Vigilar nuestra cuenta GMail

Por casualidad he descubierto una prestación interesante de GMail y de Google Apps: La posibilidad de saber desde qué IP y protocolo se ha accedido a nuestra cuenta de correo.

En la pantalla principal del correo, al final de todo de la página vemos "última actividad de la cuenta". 

Aqui nos dice la última IP desde la que se ha accedido a nuestra cuenta. Si clicamos en Información detallada, nos sale la tabla siguiente:

En la primera columna vemos el tipo de acceso: Navegador, POP3 (con Outlook u otro gestor de correo), IMAP (con Blackberry, en mi caso), Barra Google (si la tenemos instalada), etc.

Me ha parecido curioso e interesante...

Malware para Mac OSX

Decía el especialista en Seguridad Informática Gene Spafford que el único sistema seguro es aquél que está apagado, en el interior de un bloque de hormigón, protegido en una habitación sellada rodeada por guardias armados.

Yo añadiría, con mis palabras, que el nivel de seguridad de un sistema operativo es inversamente proporcional al número de personas que "trabajan" en buscarle vulnerabilidades.

Esto viene a cuento, porque acabo de leer que los Kits de Exploits públicos (concretamente, el Black Hole Exploits Kit), empiezan ya a contener herramientas para Mac OSX, y la tendencia es a la alza. 

Estos kits vienen a ser como la caja de herramientas del hacker que quiere realizar infecciones masivas de ordenadores con el fin de montar botnets, o redes de ordenadores zombies destinados a realizar ataques de Denegación de Servicio, robo de credenciales digitales y otras ciberlindezas.

Es bastante triste ver que las "empresas" que comercializan este tipo de kits tienen su página Web, e incluso su sistema de licenciamiento, como si el producto fuera completamente normal y legal. Me recuerda al prólogo de la peli de James Bond "El mañana nunca muere", en que Bond vuela por los aires un supermercado para terroristas donde venden armas nucleares. Lo que sí es seguro es que si les pirateas el software a esta gente corres el riesgo de despertarte con la cabeza de tu gato debajo de la almohada.

Utilidades muy útiles

Para los que como a mí os empiecen a fallar las neuronas, os doy una serie de links con utilidades varias:

Herramienta para calcular el espacio útil que queda en un RAID (0, 1, 0+1, 2, 3, 4, 5). Se introducen el número y tamaño de los discos y nos da el espacio total y útil.

Online Subnet Calculator: Imprescindible calculadora para cuando hacemos subnetting.  Entrándole una IP y una máscara, esta utilidad nos da la dirección de red, la de Broadcast, la máscara en notación /x ó x.x.x.x., el número total de redes y el número total de hosts por red.

Generador de passwords complejos: Se da la longitud, tipos de caracteres, etc. y nos propone un password aleatorio del que luego no hay quien se acuerde…
GTMetrix: Para medir la velocidad de un sitio Web. Aporta consejos para mejorar el tiempo de carga del sitio Web.

Para mandar archivos grandes que no pueden ir por mail, Sendspace  es gratuito, fácil de usar, y mantiene la confidencialidad de nuestros archivos.

Iplookup para averiguar país e ISP de la dirección IP que le introduzcas.

MAC Find para averiguar el fabricante de un interface de red introduciendo la MAC Address, el procedimiento inverso: ver el rango de MACs usadas por un fabricante concreto.

Una calculadora de ancho de banda para convertir Megabits en Megabytes y calcular el tiempo de descarga de un archivo según el tipo de línea de datos que tengas. De propina, un test de velocidad de descarga.

Aquí hay dos utilidades para Cisco, una para descifrar passwords de Cisco Tipo 7. Este tipo de cifrado de password es el que se usa cuando se ha habilitado “service password-encryption”. Obviamente, esto no es recomendable hacerlo después de ver que el cifrado es reversible. La segunda utilidad es para ver si una IP “cumple” una Access list. Esto es útil porque en las Access List la máscara se escribe al revés. Si además usamos subnetting, entonces no es tan obvio verlo de un vistazo.

Aquí hay un mogollón de herramientas gratuitas de administración para Windows, la mayoría son de línea de comandos y susceptibles de utilizarse en scripts. Hay una para copiar passwords de una máquina a otra. Otra para exportar items (usuarios, grupos, servicios, máquinas, recursos compartidos, impresoras, ...) de una máquina a otra. Otra para crear Logon Scripts en función de usuario y/o de pertenencia a grupos...

Las inmortales tools de Sysinternals, ahora en un cómodo paquete listo para llevar.

Y para acabar por hoy, aquí encontraréis un montón de herramientas de Symantec para eliminar troyanos, bots, espías y otros animalitos. Seguimos...

Windows 2008: Parte 2

NAP (Network Access Protection) es un excelente sistema de seguridad, aunque implementarlo es un proyecto importante en sí mismo. Esto es algo que Cisco ya había iniciado hace algún tiempo cuando sacó sus dispositivos ASA (firewall y concentrador VPN), pero Cisco lo llama NAC (Network Access Control). Consiste en preanalizar un cliente que quiere conectarse a la red y comprobar que cumple unas características previas de seguridad (nivel de parcheado, actualización antivirus, etc.). Si el cliente no cumple las condiciones prefijadas por el administrador se le da un acceso restringido a la red (situándolo en una Vlan determinada o filtrando su acceso a servidores críticos) hasta que las cumpla. NAP necesita un servidor RADIUS para funcionar ( el RADIUS de Microsoft –antes IAS- se llama ahora NPS). Hay un documento interesante sobre la integración NAP-NAC aquí.

El nuevo Firewall de Windows (atención, sigue estando el antiguo, el nuevo se accede por el Server Manager) me ha gustado por su elegancia y simplicidad de uso. A medida que vamos instalando roles y características, se van abriendo los puertos necesarios.

La capacidad de Virtualización de Windows 2008 tiene que evolucionar MUCHO para plantar cara a las opciones actuales del mercado. Eso de que el Hipervisor sea un rol que se añada a un servidor en vez de ser el mismo Core del sistema operativo no parece lo más óptimo. De todas maneras, desde la posición que está Microsoft sólo le queda ganar terreno, pues la cuota de mercado de la competencia (VMWare, principalmente) es tan abrumadora que difícilmente subirá.

La utilidad de Backup también sigue siendo muy limitada. Ahora aún más, porque no se puede hacer un backup parcial de un servidor, sino que se ha de hacer de TODO el sistema, aunque la gracia es que se genera un archivo VHD exportable a HyperV (o a donde queramos…). NTBackup sólo se soporta para restaurar copias. La copia del System State se ha de hacer manual... Está claro que todo está orientado a vendernos DPM.

El Asistente para Configuración de seguridad es muy útil. Se configura el equipo para su rol principal, y después se pasa el Asistente para securizar el tema (abrir o cerrar puertos, activar o desactivar servicios, etc.). En caso de que el equipo cambie de función o rol, se puede revertir el Asistente, instalar el nuevo servicio, y volverlo a pasar.

Ahora se soporta otro tipo de VPN: SSTP. Esto es básicamente, el protocolo PPTP encapsulado en SSL. Interesante para implementaciones de redes de acceso remoto, que suelen acabar en drama en cuanto hemos de atravesar firewalls, NAT’s, proxys, etc.

Seguimos...

Windows 2008: Parte 1

Últimamente estoy poniéndome las pilas con Windows 2008 y Exchange 2007. Los nuevos proyectos los estoy montando ya en estas plataformas. Con respecto a Windows 2008, me gustaría destacar las cosas que me han gustado (en verde) y las que tienen que mejorar (en rojo). Después le tocará a Exchange 2007. Evidentemente, todo esto es sobre el papel. Cuando todo lleve un tiempo en producción ya se verá si funciona sin problemas o acaba siendo una película de miedo, pero de momento apunta muy bien.

El hecho de que no se instale nada por defecto es bueno desde el punto de vista de la seguridad. Reducción al mínimo imprescindible de la superficie de ataque. Los atacantes casi siempre utilizan funcionalidades semiocultas, como el cliente ftp o tftp, para ejecutar el malware. No instalándolas simplificamos la securización del servidor.

El no tener que copiar el i386, pues todos los archivos CAB ya se preinstalan en el disco duro (ahora se llaman imágenes WIM y están en la carpeta c:\Windows\winsxs, que NO SE PUEDE ELIMINAR) es muy práctico para la configuración inicial del servidor y los posteriores cambios que tengamos que hacer. Por el contrario, ocupan bastante espacio en el disco duro y nos dan una tarea extra de tener que parchear todos los WIM cada vez que parcheemos el sistema operativo. Si no, si en el futuro tenemos que añadir un Rol o Característica nueva a nuestro sistema, lo estaremos haciendo desde una imagen obsoleta del sistema operativo.

La integración con IP v6 es total, hasta el punto de que al instalar el servidor nos dirá que no tiene IP estática, aunque le hayamos puesto una IPv4. Es por la IPv6, que por defecto no la tendrá estática. Se puede ignorar el error y seguir. Se pueden crear Zonas de resolución Directas e Inversas para IPv6 y se permiten actualizaciones dinámicas de las mismas, aunque sólo en un entorno de Active Directory con autenticación Kerberos.

Los Controladores de Dominio de sólo lectura (RODC). Básicamente, son Controladores de Dominio que no pueden ser origen de replicación. Funcionalidad interesante para sedes remotas que necesiten un DC, pero éste no esté debidamente securizado y no haya administrador local. También podemos hacer que sólo se repliquen las contraseñas de los usuarios de esa sede. Así, si nos comprometen el servidor y se llevan los archivos de AD para un ataque de fuerza bruta, sólo tendrán acceso a dichas contraseñas.

Seguimos...

LogMeIn

Hace ya algún tiempo que tengo en mi caja de herramientas software los productos LogMeIn para dar servicio a nuestros clientes. Estos productos constituyen una solución de soporte remoto por SSL totalmente escalable, en precio y en prestaciones.

Comienzas creando tu cuenta con tu e-mail y contraseña y con esas credenciales puedes ir instalando la versión Free en cuantos ordenadores quieras (es completamente gratuita). El producto se ha de instalar desde la cónsola del ordenador a controlar. Los ordenadores que vas instalando (Windows, Linux y/o MacOSX 10.4 o superior) van poblando tu espacio de trabajo LogMeIn y puedes agruparlos, por ejemplo por cliente, para tenerlos ordenaditos. Para usarlo para tomar el control remoto, el ordenador controlado sólo necesita estar encendido ya que funciona como un servicio, no se requiere entrar en sesión. Al abandonar el control remoto, el ordenador queda bloqueado por seguridad. Hasta aquí no te has gastado un Euro y tienes un control remoto que te permite hacer prácticamente todo lo imprescindible y que puedes usar desde cualquier ordenador conectado a Internet, e incluso desde una PDA con Windows CE (funciona como un tiro) o desde un iPhone. Al ir por SSL se salta limpiamente todos los Firewalls y NAT's habidos y por haber.
_________________________________________________

ATENCIÓN: Si al intentar conectar a un ordenador con LogMeIn Free nos aparece la pantalla negra con el texto: "This terminal Server display is inactive" se debe a que el producto se ha instalado desde una sesión de Terminal Services (RDP) y no desde la cónsola del equipo en cuestión. Para solucionar esto hay que desinstalarlo e instalarlo desde la propia cónsola del equipo, o subir a la versión Pro . Esto es una política de LogMein para evitar que todo el mundo se pase a la versión Free.
_________________________________________________

Como soy tan tonto que me gusta pagar por las cosas (por sistema procuro no comprar en esa conocida gran superficie), cuando llevaba un tiempo usando la versión Free, me decidí a probar la versión ItReach (ahora se llama Pro2).
Si la versión Free bordea lo indispensable para los que hacemos soporte técnico, esta versión Pro2 ya es espectacular. Para instalarla no tienes más que comprar las licencias que necesites (el precio es muy comedido) y decirle cuáles de los PC's Free los quieres subir a Pro2. Él sólo lo hace todo y al cabo de un rato ya tienes todas las prestaciones del PRo2, que incluyen (la de Windows):

• Un completo gestor de archivos con dos ventanas (PC Local y remoto) para copias, transferencias, sincronización, etc.
• Compartición de archivos y carpetas entre Pc local y remoto.
• Asignar la impresora local al PC que estamos controlando, para imprimir lo que estemos haciendo en remoto.
• Un Mini-Meeting para conferencias, demos on line, formación remota, etc.
• Todas las funciones de administración remota del servidor que os pasen por la cabeza: gestión completa de usuarios, visor de eventos, editor de registro, Reinicio del servidor inmediato o programado (útil para servidores Windows :-) ), Programador de tareas, una completa información del rendimiento del servidor, gestión de la seguridad (filtro por IP, posibilidad de usar nuestro Certificado para el cifrado SSL…)
• Un bonito panel de control configurable para ver todos los parámetros del servidor de un vistazo al conectarnos.
• Y lo mejor: una completa gestión de alarmas por e-mail. Podemos programar, en función de un montón de parámetros (espacio en disco, uso de CPU o memoria, tamaño de una carpeta o archivo, apagado de un servicio/aplicación/máquina completa, desencadenamiento de un Evento cualquiera de Windows…) que el servidor solito nos mande un e-mail usando nuestro servidor SMTP.
  

Otro día hablo de LogMeIn Hamachi, producto para crear una VPN en un plis-plas.

Apéndice

Para aquellos que colaboréis con otros profesionales, es super interesante la posibilidad de compartir el acceso a hosts de vuestro espacio de trabajo LogMeIn con otra gente. Basta ir al apartado Users, Secondary Users, introducir el e-mail de la persona que queráis autorizar (debe estar dado de alta en LogMeIn) y seleccionar los hosts autorizados. Hay varios extras de seguridad, como one-time security code o una casilla para autorizar/desautorizar al otro usuario con un sólo clic. Advertencia: Si el Host a autorizar es Pro2, el usuario autorizado debe tener activa una cuenta Pro2 también (la policía no es tonta...).

Golpe al SPAM

Según esta noticia publicada en El Periódico, ha caido una “empresa” responsable de 1/3 (¡) del correo basura mundial.

También según la noticia no podemos sentirnos aliviados porque estas organizaciones se venden entre ellas sus listas de direcciones de correo. Ojalá se entere Garzón y caiga sobre ellos toda la fuerza de la LOPD por la cesión no consentida de datos personales.

Seguridad en ADSL

Hace ya algún tiempo me encontré en una empresa algo que era, metafóricamente hablando, parecido a lo que vemos en la foto. Tenían una línea ADSL para salida a Internet y, como estaban muy preocupados por el tema de la seguridad, aconsejados por un proveedor decidieron contratar un firewall para situar detrás del router ADSL. Esto sería como si el dueño del jardín de la foto decidiera comprar una cadena y un candado para cerrar la puerta del jardín: inútil y absurdo a la vez. Digo esto porque al lado mismo del firewall tenían un punto de acceso Wifi protegido con una clave WEP de 128 bits…

En su tiempo, WEP proporcionaba una cierta seguridad en nuestras redes Wifi. Ahora, todo aprendiz de hacker y piltrafilla informático sabe que una clave WEP se crackea en cuestión de minutos (por Dios, he visto hasta un video en Youtube sobre cómo hacerlo!!!. El hackeo al alcance de todos). Dejadme decir, con algunas reservas, que poner un firewall detrás de un router ADSL que usa NAT y donde no hay mapeo de puertos a ningún host de la red es algo totalmente superfluo o, en el mejor de los casos, lo último que debemos hacer después de proteger debidamente los Hosts que hay dentro de la red. La seguridad se estructura por capas, como una cebolla, empezando por la de host (con firewall de host, antivirus/antispyware, etc.) y acabando por la perimetral. Luego, revisando constantemente todos los puntos. La seguridad no es un proyecto puntual, sino una forma de vida.

Las precauciones necesarias y suficientes para proteger un router ADSL típico son:

• Activar el firewall del router para evitar ataques contra el mismo router. Entonces no hablamos de un firewall estrictamente, pues un firewall lo que hace es proteger lo que hay detrás de él dejando pasar el tráfico inocuo y frenando el maligno, no protegerse exclusivamente a sí mismo. Cuando hay NAT, el mismo NAT actúa de firewall. Lo que hace NAT es traducir o mapear la dirección interna de destino según la externa de origen. Puesto que no es capaz de redirigir conexiones entrantes si no sabe a qué host interno debe mandarlas, las bloquea. A no ser que tengamos configurado:

• DMZ Host. La mayoría de routers tienen esta funcionalidad. Si hay tráfico entrante iniciado desde el exterior lo mandan a este host. En este caso es como si todos los puertos estuvieran dirigidos hacia este host, por lo que sí es imprescindible protegerlo. Yo uso esta funcionalidad para montar concentradores de VPN, como el Cisco ASA 5500. Claro que el ASA sabe cuidarse solito perfectamente…

• Bloquear el ping en el interface WAN (suele estar como “Disable Anonymus internet requests”). Lo que no sabemos que existe no podemos atacarlo. También esto nos libraría de ataques DoS tipo Ping de la muerte (un ataque DoS, por otra parte, más erradicado que la Viruela).

• Ponerle una contraseña fuerte al router. Jamás dejar la de defecto. El ABC de la seguridad informática es una buena contraseña.

• Desactivar el acceso administrativo al router desde el puerto WAN y WIFI, puesto que son accesos vulnerables, o por lo menos difícilmente controlables.

• Desactivar uPNP (Universal Plug and Play) en el router. Algunos programas peer to peer, juegos e incluso Messenger, usan este protocolo para reconfigurar el desvío de puertos del router hacia nuestro equipo. Una vez un puerto del equipo es visto desde Internet, ya es susceptible de ser atacado. En este caso sí tendría sentido tener el firewall: detener comunicaciones que vienen de fuera a dentro sin ser iniciadas desde dentro.

Copias Windsor

¿Windsor o "El coloso en llamas?

Hace poco estaba haciendo una consultoría sobre un plan de contingencia y el cliente me habló de las copias Windsor, refiriéndose a las copias que se extraen de las oficinas con el fin de evitar desastres mayores del estilo de incendios, inundaciones, terremotos, etc. Me hizo gracia la denominación porque es muy descriptiva.

Hay estudios que dicen que un 70% de las empresas que han sufrido en sus sedes centrales desastres del estilo de lo ocurrido en el Windsor, acaban cerrando a los 3 años. Ya pasó antes en el ataque al World Trade Center de Nueva York. Yo incluso tengo un conocido que fue al paro porque su empresa tenía la sede central en el WTC y tras el desastre tuvieron que cerrar porque no consiguieron una recuperación completa de sus sistemas. Es por ello que dentro de un buen plan de contingencia es imprescindible que haya copias almacenadas en una ubicación física diferente a la de los servidores, habitualmente en las instalaciones de un proveedor especializado con medidas de seguridad física máximas. Las mejores empresas especializadas guardan las copias en una ubicación secreta, desconocida incluso para el cliente, con sistemas de protección resistentes a incendios, inundaciones e incluso ataques nucleares (aunque no sé quién querría recuperar sus copias después de un ataque nuclear...).

La cuestión es que, al extraer los datos al exterior de nuestras instalaciones, debemos asegurarnos contra la pérdida o robo del soporte que utilicemos. Si las copias extraídas contienen ficheros con datos de carácter personal, entonces la legislación es muy clara. En el Reglamento de medidas de seguridad de los ficheros que contengan datos de carácter personal (RD 994/1999) de la AEPD, se detalla explícitamente que el cifrado es obligatorio si los datos son de nivel alto (los relativos a salud, sexualidad, inclinación política y religiosa, etc.). Para los datos de nivel bajo (nombre, dirección, teléfono, etc.) no se requiere y para los de nivel medio (situación financiera, fiscal, etc.) se detalla que deben tomarse medidas para evitar la recuperación de información en un soporte que vaya a ser desechado y, en general, en cualquier soporte que vaya a salir de las instalaciones. Dado que si en un solo registro de un fichero hay un dato de nivel medio o alto, automáticamente todo el fichero pasa a ser de nivel medio o alto, es muy conveniente cifrar TODOS los ficheros con datos de carácter personal que vayan a salir de nuestras instalaciones, por si acaso. Evidentemente, aunque la ley no nos obligue a ello, es altamente recomendable cifrar CUALQUIER dato que salga de nuestras instalaciones, e incluso los que no vayan a salir pero sean susceptibles de robo o pérdida (discos USB o llaves USB con información).

Todos los paquetes de backup más conocidos incorporan la prestación de cifrar las copias de seguridad, sean en cinta (Symantec Backup Exec, CA Arcserve,..) o en disco (Symantec Backup Exec System Recovery, Acronis True image, …). Todos los fabricantes de llaves USB tienen modelos con software de cifrado incorporado. Imprescindible si llevamos información confidencial o datos de carácter personal en ellas.

De todos los algoritmos de cifrado simétrico (el que usa una sola clave para cifrar y descifrar, en contraposición al asimétrico que usa dos claves –la pública y la privada-) que no han sido comprometidos hasta el momento (IDEA, 3DES, AES, etc.), probablemente el recomendado para cifrar las copias de seguridad sea AES, por ser rápido y muy seguro. Usaremos una clave de 192 ó de 256 bits, dependiendo de nuestro nivel de paranoia, y santas pascuas.

Espiar o no espiar

Un buen amigo y colega me ha contado que le han planteado un "trabajillo" derivado de una situación harto común en la empresa desde el advenimiento de este maravilloso mundo de ocio que es Internet: espiar en el PC de un trabajador.

Escenario:

- Una empresa de un tamaño suficientemente grande como para que la gente no vaya muy "estresada" y no se note mucho si alguien está haciendo lo que hace un pez en el agua (nada).

- Un empleado que trabaja menos que un espía sordo.

- Un jefe con la mosca detrás de la oreja porque cree que el empleado se está columpiando en horas de trabajo y usando para ello el sagrado material informático que la empresa le ha puesto a su disposición para trabajar y ser productivo.

- Un informático atareado (mi amigo) al que el jefe le pide que, fuera de horas, espíe en el PC del empleado en busca de pruebas de su escaqueo (e-mail, historial de navegación, archivos descargados).

Hechos:

- La empresa está bien organizada, adaptada a la LOPD y, por tanto, tiene su documento de seguridad de la información y otros documentos sobre el uso de las herramientas informáticas, que han firmado todos los empleados, donde se especifica explícitamente que las herramientas informáticas son puestas por la empresa a disposición del empleado para el uso profesional, única y exclusivamente.

- El informático encuentra mogollón de visitas a páginas pornográficas y e-mails con chistes, fotos y en general todo tipo de pruebas que demuestran irrefutablemente que el empleado trabaja menos que el sastre de Tarzán.

- El jefe, cabreado, echa al empleado y pretende utilizar toda esa información para hacerlo con despido procedente, es decir, sin indemnización.

Pregunta:

- ¿Es viable la pretensión del jefe en la situación descrita?

Respuesta:

- En el Derecho tecnológico existe algo que se antepone a casi todo, y que es el Derecho a la intimidad del trabajador. A no ser que exista sospecha fundada de un delito (espionaje industrial, pedofilia, etc.), y sólo con una orden judicial bajo el brazo, se puede espiar el PC de un empleado. Por tanto, las pruebas obtenidas ilegalmente, como en este caso, más que ayudar al empresario a un despido procedente, pueden hacer que aún tenga que readmitir o incluso, indemnizar al empleado por irrumpir en su intimidad. Lo mismo pasaría con las escuchas telefónicas secretas.

- Es necesario que toda posible irrupción a la intimidad del empleado, como software que analice los e-mails para detectar SPAM, se haga de la manera menos invasiva posible y sin guardar registro del contenido de los mails (esto Google Apps se lo pasa por el forro porque lee los mails para insertar cuñas publicitarias, pero bueno, ellos están en los USA y sólo es para el servicio gratuito).

- Es muy conveniente que la empresa, al igual que la de nuestro ejemplo, tenga el Documento de Seguridad y una versión reducida del mismo que esté firmado por cada empleado advirtiéndole del uso que puede hacer de los sistemas informáticos y de las medidas de seguridad que se utilizan, como la mencionada en el anterior apartado. Esto puede actuar como disuasivo, pero, de todas formas, al final siempre privará el derecho a la intimidad.