Download Ing. Daniel Torres Falkonert, CISSP

19/03/2013
Sensibilización a la
Protección de Datos
Ing. Daniel Torres Falkonert, CISSP
dtorres@paradoja.com
Twitter: @bytemarehack
1
19/03/2013
Daniel Torres Falkonert © 2012
Ing. Daniel Torres Falkonert, CISSP
Ingeniero de Sistemas, especialista en seguridad de la
información de la Universidad de los Andes, con una
amplia experiencia en proyectos de atención de
incidentes, Informática Forense y pruebas de
penetración desarrollados en diferentes empresas
del sector de las telecomunicaciones, financiero y
público, al igual que con varias agencias de
seguridad del estado nacionales y extranjeras.
daniel@paradoja.com
@bytemarehack
Docente
universitario de nivel de pregrado y posgrado,
instructor de entrenamientos profesionales en la
industria y ponente en diferentes eventos de
seguridad de la información. En su tiempo libre
disfruta leer historias de ciencia ficción, los juegos
de vídeo, el ecoturismo y resolver retos de hacking y
programación.
2
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
1
19/03/2013
El mundo es cada vez más pequeño
Las TIC (Tecnologías de la
Información y la
Comunicación) dan a las
personas la posibilidad de
crear, producir y acceder a
contenidos a una escala
hasta hace poco impensable.
Software, textos, música,
imágenes, videos, estas
obras están a clicks de
distancia.
3
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Cada vez hay más innovaciones
técnológicas que facilitan la
creación, acceso y difusión de
información.
2
19/03/2013
Conectividad en todas partes
Manejando
Fuera de la ciudad
5
08/02/2013
Comercio
El Trabajo
En Casa
Seminario de Sensibilización en Seguridad de la
Información
Cada vez más alternativas
6
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
3
19/03/2013
La información es cada vez más valiosa
7
19/03/2013
Daniel Torres Falkonert © 2013
Mayor acceso a la información
Fuente: Semana.com
8
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
4
19/03/2013
Podemos volvernos famosos
9
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Esto también tiene su lado oscuro
Unas por otras
10
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
5
19/03/2013
Podemos conocer a nuestra alma
gemela <3 <3 <3 <3
11
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Pero OJO!!!: Citas Mortales
12
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
6
19/03/2013
Casarnos <3 <3
13
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
… y divorciarnos!!! </3 </3
14
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
7
19/03/2013
15
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Encontrar desaparecidos
16
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
8
19/03/2013
(Participación Ciudadana)10000
17
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
La Razón: La Ley de Moore
“La Ley de Moore expresa
que aproximadamente cada
2 años se duplica el número
de transistores en un
circuito integrado.” (Tomado
de Wikipedia)
18
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
9
19/03/2013
Espacio+Ciberespacio
• El ciberespacio se ha
convertido en una
extensión del mundo
real.
• Cada vez le delegamos
más cosas a las TIC.
• Muchas actividades ya
son obsoletas
19
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
¿Le pregunta a Google cuando está
enferm@?
20
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
10
19/03/2013
Efectivo: Especie en vía de extinción
21
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Cambian las normas de Urbanidad
22
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
11
19/03/2013
Pero cada vez estamos más inmersos
En un concierto
“Temo el día en que la tecnología sobrepase nuestra
humanidad: el mundo solo tendrá una generación de
idiotas” (A. Einstein)
23
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Cada vez más dependientes
24
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
12
19/03/2013
¿Cuánto tiempo aguanta sin mirar el
móvil?
25
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Ciberadictos!!
26
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
13
19/03/2013
¡¡¡Cyberjunkies!!!
27
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
En problemas por culpa de Facebook
28
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
14
19/03/2013
En pueblo chico …
29
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
… Infierno grande
¿y no se supone
que el mundo
es cada vez
más pequeño?
:-S
30
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
15
19/03/2013
¿Alguna vez le han tomado una foto
en la que no le gusta como sale?
Y además la han publicado!!!
Caso “Little Fatty”
•El fenómeno comenzó en china a
finales del año 2002 (circa).
•Quian tenia 16 años en ese entonces.
•Le tomaron una foto en una clase
•Debido a su expresión, la foto fue
usada para hacer montajes sobre
cuerpos de celebridades.
•Su imagen se propagó por cientos de
sitios web en cuestión de dias.
•Algunos la describieron como una de
las caras máss famosas de china
•Ahora tiene hasta su propia entrada
en wikipedia
32
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
16
19/03/2013
“Little Fatty”
33
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
“Little Fatty”
34
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
17
19/03/2013
¿Cómo sobrevivir a la
Humillación en Línea?
El tipo del tapabocas
36
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
18
19/03/2013
Su foto también se uso para hacer
montajes
37
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Generó una búsqueda intensiva
38
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
19
19/03/2013
Finalmente lo encontraron
39
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
¿Se puede llegar a poner en
peligro la Vida?
20
19/03/2013
Pequeña confusión
41
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
¿Será que eso les va a traer
problemas en el futuro?
21
19/03/2013
Caer en la eternidad del ciberespacio
43
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Geolocalización
44
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
22
19/03/2013
Podría pasarle a usted
45
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
… la información está más expuesta
de lo creemos gracias a nuestro gran
amigo
23
19/03/2013
Podemos encontrar cuentas de cobro
47
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
… Podemos buscar hojas de vida
48
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
24
19/03/2013
… por lo menos nos conoce muy bien.
49
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
¿qué tan expuestos estamos?
50
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
25
19/03/2013
51
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Múltiples fuentes de información
52
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
26
19/03/2013
Podemos automatizar fácilmente el
proceso
53
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
... Y podemos conseguir aún más
información si sabemos dónde buscar
54
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
27
19/03/2013
55
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Es muy fácil conseguir la información
de las personas.
56
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
28
19/03/2013
El Lado Oscuro
del Ciberespacio
Daniel Torres Falkonert
daniel@paradoja.com
@bytemarehack
57
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Un negocio muy rentable
58
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
29
19/03/2013
Internet bajo ataque
Daniel Torres Falkonert (c) 2012
Cada vez vemos más noticias
relacionadas
Daniel Torres Falkonert (c) 2012
http://
www.di
nero.co
m/
30
19/03/2013
¿Hacktivismo?
61
19/03/2013
Daniel Torres Falkonert © 2012
???????
Publicado: 09/03/2013
62
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
31
19/03/2013
Intrusos Internos:
La más común de las amenazas
• Conocen de los sistemas de la
organización
• En posición de llevar a cabo
un ataque debido a que
tienen privilegios en el
sistema.
• Empleado molestos, Exempleados, corruptos …
• El mayor de los problemas
(70-80% de los casos)
63
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Corrupción, el peor de los males
64
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
32
19/03/2013
Delincuencia
Organizada
El bajo mundo del ciberespacio
65
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
La realidad
66
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
33
19/03/2013
La delincuencia evoluciona
Antes
67
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
68
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Ahora
34
19/03/2013
Identidades a la Venta
69
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Información financiera a clicks de
distancia
70
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
35
19/03/2013
Vacantes abiertas
71
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
¿Qué se necesita
saber para ser un
“Hacker”?
¡¡¡muy poco!!!
Ahora casi cualquiera
puede serlo
36
19/03/2013
El usuario: El eslabón más débil
73
08/02/2013
http://www.eltiempo.com
Seminario de
Sensibilización en Seguridad de la
Información
Hay Toneladas de Documentación
http://www.semana.com
74
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
37
19/03/2013
Las herramientas y técnicas utilizadas por los intrusos
son cada vez más sofisticadas
75
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
los intrusos han cambiado sus
objetivos
Antes
El objetivo era entrar al
sistema
76
Ahora
El objetivo es mantenerse en
el sistema
One Hit Wonder
Seminario de Sensibilización en Seguridad de la
08/02/2013
The King
Información
38
19/03/2013
¿Cómo es un Ataque?
78
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
39
19/03/2013
http://www.smbc-comics.com
79
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
80
08/02/2013
Seminario de Sensibilización
en Seguridad de la
http://www.smbc-comics.com
Información
40
19/03/2013
Y así se ve …
¡¡Video!!
Famos@s, los mejores señuelos
82
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
41
19/03/2013
… y lo mejor de todo
La mayoría se consigue libremente en Internet
84
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
42
19/03/2013
Plataformas de ataque
85
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Malware Comercial
86
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
43
19/03/2013
Zeus
Malware comercial:
•Toolkit entre U$3.000
y U$10.000)
•Alquiler del servicio
(Hosting, adaptación,
propagación, etc.)
desde U$700
•Facilidades de pago.
El constructor crea una
copia única que no es
detectada por el software
de protección actual
Tiene EULA!!!!!!
87
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
A Rey Muerto, Rey Puesto
88
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
44
19/03/2013
Crackers a sueldo
89
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Malware en múltiples plataformas
90
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
45
19/03/2013
¿Qué nos espera?
91
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
¿Qué hacer
entonces?
¿Apague y vámonos?
92
Seminario
08/02/2013
de Sensibilización en Seguridad de la Información
46
19/03/2013
La solución no es
desconectarnos
93
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
La paranoia tampoco es la respuesta
94
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
47
19/03/2013
El problema es complejo
Mientras el Oficial de
seguridad debe pensar
en la mayor cantidad de
posibles vectores de
ataque, el atacante
debe encontrar unas
pocas vulnerabilidades
para comprometer todo
un sistema.
Debemos cambiar el enfoque que le
damos a la seguridad de la
información
La solución
48
19/03/2013
La seguridad nos permite tomar riesgos
Es un generador de valor para las organizaciones
97
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Ser consiente de la realidad
• Mito: La seguridad total
es posible
• Realidad: Niveles
aceptables de riesgo.
Se debe aceptar el hecho
obtener seguridad 100%
es imposible.
98
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
49
19/03/2013
Hay cosas inevitables
Vea el problema como un desastre natural.
No se puede evitar, pero se puede mitigar su impacto
99
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Ni los mejores se salvan
100
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
50
19/03/2013
Infiltrados Durante 10 años!!!
101
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Existen muchas herramientas de
seguridad
•
•
•
•
•
•
102
TOR
Ccleaner
PGP o GNUPG
Hushmail
Truecrypt
…
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
51
19/03/2013
NO existe una aplicación Mágica que
solucione el problema de la
inseguridad.
La seguridad no es algo que
se instale
Tampoco es una serie de pasos que
hay que seguir ciegamente
• No
es
que
las
recomendaciones no
sirvan, solo que no son
suficientes
• Y en otros casos no
son muy prácticas …
104
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
52
19/03/2013
Y en otros son simplemente ingenuas
105
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Hay que usar bien los mecanismos
106
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
53
19/03/2013
La seguridad es un proceso
Se debe definir un enfoque de seguridad de información, y darle
una línea base para identificar los aspectos clave de un programa
integral de seguridad organizacional.
Formula Ganadora
Prevención
Reacción
Educación
108
08/02/2013
Cooperación
Seminario de Sensibilización en Seguridad de la
Información
54
19/03/2013
Cuál es el impacto en el Negocio?
Daniel Torres Falkonert (c) 2012
Ella no evaluó el riesgo
110
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
55
19/03/2013
Identificar las necesidades
Alicia
Beto
Malandra
1. Confidencialidad
5. Autenticidad
2. Integridad
6. Anonimato
3. Disponibilidad
7. Privacidad
4. No-Repudiación
111
Seminario de Sensibilización en Seguridad de la
Información
08/02/2013
Definir los Mecanismos
Confidencialidad
Integridad
Disponibilidad
No Repudio
Cifrado, esteganografía
Funciones de hash
Redundancia, Políticas de calidad
Firmas digitales
Autenticación
Muchos métodos: Password, Certificados, pruebas
de cero conocimiento
Anonimato
Cifrado, Proxies
Privacidad
Medidas de seguridad, cifrado, buenas
prácticas
112
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
56
19/03/2013
La Seguridad es algo dinámico
Adaptar la infraestructura a
este forma de pensar* :
• Defendible
• Hostil
• Fértil
*Rick Lee
(www.csiservices.ca)
113
19/03/2013
Daniel Torres Falkonert © 2012
Y cuando ocurra
un incidente?
114
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
57
19/03/2013
Recuerde las 7 P
Proper Prior Planning Prevents
Particularly Poor Performance
115
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
La clave está en la Reacción
Manejo
de
incidentes
Creación de programa de Atención
y manejo de incidentes alineado
con la misión y las políticas de la
organización, sustentado en un
modelo de capacidad y madurez.
Análisis
forense
Modelo
unificado de
control y
riesgo
58
19/03/2013
Primera respuesta a
incidentes y Análisis
Forense
Si la inseguridad es la constante en el mundo
digital. Los procedimientos forenses en
informática deberían ser la norma que confirma
la existencia de la constante. Sin una adecuada
respuesta a los incidentes de seguridad, la
detección y el seguimiento de los intrusos no
tendría sentido.
J.cano, s.rueda, d.torres
117
1.
2.
3.
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Información como Contrabando
1.
Violación de licencias de Software
2.
Posesión no autorizada de información
sensible/confidencial /restringida/privilegiada
3.
Venta y distribución de software con fines delictivos.
Información como Intrumento
1.
Uso de Software Malicioso
2.
Violación de políticas de seguridad
3.
Acceso abusivo a sistemas informático
4.
Ataques de denegación de servicio
Información como evidencia y apoyo técnico en
investigaciónes
1.
Adquisición de datos en Internet
2.
Casos de Infidelidad
3.
Cronología de actividad en el sistema.
4.
Delitos Financieros
5.
Homicidios
6.
Acoso y persecución
7.
Extorsiones
8.
secuestros
9.
Estafas
10.
Extracción de Evidencia en la red
11.
Descubrimiento de información en procesos civiles,
comerciales, administrativos, etc.
118
19/03/2013
Áreas de
aplicación.
Daniel Torres Falkonert © 2013
59
19/03/2013
Las 3 reglas de oro de la computación
Forense según Edwin Lugo
1. Proteja la evidencia Original
2. Proteja la evidencia Original
3. Proteja la evidencia Original
La validez de la evidencia depende de la
rigurosidad de los procedimientos
utilizados
119
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
En caso de duda…
Pida ayuda a algún experto, pero NO
improvise con los procedimientos
forenses.
Si quiere me llama ☺
120
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
60
19/03/2013
Análisis forense en la vida Real
121
19/03/2013
Daniel Torres Falkonert © 2012
Análisis forense en la vida real
122
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
61
19/03/2013
Análisis forense en la vida real
123
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
Análisis forense en la vida real
124
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
62
19/03/2013
Tenga
cuidado!!
Asegúrese de que quienes realicen los
procedimientos sean verdaderos
profesionales!!!!
Daniel Torres Falkonert (c) 2012
Conclusiones: Lo que Tenemos que
cambiar
Estado Ideal
Estado Actual
No hay compromiso
No Existen programas de Respuesta a
incidentes
Falta de cordinación con otras
entidades
No se comparte información
No hay colaboración mutua
…
126
08/02/2013
Compromiso
Creación de programas de atención de
incidentes
Contar con personal altamente capacitado
Coordinación a nivel internacional
Cooperación entre diferentes sectores
Compartir información
Ayuda Mutua
Usuarios conscientes y colaboradores
…
Seminario de Sensibilización en Seguridad de la
Información
63
19/03/2013
Incorporar nuevos elementos
1.
Entender la “Física” del ciberespacio
1.
2.
3.
4.
2.
3.
4.
5.
6.
127
Saber qué pasa tras bambalinas
Comprender las propiedades de los datos digitales
Conocer los límites y alcances de la tecnología
“Soy trancad@ para la tecnología” YA NO ES UNA EXCUSA VÁLIDA
Tomar decisiones con base en una evaluación realista del riesgo y
no a partir de una lista de chequeo de la que ni siquiera se
entiende su proposito
Saber reaccionar, es decir qué hacer cuando la seguridad falle
Ver la seguridad como un habilitador de oportunidades y no como
un conjunto de restricciones
Mantener la seguridad lo más simple posible
…
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
El reto
• Encontrar un equilibrio
entre:
–
–
–
–
–
–
–
Privacidad
Libertad de Expresión
Transparencia
Seguridad
Legislación
Tecnología
…
19/03/2013
Daniel Torres Falkonert (c) 2012
64
19/03/2013
“Por más tecnología que
incorporemos es necesario un
cambio social, un cambio cultural”
Eduardo Thill
Lecturas recomendadas
130
Ing. Daniel Torres Falkonert, CISSP (c)
2012
19 de marzo de 2013
65
19/03/2013
Preguntas
131
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
¡¡¡¡Muchas Gracias!!!!
Daniel Torres Falkonert
dtorres@paradoja.com
@bytemarehack
Esta presentación se autodestruirá en
15 segundos…
66
19/03/2013
133
08/02/2013
Seminario de Sensibilización en Seguridad de la
Información
67