La información y la seguridad

La información y la seguridad
	VSantivirus No. 1140 Año 7, Jueves 21 de agosto de 2003 La información y la seguridad http://www.vsantivirus.com/fdc-info-seguridad.htm Por Fernando de la Cuadra () Fdelacuadra@pandasoftware.com La epidemia provocada por la aparición del nuevo gusano Blaster demuestra, una vez más, la relación directamente proporcional entra la falta de información y la mayor probabilidad de sufrir un ataque por parte de un virus informático. La historia se remonta al día 4 de Agosto, cuando Microsoft elevó a crítica una vulnerabilidad que ya había sido descrita dos semanas atrás. La misma consiste en un problema con DCOM y RPC, componentes muy usados en aplicaciones cliente servidor para redes locales. Los sistemas afectados son Windows NT 4.0 Server y Terminal Server Edition, Windows 2000, Windows XP 32 y 64 bit Edition y Windows Server 2003 también en las ediciones de 32 bits y de 64 bits. Cada vez que cualquier fabricante de un sistema operativo anuncia un problema de seguridad o eleva el nivel de peligro de una vulnerabilidad, se vuelve a generar un montón de ruido en contra de ese fabricante. Pero, eso sí, ese ruido se vuelve clamor generalizado cuando el fabricante es Microsoft. ¿Acaso no hay errores en otras plataformas?. Unos cuantos días después de que Microsoft publicara ese problema, Oracle anunció dos alertas de seguridad relativas a sendas vulnerabilidades que afectan a sus soluciones Oracle 8i/9i, Oracle E-Business Suite y Oracle Application Server. Uno de los problemas de seguridad, posibilita la ejecución de código arbitrario en el servidor de bases de datos. El otro, puede provocar una Denegación de Servicio contra Oracle E-Business Suite. Desde luego, tan peligrosa puede ser una vulnerabilidad en Oracle como en los sistemas Microsoft, y nadie ha dicho que Oracle deba iniciar un proceso de "Trust computing" en sus productos, cuando también han sido detectadas muchas otras vulnerabilidades en el famoso programa de gestión empresarial. Podríamos ahora hacer un repaso de las vulnerabilidades detectadas en programas como Apache, o en otros sistemas operativos como Linux en muchas de sus distribuciones. También son numerosas y, en muchos casos, nunca llegan a ser corregidas. ¿Quieren hacer una prueba?. En cualquier buscador de Internet, introduzcan "It Worked! The Apache Web Server is Installed on this Web Site!". Aparecerán varios cientos de sitios que acaban de instalar Apache y que, posiblemente, todavía no han instalado las actualizaciones para conocidas vulnerabilidades de ese tipo de servidor. Así, como pueden ver, no todos los administradores de sistemas, sean de Linux, de Windows, o de ambos, pueden presumir de tener la seguridad de sus sistemas perfectamente a punto. Y no hablo del famoso e inalcanzable 100% seguro; me refiero solamente a llegar a niveles aceptables. En muchos casos, los administradores confían la seguridad al mero azar. Los sistemas quedan demasiadas veces con instalaciones por defecto, sin posteriores implementaciones de "service packs", "support packs", "hot fixes"... o como lo denomine el fabricante, para garantizar un correcto funcionamiento del sistema ante cualquier situación. Solamente cuando se produce una alerta por una vulnerabilidad crítica que se publica masivamente en los medios podemos esperar alguna reacción, pero lo más normal es poner remedio una vez que se ha producido el ataque. Es en ese momento cuando se procede a la actualización de los sistemas comprometidos. Para poder arreglar esta situación hay dos opciones muy sencillas. Por un lado, dejar la seguridad de los sistemas a los profesionales del sector, que se encargarán de tener los sistemas a punto y con un nivel de conocimientos muy superior al que el administrador de base posee. Numerosas empresas ofrecen sus servicios de seguridad a aquellos negocios que, bien por falta de conocimientos o de medios, no pueden asegurar adecuadamente sus sistemas. La segunda solución, más barata sin duda, es apoyarse en los servicios de información gratuitos que determinadas compañías brindan. Basándose en boletines de noticias que suelen ser diarios, los administradores podrán estar al tanto de las amenazas de seguridad que se van descubriendo y que puedan afectar a sus sistemas. Dedicar cinco minutos al día a la seguridad no es excesivo, máxime cuando la relación tiempo/beneficio puede ser realmente provechosa para el administrador de sistemas y, por ende, para toda la red. Recuerde: "Más vale perder cinco minutos en la red que la red en cinco minutos". De haber seguido este consejo Blaster hubiera pasado por el mundo de los virus informáticos con mucha más pena que gloria. () Fernando de la Cuadra es Editor Técnico Internacional de Panda Software (http://www.pandasoftware.com) (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com