Oscar Martin Blog 2.0

Después del estudio realizado, el año pasado por la Agencia Europea para la Seguridad de Información y Redes (ENISA), se acaba de presentar el resultado en un documento de 114 paginas.

La gente de Kiptopolis nos han facilitado la labor y han hecho un resumen en 15 puntos, que muestro a continuación:

1. La Unión Europea debería presentar una Ley que obligue a notificar las brechas de seguridad.
2. Debería garantizarse la publicación de estadísticas fiables sobre el delito electrónico.
3. Es necesario recoger y publicar datos sobre la cantidad de spam y otro tráfico indeseable que emiten los ISP europeos.
4. Instauración de una escala de sanciones para los ISP que no respondan con prontitud a peticiones de retirada de máquinas comprometidas, y que se recoja el derecho de los usuarios a que sus máquinas sean reconectadas siempre y cuando ellos asuman la total responsabilidad.
5. Desarrollo e implantación de estándares para que el equipo que se conecte a las redes sea seguro por defecto.
6. Debería adoptarse una revelación temprana y responsable de vulnerabilidades junto a la responsabilidad del fabricante sobre el software no parcheado, de forma que se acelere el ciclo de desarrollo de parches.
7. Los parches de seguridad deben ser gratis y mantenerse separados de los que representan actualizaciones de funcionalidades.
8. Debería armonizarse el proceso de resolución de disputas entre clientes y proveedores de servicios de pago con respecto a las transacciones electrónicas.
9. Establecer un régimen de sanciones efectivas y proporcionadas contra las prácticas abusivas del comercio on-line.
10. Estudiar los cambios a realizar en las leyes de protección de los consumidores para adaptarlas al progreso del comercio on-line.
11. Las autoridades encargadas de velar por la competencia deberían ser asesoradas siempre que la diversidad tenga consecuencias sobre la seguridad.
12. Investigar los efectos de los fallos en los nodos de intercambio de Internet (IXP).
13. Impulsar la ratificación por parte de los estados miembros de la Convención sobre Ciberdelito.
14. Establecimiento de un cuerpo de ámbito europeo encargado de facilitar la cooperación internacional sobre ciberdelitos, usando la OTAN como modelo.
15. Garantizar ante la Comisión Europea que las regulaciones presentadas con otros propósitos no dañen inadvertidamente a los investigadores y las empresas de seguridad.

Fuente Kriptopolis.

Los ciberdelincuentes buscan formas de testear sus creaciones antes de distribuirlas, según ha podido comprobar PandaLabs.

Una investigación realizada por el laboratorio de detección y análisis de malware de Panda Security ha demostrado cómo los criminales de la Red están colaborando entre ellos en distintos foros y páginas para desarrollar herramientas de testeo que incluyan todas las soluciones de seguridad, o al menos las más prestigiosas. De esta manera, quieren comprobar que sus creaciones no son detectadas antes de lanzarlas, evitando posibles fracasos.

Estas herramientas están en consonancia con la nueva dinámica del malware, en al que los ciberdelincuentes ya no buscan causar grandes alarmas y conseguir titulares, sino pasar desapercibidos. Por eso, pretenden comprobar que sus soluciones no son detectadas por ninguna compañía antes de lanzarlas.

Primero fueron los servidores corporativos, después los ordenadores domésticos y ahora, los routers ADSL presentes en cada vez más hogares. Los creadores de código malicioso han descubierto en estos aparatos un nuevo objetivo. El hecho de que sean pequeños ordenadores, que estén siempre encendidos y poco protegidos los convierte en piezas fáciles y muy atractivas para el delincuente.

Un estudio de la Universidad de Indiana (Estados Unidos) destaca la especial vulnerabilidad de las conexiones inalámbricas, más inseguras porque no están protegidas o usan el sistema de cifrado WEP, fácilmente atacable de forma automatizada. Así, el gusano saltaría de un router a otro a través de las ondas aunque, a juicio de Quintero, “su vida de propagación sería muy limitada, a no ser que haya una concentración de routers de un mismo modelo en una área geográfica”.

A nadie se le escapa que las redes de ordenadores zombies o botnets, la peor plaga en la actualidad, nacieron también primero en la imaginación de los investigadores, para hacerse fatalmente reales meses después. La única defensa contra los ataques a routers domésticos es cambiar las contraseñas que vienen por defecto y proteger sus conexiones inalámbricas con sistema WPA.

Fuente:  ElPais.com

Como ya comenté con anterioridad, se hacia de rogar la nueva version del Service Pack para Office 2007 publicada ayer. Este SP1 incluye avances en estabilidad, rendimiento y seguridad.

Estabilidad: Se solucionan al menos los cinco problemas más frecuentes de cada aplicación, teniendo en cuenta todas las informaciones del sistema “Dr.Watson”. El SP1 de Office 2007 también mejora la estabilidad y usabilidad de Sharepoint Server 2007 y la compatibilidad de todos los servidores con Windows Server 2008, con lo que las empresas pueden avanzar en sus planes de modernización de una manera más segura.

Rendimiento: SP1 mejora el rendimiento de las aplicaciones más comunes de Microsoft Office 2007, como Excel 2007, Outlook 2007, PowerPoint 2007 y SharePoint Server 2007.

Seguridad: Con la incorporación de los nuevos avances en seguridad y los resultados de las pruebas realizadas, el SP1 ofrece a los usuarios una protección mejorada contra el software peligroso y las amenazas potenciales a la privacidad.

Para descargártelo accede a estos enlaces, dependiendo si dispones de la Suite o Server:

2007 Microsoft Office Suite Service Pack 1 (SP1)

2007 Microsoft Office Servers Service Pack 1 (SP1)

Me ha llamado la atención esta noticia que he leído hoy, en la que dicen que vista y la Web 2.0 serán los objetivos de los ataque para el año que viene. Más concretamente, con respecto a la Web 2.0, nos dicen que sus objetivos serán las redes sociales y las plataformas virtuales.

Como no soy ningún experto en seguridad, me sorprende estas noticias, ya que los hackers no saben donde van a llegar y cuando le cierran una puerta intentan entrar por otro lado. No sé en que sentido atacarán a las redes sociales, pero imaginaremos la cantidad de información relevante que puede existir en cualquier red social de éxito.

Esperemos que las empresas dedicadas al mundo de la seguridad se pongan las pilas y puedan ofrecernos herramientas fiables.

Otronuevo software de seguridad, esta vez de la mano de Microsoft, quienes han publicado la versión release de este producto de seguridad Windows Live OneCare, que estaba en versión Beta desde el mes de Julio.

La nueva versión 2.0 ofrece varias mejoras de las ya existentes y tambien algunas herramientas nuevas, particularmente en el area de networking y backup storage

La intalación de Windows Live OneCare requiere iniciar sesión en Windows Live.

Si, últimamente no paran… ya que ayer día 01/11/2007 publicaron una nueva version del famoso navegador web: Firefox. Básicamente esta versión lo que hace es corregir ciertos problemas detectados en la versión anterior (2.0.0.8), que hacia muy poco tiempo que había visto la luz…

Se han detectado cinco problemas de seguridad y estabilidad en la aplicación (provenientes de la anterior actualización), detallados a continuación (en inglés):

• Bug 400406
• Bug 400467
• Bug 396695
• Bug 400421
• Bug 400735

Toda la informacion detallada de esta nueva versión puedes encontrarla aquí.

Más información sobre las últimas actualizaciones de este navegador aquí.

Como parte de la familia de System Center, Microsoft incorporará un nuevo producto orientado a brindar grandes capacidades de gestion y operacion de los dispositivos moviles en el entorno corporativo.

Las organizaciones están experimentando un aumento en el número de empleados utilizando los dispositivos móviles para realizar su trabajo, por lo que controlar dispositivos móviles, cada vez se hace en una labor mas compleja y sobre todo, garantizar la integridad de los datos corporativos.

Este producto le permitira al sector corporativo aumentar la proteccion de su informacion sensible, si el dispositivo es perdido o robado, proveera de mejoras en la seguridad detras del firewall por medio de enlaces VPN, reducira la complejidad de mantenimiento, soporte y resolucion de problemas y sus costos asociados, proveera de una gran escalabilidad pues soportara miles de usuarios en un servidor, este es sin duda un gran producto para la gente de IT.

Si desean conocer mas caracteristicas pueden visitar el site oficial de Microsoft o descargar un archivo PDF del producto

Fuente: Blog de Rarmas

Se ha detectado la primera vulnerabilidad de la nueva version del extendido software para bloggers: Wordpress. Este bug permite a un atacante llenar el blogroll (o lista de vínculos) con spam (o basura) y no solo afecta a la ultima version 2.3, sino que también se ven afectadas versiones anteriores.

El bug se ha detectado en el script “wp-admin/link.php”, donde se se comprueban los permisos, antes de añadir un Blogroll link.

Se han apresurado a sacar un parche no oficial de este scrit “link.php”, que puedes descargarte desde aquí.

La instalación del parche es muy sencilla, descargate el archivo guardándolo como “link.php” y sobrescribe este archivo que tienes en tu blog en la ruta: “wp-admin/link.php”.

Fuente: BlogSecurity.net

Segun NeoSmart Technologies, Windows XP SP3 build 3205, fue distribuida a los betatesters, para realizar baterías de pruebas. En este nuevo Service Pack se incluyen más de 1000 actualizaciones de las que 114 están relacionadas con la seguridad del sistema.Entre las herramientas que serán migradas de Vista a XP figura el Network Access Protection (NAP), una tecnología para empresas que permite inspeccionar un ordenador antes que tenga acceso a la red. Para mas informacion sobre NAP, lee este interesante articulo, de Emiliano Estévez (consultor de Algeiba S.A.)

Otras adiciones incluyen un módulo kernel que contiene varios algoritmos de encriptación que se pueden acceder por terceros desarrolladores para una nueva activación del modelo de Windows que no requiere que los usuarios ingresen una clave del producto.

Windows XP SP3, que Microsoft ha dicho que será lanzado a principios del 2008, será uno de más movimiento del desarrollador para extender el ciclo de vida de seis años en el sistema operativo. El mes pasado, por ejemplo, Microsoft le dio a Windows XP una suspensión de seis meses para impulsar el final de las ventas al detalles y las ventas de PCs con XP preinstalado para los grandes mayoristas para el 30 de junio del 2008.