Unificando los criterios de seguridad con CIS

¿Que significa tener un sistema seguro? Esta pregunta a priori parece fácil de responder: Contraseñas seguras, deshabilitar servicios, configurar bien los dispositivos de perímetro y un largo etcétera que, según le vamos dando vuelta tras vuelta, empieza a dejar de parecer una tarea fácil. Y si a ese ejercicio añadimos el hecho de que en casi ningún sitio existe la homogeneidad en los sistemas gestionados; Windows, Linux, Solaris, casi con total seguridad también habrá un buen numero de dispositivos de red... nos damos cuenta que, por muchos conocimientos que tengamos, la complejidad es mayor de lo inicialmente previsto. Ante este panorama, definir criterios de seguro / inseguro resulta una ardua y tediosa tarea.

La respuesta ante este reto es CIS

CIS es una organización internacional (nuevamente se echa de menos presencia Española) compuesta por organismos militares, gubernamentales y en general, por múltiples organismos dedicados a la seguridad informática.

Lo que ofrece CIS, básicamente, es un conjunto de herramientas (libres) que permiten auditar la seguridad en un sistema. Una vez ejecutados los tests de seguridad, CIS puntúa la seguridad del sistema auditado del 1 al 10, y explica, dando pautas para solventarlos, los errores que ha detectado.

Las pruebas que CIS realiza van desde políticas de contraseñas, servicios inseguros o configuraciones erróneas, además, lejos de centrarse en uno o dos sistemas, soportan:

• Windows (desde NT hasta 2003 pasando por XP)
• Mac OS X (Leopard y Tiger)
• FreeBSD
• Solaris(Desde la version 2.51 hasta Solaris 10)
  
• Linux (RedHat, Novell, Debian ...)

A nivel dispositivos de red, soportan casi toda la gama de CISCO (IOS, Pix y cia), CheckPoint y multiples dispositivos WIFI.

Incluso desde hace un tiempo, tienen herramientas para auditar aplicaciones tales como, Exchange, BIND, Apache o ISS.

En definitiva, las herramientas CIS a nivel corporativo nos permiten definir unos criterios de seguridad aplicables a practicamente todos nuestros dispositivos, pudiendo definir umbrales "aceptables" para permitir o denegar nuevos servicios, sistemas o aplicaciones.

A nivel particular, las herramientas CIS para windows / Linux son una excelente guia para saber exactamente el nivel de seguridad de nuestros dispositivos y tomar medidas.

Desde mi punto de vista, basar los criterios de seguridad en la métrica CIS, supone ahorrarse muchisimos quebraderos de cabeza y en el caso de que la política interna no se ajuste totalmente a los criterios CIS, las herramientas pueden ser fácilmente adaptadas en esos puntos.

Leer más...

Algunas aplicaciones de Microsoft - III

En septiembre de 2001, Microsoft publicó una herramienta que permitía fortificar su servidor web IIS de forma automatizada. Seguramente para evitar que vulnerabilidades de seguridad como el gusano que acababan de sufrir pocos meses antes no volviesen a afectarlos. CodeRed, que así se llamaba, se adelantó años a su tiempo, explotaba una vulnerabilidad y se replicaba sin parar. Entonces no existía el animo de lucro con el que día a día nos enfrentamos en la actualidad.

Siete años más tarde, se publica una versión 3.0 Beta del mismo producto, una vez más, tras una infección masiva que ha comprometido más de medio millón de páginas, en las que se explotaba una vulnerabilidad en aplicaciones web mediante ataques de inyección SQL.

Como es lógico, Microsoft no puede ser responsable de las buenas o malas prácticas de programación en entornos web de cada una de las compañías que desarrollen, pero es obvio, y así nos lo hace ver, que sienten cierta responsabilidad al no disponer de medidas compensatorias para que desde otros niveles estos riesgos se puedan minimizar o mitigar.

UrlScan es una buena iniciativa, solo dos preguntas: ¿por qué siempre tarde? ¿por qué no integrado directamente en IIS?

Leer más...

Detectando la presencia de rootkits con Unhide

Por mucho que nos esforcemos en defender nuestras redes informáticas, en el momento que estas crecen, tanto en sistemas como en servicios, el riesgo de ser “visitados” por algún inquieto personaje asiduo a las listas de bugtraq armado con el último exploit publico.

Este tipo de personajes nada entiende de “horas valle”, sistemas de QA para aplicar parches en sistemas críticos y ese tipo de cosas tan poco obvias para quien no ha tenido que lidiar con ellas.

Por mucho que apliquemos el catenaccio a nuestra política de seguridad, siempre hay servicios y aplicaciones que exponer al exterior y que en algún momento de su ciclo de vida, serán victimas de alguna vulnerabilidad. Ante esa eventualidad resulta interesante disponer de un procedimiento para realizar auditorías forenses de forma mas o menos automatizada.

Una buena práctica resulta emplear herramientas de tipo Tripwire cuya misión es asegurar la integridad de los ficheros en el sistema. Tripwire es una herramienta comercial (con algunas versiones libres) pero existen alternativas totalmente libres (código fuente, sin coste) como por ejemplo Afick.

Aprovechando que acabo de publicar la ultima version de Unhide, en este Post me gustaría compartir con vosotros una pequeña descripción de como funciona.

Unhide es una herramienta destinada a identificar anomalías en sistemas Unix / Linux, lo hace identificando procesos y puertos tcp / udp ocultos, que suele ser síntoma inequívoco de la presencia de un rootkit en nuestro sistema.

A diferencia de otras soluciones más al estilo anti-virus, Unhide no emplea firmas y se basa en los conceptos del tipo “detección de anomalías” contrastando diferentes fuentes de información y buscando inconsistencias entre ellas.
El software se divide en tres herramientas :

unhide : Para sistemas Unix genéricos (solaris, *BSD, linux antiguos)

Esta herramienta realiza dos tipos de “checks” en el sistema:

• /bin/ps contra /proc : se basa en comparar la salida del comando /bin/ps contra las entradas del directorio /proc. Si encuentra una entrada en /proc y no encuentra su correspondiente proceso en /bin/ps marca esa PID como “pid oculta”

• /bin/ps contra syscalls: el objetivo de este test es intentar deducir si existe algún proceso oculto interrogando directamente al Kernel mediante syscalls y comparando su salida contra /bin/ps

unhide-linux26 : Para sistemas Linux kernel 2.6

Esta versión de unhide para sistemas linux modernos añade, ademas, otro método de detección consistente en “bruteforcear” el espacio de PIDs del sistema a base de múltiples forks() y comparar contra /bin/ps. Si el sistema, durante el proceso de forks(), no ha dado alguna PID que no aparece listada en /bin/ps es síntoma de que algo no marcha correctamente

unhide-tcp : Herramienta para detectar puertos TCP / UDP ocultos

Esta herramienta localiza puertos TCP o UDP que no aparecen listados en el comando netstat intentando realizar un bind() sobre el espacio de puertos disponibles en el sistema y compararlo contra netstat. Si un puerto en el que no se ha podido hacer bind() no aparece en netstat, ese puerto es cuanto menos, sospechoso

Para usar Unhide puedes descargarlo de la web y compilarlo de la siguiente forma (para compilar únicamente hace falta un gcc normalito) :

#gcc unhide-linux26.c -o unhide-linux26

#gcc unhide-tcp.c -o unhide-tcp

O bien, si eres usuario de Debian Sid / Lenny o Ubuntu puedes instalarlo directamente con apt-get

Para iniciar el scaneo de puertos ocultos únicamente debemos ejecutarlo de la siguiente forma:

#./unhide-tcp

Y para ejecutar los diversos checks de la herramienta unhide-linux26:

#./unhide-linux26 proc
#./unhide-linux26 sys
#./unhide-linux26 brute

Lo interesante sería ejecutar periódicamente la suite de herramientas en nuestros sistemas Unix como medida para detectar eventuales compromisos en el sistema.

Leer más...

El Firewall de Windows XP, mucho mas de lo que parece

El firewall de windows XP, es al mundo de los firewalls, lo que la seguridad social al mundo de la medicina. Cumple, siempre esta ahí (quieras o no), tal vez no es tan atractivo como las opciones "pagadas aparte" y uno tiene la sensación de que es algo gratis pese a que indirectamente si lo hemos pagado.

El caso es que con idea de sacar otra versión de mi Patriot con nuevas funcionalidades, me puse a explorar hasta que punto se le puede exprimir.

Después de leer bastante documentación técnica, encontré un par de enlaces absolutamente brillantes (y en castellano), donde se explica en profundidad como gestionar el Firewall de windows XP, tanto en su parte gráfica, como por linea de comandos. Dos enlaces que, sin duda, merecen estar en los del.icio.us de cualquiera.

El firewall de Windows XP: Un pequeño tutorial

Controlando el firewall de Windows en la Linea de comandos:netsh

Leer más...

Algunas aplicaciones de Microsoft - II

En 2005 Microsoft publicó una guía, donde explicaba como configurar algunas aplicaciones de tal forma que su ejecución se basase en el principio de LUA, y aunque según la propia Microsoft esta guía no está bajo soporte, es muy útil su configuración para una navegación segura, entre otras cosas.

La imagen de la izquierda muestra como cambiar el acceso directo que apunta a Internet Explorer, para que este sea un argumento de la aplicación DropMyRights, encargada de descartar privilegios del usuario que inició sesión.

A pesar de que la herramienta es antigua y sencilla, su uso está poco extendido siendo más común utilidades como las sandbox, donde se añade una nueva capa de seguridad y la información que se almacena en disco nunca será escrita.

Ambos métodos son independientes del navegador, y como se ha comentado en el artículo anterior, siempre es aconsejable disponer de la seguridad apropiada para cada una de las capas.

Leer más...

Como integrar ClamAV en Firefox

Como imaginamos ya todo el mundo sabe, la fundación Mozilla ha liberado la ultima versión de Firefox al publico, miles de blogs se han hecho eco de esta noticia y no es nuestra intención caer en la reiteración. Aprovechando el éxito de Firefox, nos sumamos a la iniciativa "a nuestra manera" explicando como integrar ClamAV con Firefox.

Para el que no lo sepa, ClamAV es un antivirus gratuito y de código abierto que, en origen, fue diseñado para trabajar en pasarelas de correo pero que finalmente evolucionó en un antivirus de propósito general y fue portado a Windows.

ClamAV, es un antivirus que tiene bastantes limitaciones. Tal vez, la mas evidente sea la ausencia de poder hacer escaneos en tiempo real. Para comprobar la integridad de un fichero, tenemos que escanearlo a mano. No obstante, ClamAV es un antivirus que cuenta con un ritmo de actualizaciones al nivel de cualquier otro y además, es muy eficiente en cuanto a consumo de recursos.

Para hacerse una idea general de las capacidades, mejor leer las comparativas:

Virus.gr
Pcmag.com

Ante el auge de las archi-conocidas extensiones para firefox, me puse a buscar si existía alguna que integrara ClamAV con Firefox. A primera vista no parece que haya una extensión específicamente hecha para ello, pero si se puede integrar haciendo uso de otra extensión: StatusBar.

Esta extensión es un gestor de descargas que amplía la funcionalidad por defecto de Firefox y dispone de una opción especifica para que, cuando descarguemos un archivo, automáticamente, sea escaneada por un antivirus.

Los detalles de como configurar la extensión para trabajar con ClamAV los encontré aquí.
El post enlazado está orientado a Firefox 1.x pero yo he constatado que funciona perfectamente con FireFox 3.

Aunque en principio todos tengamos en mente el binomio windows+antivirus, no está de mas configurar también en Linux Firefox para que realice un escaneo sobre los ficheros descargados, ya que nunca se sabe si indirectamente vamos a infectar un tercer equipo que use windows en algún re-envío.

Leer más...

SecurityTube, el youtube de la seguridad

Me hace especial gracia la forma en la que una idea genérica va evolucionando según pasa el tiempo y acaba teniendo toda una legión de ideas-derivadas en función de los diferentes contextos. En este caso voy a hablar de SecurityTube, que, como es fácil imaginar, se trata de un clon de Youtube enfocado a la seguridad informática.

A primera vista puede parecer una excentricidad, pero ojeando mas en profundidad su contenido, uno puede encontrar vídeos muy interesantes sobre herramientas, sistemas operativos, trucos y un largo etcétera bastante pedagógico.

La idea no es precisamente nueva, desde hace tiempo existen los vídeo-tutoriales sobre seguridad, por ejemplo uno con bastante solera es theacademy

¿Alguien se anima a subir un vídeo?

Leer más...