Formación y certificaciones en seguridad digital

Algo importante cuando se quiere trabajar en seguridad de la información es tener la mayor cantidad de conocimientos previos sobre seguridad posibles. En realidad, tenerlos no es obligatorio, muchas empresas contratan personas que recientemente han acabado sus estudios universitarios con muy pocos, incluso nulos conocimientos sobre seguridad, pero siempre es deseable conocer algo de la materia. Son estas mismas empresas las que se encargan de formar a estas personas una vez se demuestra que se tienen aptitudes y ganas de trabajar en este campo. Pero casi siempre es un punto de partida más interesante contratar a una persona que tenga conocimientos previos.

Muchas son las personas que se interesan por este campo de las tecnologías de la información, tiene cierto atractivo trabajar en seguridad. Hace años que el mundo de la seguridad de la información se ha desvinculado de la palabra "hacker" (esta sí que tienen atractivo y si no que se lo digan a Hollywood), pero aún a día de hoy, no se puede negar que trabajar en el ámbito de la seguridad de la información tiene encanto para muchas personas.

En el departamento de formación de S21sec recibimos al año muchas solicitudes de información referentes a la formación especializada en seguridad digital como la siguiente:

"Hola me llamo Javier, soy ingeniero/técnico en informática y desearía orientar mi carrera profesional hacia el mundo de la seguridad. Me gustaría saber si con el curso Network Security Administrator se obtiene alguna titulación al terminar dicha formación. Gracias"

Y ante esto, nosotros nos preguntamos ¿qué es lo que busca la gente que quiere trabajar en seguridad de la información?

En muchos casos nos llegan emails con preguntas como estas. Personas con titulación que tienen ganas de aprender, pero quieren saber si "tal o cual" curso les otorgará un título de reconocido prestigio.

Varias son las certificaciones de reconocido prestigio. Estoy seguro que si preguntamos a los lectores de este blog por las más importantes del sector el 90% coincidirá en los mismos nombres. Pero ¿son estas certificiaciones un fiel reflejo de los conocimientos en materia de seguridad de la información de un profesional? En muchos casos, la realidad es que para obtener algunas de estas certificaciones, lo que ha de hacerse es preparase para superar el examen, lo cual no garantiza realmente que se tengan conocimientos teórico - prácticos de las materias que estas certificaciones abarcan.

En S21sec university trabajamos en ambas líneas, cursos que otorguen conocimientos teórico - prácticos, mucho mas prácticos que teóricos por cierto, pero que además tengan el mayor reconocimiento posible.

José Alemán

S21sec university

Visitar este sitio puede dañar tu equipo

Es común el desconcierto de muchos usuarios cuando al entrar en una página web les aparece un aviso similar a este:

pero el desconcierto se convierte en pánico cuando esto ocurre en tu dominio y no puedes acceder a él. Primero aclarar que estos avisos pueden aparecer en tu navegador Google chrome a través del mensaje: "Advertencia: Visitar este sitio puede dañar tu equipo" o en firefox con: "¡Este sitio es una web atacante!". Ambos navegadores usan la misma fuente de datos a través de la organización sin ánimo de lucro StopBadware, originada en la Universidad de Harvard.

¿Qué hacer en estos casos?. Lo primero que no cunda el pánico, bueno sí, pero de manera controlada, algo de estrés siempre es bueno para trabajar. Vayamos por pasos:

1. Comprobar con otros servicios; aunque estos avisos de google son muy fiables, nunca está de más comprobar el presunto sitio malicioso con cualquiera de estas herramientas de análisis de urls maliciosas, algunas podrán mostrar datos con más detalle para analizar posteriormente.


2. Interpretar los datos: con todo lo que tenemos ahora ya debiéramos poder realizar un primer diagnóstico, en el caso de la imagen, vemos que el dominio legítimo contenía a otro que no lo era tanto, este último contaba en su historial con: Malicious software includes 46 exploit(s), 10 scripting exploit(s) entre otras acciones similares.


3. Saber cuando ocurrio: En este caso concreto la información que Google nos proporciona es: "The last time Google visited this site was on 2010-08-10, and the last time suspicious content was found on this site was on 2010-08-10." Con este dato podremos correlar los logs para buscar el patrón del ataque. Hay que tener en cuenta que Google no escanea los sitios a diario, y puede que ya no quede rastro del código malicioso que hizo saltar este aviso pero todavía siga apareciendo como sitio dañino. [ver punto 8]


4. ¿Por qué ocurrio?: Si todavía no sabes porque Google cree que tu sitio es malicioso, es hora de revisar detalles de los servicios comentados en el punto 1, cruzar los dedos y tener suerte de encontrar algún rastro. Si te gusta la marcha siempre podrás revisar el código a pelo. Es posible el caso de que todo se haya limpiado ya (en caso de dominios no gestionados por nosotros) y no seamos capaces de saber exactamente que contenía ni porque saltó el aviso.


5. Limpiar nuestro sitio: Una vez que sepamos cual era la fuente del problema tendremos que eliminar el código malicioso; generalmente iframes ocultos o javascript ofuscado formando parte de lo que se denomina ataques drive-by download. Ejemplo de uno de ellos. Para ello tendremos que tener conocimiento de cuales son las partes legítimas del sitio web y cuales no, de nuevo aquí, nos ayudaran herramientas del punto 1.


6. Investigar las causas del origen: A parte del punto anterior, es posible que no lleguemos a saber a ciencia cierta todo lo que hicieron en nuestro sitio web, por lo que lo más recomendable, es realizar una revisión en nuestro servidor web en busca de archivos sospechosos, ocultos y registros extraños en BBDD, y como no, revisar los logs. Las causas más comunes de este tipo de casos según nuestra experiencia son SQL injections, redirecciones en el archivo .htaccess o aprovechamiento de vulnerabilidades conocidas en diferentes CMSs. Puede darse en ocasiones qué no seamos capaces de conocer las verdaderas causas, en algunos casos ni los propios servicios de alojamiento pueden descubrir que ocurrió.


7. Prevenir la reinfección: Una vez que hemos limpiado el código malicioso de nuestro sitio y hayamos encontrado o no las causas de ello, será hora de cambiar todas las contraseñas y realizar actualizaciones en el software para que este libre de bugs conocidos que pudieran haberse aprovechado para modificar nuestro sitio. Si el origen fue a través de SQL injections, enseña la guía de desarrollo seguro owasp a quién implementó el sitio web. Otra medida muy aconsejable es revisar todos los scripts de terceras partes que tengamos como banners, anuncios y cualquier cosa similar que no dependa directamente de nosotros. Otro punto aconsejable y completamente independiente de tu sitio web es, cerciorarte de que tu equipo con el que accedes a la web está libre de virus. Aunque los troyanos bancarios tienen como principal objetivo recopilar datos bancarios, también lo hacen de múltiples sitios sociales y aplicaciones de todo tipo.
   


8. Solicitar a Google una nueva revisión: Si después de haber seguido todos estos pasos, nuestro sitio sigue siendo reportado como dañino, deberemos solicitar una nueva revisión del sitio a través de las herramientas de webmaster de google. Si no lo hacemos así, puede que pasen hasta semanas con nuestro sitio en las listas negras de google. Pero si confirmamos que somos los dueños del dominio y todo está limpio, nos podrán sacar de la lista negra en 24H.

Casos como este ocurren a diario sin que los propietarios de los sitios web sean conscientes de ello hasta que ya es demasiado tarde. El resultado es que el sitio web comprometido se incluye en listas negras y el usuario lo percibe a través de su navegador con avisos como el de este caso siendo las principales repercusiones:

• Incapacidad de acceder al sitio web.
  
• Pérdida de confianza de los usuarios/visitantes del sitio web y mala imagen de marca.
• Penalización de los buscadores y consiguiente descenso del sitio en los SERPs.

Esperemos que la próxima vez que te encuentres con un caso de estos sepas como actuar para frenar el badware.

EXTRA: Ejemplo de dominio preocupado por su entrada en la lista negra de google y seguimiento de su actuación.

Emilio Casbas
S21sec e-crime