Reactivando

Literalmene, años de no publicar en este blog...

Me he topado con buen numero de retos que me han dejado buenas y malas experiencias. Estaré buscando como poder compartirles por este medio la mayoría de ellas.

Saludos!

Como mitigar un DDOS

Aquí una serie de ligas que pueden ayudarnos a mitigar los ataque de un DDoS.
Espero les sean de utilidad.


Do More to Prevent DNS DDoS Attacks
http://blog.icann.org/2013/04/do-more-to-prevent-dns-ddos-attacks/


Mitigate the effects of a DDoS attack
http://www.techrepublic.com/blog/security/mitigate-the-effects-of-a-ddos-attack/245


10 Strategies To Fight Anonymous DDoS Attacks
http://www.informationweek.com/security/vulnerabilities/10-strategies-to-fight-anonymous-ddos-at/232600411


Complementando el ciclo, ninguna contingencia va ser debidamente controlada si no se tiene un Equipo de Respuesta a Incidentes bien documentado y entrenado.

Strategies of a world-class computer security incident response team
http://www.net-security.org/secworld.php?id=14632

Saludos!!

Can Sylvester Stallone Predict The Future?

SYLVESTER STALLONE CAN PREDICT THE FUTURE!?!? Nope. But bear with us. For those of us who have seen Demolition Man, that awful 1993 sci-fi vehicle about a futuristic SoCal, you may remember a scene where the villain holds a meeting in which all attendees are represented by telepresence.

Now while the original concept is old news in the face of video conferencing, there are even more interesting advances which mobilize the telepresence machines. This leads to the very real possibility that future environments will include people who are working remotely but able to interact in their surroundings and with co-workers in real time. What implications might this have for the social engineer? The bottom line is that we won’t truly know until we get there. But what we hope to do in today’s article is help you consider the SE applications in what is already a very interesting tech story.

Think Like A Target

Let’s think first from the perspective of the target. Depending on the capabilities of the telepresence robot, that individual may be very limited in their ability to perceive the qualities that make you, the social engineer, effective at what you do. What if your pretext depends on being anxious and sweaty, or having just spilled a cup of coffee on yourself? And if you had planned to use props, you may need to make some major adjustments in your approach to accommodate their limited ability to see and interact with you. One final thing to consider is that although the target is in a work environment, this person is likely telecommuting from home. What other possible distractions exist in that environment that you have no knowledge of and cannot control? What this also means is that you will likely be unable to use any of it to your advantage. If you were at someone’s desk, perhaps you could have used a picture of a vacation as an ice-breaker and validation; this avenue may be closed to you in this situation.

And You, The Social Engineer

The target will have a harder time reading you and/or responding to your pretext. That’s a problem. But it’s an even bigger problem from the vantage point of the SE. How does the situation affect your ability to read the target? Short answer: in just about every way imaginable. Since the majority of telepresence systems typically display just the face of the individual, this has the potential for greatly reducing your ability to read non-verbals and perhaps even microexpressions, depending on the resolution of the monitor and transmission delay. Is the target twisting their hands in anxiety, or steepling to assert dominance? Did you just miss a subtle indicator of facial empathy due to a glitch in video transmission? In addition, both the quality of the person’s microphone and the telepresence speakers may interfere with your ability to determine voice inflection.

You will be forced to make judgments about a person’s openness, comfort levels, and general willingness to assist based on a flat monitor screen of their face and canned levels of built-in speakers.

The final piece of the equation is what research tells us about influence. In 1961, psychologist Stanley Milgram conducted his infamous studies on obedience to authority figures (Milgram, S., (1963) Behavioral study of obedience. Journal of Abnormal and Social Psychology, 67 (4), 371-8.) In short, he found that the majority of individuals would comply with instructions to administer what they believed to be electrical shocks to another participant. What is most relevant to this discussion, however is this;

Milgram ran several variations of his original study, and one of the conditions he found that greatly affected compliance was the proximity of the authority figure (Milgram, S., (1974) Obedience to Authority; An Experimental View. New York: HarperCollins.). People were much less likely to obey as the authority figure’s immediacy decreased. You see where we’re going with this, right? The very fact that you will not be able to physically occupy another individual’s space may affect your ability to influence them.

The Triple Threat

What we have here is a triple threat. A new technology that impacts the target, the SE, and the environment. Despite this, there is little doubt regarding a few points. One, people will rely on technology to protect them. Someone reading this may feel safe from an SE attack behind the comforting barrier of a telepresence robot. Two, attackers will find a way around it through technical and other means. Simply put, hackers have been around as long as there have been barriers to overcome and stuff to break and/or appropriate.

In the best of all possible worlds, telepresence robots are an advancement that opens access to people of all abilities. But with any new “shiny, pretty”, this creates conditions that challenge us at SEORG to think in different ways about pros/cons, and how they may be exploited. Just as we can expect technology to advance, we will be pushed to find new and innovative ways to keep you safe. Until next time.

Written by:  Michele "sn8kebyte" Fincher

Post original en el Mailing de Social-engeneer.org (July 2013 Newsletter Vol. 04 Issue 46)
Para recibir mailing como este, favor de suscribirse en la página social-engeneer.org

Libro: Ciberseguridad en 9 pasos

Hace unos momentos encontré esta liga donde se puede descargar el libro Ciber Seguridad en 9 Pasos, escrito por Dejan Kosutic. A demás de ser un libro gratuito, da excelentes puntos a observar en una estrategia de seguridad de la información y está disponible en español.

Vale la pena cada bit ocupado en el disco de la biblioteca digital.

Sin mas preámbulos, aquí la liga: http://mcaf.ee/bd4jl

Cloud computing en blanco y negro

Con este post, intento dejar claras las diferencias entre algunos conceptos que encontramos a diario en Internet.


Cloud Computing: Es un concepto que engloba en un termino, cualquier servicio basado en suscripción o “Pay Per Use” en tiempo real a través de internet o intranets, las cuales extienden las capacidades de las IT’s. Algunos de los componentes más comúnmente encontrados dentro de este termino son los siguientes:

-SaaS: como Google Apps, Zoho Office.
-Web Services en la nube: como Google Maps, US Postal Service, Bloomberg, entre otros.
-Platforms as a Service: como Google App Engine, Salesforce.com’s Force.com, entre otros.
-Servicios administrados: como antispam, filtrado de contenido.

Entrando en materia, uno de los términos que normalmente encontramos cuando se habla de Cloud Computing es el de SaaS (Software as a Service).

Software as a Service (SaaS): Es un modelo de distribución de software donde las aplicaciones están almacenadas en servidores centrales o en proveedores, haciendo disponible el acceso a sus recursos a través de Internet o Intranets.
Para dejar el concepto mas claro, la diferencia radica en que la licencia y el software no se instalan directamente en el cliente, más bien, este se encuentra disponible en la red empresarial o a través de Internet.

Dado que este blog esta dedicado a la Seguridad Informática, me di a la tarea de incluir unas cuantas ligas que hacen referencia a los aspectos de seguridad a considerar, emitidos por una institución.
En este caso encontré una serie de documentos publicados por la Cloud Security Alliance.

-Critical Areas of Focus in Cloud Computing v2.1
-Top Threats to Cloud Computing v1.0

Es importante revisar ambos documentos antes de implementar cualquiera de estas tecnologías.
En otra ocasión buscare complementar este post con algunos de los puntos que no mencionan estos documentos.

Saludos!

Efectos colaterales de la Ingeniería Social y otros ataques

El problema:

Las personas que han sido afectadas por la Ingeniería Social, se vuelcan en una versión menos cooperativa de si mismos. El problema es mayor ya que también usan estafas como la clonación de sitios, como los de Servicios Financieros (En un texto de Symantec, señalan que en el año 2009, se ha detectado un 74% de ataques únicos dirigidos a este sector), o por engaños de correo electrónico.

Las consecuencias:

Los afectados son renuentes a compartir información debido a la desconfianza que les genera el hecho de burlarse de su buena voluntad.

Estos no solo afectan la imagen de las empresas afectadas, también el usuario sufre un cambio de conducta, negándose a usar nuevas tecnologías. Esto, a su ves, frena el desarrollo de nuevas TI.

Las posibles soluciones:

Mucho se especula acerca de las metodologías a implementar. El mercado de las TI suele volcarse sobre los controles técnicos, los cuales brindan una falsa sensación de seguridad, debido a la forma en la que venden los productos. Otro sector del mercado (menor), se toma el tiempo de evaluar las tecnologías antes de adoptarlas. En otro Sector (menos de 4% de las empresas según el instituto Ponemon en el estudio: "Costs Of Data Breach 2009") basan su desición de compra en un verdadero proceso de análisis de riesgo.

Al final del día, todo eso solo es un complemento. De nada sirve si se implementa el mejor producto evaluado por la empresa, si no se cuenta con un adecuado ciclo de aprendizaje de seguridad de la información aplicado en los empleados.
En la recomendación "NIST 800-50 Building an Information Technology Security Awareness and Training Program", se puede encontar un buen ejemplo de lo que las empresas deben hacer para mejorar sus niveles de seguridad.

La realización de jornadas de Concientizacion de Seguridad de la Información de acceso público por parte de gobierno y/o con la participación de la iniciativa privada, ayudará a mitigar el impacto del problema en la sociedad. Ya que el usuario se sentirá protegido por su conocimiento.

Conclusiones: 

-Cuando cualquiera de nosotros comparte cualquier tipo de información, se espera que sea recibida en las manos correctas, se interprete de manera adecuada y se almacene de manera segura por el receptor, de acuerdo a la información transmitida. Nuestro trabajo como profesionales de la Seguridad Informática es lograr que esa confianza se dé.

-Recordemos que los atacantes siempre intentan vulnerar el eslabón más débil. Ellos, sin duda,  intentarán identificarlo con todas sus herramientas y capacidades. Las empresas y personas deben estar preparados para identificar esos intentos y tener la capacidad para excluir los Falsos Positivos.

-Si el departamento de TI de la empresa, no cuenta con el personal capacitado para identificar los riesgos y llevar a cabo un programa de seguridad de la información, siempre es bueno considerar la participación de un consultor experto en el tema, quien pueda guiar a la Dirección de Tecnologías de Información hacia un buen camino.

Rainbow Tables FTW!

En este articulo de pauldotcom . com John Strand habla de su experiancia como consumidor de las famosas Rainbow Tables.

Interesante para todos aquellos que buscamos una buena referencia acerca del sitio donde las comercializan.

Además en el sitio RainbowCrack Project . org encontré una interesante versión que funciona sobre las GPU's CUDA de Nvidia, acelerando el proceso de crackeo mas de dies veces (según los comentarios en la misma).
Se pueden bajar de este enlace.

Saludos!