Bitácora de Ciberseguridad

Lo sabemos, y lo sentimos. Te pedimos disculpas, pero en Agosto no hemos podido grabar el episodio regular que solemos publicar a principio de cada mes. Pero no lo lamentes. Aunque no ha sido ni por descanso ni por pereza, no vamos a dejarte sin tu ración de tarta de cumpleaños.

Hoy es 25 de Agosto de 2017 y hace exactamente un año publicábamos el episodio piloto de este podcast que nacía con la idea de concienciar sobre la seguridad de la información y la ciberseguridad.

Para celebrar este aniversario contamos con varios amigos que nos han enviado algunos audios y con una sorpresita final para que echéis unas risas a nuestra costa. Esperamos que lo disfrutéis.

Como siempre, esperamos que disfrutéis del episodio y nos dejéis vuestros comentarios y reseñas, ya sea en este mismo blog, en iTunes, en ivoox.

Para este episodio pedimos a toda la audiencia y amigos que nos enviasen un audio para celebrar el aniversario y para contarnos una ciberanécdota. Queremos dar mil gracias a todos los participantes y os pedimos que echéis un oído a sus respectivos podcasts. A continuación os dejamos sus cuentas de twitter y uno de sus podcasts (algunos son muy prolíficos como para mencionarlos todos).

• Pedro Sánchez, de Ya conoces las noticias
• Juan Febles, de Podcast Linux
• Flavia Bernárdez, de Potencia Pro
• Andreu Adrover, de Securizando
• Jean Bedel, y La Robore, de Invita la Casa
• José Luis Hurtado, de Esto con Jobs no pasaba
• Margot Martín, de El Recuento
• Rubén Pascual, de Ocularis
• Madrillano, de Applántida

También queremos darte las gracias a ti, oyente, que anónimo o conocida, nos escuchas y colaboras en tu círculo para hacer la vida analógica y digital de todo tu entorno más segura. Te agradecemos los comentarios, las reseñas, los emails, los tweets, los comentarios. Agradecemos tus críticas, propuestas y consejos.

Y agradecemos que estés siempre ahí, porque sin ti, estaríamos predicando en el desierto. Porque sin vuestro efecto multiplicador, nuestro mensaje de seguridad no llegaría a ningún lado. Por eso, os damos las gracias, porque todo es un poco más seguro cada vez que una persona más se conciencia de lo importante que es la seguridad.

La entrada «Primer Aniversario de Bitácora de Ciberseguridad» se publicó originalmente en AVpodcast.

Hablar de Fraude bancario en un podcast de ciberseguridad. ¿Tan importante es el dinero? Pues sí, no os vamos a descubrir nada que no dijese el ilustre Francisco de Quevedo:

Más valen en cualquier tierra
(Mirad si es harto sagaz)
Sus escudos en la paz
Que rodelas en la guerra.
Pues al natural destierra
Y hace propio al forastero,
Poderoso caballero
Es don Dinero.

La presentación de este episodio corre a cargo de Rubén Pascual, autor del podcast Proyecto Ocularis. El primer podcast de temática científica de esta red. Con el nombre del podcast, sobran las definiciones, pero por si acaso os contaremos que Rubén es oftalmólogo y el podcast trata sobre oftalmología, es decir, sobre la salud del sentido de la vista. Un podcast muy recomendable que acompaña al blog de igual nombre.

Hechas las presentaciones, vayamos al meollo del asunto: el fraude bancario. Aunque el título es algo específico, trataremos diversos aspectos relacionados con la ciberseguridad y la seguridad de la información que afectan a nuestros bolsillos, o mejor dicho a las cuentas que tenemos en el banco. También mencionaremos los típicos tipos de fraude a que se enfrentan las entidades bancarias y financieras.

Como siempre, esperamos que disfrutéis del episodio y nos dejéis vuestros comentarios y reseñas, ya sea en este mismo, blog, en iTunes o en ivoox.

• 00:00 – Inicio.
• 01:27 – Petya o NoPetya
• 18:33 – Error 503: Seguridad y Privacidad en Redes Sociales
• 1:05:07 – El consejo: Bloquear puertos USB
• 1:15:28 – Despedida, Proyecto Ocularis y JPOD15 en Alicante

En este episodio nos centramos en una única noticia: el Ransomware Petya, que al final resultó ser NoPetya. Contamos lo que sabemos de él, sus orígenes, su forma de actuar y lo comparamos con Wannacry. No sólo hablamos de las cuestiones técnicas, sino que tratamos también las estratégicas dado que cada vez parece más claro que se trata de una APT (Amenaza Persistente Avanzada) cuyo objetivo era Ukrania. Y decimos esto porque Ukrania ha sufrido el 75% de los casos de infección de NoPetya a nivel mundial.

Las claves de NoPetya, al igual que con Wannacry, son la dualidad Ransomware-Gusano. Pero en el caso de NoPetya parece que se trataba de una herramienta mucho mejor desarrollada y con un vector de ataque inicial bastante distinto.

Os dejamos más información y enlaces de interés en un artículo que escribimos en Proyecto Albedo al respecto de NoPetya.

Como comentábamos al principio, el dinero es lo que más nos duele. Trabajamos para ganarlo y lo necesitamos tanto para bienes y servicios de primera necesidad como para lujos y caprichos. Hoy en día, aunque siguen existiendo las monedas y los billetes, el dinero es electrónico. Se gestiona por los sistemas informáticos de banca y entidades financieras, públicas y privadas. Por eso la importancia de la ciberseguridad en un sector como el financiero, que ya en 2015 sufrió un incremento del 183% en los ataques mediante malware. Y hablamos sólo de las empresas financieras y banca, no de sus clientes.

Dividimos la sección en dos partes. La primera relativa al perfil del usuario, ya sea particular o empresa que puede verse engañado o estafado por cibercriminales que le vigilen o le quieran robar, tanto dinero como información.

Recordad que para teléfonos móviles con Android, os recomendamos usar CONAN. La aplicación de análisis de riesgo de vuestro teléfono. Es gratuita y ha sido desarrollada por el Instituto Nacional de Ciberseguridad (INCIBE).

En la segunda parte enumeramos los tipos clásiácos de fraude que se dan contra la industria financiera. Podéis ver la lista de estos tipos de fraude en la web de la Asociación contra el Fraude, a cuya presentación del informe sobre el fraude en 2016 asistió Raúl.

Durante el Error 503, hablamos de como ver los certificados de las web que visitamos. A continuación os dejamos un screener de Chrome sobre cómo verlos.

En el consejo de este episodio planteamos las ventajas de bloquear los puertos USB para evitar el uso de dispositivos de almacenamiento externos como discos duros o memorias USB.

Comentamos que los principales objetivos de este bloqueo sirven para reducir los riesgos a que se expone nuestro parque informático e información. Muy resumidamente: para impedir la ejecución de malware y para evitar el robo de información.

A continuación os dejamos un par de formas de hacerlo en computadoras con sistema operativo Windows.

Cuando trabajamos con equipos independientes, es decir, sin gestión centralizada, podemos bloquer los puertos USB desde el registro de Windows. Para ello deberemos trabajar desde una cuenta de usuario con privilegios de administrador y, por razones de seguridad y en cumplimiento de la Ley de Mínimos Privilegios, los usuarios operarán siempre con cuentas normales. De este modo los usuarios no podrán rehabilitar los puertos USB.

Si pulsamos la combinación de teclas Windows+R nos aparecerá un cuadro de diálogo. En el campo de texto escribimos regedit y pulsamos enter para acceder al editor del Registro de Windows.

Una vez ahí tenemos que buscar la siguiente ruta como si de carpetas de archivos se tratase:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUsbStor

Una vez localizada, si modificamos la clave Start asignándole el valor 4, deshabilitaremos los USB. Los restauraremos volviendo a asignar el valor 3. Así de fácil.

El método antes mencionado puede aplicarse también mediante directivas de grupo (GPO) si hacemos un script que modifique el registro de Windows y lo aplicamos desde el controlador de dominio. Pero veamos la otra forma de hacerlo aprovechando las herramientas propias de Active Directory.

Para ello, en el servidor (el controlador de dominio) accedemos al gestor de políticas de grupo, dentro de nuestro dominio buscamos el lanzador de directivas y creamos una con el nombre que deseemos, por ejemplo Gestionar hardware. Le damos click derecho para editar y en la nueva ventana seleccionamos la configuración de equipos, Sistema y Dispositivos externos o Removable Storage Access. A la derecha aparecerán las distintas políticas.

Podemos habilitar las directivas relativas a los dispositivos externos bloqueando permisos de lectura, escritura y ejecución. Así impedimos cualquier uso que se pueda dar a ese tipo de discos o memorias si se conectan a equipos de nuestra red.

• Charla en Hack&Beers PaaS – Phishing as a Service. Donde se comentan muchas técnicas que se pueden emplear para engañarnos con flasas webs, enlaces, URLs, etcétera.
• Debate sobre Fraude online en Palabra de Hacker.
• Del vídeo anterior, un extracto de Agelucho sobre Qué son los muleros bancarios y las consecuencias de esta estafa
• Proyecto Ocularis: podcast y blog sobre oftalmología en AVpodcast.

La entrada «Fraude bancario» se publicó originalmente en AVpodcast.

Niños, jóvenes y mayores y todo el rango que queráis por ahí en medio. El caso es que las redes sociales no saben de edad y todos las usamos en mayor o menor medida. Las redes sociales son una ventana al mundo y como toda ventana, permite ver en las dos direcciones. Es por esto que debemos tener mucho cuidado con la Privacidad en Redes Sociales, tema sobre el que debatimos en este episodio.

La presentación de este episodio viene dada por la maestra del diseño y el WordPress Flavia Bernardez, coautora al momento de grabar este episodio, junto con Miguel Ángel Terrón del podcast Potencia Pro. Un programa imprescindible para descubrir todos los trucos y recursos de WordPress de la mano de estos dos profesionales de la materia.

Nos centraremos bastante en la población más joven, pero la privacidad y la seguridad de nuestras cuentas en redes sociales es igual de importante sea cual sea nuestra edad. De hecho, nuestra propia privacidad influye incluso en la gente que nos rodea por lo que hacer pública información relativa a nosotros puede afectar a seres queridos, compañeros, clientes, etcétera. Ni que decir tiene que tanto seguridad como privacidad en redes sociales son 2 pilares para cualquier community manager.

Hemos centrado los detalles en Facebook y Twitter, pero no olvidéis repasar los ajustes de privacidad en LinkedIn, Instagram, Snapchat, Whatsapp, Telegram, Spotify, ivoox, Spreaker y cualquier red social o plataforma con prestaciones de red social.

Como siempre, esperamos que disfrutéis del episodio y nos dejéis vuestros comentarios y reseñas, ya sea en este mismo, blog, en iTunes o en ivoox.

• 00:00 – Inicio.
• 01:51 – Noticia: Extorsión a clínica y pacientes por fotografías e historiales médicos.
• 05:27 – Noticia: Keyloggers en máquinas de escribir.
• 13:53 – Noticia: Membership site de malware de TheShadowBrokers.
• 19:09 – Noticia: INCIBE forma a centros educativos para que no se hackeen los expedienes académicos.
• 24:01 – Bola extra: Leemos la oferta de servicios de un «jaquer» que un amigo recibió por email.
• 28:56 – Error 503: Seguridad y Privacidad en Redes Sociales
• 1:13:20 – Despedida, recomendaciones y saludos

• Hackers publican fotos privadas de una clínica de cirugía estética, visto en TheHackerNews. Relacionado con el episodio sobre Ransomware de Palabra de Hacker por los comentarios de Sergio de los Santos.
• «Keyloggers» en máquinas de escribir, visto en Xataka. También os puede interesar, sobre espionaje en la Guerra Fría, el audio de Zafarrancho Podcast: ¿Sueñan los espías con gatos eléctricos?
• TheShadowBrokers venden exploits por suscripción, visto en TheHackerNews. Este es el comunicado de TheShadowBrokers donde indicaban que lo harían y aquí sus guía de cómo suscribirse al servicio.
• «El Instituto de Ciberseguridad instruye a los colegios sobre cómo impedir el hackeo de las notas por los alumnos», visto en elconfidencialdigital.com.

Internet Segura 4 Kids es un portal web dependiente del Instituto Nacional de Ciberseguridad donde podemos encontrar gran cantidad de información para padres, tutores y educadores para aprender sobre lo que usan los más jóvenes y como mejorar sus configuraciones de seguridad y privacidad en redes sociales.

Para saber qué sabe nuestro navegador sobre nosotros y cómo puede decirle a otro servidor si estamos o no conectados a alguna red social, podéis usar el servicio: What every browser knows about you, que significa: Lo que todo navegador sabe sobre ti.

Políticas de privacidad de:

• Facebook
• Twitter
• LinkedIn
• No dejes de investigar las demás

Agradecimientos especiales a los podcasts Retromatica y República Web por recomendarnos a sus oyentes.

Aquí os dejamos también el tema musical My mom’s on Facebook (Mi mamá está en Facebook) para que echéis unas risas.

Pedro López Sanz nos escribió para invitar a los oyentes del podcast interesados, a participar en el curso de verano de la Universidad Complutense de Madrid «La ciberseguridad como eje de la transformación digital«. Se impartirá en San Lorenzo de El Escorial los días 10 y 11 de Julio.

Nada mejor que emplear las palabras del propio Pedro, director del curso, para conocer las circunstancias y perspectivas del mismo:

Este curso se hace eco de la creciente necesidad de contar con profesionales especializados en este campo. Algunas fuentes estiman que este sector demandará más de 800.000 empleos de aquí a 2025  y que estas responsabilidades deben incorporarse a la alta dirección de las organizaciones. Como podéis comprobar en el programa, contamos con un elenco de ponentes del máximo nivel, con reconocimiento internacional, y de ámbitos institucionales, empresariales y académicos.

Si os interesa inscribiros, aquí tenéis la información de matrícula.

La entrada «Privacidad en Redes Sociales» se publicó originalmente en AVpodcast.

El mundo está consternado con la masiva cantidad de incidentes relacionados con el ransomware WannaCry a nivel mundial. Hemos grabado este episodio el 14 de Mayo de 2017. A penas 48 horas después del que se desatase la crisis de ciberseguridad y, sobre todo, mediática. Esta vez no estamos solos Raúl y Sergio. Para disponer de buen criterio tenemos con nosotros a Andreu Adrover, del podcast Securizando y para que alguien nos controle y evite que nos vayamos por las ramas, contamos con Pedro, de Ya Conoces las Noticias.

Este no es un episodio habitual, ni por la forma ni por la fecha de publicación. Sólo vamos a hablar de este hecho específico, del que aún quedan decenas de miles de palabras por escribir ya que ni todo está resuelto ni se conoce la autoría del ataque. Así que tomaos esto como lo que es, una charla entre amigos que tratan de poner en común lo que saben sobre el tema y de responder a las dudas más comunes que hay sobre el mismo.

Esperamos que lo disfrutéis.

• Informe CCN-CERT sobre WannaCry
• Herramienta CCN-CERT NoMoreCry Tool
• El artículo del investigador que descubrió la DNS clave: How to Accidentally Stop a Global Cyber Attacks
• Alerta del CERTSI sobre WannaCry
• Boletín de seguridad de Microsoft sobre la vulnerabilidad MS17-010
• Guía de Microsoft respecto a ataques WannaCry

Como os comentábamos, Andreu Adrover (@aadrover) es uno de los contertulios de este episodio. Es ingeniero de telecomunicaciones y trabaja como responsable de redes en una gran empresa que, gracias al buen hacer suyo y de sus compañeros no se ha visto afectada por el problema del ransomware.

Andreu también tiene una faceta divulgativa para con la seguridad informática y de redes y la desarrolla excepcionalmente en el podcast Securizando, el cual os invitamos a escuchar. Se trata de un podcast más técnico que el nuestro, pero en el que Andreu explica los conceptos de forma muy clara para que cualquiera pueda entender los conceptos de los que habla.

Podéis visitar su blog en securizando.com, podéis seguirle en twitter como @securizando_ y podéis suscribiros a su podcast con el feed de su página de ivoox.

Pedro, @elojoqueves, que en el momento de grabar este episodio era director de AVpodcast. Conductor del programa Ya Conoces Las Noticias y colaborador en otros como Guiller y yo, Mecánica Pod, Go Talks, Cena para Tres y varios más que podéis encontrar en las redes AVpodcast y en SHplus.

Pedro tiene una gran capacidad como moderador y entrevistador y nos ha ayudado mucho a mantenernos encauzados durante la grabación de esta charla, porque si no hubiéramos acabado hablando de cualquier ramificación del tema durante horas.

La entrada «Ransomware WannaCry, con Securizando» se publicó originalmente en AVpodcast

Como no hay 10 sin 11, pues uno más a la cuenta y ya llevamos 11 episodios sin contar el piloto. Y encima seguís escuchándonos. No sabéis cuanto nos alegra saber que la seguridad de la información es tan importante para tanta gente. ¡Mil gracias! Esta vez os hablamos de seguridad en sanidad.

El presentador de ese episodio es Christian García, autor de AppsMac y Appsmac en 8 minutos. Un enamorado de la tecnología y el autor del libro Aprende y domina Workflow para iOS disponible en la iBooks Store.

Seguimos teniendo comentarios en ivoox, y nuevas reseñas en iTunes , que nos hacen muchísima ilusión. ¡Muchísmias gracias!

• 00:00 – Introducción y agradecimientos
• 02:27 – Noticias: Ballena Azul
• 10:49 – Noticias: Extorsión a Netflix
• 16:36 – Noticias: La agenda del Presidente
• 20:30 – Noticias: Botnet «benigna»
• 25:28 – Error 503: Pánico en el Hospital
• 1:09:24 – Consejo del día: PiVPN
• 1:11:22 – Despedida

• Ballena Azul: ¿Qué hay de cierto que hay de falso? ¿Hoax? ¿auténtico peligro?. En algunos sitios parece que si, en otros no. Leído en Microsiervos y en Ciudad con ley.
• Extorsión a Netflix: Roban 10 episodios de la última temporada de Orange is the new black y solicitan un rescate para no publicarlos antes del estreno oficial. Leído en The Hacker News.
• La agenda del Presidente: fotografían los papeles de Mariano Rajoy haciendo publica su agenda no oficial. Leído en La Vanguardia.
• Botnet «benigna»: Basándose en Mirai, desarrollan una botnet que parece dedicarse a cerrar vulnerabilidades en los equipos que ataca. The Hacker News.

El Error 503 de este episodio, titulado Pánico en el Hospital trata sobre la importancia de la información sanitaria y de la seguridad de toda la tecnología relacionada con dicha información y con los aparatos empleados para diagnóstico y tratamiento. No somos expertos en esta materia, pero como es un tema muy interesante y critico, hemos querido charlas sobre el para despertar conciencias. Se trata de una charla distendida en la que hablamos desde la consulta del dentista hasta potenciales asesinatos mediante hackeo de dispositivos médicos. Esperamos que lo disfrutéis y que sea de utilidad para concienciar a toda persona relacionada con este mundo, desde los pacientes hasta los profesionales sanitarios, farmacéuticos y de aseguradoras.

Como es un tema muy amplio y hemos consultado varias fuentes, os dejamos algunos enlaces interesantes en los que nos hemos basado:

• Ciberataques contra la atención médica y dispositivos implantables, de colaboratorio.net.
• Guidance for Industry and Food and Drug Administration Staff, de la FDA.
• MEDJACK: Hackers hijacking medical devices to create backdoors in hospital networks, de computerworld.com.
• Cybercrime and other threats faced by the heathcare industry, de TrendMicro.
• La seguridad en los hospitales españoles: tu salud y tus datos, ¿en peligro?, de eldiario.es.
• La ciberseguridad en hospitales deja que desear, de Revista Byte.
• Cyber security and resilience for Smart Hospitals, de ENISA.

Esta vez el consejo viene de la mano de Juan Febles, el compañero de Podcast Linux, que además es quien que nos pasó el tema de la seguridad en sanidad. Se trata de un script para simplificar al máximo la instalación de un servidor OpenVPN en una Raspberry Pi para poder conectarnos cuando naveguemos en redes inseguras y así cifrar nuestras comunicaciones entre nuestro equipo y la Raspberry, que instalaremos en casa o en la oficina y será coo si navegásemos desde esas redes.

Podéis ver toda la información en The PiVPN Project. Si lo probáis, contadnos qué tal.

La entrada «Pánico en el Hospital» se publicó originalmente en AVpodcast.

Así como quien no quiere la cosa, hemos llegado al 10º episodio de Bitácora de Ciberseguridad y resulta que nunca nos habíamos puesto a definir conceptos y palabras relacionadas con el malware, y los virus en general, así que esta vez la cosa va de lenguaje. Un poco de lexicología para que hablemos con propiedad o entendamos mejor lo que nos cuentan los profesionales.

Esta vez presenta el episodio el ínclito José Luis Hurtado, podcaster en Esto con Jobs no pasaba y otros proyectos de SHplus.

También dedicamos unas palabras de agradecimiento a todos los oyentes que nos han escrito por ivoox, que nos han dejado reseñas en iTunes o en los comentarios de la web.

El malware es todo aquel software cuyo objetivo no es beneficiar al usuario y que no instalamos por voluntad propia. Más bien es un atacante quien lo instala o quien convence con ingeniería social al usuario para que lo haga y, sea como fuere, podemos estar seguros de que no esconde ninguna buena intención.

Para entender lo que es el malware, conceptos relacionados y algunos tipos de malware trataremos términos como:

• Vulnerabilidad
• Exploit
• Rootkit
• Backdoor
• Malware
• Virus
• Gusano
• Troyano y Spyware
• Ransomware
• Adware
• Scareware

Esperamos que os resulte útil e interesante. No pretendemos ponernos técnicos sino dejar un poco más claro de qué va cada cosa.

• 00:00 – Introducción y agradecimientos
• 06:41 – Noticias: Double Agent
• 10:19 – Noticias: Privacidad de Internet desaparecida
• 13:17 – Noticias: Hackear SmarTVs por TDT
• 19:54 – Noticias: Soporte para Windows Vista descontinuado
• 20:23 – Error 503: Glosario de Malware
• 1:04:25 – Despedida

• Double Agent: Vulnerabilidad en windows y antivirus para infectar el kernel del sistema. En ComputerHoy y Betanews.com.
• Fin de la privacidad online en Estados Unidos. En Hipertextual.
• Ataque smartTV TDT. En ArsTechnica y adslzone.net.
• Fin de soporte para Windows Vista. En CCN-CERT.

La entrada «Glosario de Malware» se publicó originalmente en AVpodcast.

Bienvenidas, bienhallados seais al 9º episodio de Bitácora de Ciberseguridad. En esta ocasión tenemos el orgullo de hacer nuestra primera entrevista y el auténtico honor de que la invitada sea Yolanda Corral.

Yolanda es una periodista especializada en medios digitales, marca personal, redes sociales y con una gran pasión por la ciberseguridad. Conduce el canal de Youtube Palabra de Hacker donde, cada 15 días, debate con profesionales de ese mundo sobre un tema en concreto, ya sea técnico, legal, procedimental, educativo o desde cualquier otra perspectiva que pueda analizarse la seguridad de la información y personal en medios digitales.

Si queréis saber más sobre Yolanda, lo mejor que podéis hacer es visitar yolandacorral.com, donde encontraréis enlaces e información de todos los proyectos en los que participa, ya sea como creadora de los mismos o como colaboradora.

• Yolanda Corral:
  • Web: https://www.yolandacorral.com
  • Twitter: @yocomu
• Palabra de Hacker:
  • Youtube: https://www.youtube.com/c/Palabradehacker-ciberseguridad
  • Twitter: @palabradehacker
  • Facebook: https://www.facebook.com/Palabradehacker
• Acceso y enlaces a todos los demás proyectos desde la web de Yolanda

También hablamos de INCIBE y del proyecto de Cibercooperantes gestionado desde Internet Segura 4 Kids.

Como con Yolanda podríamos tirarnos hablando 15 horas y seguiríamos queriendo más, hemos decidido limitar el episodio a la entrevista, así que esta vez las secciones de Noticias, Ciberglosario y Consejo del día no están presentes.

Hemos tenido un problema de edición en este episodio que nos ha impedido borrar una llamada de la Robore que quedó grabada a fuego en el MP3. Esta entidad cibernética con conciencia propia se dio a conocer en el podcast Invita la Casa y es famosa por ser respondona y tocar mucho la moral a Hugo, Teresa y Julián. Resulta que, aprovechándose de nuestra buena fe, nos ha estado engañando para hacer la puñeta a nuestros amigos de Invita la Casa infiltrándose en las transmisiones de su programa. Esperamos que nos puedan perdonar y desde aquí les prometemos que les ayudaremos en lo que podamos.

• 00:00 – Introducción
• 01:07 – Entrevista
• 1:50:20 – Llamada de La Robore
• 1:52:30 – Despedida

La entrada «Entrevista a Yolanda Corral» se publicó originalmente en AVpodcast.

Pues ya estamos en Febrero y es hora de volver a las andadas, a los episodios tradicionales de Bitácora de seguridad con Noticias, Ciberglosario, Error 503 y… ah, no, consejo no. O si. En realidad la sección Error 503 de este programa es toda una serie de pequeños consejos sobre cómo asegurar tu router.

Se supone que es algo trivial, pero no está de más recordarlo, así que para todos aquellos que tengáis en la oficina, en vuestra casa o en la de vuestro cuñado, un router con la configuración por defecto del operador, estad atentos a la sección Error 503 de hoy.

• 00:00 – Introducción
• 10:50 – Noticias.log
• 11:01 – Noticia 1 – El smartphone de Donald Trump
• 16:55 – Noticia 2 – Los adjuntos prohibidos en Gmail
• 23:40 – Noticia 3 – Recolección de datos por parte de operadores telefónicos
• 32:07 – Noticia 4 – Software espía en macOS
• 34:50 – Ciberglosario: Elementos de red
• 36:40 – Error 503 – Asegurando el router, primeros pasos
• 1:18:03 – Despedida

• El smartphone desactualizado de Donald Trump
• Los adjuntos prohibidos en Gmail
• La AEPD permite a Telefónica recolectar información de localización de teléfonos móviles.
• Software espía en macOS oculto durante años

Aún no habíamos definido términos como los de hoy, pero son palabras y siglas que debemos conocer si de verdad nos preocupa la seguridad de nuestra infraestructura de comunicaciones telemáticas. Por lo menos deben ser términos familiares, así que, muy por encima, definiremos:

• IP
• Router
• Firewall
• IDS
• IPS

El router es el elemento de red más común en cualquier oficina y hogar. Es el aparato que separa y a la vez conecta, la red de área local (LAN) con una red más amplia, normalmente Internet (WAN). Este dispositivo nos lo suele instalar un operador de una compañía telefónica y suele quedarse así, como el técnico lo dejó, durante años y eso es un grabe error tanto para la seguridad personal si estamos en casa, como para la de la empresa si se trata de un lugar de trabajo.

Los puntos clave que trataremos son:

• Cambio de contraseña del router.
• Tecnologíaí WPS
• Elección de cifrado de comunicaciones para redes WiFi
• Nombre de redes WiFi
• Contraseñas de redes WiFi
• Ocultación del nombre de red
• Filtrado de dispositivos por dirección MAC

En futuros episodios volveremos sobre el tema de la seguridad en la red y continuaremos ampliando información sobre los routers y otros dispositivos muy interesantes para la seguridad.

Podéis acceder al Terminal o, como se le llama en Windows, a la Línea de Comandos o Símbolo del Sistema buscando «Símbolo del Sistema» en las aplicaciones del menú de Inicio de Windows o seleccionando la opción «Ejecutar» de ese menú e indicando cmd en el formulario que nos solicita la aplicación a ejecutar.

Una vez abierta la ventana, basta escibir ipconfig y pulsar Enter en nuestro teclado para que muestre la configuración IP de todas las interfaces de red de nuestro ordenador. En el ejemplo se muestran 3, aunque sólo la tercera está activa y como vemos tiene direcciones IP versión 4 y versión 6. Las tradicionales son las v4 y a las que nos referimos en el audio, pero no dejarán de aparecer cada día más v6.

Para abrir el terminal en macOS podéis ir a Aplicaciones y, dentro de la carpeta Utilidades, encontraréis la aplicación Terminal. Para abrirla, haced doble click. También podéis buscar Terminal en Spotlight

Si ejecutáis el comando ifconfic, como en windows, mostrará varias interfaces de red, buscad la que esté conectada, la dirección IP aparecerá al lado de la palabra «inet».

Si ejecutáis el comando netstat -rt y esperáis un poquito, aparecerá una lista (si el comando no para por sí mismo, pulsad las teclas Ctrl+C). En la captura de pantalla podéis ver la IP de la pasarela (normalmente equivalente a la del router en nuestra LAN) en la intersección de la columna Gateway y la fila default.

Prácticamente igual que en macOS y si tenéis alguna duda, además de preguntarnos, podéis escuchar a Juan Febles en Podcast Linux 

La entrada «Asegurando el router, primeros pasos» se publicó originalmente en AVpodcast.

Se acabó 2016 y ya estamos con otros 12 meses por delante que nos van a traer alegrías y disgustos. Pero si somos precavidos, al menos nos quitaremos algunas desgracias con la seguridad de la información.

¡Feliz 2017!

Este episodio, el 7, lo grabamos el 28 de Diciembre de 2016 y, aunque no lo parezca, viene limpio de bromas y falsas noticias. Todas las noticias que en el comentamos han sido publicadas a lo largo del este peculiar 2016. Son sólo algunos Hacks de 2016 más interesantes.

Además de todas las noticias y nuestra charla al respecto, no podías olvidar la sección imprescindible, el consejo. Esta vez hablamos de la aplicación Conan Mobile, que INCIBE y OSI ponen a disposición de todos los usuarios de Android de forma gratuita para evaluar, desde el punto de vista de la seguridad, la calidad de la configuración y estado de nuestro smartphone.

Os cuento una cosa. Le hemos puesto un poco de musiquilla de fondo, para que no sean sólo nuestras aterciopeladas voces las que escuchéis. Ya nos contaréis que tal el experimento.

• 00:00 – Introducción
• 01:10 – Los Hacks de 2016
• 1:02:33 – El consejo del día: La app CONAN
• 1:16:46 – Despedida

• Sobre la brecha en la campaña de Trump (inglés)
• Rusia acusada de hackear al Partido Demócrata durante la campaña presidencial de EEUU
• Los peores hacks de 2016 (inglés) (fuente de este episodio)
• Hackeo a Adult Friend Finder
• Lista de directivos hackeados (inglés) (fuente de este episodio)
• Botnet Mirai por Securizando: En el podcast Securizando hablan con más profundidad de la botnet Mirai en un capítulo muy bien desarrollado
• Más artículos de brechas de seguridad de 2016 (inglés)
• Sobre el robo de cuentas de Weebly (inglés)
• Servicio Anti-Ransomware de INCIBE

La entrada «Hacks de 2016» se publicó originalmente en AVpodcast.

La vida no nos deja ni un respiro, pero hacemos el esfuerzo y un mes más estamos aquí, esta vez en compañía, más bien, en la casa de El Cronovisor, de Óscar Blázquez.

La entrevista que hicieron a Raúl en Plus Radio la enmarcamos en la scción Error503. En ella, Óscar y Raúl charlan distendidamente sobre temas de redes sociales, seguridad básica y sobre todo, sobre la necesidad de actuar con consciencia.

• 00:00 – Introducción
• 01:10 – Noticias.log
• 01:21 – Noticia 1 – European Cyber Security Challenge 2016
• 03:03 – Noticia 2 – Agendas de contactos de Android en peligro
• 07:46 – Noticia 3 – Spam en Calendario de iCloud
• 09:21 – Noticia 4 – Cajeros de bancos hackeados escupiendo dinero
• 18:25 – Error 503 – Raúl en El Cronovisor
• 1:21:12 – El consejo del día – Tarjetas de contraseñas
• 1:29:30 – Despedida

Como de costumbre, os dejamos aquí enlaces a las noticias comentadas en el episodio:

• El equipo español gana el European Cyber Security Challenge 2016:
  • Web oficial: European Cyber Security Challenge
  • Reseña en cibercamp.es
• Tu agenda en peligro con CM Security, Truecaller y Sync.me para Android, de elandroidelibre.com
• Spam en invitaciones de Calendario de iCloud
  • Por qué ocurre el spam en Calendario y qué lecciones tienes que aprender de faq-mac.com
  • Apple está investigando el spam en Calendarios y busca una solución de faq-mac.com
• Cajeros que escupen dinero por hackeos en el banco:
  • Informe Cobalt publicado por Group IB
  • Explicación muy clarita sobre el tema de Silvia Barrera en tecnoxplora.com.
  • Un grupo de ‘hackers’ ataca cajeros para que expulsen billetes de forma remota, en El País

Para que no digáis que no os damos opciones para que tengáis contraseñas buenas y de calidad. Gracias a Roberto Ruisánchez por la idea.

• Tarjetas QWERTY: https://www.qwertycards.com
• Password Card: https://www.passwordcard.org/es
• Generador editable de tarjetas de contraseñas: http://www.averk.net/passgen.html
• Proyecto de Ignacio Lago para generar tarjetas de contraseñas: https://ignlg.github.io/passwordcard/

• Lista de vídeos de CiberCamp2016 en Youtube.
• El Cronovisor en iVoox.
• La web de Plus Radio. También en Twitter.
• Ángel Pablo Avilés, Angelucho, ganador del premio One en la categoría Héroe en la sombra.

La entrada «Raúl en El Cronovisor» se publicó originalmente en AVpodcast.