Revista Insecure, nº 7


La revista INSECURE acaba de publicar su número 7 correspondiente al mes de Junio.
Como siempre, se puede descargar gratuitamente desde aqui.

Los temas de este nuevo número son:
* SSH port forwarding: security from two perspectives,
part one
* An inside job
* CEO spotlight: Q&A with Patricia Sueltz, SurfControl
* Server monitoring with munin and monit
* Compliance vs. awareness in 2006
* Infosecurity 2006
* 2005 *nix malware evolution
* InfoSec World 2006
* Overview of quality security podcasts

¿Funcionan las copias de seguridad?

Me llama poderosamente la atención, que las empresas tienen poco apego a las copias de seguridad. Son pocas, que yo conozca, que lleven una política de copias realmente seria.
Sin embargo, el día que ocurre un desastre, se echan las manos a la cabeza, lamentando no haberlas hecho el día anterior.
Con los medios que hay hoy en dia y los precios a la baja, no entiendo muy bien porque no se hacen como un trabajo rutinario diario.
Se pueden usar sistemas RAID, copias de servidores, almacenamiento en DVD´s, servidores replicados, etc. y aún asi, hay sorpresas.

Pero suponiendo que alguien las haga y las mantenga, la pregunta sería ¿funciona luego todo bien a la hora de restaurarlo?. La pregunta viene al hilo de un minidebate que surgió en el curso que impartí la semana pasada sobre seguridad. Alguien comentaba que no es fácil hacer una restauración completa. Siempre se presenta algún tipo de problema que hace que la copia no sea 100% efectiva. En este caso ¿cual es el método ideal para que no ocurra un desastre? ¿Quien ha tenido una experincia similar?
Hay que tener en cuenta que cada dia son mas complejos los sistemas de almacenamiento de información dentro de una empresa, y no es sencillo tener una política de seguridad que abarque todos los elementos (bases de datos, correo, documentación interna y externa, comunicaciones, etc)

En mi caso, nunca me he visto en la necesidad de restaurar todo un sistema informático complejo (toco madera). Han sido casos aislados de un par de equipos a lo sumo, pero si que es cierto, que a pesar de las medidas tomadas, el tiempo necesario para la restauración ha supuesto un importante esfuerzo (aunque siempre inferior al que hubiese supuesto la pérdida de esos datos).

¿Acaso se confía en exceso en las copias (quien las haga), para luego dejarnos en la estacada?

Haciendo amigos

La SGAE reclama un canon por descarga a los proveedores de Internet.
Según Javier Vidal, delegado en Galicia, era difícil para la SGAE que los resultados del 2005 superasen a los del 2004 por la incidencia que tuvo en ellos la celebración en Galicia de los conciertos del Xacobeo.

Según las cifras de recaudación por derechos de autor en Galicia, la SGAE alcanzó en el 2005, 16 millones de euros, cien mil menos que en 2004. Las artes escénicas y el cine contribuyeron a mantener el nivel de recaudación tras la bajada de los conciertos de música moderna.

La SGAE reclamó ayer que los proveedores de Internet abonen un canon por las descargas de música que realizan sus abonados.

Si quieres firmar en contra del Canon, firma aqui.

Via Asociación de Internautas

Camyna y las alertas de Google


Supongo que debe ser motivo de orgullo, que tu empresa salga en las noticias de Google, e incluso que sea enviada la noticia a través de las alertas que gestiona el propio buscador. Y mas si la noticia no es por algo malo.

Eso es lo que pensé el otro día cuando recibí en mi correo una alerta con la palabra DLINK, y me enviaba a un post que yo había escrito en este blog. El único problema es que la noticia tiene justo un mes, por lo que pierde esa característica que define a las noticias, la inmediatez. Una de dos, o Google gestiona con mucho retardo las noticias, o es que me llegan a mi con demora, pero me da que pensar que pasará lo mismo con el resto de palabras clave que tengo marcadas.
¿A alguien le ha pasado algo similar?

Y otra cosa, el post hacía referencia a una oferta que aún está en vigor.
Por lo demás, lo dicho, un orgullo.

La seguridad informática en la empresa

El pasado jueves impartí una charla sobre Seguridad informática en la empresa, en El Centro Cogullada de Ibercaja. En ella pretendi dar unas pinceladas sobre la situación actual de la seguridad, sus puntos débiles y algunas formas de corregir estas carencias.
Tambien realicé un par de demostraciones de como se pueden saltar encriptaciones WEP en redes Wifi, o un ataque MITM dentro de una red envenenado la tabla ARP tanto de un router como de un cliente Ethernet o ataque de DoS. La verdad es que la charla fué un éxito, tanto por las prácticas, como por el interés de los asistentes.

Todas las prácticas, así como el software empleado y aconsejado fué con software libre y gratuito. Lo cual demuestra que el tema económico no debe ser un problema a la hora de implantar seguridad en un entorno empresarial (y mucho menos personal).
Para el que pueda estar interesado, puede encontrar aqui la presentación en formato PDF.

Adaptador Wi-Fi para redes eléctricas


Me tira el guante Bambino, sobre este aparato que podría ser la solución para instalar redes inalámbricas ciudadanas. Por mi no hay problema. Todo lo que sea acercar la red al ciudadano, y además negocio 🙂 …

Ahora hace falta que algún Organismo Oficial, se anime también a hacer llegar la red a todo el mundo

Revelación remota de información en D-Link DWL-2100ap

Se ha encontrado una vulnerabilidad en el punto de acceso wireless D-Link DWL-2100ap por la que un atacante remoto podría obtener la información del dispositivo, lo que incluye las contraseñas empleadas.

El problema reside en que un usuario remoto puede realizar peticiones http directamente al directorio /cgi-bin/ y obtener ficheros con extensión .cfg para conseguir información del dispositivo.

La información a la que el atacante puede acceder es sumamente sensible, lo que incluye el usuario y contraseña empleados para administrar el dispositivo, contraseña empleada en WEP y WPA, SSID, IP, máscara de subred, filtros por dirección MAC, etc.

La recomendación del fabricante es actualizarse a esta versión de firmware
Via Hispasec
El fabricante ha puesto a disposición de sus clientes una nueva versión de firmware desde

Google Spreadsheets

Bajo este nombre difícil de recordar, se esconde un nuevo servicio de Google, aunque de momento no es de uso público. ¿Y que es Google Spreadsheets?, pues básicamente es un programa que permite crear y mantener hojas de cálculo, tipo Excel.

Tiene todas las funcionalidades típicas, es compatible con formatos XLS y CSV, y como novedad mas importante es que permite compartir documentos entre usuarios, e incluso editarlos en tiempo real simultáneamente.

Está claro que la estrategia de Google es competir con suites tipo Office de Microsoft, no tanto con OpenOffice, que es gratuita. La pregunta es la que me vengo haciendo desde hace tiempo con respecto a Google, ¿no se estará convirtiendo en demasiado necesario?. Buscador, mapas, gestor de documentos, correo, finanzas, alertas y muchos mas.