¿Ahora qué?: Entendiendo el Cumplimiento de Estándar PCI DSS V2 con EnCase – Parte III

La intención de esta serie de publicaciones de blog es ayudar a organizaciones a entender los estándares de la versión 2 de PCI DSS. Explicar cómo EnCase puede reducir la complejidad de el cumplimiento de normas PCI y finalmente ayudar con la medición de riesgo bajo estándares al igual que reducir el tiempo mientras se mejoran los resultados de la ejecución de los requerimientos. 

En las primeras dos publicaciones de esta serie, comenzamos nuestra vista general con cómo EnCase puede asistir en análisis de primera persona o de terceros relacionado a los Estándares de Seguridad de Datos de la Industria Pagos por Tarjeta de Crédito (PCI DSS) citando directamente del estándar mismo. En esta última publicación, echaremos un vistazo a qué tipos de datos de cuenta del titular de la tarjeta EnCase eDiscovery combinado con EnCase Enterprise puede ayudar a encontrar para luego terminar nuestro vistazo estándar por estándar.

Casos de Uso: EnCase Cybersecurity Cuando un Usuario de Interés Inicia Su Sesión

Situación

Es común requerir que el equipo TI o el equipo legal de una organización recolecte los datos de un usuario en particular en un dispositivo, tanto por motivos legales como para investigaciones de recursos humanos. Para facilitar este proceso, los componentes dedicados a la administración de la seguridad de la información y eventos de la red (SIEM, según su sigla en inglés) mantienen una lista de Sesiones de Usuario. Cuando la cuenta de un usuario de interés es vista en funcionamiento por los componentes SIEM, una regla correlacionada es iniciada para pasar a EnCase la dirección I.P. del dispositivo que está siendo utilizado por este usuario. 

¿Ahora qué?: Entendiendo el Cumplimiento de Estándar PCI DSS V2 con EnCase – Parte II

En la primera publicación, de esta serie de tres partes, hemos trabajado los básicos del Estándar de Seguridad en la Industria de Datos para la Industria de Tarjetas de Pago (PCI DSS, por sus siglas en inglés). Aprendimos acerca de la variedad de organizaciones que necesitan cumplir con los estándares PCI DSS, miramos también de cerca los requerimientos de cumplimiento en torno a organizaciones que precisan rastrear su almacenamiento, procesado y transmisión. 

Más importante aún, aprendimos acerca de cómo se aplican los estándares PCI DSS. Esta aplicabilidad merece ser repetida en este post:

El número primario de cuenta (PAN, por sus siglas en inglés) es el factor decisivo en la aplicabilidad de los requerimientos PCI DSS y PA-DSS. Los requerimientos PCI DSS son aplicables si el número primario de cuenta (PAN) es almacenado, procesado o transmitido. Si el PAN no es almacenado, procesado o transmitido, PCI DSS y PA-DSS no se aplican.

Casos de Uso: EnCase Cybersecurity Complementando un Filtro de Contenido Contra Acceso a Sitios de Hacking

Situación

Una empresa cuenta con un Filtro de Contenido de Internet entre sus herramientas de seguridad. Esta herramienta fue desarrollada y perfeccionada para controlar qué contenido de internet un usuario puede acceder y qué contenido es de acceso restringido. Este contenido restringido contiene mayormente sitios web; pero también puede incluir servidores de correo electrónico, protocolos específicos de mensajería instantánea, protocolos para intercambio de archivos (P2P), etc. 

Específicamente un Filtro de Contenido Web, tal como los reconocidos SmartWeb, WebSense y OPSEC entre otros, mantiene una lista extensa de sitios cuyo contenido no es apto para ser accedido por los usuarios de la empresa. Entre estos sitios, podemos encontrar sitios conocidos por contener información  y herramientas relacionadas al hacking. 

¿Ahora qué?: Entendiendo el Cumplimiento de Estándar PCI DSS V2 con EnCase – Parte I

El cumplimiento de estándares no es fácil. Toma tiempo y esfuerzo, especialmente cuando la seguridad de la información de la tarjeta de crédito del cliente está en juego. Esta publicación es la primera de una serie en la que discutiremos en detalle cómo los productos de EnCase eDiscovery y EnCase Cybersecurity pueden asistirle en una variedad de organizaciones para cumplir con el Estándar de Seguridad en la Industria de Datos para la Industria de Tarjetas de Pago (PCI DSS por sus siglas en inglés).

Casos de Uso: EnCase Cybersecurity Complementando un DLP Cuando se Conecta una Memoria USB

Situación

Muchas organizaciones prohíben el uso de memorias de almacenamiento USB, tales como memorias flash o discos duros externos para prevenir la fuga de información hacia estos aparatos. Cuando una organización cuenta con una solución para la Prevención de Pérdida de Datos, o DLP según su sigla en inglés, puede configurarla para detectar el momento en que uno de estas memorias es conectada a algún dispositivo de la red empresarial. Una solución DLP está diseñada para detectar los posibles incidentes de violación de datos en forma oportuna y prevenirlos mediante el control de datos; mientras están en uso (acciones tomadas en tiempo real en un dispositivo), en movimiento (cuando controla el tráfico de los datos en la red) y en reposo (cuando están guardados en un dispositivo de almacenamiento de datos).

Cuando una solución DLP detecta la conexión de alguno de estos dispositivos USB en una computadora de escritorio, portátil o servidor; envían una señal de alerta a los componentes dedicados a la administración de la seguridad de la información y eventos de la red (SIEM, según su sigla en inglés).

Casos de Uso: EnCase Cybersecurity Complementando un Filtro de Contenido Contra Spyware

Situación

Una empresa cuenta con un Filtro de Contenido de Internet entre sus herramientas de seguridad. Esta herramienta fue diseñada y optimizada para controlar a qué contenido de Internet un usuario tiene el acceso permitido y a qué contenido en particular tiene el acceso denegado. Este contenido incluye mayormente páginas web; pero también puede incluir servidores de correos electrónicos, protocolos específicos de mensajería instantánea, protocolos de intercambio de archivos (P2P), etc.

Cuando el Filtro de Contenido bloquea muchas conexiones salientes provenientes de un dispositivo en particular, existe una alta posibilidad de que el dispositivo mencionado haya sido infectado por spyware que esté tratando de propagarse por la red interna o que esté tratando de comunicar información confidencial a su creador. Ante una situación como la relatada, los componentes dedicados a la administración de la seguridad de información y eventos de la red (SIEM, según sus siglas en inglés) envían una señal de alerta.

Que Papel Juegan Los Metadatos Dentro De Una Evidencia?

En los estudios forenses de evidencia digital, existen hallazgos que son visibles al investigador y otros que son imperceptibles y que al descubrirlos juegan un papel importante durante el proceso de análisis y se pueden convertir en la prueba máxima (reina) de una investigación. De lo que estamos hablando es de los llamados “Metadatos” o “Datos sobre Dato”.

Al hablar de evidencias digitales, los metadatos son vitales para contextualizar un delito;  al descubrirlos podemos demostrar y mantener las características requeridas de integridad, autenticidad, conservación, trazabilidad  y permitir su acceso a largo tiempo.

La Infraestructura de la Ciberseguridad: Identificación, Colaboración y Defensa Proactiva

Piense en esto como una carrera armamentista: Todos, desde corporaciones hasta agencias gubernamentales, están engranados en un constante ciclo de combate con los ciberterroristas y criminales. Este ciclo sigue las siguientes fases:

• Las “personas malas” lanzan un nuevo tipo o método de ataque
• Algunas (sino todas) las organizaciones atacadas son invadidas
• Las consecuencias oscilan entre una real pérdida económica hasta la destrucción de recursos físicos (no virtuales) que causan que las organizaciones acosadas empiecen a estudiar e identificar la nueva amenaza
• Al menos una organización identifica el nuevo método de ataque
• La organización o el vendedor de recursos de seguridad encuentra una defensa contra esta nueva amenaza
• Corre la voz, y armadas con esta nueva inteligencia, las organizaciones comienzan a configurar las defensas apropiadas

Casos de Uso: EnCase Cybersecurity Complementando una Lista de Cuentas de Usuarios Desactivadas

Situación

Cuando un empleado es despedido de una empresa, las mejores prácticas dictan que su cuenta de usuario no sea borrada inmediatamente, sino que el acceso de la cuenta de usuario a los recursos de la empresa sea revocado. La cuenta del usuario debe ser mantenida mientras la empresa tenga una legítima necesidad comercial o legal de mantener los datos y registros del empleado de forma que las obligaciones contractuales sean cumplidas. Para evitar el mal uso de estas cuentas, los componentes dedicados a la administración de la seguridad de información y eventos de la red (SIEM, según sus siglas en inglés) mantienen una lista con el nombre de todas estas cuentas de usuarios.

Guerra de Fronteras: Respuestas de Incidentes vs. Investigación Forense

En mi trabajo, con frecuencia discutimos herramientas de seguridad y los procesos específicos que generan los requerimientos que demanda el uso de cada una de estas herramientas. Últimamente, hemos estado debatiendo las herramientas de respuesta a incidentes y procesos, contrastado con las herramientas de investigación forense y procesos. Obviamente, ambos tienen beneficios aparte que traen en conjunto a la disciplina general de seguridad. También tienen requerimientos diferentes, en términos del set de herramientas que se requieren para ejecutar aquellos procesos.

Para mí, los límites entre la investigación forense y la respuesta a incidentes siempre ha sido bastante clara. Quizás un poco confusa en el modo de comunicación entre ellas, pero no una gran nebulosa de incertidumbre. Como sea, últimamente, estoy comenzando a creer que allá afuera, para el resto de la comunidad puede que no esté tan claro. Podría estar errado… puede que no sea la primera vez, tampoco será la última, especialmente si me piden que mire a mis amigos cercanos.

Casos de Uso: EnCase Cybersecurity Complementando una Lista Negra / Contenido Malicioso Previamente Reconocido

Situación

Los componentes dedicados a la administración de la seguridad de información y eventos de la red (SIEM, según sus siglas en inglés) disponen de una lista negra. Esta lista negra contiene direcciones de IP y sitios de internet conocidos por generar correo no deseado (Spam), distribuir aplicaciones maliciosas y aplicaciones cuyo acceso no está permitido en la red de la empresa. Además de las direcciones IP y sitios de internet, esta lista también contiene nombres de archivos previamente reconocidos como usados por aplicaciones maliciosas que invaden los sistemas para extraer información confidencial, dañar sistemas y/o utilizar sus recursos.

Cuando Viejos Procesos Encuentran Nueva Tecnología

Como de costumbre, un artículo sirvió para conectar varios pedazos de información en los que estuve trabajando durante las pasadas semanas. Comencemos con el más reciente. Leyendo un artículo, en lo que la seguridad concierne en el liderazgo  del sistema de salud, fue lo que más me hizo pensar. Particularmente esta cita del artículo: “La meta en el sistema de salud es generalmente tratar a esos pacientes, no la seguridad y privacidad. Usted no tiene el mismo foco en seguridad y sistema de salud que ve el sector financiero.” Sí, eso suena correcto. Tiene sentido en cuanto a lo que he visto y experimentado. Estoy seguro que todos hemos visto que hay carteles en hospitales y otros centros de atención que dicen “No Fumar”, “Oxígeno en Uso” o algo parecido. Estas reglas tienen sentido para todos nosotros. Entendemos. El problema es, que no hay una regla sobre hacking en hospitales. Nuestro modelo de precios no nos permite un amplio equipo de seguridad, así que “por favor no nos hackeen”, simplemente no carga con el peso necesario como “no fume o nos hará estallar a todos.”

Casos de Uso: EnCase Cybersecurity Complementando un IPS, IDS o Firewall

Situación

Los componentes IPS, IDS o Firewall son aquellos que permiten detectar intrusos en una red informática y controlan el acceso a los dispositivos de la red para protegerlos de ataques y abusos.

Casos de Uso: EnCase Cybersecurity Complementando un Antivirus

Situación

Al escanear un dispositivo, la plataforma antivirus de una empresa ha encontrado procesos o archivos maliciosos que no pueden  ser remediados. 

Los virus utilizan una serie de métodos para impedir ser eliminados, entre ellos:

• Ejecutarse al iniciar el sistema: Los archivos abiertos no pueden ser borrados por los sistemas operativos. 
• Hacen que el explorador de Windows los ejecute: Esto dificulta aún más su borrado porque no se puede terminar este proceso en sistemas cuyo funcionamiento es crítico.
• Se esconden en carpetas de sistema, haciéndose pasar por elementos críticos del sistema
• Crean llaves en el registro para regenerar archivos y procesos dañinos previamente eliminados
• Niegan su acceso a otros usuarios al crearse credenciales únicas
• Modifican su ruta y nombre para dificultar su localización, etc.

Jumcar: Código malicioso dirigido a Latinoamérica

Jumcar es el nombre dado a una familia de código malicioso (malware) creado en Perú que tiene como objetivo comprometer las cuentas de banca en línea de usuarios latinoamericanos.

El descubrimiento del malware fue divulgado por Kaspersky Lab el día 20 de mayo del presente año. Se calcula que Jumcar ha estado infectando ordenadores de la región desde marzo de 2012. El ataque ha sido calificado como "específico y de alto impacto."

Jumcar. Desde Perú y con foco en América Latina [Parte 1]

El método utilizado por Jumcar para propagar el código malicioso es enviar correos electrónicos  mediante servidores previamente comprometidos. Los correos electrónicos se disfrazan como mensajes provenientes de redes sociales e instan al usuario a descargar un archivo. El archivo descargado oculta el código malicioso y lo instala en los ordenadores de los usuarios.

Jumcar inserta en el computador de los afectados código que reorienta las direcciones de entidades financieras a páginas clonadas fraudulentamente, usurpando nombres de usuario y contraseñas de los usuarios afectados.  Hasta el momento, se han descubierto páginas clonadas pertenecientes a grandes entidades financieras de Perú, Chile y Costa Rica.

El código malicioso también permite a los delincuentes tomar control del ordenador infectado, permitiéndoles modificar el método del ataque. Esto compromete a más usuarios en países como Colombia, Venezuela y Ecuador; países donde el malware también ha conseguido propagarse.

El avance del ciber-crimen en Latinoamérica ya no es ninguna novedad. Redes de computadoras infectadas (bot-nets) por  vOlk-Botnet, Chimba-Botnet, UELP, AlbaBotnet y PiceBOT ya han tenido como objetivo principal vulnerar las redes latinoamericanas. Técnicamente, lo que diferencia a Jumcar de estos ataques es que la totalidad de sus 50 variantes están programadas en lenguaje .NET, mientras que la gran mayoría de los ataques anteriores han sido programados en VB. Además, Jumcar utiliza algoritmos criptográficos simétricos y asimétricos para ocultar funciones específicas en su código fuente.

Otras características que diferencian a Jumcar son:

•    Una vez infecta el sistema se oculta en rutas de sistema con el nombre de archivos usuales en Windows.

•    Parámetros dinámicos cifrados con AES, TripleDES y RSA

•    Todos los sitios vulnerados para propagar el código cuentan con un archivo con los datos de pharming, un programa para enviar correos en masa y una puerta trasera (backdoor)

•    Genera claves en el registro del infectado para automatizar su arranque.

Jumcar es una prueba más del mayor grado de sofisticación que están adquiriendo los nuevos ataques a las redes latinoamericanas. EnCase Cybersecurity puede ayudarte identificar ataques regionales que tal vez no tiene firmas en antivirus u otras herramientas de seguridad.

RELACIONADOS

Cómo EnCase Puede Complementar Sistemas de Prevención de Pérdida de Datos (DLP)

Informe: Tendencias en la seguridad cibernética en América Latina y el Caribe y respuestas de los gobiernos

Unirse a Nuestro Grupo de LinkedIn en Español Sobre EnCase

Informe: Tendencias en la seguridad cibernética en América Latina y el Caribe y respuestas de los gobiernos

La empresa de antivirus, Trend Micro, publicó un informe sobre las tendencias en la seguridad cibernética en América Latina y el Caribe y respuestas de los gobiernos en 2012. Puede leer el informe en español al link abajo.

http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-tendencias-en-la-seguridad-cibernetica-en-america-latina-y-el-caribe-y-respuestas-de-los-gobiernos.pdf

Sus conclusiones en general incluyen las seguientes:

En 2012, los gobiernos observaron un aumento general en la frecuencia de los incidentes cibernéticos en comparación con 2011, incluso cuando los datos cuantitativos definitivos eran incompletos o no estaban disponibles. El mínimo incremento evaluado en los incidentes cibernéticos durante el período de 2011 a 2012 registrado por un gobierno fue de entre el 8% y el 12%, mientras que en el extremo superior otros dos países registraron un incremento del 40%. La mayor parte de los gobiernos citaron aumentos en algún punto dentro de esta escala, aunque es interesante observar que varios informaron que, en términos globales, se detectaron menos incidentes.

Espero mas informes especifico a Latinoamerica sobre esta tema en el futuro.

RELACIONADOS

Empresas Gastarían $114,000 Millones Para Controlar Ataques Cibernéticos

‘MiniDuke’: Nuevo Malware Que Espía Instituciones Gubernamentales

Unirse a Nuestro Grupo de LinkedIn en Español Sobre EnCase

Empresas Gastarían $114,000 Millones Para Controlar Ataques Cibernéticos

La cantidad de esfuerzo necesario para luchar contra los ataques cibernéticos y malware finalmente se ha monetizado.

Como resultado de dichas infecciones, la investigación muestra que los consumidores dedicarán 1,500 millones de horas y [US]$22,000 millones a identificar, reparar y recuperarse del impacto del malware, mientras que las empresas globales gastarán [US]$114,000 millones para manejar el impacto de los ataques cibernéticos inducidos por el malware.

http://dineropanama.com/2013/03/09/empresas-gastarian-114000-millones-para-controlar-ataques-ciberneticos/

Hay un número de maneras en que EnCase puede ayudar con los problemas de malware. Por ejemplo, el artículo continúa diciendo lo siguiente:

“La realidad del delito cibernético es que los falsificadores alteran el código del software y lo contaminan con malware”, dijo David Finn, abogado general asociado del Centro de Delitos Cibernéticos de Microsoft. “Algunos tipos de este malware registran cada tecla que oprime la persona —lo que permite a los delincuentes cibernéticos robar la información personal y financiera de la víctima— o invierte en forma remota el micrófono y la videocámara de la computadora infectada, con lo cual los delincuentes cibernéticos pueden ver y escuchar lo que sucede en las salas de juntas o en las salas de estar.

Con EnCase, usted puede fácilmente examinar un ordenador en profundidad o mirar a través de cada estación de trabajo, servidor, y el ordenador portátil en su organización para buscar los indicadores de malware. Con algunos modulos de EnCase, puede ignorar todos los archivos conocidos en los ordenadores y acaba de hacer búsquedas en los archivos desconocidos.

EnCase te da la oportunidad de luchar de éxito en este nuevo mundo del malware avanzado y otras amenazas.  La mejor parte es que puedes tener más tiempo para pasar con su familia y amigos,


RELACIONADOS

El Negocio de la Cibercrimen Supera El Negocio de las Drogas Ilegales

‘MiniDuke’: Nuevo Malware Que Espía Instituciones Gubernamentales 

Unirse a Nuestro Grupo de LinkedIn en Español Sobre EnCase

Unirse a Nuestro Grupo de LinkedIn en Español Sobre EnCase

Si no lo sabías, EnCase tiene un grupo en LinkedIn. Aquí está el link

http://www.linkedin.com/groups?gid=4476438

También tengo un feed de Twitter en español

https://twitter.com/LATAMTony

‘MiniDuke’: Nuevo Malware Que Espía Instituciones Gubernamentales

El tamaño del negocio cibercrimen sigue cambiando la naturaleza de las amenazas en contra de su información. Los bancos no son las únicas organizaciones que están en riesgo de ataques de malware especializado. Hay un nuevo malware se llama "Mini Duke" que se especializa en atacar a las instituciones gubernamentales. Este archivo de malware es muy pequeño y sólo pesa 20kb

[E]stá programado para evitar el análisis de un conjunto de herramientas cifradas de algunos entornos, como VMware. Si localiza alguno de estos indicadores, se ejecutará en ese entorno en lugar de pasar a otra etapa que exponga más su funcionalidad, lo que indica que los creadores del malware saben exactamente lo que los profesionales de la industria de la seguridad TI están haciendo con el fin de analizar e identificar malware.

http://www.antilavadodedinero.com/riesgos_det.php?id=135

Más interesante, este malware utiliza Twitter para comunicarse con el propósito de mando y control

Un análisis de malware a nivel forense nunca falla. En comparación, inteligencia de amenazas, hashes, bases de datos de firmas, "genomas", bases de datos de comportamiento y estos sólo son buenos hasta que fallan de encontrar algo. Con la inteligencia de que todo el mundo está tratando de vender, tienen que tener la suerte de saber lo que están buscando y tienen las definiciones que lo respalde en la mayoría de los casos.

Los estudios muestran que se necesita un promedio de 271 días (o mejor dicho 10 meses) para identificar un malware nuevo y crear un archivo de firma. La intención de este artículo no es simplemente para informarle de que hay otro malware peligroso en el mundo enfocado en los gobiernos. El objetivo más grande es demostrar que usted necesita herramientas avanzadas que no tienen dependencias en las firmas de archivos para detectar malware avanzado.

Usted también necesita herramientas que pueden complementar su inversión existente en antivirus.

EnCase Cybersecurity es esa herramienta. Aunque EnCase puede vincular fácilmente a las listas negras de malware conocido, EnCase mismo no depende de firmas fiile para identificar código desconocido en sus sistemas. Con EnCase, puede excluir archivos conocidos de sus sistemas y desarrollar criterios de búsqueda para analizar lo que queda. Esto le da una buena oportunidad para identificar nuevo malware sin firma y remediar (o borrar forensicallly) la nueva amenaza.

Esta es la razón por Encase es la elección de los 10 bancos más grandes del mundo y cientos de organizaciones gubernamentales de todo el mundo para proteger su información y detectar la evolución de las amenazas de malware

RELACIONADOS

Existen Mercados Para Comprar Malware Nuevo 

El Negocio de la Cibercrimen Supera El Negocio de las Drogas Ilegales