10 predicciones de seguridad para 2011


El amigo Sergio Hernando desde su blog (Seguridad de la Información y Auditoría de Sistemas) ha escrito en forma sencilla lo que él piensa que son las 10 principales predicciones en torno a la seguridad para año venidero.





1- La gente seguirá confundiendo la seguridad doméstica y la corporativa. Nos queda mucho por recorrer para explicar cosas tan básicas como por qué una organización no puede parchear un sistema operativo nada más salir un parche, por qué es ineficiente -e inalcanzable- pretender tener una seguridad que arañe el 100% o por qué no es lo mismo mantener y monitorizar dos ordenadores en tu cuarto que 50.000 PCs en los 5 continentes. ¿Suena obvio, verdad? Pues yo todavía sigo escuchando a gente decir "no entiendo como esa empresa lleva dos meses sin actualizar los servidores".

2- La gente seguirá perdiendo el tiempo comparando Windows y Linux. Esto no cambiará jamás, especialmente en lo que a seguridad se refiere. Estamos todavía lejos de que la gente comprenda que en el mundo de los sistemas operativos lo que es verdaderamente relevante es obtener mantenibilidad, usabilidad, rendimiento y seguridad en la justa proporción según el caso, y que esto se puede hacer con CUALQUIER sistema operativo. Hay que seguir trabajando en explicarle a la gente que en los negocios el riesgo está, además de en el sistema, en otros aspectos como el proceso en sí, el riesgo operacional, las aplicaciones, las comunicaciones, la motorización, lo bien que se haga la configuración de seguridad ...

3- Muchos seguirán teniendo una versión limitada y obtusa del cloud computing. Para estos sujetos, este tipo de modelo seguirá estando exclusivamente representado por el uso de Windows Live Office, Google Docs, el Facebook, sus adláteres y usar un netbook con Chrome OS. Habrá que dedicar esfuerzos en 2011 para explicar que hay vida más allá de esa visión: centros de datos con replicación en tiempo real, interconexión MPLS -mira que tiene años-, almacenamiento virtual, accesos a infraestructura crítica desde localizaciones remotas, reducción de costes energéticos, el trabajo con terceras partes, los SLA, la dificultad en la contratación, los problemas legales debidos al cumplimiento, los nuevos modelos de seguridad, donde unos explotan y otros administran infraestructura, y ese largo etcétera que desarrollaremos en el blog convenientemente. Y sí, seguirá habiendo aburridos eventos de seguridad en los que sólo se hable de cloud computing y en los que se repiten una y otra vez las mismas monsergas teóricas que llevamos oyendo años, sin poner en lo alto de la mesa soluciones reales.

4- Muchos verán en el NAC y el DLP sus nuevos santos griales, pero cuando acudan al mercado y se enteren de lo que cuesta implementar y mantener este tipo de soluciones, se les quitará de la cabeza. En el mejor de los casos, se exprimirán los cerebros para ir aproximándose a estos modelos gradualmente y en el caso ideal, se darán cuenta antes de extender el talonario que este tipo de estrategias requiere una madurez muy fuerte, en cuanto a tecnología, procesos y personas, que por lo general no está presente.

5- La gestión de identidades será objeto de deseo de muchas organizaciones, pero pocas serán capaces de implementar con éxito un modelo completo de provisión de identidades, gestión de roles y responsabilidades y mecanismos de cumplimiento. Amigos, esto no es un cuestión de comprar software, servidores y mano de obra barata, aquí hay que analizar de cabo a rabo los procesos -TODOS- que tienen que ver con identidades, hay que tener una estructura clara para completar el programa, hay que definir un modelo de identidades, hay que elegir bien a los implementadores y hay que trabajar mucho y duro para mantener. Los beneficios son espectaculares, pero esto no es moco de pavo. Seamos graduales, que atragantarse con este bocado es lo que normal en el 99% de los casos si se mastica demasiado rápido.

6- Los que nos dedicamos a la investigación forense estamos de enhorabuena: de extraños sujetos aptos cuasi exclusivamente para recopilar evidencias para llevarlas al juzgado seremos, poco a poco, consultados más y más, ya no sólo por los problemas de fuera, sino los de dentro. En un mundo global e interconectado, las aportaciones de un equipo forense pueden ser determinantes en cada vez más y más escenarios.

7- El malware seguirá haciendo mella en los bolsillos de los usuarios y en la información clasificada de las organizaciones. Y poco podemos hacer para evitarlo, más allá de volver a plantearnos qué estamos haciendo bien, que estamos haciendo mal, y cuál es el mejor camino de reducir al mínimo los problemas que derivan del malware. La situación es tan grave que hay que volver a examinarlo todo, analizar todos los procesos y determinar dónde fallan los controles. Este es un problema que va para largo, y más vale ir adquiriendo una mentalidad a largo plazo, no cortoplacista. Y por favor, vamos a bajarnos del caballo en el que este problema se resuelve con antivirus, HIPS y NIDS/NIPS, que ya ha quedado claro que no son suficientes.

8- Complementando a lo anterior, Los 0-day serán frecuentes y los ataques dirigidos, el pan nuestro de cada día. Los amigos de lo ajeno son conscientes de que aquí hay oportunidades claras y manifiestas para llenar sus cuentas corrientes, y van a seguir en su línea, profesionalizándose más y más, poniéndonos las cosas cada vez más difíciles. Y estos van a estrujar hasta ahogar.

9- Después de n años vaticinando que este sería el año de IPv6, parece que de una vez por todas, así va a ser. No ahondaré más en el asunto, que peores cosas hemos visto :)

10- El imparable avance tecnológico y las cada vez más crecientes tasas de penetración de las tecnologías en la sociedad seguirán siendo muy relevantes, pero en paralelo, como no podía ser de otro modo, la movilidad, el número de víctimas potenciales, la más que previsible falta de formación de muchos de ellos y los modelos sociales 2.0 harán que esto sea una fiesta para los amigos de los ajeno y para aquellos que están recopilando información personal (legal e ilegalmente) para luego venderla al mejor postor. Pasen y vean, el show no ha hecho más que comenzar.

Enlace:
http://www.sahw.com/



Otras noticias de interés:

Las Leyes de la Identidad
El Problema: Internet fue construida sin una manera de saber quien se conecta y a que se conecta....
Usuarios no confían en cómo empresas protegen sus datos
El 76% de los consumidores dejarían un negocio o proveedor de servicio si se filtraran sus datos personales, siendo la información relacionada con la tarjeta de crédito o datos bancarios la mayor preocupación para un 48% de este grupo....
Microsoft intenta aclarar la confusión sobre el SP2
Una semana después de la liberación del Service Pack 2 para Windows XP (aún no disponible en español), Microsoft trata de calmar la confusión creada sobre un aparente problema de seguridad, y de aplicaciones que no trabajarán si no se reali...
Oracle lanza parche de seguridad para Java
El fallo hace que el entorno de ejecución de Java se cuelgue y pueda ser explotado por atacantes de manera remota sin necesidad de autenticación...
Salto de restricciones en Dropbox
Dropbox es un conocido servicio de alojamiento de archivos en la nube que puede ser utilizado tanto en ordenadores de distintas plataformas, como en dispositivos móviles. Éste permite la sincronización en diferentes máquinas de los archivos aloja...
Cyberataque desde China hacia Canada
Stephen Harper, primer ministro canadiense, ha hecho la confirmación que Canadá ha sufrido un ataque cybernético desde Enero....
Distribuciones LINUX© Listas para bajar
En el sitio http://www.linuxiso.org/ podrás bajar las Distribuciones Linux más usadas. Solo bajalos y quemalos en un CD las diferentes versiones que existen de este si...
Google dice NO al OOXML
El responsable de aplicaciones open-source del líder de Internet, requirió de los delegados el voto en contra de la certificación de OOXML como formato ISO, argumentando que los esfuerzos de Microsoft suponen un riesgo para los usuarios que quiere...
MySpace, Yahoo! Music y otros, usan ActiveX vulnerables
Se han reportado múltiples vulnerabilidades en varios controles ActiveX relacionados con populares sitios. Los controles utilizados por Facebook y MySpace, por ejemplo, pueden ser fácilmente comprometidos por un atacante para la descarga de código...
Rusos logran violar el cifrado de BlackBerry
Una compañía rusa especializada en herramientas de cracking asegura haber conseguido romper la protección basada en contraseña utilizada para securizar los backups de datos desde smartphones BlackBerry....

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • predicciones
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra