Wireless – InfoSecMan Blog

Nace el Centro de Ciberseguridad Industrial (CCI)

Samuel — Mon, 04 Mar 2013 23:23:49 +0000

Muchos sois los que durante estos últimos años me habéis oído “predicar” una y otra vez sobre la necesidad de impulsar la Ciberseguridad Industrial; el camino que otros países (principalmente de habla inglesa) ya habían recorrido por delante de nosotros, los hispanohablantes; la necesidad de iniciativas de formación, concienciación y divulgación específicas en este ámbito para que todos los actores de la industria, usuarios finales, fabricantes, ingenierías, consultoras, asociaciones y como no, la propia administración, den la importancia necesaria a este campo de la Ciberseguridad que tanto afecta a nuestras infraestructuras, a nuestros servicios esenciales y por tanto a nosotros, los ciudadanos, a nuestra sociedad.

Durante todo este tiempo hemos tenido valiosos compañeros de viaje en el estudio de lo que sobre este tema se hacía no ya en nuestro país y en el ámbito iberoamericano, sino a nivel internacional. Aquí, el primer y mayor agradecimiento debe ir sin lugar a dudas para Intermark, que fueron los primeros en creer en nuestras preocupaciones y en apoyarnos en este camino de “descubrimiento” y que, como todos sabéis, es quien nos ha “pagado la nómina” todos los meses de los últimos 5 años (para tranquilidad de nuestras familias :)).

Además, también hemos tenido otros colegas que han aportado mucho a nuestro avance con su apoyo y sus ánimos de distinto tipo desde otras asociaciones y organismos: ISA España, PESI, ISACA, ISMS Forum, INTECO, CNPIC, CDTI, EnergySec, NESCO, CPNI.NL, ICS-ISAC y muchos más que nos dejamos en el tintero.

No podemos olvidarnos de algunos de nuestros clientes, que más que clientes han sido socios, compañeros y amigos, como las ingenierías Técnicas Reunidas, TSK, Initec o Sener, entre otros y sin lugar a dudas, todos nuestros alumnos de los Cursos de Ciberseguridad Industrial y Protección de Infraestructuras Críticas: Amper, ATI Sistemas, CEPSA, Empre, Enagas, Endesa, Services Global Energy Services, S21sec, Iberdrola, Applus+, Nuclenor, Repsol, Tecnatom, Técnicas Reunidas, Yokogawa, Tenocom, GMV, CLH, Siemens, Initec, Ineco, Serem, AENA, Metro de Madrid, Thyssenkrupp, Industrial Química del Nalón, Los Alamos, TSK… y muchos más (seguro que se me olvida alguno, os debo una cerveza ;)).

Otros de nuestros grandes “aprendizajes” tuvieron lugar el 10 de Octubre pasado (día de mi Santo, por cierto) en el que, conjuntamente con Logitek, otros buenos amigos, organizamos el 1er Congreso Español de Ciberseguridad Industrial (vaya desde aquí el agradecimiento a los más de 130 asistentes), y en Septiembre y Noviembre pasado cuando fui invitado y tuve oportunidad de impartir ponencias, workshops y actuar como chairman en los eventos Cybersecurity for Energy & Utilities Qatar 2012 y el Oil & Gas Cybersecurity Summit en Londres, respectivamente.

Finalmente, el mayor agradecimiento y principales pilares para presentaros lo que a continuación viene, no son otros que mi familia: mi mujer Yuly, mis 2 preciosidades de hijas y por supuesto mis padres (por si lo leen, voy a incluir también a mis suegros ;)). Todos ellos/as han soportado muchas noches, fines de semana y fiestas de trabajo que, como una semilla que se planta y ahora comienza a brotar, espero que conviertan en algo positivo para todos nosotros.

Como veis hablo en primera persona del plural: Nosotros. Esto es porque realmente, lo que viene a continuación es obra de un gran equipo trabajo, pero sobre todos unos grandes amigos: Nacho Paredes, José Valiente y el que escribe. Profesionalmente, mi mayor agradecimiento va para ellos. Cuando el brote de la semilla haya crecido y se haya convertido en un árbol frondoso y saludable que ofrezca una sombra agradable, esto habrá sido obra de los tres. Siempre hay algunos que aparecemos más en los medios, o somos más extravertidos, o se nos conoce más, pero sin uno solo de nosotros, esto no habría sido posible. Aquí estamos amigos. El día D ha llegado

Al tema!

Es obvio que llevamos mucho tiempo inmersos en el mercado de la Ciberseguridad Industrial y hemos estado analizando en detalle los distintos actores en este ámbito, cuáles son las necesidades en nuestro país para conseguir que se vaya avanzando, y distintos casos de éxito (y fracaso) en otros países de Europa y en Estados Unidos.

Tras todo este tiempo, hemos llegado a la conclusión de que es totalmente necesario un nuevo actor en nuestro entorno: una organización realmente independiente y sin ánimo de lucro que se encargue de impulsar la Ciberseguridad Industrial en español.

Por ello, hemos (Jose Valiente, Nacho Paredes y yo) creado el Centro de Ciberseguridad Industrial: CCI. Un centro independiente (aprovecho para anunciar que, evidentemente, para que sea así, nos desvinculamos totalmente de Intermark en las próximas semanas) y sin ánimo de lucro, con la misión de impulsar y contribuir a la mejora de la Ciberseguridad Industrial en España y Latinoamérica, desarrollando actividades de análisis, desarrollo de estudios e intercambio de información que permita dinamizar y acelerar el mercado de la ciberseguridad industrial de verdad.

En estos momentos está comenzando a crecer y el próximo 1 de Junio comenzará su actividad al 100% de rendimiento.

Es el primer centro de estas características que nace desde la industria y sin subvenciones por delante. Por ello hemos desarrollado un modelo basado en miembros y patrocinadores.

Ya hemos presentado el centro a algunos usuarios finales, consultoras, fabricantes e ingenierías cercanas, además de por supuesto a algunos organismos relevantes en este ámbito del gobierno español y contamos con todo su apoyo.

Creemos que es la única forma de dinamizar el mercado de forma adecuada, y nos gustaría contar con la mayor representatividad del mercado, por lo que desde ya estáis todos invitados a inscribiros como miembros en el mismo.

Para ello, planteamos varias categorías de membresía: para los “Miembros Básicos” (incluimos aquí también los miembros individuales), será gratuita, favoreciendo la máxima representatividad de la industria en el CCI y la “universalidad” del mismo. Otra opción es la de los “Miembros Activos”, que tendrán una cuota anual, dependiendo su carácter de: usuarios finales (400 euros), proveedores (500 euros) y ámbito académico (300 euros) y la opción de “Subscripción Anual” (2000 euros), que permitirá a los “Miembros Activos” recibir todos los documentos y entregables que se generen sin coste adicional además de acceder sin coste a todos los eventos que organice el Centro (incluyendo el Congreso Iberoamericano anual).

Generaremos 5 documentos en 2013 que distribuiremos en formato borrador para su revisión, modificación, propuesta de cambios, incorporaciones, etc. a todos los miembros activos: “Mapa de Ruta de la Ciberseguridad Industrial en España”, “La Protección de Infraestructuras Críticas”, “Estado de la Ciberseguridad Industrial en España”, “Plantilla de Procedimiento de Incorporación de Sistemas Industriales a la Organización” y “Requisitos de Ciberseguridad para Proveedores de Servicios”.

Organizaremos 5 eventos en 2013: 4 eventos de “La Voz de la Industria” en los meses de Junio, Septiembre, Noviembre y Diciembre y el “Congreso Iberoamericano de Ciberseguridad Industrial” que tendrá lugar en Octubre de este año.

El Centro de Ciberseguridad Industrial (www.cci-es.org) aspira a convertirse en el punto independiente de encuentro de los organismos, privados y públicos, y profesionales relacionados con las prácticas y tecnologías de la Ciberseguridad Industrial, así como en la referencia hispanohablante para el intercambio de conocimiento, experiencias y la dinamización de los sectores involucrados en este ámbito. Para ello, crearemos Grupos de trabajo sectoriales y temáticos, centrados en los aspectos de ciberseguridad de una área industrial determinada o en una cuestión concreta. Previsiblemente, comenzaremos con los sectores de Energía, Químico, Agua y Transporte, siempre supeditado a la demanda de los miembros.

Todos aquellos miembros y patrocinadores que se subscriban antes del 31 de mayo, serán considerados patrocinadores y miembros fundadores y podrán utilizar esta denominación en todos sus materiales.

En todo caso, amigos y amigas, el éxito de esta iniciativa depende principalmente de vosotros. Por nuestra parte, los que nos conocéis sabéis que lo que podemos aseguraros es que pondremos todo nuestro conocimiento, tiempo, experiencia y alma en conseguir que el Centro salga adelante y sea lo que estamos predicando (por nuestro propio bien, por otra parte, puesto que pasamos a dedicarnos al 100% al mismo arriesgando nuestra carrera y reputación profesional, y también personal… en confianza, y con perdón, estamos poniendo “los huevos encima de la mesa”… esperemos que nadie nos los “machaque” :-P).

Tras este “testamento”, no me queda ya más que agradeceros de forma adelantada vuestro apoyo al CCI y emplazaros a que nos sigáis a través de nuestra cuenta twitter @info_cci, descarguéis más información sobre la iniciativa desde su web provisional www.cci-es.org (hasta que publiquemos la definitiva con espacios de colaboración el próximo 1 de Junio, etc.) y por supuesto, nos hagáis llegar todos vuestros comentarios, críticas, felicitaciones y sobre todo, subscripciones a info@cci-es.org

Como dice mi amiga Annemarie Zielstra, es momento de liderar desde el ejemplo (“leading by doing”) y es lo que tenemos la oportunidad de hacer todos nosotros. En lugar de quedar esperando a que algo cambie, cambiémoslo.

Nosotros hemos puesto la semilla, la cuidaremos, regaremos y trataremos con mimo, pero necesitamos vuestra agua, vuestro sol y vuestro calor para que crezca y se convierta en ese árbol saludable y frondoso. Gracias desde ya por vuestra ayuda!

Resumen del Primer Curso de Ciberseguridad Industrial y PIC

Samuel — Thu, 01 Mar 2012 18:34:20 +0000

Hace ya un par de semanas que impartimos el Primer Curso de Ciberseguridad Industrial y Protección de Infraestructuras Críticas con el inestimable apoyo de ISA España (International Society of Automation), y desde entonces tenía pendiente escribir esta entrada en el Blog que resumiese algunos de los aspectos del mismo.

En primer lugar, los asistentes. Finalmente fueron 36 personas las que pudieron asistir al curso (lamento aquellos que os tuvisteis que quedar en lista de espera) que representaron a las principales compañías industriales de nuestro país, especialmente aquellas del ámbito energético. Esto no hace sino confirmar que, en efecto, el sector más maduro en lo que respecta a la Ciberseguridad Industrial probablemente es el energético (o quizás el que más normativas de obligado cumplimiento tiene y quienes primero están siendo notificados en nuestro país por el CNPIC, Centro Nacional de Protección de Infraestructuras Críticas). CEPSA, Enagás, Endesa, Iberdrola o Repsol entre otros, y distintas Centrales Nucleares, estuvieron representados.

Pero también tuvimos la suerte de enriquecer aún más el grupo con fabricantes (como Yokogawa), ingenierías (como Técncas Reunidas, la mayor ingeniería de nuestro país y la quinta del mundo), certificadoras (como Applus) o proveedores de servicios de seguridad (como S21sec). Un grupo multidisciplinar que hizo que pronto surgiese el debate según se iba avanzando en el contenido y a medida que los trabajos en grupo se iban desarrollando.

Momentos álgidos fueron cuando Nacho Paredes mostró ejemplos de Sistemas de Control Industrial vulnerables y accesibles públicamente desde Internet y sin duda la defensa que al final del segundo día, cada grupo de trabajo tuvo que realizar ante el resto del foro, de su presentación a la alta dirección del Plan de Ciberseguridad Industrial que fueron desarrollando durante los dos días.

La competencia fue “feroz” y cada grupo valoró al resto en base a la calidad de la información presentada y su adecuada comunicación. Finalmente los ganadores fueron los representantes del sector nuclear con una excelente presentación en la forma y en el fondo. Se notó su experiencia para defender estos aspectos ante la alta dirección. ¿El premio sorpresa? Unas botellas de vino “personalizadas” identificándolos como ganadores del Primer Curso de Ciberseguridad Industrial

Esto nos sirvió como aperitivo para la cena que ese día organizamos (y que el fabricante de dispositivos de seguridad Sourcefire tuvo a bien patrocinar) y que nos permitió establecer lazos personales más cercanos (aunque los trabajos en equipo y los debates ya habían propiciado ese contacto personal, tan importante).

Finalmente llegó el momento esperado de comprobar el último día, cómo todo lo que habíamos estado describiendo podía llevarse a cabo de forma real en un entorno controlado basado en la maqueta que preparamos para las pruebas.

Tras introducir distintas herramientas y métodos de análisis y ataque, llegó el momento del nuevo reto, en este caso, hacking ¿Quién sería el primero en vulnerar el sistema saltándose los firewalls, pasando por la red corporativa y llegando a la red industrial para activar la sirena, el ventilador y hacer caer la bola del mundo?

Fue muy ameno comprobar cómo los distintos participantes lograban vulnerar unos y otros dispositivos, pero no acababan de recabar toda la información necesaria para llegar al objetivo. Finalmente el ganador que logró activar la sirena, el ventilador y hacer caer la bola del mundo fue el CISO de Técnicas Reunidas quien se llevó otra botellita personalizada

La percepción y valoraciones del curso por todos los asistentes ha sido muy positiva, habiendo recibido numerosas felicitaciones por su parte. Mi opinión es que el alto nivel y variedad de los asistentes, unido a la oportunidad de colaborar y trabajar en equipo, junto con los debates promovidos por las distintas cuestiones planteadas han hecho que el aprendizaje en el curso haya sido elevado de manera importante. De hecho así comenzaba mi presentación del curso: anticipando que todos los asistentes al mismo (tanto profesores como alumnos) aprenderíamos mucho los unos de los otros si lográbamos compartir nuestras experiencias, opiniones y percepciones. Finalmente fue así y creo que este primer grupo ha sido un claro ejemplo de colaboración y compartición de información.

Ahora, como habíamos convenido, sólo nos queda crear el foro de discusión e intercambio de información “Ciberseguridad Industrial Alumni” para que todos esos debates e intercambios iniciados en el curso, tengan su continuidad y puedan convertirse en un espacio colaborativo enriquecedor para todos.

Ya para finalizar, para aquellos que os quedasteis en lista de espera del anterior y para los que me estáis preguntando cuándo habrá nuevas convocatorias, estoy encantado de comunicaros que ya hemos fijado dos nuevas ubicaciones para impartir el Curso en Junio. Los lugares y fechas serán los siguientes:

– Gijón: 12 al 14 de Junio
– Madrid: 20 al 22 de Junio

En pocos días publicaremos ya la información detallada sobre cada convocatoria, formulario de inscripción … y alguna novedad que queremos incluir, que esperamos que os resulte de interés. Mientras tanto si queréis manifestar ya vuestro interés en asistir e ir reservando plaza, podéis hacerlo directamente con un email a mi dirección (samuel.linares [at] gmail [dot] com).

Más detalles en breve!

Primer Curso de Ciberseguridad en Entornos Industriales y Protección de Infraestructuras Críticas

Samuel — Tue, 13 Dec 2011 17:54:21 +0000

Llevaba ya tiempo intentando coordinar un curso en el que poder tratar los temas que tanto me interesan desde hace tiempo y que en el pasado reciente, han comenzado a interesar y aparecer hasta en los medios generalistas: Stuxnet, los ataques a Infraestructuras Críticas, la Ciberseguridad de los Sistemas de Control Industrial, etc.

Pues bien, gracias a ISA (International Society of Automation), durante los próximos 14, 15 y 16 de Febrero, se celebrará en Madrid el Primer Curso de Ciberseguridad en Entornos Industriales y Protección de Infraestructuras Críticas que se imparte en nuestro país.

A continuación incluyo los detalles del mismo (podéis inscribiros aquí: http://www.isa-spain.org/actividad.asp?id=216).

RESUMEN

Las Infraestructuras Críticas son aquellas instalaciones, redes, servicios y equipos físicos y de tecnología de la información cuya interrupción o destrucción tendría un impacto mayor en la salud, la seguridad o el bienestar económico de los ciudadanos o en el eficaz funcionamiento de las instituciones del Estado y de las Administraciones Públicas. Por tanto cada vez más su adecuada Protección no sólo se hace necesaria, sino obligatoria a raíz de la publicación de numerosos marcos regulatorios y directivas internacionales a lo largo de todo el planeta.

Analizar y comprender el riesgo asociado a estas infraestructuras y su relación básica con los Sistemas de Control Industrial es necesario para cualquier profesional de la seguridad involucrado o relacionado con áreas como las TIC, energía, industria química y nuclear, sistemas financieros y tributarios, alimentación o transporte, entre otros.

Este taller llevará a los participantes a través del estudio del estado del arte de la Protección de Infraestructuras Críticas y la Ciberseguridad en Entornos Industriales en todo el mundo, tanto en lo que a legislación y normativa se refiere, como a los estándares, iniciativas, marcos de gestión y tecnologías aplicables, consiguiendo así una visión global de la gestión de la seguridad en este tipo de organizaciones que permita al final del día establecer claramente los siguientes pasos a seguir para asegurar una correcta supervisión, gestión e implantación de las medidas necesarias adecuadas.

Después de completar este taller el asistente podrá:

1. Identificar y definir los conceptos de Ciberseguridad en Sistemas de Control Industrial e Protección de Infraestructuras Críticas, sus definiciones y relaciones, analizando los riesgos e impacto en el negocio y en nuestras vidas, desde las distintas perspectivas de cumplimiento, tecnológicas y de seguridad.
2. Descubrir y analizar el estado del arte de la Protección de Infraestructuras Críticas a nivel internacional (USA y Canadá, Latinoamérica, Europa) en cuanto a regulaciones, iniciativas, estándares, sectores, organizaciones, metodologías, etc.
3. Detectar y analizar la situación actual de la Seguridad en el Sector Industrial y las amenazas y vulnerabilidades de los Sistemas de Control Industrial reconociendo su riesgo asociado.
4. Discutir aspectos organizacionales y de gestión importantes: Director de TI vs. Director de Seguridad vs. Director de Planta vs. Director de Producción/Fabricación. Diseñar y proponer un marco de gestión adecuado en las Infraestructuras Críticas y Entornos Industriales
5. Identificar, describir y adoptar marcos y estándares aplicables en estos entornos: ISA 99, ISO 27001, BS 25999, NIST SP 800-82, etc.
6. Establecer, implementar y adoptar un Programa de Seguridad de los Sistemas de Control Industrial y Diseñar un Plan de Seguridad y Protección de la Infraestructura Crítica.

CONTENIDO DETALLADO

El taller seguirá una metodología participativa de forma que todos los asistentes, mediante la discusión, puesta en común y trabajo en equipo, tengan la oportunidad de asimilar, retener y aplicar más efectivamente los conocimientos adquiridos durante la sesión.

De forma general el contenido de la misma será el siguiente:

1. Introducción. Descripción de la situación socio económica actual y el impacto que la Protección de Infraestructuras Críticas y la Seguridad en Entornos Industriales (o la falta de ellas) puede tener en nuestras vidas, personales y profesionales, en nuestras organizaciones y en nuestros países. (20 min)
2. Términos y Conceptos. Definición e identificación de los distintos términos y conceptos claves: infraestructura crítica, infraestructura estratégica, servicios esenciales, sectores afectados, operadores críticos, plan de seguridad del operador, plan específico de protección, sistemas de control industrial, informática industrial, etc. (30 min)
3. Estado del arte internacional de la Protección de Infraestructuras Críticas: Estados Unidos y Canadá, Latinoamérica y Europa). Revisión del estado de este campo en los distintos países, incluyendo regulaciones, leyes, directivas, iniciativas, sectores, organizaciones sectoriales, grupos de trabajo y estándares. (60 min)
4. Relación entre Protección de Infraestructuras Críticas y Ciberseguridad en Sistemas de Control Industrial: entendiendo el riesgo. Análisis del enlace entre el entorno industrial, el corporativo y su impacto en las organizaciones clave para la supervivencia de un país. Análisis en detalle de un caso práctico: Stuxnet. (60 min). Trabajo en grupos para el análisis de Stuxnet y búsqueda de posibles analogías en distintos entornos (financiero, energético, telecomunicaciones, etc. uno por grupo). (20 min)
5. Aproximación a los Sistemas de Control Industrial. Aspectos básicos de los sistemas de control. Definiciones y explicación de conceptos y componentes claves: SCADA, DCS, RTU, IED, PLC, HMI, FEP, PCS, DCS, EMS, sensores, comunicaciones, wireless (radio, Wifi, microondas, celulares), protocolos (ModBus, ProfiBus OPC, etc.) y capas de red. (60 min). Trabajo en equipo: identificación en grupos de los distintos elementos de un sistema de control sobre documentación proporcionada (15 min)
6. Vulnerabilidades y Amenazas de los Sistemas de Control. El perímetro. Vectores de ataque (líneas de comunicación, accesos remotos y módems, accesos de fabricantes, conexiones a bases de datos, manipulaciones del sistema, etc.). Análisis y contramedidas. (60 min). Trabajo en equipo: análisis de un caso práctico e identificación de vulnerabilidades y contramedidas a adoptar (30 min)
7. Situación Actual de la Ciberseguridad en los Entornos Industriales. Estudio de la tendencia hacia la convergencia entre los sistemas industriales y los corporativos (o de TI tradicional). Resultados de algunos estudios. Ejemplos y casos reales de convergencia y proyectos de convergencia. Análisis de los hechos: “imaginemos un mundo donde un simple resfriado pudiese matarnos: bienvenido al mundo de los sistemas industriales”. Análisis de la seguridad de los sistemas industriales. Regreso al futuro: la seguridad en los sistemas industriales. Algunos casos reales propios sobre problemas de seguridad en los entornos industriales. (60 min)
8. Aspectos Organizacionales y de gestión: Director de TI vs. Director de Seguridad vs. Director de Planta vs. Director de Producción/Fabricación. Aspectos humanos de la seguridad en entornos industriales y protección de infraestructuras críticas. Estudio de distintas alternativas de organización. (30 min).
9. Diagnóstico de la Seguridad en Entornos Industriales. Análisis y puesta en común del diagnóstico de la Seguridad en Entornos Industriales (visión del usuario, del fabricante, de la organización, de las ingenierías, etc.). Siguientes pasos. (30 min). Discusión pública y puesta en común entre los asistentes (15 min).
10. Estándares Aplicables. Descripción general y aplicación en estos casos de ISA 99, ISO 27001, BS 25999, NIST SP 800-82, NERC CIP Standards, etc. (90 min)
11. Recomendaciones y Siguientes Pasos: Estableciendo un Programa de Seguridad de Sistemas de Control Industrial. Diseño de un plan de seguridad y protección de la infraestructura crítica. Estructura. Contenido. Aproximación práctica. (90 min). Trabajo en equipo: análisis de un caso práctico y desarrollo esquema/contenido mínimo de un Plan de Seguridad/Protección. “Role-play” presentación a Dirección del Programa de Ciberseguridad Entorno industrial o Protección Infraestructuras Crítica (120 min)
12. Taller Práctico HOL “Hands On Lab” (360 min). Objetivos:
a. Comprender y aplicar los conceptos relaciones con el diseño de redes seguroas
b. Descubrir y analizar vulnerabilidades en sistemas de control
c. Desarrollar y aplicar estrategias y técnicas de defensa

Este taller permitirá a los asistentes experimentar las dos caras de la Ciberseguridad de los Sistemas de Control:
– Un atacante intentando tomar el control del sistema
– Un gestor intentando defender el sistema de control

Durante los ejercicios, los asistentes serán capaces de identificar componentes vulnerables en la infraestructura del sistema de control, identificar cuáles sería los principales vectores de amenaza y desarrollar las estrategias de mitigación más adecuadas. Para conseguir estos, loa sistentes aprenderán a utilizar aplicaciones software estándares relacionadas con la seguridad como tcpdup/wireshark, OpenVAS o Metasploit, entre otros.

AGENDA

Día 1
9:00-9:30	Bienvenida, presentaciones individuales, etc.
9:30-9:50	Introducción
9:50-10:20	Términos y Conceptos Generales
10:20-11:20	Estado del Arte Internacional
11:20-11:45	Descanso/café
11:20-12:20	Relación entre Protección de Infraestructuras Críticas y Ciberseguridad Entornos Industriales
12:20-12:40	Trabajo en Grupo/Discusión: aplicación Stuxnet otros entornos (uno por sector)
12:40-13:40	Aproximación a los Sistemas de Control Industrial
13:40-14:00	Trabajo en Grupo: Identificación Sistemas Control Industrial
14:00-15:30	Comida
15:30-16:30	Vulnerabilidades y Amenazas de los Sistemas de Control Industrial
16:30-17:00	Trabajo en Grupo: Análisis de un Caso Práctico (Identificación Vulnerabilidades, contramedidas, etc.)
17:00-18:00	Situación Actual de la Ciberseguridad en los Entornos Industriales
Día 2
9:00-9:15	Bienvenida y resumen día anterior
9:15-9:45	Aspectos Organizacionales y de Gestión
9:45-10:15	Diatnóstico de la Ciberseguridad en los Entornos Industriales
10:15-10:30	Trabajo en Grupo: Discusión sobre el diagnóstico presentado
10:30-11:00	Descanso/café
11:00-12:30	Estándares Aplicables
12:30-14:00	Recomendaciones y Siguientes Pasos: Estableciendo un Programa de Ciberseguridad
14:00-15:30	Comida
15:30-16:30	Trabajo en Grupo: Caso Práctico y Desarrollo y Presentación por equipo del Esquema Plan de Seguridad
16:30-16:45	Café y preparación presentaciones
16:45-17:45	Presentación por equipos (10 minutos por equipo) del Programa de Ciberseguridad o Protección y Discusión pública
17:45-18:00	Presentación Hands-On Lab a desarrollar al día siguiente
Día 3
9:00-9:30	Bienvenida y Presentación Taller Práctico HOL (Hands On Lab)
9:30-11:00	Taller y Actividades Prácticas
11:00-11:30	Descanso/café
11:30-14:00	Taller y Actividades Prácticas
14:00-15:30	Comida
15:30-17:00	Taller y Actividades Práctica
17:00-17:30	Conclusiones y Cierre del Curso

FORMADORES

Samuel Linares
Samuel Linares es Director de Servicios TI y Seguridad de Intermark Tecnologías, Experto Evaluador de la Comisión Europea y Gerente del Equipo de Seguridad M45 del Cluster TIC de Asturias. Con más de 16 años de experiencia en seguridad, integración de sistemas y dirección de proyectos, lidera y ha creado los servicios de Seguridad y TI ofrecidos por Intermark Tecnologías y anteriormente de Tecnocom, una de las 3 mayores compañías del sector TIC en España, implementando numerosas soluciones de seguridad en clientes, desde planes directores de seguridad, auditorías o hacking éticos, hasta diseños de arquitecturas de red y servicios seguras. Cuenta en su haber con varias certificaciones como CRISC (Certified in Risk and Information Systems Control), CGEIT (Certified in Governance of Enterprise IT), CISM (Certified Information Security Manager), CISA (Certified Information Systems Auditor), CISSP (Certified Information Systems Security Professional), GIAC Systems and Network Auditor (GSNA), GIAC Assessing Wireless Networks (GAWN), BS 25999 Lead Auditor, BS 7799 Lead Auditor por BSI (British Standards Institution) desde 2002, NetAsq CNE y CNA, Juniper JNCIA-FW, Checkpoint CCSA y CCSE o Sun SCNA y SCSA, entre otras. Samuel es Ingeniero Técnico en Informática por la Universidad de Oviedo, Experto Universitario en Protección de Datos por el Real Centro Universitario Escorial Maria Cristina y Davara&Davara y en la actualidad está cursando el Grado de Psicología en la Universitat Oberta de Catalunya.

Ignacio Paredes
Ingeniero Superior en Informática y actualmente trabaja como consultor de seguridad de la información en Intermark Tecnologías. Desde el año 1999 ha desarrollado su carrera profesional involucrado en proyectos de tecnologías de la información y telecomunicaciones para empresas de distintos sectores (telecomunicaciones, industria, logística, ingeniería, administración pública). Es experto en el diseño e implantación de soluciones de seguridad tanto a nivel físico y lógico como organizativo. Con amplia experiencia en campos como el diseño seguro de redes, hackings éticos, la seguridad en entornos industriales, la seguridad en aplicaciones, planes de continuidad del negocio, la implantación de sistemas de gestión de la seguridad ISO 27001, gestión y tratamiento de riesgos.
Entre otras, posee las certificaciones CISM (Certified Information Security Manager), CISA (Certified Information Systems Auditor), CRISC (Certified in Risk and Information Systems Control), CISSP (Certified Information Systems Security Professional), PMP (Project management Professional), GIAC Systems and Network Auditor (GSNA), GIAC Assessing Wireless Networks (GAWN), ISO 27001 (BS 7799) Lead Auditor por BSI (British Standards Institution), EC-Council Certified Ethical Hacker, NetAsq CNE y CNA, Sun SCNA y Sun SCSA.

José Valiente
Diplomado en Informática de Gestión por la Universidad Pontificia de Comillas, es Especialista en Consultoría Tecnológica y de Seguridad. Con más de 15 años de experiencia trabajando en Consultoras como Davinci Consulting y Tecnocom en proyectos de Seguridad y TI para Gran Cuenta y Administración Pública. Cuenta con múltiples certificaciones de soluciones de fabricantes de seguridad y TI (Cisco CCNA y CCDA, System Security Mcafee, Security Specialist Juniper, Websense Certified Enginer, F5 Bigip Specialist y Radware certified security Specialist)
Actualmente es Gerente de Seguridad en Intermark Tecnologías y experto en la dirección de proyectos para gran cuenta y administración pública. Dirige proyectos de implantación de SGSIs en compañías del IBEX 35 y administración pública, con equipos de trabajo de alta capacitación en seguridad y cuenta con amplios conocimientos en ITIL y PMI, impartiendo formación a empresas del sector financiero y administración pública.

Francisco Uría
Licenciado en Derecho por la Universidad de Oviedo. Experto en Derecho de las Tecnologías de la Información y Comunicación, así como en Seguridad de la Información y Protección de Datos, desempeña en la actualidad las funciones de Consultor Legal dentro de la Dirección de Servicios de TI y Seguridad de Intermark Tecnologías. Además, es ISO 27001 Lead Auditor por BSI (British Standards Institution) y Especialista en Contratación Informática por el Real Centro Universitario de El Escorial.
Actualmente, es también el Responsable del Servicio de Gestión de Órganos de Gobierno de Gobertia Gestión del Conocimiento y Secretario de Consejos de Administración de las empresas de Grupo Intermark.

LUGAR

El curso tendrá lugar en MADRID:
Hotel Meliá Avenida América – C/ Juan Ignacio Luca de Tena, 36
Transporte Urbano: Autobús 146, salida Plaza del Callao y Autobús 114, salida desde Terminal Avenida de América

COSTE

El coste del curso será (I.V.A. INCLUIDO):
– Miembros ISA: 850 euros
– No miembros ISA: 1000 euros
– Sección Estudiantes: 200 euros

Nota: Como bonificación a los no miembros de ISA, se incluye dentro del costo del curso su inscripción gratuita por un año a ISA (costo normal: 100 euros aproximadamente)
Los estudiantes deberán hacer las inscripciones a través de la Sección de Estudiantes de ISA España a la que estén suscritos.
El coste comprende los gastos de impartición del curso, comidas, cafés, y documentación.
Los asistentes deberán llevar un ordenador personal el tercer día.

Esperamos que tenga muy buena acogida y satisfaga vuestras expectativas. Os esperamos a todos en Febrero!!!

Si estuviéseis interesados en organizar alguna otra convocatoria en otras fechas, lugares o “in company”, ponte en contacto conmigo

Aún no me sigues en twitter? (@infosecmanblog): http://twitter.com/infosecmanblog

Estudio sobre Seguridad en Sistemas de Control Industrial de ENISA

Samuel — Fri, 16 Sep 2011 18:35:13 +0000

En fechas próximas ENISA publicará el Estudio “Protecting Industrial Control Systems: Recommendations for Europe and Member States” en el que he tenido la oportunidad de participar en calidad de experto.

Hoy se ha celebrado en Barcelona el workshop “Industrial Control Systems Security” en el que los participantes en el estudio hemos discutido el borrador del mismo y consensuado los contenidos que aparecerán en su versión final. El workshop ha sido todo un éxito, tanto en su organización como en su participación con más de 40 expertos de distintos países y organizaciones (usuarios finales, integradores, fabricantes, universidades, centros de investigación) discutiendo sobre este tema de tanto interés.

Aunque no quiero adelantar su contenido hasta su publicación oficial, sí podemos decir que el mismo se ha basado en el envío de encuestas a más de 100 expertos europeos, entrevistas personales con más de 20 (entre los que tengo el orgullo de encontrarme) y el estudio del estado del arte, publicaciones, estándares, etc. existentes a nivel no sólo europeo, sino también internacional.

El resultado, un entregable excelente con un contenido de mucho valor que resume fielmente la situación existente en este ámbito y una serie de recomendaciones para Europa y los Estados Miembros. Vayan desde aquí mis felicitaciones al equipo de ENISA y de S21Sec que lo han desarrollado y cómo no, también para todos los “stakeholders” que hemos participado en el mismo.

Mencionaré únicamente como adelanto la recomendaciones generales que hace el estudio en su actual estado de borrador (ya las he ido adelantando hoy en mi twitter):

– Recomendación 1: Creación de Estrategias Nacionales y Paneuropeas de Seguridad de los Sistemas de Control Indutrial (SCI en adelante)

– Recomendación 2: Creación de Guías de Buenas Prácticas para la Seguridad de los SCI

– Recomendación 3: Creación de Plantillas de Planes de Seguridad de SCI

– Recomendación 4: Aumentar la Concienciación y Formación

– Recomendación 5: Creación de un “test-bed” común, o alternativamente, una Certificación de Seguridad de SCI

– Recomendación 6: Creación de CERTs de SCI Nacionales

– Recomendación 7: Aumentar la Investigación en Seguridad de SCI, mejorando los Programas de Investigación existentes

Dicho esto, una de mis conclusiones personales es que, en este campo, en cuanto a iniciativas, política, organización, investigación, etc., Europa está al menos 5 años por detrás de Estados Unidos, y que España está al menos 5 años por detrás de Europa, y por tanto, mi impresión es que España está al menos 10 años por detrás de Estados Unidos. Una década es mucho tiempo, pero creo que no lograremos equipararnos al mismo nivel antes, sinceramente. Ojalá me equivoque…

En cualquier caso, creo que iniciativas como esta deben ser el comienzo de un largo camino hacia la mejora de la seguridad en este ámbito, tan necesaria si queremos contar con la competitividad que todos predicamos en los últimos tiempos.

Dejadme lanzar una pregunta al aire: ¿Por qué no se organiza en nuestro país un grupo de trabajo de especialistas en este ámbito de igual forma, aunque sea informalmente? Todos somos competidores, pero estoy seguro que podemos ser colaboradores en muchos casos…. ¿o vivo en el país de los pájaros y flores?

Aún no me sigues en twitter? (@infosecmanblog): http://twitter.com/infosecmanblog

Enlazando las Infraestructuras Críticas y los Sistemas de Control Industrial

Samuel — Fri, 05 Aug 2011 11:57:47 +0000

Las organizaciones existen en un complejo entorno de riesgo regulatorio. La organización típica no tiene implantados los procesos adecuados para monitorizar los cambios regulatorios que le afectan, permitiéndole así determinar el impacto en sus procesos de negocio, priorizarlos y realizar los cambios a las políticas, procedimientos y controles correspondientes. Las nuevas regulaciones, legislación pendiente, cambios de reglas existentes, etc. pueden tener un impacto significativo en la organización.

Tal es el caso de las infraestructuras críticas y las organizaciones que, aún sin serlo, puedan tener necesidades de protección muy superiores a las esperadas. Es conocido que el Catálogo Nacional de Infraestructuras de España está compuesto por 3.600 infraestructuras pertenecientes en un 80% a organizaciones privadas y en un 20% a organizaciones públicas. Todas estas organizaciones están sujetas al cumplimiento de la recientemente aprobada Ley de Protección de Infraestructuras Críticas que les obliga a implantar una serie de medidas y controles de seguridad organizativos y técnicos y por tanto a mantener y gestionar su seguridad de forma adecuada.

Hemos presentado hasta ahora las líneas directrices, planes a medio y largo plazo de la gestión de la seguridad a nivel Europeo y también nacional, pero si continuamos bajando hacia el detalle, las distintas organizaciones deberán desarrollar los correspondientes planes de gestión de su seguridad, no sólo física, sino también lógica o “ciberseguridad” y para ello, además de los correspondientes cambios a nivel organizativo será necesario contar con las herramientas necesarias para aplicar esas medidas de seguridad y más allá de aplicarlas, para gestionarlas de forma integral facilitando así la toma de decisiones estratégicas a los responsables de la organización.

Los sectores críticos industriales como el energético, el transporte o el de telecomunicaciones, entre otros, son pilares clave para la sociedad española y europea. Todas estas organizaciones deben tener en cuenta las vulnerabilidades relacionadas con la tendencia a la interconexión e integración de las infraestructuras de información corporativas con las de planta y producción que hasta ahora venían estando aisladas. Mediante el análisis de las interdependencias y de los “ciber-riesgos”, es claro que queda mucho trabajo por hacer que tendrá una gran influencia en la arquitectura de los futuros sistemas de control. Las compañías eléctricas, organizaciones financieras, compañías de transporte y otros muchos sectores deberán trabajar en arquitecturas que estén protegidas y monitorizadas continuamente en cuanto a su seguridad (no solo a su disponibilidad o eficiencia), de forma que soporten la supervivencia del servicio bajo unas determinadas circunstancias.

Al final, la mayoría de las infraestructuras críticas residen sobre sistemas de control industrial que, debido a la demandada y cada vez más común integración de los “mundos de producción y corporativos”, están totalmente expuestos a amenazas de ciber-ataques y, evidentemente, a un alto riesgo de fallos importantes para la organización que como ya hemos visto, en muchos casos puede, afectar al estado o nación.

Y es que las cosas han cambiado en el “mundo industrial o de producción”. Basta echar un vistazo a las características de los entornos tecnológicos en los que se basan los sistemas de fabricación o producción. Atendiendo a los resultados del estudio que anualmente viene realizando desde hace 11 años la conocida analista Logica denominado “MES Product Survey”, el escenario no difiere mucho del existente en los entornos corporativos tradicionales: las bases de datos predominantes son Oracle y SQL Server, los sistemas operativos varían entre Windows (distintas versiones) con más de un 90% de base instalada y otros como Unix o AS/400; las arquitecturas clientes servidor, los interfaces web son habituales y el estudio concluye indicando que “la tecnología Microsoft es dominante”. Esta afirmación nos hace ver claramente que las cosas han cambiado. El mundo industrial ya no es un mundo propietario, sino que está utilizando las tecnologías de la información a su alcance.

Cada vez más la integración entre el mundo de planta y el corporativo es un hecho. En los últimos años se está asistiendo a una demanda cada vez mayor desde el negocio de la integración de los sistemas de producción con los sistemas de gestión empresarial (ERP) de las organizaciones. Los presupuestos de gestión e integración de los sistemas de fabricación se han incrementado en más de un 600% atendiendo a los estudios ya mencionados. Además estos nuevos sistemas de gestión de la fabricación no proporcionan únicamente información interna a la compañía sino que cada vez más se pretende ofrecer y ampliar la información hacia los sistemas de los proveedores y por supuesto hacia los clientes ofreciendo así un servicio de mayor calidad y muy valorado en estos entornos. Pero esta apertura a terceras partes, además de introducir nuevas funcionalidades y posibilidades para el negocio, introducen también nuevos medios de acceso a sistemas críticos para las organizaciones que hasta ahora estaban aislados y no estaban preparados para estar expuestos a las nuevas amenazas y vectores de ataque a los que ahora se enfrentan.

La convergencia entre los dos mundos es un hecho. Los sistemas de control ya no están aislados y han pasado de utilizar líneas de comunicaciones serie dedicadas, interfaces físicos y protocolos propietarios a utilizar la misma tecnología y protocolos que cualquiera puede estar utilizando en su casa, con redes Ethernet, inalámbricas compartidas y por supuesto todo basado sobre el protocolo TCP/IP. Los dispositivos industriales han dejado de utilizar sistemas propietarios para pasar a utilizar sistemas operativos de propósito general (como Microsoft Windows o Linux, entre otros). En definitiva, han heredado todas las características y problemas de las Tecnologías de la Información tradicionales en los entornos corporativos.

Si imaginásemos un mundo donde un simple resfriado pudiese matarnos, estaríamos viendo el mundo de los sistemas de control industrial, en lo que a seguridad se refiere:

– Los sistemas de control han sido diseñados sin introducir los requisitos de ciberseguridad básicos, como se desprende de las noticias que durante el último año hemos estado viendo desde la aparición de Stuxnet, y sin ir más lejos, los hallazgos presentados ayer mismo por Dillon Beresford en la Black Hat 2011 en Las Vegas relativos a las vulnerabilidades de los PLCs S7-300 de Siemens.

– Las redes inalámbricas son habituales en este tipo de entornos, cuando es conocido que su disponibilidad no está garantizada (olvidándonos ya de la confidencialidad de la información que fluye por ellas). Con un inhibidor de frecuencia de bajo coste es posible inhabilitar una red inalámbrica con las consecuencias que podemos imaginar (por ejemplo que una pala de descarga de carbón deje caer varias toneladas de carbón encima de un grupo de personas en lugar de encima de un camión).

– Existen dispositivos de filtrado (firewalls) habitualmente defendiendo el perímetro, pero en casi ningún caso existe esa seguridad hacia los segmentos internos, cuando se ha demostrado que la mayoría de los ataques o problemas vienen desde dentro.

– Entre el 80 y el 90% de los sistemas SCADA y de control están conectados a las redes corporativas, aun cuando en muchos casos el Departamento de Tecnologías de la Información ni siquiera es consciente de ello.

Habitualmente los sistemas de control industrial no requieren autenticación ni autorización, no utilizan técnicas de encriptación y cifrado de datos y no manejan adecuadamente los errores o excepciones, todo ello debido a su entorno aislado originalmente, lo que ha hecho que al “conectarlos” a las redes corporativas de las organizaciones se hayan abierto (en la mayoría de los casos inconscientemente) distintas fuentes potenciales de ataques como los siguientes, entre otros:

– Intercepción y manipulación de datos: cualquiera podría manipular los datos intercambiados entre los PLCs y los Sistemas de Control y SCADA falseándolos

– Denegación de servicio: como se ha indicado en el caso de las redes inalámbricas es relativamente sencillo causar una pérdida de servicio a este tipo de sistemas.

– Falseo de Direcciones: un usuario malicioso puede falsear la “identidad” del PLC o del sistema SCADA y comenzar a comunicarse con el resto de sistemas como si fuese este modificando el funcionamiento global.

– Modificación de datos de registro (logs): en muchos casos es posible modificar los registros de actividad (de hecho en muchos casos no existen si quiera estos registros de actividad) con lo que una actuación maliciosa puede convertirse en “invisible” al no existir trazabilidad de las acciones efectuadas.

– Control no autorizado: aprovechando muchas de estas vulnerabilidades un tercero puede tomar el control global del sistema sin demasiados esfuerzos.

Todos estas vulnerabilidades, amenazas y vectores de ataque realmente no son ninguna novedad en los entornos de Tecnologías de la Información tradicionales donde en muchos casos ya están siendo mitigados, monitorizados y gestionados. Sin embargo en los entornos industriales, como se ha descrito, no se están controlando este tipo de amenazas en ningún sentido cuando la gran diferencia entre ambos mundos es sin duda el impacto. Como se pude desprender de todo lo descrito hasta ahora el impacto de la disrupción, brecha o mal funcionamiento de estos sistemas es mucho mayor llegando a las pérdidas humanas o, como se comenzaba exponiendo en este documento, a las amenazas a la seguridad de la nación y del modo de vida de nuestra sociedad.

Dejaremos para la siguiente entrega de la serie las tendencias tecnológicas y el mercado actual en esta área y finalizaremos la serie con una receta “sencilla” para la mitigación del riesgo existente en este tipo de entornos. Pero eso será dentro de unos días…

Aún no me sigues en twitter? (@infosecmanblog): http://twitter.com/infosecmanblog

322 Días Después…

Samuel — Tue, 30 Mar 2010 15:47:41 +0000

Hace casi un año que no actualizo el Blog. En ese tiempo algunos de vosotros os habéis puesto en contacto conmigo y os he ido indicando las razones por las que había dejado “congelado” este espacio: principalmente falta de tiempo y otras prioridades personales/profesionales.

Como habríais notado en los últimos tiempos del Blog, no sólo estaba centrado en el ámbito de la seguridad (que por supuesto también) sino que comencé a abordar otros campos que para mí tenían (y tienen) mucho interés como el Gobierno de TI, la Seguridad en Entornos Industriales y Protección de Infraestructuras Críticas, la Psicología de la Seguridad o todo este “nuevo” mundo del Cluod Computing, entre otros.

En esa línea, durante este tiempo (hoy hace 322 días, casi 11 meses, que no actualizaba el Blog) han pasado cosas interesantes:

He tenido una hija que tiene, casualmente, 11 meses … (y ya 8 dientes!)

Estoy cursando el segundo semestre del Grado de Psicología en la UOC y voy por la octava asignatura con unos resultados que me están sorprendiendo muy gratamente (no solo en las calificaciones sino en la nueva perspectiva a aplicar en el resto de temas que estoy manejando).

Desde Intermark seguimos investigando, participando y ejecutando temas de mucho interés en Seguridad en Entornos Industriales. En este sentido muy recientemente hemos coordinado e impartido el 1er Taller de Seguridad en Productos y Sistemas de Control Industrial (SCADA) organizado en nuestro país, coincidiendo con el I Encuentro Internacional CIIP organizado por el CNPIC (Centro Nacional de Protección de Infraestructuras Críticas).

Estoy participando todo lo activamente que puedo en la Comisión para el Buen Gobierno Corporativo de las TIC del capítulo de Madrid de ISACA, en las Comisiones de Seguridad y de Software de ASIMELEC y en el recientemente constituido grupo de Cloud Computing de dicha comisión, entre otros.

Tras habernos certificado en ISO 27001 el año pasado (además de 166001 y 9001 hace tiempo ya), en Intermark estamos en pleno proceso de implantación de ISO 20000, con un objetivo de certificación antes de final de año.

El Equipo M45 de seguridad en el que participo como Gerente, lleva ya casi 2 años de feliz andadura con importantes logros y referencias en el ámbito de la Administración Pública. Enhorabuena desde aquí a todos sus participantes. Creo que somos un gran ejemplo de trabajo en colaboración entre empresas y profesionales de un mismo ámbito que en ocasiones pueden ser competidores y en otras aunar esfuerzos en busca de un objetivo común.

Han pasado muchas más cosas, pero creo que con este pequeño resumen (de hecho únicamente con el primer punto sería suficiente) podéis justificar mi ausencia “bloguera”.

Como está próximo mi cumpleaños, voy a intentar “regalarme” el propósito de continuar estando presente aquí con nuevos contenidos y espero que diversas noticias profesionales, del sector (y personales) que puedan ser de vuestro interés.

A los que me habéis ido preguntando: aquí estoy de nuevo. Al resto, ya que estáis leyendo esto, gracias por permanecer a la escucha.

Seguiremos informando

Que Llega la Gripe… WiFi!

Samuel — Fri, 25 Jan 2008 17:32:35 +0000

Estamos en tiempo de gripe. Todos conocemos amigos que han pasado por ella o incluso nosotros la hemos sufrido. Una auténtica epidemia. Una vez que comienza se extiende a gran velocidad por todo el país.

¿Qué ocurriría si un código malicioso se extendiese con la misma facilidad que la gripe?. Hasta ahora la transmisión de todos los gusanos, troyanos, etc. se basa en las redes de comunicaciones existentes y vulnerabilidades en los distintos sistemas (personales y servidores). Pero con la aparición de las redes inalámbricas surge un nuevo posible medio de transmisión de estos “virus”: el aire.

Un equipo de investigadores de la Universidad de Indiana ha publicado un estudio bastante revelador que advierte que un ataque que tuviese como objetivo los routers inalámbricos y se propagase por este medio a otros routers cuyas coberturas coincidiesen en algún punto se transmitiría rápida y fácilmente a toda una ciudad en muy poco tiempo.

El equipo de la Universidad de Indiana mapeó las redes inalámbricas existentes en diversas ciudades (como Chicago, Boston, Nueva York o San Franciso) y para el modelado del ataque tuvo en cuenta el estado de seguridad de las mismas (libre acceso, con WEP, WPA, con la password por defecto, etc.). El resultado, aun siendo lugares de distinto tamaño, composición y geografía, fue muy semejante. Inicialmente se veía una fase de infección muy rápida en la que eran los routers de redes de libre acceso los primeros infectados, para continuar con una segunda fase de crecimiento más lento que afectaba a los routers con encriptación WEP. Aquellos con WPA y autenticación fuerte, para la naturaleza de este ataque, eran inmunes. Una vez que las distintas fases de la infección tuvieron lugar, entre el 10 y 55% de todos los routers existentes en el área analizada habían sido infectados.

Curiosamente, los patrones de infección del ataque modelado se asemejan mucho a aquellos correspondientes sus equivalentes biológicos. Es algo similar a una infección que se transmita “por el aire” o por contacto o proximidad. Accidentes geográficos como un río o una montaña (sin cobetura ) pueden contener la infección, así como la existencia de un router “frontera” entre 2 áreas de cobertura que tenga configurado WPA.

Interesante, ¿verdad? Hasta el momento no se ha descubierto aún ningún ataque similar, pero es sólo cuestión de tiempo que aparezca alguno, especialmente ahora que empiezan a existir gran número de routers buena parte de los cuáles pertenecen a, probablemente, menos de 10 fabricantes y modelos.

Y yo me pregunto, ¿qué pasaría si se desarrollase algo parecido, ya no para wireless 802.11, sino para una red GSM o UMTS?… Tremendo!

Podéis acceder al estudio completo aquí (muy interesantes los gráficos de propagación en una ciudad real a las 6 horas, a las 24 horas, etc..)

HoneySpot: El Honeypot Inalámbrico

Samuel — Tue, 15 Jan 2008 12:44:22 +0000

Como siempre, Raúl Siles no deja de sorprendernos con nuevos contenidos y estudios muy interesantes. En este caso de la mano del Spanish Honeynet Project ha publicado un interesantísimo artículo sobre el despliegue de honeypots inalámbricos (HoneySpots, como él los llama) en el que comenzando con una introducción a los honeypots a lo largo de la historia, pasa después a analizar sus objetivos y su taxonomía.

Aquellos que estén interesados en el diseño y arquitectura de un honeypot inalámbrico (por el momento 802.11, más adelante parece que incluirán otras tecnologías, como bluetooth o WiMAX), sus componentes, requisitos o simplemente en ampliar sus conocimientos en seguridad inalámbrica, tienen en este artículo una lectura obligada.

Podéis acceder al artículo completo aquí. En el blog que comparte con David y Jorge, ha incluído un resumen del mismo y un par de enlaces bastante interesantes a 2 informes (gartner, ABI) publicados recientemente en los que se recoge lo mejor y peor de distintos fabricantes de tecnología inalámbrica. Echadle un vistazo. Es interesante.

BackTrack 3.0 Beta Disponible

Samuel — Tue, 18 Dec 2007 13:52:42 +0000

Estamos de enhorabuena. Hace muy pocos días los chicos de Remote Exploit han publicado la versión 3.0 Beta de la conocida (y excelente) distribución de seguridad de Linux.

Las principales novedades son (extraído textualmente):

* We will be releasing a ~ 1 GB USB / DVD image, as well as a stripped down 700 MB iso.
* Dual core issues have been fixed.
* Wireless card compatibility has maximised, and injection patches applied wherever possible.
* Xorg configuration scripts have been improved.
* Updated exploit repositories, updated metasploit exploit framework and dependencies.
* PXE network boot feature finally added (USB Version)
* PwnSauce Instant John the Ripper Cluster feature finally added (USB version)
* Compiz with ATI/Intel Drivers (USB version)
* Linux bt 2 6 21 5 #2 SMP

Podéis descargar BackTrack 3.0 Beta aquí.

Preguntas y Respuestas en Freakonomics (o “Zapping Schneier”)

Samuel — Mon, 10 Dec 2007 16:38:49 +0000

En el anterior post incluía una referencia a la visión de la seguridad de la información que 2 gurús de nuestro campo daban para los próximos 10 años.

En esta ocasión, recojo otra referencia a una serie de respuestas de Bruce Schneier a los lectores de Freakonomics. Son una serie de respuestas breves y concisas a los más diversos temas (sobre seguridad, tecnología, economía, etc.), todas ellas muy interesantes.

Si sois lectores asíduos de Schneier no descubriréis nada nuevo en esta recopilación, aunque sí un resumen muy entretenido de sus posturas y de algunas ideas interesantes (yo diría que es como un resumen tipo los programas de “zapping” de la televisión).

Si por el contrario no seguís muy de cerca a Mr. Bruce, este resumen os resultará una lectura muy interesante que os dará una visión clara de algunos de los temas clave que destacan en nuestra sociedad (tecnológica).

Podéis acceder a las preguntas y respuestas aquí. También hay un hilo (thread) sobre las mismas en Slashdot.