Hackers, ciberdelicuentes y la mala prensa

Este tema es un tema que me toca la moral, o la cibermoral, por decirlo de un modo mas técnico. Así que recupero una antigua entrada, la actualizo y vamos allá.

Cuando miramos la increible definición que la RAE tiene sobre hacker:

hacker
Voz ingl.
1. m. y f. Inform. pirata informático.
Real Academia Española © Todos los derechos reservados

¿Alucinante verdad?, si seguimos consultando esta fuente inagotable de conocimiento tecnológico:

pirata informático, ca
1. m. y f. Persona que accede ilegalmente a sistemas informáticos ajenos para apropiárselos u obtener información secreta.
Real Academia Española © Todos los derechos reservados

Es curioso, hace muchos años ya me dedicaba a temas de seguridad y el primer libro "físico", con páginas, de las que se tocan y da gusto pasar, que compré sobre el tema de los hackers fue allá por el 2001 y se llamaba, no os asustéis con el título, os adjunto una foto:

 
Copyright: © 2001 by Data Becker GmbH & Co. KG

Alguna vez suelo cogerlo, y siempre, siempre, siempre lo primero que hago es mirar la contraportada y ver el precio, os adjunto una foto, que no tiene desperdicio:

 

Allá quedaron las pesetas.

Bueno pues sabéis con que palabras comienza el prólogo de este libro...si...exactamente, lo habéis adivinado: "Piratas informáticos...bla bla bla"

Fijaos lo curioso del tema, si consultamos Wordreference, también es interesante la definición:

Wordreference
hacker
(voz i.) com. inform. Persona muy aficionada y hábil en informática que entra ilegalmente en sistemas y redes ajenas:
el hacker se adentra en un sistema como desafío intelectual

Pero, ¿alguien se ha preguntado alguna vez que piensa un verdadero hacker sobre esto? Bueno, pues os puedo decir que un hacker no es un ciberdelincuente. Anda mira, esa palabra nueva define lo que los "malos" hacen con la tecnología ¿curioso no?

Un hacker es una persona que totalmente enamorado de la tecnología, apasionada, busca sus limites, agujeros, puertas traseras o simplemente errores, para rápidamente solicitar que se corrijan por el bien común, es curiosa y dedicada así como comprometida con el aprendizaje, con la investigación. Realizar comprobaciones de seguridad sobre un sistema, ponerse en la piel del ciberdelincuente y ver los agujeros que tiene todo sistema tecnológico, permite protegerlo mejor y mejorarlo en la medida de lo posible ante futuros ataques. No existe un sistema 100% seguro, hay que revisarlo periódicamente y tiene que haber tecnólogos que lo pongan a prueba.

Hay que señalar que en muchos casos, no solamente se utiliza este término en el ámbito de la informática, el espíritu de esta cultura se extiende a cualquier conocimiento humano donde la creatividad y la curiosidad son vitales.

El objetivo del ciberdelincuente es fundamentalmente una actividad delictiva, en cambio un hacker puede ser un investigador, un profesional o un estudiante, por poner algunos ejemplos, con altos conocimientos informáticos.

Hace ya bastantes años que se dividió a los hackers en 3 categorías, aunque no estoy muy de acuerdo con esto, tengo que comentarlo si toco este tema:

- Los hackers de sombrero blanco (white hat), los buenos, los profesionales de la seguridad, los que revisan todo para que no entren los malos.

- Los hackers de sombrero negro (black hat), los que usan sus destrezas de forma maligna, los que se dedican a crackear sistemas. Normalmente se mueven por intereses propios.

- Y finalmente los hackers de sombrero gris (gray hat), que sería como un hacker con conocimientos de sombrero negro y que se dedica a chequear sistemas, encontrar agujeros y cobrar por solucionarlos. Digamos que es una mezcla entre los dos tipos de hackers anteriormente comentados.

Yo creo en la división de los expertos tecnólogos que se dedican a reventar sistemas, basicamente, los hackers que son los buenos, los que intentan que las cosas funcionen correctamente y con seguridad, y por otro lado los ciberdelincuentes, que movidos por diferentes motivaciones se dedican a hacer el mal.

Hay por ejemplo un termino que define a los ciberdelincuentes que se fundamentan en una ética, unos ideales, que son los hacktivistas.

Pero bueno no me quiero liar, la idea era aclarar un concepto que, siempre que alguien ha visto una noticia sobre un "hacker" que pertenecía a una mafia y ha hecho algo muy malo, me veo obligado a corregir y adiestrar a la gente a decir: ciberdelincuente.

Creo que el problema fundamental es como se dan las noticias y, en muchas ocasiones, la falta de información de los medios con respecto a la seguridad informática.

SaluDOS.

Auditorias de seguridad: que son y cual es el objetivo

Quizás esta entrada la comienzo con una frase retorcida, pero me encanta, como Eugene Howard Spafford dijo “el único sistema que es totalmente seguro es aquel que se encuentra apagado y desconectado, guardado en una caja fuerte de titanio que está enterrada en cemento, rodeada de gas nervioso y de un grupo de guardias fuertemente armados. Aún así, no apostaría mi vida en ello”.

Una auditoría de seguridad informática es una evaluación de los sistemas informáticos, cuyo objetivo es detectar los posibles problemas y amenazas a la seguridad que permitiesen el acceso a un atacante ajeno al sistema informático. Principalmente se buscan vectores de ataques que aprovechen vulnerabilidades, formas ingeniosas de acceder al sistema a través de los empleados, a través de las redes wifis de la compañía, etc. El resultado final es un informe que se entrega al responsable TIC, para que subsane los "agujeros" encontrados. Aquellas vulnerabilidades críticas, se van informando directamente al responsable TIC para que las subsane inmediatamente e intentar evitar que no pase nada mientras la seguridad de la empresa se está poniendo en jaque por el auditor.

Las auditorias pueden ser de muchos tipos: Internas, externas, perimetrales, de seguridad física, tests de intrusión (de caja negra, blanca y gris), de páginas webs, de bases de datos, de códigos fuentes o aplicaciones específicas, de ingeniería social, etc.

Es en la firma del contrato con la empresa auditora donde además de otros parámetros que no vamos a entrar a detallar, se firma el tipo y el alcance que tendrá la auditoria.

Tradicionalmente los 3 elementos a proteger en un sistema informático, y que se evalúan en una auditoria son:

- Hardware: Como siempre he dicho, aquello que si te cae en el pie te hace daño. Servidores, electrónica de red, almacenamientos, equipos clientes, etc.

- Software: Las aplicaciones, desde las que corren en servidores, clientes y equipos especiales hasta las de tablets, móviles corporativos, etc. Es el conjunto de programas, instrucciones y reglas informáticas que hacen funcionar el hardware.

- Datos: Que decir de los datos. ¿Te imaginas si por ejemplo un fabricante de coches consigue los planos del nuevo diseño que va a realizar la competencia? ¿Te imaginas si por ejemplo un fabricante de aviones consigue las especificaciones técnicas de un nuevo motor que va a realizar la competencia? Todo eso se traduce en dinero, mucho dinero. Es lo más valioso a proteger. Es la información lógica de la organización, el resultado de la labor realizada.

Este podría ser un esquema típico de las capas que tendría que atravesar un atacante para llegar a los datos.

Si puede colarse en la red, encontrar una vulnerabilidad para acceder a los servidores, hacer un escalado de privilegios y tener acceso a las aplicaciones que contienen los datos...mal vamos. Se que parece como "de película", pero muchos de los sistemas informáticos tienen vulnerabilidades suficientes a explotar que permiten hacer esto y mucho mas. Fijaos, en muchas auditorias actuales encuentras vulnerabilidades del 2004, 2005...es demencial. Si pensamos en los cajeros automáticos de los bancos, a mediados de 2015 se estimaba que el 95% todavía tenían Windows XP instalado. Si exacto, ese Windows que ya no está soportado ni actualizado por Microsoft para los particulares, aunque para las grandes empresas y sobretodo entidades bancarias sea diferente, o eso dice. ¿Os imagináis las posibles vulnerabilidades que tendrán? Mejor no pensarlo.

Hay un 4º elemento que siempre se ha nombrado, pero es un poco polémico en cuanto a las auditorias de seguridad. Son los elementos fungibles: son aquellos que se gastan o se desgastan con el uso continuo, como el tóner, los cartuchos, el papel, los CDs o DVDs. Bien, hasta aquí a priori parece que no tiene mucho que ver con la seguridad informática, pero ¿Que pasa con las impresiones de temas confidenciales o los CDs y DVDs que ya han cumplido su función y se tiran? En muchas empresas no se es consciente de la importancia que tiene la información almacenada en un mísero papel, o en un CD que se ha grabado para presentar en un portatil de la sala de reuniones 4 datos a un cliente y que luego se lanza a una papelera.

De momento ahí lo dejamos. Es posible que hable mas sobre este tema...que me gusta y mucho!!!

SaluDOS.