Protección y Seguridad de la Información

Fallece el Prof. Victor Gulías

2012-01-28T21:06:00.002+01:00

Me imagino que a muchos de vosotros os habrá dado clase. Ha fallecido el Prof. de nuestra facultad Victor Gulías. Desde esta entrada queremos expresar nuestro sentido pésame a la familia.

Up to Secure (Informática 64, FI de la UDC, 19 enero 2012)

2012-01-10T12:41:00.002+01:00

El 19 de enero se celebrará en la Facultad de Informática de la UDC "Up to Secure", a cargo de Informática 64. Toda la información, programa, registro, etc. AQUÍ.

[Gracias Alberto]

I Jornadas de Seguridad (USC, 15 diciembre 2011)

2011-12-13T13:30:00.000+01:00

Toda la información de estas jornadas aquí.

[Fuente.: varias, gracias]

III Xornadas de software libre e GNU/Linux para usuarios noveis (30 de novembro .. 2 de decembro)

2011-11-22T16:12:00.001+01:00

Información remitida por la OSL
--------------------
Dende a OSL compracenos anunciarlle a organización para os días 30 de novembro e 1 e 2 de decembro de 2011 as III Xornadas de software libre e GNU/Linux para usuarios noveis. Estas xornadas pretenden dar un enfoque xeral e práctico sobre o software libre, centrándonos especialmente nos sistemas GNU/Linux (instalación, configuración e administración) e en aplicacións informáticas libres e multiplataforma. Divídense nas seguintes sesións:

Día 1

Conceptos básicos
Un pouco de historia
Que é GNU/Linux?
Vantaxes
Distribucións e Escritorios

Día 2

Instalando dende Windows
Particionando o disco
Instalación de Ubuntu 11.10
Configurando noso novo equipo

Día 3

Que son os repositorios?
Conseguindo novas aplicacións
Introdución aos novos programas
Alternativas libres a aplicacións privativas

Están destinadas ao público xeral, sen moita experiencia no tema. Son gratuítas e entregarase certificado de asistencia.

Para máis información e inscrición http://softwarelibre.udc.es/Xornadas.


Oficina de Software Libre da UDC
Oficina Software Libre (OSL)
Edificio CITIC
Campus de Elviña s/n
15071 A Coruña

Transmisión del CIBSI y TIBETS por videostreaming

2011-11-03T13:48:00.000+01:00

Transmisión del CIBSI y TIBETS por videostreaming.

Tanto el congreso CIBSI como el taller TIBETS se transmiten íntegramente por videostreaming desde la siguiente dirección:

http://www.unired.edu.co/index.php?option=com_content&view=article&id=31&Itemid=29

Se puede ver la agenda de CIBSI aquí:

http://www.cibsi.upbbga.edu.co/ponencias.html

y la del taller TIBETS aquí:
http://www.cibsi.upbbga.edu.co/agentibets.html

[Fuente.: Prof. J. Ramió por email, gracias]

Special Session on Hybrid Artifical Intelligence Systems for Computer

2011-10-28T13:13:00.002+02:00

------------------------------------------------------------------------
Special Session on Hybrid Artifical Intelligence Systems for Computer
Security (HAISFCS)
under the frame of the 7th International Conference on Hybrid Artificial
Intelligence Systems
------------------------------------------------------------------------
Call for Papers

HAISfCS is proposed as a special session/workshop to bring together
researchers, engineers, developers and practitioners from academia and
industry working in all interdisciplinary areas of Hybrid Artificial
Intelligent Systems and computer security to share the experience, and
exchange and cross-fertilize ideas.
This special session will provide an interesting opportunity to present and
discuss the latest theoretical advances and real-world applications in
these two broad fields perspective.
The conference proceedings will be published by Springer in the Lecture
Notes in Artificial Intelligence Series. Furthermore, extended and improved
versions of selected papers will be included in a special issue of the
following journals:
- Neurocomputing (Impact factor: 1.440)
- Applied Soft Computing (Impact factor: 2.415)
Important Dates
---------------
Paper submission deadline: 5th November, 2011 (to be extended)
Acceptance notification: 9th December, 2011
Final version submission: 9th January, 2012
Conference dates: 28th - 30th March, 2012
Topics
------
Topics are encouraged, but not limited to:
Artificial Intelligence
Artificial Neural Networks
Artificial Immune Systems
Biological Computing
Evolutionary Computation
Intelligent Agents and Systems
Machine Learning
Support Vector Machine
Reinforcement Learning
Fuzzy Systems
Swarm Intelligence
Unsupervised Learning
Case-Based Reasoning
Computer Security
Intrusion Detection Systems
Cryptographic Protocols
Detection of Abnormality
Information Security Management
Information Hiding
Network & Wireless Security
Security Models and Architectures
Web and Wireless Security
Cryptography and Coding
Electronic Commerce Security Information, Data and Syst. Integrity
Mobile Code & Agent Security
Security Analysis Methodologies
Watermarking Applications
Bioinformatics and Medical Diagnosis
Data Mining
Network Security
Pattern Recognition
Copyright Protection
Encryption
Authentication
Authorization
Digital Signatures
Internet Firewalls
Internet Privacy
Cyber Security Standards
Intelligent Information Retrieval
Cryptography and Its Applications
Data Privacy
Communication Channels
Electronic Commerce Security
Image and Signal Processing
Web and Network Application
Other Applications
Contributions
-------------
Special Session webpage: http://hais.usal.es/?q=node/19
HAIS Conference website: http://hais.usal.es/

OFERTA DE FORMACION DE USUARIOS DA BUDC

2011-10-26T13:38:00.004+02:00

Información disponible aquí.

Cursos gratuitos de Writer, Calc e retoque dixital.

2011-10-05T14:29:00.000+02:00

A Oficina de Software Libre da UDC organiza tres cursos abertos ao público xeral e gratuítos de 10 horas de duración cada un. Durante estes cursos farase unha presentación global das distintas aplicacións ademais de como conseguilas e instalalas. Os cursos estarán orientados de forma práctica polo cal o alumno realizará diariamente exercicios que faciliten o aprendizaxe da aplicación.

Nesta edición os cursos ofertados son:

Introdución a Libreoffice Writer

Introdución a Libreoffice Calc

Introdución ao retoque dixital e ao deseño gráfico con ferramentas libres

Todo aquel que queira coñecer o funcionamento destas aplicacións libres e multiplataforma que non dubide en inscribirse en calquera destes cursos . Só hai 10 prazas dispoñibles en cada un que se cubrirán por rigorosa orde de inscrición.

Premio Everis Proyectos Fin de Carrera

2011-09-28T21:44:00.000+02:00

Para los que han cursado PSI y han finalizado proyecto fin de carrera, se adjunta información sobre el premio que concede la empresa Everis al mejor proyecto Fin de Carrera 2010-2011 en base al convenio que firmó dicha empresa y la Facultad de Informática. El plazo para presentar solicitudes es finales de octubre.

Más información aquí.

Trabajar en seguridad ... en tiempos revueltos

2011-09-15T15:51:00.000+02:00

Hoy Alejo (gracias) me ha remitido referencia de una entrada de SbD, "Trabajar (en seguridad) ... en tiempos revuletos". Muy recomendable, interesante y didáctica la exposición y el tema tratado.

Sin duda alguna, corren malos tiempos para la lírica

Recomendaciones en un juicio (una entrada muy didáctica)

2011-07-22T13:14:00.000+02:00

Todos y cada uno de los que nos dedicamos al apasionante mundo de la informática debemos revisar cada cierto tiempo algunos de los blogs y fuentes de información relacionados con la temática en seguridad. En mi caso, algunas entradas las reviso con el ánimo de aprender. Todos nos pasamos la vida aprendiendo, para no convertirnos en bichos obsoletos. Y otras entradas las selecciono en el ámbito de la asignatura de PSI, buscando la idoneidad para todos los que la cursan. Es seguro que un cierto número de alumnos de PSI pasarán en su vida profesional por algún tribunal, espero que no como imputados. En este sentido, es altamente didáctica la entrada de Pedro Sánchez de Conexión Inversa "Recomendaciones en un juicio".

Análisis Forense (22 al 24 de junio - A Coruña)

2011-07-12T23:39:00.003+02:00

En su día anunciamos el I Curso de verano de Informática Forense en la Universidade da Coruña (22 al 24 de junio de 2011). Por los emails que ha recibido ha tenido un gran éxito entre los asistentes. En esta entrada traigo algunas entradas relacionadas con el evento de un par de compañeros de profesión.

En primer lugar la visión del evento en tres entradas que resumen, siempre con el toque característico de Uxío, lo acontecido en este Curso de Informática Forense.:

Parte I
Parte II
Parte III

Y también, en el contexto de estar jornadas, tres entradas relacionadas de análisis forense en Evernote de José Mato.:

En Snow Leopard
En Windows7
En Android

Expertos en Seguridad IT

2011-06-20T22:49:00.000+02:00

En esta entrada traigo una oferta de trabajo de Experto en Seguridad para trabajar en esa ciudad tan bonita llamada A Coruña. Me imagino que gran parte de los alumnos de PSI verán un poco lejos ese momento de salir al mercado laboral, aunque siempre es bueno ir viendo el howto de lo que piden en la jungla laboral.

[Fuente.: infoempleo]

Experto Seguridad IT
Oferta de empleo como Experto Seguridad IT en CORITEL, S.A., A Coruña

Empresa

Detalle de la empresa
	CORITEL, S.A. Coritel es la compañía del Grupo Accenture especializada en ofrecer servicios de Desarrollo y Mantenimiento de Aplicaciones que, desde su fundación en 1984, ha conseguido consolidarse como líder en España en el desarrollo de Soluciones Tecnológicas. En Coritel trabajan más de 5.000 profesionales en nuestros centros de Madrid, Barcelona, Bilbao, Málaga, Sevilla, Valencia y Zaragoza. Ver todas sus ofertas

Experto Seguridad IT

Detalle de la empresa
Fecha:	16/06/2011
Lugar:	- A Coruña - España
Puestos vacantes:	1
Referencia	1265978
Funciones:	En Coritel buscamos un profesional con experiencia en Seguridad IT, que se quieran incorporar con nosotros en las oficinas que acabamos de inaugurar en A Coruña:
Requisitos:	El perfil requerido es: - Experiencia de al menos 3/4 años en la realización directa de proyectos de Seguridad de la Información. - Conocimientos de estándares de control y seguridad de TI como COBIT, ISO 27000, etc. - Conocimientos de aspectos técnicos de sistemas operativos (Windows, Linux, AS400). - Buenos conocimientos de redes y dispositivos de seguridad (cortafuegos, IDS/IPS,..) - Buenos conocimientos de Windows server,Active Directory. Se valorará la participación en proyectos como: - Análisis y gestión de riesgos de TI. - Planes de continuidad de negocio y planes de contingencias. - Desarrollo de normativa de seguridad de la información. - Clasificación y gestión de activos de Sistemas de Información. - Cumplimiento normativo: LODP y PCI-DSS. Se valorará la posesión de títulos como: - CISA - CISM - CISSP
Se ofrece:	Te ofrecemos: - Contratación Estable: Contrato indefinido.- Incorporarte a una Compañía consolidada y en crecimiento, donde lo más importante son las personas que la integran.- Remuneración y categoría profesional reconociendo la experiencia aportada.- Interesantes incentivos y beneficios sociales: tickets restaurante, seguro médico, seguro de vida y accidentes, subvención a la formación de inglés... - Ampliar tu Formación Tecnológica a través de nuestro programa de formación, impartido por expertos. - Completar tu perfil con formación en otras áreas de conocimiento como: metodología de trabajo, habilidades de comunicación, trabajo en equipo ... - Compromiso de carrera profesional, que garantiza tu crecimiento profesional a través de tu contribución en los proyectos en los que participes. - Integrarte en equipos de trabajo jóvenes y dinámicos, donde podrás compartir tus conocimientos y experiencia con profesionales como tú.
Tipo de contrato:	Indefinido
Jornada laboral:	Completa

International Conference on Security Aspects in Information Technology, High-Performance Computing and Networking (InfoSecHiComNet 2011) [Haldia - India; 19-22 octubre 2011]

2011-06-15T23:29:00.001+02:00

Toda la información en http://infosechicomnet2011.hithaldia.in

VI Congreso Iberoamericano de Seguridad (2-4 noviembre 2011, Bucaramanga-Colombia)

2011-06-09T23:03:00.000+02:00

Del 2 al 4 de noviembre de 2011 se celebra en la UPB de Bucaramanga (Colombia) el VI Congreso Iberoamericano de Seguridad Informática (CIBSI 2011).

IBMSmartCloud: cloud público orientado a empresa

2011-06-06T16:42:00.000+02:00

IBM lanza un servicio de cloud público orientado a la empresa. Simulador del IBMSmartCloud disponible aquí.

Referencia interesante para matener entretenidos a los usuarios

2011-06-06T16:38:00.000+02:00

Referencia muy interesante y didáctica totalmente aconsejable para tratar de mantener entretenidos a ciertos usuarios de los que nos encontramos en nuestra práctica profesional "20 cosas que he aprendido sobre navegadores y la web".

Gracias Adri,

Hash or not hash !!!

2011-06-05T20:14:00.002+02:00

Gracias Santiago, [fuente.: Security by Default]

Y relacionadas con nuestros hashes, Alejo me remite otra noticia relacionada con el uso de GPUs para cracking de passwords.

Jornadas de Criptografía (SCD 2011) [Murcia, 17 y 18 de noviembre de 2011]

2011-06-03T11:06:00.000+02:00

La Real Sociedad Española de Matemáticas y el Grupo de Investigación en Álgebra de la Universidad de Murcia organizan unas Jornadas de Criptografía (SCD 2011) los días 17 y 18 de noviembre en Murcia.

Esteganografía

2011-05-31T16:59:00.001+02:00

Aunque en PSI no se ha tratado nada relacionado con esteganografía, durante el curso se ha podido asistir a algunas conferencias sobre el tema, dentro de las jornadas de seguridad. Incluyo en esta entrada una pequeña entrada sobre esteganografía.

Por cierto, tal y como apunta Adrián, en la entrada aparece el amigo Rijndael.

[Fuente.: A. Carpante, gracias]

Resultados PSI

2011-05-31T12:08:00.002+02:00

Como no paran de llegarme emails preguntando por los resultados, os informo que mañana los tendréis. En resumen, 45 alumnos han superado la asignatura y 8 deberán volver a verme en septiembre.

Ha sido una buena cosecha la del 2010-2011 (-:.

Revisiones.: 3 y 6 de junio a las 10:45.

Salu2,
NINO

Robin Hood

2011-05-26T14:12:00.004+02:00

Hoy me ha llegado un email de un alumno preguntando si sabía algo sobre lo que era el Roving Bug, o algo similar. Hay variada información sobre el tema en internet y, en general, sobre escucha en telefonía móvil. Como ejemplo de posible aplicación en este campo, el flexispy, actualmente disponible tanto para symbian como para windows mobile. Tomando como fuente www.rebelion.org, las características de sus versiones se resumen en (especialmente llamativa la de activación remota de micrófono).:

- FlexiSpy Pro. Ofrece las siguientes aplicaciones para el móvil: Activación remota de micrófono, Controlar móvil por sms, Logueo de sms, Logueo de historial de llamadas, Reporte de duración de llamadas y Borrado de datos privados. El soporte Web incluye: Logueo seguro, Ver reportes, Reportes de búsqueda avanzada y Descargas de reportes. Cuenta con la función especial de notificación de cambio de tarjeta SIM. Requiere GPRS para entregar los datos a la cuenta Web.
- FlexiSpy Light. Ofrece las siguientes aplicaciones para el móvil: Logueo de sms, Logueo de historial de llamadas, Reporte de duración de llamadas y Borrado de datos privados. El soporte Web incluye: Logueo seguro, Ver reportes, Reportes de búsqueda avanzada y Descargas de reportes. Requiere GPRS para entregar los datos a la cuenta Web.
- FlexiSpy Bug. Ofrece las siguientes aplicaciones para el móvil: Activación remota de micrófono y Controlar móvil por sms. Requiere GPRS sólo al momento de registrar el producto.
- FlexiSpy Alert. Ofrece las siguientes aplicaciones para el móvil: Controlar móvil por sms y Borrado de datos privados. Cuenta con las funciones especiales de Notificación de cambio de tarjeta sim y Alerta por robo (Scream Alert). Requiere GPRS sólo al momento de registrar el producto.

Aunque mañana es el examen de PSI, he recibido varios emails de alumnos sobre temas no relacionados con el temario. En algunos casos empiezan o terminan indicándome que no piense que no están estudiando. Y la verdad, me parece todo lo contrario, gente que el día antes de un examen mira todo tipo de temas-noticias, aunque no estén en el temario de la asignatura, me parece realmente de .... .....

Entre los recibidos, relacionados con esta entrada, uno sobre el uso de bluetooth para acceder a todo tipo de información, así como para otras muchas perrerías (gracias ACR). En concreto, hace referencia al programa Super Bluetooth Hack, orientado a controlar teléfonos con bluetooth activados.

Es un software en java para tomar el control de celulares a través de bluetooth permitiendo.:

- Leer sus mensajes
- Leer sus contactos
- Cambiar el perfil
- Escuchar los ringtons
- Escuchar sus canciones (en su teléfono)
- Reiniciar su teléfono
- Apagar su teléfono
- Ajustes de fábrica del restore
- Cambiar el volumen del sonido
- Controlar remotamente el teléfono.
- Y aquí viene lo mejor, llamada desde su teléfono
- ...

Con esto, me imagino que más de uno empezará a mirar mal a su móvil, y seguro que hasta lo abandonará en alguna ocasión y, o, reunión. (-:

Backtrack 5

2011-05-25T19:07:00.000+02:00

Backtrack5, una buena distro para trastear.

Recordatorio

2011-05-25T18:53:00.000+02:00

El próximo viernes 27 de mayo nos vemos a las 10:00 am. en el aula 2.1a o 2.1b o 2.3, la que sea más grande de las tres. Por la nomenclatura, me imagino será la 2.3

Cifrado de sistemas de ficheros vs. rendimiento

2011-05-24T23:32:00.003+02:00

El otro día en clase surgió el tema del rendimiento en sistemas de ficheros cifrados. Hoy Eugenio me remite un enlace con información en el caso de TrueCrypt (disponible aquí). El rendimiento en la IO a disco suele ser algo que siempre tenemos en cabeza y que en algunos casos nos lleva a procesos de "tuning" en los parámetros de nuestro subsistema de IO y planificadores. El uso de mecanismos de seguridad como pueda ser su cifrado tiene, como es lógico, ciertas implicaciones.

Además, también encontramos sustanciales diferencias de rendimiento en función del algoritmo de cifrado utilizado. En este caso-enlace, tenemos un sencillo "benchmarking" de TrueCrypt con distintos algoritmos. Señalar que, al igual que en el mundo de las estadísticas, los datos son datos, y resulta sustancialmente sencillo definir arquitecturas y cargas de trabajo que se puedan ajustar a los resultados deseados, aunque esto es otra batalla de este nuestro mundillo. A este paso, puede que algún día encontremos en los planes de estudio alguna asignatura del tipo "cocinando información" (-: (alguien especializado en este campo seguro que tendría buenas ofertas de trabajo)

I Curso de verano de Informática Forense en la Universidade da Coruña (22 al 24 de junio de 2011)

2011-05-24T15:19:00.001+02:00

Del 22 al 24 de junio de 2011 se celebrará en la Facultad de Informática de la Universidad de A Coruña el I Curso de verano de Informática Forense, organizado por Informática64 y la UDC, de gran interés en nuestro ámbito. Más información aquí.

[Fuente.: variadas, gracias a todos]

Nagios.: Un clásico de la monitorización

2011-05-23T22:51:00.001+02:00

Eugenio Fuentefría Oróns nos trae a esta entrada un pequeño howto de nagios, muy didáctico, desarollado en la asignatura de Gestión de Redes.

SHA-3, "sólo puede quedar uno"

2011-05-23T15:34:00.001+02:00

El otro día en clase se hizo referencia a SHA-3. Y como en los inmortales, "sólo puede quedar uno". De momento, tenemos 5. Hagan sus apuestas.

BLAKE (Suiza)
Grøstl (Dinamarca)
JH (Singapure)
Keccak (Bélgica)
Skein (Bruce Schneier de EE.UU.)

[Fuente.: JM, gracias; enlaces Segu-Info]

Avaliación docente do 16 de maio ao 26 de xuño

2011-05-23T13:43:00.000+02:00

Cursos de verano Fundación Universidad Rey Juan Carlos

2011-05-23T13:30:00.000+02:00

Entre la oferta de cursos y talleres de la Fundación Universidad Rey Juan Carlos destacar, en nuestro ámbito, "La lucha tecnológica contra el fraude organizado", que se celebrará del 4 al 8 de julio, en Aranjuez.

Vodafone y KPN emplean Deep Packet Inspection para analizar el tráfico de los usuarios

2011-05-23T12:30:00.001+02:00

Otra noticia interesante, de las muchas en el ámbito de "toma privacidad", bajo el título "Vodafone y KPN emplean Deep Packet Inspection para analizar el tráfico de los usuarios".

[Fuente.: FVM, gracias]

Sobre el tema, hay constancia de ciertas operadoras que han adquirido hace cierto tiempo equipamiento especializado en DPI. ¿Están haciendo uso de los mismos?. Privacidad, que bonita palabra, pero que ...

Detectados fallos graves en la red informática de los juzgados gallegos

2011-05-23T12:22:00.000+02:00

Noticia disponible aquí. No tiene desperdicio. Bueno, más bien tiene muchos desperdicios.

[Fuente.: SMG por email, gracias]

Para este verano, entre otras referencias que daré mañana en clase

2011-05-18T21:13:00.001+02:00

Memoria-bitácora de Pepelux en la resolución de los retos hacking de la Rooted-2011 (gracias Daniel)

http://pepelux.org/papers/rootedctf2011.pdf

Vídeos de las charlas de la Rooted-2011 (gracias Carlos)

http://www.rootedcon.es/blog/2011/05/comienza-la-publicacion-de-videos-de-rooted-con-2011.html

Rendimiento y almacenamiento (mi alma por un SSD)

2011-05-16T23:34:00.001+02:00

Hoy Tomás (gracias) nos remite un divertido video sobre discos SSDs. Espero algún día poder tener en mi portátil unas prestaciones próximas.

Bitacorón

2011-05-16T21:15:00.000+02:00

Por si a algún alumno se le pasa, recordad que en la entrada del BITACORÓN actualizo alguna de las mejores jugadas-resumen de las clases de teoría. No olvides revisarla cada cierto tiempo.

LTOs

2011-05-09T16:16:00.001+02:00

Alberto me remite los siguientes enlaces sobre LTOs (gracias).

Anuncio de LTO-7 y LTO-8: http://www.theregister.co.uk/2010/04/15/lto_new_generations/
Sobre precios actuales de LTOs, para tener una referencia.:
-LTO-1: http://www.backupworks.com/LTO1-Ultrium-Tape-Drive.aspx
-LTO-2: http://www.backupworks.com/LTO2-Ultrium-Tape-Drive.aspx
-LTO-3: http://www.backupworks.com/LTO3-Ultrium-Tape-Drive.aspx
-LTO-4: http://www.backupworks.com/LTO4-Ultrium-Tape-Drive.aspx
-LTO-5: http://www.backupworks.com/LTO-5-Ultrium-Tape-Drive.aspx

Curso de Seguridad Telemática 2011 (Universidad de Vigo, 27 al 30 de junio)

2011-05-02T19:05:00.000+02:00

Del lunes 27 al jueves 30 de junio de 2011 se celebrará en la Universidad de Vigo junto a Hermes Sistemas, una nueva edición del Curso de Seguridad Telemática 2011, dirigido por José Luis Rivas López. Entre los temas a tratar estos cuatro días se encuentran el "Desarrollo de aplicaciones seguras, Seguridad en entornos Microsoft, Auditorías Normalizadas, Auditorías de Seguridad, Certificación de SGSI 27001, Implantación de un plan de gestión de confidencialidad y privacidad, LOPD, Esquema Nacional de Seguridad, Europrise: certificación Europea en Privacidad y Protección de Datos, La protección de datos personal como derecho fundamental y Hacia dónde se dirige la protección de datos en el Siglo XXI"

[Fuente.: Alejo por email, gracias; desde barrapunto.com]

Bienvenidos al planeta del trapicheo de la información

2011-04-30T00:58:00.000+02:00

Lo dijo Rosendo hace mucho tiempo, "esto es la fauna chaval". El trapicheo con la información como norma cada vez más generalizada empieza a mosquear bastante. En este caso Adrián nos adjunta una nueva noticia de casos de uso "La policía holandesa aprovecha los datos de TomTom para colocar los radares". Sobran los comentarios.

Security and Data Protection in a Google Data Center

2011-04-25T12:45:00.002+02:00

Interesante video sobre "Security and Data Protection in a Google Data Center", especialmente en el contexto de algunas de las cosas que vemos en PSI en la sección de seguridad a nivel físico. Obviamente, es la visión en formato publicitario vista por la propia empresa y, por lo tanto, todo es muy bonito, aunque didáctico.

[Fuente.: Daniel López, gracias]

código McCormick

2011-04-24T22:36:00.000+02:00

Hoy mi colega Eduardo me remite una noticia sobre el código McCormick. Noticia disponible aquí. Hay otras fuentes de la noticia e imágenes disponibles. ¿Código o criptosistema?. Auque hace tiempo que en PSI no vemos nada relacionado con criptosistemas clásicos, si alguien obtiene algo "puteando" esa secuencia ...

Sistemas de respaldo en una pequeña empresa

2011-04-24T19:06:00.000+02:00

Alejo me remite una notica de unos de los múltiples temas que se tocan en PSI, el del apasionante mundo de los sistemas de respaldo, cariñosamente conocidos como entornos de "backups". Hace tiempo estuvimos mirando conjuntamente algunas plataformas de "backups" para entornos de la pequeña empresa. Entrada disponible aquí.

Por cierto, entras las múltiples modificaciones de las prácticas de este curso 2010-2011, una de ellas está relacionada con esta noticia. En concreto, en la práctica tres, entre otras muchas cosas, habrá que configurar el entorno backuppc.

Xornadas sobre o Esquema Nacional de Seguridade nas administracións públicas

2011-04-10T21:19:00.009+02:00

A Secretaría Xeral de Modernización e InnovaciónTecnolóxica de Presidencia da Xunta de Galicia está a organizar unhas xornadas,que terán lugar nas vindeiras datas en distintas cidades galegas, para adifusión do Esquema Nacional de Seguridade (ENS) nas distintas administraciónspúblicas de Galicia. O obxecto será analizar a problemática derivada da entrada en vigor do Real Decreto 3/2010 do 8 de xaneiro, polo que se aproba o Esquema Nacional de Seguridade, de obrigado cumprimento por parte de todos os órganos da Administración así como por calquera entidade de dereito público dependente deles.

Noticia completa disponible aquí.

[Fuente.: Alejo por email, gracias]

La "hacker" de la pala (DoS avanzado)

2011-04-07T14:32:00.000+02:00

La noticia figura como "Mujer de 75 años casi corta toda la internet de Armenia con una pala". Sobre las palabras utilizadas en el título podríamos hacer muchas apreciaciones, pero lo dejaré para no meterme en casa ajena. Eso sí, la noticia como tal no deja de tener su gracia.

[Fuente.: Daniel por email, gracias]

Policía Nacional y Guardia Civil alertan a los “amigos del wifi ajeno”

2011-04-05T13:46:00.000+02:00

Información disponible aquí. Y también aquí.

Pregunta para los alumnos.: ¿Qué pasaría respecto a esta noticia en el caso de no romperse ningún mecanismo de protección y únicamente se utilicen inhibidores de WIFI en el espectro de las mismas?.

[Fuente.: Adrián, gracias]

DoS en redes WIFI

2011-04-04T23:21:00.003+02:00

Hoy un alumno me ha planteado una interesante pregunta. En pocas palabras, ¿cómo evitar en nuestras redes WIFI un DoS por desautenticación con, por ejemplo, aireplay-ng?.

Como cien cabezas piensan mucho más que una, espero vuestras aportaciones al tema. Como adelanto, yo me dedicaré al 802.11w, que revisaré en los próximos días. Espero todo tipo de ideas.

¿Y si entra en el juego un inhibidor portátil de WIFIs?.

Hoy Eugenio me remite un par de enlaces muy interesantes relacionados con algunos de los comentarios-apreciaciones que hacíamos al finalizar la clase. En primer lugar, la disponibilidad del 802.11w en OpenWRT y, en segundo, una presentación de la DefCon sobre distintos ataques al estándar.

Pdt para dicho alumno.: Esto no es dar la vara, todo lo contrario.

Alemania inaugura su centro de Ciberseguridad

2011-04-03T23:04:00.002+02:00

Interesante noticia disponible aquí. De esta noticia, entre otras cosas, destacar.:

- "la ciberseguridad se convertía en una de las prioridades de la agenda del Gobierno de Alemania".

- "en apenas dos meses, el Gobierno alemán ha puesto en marcha un Centro Nacional de Ciberseguridad (NCA)" (este punto especialmente interesante en lo referente al tiempo empleado en la puesta en marcha del centro).

[Fuente.: Alejo por email, gracias]

Respuesta a una pregunta realizada en el lab de prácticas de hoy

2011-03-30T15:49:00.004+02:00

# ping6 -I tun6to4 ff02::1

Para el resto de alumnos, ¿qué hace esto?

Ver RFC-2375

Noticia sobre Tor

2011-03-28T19:47:00.001+02:00

En clases pasadas hemos hecho referencia a Tor y a su grado de fiabilidad en tareas de privacidad. Hoy me llega una noticia relacionada con el tema "Tor ya no es suficiente para navegar de manera segura en Irán".

[Fuente.: Alejo y Carlos por email, gracias]

"Xornadas Libres" (GPUL-FI-UDC. 28..31 marzo 2011)

2011-03-22T16:15:00.003+01:00

El Grupo de Programadores y Usuarios de Linux (GPUL) organiza los días 28 al 31 de marzo en la Facultad de Informática de la UDC las "Xornadas Libres". Tanto por los ponentes como por los contenidos muy recomendables. Toda la información disponible aquí.

[Fuente.: Alejo por email, gracias]

La seguridad absoluta

2011-03-19T22:40:00.001+01:00

El otro día después de clase, conversando con un grupo de alumnos, se hacía referencia a que la protección estaba muy bien, pero que siempre existirán puntos vulnerables. También que los grandes “gurús” del mundillo siempre encontrarán un lugar por el que colarse. Mi respuesta, sin dudarlo. Pero también que si pones a muchos de esos gurús a administrar cualquier organización, también podrán caer.

Si conduces tu coche con una venda en los ojos, estoy seguro que te la pegas. Si lo conduces con todos los mecanismos de seguridad posibles y cumpliendo todas las normas de circulación, la probabilidad de tener un incidente será muy baja. Aunque siempre podrá venir un “cabrón” con su coche que te lleve por delante.

Sobre este tema, mi buen colega Alejo me remite una noticia que ilustra pefectamente esta situación "Intrusión en la compañía RSA y robo de información. Teorías".

Varios problemas de seguridad descubiertos en el kernel de Ubuntu 10.04

2011-03-06T23:39:00.003+01:00

Información disponible aquí.

[Fuente.: Alejo por email, gracias]

I'm sorry (DMZ, IDPS, honeys y demás familia)

2011-02-24T23:16:00.005+01:00

El otro día recibía un email de un alumno que, entre otros aspectos, me indicaba que en la última clase había hecho referencia a algunos términos, suponiendo que todos estaban familiarizados con los mismos. A este alumno, "I'm sorry". Entre los términos a los que me hacía referencia DMZ, IDPS y honeypot.

Un mail del Prof Ramió Aguirre, desde Criptored, me proporcionaba la herramienta ideal para, en poco más de 14 minutos, dejar toda esta terminología clara. La quinta lección del servidor web de intypedia (Enciclopedia de la Seguridad de la Información) aborda la seguridad perimetral (http://www.criptored.upm.es/intypedia/video.php?id=introduccion-seguridad-perimetral&lang=es). Autor.: D. Alejandro Ramos Fraile, Team Manager de SIA Sistemas Informáticos Abiertos S.A., Security Consulting CISSP, CISA y editor del blog Security by Default http://www.securitybydefault.com/

Recordatorio

2011-02-17T15:34:00.004+01:00

Recordad revisar el Bitacorón y las entradas actualizadas y participad en las propuestas-preguntas. También he entregado la primera práctica, de configuración básica. No dejes para el día de laboratorio lo que puedas hacer hoy.

Hasta la fecha algunos responden las preguntas que planteo en clase, pero casi nadie me hace preguntas. Ante esto, supongo que todo el mundo se entera de todo lo que cuento. No preguntas = todo va bien.

Grupos de prácticas

2011-02-10T23:55:00.003+01:00

Después de organizar los grupos de prácticas atendiendo a las colisiones con otras asignaturas, los grupos del miércoles y viernes quedan balanceados, pero el del martes queda en familia.

Si hay algún alumno del grupo del miércoles o viernes que pueda pasarse al martes, se llevará una sorpresa.

22-febrero-2011 .- Relación grupos de prácticas

Laboratorio martes = 28 alumnos
Laboratorio miércoles = 34 alumnos
Laboratorio viernes = 35 alumnos

Equipos disponibles en el laboratorio = 25

SAM'11 - The 2011 International Conference on Security and Management

2011-02-10T15:56:00.002+01:00

Toda la información en SAM'11 - The 2011 International Conference on Security and Management

Si dices las verdades, pierdes las amistades

2011-02-10T15:20:00.005+01:00

Hoy DSR me remitía la noticia "La verdad sobre el supuesto robo de datos y chantaje a Nintendo (Actualizado)"

Todos los años toco este tema en la asignatura de PSI, unido a alguna de las experiencias, normalmente "traumáticas", vividas.

Al respecto, recomiendo la siguiente entrada. Es una regla general. No quita que exista un número muy reducido de excepciones. Y que en algunas ocasiones tengamos que intentarlo.

Aprovecho para informaros de que he incluido un enlace en el menú de la asignatura titulado "El Bitacorón", en el que actualizaré las aventuras y desventuras vividas en la clase. Recomendable visitarla cada cierto tiempo.

[Fuente.: DSR por email, gracias]

En una línea similar, FCP me remite una noticia sobre el deseo de hacer algo imposible, "Sony amplía su ofensiva legal en Internet (Actualizado)"

[Fuente.: FCP por email, gracias]

Grupos de prácticas

2011-02-09T00:13:00.005+01:00

Adjunto relación de asignación a grupos de prácticas.:

Grupo 1 (martes).- De Alfonso Pita a Fernández López
Grupo 2 (miércoles).- De Fernández Novoa a Pena Placer
Grupo 3 (viernes).- El resto

En caso de conflicto con otras asignaturas, contactar en clase, o por email.

He cerrado la "configuración" de los grupos de prácticas. La publicaré en el aula 3.2.

Grupo martes.: 22 alumnos
Grupo miércoles.: 35 alumnos
Grupo viernes.: 38 alumnos

Tenemos 25 equipos en el laboratorio, por lo que posiblemente no quede otra que hacer grupos (al igual que las funciones hash, siempre tenemos colisiones)

Total alumnos.: 97
2 alumnos no están en listado, posiblemente por matricularse a posteriori de la impresión de listados (contactar)

Inicio prácticas laboratorio.: 1 de marzo (con esto se impartirán 22 horas de laboratorio de las 20 asignadas a la asignatura de PSI). Recomiendo venir a las clases de laboratorio con las ideas claras sobre lo que se pide, para ahorrarnos tiempo y avanzar rápido.

Bitacorón de PSI.: Fecha estelar 2011

2011-02-08T23:15:00.032+01:00

Actualizaré esta entrada con información-resumen de las clases teóricas de PSI. Sobre las prácticas, mejor nos vemos en el laboratorio.

- La presentación de la asignatura (más información aquí). Se puede complementar con unos fundamentos básicos. Recomendable el contenido de la entrada, circular por las referencias de la asignatura, y los enlaces a trabajos de los supuestos.

- Pasadas las presentaciones, entramos en materia con un capítulo titulado Fundamentalismo (ver. 2.0). Recomendable digerir su contenido y el de sus referencias. También una entrada que resume el objetivo de la asignatura "Ruptura cifra RSA 1024 bits vs. lo verdaderamente importante en la asignatura de PSI". ¿Cuántos siguen habitualmente noticias de seguridad?. ¿Cuántos han empezado a seguirlas?. Para terminar, un tema que se repite todos los años, "Si dices las verdades, pierdes las amistades"

- En clase se hace referencia, en varias ocasiones, a alguna de la terminología clásica de la PSI. Aquí dejo una entrada sobre seguridad perimetral, DMZ, IDPS, etc. También hemos visto la configuración básica de IPv6. En este sentido, puedes leer la entrada de uno de los reports del año pasado sobre ataques en IPv6. O la noticia del SLAAC attack (remitida por Adrián Carpente, gracias). Señalar también esta cuestión sobre multicast en IPv6.

- Hoy hemos entrada en contacto con la trilogía, "hosts discovery, port scanning & fingerprinting". En la segunda parte hemos hablado, entre otras cosas, de la "avispa" (cuidado con la avispa).

- Tenemos que matar la trilogía. La tercera parte, dedicada al "fingerprinting", ocupa nuestro tiempo, "!el futuro es de los fuertes!?"

- ¿Dónde estás?. Ocultación y OcultaT[h]or

- Hemos cambiado de tema, y como un típico y tópico ejemplo de intercepción, iniciamos un nuevo juego, sniff, sniff. Y para seguridad, no queda otra que "póntela, pónsela". O esta otra noticia sobre la "hacker de la pala".

- Cerramos el tema de "sniffing" y algunas técnicas de *jacking. Iniciamos una nueva aventura que nos llevará por el apasionante mundo del D[D]oS. Sobre el tema se incluye esta interesante cuestión. Y esta noticia-cuestión.

- No seas bruto, "Fuerza Bruta o Pseudobrut".

- Y a todo esto, ¿cómo está el paciente?. Hoy nos dedicamos a los principios básicos de la monitorización de sistemas.

- Conocer algunos de los organismos y principales estándares del mundillo ha sido el principal objetivo de esta clase, bajo el título de "Who is Who & Metallica is Metallica".

- Hoy nos dedicaremos a la seguridad a nivel físico, analizando diversos aspectos relacionados e instalaciones existentes. En este contexto y desde una perspectiva didáctica "Security and Data Protection in a Google Data Center". Finalizamos la clase tratando un tema que no deja de ser curioso, los llamados ataques tempest, dejando una entrada de desbarre bajo el título "¿Puede una página web levantarte dolor de cabeza o quitarte el sueño?". Y aquí un video, remitido por Tomás (gracias), con una demostración tempest muy interesante.

- No debemos olvidarnos del ladrillo, de nuestros edificios, tratado bajo el epígrafe "Sector Inmobiliario TIC".

- Seguimos con temas varios relacionados con el apasionante mundo de la redundacía. Vida Salvaje (la redundancia).

- La paga semanal a los más pequeños les enseña que los recursos no son ilimitados. En nuestro mundo los recursos son caros y limitados. Por lo tanto, también debemos definir "pagas" a los usuarios. Hoy jugaremos un poco con el mundo de las quotas.

- Fundamentos de HA et al.

- Se acerca fin de curso, y entramos en una nueva temática, relacionada con la criptonita.

- No podemos olvidarnos de los protocolos con s, de casi seguros.

- Y cerramos hablando de la familia, en concerto, de S y familia.

Jornadas Seguridad (FI-UDC, 24 al 26 de febrero)

2011-02-08T22:09:00.003+01:00

Como todos sabéis, los días 24 al 26 de este mes se celebrarán unas jornadas de seguridad en la facultad. Toda la información disponible aquí.

La pregunta repetida que me llega por vuestra parte es si habrá clase de PSI esos días.

Respuesta.: Si se matricula la totalidad de los 94 alumnos de PSI, por descontado cancelaré mis clases durante esos días. Bueno, si son 90 también.

Bloqueos a internet, ¿qué hacemos?

2011-02-02T12:19:00.003+01:00

Aquí dejo una entrada con varias reflexiones-recopilatorias sobre posibles mecanismos para evitar el bloqueo de acceso, total o parcial, de los ciudadanos a internet.

El año pasado tratamos en PSI diversos temas sobre anonimato en la red. Hoy Rubén me remite una entrada que mantiene cierta relación.

Post disponible aquí.

[Fuente.: Rubén Hortas por email, gracias]

Wargame de Security by Default

2011-01-12T14:00:00.002+01:00

El Primer Wargame de Security By Default empezará el 15-01-2011 a las 00 horas. Toda la información disponible aquí.

[Fuente.: Alejo por email, gracias]

España tipifica como delito los ataques informáticos

2010-12-28T16:34:00.002+01:00

El 23 de este mes ha entrado en vigor la reforma del Código Penal. Más información aquí. De especial interés los comentarios de esta y otras entradas, con diversas opiniones para todos los gustos.

[Fuente.: Alejo por email, gracias]

Xornadas Software Libre en GNU/Linux (Facultade de Informática da UDC. 1-3 decembro)

2010-11-24T16:15:00.002+01:00

A Oficina de Software Libre (OSL) da UDC organiza unhas segundas Xornadas sobre Software Libre e GNU/Linux aberto a todo o público, pero especialmente destinado a membros da Universidade da Coruña.

Trátanse dunhas xornadas cun enfoque xeral e práctico sobre o software libre, centrándonos especialmente nos sistemas operativos GNU/Linux. A xornadas terán lugar na Aula.Master na planta 0 da Facultade de Informática do Campus de Elviña os días 1, 2 e 3 de decembro a partires das 16:30 h. Dividíronse as xornadas nas seguintes sesións, de 4 horas de duración cada unha:

Día 1 (16:30 - 20:30 h)

* Conceptos básicos
* Un pouco de historia
* Que é GNU/Linux?
* Vantaxes
* Distribucións e Escritorios

Día 2 (ven co teu portátil e libérao) (16:30 - 20:30 h)

* Instalando dende Windows
* Particionando o disco
* Instalación de GNU/Linux Ubuntu 10.10
* Configurando o noso novo equipo

Día 3 (16:30 - 20:30 h)

* Que son os repositorios?
* Conseguindo novas aplicacións de forma sinxela e áxil
* Introdución aos novos programas
* Alternativas libres a aplicacións privativas

As xornadas son gratuítas.

Entrégase certificado de asistencia e aproveitamento das xornadas (12 horas).

Para máis información e inscrición http://softwarelibre.udc.es/Xornadas

Jornadas de Seguridad 2011 (Facultad de Informática de la UDC, 24-26 de febrero 2011)

2010-11-22T15:49:00.001+01:00

Toda la información actualizada sobre estas jornadas aquí.

GPU y cracking

2010-11-02T16:37:00.005+01:00

El curso pasado publicábamos una serie de entradas relacionadas con el "benchmarking" de funciones hash. Entre ellas destacar.:

- BruteForce Benchmark

- Cracking md5 (BarsWF vs. Caín & Abel) [por David Rouco Vázquez]

- Aclaraciones al report del enlace anterior

Alejo me remite por email una noticia relacionada, sobre el uso de GPUs en el cracking de funciones hash en referencia a estos enlaces "GPU y cracking, qué tarjeta me compro?". Buena memoria, gracias.

ENISE en directo (26 al 28 de octubre)

2010-10-25T21:20:00.003+02:00

Esta semana, en concreto del 26 al 28 de octubre, INTECO celebrará la cuarta edición del Encuentro Internacional de la Seguridad de la Información, ENISE, que contará con la participación de ponentes de alto nivel y que se puede consultar en la web del ENISE: http://enise.inteco.es/

Le informamos que podrá seguir en directo a través de videostreaming las sesiones plenarias a través del portal web del ENISE http://enise.inteco.es/ haciendo click en la opción «en directo» que se activará el día 26 de octubre.

Noticia en PSI del evento aquí.

[Fuente.: Inteco por email]

Xornadas Empresa-Protección de Datos-Admnistración Electrónica (Santiago de Compostela. 2-4 novembro 2010)

2010-10-22T13:26:00.003+02:00

O Colexio Profesional de Enxeñaría en Informática de Galicia (CPEIG) vai xuntar en Santiago de Compostela no vindeiro mes de novembro a algúns dos máis salientables especialistas en seguridade informática do eido estatal. O motivo será a celebración das Xornadas Empresa-Protección de Datos-Administración Electrónica, que se desenvolven do 2 ao 4 de novembro e que van dirixidas, como o seu propio nome indica, a achegar información útil sobre os mellores métodos a pór en práctica para que as persoas e a súa privacidade non fiquen ao descuberto nas redes.

Info. aquí.

[Fuente.: Alejo por email, gracias]

Instal Party Ubuntu (Fórum Metopolitano A Coruña. 27 outubro)

2010-10-22T13:21:00.003+02:00

A Oficina de Software Libre da UDC organiza o día 27 de outubro as 17:00 unha Install Party do sistema operativo Ubuntu 10.10 aberta ao público en xeral no Fórum Metropolitano de A Coruña.

Durante este obradoiro o persoal da OSL axudará e guiará a todos os asistentes a instalar e configurar nos seus portátiles o recen saído GNU/Linux Ubuntu 10.10 co fin de amosar o sinxelo que é realizar a instalación e a rapidez coa que é posible comezar a gozar de todas as aplicacións libres, gratuítas e legais dispoñibles para o seu uso a un simple golpe de rato.

Todo aquel que queira coñecer de primeira man o funcionamento de Ubuntu 10.10 sen medo e da man de expertos na materia que non dubide en inscribirse neste obradoiro gratuíto. Só hai 25 prazas dispoñibles que se cubrirán por rigorosa orde de inscrición.

Para inscribirse acudir a: http://softwarelibre.udc.es/Install

Jornadas de introducción sobre GNU/Linux y software libre para nuevos alumnos 2010

2010-10-19T12:54:00.005+02:00

Esta actividad, organizada por el Grupo de Programadores y Usuarios de Linux (GPUL), se celebrará en la Facultad de Informática los días 20 y 21 de octubre de 2010. Toda la información disponible aquí.

¿Cuánto dinero debes gastar en seguridad?

2010-09-27T23:44:00.003+02:00

El otro día Alejo me remitía una entrada titulada "¿Cuánto dinero debes gastar en seguridad?". No es una entrada, como se puede suponer por el título, de aspectos técnicos. Sin embargo, incluye unas cuantas frases que aparecen en algunas entradas de las bitácoras de la asignatura de PSI relacionadas con el factor económico. Entre ellas destacar la siguiente.:

- "la cuestión no es gastar más o menos dinero en seguridad; contar con un presupuesto elevadísimo en materia de seguridad no implica estar más seguro, puesto que si se gasta el dinero de manera ineficiente o sin un plan sólido de inversión, es posible que se esté malgastando el dinero e, incluso, exponiendo la compañía a más riesgos y amenazas. Lo más caro no siempre es lo mejor."

A esta se podrían unir otras muchas del tipo, mucho dinero y poco o mal personal = baja calidad

Entrada aquí.

[Fuente.: Alejo por email, gracias]

Importar y exportar máquinas virtuales en virtualbox

2010-09-17T00:24:00.004+02:00

Atendiendo una consulta recibida hace un par de días, adjunto lo siguiente. Más fácil imposible:
-------
La importación y exportación de máquinas virtuales en VirtualBox, desde la versión 2.2, pasó a ser algo trivial. Una de las características más interesantes de este proceso es el cumplimiento del estándar abierto OVF. Así podemos importar cualquier máquina virtual que cumpla con este estándar independientemente del software utilizado para su creación. Por ejemplo, podemos importar una máquina virtual exportada desde VMware Workstation o VMware Server. O al contrario, podemos exportar una máquina virtual desde VirtualBox para después importarla en cualquier otro hipervisor.

[Fuente.: http://sliceoflinux.com/2009/09/09/importar-y-exportar-maquinas-virtuales-en-virtualbox/]

PSI 2010-2011.: ¿La cojo, o no?

2010-09-16T12:54:00.005+02:00

Estos días estoy recibiendo varios emails con consultas de posibles futuros alumnos sobre diversos temas para decidir si coger o no esta asignatura. Estoy a vuestra disposición para cualquier duda-consulta.

Como resumen, la que más se repite es la procedente de alumnos de la IT en Informática de Sistemas (ITIS). La respuesta, no, PSI no se oferta como optativa en ITIS. Se oferta en la II y la ITIX. En la ITIS se puede coger como libre elección. Es algo duro de entender, especialmente por mi parte. Como curiosidad, en el grado se ha hecho todo lo contrario, se incluye una asignatura de seguridad en el itinerario puro de sistemas, y no en los cuatro itinerarios restantes.

4 Encuentro Internacional de la Seguridad de la Informacion (León-26, 27 y 28 octubre)

2010-07-29T17:45:00.002+02:00

El Instituto Nacional de las Tecnologías de la Comunicación (INTECO), presenta un año más la nueva edición del Encuentro Internacional de la Seguridad de la Información (ENISE), que este año se celebrará los días 26, 27 y 28 de octubre en León.

INTECO es una sociedad estatal adscrita al Ministerio de Industria Turismo y Comercio (MICYT) que ha sido concebida como una plataforma para el desarrollo de la Sociedad de la Información en España. Dentro de sus actuaciones, destaca el impulso de la seguridad de la información, en el cual está englobado el evento que aquí les presentamos, y que se ha convertido en un punto de encuentro de referencia para el sector.

La edición de este año tiene como lema Nuevas fronteras en la ciberseguridad y pretende dar un importante giro al encuentro. En las tres primeras ediciones ENISE ha llegado a ser un evento de referencia para la industria de la seguridad de la información a nivel nacional y con la cuarta edición nuestro objetivo es pasar a convertirnos en un gran encuentro de los principales agentes en el campo de la seguridad (industria, I+D, administraciones públicas, usuarios, etc.), tanto de la UE como de Iberoamérica.

Es por ello, que esta edición se centra en los siguientes aspectos:

· Día 26: Esquemas nacionales de seguridad
· Día 27: Libertad, justicia y Sociedad de la Información
· Día 28: Identidad digital

Para más información puede consultar el programa del evento en la página web de ENISE, o solicitar toda la información que considere oportuna en los datos de contacto que figuran al final de este correo.

Si desea asistir, puede realizar la inscripción a través de la página web del evento en el formulario habilitado para ello, teniendo en cuenta los descuentos acumulables que le pueden ser de aplicación:

· Inscripción antes del 30 de septiembre: 10% de descuento
· Inscripción realizada con DNIe: 10% de descuento

Por otro lado, si usted desea participar como ponente o patrocinador, puede solicitarlo a través del formulario de solicitud de ponencia, o a través del formulario de solicitud de patrocinio, también a su disposición en la página web del evento.

Otra novedad de esta edición es el Premio ENISE, que este año va dirigido a reconocer el mejor servicio o proyecto cuya tecnología esté basada en el DNIe. Al premio podrán concurrir las empresas y administraciones públicas, individualmente o en colaboración, presentando cualquier tipo de proyecto, esté o no en funcionamiento en el mes de octubre, en el que se haya utilizado el DNI electrónico como elemento fundamental para la gestión del proceso.

El Tribunal Supremo anula artículos del Reglamento de la LOPD

2010-07-28T12:21:00.000+02:00

El Tribunal Supremo (TS) ha anulado los artículos 11, 18, 38.1.a y 2 y 123.2. del Reglamento de Protección de Datos y deja como cuestión imprejuzgada el artículo 10. 2.a y b, el tratamiento y cesión de datos, que eleva como cuestión prejudicial al Tribunal de Justicia de las Comunidades Europeas (TJCE).

[Fuente.: Alejo, gracias]

Vídeos del VI Ciclo de Conferencias UPM TASSI 2010

2010-07-02T22:12:00.004+02:00

Información remitida por el Prof. Ramió Aguirre, Criptored.

-----------

Se han subido al Canal YouTube de la UPM los siguientes siete vídeos
correspondientes al VI Ciclo de Conferencias UPM TASSI 2010 celebrado en
la EUITT - EUI del campus sur de la Universidad Politécnica de Madrid, del
23 de febrero al 25 de mayo de 2010:

Vídeo 1
Gestión de Riesgos en Sistemas de Información
Ponente: D. José Antonio Mañas Argemí
Catedrático del Departamento de Ingeniería de Sistemas Telemáticos, ETSIT UPM
VI Ciclo de Conferencias UPM TASSI: 23 de febrero de 2010
Vídeo: http://www.youtube.com/watch?v=-lbbPJd_adE

Presentación PDF en:
http://www.criptored.upm.es/paginas/docencia.htm#catedraTASSI2010

Vídeo 2
Seguridad de las Comunicaciones en las Futuras Redes Vehiculares
Ponente: Dña. Pino Caballero Gil, Directora del Proyecto MUOVE,
Universidad de La Laguna, Tenerife
VI Ciclo de Conferencias UPM TASSI: 9 de marzo de 2010
Vídeo: http://www.youtube.com/watch?v=QqQQqdnETFc

Presentación PDF en:
http://www.criptored.upm.es/paginas/docencia.htm#catedraTASSI2010

Vídeo 3
Confianza en la Sociedad de la Información en España
Ponente: D. Víctor M. Izquierdo Loyola, Director General Instituto
Nacional de Tecnologías de la Comunicación INTECO
VI Ciclo de Conferencias UPM TASSI: 23 de marzo de 2010
Vídeo: http://www.youtube.com/watch?v=KGU3GvIW1C8

Presentación PDF en:
http://www.criptored.upm.es/paginas/docencia.htm#catedraTASSI2010

Vídeo 4
Ciberdelincuencia e Instrumentos para Combatirla
Ponente: D. Manuel Vázquez López, Comisario Brigada de Investigación
Tecnológica del Cuerpo Nacional de Policía
VI Ciclo de Conferencias UPM TASSI: 23 de marzo de 2010
Vídeo: http://www.youtube.com/watch?v=KF6_fI31FvI

Vídeo 5
La hora de los hackers. Los delitos de intrusismo y vandalismo informático
en el proyecto de reforma del Código Penal
Ponente: D. Carlos Sánchez Almeida, Bufet Almeida, Abogados Asociados
VI Ciclo de Conferencias UPM TASSI: 27 de abril de 2010
Vídeo: http://www.youtube.com/watch?v=PcsssAXN4hA
Artículo en: http://www.kriptopolis.org/la-hora-de-los-hackers

Vídeo 6
Privacidad y Libertad de Expresión en la Era de Internet
Ponente: Dña. Bárbara Navarro, Directora de Relaciones Institucionales de
Google España
VI Ciclo de Conferencias UPM TASSI: 11 de mayo de 2010
Vídeo: http://www.youtube.com/watch?v=MMN9ZV5jJxg

Presentación PDF en:
http://www.criptored.upm.es/paginas/docencia.htm#catedraTASSI2010

Vídeo 7
Hacia un Nuevo y Más Amplio Concepto de Seguridad: La Seguridad Integral.
Ponente: D. José Lucio González Jiménez, Director
Gerente de Cluster TIC Seguridad y Confianza Madrid Network
VI Ciclo de Conferencias UPM TASSI: 25 de mayo de 2010
Vídeo: http://www.youtube.com/watch?v=qxoFcya2o8k

Enlace a todos los vídeos del ciclo:
http://bit.ly/caiiRw

Avaliación Docente

2010-06-30T01:04:00.003+02:00

Información remitida por el Rectorado.
-------------------
A Avaliación Docente pecharase o vindeiro 4 de xullo. Participa e anima aos teus estudantes para que a fagan. Entra en www.udc.es/avaliemos
-------------------

lockpicking

2010-06-26T16:42:00.005+02:00

Este año en PSI hemos tratado muchos temas. Uno de los que ha salido referenciado es el llamado "lockpicking". Se adjunta una entrada que incluye una de las biblias de "lockpicking".

[Gracias Borja]

Resultados PSI 2009-2010

2010-06-10T20:38:00.005+02:00

RESULTADOS DE PSI.:

Aprobados = 36
Suspensos = 14

A los que han superado la asignatura, no olvidaros de mí, y cualquier buena noticia en seguridad, un forward es rápido. Y si alguno termina trabajando en seguridad de la información, me gustaría estar informado.

A los que no han superado la asignatura, nos vemos en la siguiente convocatoria. Y estoy a vuestra disposición para lo que queráis.

Mi especial enhorabuena a DRV e ILG.

Mañana colgaré la relación de notas en el tablón de la Facultad.
Los días 14 y 15 (11 am.) serán las revisiones de exámenes.

Curso de verán sobre Ferramentas de Seguridade en GNU/Linux na Universidade de Vigo (21-25 xuño)

2010-06-09T15:22:00.000+02:00

Toda la información aquí.

[Fuente.: Alejo]

Aclaraciones al report Cracking md5 (BarsWF vs. Caín & Abel) [por David Rouco Vázquez]

2010-06-08T23:09:00.002+02:00

David Rouco, autor del report "Cracking md5 (BarsWF vs. Caín & Abel)", me remite la siguiente aclaración, de gran interés, que adjunto literalmente.

"Un compañero me ha preguntado, después de leer el report de cracking MD5, el motivo por el que esas utilidades van a varios millones por segundo, y el John the Ripper "sólo" crackea unos pocos miles de shadow-passwords por seg cuando teóricamente es sólo el hash salteado. Como me ha parecido interesante se lo he resuelto, y también te lo envío a ti por si te parece que deberías hacer una especie de aclaración en el blog, por si alguien más se lo pregunta. El motivo es que en la función crypt() típica de nuestras distribuciones, que es la que se usa para que dada una cadena devuelva su correspondiente shadow, existe un bucle que realiza 1000 iteraciones calculando md5 sobre el md5 previamente calculado, como verás por ejemplo en
http://dev.freenode.net/hyperion/trunk/src/md5crypt.c (aquí es sólo para md5, pero crypt() vale para todas las funciones definidas). Este bucle, es sólo para este propósito (en principio, porque ahí las colisiones son "imposibles"), evitar ataques por fuerza bruta, con lo que si en un futuro las máquinas fueran 1000000 de veces más rápidas, "sólo" tendrían que incrementar el nº de iteraciones hasta 10⁹ para que siguiéramos como hasta ahora."

V Jornadas de Reconocimiento Biométrico de Personas (Huesca, 2-3 septiembre)

2010-06-08T12:51:00.003+02:00

Toda la información en http://jrbp10.unizar.es/

Y si asistes a estas jornadas, sería un gran pecado no hacer una visita a uno de los lugares más espectaculares del planeta, la Sierra de Guara, a media hora de Huesca.

La caza del analista (elTopo) [por Adrián Portabales & José Manuel Santorum]

2010-06-08T12:24:00.004+02:00

Report.: La caza del analista (elTopo)

Autores.: Adrián Portabales & José Manuel Santorum
Resumen.: Hablamos sobre distintas herramientas posibles desde el momento que se nos propone este supuesto, hasta que decidimos crear la nuestra propia (código fuente de elTopo). Como anécdota contare que una vez terminado este report, nos hemos dado cuenta que basicamente lo que hemos creado ha sido un troyano para linux, que incluso podremos configurarlo para conexion inversa como del que hablan Cristóbal Blanco y Jorge Souto en su report Malware con conexion inversa.

Resumen del Supuesto.: Somos directivos de un pequeño departamento de servicios informáticos de una empresa y sospechamos que uno de nuestros analistas de sistemas está boicoteando alguna de las máquinas que administra.

Ataques a IPv6: THC-IPv6 (por Juan Rodrigo Cantorna)

2010-06-08T12:00:00.005+02:00

Report.: Ataques a IPv6: THC-IPv6
Autor.: Juan Rodrigo Cantorna
Resumen.: En este documento se explica de forma breve el funcionamiento de algunos ataques posibles a IPv6 utilizando el paquete de herramientas THC-IPv6.

Introducción al pen-test con w3af (por Javier Rey Fernández)

2010-06-06T21:17:00.004+02:00

Report.: Introducción al pen-test con w3af
Autor.: Javier Rey Fernández
Resumen.: "Pentesting", tal vez alguno hayáis oído hablar de este término, a otros os sonará a chino, sin embargo si os hablo de realizar test de intrusión ya os suena a muchos más, seguro. Mediante esta pequeñita introducción vamos a ver de qué se trata y cómo podemos hacer un pequeño estudio de una aplicación web totalmente vulnerable. Esto lo haremos en nuestro Dojo, donde entrenaremos para hacernos fuertes y ayudados de nuestra poderosa arma W3af intentaremos convertirnos en los buenos más malos o en los malos más malos.

Mi disco duro hace ruido, debe estar malito, ¿qué le pasa?

2010-06-05T00:33:00.004+02:00

El otro día me preguntabais por el enlace del pequeño simulador de averías en discos duros y el ruido generado. Lo tenéis disponible en http://www.drivesaversdatarecovery.com/ep/drivesaver-the-first-online-hard-disk-drive-simulator/. Además de este enlace, Adrián me ha remitido otro con una completa colección de ruidos de DD con problemas (http://datacent.com/hard_drive_sounds.php) [gracias por la información]
Mi disco duro hace en arranque el ruido de clicker failure. ¿Cómo se repara?

Computational Intelligence in Security for Informatión Systems (CISIS 2010. León. 11-12 noviembre)

2010-06-05T00:09:00.002+02:00

Información.: http://gicap.ubu.es/cisis2010/home/home.shtml

Bifrost.: Malware con conexión inversa (Por Cristóbal Blanco Martínes & Jorge Souto Costoya)

2010-06-04T23:37:00.005+02:00

Report.: Bifrost y conexión inversa
Autores: Cristóbal Blanco Martínez & Jorge Souto Costoya
Resumen.: No remitido, aunque el título es auto-explicativo.

Cracking md5 (BarsWF vs. Caín & Abel) [por David Rouco Vázquez]

2010-06-03T23:02:00.004+02:00

Antes de nada, aunque esta entrada la etiquete como criptografía, recordad que las funciones hash no son algoritmos criptográficos.

Report.: Cracking md5 (BarsWF vs. Caín & Abel)
Autor.: David Rouco Vázquez
Resumen.: En esta entrada traemos un nuevo report. Se podría iniciar con "en la esquina izquierda, con 80kgs. de peso, etc., etc..", a modo de combate de boxeo. Aunque mucho mejor dedicarle una lectura a este report en el que, entre otras cosas, y con un lenguaje muy coloquial, se hace una comparativa entre BarsWF y Caín&Abel en la tarea del cracking de hashes md5.

Últimas bitácoras de PSI

2010-06-01T15:26:00.002+02:00

Sobre las últimas bitácoras de PSI, para evitar redundancia de información, y ante unos minimos cambios respecto a las del curso anterior, están disponibles bajo la etiqueta bitácora, para un rápido acceso.

Pdt.: Ojo con las respuestas del exámen tipo test del año pasado.

Sistema videovigilancia casero

2010-05-27T21:26:00.004+02:00

Al final de la clase de hoy me habéis preguntado por un sistema de videovigilancia casero. Existen varias entradas para las típicas webcams con sistemas caseros y software free. Entre las múltiples.:

- http://es.onsoftware.com/p/como-montar-un-sistema-de-videovigilancia-casero
- http://lacomunidad.elpais.com/securite-vs/2009/6/24/consejos-macgyver-sistema-videovigilancia-casero
- http://otroblogmas.com/surveillance-scan-ii-videovigilancia-casera-con-una-webcam/
- http://www.linuxeando.org/foros/index.php?topic=1176.0

Recuerda que son sistemas caseros. Pueden servir para ver las imágenes, o fotografías, desde un navegador en internet. Recuerda que el proceso debe ser autenticado y controlado en acceso, para evitar que terceras personas puedan acceder, o utilizarlo para ganar privilegios en el sistema.

También la iluminación es otro factor a cuidar, así como la alimentación eléctrica del sistema, entre otros. Si se va la luz, o la cortan, fin del sistema. Finalmente, de nada nos sirve poder observar en remoto. La información, vídeo o fotografía, ante la detección de movimiento, debe ser almacenada fuera del equipo, en remoto. En otro caso es posible que nuestro ladrón se llevase el equipo y toda grabación realizada.

Espero que esto sea suficiente para lo que quieres montar,

Md5 bruteforce benchmark

2010-05-26T16:05:00.005+02:00

Teniendo constancia de que a alguno de vosotros le gusta el bechmarking en ataques de fuerza bruta, y siendo consciente de que posiblemente vuestras pruebas no las dejaréis plasmadas en un report, aquí os dejo una referencia de md5 bruteforce bechmarking.

Bueno, parece ser que la entrada ha surtido efecto, y pronto dispondremos de un nuevo report de benchmarking de herramientas en el cracking de md5. Será interesante ver la comparativa.

Algunas pruebas contra servidores DNS (por Adrián Barbeito Prego)

2010-05-25T13:06:00.005+02:00

Con esta entrada iniciamos los report remitidos por algunos de vosotros con pruebas en distintos ámbitos de la seguridad. Se incluyen los report originales, sin ningún tipo de cambio.
----------------------------------------------
Report.: Casos comunes de ataques a servidores DNS y pruebas con ADM DNS
Autor.: Adrián Barbeito Prego

Resumen.: En el siguiente documento se explican de forma sencilla los casos más comunes que nos podemos encontrar de ataques a nuestros servidores DNS. Además a modo práctico se ilustra el funcionamiento de las herramientas más interesantes de la suite ADM (disponible en packetstorm o directamente en backtrack) para atacar a un DNS. Se prescinde de ejemplos de MitM ya que hay herramientas más interesantes como ettercap (y mucha información por la red) y no es un ataque directo contra el servidor.

Seminario sobre Soluciones de Almacenamiento Oracle (25 mayo-Madrid)

2010-05-13T21:41:00.002+02:00

Fecha y Datos de lugar
25 de mayo 2010
Madrid
c/Serrano Galvache, 56
Centro Empresarial Parque Norte
Edificio Abedul (Sala Java)

Agenda
10:00 a.m Registro
10:30 a.m. Introducción
Consideraciones del Almacenamiento en entornos de Oracle: El papel de las Soluciones de Almacenamiento
11:00 a.m. Sistemas de almacenamiento Oracle/Sun y ejemplos de implantación:
- Sistemas de Almacenamiento para Protección de Datos.
- Sistemas de Almacenamiento para ConsolidaciónSun.
12:00 a.m. Oracle Database 11g
Soporte de Alto rendimiento para todo tipo de Datos
13:00 a.m. Puesta en marcha y siguientes pasos

Date 25-May-2010
Starts At 10:00 am
Venue Centro Empresarial Parque Norte, Edificio Abedul (Sala Java)
Street Address c/Serrano Galvache, 56
City Las Rozas
Zip 28230
Country Madrid

Más información aquí

I Xornadas de Informática Xudicial e Delitos Informáticos (A Toxa-Pontevedra. 5 de xuño)

2010-05-10T22:28:00.002+02:00

Información.: http://www.cpetig.org/blog/?p=763
Fuente.: Alejo

Bitácora de PSI.: ¿Cómo está el paciente?

2010-05-07T16:15:00.008+02:00

¿Cómo detectar ciertos eventos y situaciones en nuestras máquinas?". Entre otras posibilidades, registros de auditoría y monitorización a todos los niveles.

Ante problemas de funcionamiento, prestación de servicios, "performance", etc. en nuestros sistemas existen dos posibilidades de actuación.:

- No hacer nada y que sean los propios usuarios de nuestros sistemas los que, cuando un sistema presente un mal funcionamiento o una degradación en sus prestaciones, nos avise.

- Disponer de distintos sistemas de monitorización y alarmas en los sistemas administrados o, al menos, en servidores relevantes. Señalar que en este punto no estamos hablando de sistemas como puedan ser los I[D,P]Ss, que entrarían en otro apartado relacionados con la monitorización y detección-prevención de intrusiones, o los sistemas de análisis de vulnerabilidades.

La primera opción supone tener que curar a un paciente cuando está en una situación crítica, sin contar todas las implicaciones de prestar un mal servicio a nuestros usuarios-clientes. Bajo ningún concepto debemos proceder de esta manera. En todo momento deberemos pensar en un mínimo de herramientas que nos faciliten la monitorización de los sistemas.

En este punto, iniciamos la aventura con las opciones básicas de "accounting" de procesos y usuarios.

El clásico paquete acct nos proporcionará unas herramientas básicas de monitorización de procesos y usuarios. Comandos como el ac, lastcomm, sa, last, lastb, entre otros, nos proporcionan algunas posibilidades básicas. Se estudian los parámetros de salida de los mismos.

En un segundo nivel se analiza el paquete sysstat como herramienta básica de monitorización de los distintos subsistemas gestionados por los sistemas operativos de nuestras máquinas, tanto en "tiempo real" como sobre bases de datos históricas, que nos permiten analizar el "performance" de las máquinas en cualquier momento pasado.

En toda monitorización un parámetro que debemos definir es el período de muestreo. Obviamente este deberá ajustarse a los objetivos de los posibles estudios sobre las muestras. Señalar que toda monitorización también supone una sobrecarga en el sistema que, de ser necesario, debería cuantificarse. En el marco del paquete sysstat se analiza la salida obtenida por los comandos iostat, mpstat, sar, top, vmstat y free, así como las opciones para garantizar el muestreo histórico de parámetros del sistema y el tratamiento de los mismos por los "scripts" sa1, sadc y sa2. También se incluye el comando sadf para exportar los datos a CSV o XML. Nuevamente se analizan los principales parámetros de salida de todos ellos.

Se incluye una herramienta no menos importante, la ISAG (Interactiva System Activity Grapher) que, sobre un entorno gráfico permite seleccionar un fichero del subsistema sysstat en binario (saXX) y mostrar los datos de muestreo históricos de forma gráfica. Sin duda alguna estos gráficos nos proporcionan de una forma visual mucha información sobre la evolución del "performance" en los distintos subsistemas gestionados por el sistema operativo.

Para concluir, señalar que de nada nos sirve disponer de muchos datos sin una cierta capacidad de análisis y, o, sistemas de alarma. Es necesario "conocer" las salidas producidas y las posibles interacciones e implicaciones de las mismas para, con ellas, sacar conclusiones que nos permitan tomar decisiones. Nuevamente llegamos a la “palabreja” que aparece cada poco en la asignatura, "tomar decisiones". Sin duda alguna, el profesional que nunca toma decisiones, o hace que sean otros los que las tomen, nunca se equivocará. Pero este es otro de los muchos puntos que diferencia un buen profesional de uno mediocre. Todo responsable del sector TIC debe potenciar a aquellos profesionales que toman decisiones y, muy especialmente, a los que asumen las posibles responsabilidades de las mismas, incluso en los casos no acertados.

Seguimos con comandos básicos de ayuda a la monitorización. Entre ellos, uname, uptime, time, ps, vnstat, df, du, who, gprof, ping, traceroute, etc., etc. Otro conjunto de comandos evolucionados lo constituyen dstat, iftop, tcptrack, vnstat y atop. Se presenta la utilidad y salida de dichos comandos, sin entrar en posibles opciones. Para más información, juega un poco con ellos.

Otro ámbito de herramientas es del chequeo de integradad. Entre ellas sxid, tripwire o ViperDB.

Entre los muchos apartados de la práctica 2 (parte II), de las posibles opciones de uso, el tripwire y el vnstat os permitirán resolver un par de ellos.

Hasta este punto hemos visto herramientas de monitorización de equipos, sin pensar en las posibilidades de entornos centralizados de monitorización de un gran número de activos. Aunque se podrían desarrollar soluciones propias con lo visto, en la actualidad existe una gran cantidad de herramientas para dicha tarea. Entre ellas, Pikt, zabbix, munin, Nagios (mini-howto nagios), NTOP. MRTG (Multi Router Traffic Grapher) y OSSIM (Open Source Infraestructure for Security Monitoring). De forma generealizada estas herramientas o hacen uso de agentes propios en el lado cliente o del protocolo de gestión SNMP (Simple Network Management Protocol), con o sin soporte de las MIB (Management Information Base).

"De nada sirve disponer de todo tipo de sistemas de monitorización, "logs", sensores, analizadores de vulnerabilidades, sistemas de alarma más o menos inteligentes, etc. en entornos en los que nadie analiza la información y, como mínimo, atiende las alarmas (a mano o a máquina). Tener este tipo de sistemas está muy bien pero, sin duda alguna, requiere un cierto control de toda la información y alarmas generadas".

Bitácora de PSI.: Who is who & Metallica is metallica

2010-05-06T14:29:00.005+02:00

La segunda parte la dedicamos a introducir distintos organismos y su aportación al mundo de la seguridad y, en especial, a su estandarización.

Iniciamos esta andadura con el NIST (National Institute of Standars & Technology) y se presentan algunos de sus principales Federal Information Processing Standards (FIPS), o la National Vulnerability Database (NVD), como herramientas de gran relevancia en PSI.

El Institute for Security and Open Methodology (ISECOM) también pone a nuestra disposición un buen conjunto de metodologías y desarrollos en "compromise detection", "secure programming", "security politics", "security testing", etc.

En un tercer bloque analizamos algunos de los estándares en seguridad de la ISO. Partimos de la ISO27001, que se centra en la gestión de la seguridad de la información, e ISO27002, sobre buenas prácticas en seguridad en la forma de objetivos de control y controles recomendados. Obviamente ambos estándares son complementarios. Finalizamos la aventura de la ISO con las ISO27003, 05 y 11.

Otras grandes aportaciones como el Standard of Good Practice for Información Security del Information Security Forum (ISF). En casa también tenemos la Metodología de Análisis y Gestión de Riesgos de SS.II (Magerit para los amigos), desarrollado por el Consejo Superior de Administración Electrónica. Y no debemos olvidarnos de su amiga Pilar.

Para finalizar, se hace referencia al CCN-CERT, CNI, esCERT, IRISCert e Inteco, como algunos de los organismos directamente vinculados con el mundo de la seguridad en tecnologías y la respuesta ante incidentes.

Las metodologías pueden llegar a resultar aburridas, pero nos proporcionan un camino para no olvidarnos de nada, especialmente de lo más importante. Ser autodidacta está muy bien, pero ser un autodidacta con metodología es mucho mejor.

"Cuando has experimentado con un buen montón de ataques, métodos y herramientas en seguridad, las metodológicas te proporcionarán la energía y el orden necesario para conseguir un cierto nivel de equilibrio-abstracción de nivel superior en la profesión. Como es lógico, todo requiere su tiempo"

Bitácora de PSI.: Fuerza Bruta, o Pseudobruta (parte I)

2010-05-06T14:08:00.007+02:00

En la primera parte de la clase se ha cerrado el tema de D[D]oS. Se hace referencia a algunos de los ataques DoS como slowloris o TCP socktress. También se incluyen algunas de las herramientas de *stress existentes en distintos niveles de aplicación.

Aunque otros años no le hemos dedicado ni un minuto a los ataques de fuerza bruta, o pseudo fuerza bruta, en el cracking de passwords, este año se ha incluido un apartado. Esta segunda parte se ha estructurado en dos partes, el password cracking y el passwords guessing.

Se analiza el formato de nuestros hashes salteados de passwords en el shadow y, entre otros, el concepto de colisión. Se juega un poco con el amigo john, no el largo, el otro, y las posibilidades en la generación y uso de diccionarios, mutaciones y fuerza bruta total, o parcial.

Formato del shadowing de nuestros sitemas.:

El $1$ inicial indica que se ha utilizado un hash md5
Nuestros squeeze por defecto han evolucionado, y ahora presentan un $6$ (todo es reconfigurable), pasando a utilizar SHA-512
Los 8 caracteres siguientes son el salt utilizado
Un $ como separador del hash del password salteado

Sobre el guessing de passwords, se analiza la problemática principal en este tipo de ataques, los mecanismos de control y filtrado, etc. Y aunque nunca se habla de política en clase, en esta ocasión no nos ha quedado más remedio que hacer referencia a la política de passwords. Finalmente se introducen las herramientas medusa, thc-hydra y ncrack. Se utiliza la herramienta medusa para ver los módulos de guessing que integra y sus posibilidades.

Después de analizar los ataques, nos centramos en las posibilidades de protección, por ejemplo con BFD, APF y, en DoS, DDoSdefalte. Existen otras posibilidades como fail2ban, etc. En todos los casos se pasa por el análisis de otro de los temas tratados en PSI, los registros de los sistemas o logs.

Bitácora de PSI.: Una de zombies

2010-05-03T10:59:00.003+02:00

Como segundo ejemplo de categorías de ataques, iniciamos una historia de zombies, como siempre, de buenos, malos y regulares. Estamos en el mundo de la interrupción, de la denegación de servicio. Esos bichos voraces que comen y comen recursos hasta destrozarle las vísceras a la víctima. Si te apasiona la historia te recomiendo la lectura de.:

- A Summary of DoS/DDoS Prevention, Monitoring and Mitigation Techniques in a Service Provider Environment, de Michael Glenn, SANS Institute

- Network DDoS Incident Response Cheat Sheet de Lenny Zeltser

En estas dos entradas obtendrás los conceptos básicos del DoS y DDoS. Recuerda que las técnicas de DDoS han evolucionado y, en la mayoría de los casos, unido a estas arquitecturas se combina una gran cantidad de ataques por inundación que, además, también integra todo tipo de tráfico del nivel de aplicación.

Distintos proveedores TIC proporcionan sistemas de "aprendizaje" vinculados al tráfico legal vs. tráfico DDoS, así como herramientas de detección y "limpieza" de tráfico. No incluyo referencias por no hacer publicidad. Si te interesa el tema, hay diversas soluciones y enlaces al respecto.

En clase se analizan distintas aproximación del D[D]oS, así como variadas soluciones ante los ataques de este tipo, tanto a nivel de sistemas, como de red y aplicación.

Bitácora de PSI.: Cerramos capítulo *jacking

2010-05-03T10:44:00.004+02:00

Iniciamos la clase con algunas herramientas básicas de red, como ngrep o netsed.

Si en la clase anterior analizamos un ejemplo en el ámbito del freejacking, hoy hemos dedicado el resto de la clase a tres de las técnicas existentes en el llamado wavejacking.

Horario de laboratorio PSI extra

2010-04-29T14:21:00.002+02:00

Me indican del CECAFI que el laboratorio de PSI está disponible en el horario extra seleccionado.:

Martes - Miércoles - Jueves de 19:30 a 21:30

Como diría Gabinete, que Dios siga repatiendo suerte