Día Internacional de la Seguridad Informática

Cada 30 de noviembre, y desde el año 1998, se conmemora el Día Internacional de la Seguridad Informática. Se trata de una fecha donde se busca crear conciencia acerca de la importancia de la seguridad de la información y de los sistemas y entornos que operan en ella.



Este evento se empezó a celebrar en 1988 en Estados Unidos, bajo el nombre de Computer Security Day, como iniciativa de la Association for Computing Machinery (ACM), y de ahí se extendió a otros países.



La seguridad informática es el área de la informática que se enfoca en la protección de la infraestructura computacional y todo lo relacionado con esta (incluyendo la información contenida). Para ello existen una serie de estándares, protocolos, métodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura o a la información.


La seguridad informática comprende software, bases de datos, metadatos, archivos y todo lo que la organización valore (activo) y signifique un riesgo si ésta llega a manos de otras personas.

f uente:  http://www.deperu.com/calendario/1294/dia-internacional-de-la-seguridad-informatica

-----= Guerra Fría vs Ciber War =----

-----= Guerra Fría vs Ciber War =---- 

Hoy en el mundo cibernético no existen las fronteras, tan poco los conceptos de lejano o cercano.


En todo caso la gran diferencia el Concepto de Guerra Fría y CyberWar surge del concepto "disuasión", un juego básico en los malabararismos militares y políticos de la postguerra que consistía básicamente en que ningún bloque o país lanzaría un primer ataque por que era consciente de que la respuesta sería devastadora, el miedo a la represalia.
.


En la guerra fría con las armas nucleares sabían que si lanzaban un misil tenían un 99% de probabilidades de que alcanzarán el objetivo y lo destruyeran, pero a diferencia de un ciberataque no se puede saber su efecto hasta que se lanza y tampoco se sabrá si quien lo recibe podrá sobrevivir y si tendrá poder de respuesta para lanzar una represalia y además si  sobrevive surgen las preguntas:


• A quien le lanzará la represalia si normalmente no se sabe de dónde te atacaron?  

O en el caso que sepa que el ataque salió de un país específico.


• Culparían al gobierno de ese país nada mas por el hecho de que salió de ahí el ataque?


La ciberguerra plantea un gran problema jurídico ya que no hay forma de atribuir un acto de agresión y eso significa que es difícil asignar un “Casus Belli”.




------------------------------------
En la Guerra convencional es habitual mostrar “MUSCULO” aviones, tanques y misiles, en la Ciber Guerra es todo lo contrario la primera regla es estar oculto y si desarrollas una arma la mantienes oculta y la sigues desarrollando o la usas, ya que si la revelas concedes una pista al enemigo para diseñar su vacuna. 
-------------------------------- 

Basados en estadísticas de empresas que se dedican a la seguridad, comentan que cada año se crean 1.6 millones de virus y malware.

En si hay varios libros que hablan de este tema super interesante como:

http://www.amazon.com/Cyber-War-Threat-National-Security/dp/0061962244

Basados en la página de WIKIPEDIA estos son algunos ejemplos de Guerras informáticas :

1999 - Guerra de KosovoDurante la intervención de los aliados en la Guerra de Kosovo, más de 450 expertos informáticos, al mando del Capitán Dragan, se enfrentaron a los ordenadores militares de los aliados. Este grupo, integrado por voluntarios de diferentes nacionalidades, fue capaz de penetrar los ordenadores estratégicos de la OTAN, la Casa Blanca y del portaaviones norteamericano Nimitz, sólo como una demostración de fuerza, pues éste no era su objetivo principal. Internet sirvió como grupo coordinador de actividades contra la guerra fuera de Yugoslavia.

2003 - Taiwán

En 2003, Taiwán recibió un posible ataque del que culpó a las autoridades Chinas. No hay pruebas pero dejó sin servicio infraestructuras como hospitales, la Bolsa y algunos sistemas de control de tráfico. El supuesto ataque provocó un caos, progresivo y con una aparente organización, que además de un ataque de denegación de servicio (DDoS), incluyó virus y troyanos.2

2007 - Estonia

En 2007, Estonia culpó a las autoridades de Rusia de diversos ataques continuados que afectaron a medios de comunicación, bancos y diversas entidades e instituciones gubernamentales.
 
2008 - Georgia
 
En agosto de 2008 -guerra Rusia, Osetia del Sur, Georgia- se produjeron ciberataques a Georgia por parte de Rusia orientados hacia sitios gubernamentales.


2010 - Irán

A finales de septiembre de 2010, Irán también registró un ataque a las centrifugadoras del programa de enriquecimiento de uranio -programa nuclear iraní-. El troyano, virus o programa infiltrado recibió el nombre de Stuxnet.
 
2011 - Canadá atacada desde China

En enero de 2011, según las autoridades canadienses, los sistemas de contraseñas del ministerio de Finanzas fueron víctimas de un ciberataque procedente de máquinas instaladas en China.


2012 - Medio Oriente

En mayo de 2012, es descubierto uno de los Malware más dañinos hasta la fecha llamado Flame o sKyWIper, el cual se especula que está diseñado para propósitos de Cyber-espionaje. Entre los países que se ven más afectados están Irán, Israel, Sudán, Siria, Líbano, Arabia Saudí y Egipto.


2013 - Estados Unidos

El 26 de octubre de 2013 se registraron en total unos 25 intentos de ataque a la red de electricidad hidroeléctrica de la ciudad de Chicago perpetrado por el gobierno de Luxemburgo por el director de la seguridad nacional, Franco Jair Sherer. Estados Unidos llevo a cabo una acción dirigida por el secretario de defensa Maximiliano Rolando con el objetivo de parar estos intentos de filtración de información. LSS es la organización acusada de realizar estos hackeos.

En si amigos esto es preocupante ya que  hasta  la OTAN cuenta ya con un manual en caso de CYBERGUERRA LLAMADO:

TALLIN CYBERWARFARE - NATO

 ES CONVENIENTE LEERLO Y  entender como esta tomando peso e importancia de este gran tema.


Ahora si quieren ver en vivo como se están llevando los ataques en el mundo aquí les dejo 4 mapas en tiempo real:


KASPERSKY 

https://cybermap.kaspersky.com/ 


FORTINET

http://threatmap.fortiguard.com/ 



NORSE

http://threatmap.fortiguard.com/  


FIREEYE

https://www.fireeye.com/current-threats.html 

y como siempre lo digo:  Cuestiones que reflexionar.

saludos 


Rodolfo Hernández Baz - Certified White Hat Professional Certifications - CEO
CCAT Research Labs - CEO
X.25 Ethical Hacking Conferences - CEO
Centro de Investigaciones en Seguridad Informática - CEO

Webshell Scanner Detector. V 1.0 - Do you wanna play?

FWSHELL V 1.0

ya hace un tiempesito anunciamos la utilería de Seguridad Informática dirigida al pentesting

******************
FWShell - Hacker Edition - v 1.0
******************

---> Lenguaje de programación: Perl - Python
---> Versión 1.0

===============

La función principal de esta herramienta es descubrir, las posibles WEBSHELL que se encuentren alojadas en un servidor Web, dando como resultado el análisis positivo de los descubrimientos y una lectura breve del archivo robots.txt.

La búsqueda la hace por nombres referidos, que posiblemente se colocan, mandando una petición al diccionario de texto para comprobar si es o no el nombre de la WEBSHELL

===============

===============

www.x25.org.mx/utilerias/Fwshellv10.rar

md5: 3a3e25596c02df389712670530fdecd1

----------------------------------------------------------

Encontraste un BUG en una compañia? .... No lo publiques Mejor vendelo ;P

 

Buena tarde amigos  en estos últimos días me han contactado varios egresados de la Certified White Hat Profesional que desde el año 2006 estamos impartiendo vía online y presencial en el Centro de Investigaciones en Seguridad Informática:

www.ccat.edu.mx

y recuerden nos vemos en el x. Cyber Security Conferences del próximo año:  2016

www.x25.org.mx 

y como decía me han contactado para mostrarme que han encontrado diferentes vulnerabilidades en diferentes sitios web de muchísimas empresas importantes en México y el mundo tales como ACER - MICROSOFT  y muchas más y su pregunta es la misma siempre:

Profesor mire encontré esta vulnerabilidad en xxxx sitio cómo ve usted la publico en internet y en Facebook para que los demás la conozcan?  

Y pues ahí está el detalle de la contestación amigos,  NO LA PUBLIQUEN, jejeje si amigos como lo oyen.

NO LA PUBLIQUEN mejor al tener la vulnerabilidad ya establecida y probada piensen que existe una opción mejor que es la llamada:

BUG BOUNTY

Pero qué es esto?  Bueno basados en la definición que WIKIPEDIA nos ofrece es:

Es  un programa de recompensas monetarias normalmente ofrecido por varios sitios web tales como facebook. Microsoft y muchas más en al cuales si tu encuentras  un BUG y se los reportas oficialmente a las empresas afectadas  ellos una vez confirmada te dan una aportación así como también puedes recibir un reconocimiento  especialmente si estos bugs son del lado de exploit y vulnerabilidades. 

Estos programas  de compensación para los investigadores en seguridad informática  permiten a las empresas resolver vulnerabilidades mucho antes que alguien más las encuentre y que podrían afectar a su empresa y causar un mal mayor así previenen incidentes de abuso y robo de datos.

Las compensaciones monetarias en diferente empresas varían conforme al peligro inminente que ese bug sea como la muy famosa vulnerabilidad de un investigador llamado: Khalil  que uso un vulnerabilidad de FACEBOOK para publicar en la timeline  sin autorización en las biografías de los integrantes y este hacker público en nombre del creador de Facebook Mark Zuckerberg.  Un mensaje entonces el hacker la reporte pero basados en el escueta explicación del reporte que KHALIL dio ESTE NO FUE considerado bug.

Pero no se preocupen amigos hoy en día hay muchísimas empresa que tienen ese programa y los incito y además invito a que se unan a este BUG BOUNTY y que si encuentran una vulnerabilidad de alguna empresa hagan lo siguiente:

1.      Documenten perfectamente la vulnerabilidad encontrada

2.      Manden un email a la empresa vulnerada preguntando si tienen plan de recompensas (bug bounty).

3.      Si les comentan que si lo tienen,  manden otro segundo email comentando que te envíen el plan de recompensas disponible.

4.      Una vez recibida la respuesta envíenles el reporte bien documentado y esperen a que la empresa los meta en esa plan y listo a disfrutar de un dinerito (money) que no cae mal.

Y por qué les digo que mejor hagan esto?

Ya que hoy en día todos o la mayoría estamos acostumbrados a mandar, publicar o distribuir estos bugs encontrados en internet por el simple hecho de decir que uno lo encontró  por que no mejor si encuentras uno avísale a la empresa y pregunta por sus planes de recompensas y que mejor obtener una compensación. ;P

Y si la empresa no tiene ese tipo de planes?

Pues ahí si tú sabrás, se los das free y los ayudas  a ahorrarse millones de dólares o pesos en contratar gente que investigue y encuentre los bugs o sigues el método tradicional que es el de publicarlas en internet para hacerte famoso  o LE ENTRAS AL BUG BOUNTY. ;p

 

Les dejo aquí una lista de las empresas que dan ese servicio de BUG BOUNTY

Company	New	Reward	Swag	Hall of Fame
123 Contact Form				Yes
Abacus				Yes
Acorns LLC		Yes		Yes
Acquia				Yes
Active Campaign				Yes
ActiveProspect				Yes
ActiVPN				Yes
Adapcare			Yes
AeroFS
Aerohive
Agora Ciudadana Security
Airbnb
Alcyon			Yes
Altervista				Yes
Amazon Web Services
ANCILE Solutions Inc.				Yes
Android Free Apps				Yes
Appcelerator				Yes
Apple				Yes
Apptentive
Aptible		Yes		Yes
Asana		Yes
AT&T		Yes	Yes	Yes
Attack Secure				Yes
Auth0				Yes
Automattic				Yes
Avast!		Yes
AVG Technologies		Yes		Yes
Avira
Badoo		Yes		Yes
Barracuda Networks		Yes		Yes
Base				Yes
Basecamp				Yes
Beanstalk
Bitcasa				Yes
Bitcoin.de
Bittrex		Yes		Yes
BitWall				Yes
Blackberry
Blackphone				Yes
Blinksale				Yes
Blogger		Yes		Yes
Box
Braintree				Yes
BTX Trader
Buffer				Yes
Bugcrowd		Yes		Yes
Bugify				Yes
C2FO				Yes
Campaign Monitor
CARD.com				Yes
Chargify				Yes
Chromium Project		Yes		Yes
CircleCi			Yes
Cisco
CloudFlare			Yes	Yes
Code Climate
CodePen				Yes
Coinbase		Yes		Yes
Coinkite		Yes		Yes
Commonsware			Yes
Compilr				Yes
Compose				Yes
Constant Contact				Yes
Coupa
CPanel		Yes
cPaperless
Cryptocat				Yes
Cupcake				Yes
Customer Insight
Dato Capital				Yes
Detectify				Yes
Deutsche Telekom				Yes
Digital Ocean				Yes
Distimo				Yes
DNSimple				Yes
Downstream Analytics
Dribbble				Yes
Dropbox		Yes		Yes
Drupal		Yes		Yes
eBay				Yes
Eclipse
Elance-oDesk				Yes
EMC
Emptrust
Engineyard				Yes
Envoy				Yes
Ethereum		Yes	Yes	Yes
EthnoHub
Etsy		Yes
Eventbrite				Yes
Event Espresso
Evernote				Yes
Expatistan
Facebook		Yes		Yes
FastMail		Yes		Yes
FFmpeg
Firebase			Yes
Fitbit				Yes
flood.io				Yes
Flowdock
Fluxiom				Yes
Form Assembly				Yes
Foursquare				Yes
FoxyCart		Yes		Yes
Freedom of the Press Foundation				Yes
Freelancer			Yes	Yes
Gamma
Gemeente Wageningen
Gemfury
getClouder		Yes		Yes
Ghost
GhostMail
Ghostscript		Yes
Github		Yes		Yes
Gitlab				Yes
Gliph				Yes
GoAnimate				Yes
Google		Yes		Yes
Gratipay				Yes
Greenhouse.io		Yes		Yes
Grok Learning				Yes
HackerOne		Yes		Yes
Hack For Cause				Yes
HakSecurity				Yes
Harmony				Yes
Help Scout		Yes		Yes
Heroku		Yes	Yes	Yes
Hex-Rays		Yes
HoneyDocs
Honeywell
Hootsuite				Yes
HTC
Huawei
Humble Bundle				Yes
Hybrid Saas
IBM
ICEcoder
Iconfinder				Yes
iFixit				Yes
Indeed		Yes		Yes
Inflectra				Yes
Informatiebeveiliging
ING NL
Instagram		Yes	Yes	Yes
Instructure		Yes		Yes
IntegraXor (SCADA)			Yes	Yes
Internetwache				Yes
(ISC)²				Yes
ITRP
iwantmyname				Yes
Jet.com		Yes		Yes
jruby
Jumplead				Yes
Juniper
Kadince
Kaneva				Yes
Kayako				Yes
Keming Labs
Kenna Security			Yes	Yes
Khan Academy				Yes
KPN
Kraken		Yes		Yes
LastPass		Yes		Yes
LaunchKey		Yes		Yes
Librato				Yes
Lievensberg Hospital
Liferay
LinkedIn
Localize				Yes
Logentries				Yes
MacOS X Bitcoin LevelDB data corruption issue		Yes
Magento		Yes		Yes
Magix AG				Yes
Mahara				Yes
MailChimp				Yes
Mail.Ru		Yes		Yes
ManageWP				Yes
Mandrill App				Yes
Marktplaats		Yes
Mavenlink				Yes
MCProHosting				Yes
Mega.co.nz		Yes
Meldium				Yes
Meraki		Yes
Microsoft (bounty programs)		Yes		Yes
Microsoft (Online Services)				Yes
Microweber				Yes
Millsap Independent School District
Modus CSR
Moneybird				Yes
Moodle				Yes
MoonMail
Motorola
Movember				Yes
Mozilla		Yes	Yes
Multicraft		Yes		Yes
Myntra				Yes
MyStuff2 App			Yes	Yes
Namazu
National Cyber ​​Security Center (Netherlands)		Yes	Yes
Netagio		Yes
Netflix				Yes
Net Worth Pro		Yes		Yes
Nitrous.IO				Yes
Nokia Siemens Networks				Yes
NolimitVPN
Norada				Yes
NSN Nokia Solutions Networks				Yes
Nvidia
Oculus		Yes		Yes
Offers.com
Olark		Yes	Yes	Yes
Onavo		Yes		Yes
OnePageCRM				Yes
OpenBSD
Openclass Knowledge Base
OpenText				Yes
Opera
Oracle
Orkut		Yes		Yes
PagerDuty
Pantheon				Yes
Panzura
Parse		Yes		Yes
PasteCoin		Yes		Yes
Paymill				Yes
Paypal		Yes		Yes
Pidgin
PikaPay		Yes
Pinterest		Yes		Yes
Piwik		Yes
Pocket				Yes
Polar SSL		Yes
PostmarkApp				Yes
Prezi		Yes
Protonmail		Yes
PullReview
Puppet Labs				Yes
PureVPN				Yes
Qiwi		Yes
Qmail		Yes
Qualcomm				Yes
Rackspace				Yes
Recorded Future			Yes	Yes
Reddit				Yes
RedHat				Yes
Regiobank NL		Yes
Relaso
Ribose				Yes
Riot Games		Yes		Yes
Ripple		Yes
Riskalyze				Yes
Salesforce
Samba
Samsung		Yes
SBWire		Yes
Schuberg Philis			Yes	Yes
Scorpion Software				Yes
Security Net				Yes
Segment.io				Yes
Sellfy				Yes
SendSafely				Yes
ServiceRocket				Yes
Shopify		Yes		Yes
Silent Circle				Yes
Simple		Yes		Yes
Simplify
SiteGround				Yes
Skuid
SKY TV				Yes
Smart Budget				Yes
SmileznHapiez				Yes
SNS Bank NL		Yes
Socrata		Yes		Yes
Sonatype				Yes
Sony				Yes
Soundcloud				Yes
SplashID			Yes	Yes
Splitwise				Yes
Spokeo			Yes	Yes
Spotify		Yes	Yes	Yes
Sprout Social				Yes
Square		Yes		Yes
Starbucks
StatusPage.io		Yes	Yes	Yes
Stripe		Yes
Sunrise		Yes		Yes
Symantec
Tagged		Yes
Tapatalk
Tarsnap		Yes
Team Unify
Tele2
Telegram		Yes
Telenet Belgium
Tesla		Yes		Yes
Trade Only
Trend Micro				Yes
Tuenti				Yes
Tumblr		Yes		Yes
Twilio				Yes
Twitch				Yes
Twitter		Yes		Yes
Typo3
Uber				Yes
Udemy		Yes
Unitag				Yes
UPC
Valve Software				Yes
VCE
Venmo
Veridu		Yes
Viadeo				Yes
Viewpost
Vimeo				Yes
Vodafone (Netherlands)
Volcanic Pixels
Volusion				Yes
VSR
Wamba
Webconverger
Websecurify		Yes	Yes
Western Union		Yes		Yes
WHMCS		Yes
Windthorst ISD
Wink Inc		Yes		Yes
Xen
Xmarks				Yes
XMind
Yahoo		Yes		Yes
Yandex		Yes		Yes
Yesware				Yes
YouTube		Yes		Yes
Zendesk			Yes	Yes
Zetetic
Ziggo
Zimbra
Zynga

 lista tomada de aqui:  https://bugcrowd.com/list-of-bug-bounty-programs