Evita ser hacker amb aquests 3 passos

Fins ara crec que no he tocat un dels meus temes favorits, seguretat informàtica, I considero que aquest serà el tema que els vinc a explicar avui 🙂 Espero que després d'aquest petit article puguin tenir una millor idea del que pot ajudar a tenir un millor control dels seus riscos i com mitigar bastants a el mateix temps.

Riscos per tot arreu

És inevitable, en aquest any només, ja portem més de 15000 vulnerabilitats descobertes i assignades de manera públic. Com ho sé? Perquè part del meu treball és revisar CVEs en els programes que fem servir en Gentoo per saber si correm programari vulnerable, d'aquesta manera podem actualitzar-lo i assegurar que tots en la distribució tinguem equips segurs.

CVE

Vulnerabilitats i exposicions comunes per les sigles en anglès, són els identificadors únics que s'assignen a cada vulnerabilitat existent. Puc dir amb molta alegria que diversos Developers d'Gentoo donen suport a bé de la humanitat, investigant i publicant les seves troballes perquè puguin ser corregits i solucionats. Un dels últims casos que vaig tenir el gust de llegir va ser el de Optionsbleed; una vulnerabilitat que afectava servidors Apache a nivell mundial. Per què dic que estic orgullós d'això? Doncs perquè ells fan un bé a el món, mantenir les vulnerabilitats en secret només beneficia a pocs, i les conseqüències d'això poden ser catastròfiques depenent de l'objectiu.

CNA

Les CNA són entitats encarregades de sol·licitar i / o assignar CVEs, per exemple, tenim la CNA de Microsoft, encarregada d'agrupar les seves vulnerabilitats, resoldre-les i assignar-los un CVE per al seu posterior registre al llarg de el temps.

Tipus de mesures

Anem a començar aclarint que cap equip és o serà 100% segur, i com deia un refrany bastant comú:

L'únic equip 100% segur és aquell que es troba tancat en una volta, desconnectat d'internet i apagat.

Perquè és cert, els riscos sempre hi seran, coneguts o desconeguts, només és qüestió de temps pel que enfront de el risc podem fer el següent:

mitigar-

Mitigar un risc no és més que reduir-(NO anul·lar-). Aquest és un punt bastant important i crucial tant a nivell empresarial com personal, un no vol ser «hacker», però francament el punt més feble de la cadena no és l'equip, ni el programa, ni tan sols el procés, és l'humà.

Tots tenim costum de culpar altres, siguin persones o coses, però en seguretat informàtica, la responsabilitat sempre és i serà de l'humà, podràs no ser tu directament, però si no segueixes el camí adequat, seràs part d'el problema. Més endavant els dono un petit truc per mantenir-se una mica més segurs 😉

transferir-

Aquest és un principi prou conegut, hem de imaginar com un banc. Quan el teu necessites tenir cura teus diners (em refereixo de manera física) el més segur és deixar-ho amb algú que tingui la capacitat de protegir-molt millor que tu. No necessites tenir la teva pròpia volta (encara que seria molt millor) per poder tenir cura coses, només has de comptar amb algú (de confiança) perquè guarda una mica millor que tu.

acceptar-

Però quan el primer i el segon no apliquen, doncs aquí és on ve la pregunta realment important. Quin tant val aquest recurs / dada / etc per a mi? Si la respueseta és molt, doncs hauries de pensar en els primers dos. Però si la resposta és un no tant, Potser simplement hagis acceptar el risc.

Cal afrontar-lo, no tot és mitigable, i algunes coses mitigables costarien tants recursos que seria pràcticament impossible aplicar una solució real sense haver de canviar i invertir molt de temps i diners. Però si pots analitzar allò que intentes protegir, i no troba el seu lloc en el primer o segon pas, doncs simplement porta-ho al tercer pas de la millor manera, no li donis més valor de què té, i no ho barregis amb coses que realment tenen valor.

Mantenir-se a el dia

Aquesta és una veritat que escapa a centenars de persones i negocis. La seguretat informàtica no es tracta de complir amb el teu auditoria 3 vegades a l'any i esperar que res succeeixi en els altres 350 dies. I això és veritat per a molts administradors de sistemes. Jo fa poc a la fi em vaig poder certificar com LFCS (Els deixo a vostès buscar a on ho vaig fer 🙂) i aquest és un punt crític durant el curs. Mantenir a el dia el teu equip i els seus programes és vital, crucial, Per evitar la majoria de riscos. Segur aquí molts em diran, però el programa que fem servir no funciona a la següent versió o alguna cosa semblant, ja que la veritat és que el teu programa és una bomba de temps si no funciona a l'última versió. I això ens porta a l'anterior apartat, ¿Pots mitigar-?, Pots transferir-?, ¿Pots acceptar-ho? ...

En realitat, només per tenir-ho present, segons les estadístiques 75% dels atacs de seguretat informàtiques són originats des de l'interior. Això pot ser perquè té usuaris a l'empresa incauts, o malintencionats. O que els seus processos de seguretat no li han fet difícil a un hackers irrompre en els seus locals o xarxes. I gairebé més de l'90% d'atacs són originats per programari desactualitzat, no per vulnerabilitats de dia zero.

Pensa com màquina, no com humà

Aquest serà un petit consell que els deixo a partir d'ara:

Pensin com màquines

Per als que no comprenguin, ja que ara els dono un exemple.

Els presento a John. Entre els amants de la seguretat és un dels millors punts de partida quan comences en el món de l' ethicla hacking. John es porta de meravella amb el nostre amic cruixit. I bàsicament agafa una llista que se li lliura i comença a provar les combinacions fins a trobar una clau que resolgui la contrasenya que cerca.

Cruixit és un generador de combinacions. això vol dir que tu li pots dir a crunch que vols una contrasenya amb 6 caràcters de llarg, que contingui lletres minúscules i majúscules i crunch començarà a provar un per un ... alguna cosa com:

aaaaaa,aaaaab,aaaaac,aaaaad,....

I es preguntaran quant temps porta anar per tota la llista segur ... no pren més d'uns quants minuts. Per als que es van quedar amb la boca oberta, permetin-me explicar-los. Com conversem anteriorment, la baula més feble de la cadena és l'home, i la seva forma de pensar. Per un ordinador no és complicat provar combinacions, és una cosa summament repetitiu, i amb el passar dels anys els processadors s'han tornat tan poderosos que no necessiten més d'un segon per fer mil intents, o fins i tot més.

Però ara el bo, l'exemple anterior és amb el pensament humà, ara anem pel pensament de màquina:

Si li diem a crunch que comenci a generar una contrasenya amb només 8 dígits, sota els mateixos requeriments anteriors, hem passat de minuts a hores. I endevinin què passa si li diem que faci servir més de 10, es converteixen en dies. Per a més de 12 ja estem en mesos, A més de el fet que la llista seria de proporcions que no podrien ser emmagatzemades en un ordinador normal. Si arribem a 20 parlem de coses que un ordinador no podrà desxifrar en centenars d'anys (amb els processadors actuals és clar). Això té la seva explicació matetmática, però per qüestions d'espai no es les vaig a explicar aquí, però per als més curiosos té molt a veure amb la permutació, Les combinatòries i les combinacions. Per ser més exactes, amb el fet que per cada lletra que afegim a l'llarg tenim gairebé 50 possibilitats, així ens quedarà alguna cosa com:

20^50 possibles combinacions per a la nostra última contrasenya. Ingressin aquest nombre al seu calculadora perquè vegin quantes possibilitats hi amb una clau de longitud de 20 símbols.

Com puc pensar com màquina?

No és senzill em dirà més d'un pensar en una clau de 20 lletres seguides, sobretot amb l'antic concepte que les contrasenyes són paraules clau. Però vegem un exemple:

dXfwHd

Això és difícil de recordar per a un humà, però summament senzill per a una màquina.

caballoconpatasdehormiga

Això d'altra banda és summament fàcil de recordar per a un humà (fins i tot divertit) però és un infern per cruixit. I ara més d'un em dirà, ¿però no és recomanable també canviar de manera seguida les claus? Sí, és recomanable, de manera que ara podem matar dos ocells d'un tret. Suposem que aquest mes estic llegint El Quixot de la taca, tom I. En la meva contrasenya posaré alguna cosa com:

ElQuijoteDeLaMancha1

20 símbols, cosa bastant difícil de descobrir sense conèixer-me, i el millor és que quan acabi el llibre (suposant que llegeixen de forma constant 🙂) sabran que han de canviar la contrasenya, fins i tot el canviar a:

ElQuijoteDeLaMancha2

És ja un progrés 🙂 i segurament els ajudarà a mantenir les seves contrasenyes segures i a el mateix temps els recordarà que han d'acabar el seu llibre.

Ja és prou el que he escrit, i encara que em encataría poder parlar sobre molts més temes de seguretat, el deixarem per a un altre moment 🙂 Salutacions