DPO, HACKER ÉTICO, PERITO INFORMÁTICO… Nuevos perfiles profesionales

Gracias al avance de la sociedad y sus necesidades, siguen saliendo nuevas profesiones además de nuevos perfiles los cuales solventan algún déficit dentro de las empresas, buscando el solo sostenimiento de la misma.

Algunas de las nuevas carreras profesionales son ingeniería empresarial, agro negocios, salud pública, entre otros. Lo que nos importa desarrollar son los nuevos perfiles que nacen en conjunto con la seguridad informática y su afán de buscar especialistas en  puntos como Perito informático, hacker ético entre otros que desarrollaremos a continuación.

Perito informático

Este, es aquel encargado de obtener información de dispositivos netamente tecnológicos los cuales puedan estar implicados en un delito o proceso legal, buscando determinar ¿Qué se hizo? ¿Quién lo hizo? ¿Qué vulnerabilidad explotó?, etc.

Esta tarea conlleva mucha paciencia y dedicación, usando distintas herramientas además de un vasto conocimiento como la cadena de custodia. Toda la información recabada debe ser procesada y almacenada para su presentación.

DPO

DPO o delegado del procesamiento de datos, es una figura que ha nacido a raíz de la entrada en vigor del Reglamento Europeo de Protección de Datos (RGPD) en abril de este año. Dando lugar a este perfil buscando que, proteja datos cuando se trate de organismos públicos o simplemente sean datos personales sensibles.

Además, otras de sus funciones es el de informar y asesorar a personas encargadas de la manipulación de datos dando a conocer sus funciones y la normativa que deben estar sujetos.

Hacker ético

En primer lugar, aclarar que no existe los hacker maliciosos, puesto que a ellos se les conoce como cibercriminales y no como hacker. El hacker es un apasionado por la tecnología, que busca encontrar fallos o huecos de seguridad en aplicaciones o sistemas operativos para darlos a conocer.

Dentro de una empresa un hacker ético, busca hacer pentesting o un análisis de vulnerabilidades, logrando así fortalecer día a día la seguridad de la empresa a través de un respectivo informe.

CISO

Este personal, está encargado de la seguridad informática de una empresa buscando cumplir la normativa de un ISO 27000 además del ciclo de un SGSI (PDCA). CISO viene del inglés, Chief Information Security Officer, actualmente personal inclinado a la informática ocupa estos puestos de Gerentes de seguridad.

Ahora tienes más ramas dentro de la Ingeniería de sistemas, solo falta especializar en ellas…

ESPIANDOTE DESDE TU PORTATIL… Usando tus auriculares como micrófono

Muchas grandes personalidades a nivel mundial reconocidas dentro del mundo de la seguridad informática como James Comey (Director del FBI) o Mark Zuckerberg tienen una exacerbada necesidad de sentirse seguros a tal punto de bloquear la cámara de su laptop e incluso sus micrófonos, puesto que conocen que realmente existen las formas de poder ser espiados mediante estos dispositivos.

Y ahora la pregunta es ¿Consideraste la posibilidad de ser espiado mediante tus auriculares?, este año, piratas informáticos lograron convertir auriculares en micrófono para así lograr espiar cualquier conversación, todo esto a partir de la creación de un código en Israel.

Del concepto de un malware fue desarrollado este método, logrando desarrollar el código a partir de un grupo de investigadores de la Universidad de Ben Gurion en Israel, logrando así captar y grabar sonidos a partir de auriculares.

Este método no es nuevo puesto que se remonta a varios años atrás, la forma de hacerlo podemos encontrarlo en varios videos de youtube, pero, lo que estas personas lograron realizar es cambiar un canal de salida de la tarjeta de sonido en su ordenador portátil para una señal de entrada y luego grabar el sonido sin ningún canal de micrófono dedicado desde tan lejos como 20 pies de distancia.

"La gente no piensa acerca de esta vulnerabilidad privacidad", dice el investigador principal, Mordejai Guri dijo a Wired. "Incluso si se quita el micrófono de su ordenador, si utiliza auriculares que se pueden grabar."

Este tipo de espionaje es denominado Speake(a)r, el cual su forma de trabajo es el de captar las vibraciones en el aire, convertirlas en señales electromagnéticas, alterar las funciones internas de tomas de audio, y luego voltea tomas de entrada (utilizados por los micrófonos) a las tomas de salida (utilizados para altavoces y auriculares ).

"Esta es la verdadera vulnerabilidad", dijo Guri. "Es lo que hace que hoy en día casi todos los ordenadores vulnerables a este tipo de ataque."

A continuación un video de cómo es posible este tipo de hacking y espionaje.

Ahora no pienses que estar desconectado del internet es la única forma de estar seguro de un espionaje puesto que ahora nada es imposible para el que quiera robar tu información o espiar tus conversaciones…

PREMIOS TURING… El premio Nobel de la informática

Grandes galardones existen a nivel de los premios Nobel pero, ¿Cuál es el premio a personalidades como Steve Jobs, Bill Gates, Mark Zuckerberg? Estas personalidades que dieron grandes aportes al mundo de la informática y el desarrollo tecnológico.

Está claro que es importante su reconocimiento y valor de aporte, los cuales, son realizados en Los Premios Turing o también conocido como “Premio de Nobel de las Ciencias de la Computación” los cuales son entregados por la ACM (Association for Computing Machinery).

Estos premios son realizados desde el año 1966 en Nueva York, usando el nombre de Turing siendo este un matemático considerado como pionero de las ciencias de la computación al crear la máquina de Turing que ayudo a vencer a la máquina Enigma, tema interesante que hablare en otro blog.

A continuación muestro un listado de las personalidades galardonadas con este premio y sus aportes, espero con esto lograr mostrar a grandes personajes que aun para muchos son unos totales desconocidos.

Nombres	Motivo
Alan Perlis	Por su influencia en las áreas de técnicas de programaciónavanzadas y construcción de compiladores.
Maurice Wilkes	Por el diseño y construcción de EDSAC, la primera computadora de programa almacenado en memoria interna.
Richard Hamming	Por su trabajo en métodos numéricos, sistemas de codificación automáticos, y por el desarrollo de códigos de detección y corrección de errores.
Marvin Minsky	Por sus aportes en inteligencia artificial.
James Wilkinson	Por sus investigaciones en análisis numérico para facilitar el uso de computadores digitales de alta velocidad.
John McCarthy	Por sus aportes al campo de inteligencia artificial.
Edsger Dijkstra	Por sus contribuciones a la “ciencia y arte” de los lenguajes de programación.
Charles Bachman	Por sus aportes a la tecnología de bases de datos.
Donald Knuth	Por sus contribuciones a análisis de algoritmos y el diseño de lenguajes de programación.
Allen Newell Herbert Alexander Simon	Por sus aportes en inteligencia artificial, la psicología de la percepción humana y procesamiento de listas.
Michael Oser Rabin Dana Scott	Por su trabajo en autómatas finitos, introduciendo la idea de máquinas no deterministas.
John Backus	Por sus contribuciones al diseño de sistemas de programación de alto nivel y por la publicación de procedimientos formales para la especificación de lenguajes de programación.
Robert W. Floyd	Por su influencia en metodologías para la creación de software eficiente y fiable, y por sus aportes en los siguientes campos: teoría de análisis sintáctico, semántica en lenguajes de programación, verificación automática de programas, síntesis automática de programas y análisis de algoritmos.
Kenneth E. Iverson	Por sus pioneros esfuerzos en lenguajes de programación y notación matemática, dando como resultado APL.
C. Antony R. Hoare	Por sus importantes contribuciones a la definición y diseño de lenguajes de programación.
Edgar F. Codd	Por sus continuas e importantes aportes a la teoría y práctica de los sistemas de gestión de bases de datos, ideando el enfoque relacional de la gestión de bases de datos.
Stephen A. Cook	Por sus aportes en el campo de la complejidad computacional. Ideó los fundamentos de la teoría de NP-completitud.
Kenneth L. Thompson Dennis M. Ritchie	Por sus contribuciones al desarrollo de sistemas operativos en general y la creación de Unix en particular.
Niklaus Wirth	Por el desarrollo de una serie de innovadores lenguajes de programación como EULER, ALGOL-W, MODULA y PASCAL.
Richard M. Karp	Por sus contribuciones a la teoría de algoritmos, la identificación de problemas computables en tiempo polinomial y a la teoría de NP-completitud.
John Hopcroft Robert Tarjan	Por sus logros en el análisis y diseño de algoritmos y estructuras de datos.
John Cocke	Por su aporte a la teoría de compiladores, arquitectura de grandes sistemas y el desarrollo de juego de instrucciones reducido RISC.
Ivan Sutherland	Por sus aportes a la computación gráfica.
William (Velvel) Kahan	Por sus contribuciones al análisis numérico, particularmente en computación en coma flotante.
Fernando J. Corbató	Por su trabajo liderando el desarrollo de CTSS y Multics.
Robin Milner	Por tres logros: Desarrollo del sistema LCF, probablemente la primera herramienta de demostración automática de teoremas. Desarrollo del lenguaje ML, metalenguaje para escribir estrategias y tácticas en LCF. Primer lenguaje en poseer un sistema polimórfico de tipos con inferencia automatizada y manejo de excepciones seguro desde el punto de vista de tipos. Desarrollo de un marco teórico para el análisis de sistemas concurrentes, el cálculo de sistemas comunicantes (CCS) y su sucesor, el pi-cálculo.
Butler Lampson	Por sus contribuciones al desarrollo de entornos distribuidos y la tecnología para su implementación: estaciones de trabajo, redes, sistemas operativos, sistemas de programación, monitores, publicación de documentos y seguridad.
Juris Hartmanis Richard Stearns	Por establecer los fundamentos del campo de la teoría de complejidad computacional.
Edward Feigenbaum Raj Reddy	Por el diseño y construcción de grandes sistemas de inteligencia artificial.
Manuel Blum	En reconocimiento por sus aportes a los fundamentos de la teoría de complejidad computacional y su aplicabilidad a la criptografía.
Amir Pnueli	Por su trabajo introduciendo la lógica temporal en informática y por sus importantes aportes a la verificación de programas y sistemas.
Douglas Engelbart	Por su trabajo en computación interactiva.
Jim Gray	Por sus contribuciones en bases de datos, investigación en el procesamiento de transacciones e implementación de sistemas.
Frederick Brooks	Por sus contribuciones a arquitectura de computadores, sistemas operativos e ingeniería del software.
Andrew Chi-Chih Yao	En reconocimiento de sus importantes aportes a la teoría de la computación, criptografía.
Ole-Johan Dahl Kristen Nygaard	Por su trabajo en los lenguajes de programación Simula I y Simula 67, que permitieron la aparición de la programación orientada a objetos.
Ronald Rivest Adi Shamir Leonard Adleman	Importantes aportes a la criptografía, en particular el algoritmo RSA.
Alan Kay	Pionero de la programación orientada a objetos y padre del lenguaje Smalltalk.
Vinton Cerf Robert Kahn	Por el protocolo TCP/IP.
Peter Naur	Por sus contribuciones fundamentales en el desarrollo y definición del ALGOL 60, su diseño del compilador y el arte en la práctica de la programación.
Frances Allen	Por sus contribuciones que mejoraron fundamentalmente el rendimiento de los programas de computador y aceleraron el uso de sistemas de computación de alto rendimiento.
Edmund Clarke E. Allen Emerson Joseph Sifakis	Por su trabajo pionero en un método automatizado (llamado “model checking” en inglés) para encontrar errores de diseño en software y hardware.
Barbara Liskov	Por su contribución a los fundamentos teóricos y prácticos en el diseño de lenguajes de programación y sistemas, especialmente relacionados con la abstracción de datos, tolerancia a fallos y computación distribuida.
Charles Thacker	Por su contribución al desarrollo de Alto, el primer ordenador personal, así como de Ethernet y el Tablet PC.
Leslie Valiant	Por sus transformadoras contribuciones a la teoría de la computación, incluyendo la teoría del aprendizaje probable, aproximadamente correcto, la complejidad de la enumeración y de la computación algebraica, y teorías de la computación paralela y distribuida.

En esta lista falta incluir los últimos años con personalidades como  Judea Pearl, Silvio Micali, Shafi Goldwasser, Leslie Lamport además del último ganador el cual tiene mención en CRIPTOGRAFÍA MODERNA, tema de vital importancia dentro del mundo de la seguridad informática.

Y los ganadores del Premio Turing de este año son Whitfield Diffie y Martin E. Hellman. Los cuales son ex jefe de seguridad en Sun Microsystems Whitfield Diffie y el profesor de la Universidad de Stanford Martin E. Hellman 2015. El premio otorgado es además el monto de $ 1 millón de dólares. Este aporte está enfocado al comercio web.

"Hoy en día, el tema de cifrado domina los medios de comunicación, es visto como un asunto de seguridad nacional, afecta a las relaciones gobierno-sector privado, y atrae a miles de millones de dólares en investigación y desarrollo", dijo el presidente de la ACM Alexander Wolf.

"Naturalmente estoy emocionado por esta por este premio, pero emocionados para la criptografía," dijo Diffie. "Es la tercera vez que el premio Turing se ha dado a los criptógrafos. El hecho de que es tan importante en el campo es increíble."

Diffie y Hellman son leyendas vivas puesto que actualmente se tiene grandes avances en la criptografía gracias a ellos con ayuda de la aritmética modular y es justo que el mundo los reconozca y agradezca.

Grandes desarrollos tecnológicos siguen sobreabordando nuestro mundo, pero ¿Estamos al tanto de estos avances? y sobre todo ¿Estamos listos para el futuro?...

MÁQUINAS EXPENDEDORAS DE DINERO GRATIS… Malware en ATM

Desde hace años, ATM es un gran nicho para poder robar dinero mediante muchas modalidades como robo de número de tarjetas de crédito, contraseñas o clonación de tarjetas. Actualmente los hackers ATM se encuentran proliferando un malware, el cual permite de manera remota controlar un cajero automático, para así poder expulsar dinero a horas determinadas. Esto genera un gran peligro no necesariamente a los usuarios como en caso de ataques anteriores, si no a la misma empresa bancaria.

A inicios de este año, este malware atacó a Taiwan y Tailandia teniendo estos como primeras víctimas. A nivel de estado, estados unidos en conjunto con el FBI advirtió sobre este tipo de ataques, ATM jackpotting, puede llegar muy pronto a su país teniendo un gran problema de seguridad a puertas.

Este malware ya tiene infectado a más de una docena de países europeos, este en menos de 1 año, lo cual algunos de los fabricantes de estos cajeros automáticos se pronunciaron con respecto a estos hechos ostentando que la amenaza se veía venir y ya se encuentran trabajando para brindar un mejor servicio a sus clientes.

Como es lógico, este tipo de ataques, debe ser realizado al momento de tener a los atacantes delante de estos cajeros de manera física, para así recaudar el efectivo.

La empresas Diebold y NCR Nixdorf (fabricantes de cajeros automáticos), expresaron: “Hemos estado trabajando activamente con los clientes, incluidos los que han sido afectados, así como el desarrollo de soluciones de seguridad proactivas y estrategias para ayudar a prevenir y reducir al mínimo el impacto de estos ataques”.

Esta información y campaña de divulgación se hizo conocida posterior a una pérdida de más de $ 2.5 millones de dólares en Taiwán y más de $ 350 mil en Tilandia, el cual afectó en gran manera a la caja de ahorros del gobierno estatal.

Se dice que el ataque posiblemente fue llevado a cabo por un solo criminal autodenominado el cobalto, que según el FBI, este podría estar en complicidad con un grupo de cibercriminales rusos llamados Buhtrap los cuales aún se sigue en investigación.

Ahora como asegurarás tus cuentas bancariás?...

DETECTANDO ATAQUES… Método de detección de ataques en una empresa

Poco a poco las grandes empresas están teniendo conciencia sobre la importancia de la seguridad de su información, adquieren hardware y software que les permite asegurar y blindar su información.

Pero, como poder detectar si la red de nuestra empresa pudo haber sido comprometida. Frente a ello, han surgido múltiples iniciativas técnicas dentro de los cuales están las IoC (indicators of compromise) el cual mediante registros, parámetros, comparaciones, categorizan y comparten la información haciendo conocer dichos incidentes.

Existen algunos modelos en específico que sirven según sea la necesidad de cada empresa tales como:

OASIS Cyber Threat Intelligence (CTI): Orientada hacia la definición y estandarización de un conjunto de representaciones de información y protocolos para gestionar la necesidad de analizar, modelar y compartir datos de inteligencia contra amenazas informáticas.

IODEF (Incident Object Description Exchange Format) – RFC 5070: Orientado hacia la automatización en el procesamiento de datos de incidentes y la gestión de un formato común para construir herramientas interoperables para la gestión de incidentes.

The OpenIoC (Open Indicators of Compromise) Framework: Permite describir las características técnicas que identifican una amenaza conocida, la metodología de un atacante u otra evidencia de compromiso para la detección rápida de brechas de seguridad en un sistema.

La forma de uso de estos modelos es amplio y será mejor desarrollarlos en otro artículo, mostrando su forma de uso configuración y otros.

Permite a tu empresa tener la capacidad de determinar si sufrió algún tipo de ataque usando un tipo de IoT y demuestra tus capacidades en el mundo de la seguridad informática…

5 OPCIONES DE SO PARA HACKING… Herramientas opcionales al Kali Linux

Después de una semana inactivo, vuelvo a las andadas :D después de pensarlo mucho, decidí escribir sobre los sistemas operativos que permiten realizar hacking, análisis de vulnerabilidades a nivel de red y de host entre otros.

Era lógico que colocar un Kali Linux como presentación y apertura a estas 5 opciones, el cual está basado en Debian GNU/Linux la cual permite además de realizar hacking ético auditorías de seguridad. Dentro existen más de 600 herramientas los cuales pueden ser explotados de diferentes formas y para diferentes objetivos.

En la presente lista no es determinante cual es mejor que otro puesto que dentro de los que mostraré, estarán sus diferentes usos y orientaciones de cada SO. A continuación los 5 SO opcionales a Kali Linux para realizar hacking…

Back Box

Esta es una herramienta basada en Ubuntu desarrollada especialmente para analizar la seguridad de una red, esto realizado mediante pruebas de pentesting. Dentro de este SO incluye herramientas para realizar pruebas de seguridad y hacking ético.

El Back Box proporciona una alternativa al kali linux, siendo un sistema altamente personalizable y de buen rendimiento, parte del poder de esta distribución se debe a su Plataforma de lanzamiento del núcleo repositorio, constantemente actualizado a la última versión estable de las más conocidas y usadas de hacking ético herramientas.

Parrot Security OS

Basada en Debian GNU/Linux para igual que las anteriores, realizar pruebas de seguridad, mitigación de amenazas, informática forense. Tiene un gran plus al trabajar con criptografía y su “navegación anónima” según Wikipedia.

Parrot es una mezcla entre Kali Linux y FrozenBox OS ofreciendo soluciones más completas a sus usuarios.

DEFT Linux

Al igual que Back Box, Deft está basado en un Ubuntu GNU/Linux, este fue creado por Stefano Fratepietro para poder ser usado dentro de la informática forense y seguridad informática. DEFT significa Evidencia Digital y Forensic Toolkit, inicialmente creado para auditores de TI, investigadores, militares y la policía.

Live hacking OS

Distribución también perteneciente a Linux, a diferencia que los anteriores, Live hacking OS tiene 2 presentaciones, en línea de comandos y mediante una interfaz gráfica. La distribución que ofrece solo líneas de comando trabaja con pocos requerimientos de hardaware.

Samurai Web Testing Framework

Para variar este SO también se encuentra desarrollado en Linux :D … y como indica su nombre, este SO está configurado para trabajar desde un entorno web pentesting, ayudando de manera rápida un análisis de seguridad y de hacking remotamente.

Además de estos Sistemas Operativos, existen muchas otras opciones como Bugtraq, NodeZero, Network Security Toolkit, Pentoo, entre otros los cuales su principal función es el etical hacking además de tener una funcionalidad especial.

Ahora que Sistema Operativo usarás tu?...