Flu Project » Entrevistas

Begoña Merino entrevista a Flu Project

juanantonio.calles — Tue, 27 Mar 2012 22:11:29 +0000

El pasado mes de diciembre tuve el gusto de impartir en nombre de Flu Project un taller para cuerpos policiales en la localidad de Malgrat de Mar (Barcelona) titulado “El lado oscuro de la red”. Una experiencia muy gratificante en la que pude compartir ideas y conocimientos con grandes profesionales. Unos dias después, se puso en contacto con nosotros la periodista Begoña Merino, para entrevistarnos sobre la temática de la ciberseguridad y los crímenes en la red para la publicación de su artículo “En guardia frente al ciberdelito“.

Os dejamos con una breve mención a su interesante artículo:

“En una tarde es fácil encontrar en la red las instrucciones para cometer un cibercrimen, y no hace falta ser un experto”, dice Núria Mas, de 3enraya Informàtics, organizadores del curso de formación en cibercrimen, hacking y seguridad informática puesto en marcha en colaboración con la International Police Association, la Policía Local de Malgrat de Mar, Evidentia Investigación Digital, Consulting Group y el Máster en Criminalística de la Universidad Autónoma de Barcelona. Según el estudio Ciberdelitos: el impacto humano, publicado por la compañía Norton el pasado año, el 65% de los adultos de todo el mundo fueron víctimas de un ciberdelito.

La matriculación en el curso está restringida a cuerpos de seguridad y juristas. Entre otras habilidades, los asistentes aprenden técnicas de hacking ético o hacking puesto al servicio de una buena causa, en este caso, cómo utilizar un virus informático para neutralizar el anonimato tras el que actúan los acosadores sexuales a menores en la red y poder detenerlos. El ponente de este módulo, Juan Antonio Calles, es creador de Flu Project junto con Pablo González y ha prestado su apoyo técnico en operaciones de hacking ético a la policía colombiana que llevaron a la identificación del acosador de una menor de 14 años.

Pero el cibergrooming, que es como se conoce la práctica de acoso sexual online a menores, es solo uno de los muchos cibercrímenes a los que está expuesto cualquier usuario de Internet. La red es en este momento una especie de salvaje Oeste por el que campan todo tipo de amenazas: actividades de piratas informáticos, ciberacosadores, mafias organizadas que venden redes de ordenadores zombis y software de encargo para delincuentes, ciberguerras, virus que toman el control del ordenador, códigos informáticos maliciosos, fraudes en ventas en línea, robo de contraseñas, venta por lotes de tarjetas de crédito robadas, apropiación de identidades en redes sociales, acosadores sexuales, fraudes online con tarjetas de crédito, estafas como las loterías online, ofertas de empleo fraudulentas,phishing… y todo lo que da de sí la imaginación del delincuente y la ingenuidad del usuario desprevenido.

Podéis acceder al articulo online completo desde el siguiente enlace:

http://www.tecnicaindustrial.es/TIFrontal/a-4627-En-guardia-frente-ciberdelito.aspx

O descargar la versión PDF desde este otro enlace:

http://www.tecnicaindustrial.es/TIAdmin/Numeros/82/1608/a1608.pdf

Saludos!

Llega la hora de hacer preguntas a nuestro próximo entrevistado, Silverhack

juanantonio.calles — Fri, 23 Dec 2011 23:01:39 +0000

Esta noche es nochebuena y mañana navidad! día de estar con la familia, apurar las últimas compras antes de la noche buena, preparar los turrones y esperar largas caravanas en las carreteras.

Pero caravanas no van a ser precisamente las que nos frenen a la hora de realizar las preguntas al próximo entrevistado, ya que vuestros votos han dado como elegido a nuestro gran amigo Juanillo, conocido por los rincones oscuros de Internet como Silverhack, y al que tenemos la suerte de tener muy cerca

Ahora llega vuestro turno, tenéis que enviarnos antes de las 23:59 del próximo lunes 26 de diciembre las preguntas que os gustaría realizarle al próximo entrevistado. Nos podéis enviar hasta un total de 10 preguntas. Luego elegiremos 10 para hacérselas llegar a Juan.

Podéis dejarnos las preguntas en comentarios a este artículo, o bien, si lo preferís, a nuestro correo: info@flu-project.com

Si queréis saber un poco más sobre él antes de proponer alguna pregunta, no dudéis en visitar su genial blog http://windowstips.wordpress.com/

Un saludo, y feliz noche buena!

¿A quién te gustaría entrevistar?

juanantonio.calles — Fri, 16 Dec 2011 23:01:05 +0000

Buenas a todos, se acerca el final de año, y con él, nuestro primer aniversario. Durante este año hemos publicado artículos de todo tipo, nuevas herramientas, retos hacking y entrevistas, mis preferidas, ya que nos permiten conocer un poco más a algunos de los profesionales más destacados del mundillo de la seguridad informática.

En lo que va de año hemos contado con cinco entrevistas de alto calibre:

Nos gustaría hacer una sexta entrevista antes de final de año, pero esta vez nos gustaría que eligieseis vosotros al sexto entrevistado, y nosotros nos comprometemos al menos a intentar conseguir esa entrevista

Tenéis hasta el próximo miércoles día 21 para escribirnos en los comentarios de este post a quien os gustaría entrevistar, y nos quedaremos con el más votado. Solo daremos por buenos los votos de los usuarios registrados.

Una vez elegido el entrevistado, en cuánto consigamos la entrevista os anunciaremos en el blog un rango de fechas para que nos enviéis hasta un total de 10 preguntas que os gustaría hacerle.

Para ayudaros a elegir os recordamos las propuestas que hicieron los entrevistados sobre quién les gustaría que fuesen los siguientes:

@indi303
Jose Selvi (@JoseSelvi)
RomanSoft (@roman_soft)
Bernardo Quintero (@bquintero)
Juanillo (Silverhack)

Entrevistamos a David Kennedy, creador de SET (Social Engineering Toolkit)

juanantonio.calles — Wed, 14 Dec 2011 23:01:43 +0000

El pasado fin de semana nuestro compañero Luis (@streaming10) tuvo el placer de realizar una entrevista para Flu Project al gran David Kennedy, creador de la popular herramienta para ataques de Ingeniería Social, SET (Social Engineering Toolkit).

A continuación os dejamos con la entrevista:

Dave, my name is Luis (streaming10), and I colaborate with flu-project.com, I study law, but the social engineering, metasploit and the other hacking tools are my passion. These are the questions:

Thank you very much for talking with us, you are the first of our SEC Interviews and a pleasure to grant us some of your time.
(sorry if my English is not very good, some of the blame lies with the translator of google)

1. How did you start the computer security world?

I started off at a real young age playing multi-user dimensions (MUD) and found a niche in computers. From there I worked on computer security related efforts in the United States Marines where I really took a liking to computer security. Shortly after the military, I joined a small security consulting company. Security quickly became a hobby and not just a job.

2. What blogs, magazines. often read to keep you updated computer security issues?

I don’t really follow to many magazines or blogs. I use Twitter quite a bit to follow some very interesting people that often link to things that are of interest. I follow quite a few peoples work and usually keeps me up to date with the latest and greatest out there. For me, I find it hard to follow everything out there so I follow only what interests me.

3. How did you set SET?

SET started off as just an idea around building a social engineering tool when social-engineer.org was getting launched by Chris Hadnagy. I was often on a number of penetration tests and social-engineering was not an avenue anyone was accustomed to performing. Every time I would try to get it included in scope for an engagement, it was always taken out. We saw social engineering as being the next largest threat landscape out there and that’s where SET was born. I think when I first wrote it, all it did was send some phishing emails. It’s come a long ways and would have NEVER imagined it would have taken a life of its own like it has.

4. Do you publish soon a new version of SET? Any new surprise?

There should be a new version coming out within a month or so. Kevin Mitnick and myself presented at DerbyCon 2011 on Adaptive Penetration Testing and one of the techniques that Kevin used on profiling the targets machine on whats being used (java, adobe, etc) will be introduced into SET. It will allow selective targeting based on specific applications that are installed and attack those.

5. What ethical hacking applications are most used?

Application wise that really depends on whats my target. I rarely use vulnerability scanners if at all anymore. Metasploit obviously is a very large one however it if it’s a web application, Burp is my go-to tool for it all. It really just depends on the situation and what I want to do. A lot of times for me it’s about exploring whats out there, learning the network, and from there thinking of a way to attack it.

6. What would you recommend to young people who are starting out?

Make security your passion, your hobby. Instead of playing on XBOX or taking up a hobby that kills all your time, go home and work on security things. Security takes dedication, time, effort, and it takes someone who has passion for it. The biggest advice I can give you is never think that anyone in this industry is smarter than you, it’s not the case. It’s about how you learn, taking that and focusing it. I’ll give you my secret that was shared with me from a good friend in the early 2000′s. Pick a programming language and instead of reading a book, come up with a new tool that will help you in some way and figure out how to write it. That’s how Fast-Track was born.

7. Is it more amazing that you’ve seen it done (or done) through social engineering?

Every social-engineer is something new and amazing. You really get to understand that there is rarely anything that can stop what you’re doing and its just a big rush. I enjoy social-engineering more than an actual hack now because I’m interfacing with humans and its so unpredictable. It’s not like an exploit where you’ve sat there and coded it and after an absorbent amount of work, you have a working product. With social-engineering, that person has been programmed differently than the other. It’s how you behave, communicate, and ultimately get them to do what you want. It’s such a complex art, yet so effective.

8. What programs or methods you use to anonymize your attacks?

I don’t really need to be anonymous in my attacks as I do them legitimately however I do have servers all over the world that I leverage during attacks depending on what I’m trying to do.

9. The computer in general and in particular that we move into the hacking scene do not have a good reputation with women:). Do women will understand when we talk about hacking?

Women in security is still a long ways off. We are as you mentioned a predominantly male driven population however, I think that’s slowly changing. You have several high-profile women that are presenting at security conferences and something that is becoming the norm. I think traditionally if you look how “hacking” took place, it was through sitting in the basement nerding it out, that takes a certain kind of person and I think it’s mostly a guy thing however that perception is quickly changing.

10. Who would you like us to do the next interview? (please if you know, help us to work with us. And his twitter)

Chris Nickerson is always a good one to talk to. He is indi303 on twitter.

Entrevista a Miguel Gesteiro

Pablo González — Thu, 28 Jul 2011 22:05:00 +0000

Hoy os presentamos la entrevista a Miguel Gesteiro, el autor de HackContest (h4ckc0nt3st), organizador y siempre participante en wargames o desafíos de seguridad informática. Es un placer y un honor para Flu Project disponer de los testimonios y consejos de estas personas, reconocidos en el mundo de la seguridad informática. Recordemos que por Flu Project han ido pasando grandes personajes de la seguridad informática de este país, como Juan Luis García Rambla, Rubén Santamarta o Dani Kachakil.

Sin mas dilación os dejamos con la entrevista.

En primer lugar Miguel, darte las gracias por concedernos esta entrevista, es un honor para Flu Project contar contigo para responder a estas preguntas y esperemos poder verte pronto.

Miguel: Gracias a vosotros por la oportunidad.

Miguel, ¿como ha ido la Tenerife Lan Party 2k11?¿Se consiguieron las expectativas que se fijaron al principio?

Miguel: La Tenerife Lan Party de este año ha ido muy bien. Es la tercera ocasión ya que acudo a este evento incomparable y cada año se superan. Además del h4ckc0nt3st, este año tuvimos un foro dedicado a temas de hacking a modo de preparación para la competición, para que los interesados pudieran iniciarse de paso que les enseñaba algunas herramientas y trucos. La organización se volcó, y hasta Chema Alonso patrocinó el concurso aportando un pack de libros desde Informática64. La gente en Tenerife es encantadora y siempre hace un tiempo inmejorable: es casi cómo estar de vacaciones

Ahora hagamos un ejercicio de memoria ¿Cual ha sido el wargame más dificil o uno de los más dificiles a los que te has enfrentado?¿Y el más divertido?

Miguel: Difíciles hay muchos, sobre todo ahora que empiezan a surgir de todas partes, pero quizás mencionaría las QUALS de la Defcon de este año, o el PlaidCTF (de los PPP), en los que el auge del reversing/exploiting y los conocimientos previos requeridos obligan a la especialización y por tanto a crear equipos cada vez mayores si quieres aspirar a luchar por los primeros puestos. Divertidos lo son casi todos, porque hago lo que más me gusta: aprender y compartir rompiendo cosas.

¿Cuál es tu herramienta preferida en cada uno de los siguientes campos/tipos?

Miguel: favorita favorita es aquella que te sirve en cada momento: hoy una y mañana otra. La verdad es que manejo muchas y ninguna es prescindible. En vez de poner mi favorita, y dado que las categorías son tan genéricas, pondré la primera que se me ocurra para cada una:

Forense – > foremost (linux) y volatility (windows)

Malware – > vmware y sysinternals

Footprinting/Fingerprinting – > nmap

Exploiting – > gdb

Sniffers – > cain / wireshark

No sabemos si ya has probado la nueva red social de Google, Google+. ¿Crees que será un punto de referencia en seguridad frente a otras redes sociales, las cuales han dejado este aspecto un poco de lado como ya se ha demostrado con tuenti, facebook, etc. en numerosas ocasiones?

Miguel: Honestamente, NO uso redes sociales. El único servicio que me parece útil es twitter (@mgesteiro). No es la seguridad lo que realmente me preocupa de estos servicios, sino las implicaciones sobre la privacidad que todos ellos suponen.

Hemos podido comprobar como muchos de los jóvenes que se enganchan al mundo de la seguridad, que acuden a congresos, que participan en wargames, se fijan en figuras como Chema Alonso, Kachakil, Ruben Santamarta, Alejandro Ramos, Pedro Sanchez o como usted, ¿Qué consejo le darías a ese chico joven que quiere un día ser como uno de estos monstruos?

Miguel: Yo no soy ningún referente importante en el mundo de la seguridad, quizás solamente en el área de los creadores de retos de seguridad (que son ya 3+ años creándolos). La principal recomendación que le daría a todos los que empiezan es “que no se rindan, que persigan su pasión allá a donde les lleve y que trabajen duro sobre ello”. El resto de requisitos: estudios, fuentes de conocimiento, orientación, etc. acabarán encontrándolos si así lo hacen.

Como mencionábamos anteriormente, esperamos poder verte pronto, ¿Estarás en la No cON Name 2k11?

Miguel: Por supuesto! Además creo que presentais, no? habrá que estar allí para lanzaros alguna pregunta comprometedora al final ;D

Ahora viene la pregunta resbaladiza, ¿Qué opinas de Flu Project como blog?¿Qué opinas de Flu Project como proyecto de concienciación, con sus aplicaciones?

Miguel: Hace ya tiempo que os conocía y os tengo en mis listas RSS, pero mi opinión quedó claramente establecida en el momento en el que empecé a seguiros en twitter, servicio que prácticamente sólo uso para obtener información de fuentes que considero interesantes. Eso sí, no os durmais en los laureles y seguid produciendo contenidos de calidad!

Y para terminar, una pregunta clásica que ya se la hicimos a Juan Luís García Rambla, Rubén Santamarta y Daniel Kachakil, ¿A quién le harías tu la próxima entrevista?

Miguel: Yo os propondría muchos candidatos, pero por aquello de ser un poco más práctico lo dejaré en solamente dos opciones: Jose Selvi (@JoseSelvi) o RomanSoft (@roman_soft).

Un gran saludo!

Entrevista a Kachakil

Pablo González — Tue, 08 Mar 2011 00:51:31 +0000

Hoy tenemos el placer de presentaros la entrevista que tuve el lujo de poder hacerle a Dani Kachakil (@Kachakil). Es un lujo poder contar con personas de la talla de este tipo y poder aprender de sus palabras. No me desvío más y os dejo con la entrevista al completo, nuevamente gracias a Dani

No te queremos meter en ningún lío, pero ¿Qué opinas del tema de los servidores de Hotmail? ¿Qué tarden 8 horas en caducar las cookies?

Pues hace muchísimos años que no uso el correo de Hotmail y no puedo entrar a valorar un sistema tan grande y complejo así tan a la ligera. No sé si a día de hoy bastará con cerrar la sesión para mitigar el posible riesgo, aunque tengo entendido que no es así. En cualquier caso, supongo que no habrán decidido un valor al azar y seguro que existirán razones para haber elegido ese, porque una sesión abierta en un servidor consume recursos. De todas formas, si han podido robarte las cookies, probablemente ese sea el menor de tus problemas…

Hablando en general y ya no de Hotmail, la seguridad siempre se debe implementar en su justa medida y no es cuestión de matar moscas a cañonazos e implementar en todos los proyectos todas las medidas que estén a nuestro alcance. No olvidemos que ese exceso de medidas puede tener un impacto negativo que tal vez no compense asumir en determinados escenarios. Sabemos que el cifrado penaliza el rendimiento, tener que introducir contraseñas o elevar privilegios puede llegar a ser molesto y entorpecer nuestras tareas, etc. Siempre hay que buscar el equilibrio con la funcionalidad de una aplicación o con los procesos de negocio de una empresa y muchas veces nos cometemos el error de limitamos al ámbito puramente técnico, cuando deberíamos analizar todo el conjunto.

¿Qué sensación os dejó el WarGame de SBD?

En general muy buena. La verdad es que no nos podemos quejar, porque todo nos fue muy bien… Aparte de ganar el concurso, nos divertimos, aprendimos algunas cosas y pusimos en práctica otras, que al final es de lo que se trata. Siempre se agradece que existan este tipo de iniciativas que permiten que cualquiera que esté interesado en este mundillo pueda ponerse a prueba y practicar tranquilamente desde su casa, solo o en grupo. Es normal quedarse atascado en algún punto y es ahí cuando más aprendes, ya que te pones a leer documentación de todo tipo y sueles descubrir cosas muy interesantes, aunque sea de rebote y no formen parte de la solución que estabas buscando.

¿Qué opinas del proyecto (Flu Project) que iniciamos en Diciembre de 2010?

Supongo que hablamos del proyecto en conjunto y no solo del “troyano educativo”, pero en cualquier caso no importa… Todo lo que sea acercar el mundo de la seguridad a la comunidad me parece muy buena idea y más cuando se hace de forma desinteresada. En Internet hay muchísima información de todo tipo, tal vez en exceso, pero no siempre es fácil separar el trigo de la paja, así que no dejéis de ser originales, porque es una de las principales claves del éxito. Mucho ánimo y mucha suerte con este proyecto que de momento parece ir viento en popa.

¿Crees que sitios como pastebin denuncian la inseguridad que existe en el mundo cibernético o simplemente se jartan de las propias víctimas?

¿Pero qué os he hecho yo para que me preguntéis estas cosas tan raras? Jejeje. Pastebin no deja de ser una herramienta cuyo propósito general dudo mucho que sea el de denunciar ni exponer nada concreto, al igual que Megaupload o Rapidshare. Siempre se ha podido colgar un fichero de texto en cualquier servidor de forma más o menos anónima y en ese sentido no aporta nada nuevo. Esto no es Wikileaks y aquí el mensajero no tiene la culpa…

¿Qué crees que debería pasar para que el mundo se tomara la seguridad informática como algo principal y no secundario?

Tal y como comentaba al principio, la seguridad siempre es relativa al activo que se pretende proteger. Un buen análisis de riesgos debería determinar en qué medida merece la pena invertir recursos y entonces tomar las acciones necesarias. A día de hoy parece que la mayoría de empresas y usuarios se lo están tomando más en serio y la tendencia está bastante clara: cada día estamos más concienciados, afortunadamente. Por lo menos es un aspecto que hay que poner sobre la mesa, evaluarlo y tenerlo en cuenta. Que sea un aspecto principal o secundario ya dependerá del ámbito concreto en el que estemos, pero lo importante es tomar la decisión que sea y no dejarlo al azar.

¿La ciberguerra ha llegado realmente o es puro marketing?

Bueno, una cosa no quita la otra. Que se utilice también como argumento de marketing no le resta importancia al hecho de que existan claros indicios de ciberguerra en los últimos tiempos. Creo que todos tenemos en mente varios casos recientes y no se puede negar la evidencia. Cuanto más informatizada esté la sociedad en general, mayor protagonismo tendrá la ciberguerra a todos los niveles. Esto ya no es cosa de ciencia-ficción…

¿Stuxnet es el primero de una larga carrera?

Por supuesto que sí y lo dice todo el mundo, no es que yo sea ningún experto en malware. Llevamos años viendo cómo la informática se está introduciendo cada vez más en todo tipo de sectores y no nos debería sorprender que los ataques informáticos evolucionen de forma tan vertiginosa. Ya no solo estamos hablando de comprometer el típico PC doméstico o empresarial para usarlo o venderlo como parte de una botnet, sino de temas mucho más serios como el posible control de centrales nucleares, sistemas bancarios o exponentes tecnológicos como el propio Nasdaq. Está demostrado que la inversión les sale rentable, así que está claro que cada vez tendrán más medios a su alcance y eso implica que lo harán mucho mejor y dejando el menor rastro posible.

¿Qué aconsejarías a los jóvenes que empiezan en el mundo de la seguridad?

El mundo de la informática en general exige un alto grado de dedicación y motivación, al igual que tantas otras profesiones, así que ves pensando en echarle horas si no quieres ser uno más del montón. La cruda realidad es que si te quedas solo con lo que sabes hoy, vas a tardar muy poco en quedarte totalmente desfasado y obsoleto, ya sea como programador, como administrador de sistemas o como experto en seguridad, da igual. Nunca dejes de aprender y formarte continuamente para poder superarte día a día. Intenta familiarizarte con varias tecnologías y ramas técnicas para tener una visión lo más global posible de las cosas. Seguro que al final descubres que algunas de ellas te gustan más, despiertan mayor interés en ti y lo normal es que se te den mejor unas que otras, así que elige el camino con el que estés más cómodo.

Dinos un nombre que te gustaría que fuera el siguiente en ser entrevistado.

Seguro que no os faltan candidatos, pero yo voy a sugerir la entrevista a Miguel Gesteiro (@mgesteiro), a ver con qué anécdotas y experiencias nos sorprende.

Entrevista a Ruben Santamarta (reversemode)

juanantonio.calles — Mon, 31 Jan 2011 05:02:59 +0000

Hola a todos, hoy proseguimos el hilo de entrevistas de la comunidad Flu Project, con una entrevista a uno de los mejores caza-vulnerabilidades españoles que existen en la actualidad, leonés de nacimiento y ReverseMode de corazón, Rubén Santamarta.

Rubén es de esa clase de personas capaces de meter en solo 48bits TeraBytes y TeraBytes de conocimiento sobre seguridad.

Probablemente esta sea de las entrevistas más complejas con las que nos encontremos, porque Rubén es de los personajes del sector más entrevistados, y pensar preguntas innovadoras comienza a ser complicado. Por ello nuestra primera pregunta para Rubén es:

¿Cuántas entrevistas te han hecho en los últimos años?

Unas poquitinas, aunque todas son diferentes. No puedo decir lo mismo si me entrevista Chema que si me entrevistan en el periódico, aunque solo cambian las formas, soy fiel a mi discurso

No te vamos a meter en problemas, así que no te preguntaremos por cuánto pueden pagar las empresas por una vulnerabilidad, ni cuanto te han ofrecido las mafias rusas por ellas, pero si nos lo quieres decir… no contará como pregunta =)

La crisis ha llegado al sector de las vulnerabilidades también, no nos libramos jeje. Las cosas se ponen cada vez más complicadas, tanto a nivel técnico como económico.

Respecto a los rusos etc, siempre comento una cosa y es el transfondo social que se da en algunos casos, no generalizo. Lo comentaba hace tiempo Mikko Hypponen de F-Secure y yo coincido, en las repúblicas de la antigua Unión Soviética hay gente muy, muy buena. Muchos ingenieros y muy bien formados, ¿Qué ocurre? Que faltan oportunidades y si a eso le añades una cierta inmunidad a la hora de hacer cosas malas, tienes el caldo de cultivo perfecto.

¿Cómo es la bat-cueva donde surge toda la magia? ¿Y tu PC donde trabajas? ¿Eres de esos que tienen la consola de comandos con el fondo negro y las letras verde fosforito?

Pues dos mesas, 5 ordenadores, desde MACOSX hasta Windows 7, pasando por Debian , aparatos varios, muchos papeles y bolígrafos que cada cierto tiempo hay que ordenar porque toman vida propia. Mira, la consola en negro con el verde fosforito la puse el otro día en el N900 xD

Como no queríamos que huyeses sin tratar el tema que has puesto de moda:

¿Qué puedes contarnos de los sistemas SCADA y de su seguridad?, así, rápido, en diez-veinte líneas.

Tanto como de moda no se yo xD, pero si de alguna manera he contribuido a que se hable de ellos en algunos ámbitos, pues me alegro.

De cualquier manera, creo que lo que de verdad ha sido el punto de inflexión fue la aparición de Stuxnet. A partir de ahí todo ha cobrado más peso. Que es posible atacar esos sistemas nadie lo dudaba, pero que justo cuando se estaba tomando conciencia de ello apareciera Stuxnet, ha sido una grata sorpresa, aunque no se si en Iran piensan lo mismo.

La seguridad en los sistemas SCADA debe ser parte fundamental de la seguridad del futuro, no es lo mismo infectar un ordenador de tu vecino que el de tu cuñado el operador nuclear.

¿Su seguridad? Pues hay de todo, pero ciertamente hay cosas que se podrían mejorar. Tanto en software como en hardware.

¿Has tenido a alguien como referencia para llegar hasta dónde estás ahora? ¿Qué recomendarías a los jóvenes que empiezan en el mundillo de la seguridad?

Mucha gente, pero por sus trabajos unicamente. Mi opinión es que hay que huir de las referencias personales. Hay gente muy buena tecnicamente que no valen una mierda como personas. Como hay gente que también pensará eso de mí, procuro separar lo técnico de lo personal.

Sin embargo y por fortuna, conozco mucha gente que cumple ambas cosas, buenas personas y buenos tecnicamente hablando

Recomendaría que leyeran todo lo posible y que se pongan retos mucho más allá de sus conocimientos. Yo aprendo así, llegar al punto que quieres te obliga a aprender gran cantidad de cosas durante el camino.

Y finalmente. ¿A quién te gustaría que hiciésemos la próxima entrevista?

A Bernardo Quintero, una de esas personas que cumplen ambas cualidades. Si conseguís arrancarle una entrevista eso sí xD

Un saludo y gracias. ¡Suerte con el proyecto! ¡Nos vemos en la rooted!

Gracias a ti Rubén, ha sido un placer. Añadimos a Bernardo a la lista de futuros posibles entrevistados =).

Saludos a todos!

Entrevista a Juan Luis García Rambla (Undercoder)

juanantonio.calles — Tue, 18 Jan 2011 05:00:43 +0000

Hola a todos, hoy damos comienzo a una nueva línea de posts que haremos para la comunidad Flu con entrevistas a personajes destacados del sector de la seguridad de la información.

Hoy, tenemos el honor de comenzar con una entrevista a Juan Luis García Rambla (Undercoder).

Juan Luis es Responsable del Área de Seguridad de Informática64 y trabaja en esta compañía desde hace ya casi 11 años, ahí es nada. Analista forense experto y dominador de legalidad informática, este año acaba de recibir su sexto galardón como MVP. 3 en Windows Security, 2 en Security Consumer y el último en tecnologías Forefront. Ha escrito varios libros, dos de ellos en la temática de Seguridad de la Información: “Aplicación de medidas para la implantación de la LOPD en las empresas” y “Microsoft Forefront Threat Management Gateway TMG 2010″ y ha colaborado en otros libros como son “LOPD aplicada a tecnología Microsoft versión 2”, “Análisis Forense Digital en Entornos Windows” o “SharePoint 2010: Seguridad”

Juan Luis, ¿cuál fue tu primer contacto con la informática?

Mi primer contacto tuvo lugar con un ordenador Spectrum 16K que tenía un amigo y en el que jugábamos y como no llegó la inquietud de saber cómo estaban hechos. Posteriormente tuve mi primer ordenado, el Amstrad CPC 472, variante del 464 que portaba una ROM versión 1.1. Aunque empecé jugando, pronto empecé a realizar programación en Basic y código de máquina en el mismo. Si no recuerdo mal tendría unos 13 años. Desde entonces siempre a mi alrededor en una medida u otra siempre me ha acompañado un equipo.

¿Y con la seguridad?

Esta es posterior a principios de los 90. Entro como militar profesional en una unidad militar de Guerra Electrónica y por mi trayectoria con los sistemas informáticos, participaba activamente en sistemas de detección, intrusión y decepción de comunicaciones en datos. Aunque a otro nivel las bases teóricas y tecnológicas estaban basadas en los mismos axiomas que los sistemas de ataques actuales. Ahí tuve mis primeros contactos con los sistemas de cifrado, de comunicaciones y otros sistemas relacionados con la seguridad informática.

¿Cómo es el día a día de un profesional de la seguridad?

Pues la verdad es que el mundo de la seguridad es tan amplio y hay tantos tipos de profesionales que cada cual puede tener perspectivas diferentes. Evidentemente una buena parte es de I+D, que debe ir alternándose con la realización de auditorías o la implantación de mecanismos de defensa o bien escribir un artículo o libro. En mi caso puedo decir que cada día es diferente. Mi trabajo evidentemente no puede ser considerado como rutinario, lo mismo estoy auditando un sistema interno Microsoft, implementado un sistema de protección de red, o realizando una auditoría o implantación de LOPD. El de muchos profesionales de la seguridad también puede describirse de esta forma.

¿Qué podrías recomendar a los jóvenes que empiezan en el mundillo de la seguridad?

La seguridad está en constante evolución y requiere por lo tanto de constancia y perseverancia. Es tanto el campo que es mejor centrarse en algo más específico y empezar a crecer desde ahí. Eso sí, aprender todo lo posible dentro del margen legal (a veces me sale esta vena). También y aunque parezca contradictorio con nuestro yo técnico, el escribir decentemente acaba convirtiéndose en una necesidad. Evidentemente no todo el mundo acaba escribiendo artículos o libros, pero seguramente alguien relacionado con la seguridad acabará redactando un informe. Hay que tener en cuenta que estos no solo lo leen técnicos..

¿A quién te gustaría que hiciésemos la próxima entrevista?

Pues en el día a día conozco gente muy interesante, pero desde hace años trabajo codo a codo en Informática 64 con Juan Garrido. Sus conocimientos y aportes, han complementado cosas que yo inicialmente no creía casi ni posible. Aunque es reconocido como un gran especialista forense, no hay que desdeñar otras múltiples facetas de su capacidad tecnológica. Sería un buen ejemplo para que lo entrevistarais.

Muchas gracias Juan Luis por dedicarnos unos minutos de tu valioso tiempo para poder charlar contigo y entrevistarte. Intentaremos secuestrar a Juanillo (Silverhack) próximamente para entrevistarle y que ya de paso nos firme su libro de Análisis Forense =)

Saludos!