La Piazza

Publicado por Javier Guerrero, 26 de mayo de 2010

Se tiene la idea de que Windows no es un sistema seguro, en contraposición a otros como Linux o Mac OS, pero esto no es del todo cierto.

Me explico: es innegable que Windows es el objetivo principal de todo el malware que se crea en el mundo, básicamente porque cuenta con una abrumadora cuota de mercado.

Sin embargo, Windows implementa todos los mecanismos de seguridad propios de un sistema operativo moderno, como: listas de control de acceso, permisos, cuentas de usuario con diferentes privilegios, etc. Paradójicamente, la mayoría de estas funcionalidades acaban por ser de escasa utilidad porque, sencillamente, no se usan.

Reflexionaba sobre esto hace algunos días, cuando poco después leí una noticia relacionada con un informe realizado por la compañía BeyondTrust, en el que se indicaba que alrededor del 90% de los problemas de seguridad que aquejan a Windows (cosas como malware, vulnerabilidades, etc.) se podrían reducir o mitigar si la gente emplease cuentas de usuario limitado en lugar de usuario administrador.

Pero, ¿qué es esto de usuarios limitados y usuarios administradores?

Para que una persona pueda usar el PC, debe hacerlo con una cuenta de usuario, que le identifique en el sistema operativo y le permita trabajar con él. Básicamente hay dos tipos de cuentas:

• Cuenta de administrador
• Cuenta de usuario limitado.

El primero, administrador, tiene acceso ilimitado a los recursos del sistema: puede instalar hardware y aplicaciones, gestionar toda la información relativa a usuarios (añadirlos, borrarlos o cambiar sus contraseñas) y, en definitiva, efectuar cambios que afecten a todo el sistema.

Por el contrario, el segundo con cuenta de usuario limitado tiene restringido el acceso a determinados recursos del sistema operativo, como carpetas, archivos, herramientas de administración, instalación de aplicaciones, etc.

Vale, pero… ¿cómo afecta esto al malware?

Bien, imaginemos que, sin saberlo, ejecutamos un programa malicioso que intenta instalar y arrancar un troyano. Normalmente la aplicación utilizará los permisos de acceso de la cuenta bajo la que se ejecuta, lo que significa que si somos un usuario con cuenta limitada, el intruso no podría copiar sus ficheros a la carpeta de sistema, modificar las claves del registro necesarias, o incluso iniciar un hipotético driver o servicio.

Si por el contrario el malware se ejecuta con permisos de administrador, no tendrá ningún problema en instalarse y hacer de las suyas ya que, en lo que respecta al sistema operativo, la aplicación está perfectamente autorizada para hacerlo.

Por tanto, resulta innegable que, si bien siempre existen vulnerabilidades y formas de saltarse los controles de seguridad, este mecanismo es una buena barrera para el malware más común y poco sofisticado, y permite mitigar en buena medida bastantes de los problemas.

Entonces, si los medios están disponibles, ¿por qué no se usan?

Existen diversos motivos, entre ellos:

• La mayoría de usuarios se han habituado a manejar el sistema como administradores. Esto es comprensible, ya que no es sencillo lidiar con conceptos como permisos, cuentas, privilegios, listas de control de acceso, etc., incluso para usuarios experimentados. De manera que, bien por ignorancia, costumbre o simple comodidad, al final acabamos usando la cuenta de administrador.

• Hay aplicaciones que no tienen en cuenta el modelo de seguridad de Windows, y asumen que la cuenta de usuario bajo la que corren va a ser siempre la de Administrador, y por tanto van a tener permisos para realizar ciertas tareas. Esto hace que no funcionen bien en cuentas de usuario limitado, o incluso que ni siquiera se instalen, con lo cual al final terminan por obligar al usuario a trabajar con cuenta de Administrador.

• También ocurre que a muchos usuarios les gusta poder controlar todo lo que ocurre en el sistema, y se encuentran con que la cuenta de usuario limitado les impone demasiadas restricciones. Por tanto, prefieren asumir el riesgo a cambio de no perder el control.

Una de las conclusiones que se pueden sacar de todo esto es, evidentemente, que un sistema operativo es un producto complejo, y que cuando se intenta hacer accesible al mayor número posible de usuarios, la seguridad suele ser uno de los aspectos que más se resienten.

Javier Guerrero Díaz
Dpto. Desarrollo – I+D

Publicado por Darragh Kelly, mayo 2010

Los medios sociales están siendo utilizados tanto por las personas a título individual, como por empresas de distintos sectores. Independientemente de una utilización, correcta o incorrecta, por parte de las empresas, está aumentando el uso de estos nuevos medios que se integran gradualmente en los actuales procesos de comunicación de las compañías.

Así, tanto las empresas como los individuos estamos cosechando los beneficios de estar conectados a la Comunidad. No obstante, también debemos tener en cuenta los aspectos negativos:

• Cualquier cosa que reúna o congregue a un gran número de personas conlleva un riesgo que debe ser gestionado. Por ejemplo, en los espacios físicos (aeropuertos, estaciones de trenes, estadios deportivos, etc.)  hay guardias de seguridad que toman medidas para protegernos a nosotros y a nuestro entorno.
• A pesar de que algunas medidas puedan resultar molestas (las colas, etc.), entendemos que son necesarias. No obstante, también sabemos que la seguridad no es completa. En estas áreas abarrotadas somos más conscientes de nuestras vulnerabilidades, independientemente de si hay agentes de seguridad, por lo que tomamos ciertas precauciones (comprobamos si hemos cerrado las bolsas, comprobamos que las carteras se encuentran en el bolsillo interior de nuestras chaquetas y que son difícilmente accesibles). Mi mujer, por ejemplo, utiliza bolsos pegados al cuerpo.
• Si además observamos advertencias del tipo “Cuidado con los carteristas” tenemos todavía más cuidado y ponemos en práctica nuestro protocolo personal de seguridad (carteras, dinero, pasaportes, etc.) casi subconscientemente.

¿Si tomamos estas precauciones en el mundo físico, por qué no hacemos lo mismo con los medios sociales? ¿Y por qué no prestamos atención a las advertencias de seguridad? Ya sé que todas las empresas de seguridad informática incluida Panda Security tratan de incluir esas advertencias en el máximo número de sitios posible, pero es una batalla complicada.

A pesar de no ser antropólogo, tengo una teoría sobre por qué ocurre esto, aunque no puedo demostrarla. Creo que los siguientes 3 factores son parte del problema:  el entorno, el daño (causa y efecto) y el tejido social.

Antes de explicar cada punto, me gustaría destacar que hay una variable obvia en esta ecuación: la novedad de la amenaza. Dado que la amenaza es relativamente nueva, no nos ha afectado lo suficiente como para familiarizarnos con ella tal y como hemos hecho con otras amenazas. Por ello, creo que todavía tenemos mucho que aprender y la socialización de esta información es vital. Dicho esto explico cada uno de los factores mencionados:

El entorno

• Físico: somos más precavidos cuando estamos en espacios desconocidos. Este es un mecanismo de defensa básico que consiste en buscar lo conocido y cuando no lo encontramos, sabemos que existe una variable de riesgo. La variable de riesgo causa incertidumbre e influencia nuestras acciones, por lo que tomamos precauciones.
• Virtual: nos juntamos en el mundo virtual (redes, comunidades) desde contextos físicos, seguros y familiares como nuestra casa o el trabajo. De esta forma, no percibimos el peligro asociado a nuestro entorno virtual que nos proporciona una falsa sensación de seguridad.

El daño (causa y efecto)

• Esto escapa a mis conocimientos, pero lo intentaré. En el mundo físico, el hecho de que te roben la cartera supondría una experiencia terrible, creando una sensación de impotencia. A pesar de que nunca me ha pasado, sé que el no tener cuidado puede acarrear serias consecuencias. Podéis visualizar las consecuencias e imaginar lo que ocurriría.
• No obstante en el mundo virtual, parece que todo son inofensivos clics. No se puede visualizar el ataque, ya que consiste en muchos unos y ceros (101110011001). Además, no imaginamos las consecuencias negativas, y creedme, las hay. Los ordenadores y las conexiones a Internet se ralentizan, los ordenadores se bloquean… A nivel de empresa se ralentizan los servidores de correo, los empleados se quejan sobre los problemas informáticos, etc. No obstante, la causa y el efecto no se ve de forma tan clara como en el mundo real. Pensamos que estos problemas son pesados pero que estas cosas ocurren con la informática.

Confianza / tejido social

• Se ha observado que en los mundos de los juegos virtuales los jugadores son más confiados. En los mundos online confían y comparten recursos y retos con desconocidos. Estoy seguro de que esto puede extrapolarse a casi todas las redes virtuales. Yo soy más confiado en un entorno virtual debido a los dos puntos mencionados anteriormente: no percibo el peligro y no me doy cuenta de las consecuencias que mis acciones pueden acarrear.

Estoy seguro de que la socialización de estos riesgos reales impacta directamente sobre los puntos mencionados anteriormente, pero parece que el progreso es lento. Esto supone un reto enorme para la comunidad online y es mi pequeña contribución a un mejor entendimiento sobre los riesgos que hay ahí afuera.

En resumen, debéis estar informados sobre los riesgos existentes, tener cuidado y tomar las precauciones necesarias. Esto no es una ciencia exacta, pero hay unos pasos que se pueden seguir para reducir el riesgo.

Para estar informados, os recomiendo que os suscribáis a un boletín de seguridad que proporcione información actualizada sobre temas relacionados con la seguridad informática y ejemplos prácticos sobre lo que deberíais hacer para proteger vuestros equipos e información. Hay numerosos blogs y sitios Web excelentes que intentan socializar esta información. Yo utilizo los siguientes:

• El blog de PandaLabs
• Bleeping Computer
• OnGuardOnline (Información proporcionada por el gobierno estadounidense)
• Centro de protección contra malware de Microsoft

===============================================================================
Darragh Kelly se presenta:  Nací en Dublín pero vivo en España desde el 2000. Trabajo en Panda Security desde el 2001 y he tenido la suerte de desarrollar mi trabajo en diferentes áreas de esta Compañía: QA, Tech Support, Formación y en breve comenzaré un nuevo periodo como Product Marketing.  Personalmente encuentro fascinante todo lo relacionado con la comunicación.

Si quieres contactar conmigo por favor puedes ver mi blog http://www.darraghkelly.me o seguirme en Twitter http://twitter.com/D_P_Kelly.

Publicado por Yolanda Ruíz, mayo 2010

Tengo que confesar que una de las cosas que más me gusta es dormir y estar en la cama. Y aprovecho los fines de semana, no sólo para apagar el despertador, sino para que, cuando suena, tras preparar el desayuno, tomármelo en la cama, y ver un rato la tele y remolonear… Mira por donde, en esto andaba, cuando en una cadena de televisión nacional pusieron un reportaje sobre “Computación en la nube”, concepto que, para empezar, viene influenciado por tradiciones lingüísticas anglosajonas. E intenté ponerme en el pellejo de alguien que no sabe nada de tecnología…

Para empezar, la nube la enseñan como tal, como una nube del cielo. Y comentan que ahora, gracias a la computación en la nube, nuestra información ya no tiene que estar más en nuestro ordenador, porque ahora, se traslada a la nube. Y tal cual, se quedan tan panchos, sin explicar exactamente qué es. Pero lo mejor vino después, y trato de resumir el argumento: “ahora ya no tenemos que cargar con el portátil ni tener caros y grandes ordenadores en casa, porque tenemos todo en la nube…” :0 Acabásemos: con el frigorífico es suficiente. Señores ¡No compren ustedes ordenadores! ¡Conéctense a Facebook con el microondas!

Yo no podía salir de mi asombro… pero mi capacidad de sorpresa se vio de nuevo superada. Como parte del documental, invitan a un chico bastante bien parecido, responsable de seguridad de Google, que afirma: “antes, los usuarios tenían que ser especialistas en seguridad, y saber qué es un antivirus, para qué vale e instalarlo en el ordenador… Ahora, con la computación en la nube, los usuarios no se tienen que preocupar de nada, porque nosotros protegemos su información”.

¡Toma ya! ¡Claro! ¡Si no necesitamos ordenadores, para qué vamos a poner antivirus! 10 minutos se tiró explicando que la falta de seguridad deja de ser un tópico, porque gracias a Google, este concepto va a desaparecer…

Y aquí es donde, con permiso de los presentes, voy a dejar las bromas aparte. Estoy muy de acuerdo con el gran avance que supone Cloud Computing y con todas las ventajas que conlleva: se libera de recursos el PC, no necesitas capacidad de almacenaje, puedes acceder a tu información desde cualquier PC simplemente con una conexión a Internet y un navegador… Pero con lo que no estoy de acuerdo (discúlpenme los señores de Google y del documental) es con el hecho de que la falta de seguridad va a desaparecer.

Pero podría escribir un tratado inmenso argumentando de mil maneras diferentes el por qué el saber acerca de seguridad es necesario y por qué también es imprescindible contar con una buena suite de protección (y seguro que mis compañeros técnicos podrían añadir otros mil argumentos más), pero por resumir, y no hacer mucho más larga esta lectura, sólo apuntaré:

• Por mucho que nuestra información esté en la “nube”, siempre nos tendremos que conectar a través de algún PC. Podrá ser nuestro o no, pero eso no evita que pueda tener un keylogger o un troyano que nos robe los login y los password, mediante los cuales podrá entrar a nuestra cuenta en la “nube”…
• Cada vez más, compramos online, hacemos transacciones con nuestro banco online, etc.., y nos validamos con nuestras contraseñas, que pueden ser igual de vulnerables…
• Somos humanos, y por lo tanto, curiosos por naturaleza. ¿Quién asegura a Google que no vamos a ser víctimas de phishing –por ejemplo- mediante algún correo que nos llegue, aunque sea a través de Gmail?
• Y lo que es más importante, ¿qué pasa si la base de datos de estas compañías en la nube es hackeada y las identidades, vendidas en el mercado negro…?
• Etc, etc, etc…

Sinceramente, me pareció una falta de sensatez y sentido común el emitir este tipo de información errónea a través de un documental internacional que seguramente se habrá emitido por numerosas cadenas de diferentes países. No sólo se desvirtúa la realidad y se transmite una falsa sensación de “aquí no pasa nada”, sino que parece ayudar a las cybermafias de los delincuentes que, cada vez más, siempre buscan nuevas víctimas que no sepan o no se preocupen por la seguridad para robarles.

La seguridad de los internautas mejorará cuando todos trabajemos en pro de la seguridad, no sólo haciendo los sistemas cada vez más seguros y desarrollando tecnologías más eficaces, sino concienciando y educando a los usuarios sobre buenas prácticas que les hagan cada vez menos vulnerables. Cualquier otra cosa, seguirá recordándome al timo de la estampita o al agente secreto de viñeta acercándose sigilosamente, abriendo la gabardina y diciéndome al oído: “Pssst, pssst, te vendo un submarino atómico de bolsillo”.

=================================================================================

Nuestro avance desde el punto de vista de la seguridad, nos permite ofrecerte el primer antivirus gratuito diseñado para protegerte desde la nube, Panda Cloud Antivirus.

Publicado por Ana Etxebarria, 5 de Mayo, 2010

Por mi trabajo me veo obligada a llevar mi BlackBerry conmigo todos los días del año, digamos que está encendida en modo 24*7*365. Pero, ¿en qué momento mi BB y yo pasamos a ser una única entidad?…

Recientemente, mientras pasaba unos días fuera de casa con mi familia, la BB pasó, sin avisar, a mejor vida. ¡Qué momento más trágico! No os imagináis la taquicardia y sudores fríos que me entraron ;-P.  Puse a todos mis amigos a intentar resucitarla, y mientras unos decían que lo mejor era resetearla, otros preferían que la tirara por el váter, otros que sacara la batería, pero todos ellos coincidían en que por un par de días sin BlackBerry no me iba a pasar nada. Incluso se atrevieron a decir algo tan ¡descabellado! como que intentara disfrutar de ese momento de paz. Pero, ¿qué paz? Si no podía hacer nada con ella… Ni leer el correo, ni recibir llamadas,  ni hacerlas, ni enviar sms, ni Twittear, ni cotillear en el FaceBook  ¿Paz?… Pero si solo me faltó hacerle el boca a boca…

Finalmente, no tuve más remedio que resignarme a mi nueva situación 1.0 y reconozco que, una vez pasado el síncope inicial, la experiencia no fue tan mala. Pero, la anécdota me llevó a pensar que era muy probable que me hubiera convertido en una CrackBerry, que eso que tantas veces hemos oído por la tele podía ser cierto, y que si contara las veces que a lo largo del día, miro a ver si tiene la lucecita roja encendida, superaría todos los límites recomendados por Sanidad.

No voy a dejar de vivir con ella, no puedo y no quiero, pero creo que ambas tenemos que llegar a un pacto mutuo, en el que cada una de nosotras tenga su espacio propio y un poquito de intimidad.

Si alguno de vosotros se ve reflejado, me encantaría recibir vuestros comentarios. También admito críticas, siempre y cuando sean constructivas.