bug.

Contenido completo en El informático en el lado del mal

Videos de seguridad para desarrolladores

February 24th, 2010 | Posted by in Uncategorized - (0 Comments)

El equipo de CYMRU ha publicado dos videos con ejemplos de código PHP, con los errores más comunes cometidos por los desarrolladores y cómo hacer para evitarlos.

Estos videos contienen una lista concisa de las diferentes vulnerabilidades PHP y exploits utilizados por los atacantes. PHP es uno de los lenguajes más populares de programación utilizados en Internet. Si usted tiene un sitio Web sobre PHP, deben ser conscientes de los distintos temas tratados en el vídeo video.

Por lo tanto, estos videos (I y II) se recomiendan a los desarrolladores en general y a los desarrolladores de PHP, en particular.

Cristian de la Redacción de Segu-Info