Predicciones de seguridad y la naturaleza humana

Predicciones de seguridad y la naturaleza humana
	VSantivirus No. 1278 Año 8, martes 6 de enero de 2004 Predicciones de seguridad y la naturaleza humana http://www.vsantivirus.com/ev-predicciones.htm Por Enciclopedia Virus () http://www.enciclopediavirus.com/ [Publicado con autorización de Enciclopedia Virus] Según publica Computerworld, en sus predicciones para la seguridad en 2004, todo se basa siempre en tres temas. Se haga lo que se haga en materia de seguridad para nuestras computadoras, si esos temas no se tienen en cuenta, de poco valdrá el esfuerzo. Peter H. Gregory es un reconocido consultor en tecnología y seguridad, autor de varios libros sobre el tema para Solaris y ambientes corporativos. En un artículo de Computerworld que lleva su firma, Gregory vaticina para 2004, un aumento de la actividad maliciosa, simplemente porque así es la naturaleza humana. Y teniendo en cuenta que en 2003 se crearon en todo el mundo, más de cien millones de conexiones nuevas de banda ancha, las posibilidades de que a alguien se le ocurra hacer algo malo aumentan. Cómo contrapartida, las organizaciones tomarán cada vez más control de las infraestructuras y las redes, particularmente en los sistemas de usuario final, aunque esto, seguro no será bien recibido por todos. Con este panorama, aunque tal vez podamos estar en desacuerdo con algunas de las predicciones más puntuales que se plantean en el artículo original, es también cierto que los puntos tratados por Gregory, son un buen inicio para empezar a entender cuánto del tema seguridad pasa por nuestra propia conducta y responsabilidad, y cuánto por el de los fabricantes de software y hardware. Estas son las predicciones de seguridad para 2004. Spam* No es una novedad que los spammers son cada vez más creativos, sobre todo a la hora de eludir los filtros. Textos camuflados (V..i.a,.g..r,,.a por ejemplo) hacen casi imposible bloquear el spam filtrando palabras. El uso de gráficos con el texto, formatos codificados (imágenes incrustadas en el mensaje mediante una codificación en base64 por ejemplo), o reenvíos desde direcciones IP que no tienen un nombre de dominio asociado, son algunas de las muchas técnicas. Muchas veces, éstas técnicas se basan en recientes desarrollos, lo cuál se convierte en un desafío para los fabricantes de programas anti-spam, y en frustración para los usuarios. Las organizaciones empiezan a medir los costos por productividad perdida, o los aumentos de éstos en los procesos del correo electrónico, ocasionados por el spam. Esto lleva a que los departamentos de seguridad aumenten sus esfuerzos para solucionar estos problemas, aunque más no sea porque es una manera de dejar contentos a los gerentes. Debido a las formas utilizadas para controlarlo, cambiará la definición de spam. Ya no será "correo basura", sino "correo no deseado", tanto para consumidores como para los trabajadores en la oficina. El correo solicitado la semana pasada, se convierte en spam esta semana. Un empleado que se suscribe a una lista en enero, puede que no la quiera más en abril. Será más fácil marcar el mensaje como spam que desubscribirse. Los mensajes seguirán llegando, pero serán bloqueados antes de que el usuario los vea. Acceso a Internet Con el discurso de la productividad, las organizaciones más grandes tomarán en serio el control de acceso a Internet, filtrando los sitios que el empleado podrá ver en su monitor. Tres justificaciones dominarán las decisiones al respecto: productividad, seguridad y responsabilidad legal. Gregory explica estos conceptos. Al menos en Estados Unidos, han existido numerosos pleitos por hostigamiento sexual, de parte de empleados que ven a sus colegas navegar por sitios pornográficos en el trabajo. Los empleados demandan a sus jefes por haber visto estas imágenes y para que estos hagan algo por evitarlo. Control del escritorio Las empresas comenzarán a ser más estrictas al bloquear la capacidad de los usuarios para instalar cualquier clase de software y para realizar cambios en la configuración a sus propios sistemas de escritorio. Windows 2000 tenía esta capacidad, y también el XP si se lo configura correctamente; pero gracias a las plataformas Windows 95, 98 y Me, relativamente incontrolables, los usuarios están acostumbrados a personalizar sus sistemas, con la capacidad de realizar cambios de configuración y de instalar, poner al día o incluso quitar programas a su voluntad. Aunque esto será impopular, deberá hacerse si los departamentos tecnológicos desean recuperar el control de su ambiente. Una porción importante de las llamadas a los técnicos, se asocia con usuarios que han desconfigurado sus sistemas, o con problemas causados por la instalación de software no aprobado. Consecuentemente, pocos usuarios tendrán privilegios de administrador en sus sistemas (lo que parecería lógico al verlo así escrito, pero que no se tiene en cuenta en la práctica). Gregory responde a la pregunta que se pueden plantear los usuarios, sobre que puede hacer por la seguridad el hecho de que no pueda modificar su propio escritorio. La respuesta es que un ambiente que carece de integridad (tal como aquél en donde los usuarios son capaces de realizar cambios de configuración a su voluntad), sufrirá del correspondiente deterioro en su seguridad global, porque los cambios hechos por los usuarios, a menudo harán que sus sitios de trabajo sean más vulnerables, sin olvidar que en otros casos, directamente serán cambios hechos con intenciones maliciosas. Cortafuegos personales Gracias a gusanos como Blaster, Nachi y otros surgidos en 2003, el uso de los cortafuegos personales en los sistemas de usuario final, finalmente conseguirán imponerse. Muchas compañías encontraron que estos gusanos consiguieron acceso a sus redes, a través de las computadoras portátiles infectadas que no tenían cortafuego. Los laptops y notebooks, se infectaron cuando sus usuarios se conectaban a Internet desde sus casas, donde no había un cortafuego para protegerlos. Los principales gerentes corporativos, que desean proteger sus trabajos evitando se repita lo de 2003, están financiando el uso de cortafuegos personales a nivel de todos sus empleados. Solo falta ver si los podrán manejar eficazmente, y además, conservar la capacidad de manejar a las propias computadoras. Metadatas chismosos Los "metadatas" son los registros de cambios realizados en los documentos, textos ocultos, información almacenada de versiones anteriores, memorándums internos, etc., y que podrían convertirse en un gran agujero para la fuga de información. Las herramientas que destruyen a los metadatas, gozarán de un uso cada vez más amplio. Además, en 2004 o 2005, Microsoft agregará esta característica a Word, Excel, PowerPoint y a otros de sus programas, quizás adquiriendo alguna herramienta de terceros. USB flash drives Algunas compañías importantes procurarán prohibir el uso de los "Flash Drives" conectados a puertos USB (una memoria flash de gran capacidad de almacenamiento, que algunos veían como la sustitución de disquetes y otra forma de intercambio de información entre computadoras). Esto ocurre porque empleados sin escrúpulos los están utilizando para divulgar información propietaria de las corporaciones. Aunque este es un problema para las organizaciones, es un claro ejemplo de que el problema no está en la tecnología, sino en la gente. Acceso ilegal a Wi-Fi Wi-Fi es el estándar de redes inalámbricas. Se espera por lo menos un ataque a alguna red corporativa Wi-Fi que será muy publicitado. La causa de este ataque podría ser tanto una mala protección de la red, como un punto de acceso creado por un mal empleado sin autorización. Cueste lo que cueste, el incidente despertará a esas compañías aún descuidadas y negligentes con dichas vulnerabilidades y las estimulará a realizar acciones para evitarlas. Bluetooth Bluetooth es una norma abierta para una tecnología de punta que posibilita la conexión inalámbrica de corto alcance de voz y datos entre computadoras de escritorio y portátiles, agendas digitales personales, teléfonos móviles, impresoras, escáners, cámaras digitales e incluso dispositivos domésticos, a través de una banda disponible a nivel global (2,4 Ghz) y mundialmente compatible. La misma gente que hackea computadoras, envía spam y hace antenas con latas de papas vacías (Pringles cans), descubrirá Bluetooth y comenzará a experimentar y a abusar con sus aplicaciones. La publicidad negativa puede hacer que Bluetooth vuelva al tablero de diseño. Esto es algo que ya debe sonar conocido para muchos, y aunque Gregory se pregunta porqué alguien querrá hacer eso a tan poca distancia de su víctima (por las limitaciones de la propia tecnología), no duda que ocurrirá. Teléfono móvil hackeado Los teléfonos móviles están actuando cada vez más como terminales de datos inalámbricos, con los sistemas operativos más livianos. Gregory afirma que con estas facilidades, se está preparando un nuevo terreno, teniendo en cuenta además, que en un par de años, estos dispositivos pueden llegar a superar en número la cantidad de computadoras existentes. Y quizás ya en 2004, se empezarán a ver ataques más maliciosos que años atrás. Incidentes IM Los servicios de mensajería instantánea (IM), como los de AOL, MSN y Yahoo, son ampliamente utilizados internamente por las grandes corporaciones. Tanto, que los departamentos técnicos no son conscientes de su grado de utilización, y son incapaces, o están poco dispuestos a detenerlos. En la mayoría de los casos, las corporaciones no tienen ningún control centralizado sobre los IM. Pero la preocupación más grande debe pasar por el hecho de que los mensajes corporativos enviados vía IM, están atravesando Internet sin ningún cifrado. Cualquiera podría estar "escuchando" todos los mensajes que "vuelan" cerca. Gregory piensa que en 2004 podría ocurrir un incidente muy publicitado, con un pirata informático publicando información secreta de una gran compañía, enviada a través de la mensajería instantánea. Ingreso ilegal a empresas de servicios públicos SCADA (System Control and Data Acquisition), es un sistema de monitorización y control industrial que permite, a través de una computadora, realizar operaciones de control, supervisión y registro de datos de cualquier proceso industrial gobernado por autómatas o redes de autómatas. Es el mecanismo utilizado para controlar las subestaciones de sistemas de agua y centrales eléctricas. Muchas empresas de servicios públicos, han conectado su infraestructura de SCADA con Internet. Esto podría haber parecido una buena idea al principio. Para Gregory, éste será otra de las malas noticias para 2004, cuando un ataque a gran escala llegue a la prensa. Después de todo, el gran apagón de agosto pasado en gran parte de Canadá y Estados Unidos, tuvo mucho en común con algo así. Defensa organizada El FBI y el servicio secreto de los Estados Unidos, han hecho grandes progresos en su capacidad para rastrear y capturar a cibercriminales. La colaboración entre organizaciones públicas y privadas, seguramente mejorará. Quienes están en el lado bueno de la seguridad (explica Gregory), tienen un justo interés en el éxito de estos esfuerzos. Crimen organizado Está ocurriendo ya en algunos países de Europa del Este, América del Sur y Asia Sudoriental; bandas de piratas informáticos, extorsionan por dinero a proveedores de Internet y operadores de sitios web, que no pueden defenderse de ataques de negación de servicio. Existe un aumento de esta clase de actividad. Para Gregory, hackear para pedir dinero por protección, y otras fuentes de ingreso igual de ilegales, se convertirá en un gran negocio, similar al de la droga y al tráfico de tarjetas de crédito. Algún día, se hablará un mismo idioma en muchos de los tratados comunes entre los países, que harán más fácil identificar y arrestar a los cibercriminales, que hoy se esconden en países con legislaciones débiles, poco dispuestos a colaborar, o sin la capacidad para hacerlo. Tiempos más cortos para los "exploits" El tiempo que toma a un pirata o un escritor de virus, explotar una vulnerabilidad reciente, es cada vez más corto. Primero meses, ahora días u horas. Gregory piensa que esto tiene una relación directa con el crimen organizado. Y el programa de recompensas desarrollado por Microsoft parece reconocerlo. Simplemente la compañía está equilibrando la balanza entre los posibles beneficios, para igualar las cuentas. Resumen Cómo resumen, Gregory deja claro que existen tres temas fundamentales en todo lo que se pueda decir sobre la seguridad. Primero, no es una buena idea conectar cualquier cosa con Internet, simplemente porque se pueda hacer. Al menos no hasta conocer las necesidades reales para hacerlo, y los posibles peligros que ello acarrea. En segundo lugar y por lo general, siempre que salga una nueva tecnología, sus diseñadores harán un trabajo muy pobre en todo aquello que se refiera a su seguridad. Pero de todos modos la mayoría de nosotros, los usuarios, las adoptaremos. Y tercero, cada vez que una nueva tecnología surge y está disponible para hacer cosas buenas y útiles, habrá alguien que encontrará el modo de usarla maliciosamente, de maneras que al resto de nosotros jamás se nos hubiera ocurrido usarla. Fuente: Security predictions for 2004 Peter H. Gregory, Computerworld http://www.computerworld.com (*) Este artículo, original de Enciclopedia Virus http://www.enciclopediavirus.com, es publicado en VSAntivirus.com con la respectiva autorización. Los derechos de republicación para su uso en otro medio, deberán solicitarse en http://www.enciclopediavirus.com/contacto/index.php Artículo original: http://www.enciclopediavirus.com/noticias/verNoticia.php?id=361 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com