Seguridad Informática

Diez casos de recuperación de datos más curiosos

Diciembre 6, 2009 · Dejar un comentario

La lista se elabora mediante una encuesta global a los expertos de Ontrack Data Recovery.

Kroll Ontrack ha publicado la lista anual de los diez casos más curiosos de recuperación de datos de 2009. Esta lista de desastres de pérdidas de datos pone de manifiesto que pueden producirse en cualquier momento, en cualquier lugar y por diversas causas.
“Los ingenieros de Ontrack Data Recovery son testigos de más 50.000 casos de recuperación de datos al año. Algunos de ellos son francamente graves, pero hay que destacar que gracias a los avances tecnológicos y a la experiencia acumulada, ya no hay situaciones imposibles”, comenta Nicholas Green, Director de Kroll Ontrack, España.

Lista de los 10 desastres más importantes de pérdida de información y su correspondiente recuperación del 2009 son:

10. Una foto vale 1.000 palabras – Un cliente reformateó por error una tarjeta de memoria SD y borró una foto muy importante. Se trataba de una fotografía de un viaje reciente, en la que el cliente había ayudado a un desconocido (quien se había olvidado de la cámara de fotos) a capturar la imagen de un paisaje espectacular. El cliente había prometido enviarle la foto por correo electrónico, a la vuelta del viaje.

9. El juego del gato y el USB – El gato de la familia decidió jugar con un cable enchufado a la red, la cosa no acabó bien. El cable venía de una unidad externa USB HDD, que, naturalmente, se cayó al suelo. Ya no se podía leer la información económica de la familia ni podían ver sus fotos.

8. Mira por la ventana hacia abajo – No se sabe muy bien cómo, un portátil se cayó por la ventana de un segundo piso de una empresa. Enviaron el ordenador a otra compañía de recuperación de datos que les dijo que la información era totalmente irrecuperable. Una segunda opinión dio otros resultados mucho más alentadores.

7. ¿Es un pájaro, es un avión, es un ordenador?– Un empresario que llegaba tarde a una reunión cometió el error de dejar su portátil encima del techo del coche y se puso al volante con mucha prisa. Cuando dio la vuelta a la siguiente esquina, el ordenador salió volando por los aires, hasta estrellarse contra una pared.

6. El cuadrilátero de boxeo – Como resultado de una pelea entre dos compañeros de trabajo, se cayó un servidor del rack en el que estaba colocado en una sala de servidores. Por suerte para ellos, toda la información de negocio crítica para la empresa pudo recuperarse totalmente.

5. Golpe a toda velocidad – El baúl maletero de la moto de un fotógrafo se soltó cuando iba bastante rápido. La cámara salió volando y se rompió; la tarjeta de memoria estaba en un charco.

4. Dolor de estómago – Una mascota familiar se comió un trozo de carne que estaba descongelándose en la encimera de una cocina. A continuación, la mascota vomitó ¿Dónde? Encima del portátil de la familia. Los restos de la cena fueron goteando hasta introducirse en el disco duro del ordenador.

3. Hay que controlar a los caballos – Una excursión a caballo terminó abruptamente con una caída. El jinete llevaba una cámara de fotos en el momento del accidente. Él salió ileso, la tarjeta de memoria de la cámara, no. Los archivos estaban corruptos y el dueño no podía cargarlos en su ordenador.

2. Inmersión – Un disco duro cayó al fondo del mar, a más de 60 metros de profundidad. Fue encontrado seis meses después y enviado al taller de limpieza de Kroll Ontrack, en donde se recuperó el 99 % de la información.

1. Problemas con la ley – Varios oficiales entraron en la vivienda de un sospechoso, el individuo en cuestión tiró por la ventana de un edificio de 12 pisos un ordenador portátil que supuestamente contenía información con las pruebas del delito. El portátil se estrelló contra la acera y quedó hecho añicos. Los oficiales responsables de la investigación acudieron a Kroll Ontrack para recuperar fotos, vídeos y correos electrónicos.

Fuente: DiarioTI

→ Deja un ComentarioCategorías: fuga información

¿El final de Sarbanes-Oxley?

Diciembre 6, 2009 · Dejar un comentario

Hace un par de días me pasó Quentyn un enlace que tiene que ver con el cumplimiento regulatorio, y más concretamente, con Sarbanes-Oxley (SOX). El artículo en cuestión se llama An End to Sarbanes-Oxley, y aunque sea un poco exagerado en su título (como lo es igualmente el título de este artículo) contiene información relevante para todos aquellos que de un modo u otro están involucrados en el mundo SOX.

El origen de la disputa está en la propia puesta en marcha de la regulación en 2002, mediante la creación de la Public Company Accounting Oversight Board (PCAOB) como órgano de supervisión, entre otras cosas, de las medidas propuestas para la gestión contable y la auditoría financiera en evitación de adulteración de los estados financieros. Antes de los escándalos de ENRON y similares, que motivaron la (en mi juicio) sobrerreacción regulatoria materializada con SOX, la industria estaba autoregulada, experimento que como resulta obvio comprobar, fracasó estrepitosamente. SOX se creó con la intención de ponerle collar a un perro que había estado años campando a sus anchas.

Este próximo lunes 7 de diciembre, nueve jueces de la corte suprema de los Estados Unidos escucharán las argumentaciones de la The Free Enterprise Fund y la firma de contabilidad Beckstead and Watts que sostienen que los miembros de la PCAOB son elegidos por la SEC (U.S. Securities and Exchange Commission), que es independiente de la Casa Blanca. Los peticionarios sostienen que la SEC no puede eliminar miembros del PCAOB salvo causas muy delimitadas, lo que prácticamente los aisla de la influencia de la SEC y por extensión, del gobierno de la Casa Blanca. Los peticionarios sostienen que los garantes constitucionales norteamericanos se ven claramente afectados en materia de separación de poderes, ya que el Congreso tiene tanto control sobre la PCAOB, si no más, que la propia Casa Blanca, ya que en Estados Unidos tanto la SEC como la PCAOB están ambas sujetas a la supervisión del Congreso.

Contenido completo en Sergio Hernando

→ Deja un ComentarioCategorías: gestión · politicas

Microsoft cubrirá un agujero de día cero en IE la próxima semana

Diciembre 6, 2009 · Dejar un comentario

Microsoftha anunciado que emitirá seis actualizaciones en su próximo boletínmensual de seguridad, que estará disponible el próximo martes. Entreellas se incluirá un parche desarrollado para cubrir una vulnerabilidaden Internet Explorer (IE) cuya existencia fue confirmada por lacompañía la semana pasada.

En total, la actualización resuelve doce vulnerabilidades en Windows, IE y Microsoft Office. De los parches, el más importante, según la propia Microsoft,es una actualización para IE 5.01, IE6 e IE7, clasificada por lacompañía como “crítica”, el máximo nivel de severidad dentro de suescala de valoración de vulnerabilidades.

Este parcheestá desarrollado para cubrir una brecha de día cero en el navegadordel fabricante, reconocida por éste el 23 de noviembre en un aviso deseguridad. En él, Jerry Bryant, portavoz de Microsoft Security ResponseCenter (MSRC), explicaba que “Internet Explorer 8 no se ve afectadosobre ninguna plataforma” y que “correr Internet Explorer 7 en ModoProtegido sobre Windows Vista mitiga el problema”.

Estas informaciones fueron emitidas por la compañía en respuesta a laaparición de un código de ataque hecho público varios días antesmediante su publicación en la popular lista de mailing de seguridadBugtraq. La muestra de código en cuestión explotaba una brecha en elanalizador de formato de IE y podía ser aprovechada para secuestrarmáquinas Windows totalmente actualizadas con los parches disponibleshasta ese momento.

En cualquier caso, la actualización del próximo martes incluirásoftware para resolver problemas en todas las versiones soportadas deIE, como ha reconocido hoy la propia Microsoft.

Autor: Marta Cabanillas
Fuente: CSO España

→ Deja un ComentarioCategorías: Vulnerabilidades · navegadores

Servicio de DNS público de Google

Diciembre 5, 2009 · 1 comentario

Google quiere una WWW abierta y estándar en la que la nada se interponga entre los usuarios y sus herramientas de gestión de la información y, sobre todo, de los sistemas publicitarios (ver post “Que no se mueva nadie: las plataformas son libres pero la información (y la publicidad) lo controlo yo“). Por ello, apuesta por protocolos abiertos (como los que utiliza por ejemplo ‘Google Talk‘ o el recién propuesto ‘SPDY‘), por estándares (como el formato KML u O3D), navegadores libres como ‘Google Chrome‘ o Sistemas Operativos abiertos como ‘Google Chrome OS‘.

Y ahora le toca el turno a los servicios DNS, los sistemas que permiten gestionar la nomenclatura de la WWW y traducir los nombres de dominio (fáciles de recordar para los humanos) en los identificadores numéricos de los servidores y equipos informáticos conectados a Internet.

Así, desde hace unas horas se ha puesto en marcha el servicio ‘Google Public DNS‘, un nuevo servicio DNS “gratuito y global que puedes utilizar de manera alternativa al DNS de tu proveedor de Internet”. Simplemente debes añadir las siguientes direcciones IP (sencillas de recordar) a tu dispositivo:
:: 8.8.8.8
:: 8.8.4.4

Por ejemplo, si utilizas el Sistema Operativo Linux, debes modificar tu fichero ‘/etc/resolv.conf’. Para otros Sistemas Operativos, consulta esta página web oficial.

¿Cuáles son las ventajas de utilizar el servicio DNS público de Google? La principal, según se afirma en este link, que se aumenta la velocidad de navegación por la WWW. Además, se incorporan varios niveles de seguridad durante las peticiones a estos dos servidores DNS de Google, y se advierte al usuario de casos de ‘DNS Poisoning‘ (contaminación de la sensible información que gestionan los DNS) y se intentan evitar Ataques DoS (denegación del servicio en servidores DNS).

¿Cuál es la principal desventaja de utilizar este nuevo servicio DNS de Google? Que, de nuevo, estamos permitiendo que Google adquiera más información de nuestros hábitos de navegación por la WWW. Con las peticiones a los servidores DNS, Google va a conocer qué páginas web visitamos en todo momento, datos muy valiosos para la compañía, y que tenemos que ser conscientes que estamos compartiendo.

Existen en la actualidad servicios que ofrecen también servidores DNS gratuitos alternativos al de nuestro proveedor de Internet, como OpenDNS, cuyo fundador critica en su blog el nuevo producto de Google, temiendo que se simplemente pretenda utilizar para recolectar información con el objetivo de mejorar el sistema publicitario AdWords.

Fuente: Dirson

→ 1 comentarioCategorías: buscadores · internet

Consejos para realizar compras seguras en línea

Diciembre 5, 2009 · Dejar un comentario

Hay tres maneras en que los atacantes pueden tomar ventaja de los compradores en línea:

  • Atacando a los equipos vulnerables: Si no toma medidas preventivas para proteger su PC de virus u otro código malicioso, un atacante puede obtener acceso a su ordenador y asi a toda la información sobre él. También es importante para los vendedores proteger sus ordenadores para evitar que los atacantes tengan el acceso a bases de datos de clientes.
  • Creación de paginas web fraudulentas y mensajes de correo electrónico: A diferencia de las tradicionales compras, cuando usted sabe que en realidad va a una tienda que desea ir y no a otra, en las compras online podria ser la tienda que desea o posiblemente no; los atacantes pueden crear sitios Web maliciosos que imitan alos legítimos, o crean mensajes de correo electrónico que parecen haber sido enviados desde un lugar fiable. Los atacantes crean estos sitios maliciosos y mensajes de correo electrónico para tratar de convencer/engañar a usuario para que proporcione información personal y financiera.
  • Interceptando Operaciones inseguridad: Si un vendedor no utiliza sistemas de cifrado en las paginas webs, un atacante puede interceptar la informacion (personal y/o financiera) del cliente en el momento de la compra ya que esa informacion se transmitiria en texto plano, es decir sin cifrar.

¿Cómo protegerse contra los robos de información?

Puedes leer los siguientes consejos o realizar el Curso Gratuito de Transacciones en Linea de ESET.

Fuente: VulnerabilityTeam

→ Deja un ComentarioCategorías: educación · guias · tutorial

Consejos sobre Seguridad Física

Diciembre 5, 2009 · Dejar un comentario

Aunque la tendencia actual va difuminando día a día la separación clásica entre seguridad “física” y seguridad “lógica”, aun sigue siendo útil separar estos conceptos para poder explicar más ampliamente cada uno de ellos.
En este documento se puede encontrar una relación de los elementos más importantes a la hora de plantear la seguridad física en una PYME, se ha tenido en cuenta que las pequeñas y medianas empresas son de muy diversos tamaños y de diferentes ámbitos industriales, y por lo tanto no todas aplicaran todos y cada uno de los puntos que aquí detallamos, estos deben ser aplicados en función de las necesidades y las posibilidades de cada caso.
De esta manera este documento nombra la mayoría de los conceptos ya que estos deben implementarse específicamente a las circunstancias particulares y en función de la aplicación de un Plan de Seguridad más amplio por parte de expertos en la materia.
Los elementos a tener en cuenta se pueden clasificar en:

Todos estos elementos se detallan en sus diferentes niveles, desde lo global –el edificio-, hasta los más específicos –las maquinas o clientes-.

Fuente: INTECO

→ Deja un ComentarioCategorías: seguridad física

Plan estratégico de seguridad de la información (propuesta de tesis)

Diciembre 5, 2009 · Dejar un comentario

Este es un documento de propuesta de Plan estratégico de Seguridad de la Información para el Departamento de Tecnología de Información del Poder Judicial de Costa Rica y basado en el estándar ISO 27001.
La propuesta presentada por Helberth Marín Hernández es un proyecto que ha sido sometido a consideración del Departamento de Computación, para optar por el grado de Maestría Profesional, con énfasis en Sistemas de Información.

Para aquellos interesados en más documentos pueden visitar nuestra sección de Tesis.

Fuente: Helberth Marín Hernández

→ Deja un ComentarioCategorías: educación · estandares · gestión · iso

Google libera servicio de DNS público

Diciembre 5, 2009 · 1 comentario

Google anunció hoy que lanzó su propio Domain Name System (DNS) público denominado Google Public DNS que se puede usar como una alternativa a su proveedor de DNS actual.

Google Public DNS intenta algunos enfoques distintos:

Velocidad: las fallas a la resolución en el caché del lado del resolvedor es una de las causas que contribuye a respuestas lentas de DNS. Técnicas ingeniosas de caching pueden ayudar a aumentar la velocidad de esas respuestas. Google Public DNS implementa resoluciones adelantadas: antes que el TTL de un registro expire, refrescamos el registro continuamente, asincrónicamente e independientemente de los requerimientos de los usuarios para una gran cantidad de dominios populares. Esto permite a Google Public DNS servir muchas solicitudes de DNS en el tiempo de ida y vuelta que le lleva a un paquete viajar hasta nuestros servidores y volver.

Seguridad: DNS es vulnerable a ataques de suplantación de identidad (spoofing) que pueden envenenar el caché de un servidor de nombres y con eso redirigir a los usuarios a sitios maliciosos. Hasta que los nuevos protocolos como DNSSEC sean adoptados globalmente, los resolvedores necesitan tomar medidas adicionales para mantener seguros sus cachés. Google Public DNS hace más difícil al atacante simular respuestas válidas mediante la aleatorización mayúsculas y minúsculas de las consultas de nombres e incluyendo información adicional en sus mensajes DNS.

Validez: Google Public DNS cumple con los estándares de DNS y le da al usuario la respuesta exacta que su computadora espera sin realizar nningún bloqueo, o redireccion que pueda dificultar la expericencia del usuario mientras navega.

Traducción: Raul Batista – Segu-info
Fuente: Help Net Security

→ 1 comentarioCategorías: exclusivo · internet

Phishing a la Cruz Roja confirmado (España)

Diciembre 5, 2009 · Dejar un comentario

Luego de analizar los correos recibidos por Spam con fuerte olor a Phishing, desde Segu-Info hemos pedido la colaboración siempre inestimable de INTECO de España, debido a que los casos involucraban a entidadesde de ese país.

Luego de la denuncia e investigación consecuente, hemos podido confirmar que efectivamente los correos recibidos corresponden a un nuevo caso de Phishing. En palabras de INTECO:

El correo que nos remite forma parte de un caso de Phishing con el añadido de posible intrusión en el servidor legítimo.
Desde INTECO-CERT hemos enviado la información que nos remite a la Cruz Roja, y a realizar las notificaciones a las entidades implicadas con el fin de minimizar los posibles efectos de este intento de fraude.
Cruz Roja le agradece la información y ha iniciado su propia investigación.

Esto demuestra que el esfuerzo mancomunado de organizaciones sin fines de lucro puede dar lugar a un gran trabajo que tiene como único fin el beneficio de los usuarios.

Cristian de la Redacción de Segu-Info

→ Deja un ComentarioCategorías: exclusivo · phishing

Phishing a Mastercard (Argentina)

Diciembre 4, 2009 · Dejar un comentario

Acaban de denunciarnos un correo que dice provenir de Mastercard (Argentina) y que por supuesto es falso y tiene como objetivo engañar al usuario, robando sus datos sensibles personales y referentes a la tarjeta de crédito:

El enlace provisto redirecciona al usuario a http://www.die[ELIMINADO].es/descarga/categoria/www.mastercard.com/, en donde se puede ver la siguiente página:

En este momento este sitio falso es informado por Firefox pero no por los demás navegadores.

Cristian de la Redacción de Segu-Info

→ Deja un ComentarioCategorías: exclusivo · phishing