domingo, 16 de junio de 2019

MI OPINIÓN SOBRE LA CIBER-RESERVA: De pequeño me peleaba con jinchos...

Estimados amigos de Inseguros !!!

Como viene siendo habitual en mi vida, y en la redes sociales, soy un bocachancla y cosas que otros piensan, más o menos, yo lo suelto, y me caliento. Es por ello que inicio este post, para explicar mi postura sobre el tema de la ciber-reserva.

Como es normal, todas nuestras opinione se basan en ese conjunto de cosas que nos han pasado, que nos hacen ser como somos. Por esto mismo, voy a empezar mi opinión contando cosas que tienen que ver, y muy mucho, en como soy y como pienso, y sobre todo, relacionado con la ciber-reserva.


Nací y crecí en un barrio humilde de Murcia, con 507 viviendas sociales, de jinchos y gitanos, y algunas personas decentes, no la mayoría. Drogas, motos, coches robados etc.

De pequeño me tuve que pelear porque no me robaran la BMX, una California Pro 2, al menos 10 veces que yo recuerde. Bueno, también era por el casio, por el balón, por cualquier cosa. No usaba a la policía, no había !!!

Un poco más mayor, corría delante de la policía porque no me dejaban patinar en los parques y jardines. Hoy parece una tontería, pero en mi época te quitaban el monopatín.

Un poco más mayor, recuerdo que me robaron la moto de 50cc. Puse una denuncia, y la encontré YO. Me pasé 3 días por los peores barrios de Murcia y la encontré. Cuando lo hice, llamé a la policía, y aún así, me pusieron problemas, porque me decían: esta moto está denunciada... si no tiene usted papeles... Cosas raras.

Con la mayoría de edad me hice INSUMISO, porque no creía en el ejercito militar, y por supuesto, mucho menos en tener que hacer "algo" para substituir la mili. Si es no es NO. El tiempo me dió la razón: Pasó de ser obligatoria...

No tengo padre policía, ni primo militar, ni abuelo guardia civil, es más, como puedes imaginar, me crié pensando en que todo esto nunca me sirvió mucho en lo personal. Tampoco hace unos años cuando robaron en casa de mis padres. 

Bueno al grano, vamos con la ciber-reserva...

El mundo ha cambiado, las guerras no son con ballestas como en la 1ª Guerra Mundial y las trincheras. Tampoco va a ser como en la 2ª Guerra Mundial, con combates de cazas, barcos y submarinos y los N documentales del dia D en Normandía. Esto ha cambiado.

La 3ª Guerra Mundial, como concepto, porque realmente ya estamos en guerra constante en el ciberespacio, se desarrollará en los despachos, en los sistemas informáticos. Es mucho más barato paralizar un ejército con un APT de 500.000 $ que con un f16, que cuesta 16 millones de euros, más el mantenimiento, armas, piloto, etc... y no tenemos ni uno ni dos.


El ejército , que emplea la cantidad de 15.000 millones de euros en presupuesto al año para una tropa de 150.000 personas, reconoce el ciberespacio como un escenario de confrontación. 

Dicho esto, tenemos tierra, aire, mar y ciberespacio. 

Yo ahora me pregunto, si tenemos unos 70 eurofighters de 88 millones de euros cada uno , un puñao de F18 y unas cuantas aeronaves más. En el tema marino igual, tenemos incluso un porta-aviones, estamos en esos 10 países del mundo que tenemos uno !!!

Tenemos esas capacidades en ciber-seguridad? Me refiero a HACKERS, expertos en comunicaciones, criptografía, reversing, hacking, defensa. 


Países como China, Rusia, por supuesto EEUU tienen divisiones enteras de estos profesionales, en plantilla.


Documentos como el del think tank THIBER,  revela estrategias de países como Francia,... en el que invertirán 1.600 millones de euros en ciberseguridad en los próximos años. Al igual que UK y otros países. En el caso de Francia, además, desarrollan un supuesto programa de ciber reserva mixto, pero nosotros tenemos que copiarlo todo, no solo esto... Sino los 1.600 millones de inversión.

Tener unos 3.000 profesionales en nómina, y tener algunos expertos externos me parece correcto, pero no tener un ejército ciber gratis* de 2.500 patriotas.

Ahora empieza la parte delicada, la subjetiva, la política. Hasta aquí está claro que necesitamos cambiar el modelo de FFCCSSEE y sobre todo el ejercito. necesitamos equiparar el gasto en ciber,que en aviones y naves marinas. En ciber armas igual o más que en cetmes y pistolas.

Si alguien quiere ser voluntario de algo, que lo sea !!! bien sea en un ambulancia los fines de semana, en un despacho de alimentos los L, X y V por la tarde, o limpiando bosques en su pueblo. Eso está muy bien, pero el trabajo, TRABAJO, lo hacen profesionales cualificados y pagados. Yo si vienen los alienígenas a destruir el planeta o practicar colonoscopias a diestro y siniestro, me presentaré voluntario, pero mientras, tengo que trabajar !!!

Ser un profesional de la ciberseguridad me cuesta MUCHO, mucho dinero en formación, tiempo, esfuerzo, encontrar un trabajo, desarrollarlo, crecer, y así día tras día. Yo me pregunto si para entrar al ejercito hay que hacer 30 dominadas y correr 20 km , y si esto es así para la gente que lleva 20 años también, porque si no es así, no lo entiendo...A mi me EXIGEN renovación constante. Bueno, esta crítica es algo hacía los funcionarios en general, el que no les obliguen a renovarse, pero bueno..., sigo.

El ejército de España tiene que tener sus programas de formación internos como tiene ahora con los pilotos. Una carrera EXCLUSIVA para ciber seguridad. Si no tienen formadores internos, que empiecen con contratos privados, pero con el fin de tener su propia estructura. 

Militares de carrera, no que hagan dominadas, sino que sepan hacer exploits y descubrir 0 days. Lo mismo para policía y Guardia Civil.

Esto no es una queja contra estas instituciones, todo lo contrario, aunque parto de un punto de vista "rebelde" reconozco que son necesarias, y conozco muy buenos profesionales en todos los cuerpos, que se forman y luchan dia a dia por una España mejor y más segura, como yo y seguramente tu... pero desde el ámbito público, Y todos cobran !!!!

Hay Médicos que podrían estar en quirófanos privados ganando millones, y son militares. Ahí es donde apelo al sentido patriótico, el que quiera, que haga su oposición y entre a ser funcionario. 

Yo no soy funcionario, trabajo en la privada, como autónomo encima !!! no tengo paro, baja, vacaciones. Pago MUCHOs impuestos por y para España, y aún así, se espera de mí que sea más patriota aún y me haga ciber-reservista? A los chavales que cobran 1500 euros y pagan 800 de hipoteca también los animamos a eso? el que quiera servir al país que lo haga, pero el gobierno tiene que crear una estructura propia, pagada, de profesionales.

Ahora me voy a poner en el otro caso, en el del ciudadano de a pie que paga MUCHOS impuestos, y que me secuestran el PC con un Ransomware y voy a la guardia civil a que me ayude... o soy una empresa y les llamo porque me han robado con el timo del CEO y necesito un forense. Vendrán? si no dan a basto !!!! tienen más casos que manos !!! Ahora soy yo el que pide !! el que demanda  ese servicio !!! la solución es la ciber reserva?

Tengo un amigo militar de carrera, que podría estar forrado en la privada, y está forrado en la pública... bueno. Está deseando que lo lleven de misiones, porque regresa de 6 meses con un buen botín de guerra. Y yo le he preguntado muchas veces, a qué se dedica normalmente?

El trabajo de los militares, a parte de mantener la propia infraestructura, enseñar, practicar, aprender, prepararse para la guerra !!!! Pero para la ciber? debería ser así no?  IGUAL. Mandamos a los 150.000 militares a casa como reservistas, nos ahorramos una millonada, y cuando haga falta los llamamos por un sueldo, y ellos mientras que trabajen donde puedan !!! No tiene sentido.

Al final, el concepto es claro: TRABAJO= SUELDO. y un trabajo, y más como la ciber, necesita de dedicación TOTAL.

Hay empresas que regulan el know how de sus empleados con serios contratos de NDA, y queréis pagarles unos meses y aprovecharse de ellos? del empleado y su conocimiento de empresa?

Vais a dar las claves de la criptografía a un civil de la reserva que luego va a ir a la privada? No tiene sentido.

Y vuelvo a lo del principio, quien quiera hacer esto por España, que lo haga !!! pero España y yo como español, demando un ejercito y FFCCSSEE preparadas para la seguridad que me atañe, y la ciber es MUY importante, sino la que más.

Un abrazo muy fuerte y muchos ánimos a los compañeros que están en las instituciones públicas, infra-pagados. Esta lucha en la gran mayoría es por ellos, yo con no ser ciber-reservista basta, pero me indigna por ellos, porque la solución esta en ellos, en mejor formación y más dinero.

Respecto a que yo haya llamado Personajillo a un personajillo? pues es que el nos llama "lobby" y el otro nos llama Freeks...el respeto se gana, no se viste.

Un saludo equipo, qué opinais ?

sábado, 8 de junio de 2019

Azure Sentinel: Nuestro SIEM en Azure de MS y convertir reglas SIGMA a Sentinel

Estimados amigos de Inseguros !!!

En el capítulo de hoy, vamos a comentar algunas opciones o trabajos sencillos con Azure Sentinel, el nuevo servicio SIEM de Microsoft para la nube. Aún en fase de pruebas, gratuito, pero muy consolidado.


Como le digo a mis amigos últimamente, y como dice el CEO de Microsoft en algunas declaraciones, MS ha pasado de ser una compañía a la que tenías que comprar sus productos( por ejemplo, para usar Word) a una compañía a la que quieres comprarle productos. Eso del viejo, estancado, abusivo, privativo modelo Microsoft que muchos han detestado, se ha ido, se ha esfumado.

Desde plataformas Github gratuitas, pasando por Hyper-v gratuito ( en modo consola) hasta mil y unas funciones de alto interés, como por ejemplo la revolución que ha sido O365 para el mundo empresa.

Bueno, vamos al lío, SIEM, Gestor de eventos de seguridad de la información. Recolector de logs, con capacidades de correlación, identificar comportamientos en base a relaciones entre distintas fuentes de datos. Esto es de primero de SIEM, y seguro que habéis leído algo por aquí o por allá al respecto.

Una de las cosas que me ha gustado mucho es la capacidad de respuesta y orquestación que promete la suite, el famoso SOAR.

Hay que dar dos pasitos para configurar Sentinel, tan sencillos que con 1 minuto de esta lectura ya puedes tenerlo en marcha.

Uno de los pasos que se suelen repetir en todo siem son los data source, conectar las fuentes de datos que van a nutrir a nuestro SIEM de información, de ricos y jugosos logs.

De momento nos vamos a ceñir en las opciones por defecto que tenemos, aunque ahora más adelante haremos cositas chulas. Estos son algunos de los Data Sources disponibles a click:



Uno de los aspectos que hace muy sencillo el despliegue en entornos complejos es la capacidad de instalar una pasarela local para un entorno sin acceso a internet. Imagina una delegación con 5 equipos sin conectividad a internet, sin proxy ni nada, una fabrica de trabajo !!! y una vlan hacía el entorno de red de la empresa, donde si hay salida a internet... Click click click y nos bajamos una pasarela que nos hará de intermediario entre los logs y Azure. Tan sencillo como esto: https://docs.microsoft.com/es-es/azure/azure-monitor/platform/gateway

Una de las cosas que me ha llamado la atención es que tiene un agente para equipos Linux on premise, y que este hace uso del paquete Auditd, lo que viene siendo el sysmon de Windows para linux... pero seguro que tu ya usas auditd verdad...

Para instalarlo nos bajamos el instalador. Realmente es el mismo paquete de OMS para logs analytics, ya que es la base del control de logs. Sentinel solo implementa por encima la capa de seguridad.

Bueno, seguimos haciendo unos clicks para configurar el datasource más simple, los logs de las máquinas Windows.


Tenemos varias opciones generales a la hora de conectar fuentes de datos, pero la más normal es usar el un agente que normalice los datos en formato CEF y transporte UDP syslog hacia azure. En caso de grandes ingestas de datos se usará TCP, por eso del control ...


Después de conectar alguna máquina, empiezo a tener eventos relacionados con seguridad.


Lo interesante del siem es que no viene con un dashboard y unas cuantas alertas o reglas configuradas, pero podemos crear la que queremos, al más puro estilo asistente. Eso sí, de momento, son pocos los campos que nos permiten controlar, apenas 3, pero con el tiempo se ampliarán.


Al igual que en otros SIEM como splunk, no solo tenemos alertas sino que podemos realizar consultas puntuales, asociarlas como ellos llaman Hunting xDD. Estas consultas son bastante interesantes y como muestra de ellas, la página en github con las querys disponible: https://github.com/Azure/Azure-Sentinel/tree/master/Detections/SecurityEvent 


Tiene muchas posibilidades, pero vamos a aportar algo más de valor al post. Vamos a generar una alerta personalizada.

Imagino que todos conocéis las SIGMA RULES, un trabajo INCREIBLE del señor NEO23x0. Consiste en un lenguaje de definición de marcas, yaml, para definir reglas de detección en formato genérico, y luego poder convertirlas al formato concreto del SIEM que uses. UNA PASADA !!!

Pués vamos a usar la herramienta que usamos para otros propósitos, pero esta vez para crear nuestra primera alerta en SENTINEL. Voy a usar una regla sencilla para detectar el acceso a un admin share o lo que es lo mismo, a un c$. Esta es la regla en formato SIGMA. 

https://github.com/Neo23x0/sigma/blob/master/rules/windows/builtin/win_admin_share_access.yml

Si usamos la herramienta del proyecto, podemos convertirla en muchos formatos, por ejemplo, de splunk:

(EventID="5140" ShareName="Admin$") NOT (SubjectUserName="*$")

o ELK:

[
  {
    "_id": "Access-to-ADMIN$-Share",
    "_type": "search",
    "_source": {
      "title": "Sigma: Access to ADMIN$ Share",
      "description": "Detects access to $ADMIN share",
      "hits": 0,
      "columns": [],
      "sort": [
        "@timestamp",
        "desc"
      ],
      "version": 1,
      "kibanaSavedObjectMeta": {
        "searchSourceJSON": "{\"index\": \"*\", \"filter\": [], \"highlight\": {\"pre_tags\": [\"@kibana-highlighted-field@\"], \"post_tags\": [\"@/kibana-highlighted-field@\"], \"fields\": {\"*\": {}}, \"require_field_match\": false, \"fragment_size\": 2147483647}, \"query\": {\"query_string\": {\"query\": \"(EventID:\\\"5140\\\" AND ShareName:\\\"Admin$\\\") AND NOT (SubjectUserName:\\\"*$\\\")\", \"analyze_wildcard\": true}}}"
      }
    }
  }
]

Pero mejor hacerlo en formato SENTINEL.


Ahora nos vamos y creamos una alerta xD.


Nos permite hacer el mapeo de campos a mano, y una cosa muy chula, establecer la táctica al estilo MITRE !!! bieeeennnnn

Recuerda que si quieres poder ver este evento en concreto, deberás auditar el acceso a objetos en una GPO...

Otra de las funciones que me parece muy interesantes es la creación de un caso, opción que se habilita cuando tenemos configurada una alerta a nivel de Analytics. Es importante haber mapeado alguno de los campos principales para poder investigar el caso.


De momento solo podemos asignarlo a un usuario y agrupar los registros, ver el estado, pero próximamente nos prometen más información que pinta muy bien.


Como decíamos, SENTINEL tiene capacidades SOAR, mediante LOGIC APP de Azure, lo que podríamos denominar una especie de Webhooks o automatismos, en los que elegimos desencadenadores y se realizan acciones. Lo básico de la orquestación.

Podemos usar plantillas por defecto o crear una. Las por defecto de enganchar con Teams no está nada mal, ver en tu chat del SOC la alerta...



Al final, pudiendo elegir extraer un dato y conectaros a una API, tenemos todo un mundo de integraciones, de playbooks a nuestro alcance.


Como puedes comprobar, Microsoft se suma a la tendencia global de la seguridad, con sistemas más o menos económicos, uso de github para compartir inteligencia, uso de Mitre para taxonomías, SOAR...

Sin dunda un SIEM a tener en cuenta, y más que nada, crear todo el "walkaround" de controlar los logs de nuestra organización, luego el SIEM que usemos es una decisión organizativa.

Gracias por leerme.


martes, 4 de junio de 2019

Hoy entrevistamos a ... RADIOHACKING !!!

Estimados amigos de Inseguros !!!

Hace algunos meses que no hacemos ninguna de estas, de estas entrevistas medio en serio, medio en broma, medio denuncia por acoso ... que suelo poner por aquí.

Hoy le ha tocado a un compañero de profesión, y porque no, amigo del mundillo David Marugán más conocido como RADIOHACKING o más conocido como el tipo que puede escuchar cosas que los demás no :-)

Una persona muy querida en el colectivo, por sus conocimientos, pero sobre todo por su pasión y dedicación a lo que le gusta. Gira de ciudad en ciudad contando lo que sabe a los más jóvenes, y no tanto, y es un habitual en las charlas de pasillo, o como se dice ahora NETWORKING.

Como muestra de respeto y admiración, y para que todos disfrutemos un poco más de él, aquí va esta pedazo de entrevista, o INTERVIU, como querais llamarlo :-)




1.- ¿Quién es David “Radio Hacking”? ¿De donde vienes… a donde vas… que has desayunado hoy?

Puessimplemente una persona con inquietudes e intención de divulgar sobre los temas que me apasionan. Nací en un barrio obrero de Madrid llamado Canillejas, en una época muy complicada. De ahí vengo. Algunos chavales en lugar del smartphone de hoy llevaban escopetas recortadas, y apenas llegaban a los pedales de los coches que robaban para dar "palos" y meterse un pico. Yo me fui de allí siendo todavía adolescente, y aunque fue una época dura para todos a nivel social y económico, guardo maravillosos recuerdos de mi infancia y de la gente del barrio, de su lucha y de su valor. Siempre será mi barrio. *con esa cara de mafioso ruso, sospecho que esos chavales ahora te tendrían miedo a ti xD*

No me preocupa tanto dónde voy, lo que sí tengo muy claro es dónde NO quiero ir. Esta mañana me he comido un donut de chocolate de la máquina ;)
2.- ¿Cómo comenzaste en el mundo de la radio?


Se pierde en la noche de los tiempos, pero tuvo mucho que ver una cama que heredé de mi hermana mayor, y que tenía una radio de AM integrada en el cabecero, era algo muy kitsch que se llevaba en los 70 y yo me pasaba las noches en vela buscando emisiones extranjeras en el dial, aprovechando la propagación nocturna de Onda Media. Obviamente hace más de 35 años no tenía ni idea de cómo funcionaba esa "magia", simplemente me fascinaba recorrer el dial pintado con nombres tan evocadores como: "El Cairo", "Berlín"... y escuchar esas voces en idiomas exóticos para mi hasta que me quedaba dormido. 


Por la mañana la "magia" había desaparecido, en parte también porque a mis padres les ponía de mala leche que estuviera haciendo frikadas con la radio a esas horas y luego no me despertaban con demasiado tacto.

Un poco más adelante descubrí que los radiocasetes de la época (en mi caso un Sanyo M2420) tenían una "zona" de dial extendido al principio de la banda de FM comercial (88 MHz) y permitía bajar lo suficiente como para escuchar los indicativos de la Policía Nacional de Madrid. Entonces no lo sabía, pero había gente que había seguido incluso la evolución del 23F con este tipo de radiocasetes, de hecho hay grabaciones muy curiosas grabadas en cinta con estos aparatos.  

Después "convencí" a mi padre para que me comprara una estación de radioaficionado muy modesta, de segundamano, como regalo de navidades y comencé a realizar contactos internacionales o DX (repitiendo en inglés de carrerilla lo que escuchaba a otros, modificando mis datos y ubicación). Todavía recuerdo con mucho cariño mi primer contacto transoceánico con una antena de coche en el balcón, fue con Pasto, Colombia, corría 1987 creo recordar... ha llovido ya.

3.- ¿A qué te dedicas? Creo que haces Hacking ético o al menos controlas de técnicas menos radio y más informática.

Actualmente soy responsable de equipo en un integrador IT, dentro del área de desarrollo de servicios de ciberseguridad. A lo largo de mi vida profesional he realizado labores de auditoría, consultoría y hacking ético en diferentes empresas. También he trabajado en el ámbito de I+D de seguridad electrónica y RF. Como anécdota decir que mi primer sueldo (trabajaba esporádicamente para un importador de radiocomunicaciones asesorando a clientes) lo gasté íntegro... en uno de los equipos de su catálogo. En aquella época un equipo costaba prácticamente el sueldo íntegro de un obrero.


4.- ¿Qué nexo de unión ves entre el mundo radio y el mundo informática? Yo cada vez que veo asuntos Radio y lo que se puede hacer me rio de los “nmap” y las sqli….


La comunidad hacker y la radio es todo uno. De hecho si definimos "comunidad hacker" como grupo de personas que investigan y comparten información sobre tecnologías para mejorarlas, encontrar ciertos fallos o estudiar su seguridad, nos encontramos que las primeras comunidades tecnológicas de la historia eran lógicamente las de radio. 

En USA a principios del siglo pasado ya había decenas de revistas de esa época sobre radio y construcción de equipos, lo que hoy llamaríamos "makers" fue un boom hace un siglo. El primer "troleo" también lo sufrió el mismísimo Marconi en una demo del telégrafo sin hilos en 1903. Él se jactaba de que su invento era imposible de vulnerar (¿Os suena esto eh...?) y un tal Nevil Maskelyne, que era un ilusionista (no quedó claro si era un hacker o un "ciberdelincuente" pagado por la competencia de Marconi, que tenía las patentes del telégrafo con hilos) le dejó en ridículo haciendo lo que hoy denominariamos ataque de "spoofing". 

Hackers contemporáneos como Kevin Mitnick o Clifford Stoll (autor del libro "El huevo del cuco") han tenido mucha relación con la radio, de hecho Cliff además es radioaficionado con indicativo legal.

Hoy radio e informática van de la mano. La eclosión de las tecnologías SDR low-cost (radios definidas por software) ha cambiado el panorama totalmente, también para desgracia de la gente que no ha podido o querido hacer la transición desde la época analógica. 

Hoy es necesario conocer ambos mundos para hacer cosas interesantes o analizar señales de cierta complejidad. Quizás mucha gente que viene del mundo informático, han llegado con poca base de radio y se vuelven locos por el espacio radioeléctrico o confunden algunos conceptos, especialmente en temas legales y de procedimientos.

Con las tecnologías actuales se pueden hacer ataques a redes e infraestructuras radio con muy poca inversión. Te puedo asegurar que si la gente supiera lo que se "cuece" realmente por las ondas, a más de uno se le pondrían los pelos de punta y se le olvidarian los SQL injection. Si ya hablamos de Guerra Electrónica, COMINT o SIGINT a nivel gubernamental,  militar, etc... es otro mundo.

5.- Todos te vemos por numerosos eventos de formación y concienciación. ¿Cómo está el panorama de la radio en España? La comunidad “hackers” si se ve y hace mucho ruido, pero sospecho que la radio no tanto, o es que os comunicáis por radio?

Creo, y ojo, es una opinión muy personal y por tanto muy subjetiva, que la gente de radio no suele tener tanto ego o afán de protagonismo, también puede ser porque hemos estado muy regulados desde siempre (el ámbito de la radio es de lo más regulados por ser una tecnología muy madura) y hemos estado más cómodos en ciertos grupos, no digo ya cerrados, pero sí de confianza. 

Debemos comprender que en informática tu puedes probar, emular y compartir mil cosas en una máquina virtual o servicio sin problemas legales, pero en radio, aunque también se pueden emular muchas cosas y usar señales de laboratorio, a veces alguien puede necesitar interceptar o probar una señal real y eso es muy diferente, puede ponerte sin apenas darte cuenta en una "línea gris".

Actualmente veo cosas en lo que se denomina "comunidad hacker", si es que existe tal concepto de "comunidad" realmente, que me dejan perplejo. No sé, a veces no entiendo de qué va todo esto, pero parece que muchas veces por desgracia no va de lo que debería: compartir conocimiento y apoyar a otros, sino todo lo contrario: a ver quien es "más popular". La comunidad radio históricamente es poco de "egos" y postureo, y sí de apoyar a los que empiezan, de compartir y ayudar a todos los niveles, creando desde puentes humanitarios en catástrofes de todo tipo a canales de evasión de censura en algunas dictaduras recientes. 

Muchas personas que vienen del mundo de la informática les choca mucho la diferencia (aunque ególatras y patosos hay en todas partes), no entienden porqué nos prohiben cifrar nuestras conversaciones o por qué nosotros mismos somos tan rígidos en nuestros protocolos de comunicación, en el respeto y cumplimiento de la normativa, pero en eso precisamente se sustenta nuestra comunidad con un mínimo de seriedad y de filtro. Incluso en ocasiones algunos se sorprenden porque debamos pasar un examen para operar equipos. 

La radio yo creo que sí vuelve a estar de moda por muchos motivos, pero ojo, debemos saber qué terreno pisamos, la radio no es tu chat de colegas ni un grupo de Telegram para hablar de futbol o política, podrías estar interfiriendo una torre de control o comunicación crítica si no sabes bien lo que haces. Un equipo con picos de 1000W y con una antena direccional no es precisamente una placa de Arduino. Hasta con un simple walkie de los chinos podrías liarla. La radio es otra historia: una historia apasionante.

Yo participo en eventos porque creo que es una forma de acercar estos dos mundos, de hacer un poco de router,  y porque siempre he sentido la obligación de devolver lo que otros tantos me dieron antes, cuando no existía Internet y nos pasábamos fotocopias de frecuencias en encuentros semiclandestinos,o cuando usábamos ciertos trucos para pasarnos los teléfonos fijos en emisiones públicas. 

También es cierto que después de tantos años y eventos, es necesaria una renovación, y aunque no hablo de dejar de participar en estos eventos de ciberseguridad de un día para otro, creo que esa deuda está saldada y estamos obligados de alguna forma a "dar el relevo" (estoy convenciendo a mi amigo Fernando EA4FSV y no cuela). Creo que es algo sano, nos vamos haciendo mayores y hay que bajar un poco el pistón. 

6.- Cuántos aparatos tienes en casa que usen pilas y/o tengan antenas?

No tengo ni idea, pero se cuentan por decenas y repartidos por varios "búnkeres", desde equipos de espionaje de la Guerra Fría a modernos SDR. Como sabes a veces sorteo o regalo alguna radio, porque tengo un "diógenes RF" importante, como todos los que nos dedicamos a esto.


7.- ¿ qué es lo más raro que ha pasado por tus ondas en todos estos años? Conversaciones de vecinos, radios de países enemigos… quizás extraterrestres????


Para hacernos una idea las comunicaciones, salvo excepciones puntuales, no se cifraban (hoy algunas tampoco, en honor a la verdad). Con un sencillo escaner VHF-UHF se podía acceder en los años 90 a comunicaciones de todo tipo, desde telefonía móvil analógica a comunicaciones policiales, pasando por los típicos teléfonos domésticos por radio. 

Ahora esto llama mucho la atención y seguro que llenaría portadas (¿Os imagináis poder escuchar, a día de hoy en claro las conversaciones de los móviles?), pero antes era algo habitual. A mi sinceramente me han atraído más otras bandas y otro tipo de comunicaciones, como por ejemplo la Onda Corta o HF. Una cosa curiosa es poder recibir señales (voz o datos) desde la Estación Espacial Internacional (en otras épocas se hablaba también con la Mir rusa) o incluso los intercomunicadores de los cascos de los cosmonautas cuando salen al exterior de la ISS. 


Las Estaciones de Números también son muy interesantes; poder escuchar mensajes de servicios de inteligencia extranjeros, y aunque no puedas nunca conocer su contenido poder analizar sus señales e identificarlas, no deja de ser apasionante. Hay personas que llevan décadas dedicadas a investigarlas con mucho rigor. Una época muy impactante en Onda Corta fueron los días anteriores y posteriores a la caída del Muro de Berlín, por los motivos que os podéis imaginar.


8.- ¿Qué consejos le darías a un novato que quiere empezar con la radio, pero desde el punto de vista de lo técnico, es decir, estudiando algún libro referente? Algo más que comprarse un SDR…


El mejor consejo es que se haga radioaficionado (o simplemente radioescucha) antes de nada. Que obtenga cierta base "analógica" antes de ir a los SDR. Suelo recomendar que se informen en la URE (Unión de Radioaficionados Españoles) o asociaciones de este tipo y que cuando estén preparados se presenten al examen para obtener la autorización de operador. 

Si solo se quiere escuchar no es necesario examen, se puede visitar la web de AER (Asociación Española de Radioescucha) y por supuesto buscar por Internet. Conozco personas que saben decodificar TETRA y que no serían capaces de sintonizar RNE en una radio analógica. Mejor tener unos pocos conceptos pero bien afianzados. Estudiar el libro del examen y preguntar a otros radioaficionados es la mejor forma de iniciarse. 

La autorización te abre un mundo de posibilidades brutal, que te puede venir genial para ir luego a la parte digital o SDR, donde pueden complicarse las cosas si no se sabe un mínimo. 


9.- Y los que quieren comprarse un SDR y hackear “Facebook” qué les recomendarías?


Les recomiendo que dejen Facebook y que se compren una radio, nadie les espiará y no tienen que usar una password fuerte. 

Bueno, ahora en serio, la traducción de la pregunta "¿Como hackeo el Face de mi novia/o?" en radio sería: "¿Cómo puedo escuchar a la policía?". No sé las veces que me lo han preguntado e intento ser lo más educado posible, pero lo cierto es que si tu interés por la radio es este, simplemente no te interesa un pimiento la radio, ni lo que yo pueda contarte. Como suele decirse en los manuales de radio: "infórmese antes de la legislación vigente en su país".


10.- ¿Cuánto dinero tienes en la cuenta? Jejeje. Bueno aquí más que nada, comenta cómo ves el mercado laboral de la profesión.


Remitiría a las charlas o comentarios de David Meléndez, que es quien mejor lo describe. En cualquier caso debo decir que en mi opinión personal el hacking no es una profesión, sino más una forma de vida o una forma de "ser" y pensar, y no necesariamente está relacionada con la informática. Esto lo he dicho en muchas ocasiones. 


Si es cierto que cuando estás en un rol profesional determinado deberías cobrar como mínimo de forma digna y acorde a lo que puedas aportar. Sinceramente creo que se está creando una burbuja de: "fórmate en la profesión del futuro... faltan 390 millones de hackers" para luego decir: "es que tienes que cobrar poco porque claro... ahora sois demasiados." (hace tiempo pasó algo similar con otras profesiones, pero ya nadie se acuerda). No faltan tantos profesionales ni talento, faltan profesionales y talento por el precio que algunos quieren pagar. 

A mi también me pasa algo parecido: siempre "me faltan equipos" de inteligencia de señales de grado militar que no me puedo pagar; porque los fabricantes de equipos SIGINT, que son unos malvados, los venden muy caros, claro...claro. 

A otros les pasa con los Ferrari también, qué cosas eh. En resumen, usaré una frase que siempre me decía un amigo y convertí en un lema personal:"DON'T HACK FOR FOOD" ;) 


11.- ¿Cuánto has “ñacañaca” este último mes ¿ xDDDDDD. Entiendo que si no responde, o es más 1, está exagerando  ¡!! xDDD


Soy un asceta, un hombre casto y puro, ¿¡Qué clase de brujería murciana o tentación del Maligno encierra esta pregunta!? ¡Vade retro creatura del averno!

Gracias por la entrevista... ¡cabrito! jajaja

martes, 28 de mayo de 2019

Cómo de grande lo tienes: Auditoría de Logs de Windows. Log-Md

Estimados amigos de Inseguros !!!

Poco a poco vamos trabajando en el blog con algunas herramientas y procesos que uso en mi día a día en el mundo blue team.

En esta entrada vamos a hablar una vez más del log de Windows, de la matriz Mitre y esas cosas que tanto nos gustan.

El equipo de Malware Archaelogy pone a disposición nuestra una seria de Cheat Sheet diversos muy interesantes. En este caso, nos muestra una lista de Técnicas Mitre y el Id de evento que lo localiza, en el caso que así sea. Es decir, identifica o mide el grado de detección de ciertas Técnicas Mitre en base a la capacidad de nuestros windows de recopilar eventos.


Como sabéis, la configuración de auditoría de eventos de Windows que viene por defecto es INSUFICIENTE para poder hacer un buen trabajo de detección.

Es recomendable activar la auditoría avanzada e implementar SYSMON como mínimo.

Con esta información podemos conocer un poco más sobre el papel el estado de detección de ciertas técnicas, y si nos apetece, pintarlo como vimos en el último post de Mitre.

Pero se que sois perezosos, incluso alguno vago !!! :-) y es mejor que todo lo haga una máquina.

Para eso llega Log Medical Doctor o Log- Md. Una aplicación en dos versiones, gratuita y de pago, que nos va a ayudar mucho en nuestra tarea de setear correctamente nuestros Windows.

Podemos empezar con la herramienta utilizando el parámetro -c para hacernos ese diagnostico de qué logs deberíamos tener activados. No muestra según el sistema operativo si están disponibles o no, o si bien debemos auditar los intentos correctos, incorrectos o ambos.


Otra opción interesante es la de crear un línea base de seguridad del registro y compararla cada cierto tiempo buscando cambios.

-rb Baseline the registry, creates or overwrites Reg_Baseline.txt
-rc [f] Compare a new registry snapshot with Reg_Baseline.txt
 f = baseline location full path

Otra opción muy interesante es que hace de una especie de FIM, File Integrity Monitor, al estilo de OSSEC, es decir, podemos indicarle una ruta y realizar una seria de hashes a ficheros, y comprobar posteriormente si ha habido cambios.

hf Hashes a single file, outputs hash to screen
-hd [d] Used with -hb or -hc to designate a starting directory for hashing
 d=full path of directory
 ex: -hc -hd "F:\Test_Dir"
-hb [-d] Baseline hashes of filesystem
 creates/overwrites Hash_Baseline.txt
 d = directory containing Hash_Baseline.txt
 Creates Hash_Locked_Files.csv
-hc [d] [-md] Compares new hashes and locked files with baseline
 Creates Hash_Latest.txt and Hash_Compare.txt
 Creates Hash_Locked_Files_Compare.csv
 d = directory containing Hash_Baseline.txt (full path)
 Uses whitelist file:
 + Whitelist_File_Hash.txt
 [+ MasterDigest.txt]
 Creates Hash_Locked_Files_Compare.csv

La herramienta cuenta con una detallada documentación y la mayoría de las opciones son libres y gratuitas.

Espero que le saques provecho y pongas esos Windows un poco "al sol" que no todo es siguiente siguiente siguiente como algunos creen.

Gracias por leerme.

lunes, 27 de mayo de 2019

Wannacry? Industria 4.0? Se olvidaron de nosotros: El boom de la ciberseguridad.

Estimados amigos de Inseguros !!!

En el post de hoy voy a hablar de uno de esos temas que se rumorea, o lo hacemos algunos, y que sospecho que no va a gustar mucho, y quizás sean opiniones mías subjetivas y solo eso, ojalá !!!


La ciberseguridad vive un BOOM tremendo y las noticias están lejos de la realidad.

Voy a ir por partes, porque tengo mucho que contar y me amontono. Voy a empezar con el título.

Wannacry.

Recuerdo con cariño ese día, ese fin de semana, porque me pilló viernes que me iba de viaje de fin de semana a mi querida playa de Almería, y gracias a la paciencia de mi santa mujer, pude estar enterado de todos los movimientos por las redes sociales y atendiendo a clientes.

La noticia tenía un componente muy bueno para los que nos dedicamos al negocio, pero desde el punto de vista empresarial. Para el currante que tuvo que estar todo el fin de semana trabajando, e incluso sufriendo coletazos las semanas siguientes fue un caos, igual que para la reputación de las empresas afectadas, pero para mi como empresario, me habría una ventana: los grandes medios nacionales en televisión haciendo ruido con la ciberseguridad !!! esto va a ser la bomba !!!

Esperaba que ese mismo lunes me llamaron todas esas empresas a las que llamas y no te atienden, a esas empresas a las que les presentas los servicios y ni siquiera les interesa un presupuesto, a esas empresas a las que le pasas un presupuesto y no lo aceptan, y por qué no, aquellas empresas a las que hiciste algún trabajo, quedaste bien, y quieren seguir con el proceso de la seguridad...


Pero espera Joaquín, como dices, esas noticias las vieron millones de españoles. no habrá quizás más empresarios como tú, de la ciber, o de empresas de micro-informática/sistemas/etc que piensen lo mismo? Efectivamente la respuesta es sí. 

Resulta que Wannacry no tuvo ninguna repercusión en mis cuentas, más allá de algún cliente fidelizado. Por qué? porque muchos se concienciaron, otros no, pero los primeros, tiraron de su informático, de su partner, y cuando preguntaron si estaban seguros, que cómo estaba el tema les contestaron:

Si, estamos seguro!!!
No, tienes que comprarte este cacharro !!!
Si, tranquilo, nosotros somos expertos en ciberseguridad y podemos ayudarte !!!

Al final, resulta que los que llevamos un tiempo con esto, no nos hicimos de oro, todo lo contrario, aparecieron nuevos actores aprovechando el nicho de negocio, las noticias, el boom !!!

Industria 4.0.

El término de Industria 4.0 lo podeis interpretar como querais, o podais leerlo en las mil páginas que hay sobre esto, pero básicamente compete a una transformación que de fondo, ofrece un ahorro de costes a la empresa o proceso de innovación que las hagas diferenciadoras.

En una empresa normal, la ciberseguridad ni le ahorra coste, ni la hace diferenciadora. Como mucho, le ayudará a perdurar en el tiempo, en ser más resistente, pero no más barata.

Las empresas tienen un objetivo claro, y al igual que los ecologista no entienden como una empresa no gasta el 0.7% de su beneficio a causas medioambientales, o sociales, los que nos dedicamos a la ciberseguridad tenemos que entender que muchas no están dispuesta a invertir en ciberseguridad.


Pongo el ejemplo de la CALIDAD. Cuando esto llegó a Europa a principios de los 2000, todo el mundo necesitaba calidad, nos prometieron que iba a ser la solución a todos los problemas empresariales, tenía sentido. Documente usted todo lo que hace, obtenga una certificación por documentarlo, y luego ya si eso, mejore los procesos. 


Para mejorar los procesos ya no había certificación, ni premio directo ( si, la empresa funcionaría mejor) es más, tenía unos coste "ocultos" como la re-certificación, procesos de adecuación, mejora, software, mantenimientos, cambios en los procesos productivos, ahora en vez de 60 minutos haciendo zapato, había que estar 59, 1 minuto anotando.  


No estoy diciendo que la calidad no sea buena, o mala, y nótese cierto tono irónico en mis palabras, pero la calidad no fue la revolución, no al menos como las vendían las grandes consultoras que exportaban el modeo yanki a Frutas Paco, S.L.

La industria 4.0 o por qué no, la Digitalización ha dejado de un lado la ciberseguridad. Si es muy necesaria !!! todo el mundo está concienciado, pero hay una brecha enorme entre concienciado y que compren !!!

Varios ejemplos, todo el mundo sabe que el tabaco es malo, que estar gordo o no llevar una vida sana es malo. Cuanta gente hay gorda, con vida insana y/o fumando?

La Digitalización si ha traído de su mano las redes sociales, el marketing digital. Esta profesión creo que está como la ciberseguridad. Más extendida, porque un buen marketing tiene impacto directo sobre las ventas de una empresa, la ciber no.

Ahora es cuando seguro alguno de los profesionales puede pensar: ya, pero sin ciber, puedes estar días sin producir, puedes perder dinero, puedes perder i+d+i, etc. YAAAAAA, pero no pienses como profesional de la ciber, piensa como empresario: mejor meter a un técnico de marketing para que suba la publicidad y posiblemente las ventas, que a un técnico/empresa de ciberseguridad que me cobra por no sé qué.

La moda de Apple, Steve Jobs ha hecho mucho por el marketing. Esa pequeña empresa que gracias a una idea se come el mundo: Apple, Amazon, Facebook, Uber, etc etc etc etc etc

En la ciberseguridad tenemos al máximo exponente mediático, el señor del gorro, que ha hecho mucho por popularizar la ciberseguridad en los medios, pero no tanto como Steve Jobs :-)

Que viene el lobo, pues que venga.


Este concepto lo hablo mucho. En todas las reuniones los profesionales coinciden en que las empresas son reactivas, no se protegen, no suelen. Son aquellas que han sufrido un incidente de cerca las que invierten... si pero no. Algunas. Déjame explicarme.

Nos está pasando, que vamos a empresas, que les ha pillado un Ransomware. Cual es la MEJOR SOLUCIÓN PARA UN INCIDENTE DE RANSOMWARE? la mejor no lo sé, la más barata, el backup. Si se infecta un pc, se restaura. Un servidor, igual. Un entorno de red... pues mas o menos con cierta configuración de vlans y permisos de Active Directory se puede contener. Esto es SISTEMAS, no es ciberseguridad. Quizás, ahora lo veremos más adelante.


Entonces, seamos honestos, debe una empresa con 25 ordenadores, sin informático, el típico "power user" que se encarga del día a día y que tiene a una empresa de micro-informática/informática detrás,  iniciar un proceso de mejora continua en ciberseguridad, empezando por un informe de auditoría de 3.000€, una serie de recomendaciones de seguridad, otros 5.000€, y unos mantenimientos de X al mes? 

Si estás en el mercado de la ciberseguridad por supuesto que sí, pero qué opina el empresario?
El empresario estira los equipos 10/15 años, recuerda que hablo de la mayoría de empresas en España, no del Ibex35 ni las grandes corp con rentings y cambio cada 4 años. Hablo de Aceros Pepe. S.L que tiene a 300 trabajadores y que factura 65.000.000€. Ese empresario aguanta los servidores hasta que están muy viejos, pirate el software, o aún le queda algo pirata. Tiene gente echando una hora extra en negro para ahorrarse impuestos, quizás maneje algún sobre más, pero esto es otra cosa.

Las empresas son máquinas complejas con prioridades, y si bien el CEO, el CTO, el CFO están concienciados, el gasto o inversión es otra cosa.

Volvemos al Ransomware. En papelería Cristina S.L. entró un ransomware, y se quedó un equipo sin servicio toda la mañana. Eso le cuesta a la empresa XXX euros. NOOOOOOO, eso es un estudio en una revistaaaaaa, de unos señores con corbataaaaaaa. En papelería Cristina, esa mañana sin equipo, se uso para ordenar los AZ de las estanterías, subir al almacén los viejos, y ordenar unos cuantos papeles más que había por ahí, no se ha perdido NADA. Quizás, los 180 euros del informático que ha ido a hacer el trabajo: Insisto, hablo o intento hablar como piensa el empresario, no el gremio.

Ahora vamos con el timo del CEO, empresas que pierden 10/15/50/100k en un pago a otra cuenta. Las conocemos, entre ellas no se conocen o habría más medidas, pero no es algo que se vaya proclamando a los 4 vientos. Ahora es visto varias campañas de ciber que prometen soluciones técnicas a este asunto. A ver... hay soluciones técnicas para combatir el phishing y el spam, pero si un correo llega de un hotmail con el cambio de cuenta y se lo traga el operario, zascalas !!! la única medida 100% efectiva es que no se pueda cambiar el número de cuenta de un cliente en el ERP/pagos sin una llamada para confirmarlo a la empresa. Esto funciona 100% y no requiere de pentesting o redteam. Otra cosa es que sea un indicador de poca madurez de la ciber de la empresa, pero vuelvo a lo mismoooooo, piensa como el gerente, no como el experto en seguridad.

La semana de la Seguridad.


Este término no es mio, pero prometí usarlo, gracias Javier por resumirlo así.

Gerente o informático sufre un incidente como mencionamos, o acude a una charla, o su primo le cuenta en el café algo de ciberseguridad. Esa semana pasa a ser la semana de la seguridad.

Pide presupuestos, que estamos haciendo?, reuniones con dirección. Gente de dirección poniéndose medallas de que hay que luchar contra esto, etc. 

El informático o bien miente y dice que están seguros, de los más seguros del mundo, o admite la necesidad. En el mejor de los casos, se comprará un UTM de 2800€, o se comprará ese antivirus pirata que el CTO llevaba meses reclamando, los más aventureros contratarán una auditoría de seguridad... 

Para el que dice que está seguro, perfecto. Es como cuando oyes el ruido en el coche y subes el volumen de la radio.

Para el que compra el cacharro, solución, bien y mal. Bien porque ha incrementado su seguridad... (este es otro tema, cacharras al 10%...) pero mal porque al año siguiente le recordarán que el año pasado ya se invirtió en ciber, y que este año la pasta está para centralita IP que ahorra costes...

Los que compraron la auditoría han solucionado lo que han podido, invirtiendo el mínimo dinero posible, y no van a hacer una auditoría al año siguiente por varios motivos, el económico, y que hay cosas que no han podido cambiar, y que NUNCA van a poder cambiar, como que su jefe no quiere VPN para ver las cámaras ni muchos menos usar contraseñas de 12 símbolos griegos...

En el mejor de los casos, esa semana de la ciberseguridad te hará aumentar algún dígito tus ventas de experto, pero la INMENSA mayoría no va a acudir a ti, va a acudir su partner de confianza, a sus informáticos, y ahora es cuando recuerdo la frase de arriba: ahora todo el mundo sabe/vende ciber. Por lo que en el mejor de los escenarios, TAMPOCO vas a pillar pasta en la semana de la ciber...

La seguridad horizontal.

Este tema también lo expuse en un foro de debate hace ya algunos años y casi me comen, pero claro, no les venía bien a ciertas empresas.

La ciberseguridad al fin y al cabo convierte el trabajo del auditor en encontrar fallos. Fallos en la programación o en la implementación de sistemas, en cómo se configuran.

Si los programadores mejoran su trabajo, gracias a los frameworks y el conocimiento es más fácil programar. Hace 10 todos los desarrollos tenían sqli y ahora ya no es tan tan tan normal en desarrollos jóvenes. Siiiii, valeeeeee, la alhambra de granaaaaa. 

Poco a poco la gente hace sus cursos, sus masters, la gente estudia ciclos !!! es que antes los informáticos éramos de haber empezado leyendo revistas !!!!

Ahora hasta el más newbie ha hecho o puede hacer un curso de hacking que le enseñen metasploit, un poco de burp, algún vulnscan y si es es de programación, pues buenas prácticas, devops etc.

Al final, para llevar la seguridad de una empresa no hace falta MEGA EXPERTOS. Imagina un tio de estos que hace reversing, que se mete en "Matrix" y lo entiende... solucionando fallos de configuración de un Active Directory... o una sqli de libro? 

Nos han vendido siempre que la ciberseguridad era la hostia, lo más TOP, tenías que saber sistemas, programación, años y años en las trincheras. Poca gente lo conocía. Eso era antes.

Ahora hay críos de institutos ganando retos CTF a diestro y siniestro. No estoy diciendo nada con esto que no sea, que la ciberseguridad del día a día se puede gestionar sin ser el top 100 de hackers de España o tu universidad. 

Insisto en que no pienses como un profesional, piensa como un empresario. Un buen administrador de sistemas, BUEN, no va a tener un servicio corriendo como root con una clave fácil, o un equipo sin actualizar. He hablado mucho de esto en mis charlas, aquí el bueno no es el auditor que saca el fallo, es que el defensor es MUY MUY MALO.

De pequeño siempre he escuchado que el director del banco es el que más ganaba, lo escuché de vecinos, que indicaba a sus hijos que se hicieran banqueros. Un corto espacio de tiempo escuché que había que ser informático. Que los consultores de SAP ganan dinero, claro !!! fuera de Madrid los consultores de SAP son como los dentistas o traumatólogos, millonetis !! forrados!!! pués no. Ganan 1700€ con suerte y alguna propina a final de año. 

Al final siempre hará falta empresas de ciber, con mucha verticalidad en el ramo, para respuesta a incidentes serios, auditorías complejas, entornos de máxima seguridad, pero la empresa de 20 ordenadores quizás nunca llegue a demandar esos servicios.

El mega-incidente.


Coincidiras conmigo que hay muchas noticias relacionadas con la ciberseguridad en cuanto a cifras. Una de ellas, Todos los días aparecen 2.000 muestras nuevas de malware. Otra, todos los días se sufren en torno a 10.000.00.0.00. millones de ataques en nuestras redes. Otra, en España se realizan no se cuantas actividades defensivas en no se donde... 

Vamos a ver, tu miras un aparato, un SIEM, y por suerte, la mayoría de ataques son convencionales, masivos, buscando un fallo estrepitoso. Un portscan, un brute force, intentos de exploits con actualizaciones de hace un mes/año/10 años. Todo eso no vale naaaaaa. La seguridad avanzada, la que hacen las empresas especializadas y los expertos no es para eso. Eso lo para el UTM de turno, o el endpoint.

Yo opino que ataques gordos gordos, un APT o similar, las empresas van a sufrir uno como mucho dos en toda su vida. Esto quiere decir que o estás entrenado, o estás muerto. Es cierto que las empresas que sufren un ataque gordo, es raro que remontan, o al menos es muy difícil, pero esto es el cuento del lobo en versión ciber y con más secretismo.


Cuando hablamos esto con el empresario, este no entiende como María, su contable de toda la vida le va a hacer daño desde dentro !! si confía en ella para la contabilidad de toda la empresa, cómo va a desconfiar de ella en materia de ciberseguridad. Es muy sencillo, lo sabemos !!! pero insisto, piensa como el ceo. Que tienes gente descontenta, que esta gente tiene un sobrino hacker, que se va a la competencia. Que Maria ya no está sola en el departamento y ahora son 3. Que el informático es curioso e investiga/toca. Que hay chinos/rusos que quieren su dinero. Que la competencia juega sucio. Que el fallo puede ser intencionado o no. Todo esto es difícil de transmitirlo a un CEO, o quizás sea fácil, lo difícil son todos los escollos que aparecen hasta que una empresa invierte.

A mi no me va a pasar !!! eso lo piensa todo el mundo. Tu llevas toda tu vida contratando seguros de coche a todo riesgo? con todas las cláusulas? tienes tu casa vigilada con todas las medidas de seguridad oportunas? actualizas el contenido de tu seguro del hogar todos los años? tienes un seguro médico?cambias las ruedas  del coche con puntualidad? vas a la revisión del dentista justo el día que hace 1 año? tienes antivirus en el móvil? usas un content filtering para los dispositivos de tus menores? si a todo me respondes que si, eres un máquina y estás concienciado, si no, coincide conmigo en entender que si TU no haces todo esto, ir a pedirle al empresario que invierta en seguridad como proceso, en mejora continua es complicadoooooooooo

El sector en cifras.


Ahora viene la parte más dolorosa, las cifras. Voy a empezar por los salarios.

Los salarios en ciber son BAJOS, como en todas las TIC´s. hay cierto movimiento entre perfiles juniors, me atrevería a decir de menos de 37k/año, pero por encima? para superar la barrera de los 2.000euros? No hablo de las mega corps madrileñas. Vivir en Madrid tiene un coste, desde el coste directo de los precios, pasando por el desplazamiento, hasta por los viajes de vacaciones etc, pero no voy a entrar por ahí. Hablo de España y su tejido empresarial, no 4 referencias.

Hace poco discutíamos en twitter sobre esto, y llegó el troll de turno, el tonto simpático de siempre que cobra bien, y orienta el problema a la valía de las personas. Que si eres bueno si te pagan, y la cosa está en que no hay nivel. Vamos a ver tonticos míos.  Cuando se habla del sector, se habla de toda la gente, y voy a poner el ejemplo de los futbolistas.

Cuanto gana un futbolista? poco o mucho? creo que en cada liga hay 20 equipos, 40 entre las dos. a 22 futbolistas por equipo son unos 800 futbolistas. No se la segunda b como va muy bien, pero lo miro, y me dice que hay 4 grupos de 20, 80, otros 1700. Pongamos 2.000 jugadores jugando al fútbol y cobrando bien. Desde los millones de Messi hasta la nómina de 2b de un jugador que gana 4.000€

En España hay federados más de 700.000 jugadores y solo está bien pagados 2.000. Entonces, el sector del fútbol está bien pagado? aquí se mezclan jóvenes, viejos, amateurs, está claro, pero la moraleja es que no todos son messi y cobran millones. Conozco amigos en tercera que cobran sus 2.500 euros con 30 años y esa es su vida, una vida normal. Nada de coches ni historias.

Que haya cierta élite de gente MUY MUY potente que cobra sueldazos, es inevitable, me alegro joder !!! pero eso no es lo que dicen las noticias, de que faltan no se cuantos y que se cobra no se qué.

Por otro lado, y este es más serio, voy a coger varios Pure Player de la ciber. Empresas de reconocido nombre, líderes en España y alrededores en ciberseguridad, las que llevan bastante años ofreciendo un gran trabajo. Aquí no están todas, porque no hay datos objetivos de todos , pero para lo que quiero expresar me sirve.
Tarlogic: no sale, pero si miras el ranking de los últimos datos de empresas y su posición , puedes hacerte una idea.
Isec Auditors: Mismo caso que Tarlogic.

Si estas empresas, que son aquellas en las que todos los profesionales quieren trabajar, o han trabajado, o son referente por hacer su trabajo bien, tienen esas facturaciones... mal vamos.

A ver, el día que yo tenga una empresa así con esos números quizás me sienta el hombre más feliz del mundo, no es un crítica, sino una reflexión. Que de las mejores empresas de ciber de España se muevan esas cifras, indica que el sector no es tan próspero como parece ser en las noticias, ni mueve tanto dinero.

Otra cosa es que leas que la grande de España !!! y no me refiero a una faraona ni cantante de coplas, indique que en sus números ha hecho no se cuantos records y no se cuantos millones. 

Dicho de otra manera, si Telefónica vendiera sofás, sería una de las empresas que más sofás vendería. Si vendiera palomitas, sería la número uno. 

En ciber pasa lo mismo. No puedes medir el pulso del sector porque Telefónica, Indra o Accenture hayan facturado 1000 millones en el sector, porque esos números son de equipamiento, contratos muy muy tochos de muchas personas. 

Vender Firewalls o endpoint es ciberseguridad, pero eso mueve a una pequeña parte de los profesionales de la ciberseguridad. Es más, soy de los que piensa que un Firewall es un elemento de sistemas, pero bueno, esto es discutible.

Lo que está claro es que no vas a tener esas cifras ni de lejos ofreciendo servicios expertos. Ni ellos tampoco, se basan en equipamiento.

Otro enlace de referencia es este generalista. Hay varios datos interesantes, uno de ellos el ranking por actividades en España. Sale la ciber? jajajaj ni las TIC´s salen. 
Otra cosa es que por millones, por ejemplo Murcia sale la 7ª potencia económica. Quiero decir, que cuando uno dice: no todo es Madrid y Barcelona, claro, parece que decir Murcia es como decir un pueblo, no ojito, que hablamos de grandes ciudades también, y la ciber/tic´s no aparecen.

Ahora lee este ranking con la información de las ventas de las empresas del CNAE Consultoría de informática. Crees que en el sector tic´s la seguridad aparece con empresas de vertical ciber? noooooo, aparecen las consultoras de siempre. Las que estaban ahí sin vender ciber, y las que ahora pillan cacho también de la ciber, mañana lo harán de otra cosa, y así siempre. Por más necesidad que haya de ciber, se repartirá como siempre. Entonces, qué historia pasa con la ciber y las noticias? Ya lo he dicho, burbuja total !!!!

Linux como escritorio, Virtualización de escritorio, la nube, la hyperconvergencia, blockchain, big data, al final, hay un Fortune 500 en Estados Unidos, algo lejos de mi humilde Murcia, que dicta los caminos que se siguen y al final todos como borregos caemos, pero la realidad de una pyme en Zaragoza no es la de una empresa del valle del silicio.

El futuro.


Si pudiera ver el futuro sería millonario, o tendría pelo... Lo que es cierto es que la Ciberseguridad vive en una burbuja, tanto positiva como negativa para el sector, y que con el tiempo estallará.

Las empresas que venden ciber sin ser expertas seguirán vendiendo, porque es gratis ponerlo en sus catálogos,  pero tendrán que diversificar.

Los pure players de ciber tendrán un camino duro por recorrer, pero confío en esa parte vertical necesaria, y si bien se ajustará un poco el número, a la baja, las buenas quedarán.

A nivel profesional, los que hacemos esto, será como todo, independientemente del trabajo, nos gusta, es nuestra afición. En mi caso fue el hacking, luego los sistemas y ahora ciertas áreas de la ciberseguridad. No se dentro de 10 años si seguiré haciendo auditorías, haciendo blue team o enseñando a un robot, pero tengo claro que seguiré en el sector.

Los que se creen que esto es un sector en alza, con grandes números y beneficios, creo que de momento se equivocan, y soy bastante pesimista con esto.

La RGPD hizo un intento de mejorar la ciberseguridad, o más bien la privacidad, pero no termina de ser el impulsor necesario. 

En una sociedad limitada, no se cual es el límite de facturación, pero al pasarlo tienen que tener una auditoría externa financiera y presentarla en hacienda. No sé exactamente los parámetros, pero esto debería ser ASI en ciberseguridad. El gobierno debería obligar, por seguridad nacional, a qué empresas de cierto volumen pasen auditorías de cumplimiento en ciberseguridad.

Esto conlleva otros problemas, como qué empresas pueden certificar esa auditoría, las 4 grandes? yo como autónomo? qué auditoria se hace, la mía que soy muy bueno? la de mi vecino que es muy barato?

Cuando algo es por ley, si bien sería un impulso, no sería la solución porque nadie quiere ser perfecto en cumplir una ley, las empresas quieren cumplirla y punto. Quien quiere ser excelente en pararse en los semáforos en rojo? con pararme basta, no tengo que ser excelente y pararme 10 segundos antes de que se ponga en ámbar...

La solución para concienciar a la empresas es eso mismo, formación, concienciación, que ocurran incidentes, que se solucionen, que se aprenda de ellos, pero estamos en España, el tejido empresarial y laboral no es el mejor del mundo, hablo para TODAS las profesiones, por qué creemos que con la ciber va a ser distinto?

Espero que se entienda este texto como una opinión personal, sin querer faltar a ninguna de las marcas o empresas mencionadas, y que respeto que no pienses como yo, pero me gustaría saber tu opinión, y sobre todo, a tus consejos si sabes como mejorar la situación.

Tengo un amigo CTO en una empresa, concienciada en la ciberseguridad, que no para de decirme que no entiende cómo las empresas no invierten en ciber... y por más que se lo cuento, no lo entiende.

No lo entiende nadie, pero las empresas, a dia de hoy, NO INVIERTE EN CIBERSEGURIDAD.

Gracias por leerme. xD



Related Posts Plugin for WordPress, Blogger...