Safer Internet Day 2011

El DIA INTERNACIONAL DE LA INTERNET SEGURA  es un evento que tiene lugar cada año en el mes de febrero, con el objetivo de promover en todo el mundo un uso responsable y seguro de las nuevas tecnologías, especialmente entre menores y jóvenes.

La asociación PROTEGELES, de protección y fomento de un uso responsable de las nuevas tecnologías entre los menores, http://www.protegeles.com/, participa activamente en la organización y difusión de este evento.

PROTEGELES promueve la difusión del spot que ha creado y adaptado a cada idioma y país, lanzando el mismo mensaje en todo el mundo con ocasión de ese día, ¡Piénsalo antes! (Think B4 U post!), apelando a la responsabilidad del usuario a la hora de publicar y gestionar recursos en Internet, especialmente fotografías y vídeos.

Una filtración del FBI revela el coste y el modo de actuar en un ataque informático a gran escala

¿Cuánto le puede costar a una compañía como Google o Visa un ataque informático? ¿Cómo actúan las compañías ante tales ataques? Ahora que todos los medios comentan y parecen saber sobre los ataques informáticos, llegando a exponer de manera exhaustiva de qué se trata un ataque DDoS gracias a la relevancia de WikiLeaks, el New York Times (PDF) ha conseguido unas notas de control interno del FBI detallando el coste de un ataque y su “curiosa” resolución. Las notas adquieren hoy un valor más relevante. Por un lado veremos cómo actúa una compañía como Google ante un ataque así, por otro, nos podemos imaginar que los acontecimientos de estas semanas, con los ataques a Mastercard, Visa o PayPal deberán estar dando más de un quebradero de cabeza a las compañías.Las notas conseguidas se remontan al año 2005. No sé si os acordaréis del nombre de Santy. Se trataba de un gusano, un software malicioso que infectó miles de ordenadores introduciéndose automáticamente en las consultas de las búsquedas. Durante varios meses Google se vio abrumada, presentando el 22 de diciembre del 2005 una reclamación al FBI en el que explicaban el bajo rendimiento del motor de búsqueda por los continuos ataques.Tal y como explica Google en el informe, durante 18 meses vieron como su sistema se plagaba de gusanos que utilizaban las consultas para encontrar sitios web vulnerables, aprovechando un agujero de seguridad que se encontraba. Lo curioso del caso es que Google intentó tapar estas acciones a la voz pública debido a las presiones de varios grupos de antivirus. Evidentemente, al final no ha sido así.En una de las notas que expone el diario, una agente del FBI escribió en medio de la investigación abierta:

La cultura de la seguridad en la empresa

El martes 30 de Noviembre se celebró el Día Internacional de la Seguridad Informática, hecho que Cisco aprovechó para publicar algunos datos interesantes sobre amenazas y riesgos para la seguridad de la información de las empresas. El spam, el malware, los ataques de ingeniería social o las nuevas amenzas a través de las redes sociales, son las amenazas a las que se enfrentan los responsables de seguridad de las empresas, que, según Cisco, suponen unas 130 amenazas potenciales al mes por cada trabajador. Y ante esta cifra, ¿cómo reaccionan las empresas?
Los responsables de IT de las empresas implementan medidas y controles de seguridad (gestión de permisos, perímetros de seguridad, controles de acceso, zonas seguras, firewalls, antivirus, etc), sin embargo, este tipo de medidas por sí solas, necesitan complementarse con factores algo más humanos. Lo normal es que cada empresa mantenga una política de seguridad, ya sea mediante procedimientos internos o, directamente, alineados con un sistema de gestión, como puede ser la norma ISO 27001, pero ni las medidas tecnológicas ni los procedimientos lo son todo, nos sigue faltando algo: la concienciación del personal y el establecimiento de una cultura alrededor de la seguridad.
Recientemente, el fabricante de software de seguridad Clearswift ha publicado un estudio, realizado entre unos 2.000 empleados de diversas empresas, con un dato que me ha parecido muy interesante; un 74% de los participantes afirmó que conocía y comprendía las políticas de seguridad de la información establecidas en sus empresas, sin embargo, de este grupo, más de dos tercios afirmaban, además, que no habían recibido nunca ningún tipo de formación o charla sobre la seguridad de la información o la política de la seguridad.
Precisamente es la falta de concienciación de los empleados de una organización uno de los mayores riesgos para las empresas; riesgo que, por cierto, se suele olvidar. La falta de una cultura de la seguridad dentro de las organizaciones es un problema, por desgracia, demasiado común.
¿Cómo concienciar a una organización? ¿cómo implantar esa cultura de la seguridad en la empresa? ¿mediante una formación regular? ¿un curso muy completo tan sólo una vez?. Tras implantar un sistema de gestión de la seguridad, la norma ISO 27001, por ejemplo, indica que se deben impartir sesiones formativas al personal para concienciarlos y familiarizarlos con el sistema y sus procedimientos, un aspecto que todas las empresas cumplen; sin embargo, tras esto, rara es la organización que realiza jornadas de reciclaje o las repite para el personal de nueva incorporación.
La mayoría de incidentes de seguridad que suceden en las empresas podrían haberse evitado, simplemente, prestando un poco de atención a lo que se estaba realizando, por tanto, un personal bien instruido y concienciado puede ser tan eficaz como un antivirus, o al menos, un buen complemento de éste.
En definitiva, no sólo las medidas físicas de seguridad van a garantizar la integridad de los activos de la compañía, por tanto, las empresas además de invertir en soluciones de seguridad deben invertir en el capital humano de la compañía, implantando planes de concienciación en torno a la seguridad de la información y asumiéndolos como parte de la cultura de la organización.

Vía: PC World y Cibersur Imagen: Tecnicias


Visto en: http://www.bitelia.com/

El FBI acusa a un ruso de haber utilizado Mega-D para inundar al mundo con spam

El FBI ha identificado a un ciudadano ruso de 23 años como el cibercriminal que manejaba la famosa red zombi Mega-D, que llegó a ser la causante de un tercio del total de mensajes spam que rondaban en Internet.
El FBI acusó a Oleg Nikolaenko de violar las leyes estadounidenses contra el fraude y el spam. Sin embargo, es posible que el país norteamericano no llegue a juzgarlo porque Rusia tiene reglas muy estrictas que prohíben la extradición de sus ciudadanos. Pero, por supuesto, esto no impide que Rusia lo procese con sus propias leyes.
A finales del año pasado la policía australiana detuvo a Lance Atkinson, un neozelandés que reclutaba a spammers para difundir sus productos de forma masiva.
Atkinson empleaba los servicios de Mega-D, así que cuando las autoridades lo arrestaron decidió suavizar su sentencia ayudando a atrapar al miembro de Mega-D con el que hacía negocios. La policía utilizó los registros de las transacciones financieras entre Atkinson y el spammer y las copias de sus mensajes instantáneos para rastrear a Nikolaenko.
El FBI consiguió una orden judicial que le permitía revisar los registros de Google e ePassport. Esto permitió a las autoridades relacionar a Nikolaenko con las cuentas que se utilizaron para negociar con Atkinson.
La red Mega-D llegó a controlar más de 500.000 ordenadores infectados y a enviar más de 10.000 mensajes spam al día. La mayoría de los correos basura que enviaba Mega-D ofrecía medicinas naturales, mercancía falsificada, medicamentos de dudosa procedencia y curas para los problemas sexuales.
La empresa de seguridad FireEye logró derrotar a Mega-D el año pasado y desactivar los servidores de comando y control y los dominios que utilizaba para controlar a sus víctimas, aunque la red pudo recuperarse del ataque.

Fuente: http://www.virulist.com/

Día internacional de la Seguridad Informática

El día internacional de la seguridad informática, el 30 de noviembre, tiene un especial valor en los tiempos actuales en cuanto a la información del usuario se refiere. Con Internet nos encontramos en un momento en el que la información privada de los usuarios cada vez tiende a ser más pública, un momento en el que los niveles de información alcanzan límites históricos y en el que la sociedad en general se ha dado cuenta del poder de Internet y la información que circula.

La seguridad de la información, tan en peligro en la era informática, en todo caso no es una cuestión ni mucho menos reciente. Las alusiones en la Historia a la protección de la información son muy numerosos. Como casos más conocidos están la 'máquina enigma' de la II Guerra mundial o la defensa de archivos estatales en cualquier país. Pero, ¿cuándo aparece la preocupación por la seguridad de la información en la informática o en Internet?

La respuesta puede ser que desde el principio ha sido un tema que los creadores han tenido en cuenta, pero no es hasta 1980 cuando se fundamentan sus bases. En este año, James P. Anderson escribe un documento titulado 'Computer Security Threat Monitoring and Surveillance'. Lo más interesante de este documento es que James Anderson da una definición de los principales agentes de las amenazas informáticas.

Entre sus definiciones se encuentran términos base de la seguridad informática como Ataque o Vulnerabilidad. En la definición de Vulnerabilidad hace referencia a "una falla conocida o su sospecha, tanto en hardware como en el diseño de software, o la operación de un sistema que se expone a la penetración de su información con exposición accidental". En cuanto al Ataque, lo define como "una formulación especifica o ejecución de un plan para levar a cabo una amenaza".

El documento relaciona estos términos en un contexto informático y de transmisión de datos. Estas definiciones serán algunos de los pilares para lo que hoy conocemos como seguridad informática. A partir de aquí el desarrollo de medidas de defensa de la información en la informática se ha desarrollado casi al mismo tiempo que la creación de amenazas. Los términos virus y antivirus ya forman parte de nuestro lenguaje común, se han convertido en algo cotidiano de nuestra sociedad.

Como hecho curioso en la historia de la seguridad de la información informática, uno de los primeros ataques en este sentido se le atribuye al ex-presidente Ronald Reagan. Supuestamente el antiguo presidente de EEUU habría vendido a la URSS una serie de equipos que contenían un software para controlar distintos aspectos. Se trataría de uno de los primeros ataques, que hoy queda en la historia como una anécdota de la seguridad informática.

Fuente:http://www.portaltic.es

Ares, el sucesor del troyano ZeuS, va a causar estragos en los próximos días

Los expertos en seguridad alertan de la llegada de un nuevo troyano que promete dar mucha guerra en los próximos días. Se trata de Ares, que se presenta como un malware muy peligroso debido a su gran versatilidad.

Y es que el propio creador de este troyano ha confirmado que Ares no estará centrado sólo en atacar a la banca, sino que cada una de sus copias “puede ser única y puede configurarse en función del comprador”, lo cual multiplica las dificultades para su detección.
También ha advertido que “tiene las mismas capacidades como troyano bancario que Zeus”, una de las amenazas más peligrosas, que a principios de noviembre consiguió pasar de los ordenadores a los móviles.

Pero los ciberdelincuentes no sólo van a poder utilizar este troyano para infectar equipos, sino que hay todo un kit de desarrollo circulando por el mercado negro del cibercrimen.

Este kit se vende de manera gratuita a “desarrolladores de confianza”, pero puede llegar a costar hasta 6.000 dólares a los ciberdelincuentes extraños. Si los cibercriminales no disponen de tanto presupuesto también pueden adquirir un “paquete de inicio”, con funciones reducidas, por 850 dólares.

Desde G-Data alertan de que Ares está a punto de iniciar su “distribución masiva”.


Fuente:http://www.theinquirer.es

¿Por qué hay que certificar la seguridad informática bajo la norma ISO 27001?

Al momento de explicar por qué certificar una norma internacional enfocada en la gestión de riesgos asociados a la seguridad de la información, como lo es la serie de normas ISO 27000 y en particular su capítulo certificable, es decir la norma ISO 27001, uno podría comenzar justificando su posición desde distintos ángulos.

Por ejemplo, analizando retornos de inversión en distintos escenarios de implementación, ventajas desde el punto de vista de costos, reconocimiento de la marca, aspectos regulatorios, relación entre la norma internacional y otras regulaciones locales, mostrar la sinergia entre distintos sistemas de gestión que probablemente ya se encuentren implementados o en camino de estarlo como ISO 9000, ISO 14000 o ISO 20000 entre otros.

Podríamos comenzar también por algo mucho más complejo: detallando cuáles son los riesgos que la norma ayudaría a mitigar, a partir de los cuales todos los demás aspectos se deducen de forma mucho más sencilla.

¿Pero por qué resultan tan difícil de describir los riesgos? Justamente porque no se quedan quietos, es decir, constantemente evolucionan.

Siempre están latentes, aunque no se dejan ver tan fácilmente.

De esta manera, si el día de hoy, como sugiere la norma, realizáramos una lista de activos, detalláramos todas las amenazas que los afectan, las vulnerabilidades asociadas a esas amenazas, y por último hiciéramos una valoración de los riesgos resultantes en función de su impacto y probabilidad de ocurrencia, podríamos asegurar que al otro día, esa valoración estaría desactualizada.

Y es por ese motivo que la norma comienza definiendo el sistema de gestión que servirá de base para administrar los riesgos, antes de comenzar a tocar siquiera cuestiones relacionadas a la seguridad: sistematizar el descubrimiento, tratamiento y mitigación de los riesgos, y sostener esas actividades en el tiempo, es condición necesaria para considerarse "mínimamente seguro", con todas las dificultades (y críticas justificadas) que expresarlo de esa manera podría acarrear.

Luego de haber implementado un sistema de gestión del riesgo, con todas las consideraciones mencionadas, incluyendo revisiones periódicas de un Comité de Seguridad que asigne recursos, verifique la implementación de los controles, propicie la mejora continua de los procesos, y ajuste políticas organizacionales que complementen las medidas de seguridad incorporándolas a un plan de capacitación y concientización para todos los actores que interactúan con la información de la compañía, tendremos apenas un vistazo a lo que significa contar con ISO 27001 en una organización.

Esta norma se relaciona con todas las áreas y procesos de la empresa, incluyendo Recursos Humanos, Tecnología y Legales, produciendo también uno de los cambios culturales (y políticos) más importantes de los últimos 10 años en las organizaciones en general, que es la separación de funciones entre las áreas de Tecnología y Seguridad, que debe reportar idealmente en forma directa al CEO y/o al Directorio.

Pero el objetivo de la nota no es hablar solamente de ISO 27001, sino también de por qué conviene certificar la implementación de la norma: ¿es que solamente con implementarla no basta?

Desde mi experiencia, la certificación agrega un componente fundamental, que son las auditorías externas: éstas son realizadas (idealmente) por auditores profesionales que día a día van ganando experiencia en auditar organizaciones en distintos mercados, países y tipos de negocio, aportando objetividad al sistema de gestión implementado a través de las observaciones y no conformidades que detectan.

En un sistema de gestión ISO, es deseable que aparezcan aspectos a mejorar, ya que de otra forma para qué desearía uno contar con un sistema basado en la mejora contínua, y cuando solamente se realizan auditorías internas, estamos perdiendo una oportunidad inmejorable para validar la efectividad de las gestión de riesgos.

Ahora sí podemos volver al inicio de la nota y listar todas las ventajas que con seguridad contaremos luego de obtener la certificación, siendo conscientes que detrás de un certificado, hay muchos más beneficios para la organización aunque a veces: "lo esencial es invisible a los ojos.

Fuente:http://tecnologia.iprofesional.com/

Spam ruso. De las novias por correo a las estufas de leña

Cuando hablamos de correo no deseado, a lo largo de los años se han ido creando tendencias o modas recurrentes, tales como la venta de viagra o medicamentos a una fracción de su precio, replicas de artículos de lujo, ofertas de empleo o, en el caso del spam que proviene de países de Europa del este (especialmente Rusia), proposiciones para establecer relaciones sentimentales por parte de señoritas supuestamente en busca de una pareja. Hasta hace pocos meses era frecuente ver como nuestra bandeja de entrada se llenaba de proposiciones de relaciones por parte de bellas jóvenes. Asimismo, era frecuente encontrarnos con una foto adjunta al mensaje que mostraba a la señorita que buscaba su media naranja fuera de su tierra natal.

No obstante, estos últimos días hemos recibido en nuestro laboratorio un nuevo tipo de correo no deseado desde Rusia que apela a nuestra caridad. Veamos un ejemplo:






Como vemos, el engaño clásico que consistía en entablar una relación a distancia con una joven rusa y, seguidamente, enviarle dinero para que pudiese salir de su país (cosa que nunca se producía) se ha visto sustituido por una historia bastante más dramática. Esto puede ser debido a la disminución del éxito del engaño anterior o a una prueba en el cambio de estrategia. En el mensaje se observan detalles, como la inclusión de una nota que explica el lenguaje usado, el no indicar de que localidad es la afectada, la mención de sucesos recientes como los incendios acontecidos en Rusia este verano y, por último, se juega con el temor al inminente invierno y las gélidas temperaturas que acarrea en esas latitudes.

Asimismo, la cantidad solicitada se especifica desde el principio y esta es menor que las solicitadas con los engaños anteriores. Es posible que este tipo de spam sea una prueba estacional, buscando depurar las técnicas usadas en este tipo de engaños, y que los ciberdelincuentes estén lanzando estos correos a modo de sonda, para ver si los beneficios son mayores que usando el método anterior.

De cualquier forma, desde el laboratorio de ESET en Ontinet.com aconsejamos a nuestros lectores que no caigan estos engaños ya que solo buscan apelar a nuestros sentimientos para hacernos caer en la trampa y estafarnos.


Fuente:http://blogs.protegerse.com/laboratorio/

Europa quiere proteger a los usuarios de Internet

La irrupción de las redes sociales online en el panorama tecnológico y social ha motivado grandes polémicas respecto a la privacidad de sus usuarios, además de establecer un nuevo panorama ante el que, muchas veces, las legislaciones nacionales e internacionales no han estado a la altura de su evolución en todos los momentos.

El proceso que se encuentra cerca de culminar, empezó en 2002 y terminará con la reescritura de la directiva europea de protección de datos, marco que cada país adapta en su propia legislación dando lugar, por ejemplo y entre otras, a la LOPD (Ley Oficial de Protección de Datos) española.

En un documento de unas 20 páginas que puede consultarse en el sitio web de la Unión Europea (http://ec.europa.eu/justice/news/consulting_public/0006/com_2010_609_es.pdf), se resumen los principales retos que afronta la protección de datos actualmente y que no se daban en la anterior redacción de la ley marco europea (que data de 1995). Principalmente, estos consisten en las redes sociales, la publicidad online y el cloud computing.

En el documento, titulado Un enfoque global de la protección de los datos personales en la Unión Europea, se indica la forma en que se propone que los servicios online avisen de la recolección y tratamiento de la información a los internautas, así como las obligaciones que tendrán en cuanto al tratamiento y la seguridad de los datos y las condiciones de baja de un usuario.

En el caso de sufrir una filtración que lleve a hacer públicos datos personales de los usuarios del servicio o que estos caigan en manos de terceras partes, la propuesta de nueva legislación obliga a la empresa a dar a conocer públicamente el incidente.

El creciente uso de los servicios online de todo tipo, lo que se ha dado en llamar computación en nube o cloud computing, también ha provocado un fuerte cambio en el panorama de la privacidad de los datos de los internautas, puesto que ahora servicios como Google Docs o similares, pueden contener no solamente datos como nombres, apellidos y números de documentos nacionales de identidad, si no textos que hagan, incluso, referencia a terceras personas, situaciones e informaciones sobre empresas y organizaciones.

“Los métodos de recogida de los datos personales son cada vez más complicados y se detectan con más dificultad”, afirma el documento elaborado por la Comisión Europea, lo que da a entender que, actualmente, existe una gran actividad “oscura” de recopilación de datos, no informada ni al propio interesado ni a las autoridades. El documento europeo busca acabar con dicha actividad o, por lo menos, tener más y mejores armas contra aquellos quienes la practiquen.

Los servicios que emplean geoposicionamiento son también un fenómeno reciente que permite a las empresas conocer la situación del usuario y, por lo tanto, penetrar mucho más en su intimidad que solamente con el conocimiento de unos pocos datos. La propuesta de directiva europea también repara en dichos servicios.

Este documento será discutido, interpretado, reinterpretado y reconstruido para, finalmente, ser presentado al Parlamento Europeo para su discusión y aprobación. Es por ello que aún nos queda bastante hasta que el trabajo de la Comisión Europea se concrete en un marco legislativo, y más aún para que los diferentes estados que componen la Unión lo adapten a sus respectivas legislaciones. Estaremos hablando de unos ¿cuatro años, tal vez?

Como siempre, la presente iniciativa topará con el escollo de los servicios online cuyos servidores y sedes sociales se encuentren fuera de las fronteras de la Unión Europea.

Fuente: http://es.imatica.org/