La importancia del BCP

Hace poco más de una semana que en la lista de distribución de ISO27001security se viene discutiendo un tema que suele ser recurrente en las auditorías que he realizado. El thread se centra en la falta de completitud del Plan de Continuidad de Negocio (BCP por sus siglas en inglés) o su inexistencia.

¿Puede pasarse una auditoría de certificación sin elaborar y probar un BCP?

NO. La falta del BCP constituye una No Conformidad Mayor y supone no pasar la auditoría.

¿Puede ser mi BCP una hoja donde se diga cómo restauro las copias de seguridad?
Esta es la posición de alguien de la lista. De nuevo NO, esto no es un Plan de Recuperación del Desastre (DRP por sus siglas en inglés), es un BCP y NO ES LO MISMO.

Hagamos de abogados del diablo y pongamos que damos por suficiente esa hojita con las instrucciones para restaurar las copias de seguridad. Ahora pensemos que hay un cortocircuito en la oficina principal provocando un incendio y por ende la pérdida de gran parte de lo que allí se ubicaba. Suponiendo que haya una copia fuera de dicha oficina, se nos vendrá encima un aluvión de dudas entre las cuales podemos encontrar:

• ¿Quién es responsable de cada una de las tareas necesarias para recuperar el funcionamiento mínimo de la organización?
• ¿Dónde deben ser restaurados los sistemas, puestos en funcionamiento los procesos mínimos de operación y ubicadas las personas?
• ¿Qué equipos deben ser adquiridos o transladados?, ¿qué personas deben ser contactadas?, ¿qué infraestructura es necesaria para la operación mínima de la organización?
  
• ¿Cómo contacto con los proveedores necesarios para abastecerme del material necesario?
  
• ¿Cuándo debo contactar con cada proveedor?, ¿cual es el órden en el que los diferentes implicados deben ser avisados?.

Y esto es sólo una muestra de lo que habría que resolver para que un BCP sea realmente un BCP.

¿Por qué es tan importante un BCP?

El BCP es la última línea de vida de una empresa. Cuando las contramedidas fallan, el BCP es la última esperanza de supervivencia de una empresa. Acontecimientos como el ocurrido en las Torres Gemelas o el del edificio Windsor ponen de relevancia este aspecto en ocasiones infravalorado dentro de las organizaciones.

El BCP consigue hacer previsto un imprevisto que puede costar la supervivencia de la empresa. De hecho, ya existe una norma británica que trata este aspecto en profuncidad conocida como BS 25999.

Salu2!!

SOC, ventajas e inconvenientes

Los SOC (Security Operation Centers) son un servicio de moda, cada vez son más las empresas que se deciden por esta solución externalizando la seguridad lógica de la organización pero... ¿proporcionan estos servicios lo que la organización necesita?.

¿Que es un SOC?

No voy a entrar en cómo opera un SOC a bajo nivel pero sobre esto podeis leer un artículo aquí. Lo que si os recomiendo para aquellos que no tengan una idea clara de lo que es un soc es que le echen un vistazo al siguiente video:







Bajo el nombre de SOC se albergan un conjunto de servicios entre los que podemos encontrar la administración y supervisión de forma remota de los siguientes elementos entre otros:

• Servidores
• Firewalls
• Firewall de aplicaciones
• Control de acceso a la red
• Antivirus
• Firewall de Base de Datos
• Firewall de correo electrónico
• Sistemas Anti-Spam
• Sistemas de Detección de Intrusiones (IDS)
• Tráfico de red
• Ancho de banda
• Copias de Seguridad

Algunos de sus aspectos positivos

Son muchas las virtudes que se pueden destacar y que pueden decantar a una empresa por la contratación de uno de estos servicios. Entre sus puntos fuertes podemos encontrar:

1. La especialización del personal: siempre que se externaliza un servicio se obtiene un beneficio directo proveniente del conocimiento del personal que realiza la tarea externalizada.
2. Servicio 24/7: estaríamos contratando un servicio que respondería las 24 horas del día durante los 7 días de la semana, hecho que resulta de especial relevancia para aquellas empresas cuya disponibilidad de sus sitemas es punto clave en su desempeño. Además hay que tener en cuenta que un servicio expuesto a internet no entiende de horarios por lo que un incidente de seguridad puede surgir en cualquier momento.
3. Relación Coste/Resultado: estos servicios permiten tener a disposición de la organización a un equipo de expertos en seguridad informática por un precio muy inferior a lo que costaría mantenerlos a nivel interno.
4. Velocidad de Respuesta: Derivado del punto 2, las vulnerabilidades pueden ser subsanadas en un periodo de tiempo muy corto minimizando la ventana de exposición. Aquí se debería distinguir entre medidas preventivas y correctivas, sobre todo cuando se opere con sistemas que se encuentran dentro del entorno de producción. Por poner un ejemplo, la aplicación de un parche a un servidor con el objeto de subsanar una vulnerabilidad puede tener consecuencias inesperadas en el sistema. Es aconsejable que los parches se prueben de forma que no se introduzcan directamente al entorno de producción por lo que es conveniente que entre la organización y el SOC queden claros cuáles deben ser los protocolos de actuación ante el compromiso de uno de sus sistemas.
   

Cuidado, la seguridad lógica ya no nos pertence...

A la hora de externalizar la seguridad lógica de la empresa se deben tener en cuenta ciertas consideraciones de las cuales ya expuse algunas en el blog de Joseba Enjuto. A la hora de externalizar este servicio se debe tener en cuenta lo siguiente:

1. Es una solución a la parte de seguriad lógica: No debe perderse de vista que lo que se debe proteger es aquello que es más valioso para la organización. Estos servicios pueden crear la "ilusion" de seguridad mientras la puerta de atrás de la empresa está abierta 24/7. En ningún caso es una solución global puesto que aquello a lo que cada organización debe prestar especial atención debe venir dado por los objetivos de negocio de la organización y aquellos elementos que resulten determinantes tras el análisis de riesgos.
2. Intrusividad: Algunos de estos servicios pueden no ser recomendables dependiendo de cómo de crítica sea la información que se maneje. Hay que tener en cuenta que algunos de los sensores que se instalan en los sistemas capturan llamadas al sistema con el objeto de crear un perfil de comportamiento del sistema y poder reportar cualquier anomalía que pueda surgir en el funcionamiento del mismo.
3. La regulación contractual: Ojo porque estamos externalizando la seguridad lógica de la empresa y a nivel contractual esto debe quedar bien amarrado, en caso de duda no estaría demás recurrir a un tercero independiente no vinculado con el SOC con conocimientos legales para que analice las cláusulas del contrato y asegure la correcta inclusión de obligaciones y responsabilidades por su parte.
4. El tercero que hace seguimiento de los terceros: El seguimiento de los terceros con el objetivo de verificar si éstos cumplen con los acuerdos firmados se enrevesa especialmente con este tipo de servicios que pueden ofrecer monitorización de los terceros de la organización, por ejemplo los ISP. Ahora bien, desde el punto de vista de la organización, el SOC es un tercero, ¿se monitoriza el SOC a si mismo?, si esto fuera así, ¿constituye una fuente fiable?, independiente desde luego no.
   

Conclusiones

Los SOCs pueden ser un arma de doble filo si se venden o se entienden como una solución global y se tratan de desvincular de un Sistema de Gestión de Seguridad de la Información. La Seguridad Lógica si bien es un aspecto clave de los SGSI, así se refleja en la norma ISO 27001, no es el único aspecto a proteger.

Un SOC bien entendido puede ser altamente favorable en ciertas situaciones dadas sus innumerables ventajas, con una evaluación de aquello que es necesario contratar y para qué elementos a partir de los resultados del análisis de riesgos. Contratando estos servicios la empresa podría recibir informes detallados del estado de su seguridad lógica evitando contratar personal especializado y en ocasiones, dependiendo de la infraestructura existente y la necesaria, con importantes ahorros de costes.

Salu2!

Botnets

Ayer expuse un post donde pudimos comprobar que lejos de tener como único objetivo replicarse, existen gusanos con un payload que les permite convertir la máquina anfitrión en un robot (también conocido como bot). El término no puede estar mejor escogido porque en eso es en lo que es convierte el sistema anfitrión del gusano, en un robot capaz de acatar órdenes del creador del gusano.

Esta es una forma de hacer negocio. El creador del gusano introduce un payload que le permite controlar los ordenadores que han sido infectados de forma remota. Los Spammers pagan a los creadores de los gusanos por el control de la botnet y de esta forma consiguen generar multitud de Spam en cuestión de minutos. Las botnets no sólo pueden cumplir esa función sino cualquiera que se nos pueda ocurrir relacionada con un sistema de tipo distribuido y derivada de la potencia del mismo; Correos masivos para cualquier cometido incluido el phishing (tanto de e-crime como de phishing podeis ver más aquí), Denegación de servicio distribuida, amenazas a empresas por el poder que supone dejar fuera de servicio sus sistemas y un largo etcétera.

Hace ya un mes que la BBC realizó un experimento "alquilando" una botnet con el objetivo de mandar spam sobre dos cuentas de correo electrónico que ellos mismos habían creado, el resultado no puede ser más ilustrativo.

La calidad del vídeo no es la que me gustaría ni la que en su momento pude disfrutar, pero en la fuente principal no lo he podido localizar...



Salu2

Virus y Gusanos

No le descubro nada a nadie si digo que el término malware recoge en su regazo una cantidad impresionante de malicious software que provoca actualizaciones continuas de las bases de datos de firmas de virus, nuevas corrientes de detección temprana de virus desconocidos, nuevos mecanismos de protección y toda una gran industria con el objetivo de prevenir fugas de información o daños a la misma.

Sin embargo hay dos tipos de malware con una sutil diferencia que me gustaría destacar aquí. Supongo que no resultará difícil encontrar más información buceando un poco pero desde luego la definición que viene en wikipedia es bastante resumida y me gustaría aclarar aquí un poco más a partir de una traducción de su versión inglesa sobre todo porque aporta claridad en su cometido. Estos dos Términos son los de Virus y Gusano. Aquí mi traducción:

"Un gusano es un programa que se copia a si mismo. Para conseguirlo usa la red para mandar sus copias a otros nodos (ordenadores de la red) no siendo necesaria la intervención del usuario. Al contrario que los virus, un gusano no necesita adjuntarse a ningún programa existente. Los gusanos casi siempre causan como mínimo molestias en el tráfico de red derivadas del consumo de ancho de banda, mientras que los virus casi siempre corrompen o eliminan ficheros en el ordenador objetivo."

Hasta aquí parece que la definición queda bastante clara, el gusano se replica en memoria y el virus queda anexo a un programa existente de forma que se ejecuta con el mismo... pero, entonces cual es la misión del gusano, ¿existir? ¿saturar la red?, nada más lejos de la realidad... A continuación la respuesta...

"Muchos gusanos han sido diseñados con el único propósito de expandirse, y no intentan modificar los sistemas por los que pasan. Sin embargo, como pudo comprobarse en los casos Morris worm y Mydoom, el tráfico de red y otros efectos colaterales pueden causar problemas mayores. Un payload es un código diseñado para proporcionar funcionalidad extra al gusano más allá de la de su propagación - podría borrar ficheros en el sistema anfitrión (por ejemplo el gusano ExploreZip), encriptar ficheros en un ataque de cryptoviral extortion, o enviar documentos vía e-mail. Un payload muy común en gusanos es código que permite instalar un backdoor en el ordenador infectado lo que permite la creación de un ordenador "zombie" que queda bajo el control del autor del gusano. Sobig and Mydoom son ejemplos que crean zombies. Las redes resultantes de dichas máquinas que han sido infectadas por el gusano y en las que se ha instalado un backdoor son conocidas como botnets y son usadas normalmente por los spammers para enviar correos basura. Los Spammers son por tanto una fuente de financiación para la creación de esos gusanos y se han encontrado casos de programadores de gusanos vendiendo lista de direcciones IP de máquinas infectadas. Otro posible uso de estas redes es para provocar ataques de denagación de servicio (DoS) por lo que el programador del gusano puede enviar correos amenazando a una compañía con 'tirar' sus sistemas.

Los backdoors pueden ser aprovechados por otro malware, incluyendo otros gusanos. Ejemplos de esto pueden ser Doomjuice que se propaga usando el backdoor abierto por Mydoom..."

La traducción anterior tiene bastante de mi cosecha propia con el único objetivo de clarificar algunos puntos.

Como conclusiones debemos sacar que la principal diferencia es que un gusano no se va a quedar anexo a un programa o a un archivo de sistema, sin embargo sí puede dejar otro software instalado en el host anfitrión (conocido como payload) y éste puede ser usado con fines deleictivos sin el consentimiento del usuario de dicho host.

Salu2!!

Conficker en el mundo

Comenzamos la semana con un par de imagenes bastante impactantes sobre la expansión de nuestro queridísimo amigo Conficker que más parece otra cosa porque nadie lo ha visto y sin embargo está en todas partes.

Buscando un mapa sobre la situación del cibercrimen en el mundo me he tropezado con un grupo que se dedica a luchar contra este gusano de forma que si conoceis o creeis estar afectados por el mismo os podeis dirigir aquí para verificar si estais infectados o para informaos de todo lo que necesiteis sobre este gusano que tiene más historia en 5 meses que muchos maestros de la literatura mundial.

Y aquí teneis la imagen del mundo en primer lugar...


Y aún podemos centrarnos un poco más en europa y verlo más en detalle...


Una imagen vale más que 1000 palabras. Aqui teneis todos los mapas.

Salu2!