Chelo Malagón: Bailando con lobos (Por M. Molist)

Chelo Malagón: Bailando con lobos (Por M. Molist)
	VSantivirus No. 2038 Año 10, lunes 6 de febrero de 2006 Chelo Malagón: Bailando con lobos (Por M. Molist) http://www.vsantivirus.com/mm-malagon-cert.htm Por Mercè Molist () colaboradores@videosoft.net.uy "A los script-kiddies les recomendaría que salieran más de marcha"* Pocas mujeres pueden presumir de que aparezca su foto en una revista de informática sin tener que ponerse en biquini. Y no es que a Chelo Malagón le quede mal el biquini, pero tiene otros méritos, como ser la componente más veterana del equipo de respuesta a incidentes IRIS-CERT (Computer Emergency Response Team de RedIRIS), que vela por la seguridad de la red académica española. Chelo tiene 33 años y está casada. Eficiente, alegre, inteligente, el destino la puso aquí. Y nunca mejor dicho. -¿De pequeña jugabas con ábacos, en vez de muñecas? -Más bien con castañuelas, zapatillas de ballet y zapatos de gitana. Yo lo que quería era ser bailarina, pero una lesión de espalda me lo impidió. Tengo la carrera de Danza Española por el Conservatorio de Danza de Córdoba y hasta quinto curso de Ballet Clásico por el Conservatorio de Sevilla y también 3 cursos de solfeo. Cuando terminé la Selectividad me tomé un año sabático, para dedicarme a la danza de forma profesional, pero vino la lesión y luego la informática, que dio un giro a mi vida de 180 grados. -Me parece un paso de gigante, de bailarina a informática. -Sí. Y lo hice de una forma inconsciente. Escogí informática porque parecía una carrera con futuro y no me disgustaba. Hice la diplomatura en Córdoba y la Licenciatura en Granada, donde me lo pasé muy bien. -¿Desde el principio te gustaban los temas de seguridad? -Me interesaba la administración de sistemas, fundamentalmente. -¿Por qué? -Mi proyecto de fin de carrera en Granada fue la creación de un entorno para automatizar las tareas de un administrador de sistemas multiusuario en Linux. Me divertí mucho haciéndolo. -Pregunta típica: ¿Por qué hay pocas mujeres informáticas? -Tanto mujeres como hombres estamos capacitados. Es una cuestión de educación que, poco a poco, va cambiando. Lo que sigue siendo cierto es que, en los entornos técnicos, las mujeres tienen aún las de perder y, para que se equiparen a los hombres, tienen que realizar el doble de trabajo y demostrar que son cien mil veces mejores. Y no te hablo ya de puestos de responsabilidad, aquí el número de mujeres se pueden contar con los dedos de una mano. -¿Qué se siente cuando eres la única mujer que trabaja como técnica en un CERT español? -Nunca me ha supuesto ningún problema trabajar en un entorno de hombres, siempre que te traten como un igual y no como la "niña". He hecho muy buenos amigos, tanto en España como fuera, y en la mayoría de casos me he encontrado con mucho respeto. -A los chicos informáticos les despiertan curiosidad las informáticas. -Sí, es verdad. -¿Qué les dirías? -Lo siento, no estoy disponible ;) -Jaja. Es cierto que a muchos les gustaría tener una novia informática. -Y a las informáticas, los informáticos. Mi marido es informático, aunque no al uso. -Tu trayectoria profesional es muy constante. -Tenía muy claro que me tenía que buscar la vida para ser independiente. En cuarto de carrera ya buscaba becas, ofertas... Tenía ganas de trabajar, dinamismo y buenas notas. Me lo curré y tuve suerte cuando la necesité. Entrar en el servicio de informática de la Universidad de Granada fue una de las mejores cosas que me pasaron entonces. Aprendí mucho, me trataron muy bien y me permitió dar el salto a RedIRIS. -¿Cuándo llegaste al IRIS-CERT? -En septiembre de 1998. No tenía ni idea de seguridad y mi compañero, que había sido el fundador del IRIS-CERT, se largó a los 3 meses de yo entrar, dejándome con un marrón de narices. Cuando sonaba el teléfono me entraban ganas de salir corriendo. Afortunadamente aguanté y me puse las pilas. -¿Cómo entraste en el CERT? -Salió una plaza para el equipo de seguridad. Como estaba en la Universidad de Granada, afiliada a RedIRIS, me llegaban las ofertas de empleo. Mandé el currículum, me llamaron para hacer la entrevista y me avisaron una semana después, para decirme que había sido aceptada. -¿Recuerdas el primer incidente de seguridad con el que tuviste que lidiar? -Tengo una memoria malísima. Supongo que se trataría de algún escaneo o uso de alguna herramienta automatizada. Por aquel entonces los ataques eran menos sofisticados. Se han producido notables modificaciones en el 'modus operandi' de los atacantes y en los tipos de ataques que, poco a poco, han ido siendo más masivos. También ha habido una modificación en el tipo de máquina objetivo, de servidores a máquinas de usuarios finales, el verdadero talón de Aquiles de Internet hoy en día. -¿Los tipos de atacantes han cambiado? -Con el mogollón de herramientas que permiten lanzar ataques de forma automatizada, lo que se ve es mucho atacante con poco conocimiento técnico. -¿Y su procedencia? -En nuestro caso, manejamos incidencias con origen fundamentalmente en nuestra comunidad. Algunas veces se trata de atacantes locales y otras, de máquinas a su vez comprometidas, en cuyo caso intentamos rastrear el origen. Ese rastreo nos suele llevar a países extranjeros de lo más variado. -¿Has visto alguna vez al autor de un ataque que hayas vivido? -No, ni creo que lo vea. Nosotros actuamos como un CERT de coordinación, pasamos los casos a los responsables de seguridad de las universidades y centros públicos de investigación, ofreciendo asesoramiento y prestándonos para analizar las evidencias, pero son ellos los que lidian con los usuarios y máquinas finales. De todas formas, si me encontrara cara a cara con el autor de un incidente lo respetaría muchísimo, si se tratara de alguien con conocimientos. Creo que si hacen un hacking ético están contribuyendo a mejorar la seguridad de la red. Si fuese un típico "script-kiddie", le recomendaría que estudiara más y que saliera más de marcha. También hay gente con muy mala leche y poca ética, que se aprovechan de los demás, de su confianza y desconocimiento, con malas intenciones. A estos no los entiendo. -¿Qué se siente cuando al otro lado de tu trabajo hay alguien oscuro? -Quizás por mi personalidad y el tipo de incidencias que manejo, nunca he visto a la gente del otro lado como alguien oscuro. En algunos casos, ves gente con ganas de aprender; en otros, gente que no tiene ni idea de lo que se trae entre manos y ni siquiera es consciente de las repercusiones; en otros, gente con ganas de divertirse sin mala intención y, por último, gente con más mala leche, pero ningún Darth Vader, aunque existan. -¿La adrenalina que dice sentir el hacker malo, la siente también quien le da caza? -Siiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiii -¿Y la paranoia? -No soy nada paranoica. La paranoia no es buena compañera. La red es insegura por naturaleza. Debemos hacer lo que está en nuestra mano para evitar los problemas de seguridad y, si algo pasa, saber qué hay que hacer para contrarrestar los efectos y poner solución de forma rápida y ágil. -Otra pregunta tópica: ¿Hay que ser hacker para cazar a un hacker? -Para cazar a uno bueno hay que ser tan bueno o más que el, o tener un golpe de suerte. Además, ayuda conocer el mundillo, los procedimientos... -¿Desde el IRIS-CERT estáis al tanto de este mundillo? -Intentamos estar al día de todo lo que podemos y el tiempo nos permite, pero podríamos aprender mucho más de ellos de lo que lo hacemos ahora. -¿Qué fue lo primero que aprendiste sobre la seguridad informática? -Que siempre necesitas saber más y nunca puedes dejar de estudiar. -¿Cuál ha sido el incidente que más te ha impactado? -Algún que otro ataque de Denegación de Servicio Distribuido (DDoS) que detectamos en nuestra troncal. Al final, afortunadamente, todo se resuelve. -¿Qué es lo que más te gusta de este mundo? -Que es un área multidisciplinar. Tienes que saber un poco de todo, sistemas, red, administración, programación... También la relación con la gente y la sensación de que estás haciendo algo de utilidad para la comunidad. -¿Qué sistemas y lenguajes dominas? -Soy del mundo Linux. En cuanto a lenguajes de programación, domino C y Perl. El que más utilizo es Perl. -¿Cuál es tu trabajo en IRIS-CERT? -Como el resto de mis compañeros, me encargo de atención y coordinación de incidentes y tengo asignados algunos proyectos asociados, además de representar a RedIRIS en diversos foros internacionales. -¿Estás especializada en algo? -En temas formales relacionados con la creación de CERTs. Ahora me estoy metiendo en seguridad en wireless y análisis de flujos para la detección de ataques. Además, he trabajado mucho con Infraestructuras de Clave Pública (PKI). Cuando llegué a RedIRIS, se acababa de lanzar una iniciativa para el despliegue de una PKI para la red académica. Me encargué de todo el proyecto y en el 2000 vio la luz dicha infraestructura, que sigo operando. -Pongamos que te llaman un sábado a las 4 de la mañana porque hay un DDoS en RedIRIS. ¿Qué haces? -Afortunadamente para mi, no ofrecemos servicio 7x24, así que dudo que me despierten y, si lo hacen, tengo muy mal genio :) De todas formas, me pondría manos a la obra, identificando el tipo de ataque concreto, el origen y alcance, tirando de contactos en ambos extremos para avisar y poner solución, e intentando preservar el mayor número de evidencias para su posterior análisis cuando la situación de emergencia pase (lo mejor de esto es aprender de cada caso que se produce). Evidentemente, si el incidente está causando perjuicio en otros, poner solución inmediata desde RedIRIS, si no es posible hacerlo desde las instituciones en cuestión. De todas formas, cada incidente es un mundo y no existe un procedimiento único para todos. -¿Cuál es tu trabajo a nivel internacional? -La cooperación entre CERTs ha existido desde siempre, de una forma u otra. Actualmente, el principal foro, en Europa y países limítrofes, es el operado por TERENA (Trans-European Research and Education Networking Association) y se llama TF-CSIRT, formado en el 2000. De aquí han surgido diversas iniciativas de bastante repercusión. Una de ellas es el Trusted Introducer for CSIRTs in Europe (TI), cuya función es establecer una red de confianza entre CERTs europeos. Surge de un problema importante, que ha causado preocupación desde hace mucho tiempo, porque los equipos necesitan colaborar entre ellos, por ejemplo para intercambiar información sobre incidentes que afecten conjuntamente a sus redes, y esta colaboración se ha de realizar en base a una confianza fuerte. IRIS-CERT fue el tercer equipo de seguridad europeo incluido en esta red, en marzo de 2001. -¿Cómo se crea una red de confianza entre CERTs? -La confianza entre CERTs se ha basado tradicionalmente en un 90% en relaciones personales y sólo un 10% en la descripción formal de los servicios que proporcionan, declaraciones de calidad, visitas, reuniones. La iniciativa TI intenta mejorar ese 10% (http://www.ti.terena.nl/). De todas formas, no hay nada mejor que conocer a la gente en persona, tomarse unas cervezas y ponerle cara a los correos que recibes. -¿En qué otros temas internacionales representas a RedIRIS? -Dentro del proyecto Geant2, para dotar a las redes de investigación europeas de una red avanzada, se han definido una serie de actividades de investigación. Una está centrada en crear un marco de seguridad, tanto en protección de equipos como en cooperación entre las distintas redes, para proporcionar una respuesta coordinada ante incidentes. -¿Geant2 es la Internet2? -Algo parecido, pero en Europa (http://www.geant2.net). -¿Todos los CERTs europeos pertenecen al mundo académico? -No todos, si bien es donde existe más tradición. Hay tantos tipos de CERTs como entornos diferentes: académicos, tanto asociados a redes nacionales de investigación (el caso de IRIS-CERT) como a universidades y centros públicos de investigación, pero también CERTs comerciales, en ISPs, gubernamentales, etc. -¿Cómo se delimita lo que pertenece al terreno del CERT y al de la policía? -Somos complementarios. El tipo de incidentes que atienden los grupos especializados de los cuerpos de seguridad del estado son bastante diferentes a los que atendemos los CERTs, por lo menos en nuestro caso. Ellos se centran en problemas de pornografía infantil, amenazas, phishing. Nuestro rol fundamental es actuar de enlace entre las fuerzas de seguridad y nuestra comunidad, proporcionando asesoría técnica, los puntos de contacto adecuados y teniendo un conocimiento de los procedimientos de denuncia y requerimientos sobre las evidencias, para agilizar las denuncias en el caso de que una institución decida emprender acciones legales. -¿Cuáles son los principales incidentes de seguridad con los que estáis lidiando ahora? -Mucho escaneo, gusanos, compromisos de máquinas, phishing, botnets (redes de equipos comprometidos controlados remotamente desde un equipo/servidor central vía IRC), DoS... -¿La solución son más leyes? -No existe una solución única sino, más bien, un compendio de medidas. La más básica y muy importante, que en la mayoría de casos se olvida, es la concientización y educación a todos los niveles (usuarios finales, directivos, responsables). A partir de aquí, la inversión en recursos, que es fundamental. Impulsar la colaboración entre los diferentes actores y una legislación apropiada también cumplen su papel. -¿Qué opinas de la directiva europea que ilegaliza el uso de herramientas de hacking? -No creo que sirva de mucho para hacer de la red un sitio más seguro. Cualquier programa de este tipo tiene una doble vertiente, una en lo que respecta a su uso para trabajar legalmente en nuestra red y otra para trabajar ilegalmente en redes ajenas. Me preocupa cómo puede afectar a los responsables de seguridad que tienen que utilizar estas herramientas. En principio, no debería existir ningún problema, siempre que no vulneren el derecho de intimidad de los usuarios, pero no está del todo claro. -Hace unos años, las universidades eran el gran agujero de seguridad de Internet. ¿La cosa sigue igual? -Cada vez menos y espero que en eso IRIS-CERT haya puesto su granito de arena. Poco a poco, existe más conscienciatización y ha empezado a aparecer la figura del responsable de seguridad. El problema principal que tienen las universidades es la falta de recursos humanos y el elevado número de usuarios, muy difícil de controlar. -Un técnico de una universidad se quejaba de que no le dejaban montar una red wireless libre y abierta, como según él deberían ser las redes universitarias. ¿Difícil el equilibrio es? -Montar un punto de acceso completamente abierto puede dar acceso a la red corporativa y causar muchos problemas, es lógico que no le dejen hacerlo. Pero la seguridad tiene que ser proporcional al valor de lo que quieras proteger y, además, no dificultar en exceso el trabajo de la gente, respetando la idiosincrasia de la comunidad concreta. Como dices, difícil el equilibrio es, pero posible es y, además, necesario. -¿Desde que entrase en el IRIS-CERT, se ha complicado vuestro trabajo de gato que persigue al ratón? -Sí, cada vez atendemos más incidentes, más sofisticados, y el volumen de trabajo ha crecido de una manera casi exponencial. -¿Hoy, saben más los ratones o estáis a la par? -Hehehe. Hay ratones que saben mucho, pero mucho, sin embargo de lo que más hay es ratones que no tienen ni idea. De todas formas, también hay buenos profesionales de la seguridad (gatos que saben tanto o más que los ratones). (*) Copyleft 2006 Mercè Molist. Verbatim copying, translation and distribution of this entire article is permitted in any medium, provided this notice is preserved. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com