Seguridad Informatica. Antivirus, ataquesinformaticos

Fernando Tricas Garcıaftricas@unizar.es

Dpto. de Informatica e Ingenierıa de Sistemas de la Escuela de Ingenierıa yArquitectura de la Universidad de Zaragozahttp://webdiis.unizar.es/~ftricas/

@fernand0

22 de septiembre de 2015

Indice1 El ordenador

2 El sistema

3 Los programas

4 Las redes

5 Utilizacion

6 Malware

7 Phishing y otros enganos

8 Dinero y compras

9 El movil

10 El Correo Eletronico

11 Las claves

12 Redes sociales

13 Para saber mas

14 Conclusiones

No solo ordenadores

El sistema

Deberıa ser automatico, si no hemos tocado nada...

I http://windowsupdate.microsoft.com (con Explorer)

I Ejecutandolo desde el boton de Inicio (tecleamos Update)

¡Una vez al mes! (segundo martes de cada mes)

El sistema

Deberıa ser automatico, si no hemos tocado nada...

I http://windowsupdate.microsoft.com (con Explorer)

I Ejecutandolo desde el boton de Inicio (tecleamos Update)

¡Una vez al mes! (segundo martes de cada mes)

No hay problema, no uso Windows...

http://www.reuters.com/article/2014/12/23/us-apple-cybersecurity-idUSKBN0K108W20141223

No hay problema, no uso Windows...

http://arstechnica.com/security/2015/01/

highly-critical-ghost-allowing-code-execution-affects-most-linux-systems/

El sistema

¡Actualizar!

I Utilizar el servicio del fabricante

I Seguir las instrucciones

I Esperar a que termine

I Asegurarse de que todo ha ido bien

Instalar los programas desde sitios confiables

Incluso en sitios confiables hay que estar atentos

http://www.zdnet.com/article/

a-close-look-at-how-oracle-installs-deceptive-software-with-java-updates/

Y actualizar los programas

¡En el movil tambien!

Y actualizar los programas

¡En el movil tambien!

En red

Precaucion basica: conectarnos a sitios confiables

Y estar atentos

http://www.yorokobu.es/en-el-ojo-ajeno-la-publicidad-sin-humos/

Precaucion basica: conectarnos a sitios confiables

Y estar atentos

http://www.yorokobu.es/en-el-ojo-ajeno-la-publicidad-sin-humos/

Redes inalambricas (la WiFi)

La informacion setransmite por el aire(radio)

Precauciones WiFiLa nuestra

I Cuidado con las claves (cambiarlas)I La de administracion del RouterI La de la conexion

I Configuracion WPA2 siempre que sea posible. No usar WEP

I Si tenemos que compartirla (negocio, bar, ...), utilizar dosredes

miRed miRed-invitadosI ¡Con WPA2!I Que sea facil de reconocer

Precauciones WiFiY cuando nos conectamos nosotros ...

¡Solo HTTPS o VPN!¡Solo redes ‘conocidas’ !

Todo es muy rapido pero no pasa nada por ir despacio

http://www.flickr.com/photos/pagedooley/3631795699/

Virus, troyanos, programas maliciosos

I Cualquier programa ‘extrano’ que ejecutemos espotencialmente peligroso.

I Incluso algunos aparentemente utiles/divertidos/‘interesantes’

http://peru21.pe/actualidad/

difunden-correo-fraudulento-que-dana-imagen-nadine-heredia-2100939

Virus, troyanos, programas maliciosos

I No sabemos lo que puede hacer un programa de origendesconocido

I Lo mejor:I De alguna empresa ‘reconocida’I Que este disponible el codigo fuente

MalwareI Virus, troyanos, ...I Espıas (‘spyware’)I ‘Secuestradores’ (‘ransomware’)

MalwareI Virus, troyanos, ...I Espıas (‘spyware’)I ‘Secuestradores’ (‘ransomware’)

¿Como nos llegan?I Programas normales infectados.I Programas que producen efectos graciosos (felicitaciones,

bromas, ...).I Incluso falsos antivirus (!!)

FAKEAV

http://blog.trendmicro.com/trendlabs-security-intelligence/

theyre-here-threats-leveraging-windows-8/

¿Que hacer?

I Desconfiar

I Preguntar

I Al menos, buscar

I Disponer de un antivirus (y utilizarlo, y actualizarlo).

I Nunca ejecutar programas ni abrir ficheros del exterior (sincuidado).

I Utilizar los perfiles de usuario.

I Ningun sitio serio (y los bancos lo son con estas cosas) lepedira la clave nunca.

¿Donde buscar?

http://www.osi.es/recursos/utiles-gratuitos

http://www.osi.es/es/actualidad/blog

¿Que hacer?

I Desconfiar

I Preguntar

I Al menos, buscar

I Disponer de un antivirus (y utilizarlo, y actualizarlo).

I Nunca ejecutar programas ni abrir ficheros del exterior (sincuidado).

I Utilizar los perfiles de usuario.

I Ningun sitio serio (y los bancos lo son con estas cosas) lepedira la clave nunca.

¿Donde buscar?

http://www.osi.es/recursos/utiles-gratuitos

http://www.osi.es/es/actualidad/blog

Un buzon de correo cualquiera

Phishing y otros enganos. Mensaje

2015-02-08

¿Es el mecanismo correcto? ¿Les hemos dado nuestra direccion?

Phishing y otros enganos. Mensaje

2015-02-08¿Es el mecanismo correcto? ¿Les hemos dado nuestra direccion?

Phishing y otros enganos. Mensaje

2015-02-10

¿face-book?¿Hay algo mas ‘raro’?

Phishing y otros enganos. Mensaje

2015-02-10

¿face-book?¿Hay algo mas ‘raro’?

Phishing

http://www.gremios-unoa.com/css?https=aunclic=http://www.grupbancolombia.com/

Phishing

http://www.gremios-unoa.com/css?https=aunclic=http://www.grupbancolombia.com/

PhishingPinchamos..

Redireccion

¿ http://190.171.91.61/sitioseguro/olb/Init.php ?

PhishingPinchamos.. Redireccion

¿ http://190.171.91.61/sitioseguro/olb/Init.php ?

PhishingPinchamos.. Redireccion

¿ http://190.171.91.61/sitioseguro/olb/Init.php ?

Phishing

¿ https://bancolombia.olb.todo1.com/olb/Init.php ?

http://190.171.91.61/sitioseguro/olb/Init.php

Phishing

¿ https://bancolombia.olb.todo1.com/olb/Init.php ?

http://190.171.91.61/sitioseguro/olb/Init.php

Phishing

¿ https://bancolombia.olb.todo1.com/olb/Init.php ?

http://190.171.91.61/sitioseguro/olb/Init.php

¿Entonces?

I Conexion segura.Pero... https solo garantiza que la conexion es cifrada, no quesea ‘la buena’

I Acceder como normalmente (favoritos, escribiendo la URL,. . . ).

I Pero lo tenemos complicado...

I En caso de duda

I PreguntarI Buscar

Dinero, compras en la red

I Para pagarI una tarjeta ‘de internet’I asegurarse de que todo es razonable (avisos legales, contacto,

...)(cuesta poco buscar ...)

I ver quien lo esta usandoI pruebas ‘pequenas’

I Para cobrarI Una cuenta solo para cobrosI ¿Pasarelas de pago?

I ¿Necesitamos eso?

I Paypal y similaresI Pero cuidado con las empresas de envıo de dinero

¡Cuidado con las herramientas!

I ¿Nuestro ordenador es de trabajo? (movil, tableta, ...)I No se juegaI No se instalan otros programas

Como mınimo ...

I ¿Un usuario diferente para pagar cosas?

I Incluso con el ordenador del trabajo

Ventanas de incognito

El absoluto mınimo-mınimo si no es posible otra cosa

I No quedara (casi) rastro de nuestra navegacionI Datos de formulariosI CookiesI Otra informacion temporal

I Podemos abrir una ventana en este modo,

I Al pinchar en un enlace (con el boton derecho) pedir que loabra ası.

¡En el movil todavıa mas atencion!

I Anotamos el IMEI (Para saberlo: *#06#)

I Ponemos un PIN (o algun tipo de comprobacion)

I Activamos el bloqueo automatico

I Hacemos copias de seguridad

I Los sistemas actuales permiten tener el contenido cifrado

I Instalamos un antivirus?

http://www.osi.es/smartphone-y-tablet

I Ojo con programas/sistemas alternativos

I Ojo llamadas ’desconocidas’

Facil perderlos

¡En el movil todavıa mas atencion!

I Anotamos el IMEI (Para saberlo: *#06#)

I Ponemos un PIN (o algun tipo de comprobacion)

I Activamos el bloqueo automatico

I Hacemos copias de seguridad

I Los sistemas actuales permiten tener el contenido cifrado

I Instalamos un antivirus?

http://www.osi.es/smartphone-y-tablet

I Ojo con programas/sistemas alternativos

I Ojo llamadas ’desconocidas’

Facil perderlos

En la nube

I Comodidad, convenienciaI ¿Donde esta? ¿Quien puede leerlo? ¿Si algo va mal?

I Cifrarlo

I Tambien puntualmente (de viaje, por ejemplo...).

Rumores

Julio 2015

Cadenas de correo

...

¡Falso!I Cuesta poco buscar en la web y comprobar

I Casi siempre falsasI En la duda, mejor no contribuir

Reenviando mensajes

¡Solo los legıtimos!I Si nos lo enviaron, ¿queremos retransmitir la direccion del

remitente?I Si es mucha gente, ¿queremos que todos tengan la direccion

de los demas?I Utilizar Copia oculta (Bcc: Cco:)

Mensajerıa instantanea, redes sociales, .... ¡Parecido!

Algo puede ir malI Estar preparados para lo peor (copias de seguridad).

http://www.flickr.com/photos/fernand0/4675610612/

Las claves

http://www.flickr.com/photos/12129374@N00/3964214880/

Las claves

Elegimos claves muy malas

”Dazzlepod. Disclosure Project. Available from:

http://dazzlepod.com/disclosure/; Accessed: November 10, 2012.”

¡El tamano importa!(Y el contenido tambien)

Clave de longitud 8Clave Combinaciones Numero de claves por segundo

10.000 100.000 1M 10M 100M 1000M

Numeros (10) 100 M 2 34

h. 17 m. 1 12

m. 10 s. Inmediato Inmediato

Caracteres (26) 200.000 M 242 d. 24 d. 2 12

d. 348 m. 35 m. 3 12

m.

May. y Min (52) 53 MM 169 12

a. 17 a. 1 12

a. 62 d. 6 d. 15 h.

Car. y Num. (62) 218 MM 692 a. 69 14

a. 7 a. 253 d. 25 14

d. 60 12

h.

Car., Num. y Sım. (96) 72.000 MM 22.875 a. 2.287 a. 229 a. 23 a. 2 14

a. 83 12

d.

I 100,000 Passwords/seg. Recuperacion de contrasena Microsoft (Archivos .PWL)en un Pentium 100

I 1,000,000 Passwords/seg. Recuperacion de contrasena de un archivo comprimido en ZIP o ARJ Pentium100

I 10,000,000 Passwords/seg. Recuperacion de cualquiera de las contrasenas anteriores con un PC(Monoprocesador +2Gh)

I 100,000,000 Passwords/seg. Recuperacion de una contrasena con un cluster de microprocesadores o conmultiples Pcs trabajando de manera simultanea.

I 1,000,000,000 Passwords/seg. Recuperacion de una contrasena utilizando una supercomputadora o una redde ordenadores interconectados a gran escala, por ejemplo (160000 computadoras PII 266MHz 24/7)

http://www.tufuncion.com/ataques-passwords-hacker-msn

A partir de 10 o 12 caracteres

¡Ayuda!Apuntarlo

http://keepass.info/

¡Ayuda!Que sea facil de recordar

El gato que esta triste y azul

1. Egqetya

2. Anadir caracteres especiales

3. Posiciones no predecibles

4. Anadir algun numero Eg6Q-et %ya

¡Ayuda!Que sea facil de recordar

El gato que esta triste y azul

1. Egqetya

2. Anadir caracteres especiales

3. Posiciones no predecibles

4. Anadir algun numero Eg6Q-et %ya

¡Ayuda!Que sea facil de recordar

El gato que esta triste y azul

1. Egqetya

2. Anadir caracteres especialesEgq-et %ya

3. Posiciones no predecibles

4. Anadir algun numero Eg6Q-et %ya

¡Ayuda!Que sea facil de recordar

El gato que esta triste y azul

1. Egqetya

2. Anadir caracteres especiales

3. Posiciones no predeciblesEgQ-et %ya

4. Anadir algun numero Eg6Q-et %ya

¡Ayuda!Que sea facil de recordar

El gato que esta triste y azul

1. Egqetya

2. Anadir caracteres especiales

3. Posiciones no predecibles

4. Anadir algun numero Eg6Q-et %ya

¡Ayuda!

¡Importante!Creo mis propias reglas para

posiciones, caracteres, numeros...

No utilizar la misma clave en sitiosdiferentes

Cambiar de vez en cuando

¡Ayuda!

¡Importante!Creo mis propias reglas para

posiciones, caracteres, numeros...

No utilizar la misma clave en sitiosdiferentes

Cambiar de vez en cuando

Puede ser buena idea...

I Activar la autentificacion en dos pasos

Aunque algunas veces puede provocarnos inconvenientes(SMS,...)

Puede ser buena idea...

I Activar la autentificacion en dos pasos

Aunque algunas veces puede provocarnos inconvenientes(SMS,...)

En redes sociales. Consejos

I Aprender y comprender las opciones de privacidad

I Tener un perfil ‘razonable’ es mejor que no tener perfil y quealguien lo haga con nuestro nombre

I Cuidado con las imagenes, ¿Quien puede verlas? ¿Si algo vamal?

I Cuidado al etiquetar a otros

Responsabilidad

I No publicar/difundir informaciones falsas, rumores, ...

I Rectificar y reconocer los errores. Retirar la informacion quenos soliciten

I No publicar informacion privadaI En particular, donde vivo, donde estoy, no estoy ...

http://www.enisa.europa.eu/activities/cert/

security-month/material/awareness-raising-video-clips

I No publicar imagenes o vıdeos sin el consentimiento de losque aparecen. Retirarla rapidamente si nos lo piden.

I No almacenar datos de otros. Ası no podemos perderlos y nopueden robarnoslos.

Recomendaciones a Usuarios de Internet. Edicion 2009. Agencia deProteccion de Datos.https://www.agpd.es/portalweb/canaldocumentacion/publicaciones/common/pdfs/guia_recomendaciones_

internet_052009.pdf

Para saber mas

I Instituto de Tecnologıas de la Comunicacion

http://www.inteco.es/

I Oficina de Seguridad del Inernauta

http://www.osi.es/

I Agencia de Proteccion de Datos

http://www.agpd.es/

I Twitter de la @policia

Conclusiones

I La red fue disenadad para dar fiabilidad y robustez, noseguridad.

I Mejor prudente y cuidadoso que excesivamente rapido

I En algunos casos, la comodidad es enemiga de la seguridad.

I La seguridad es un proceso

I Seguridad como gestion del riesgo

I No hay sustitutos para la sensatez y la prudencia

¡Gracias!ftricas@unizar.es@fernand0http://webdiis.unizar.es/~ftricas/http://fernand0.blogalia.com/

http://www.flickr.com/photos/atalaya/28400415/

Enlaces

htps://www.kickstarter.com/projects/597507018/

pebble-time-awesome-smartwatch-no-compromises

http://www.google.com/get/cardboard/

https://grahamcluley.com/2015/02/bmw-security-patch/

http://gizmodo.com/

samsungs-smart-tv-privacy-policy-raises-accusations-of-1684534051

http://www.flickr.com/photos/mikeblogs/8114676975/

http://www.elandroidelibre.com/2015/07/

el-microfono-oculto-en-los-samsung-es-en-realidad-el-chip-nfc.

html

http://www.europapress.es/portaltic/socialmedia/

noticia-santiago-segura-le-hackean-cuenta-twitter-protegida-contrasena-amiguetes-20150312125906.

html