Hace unos días se publico una nota que mencionaba la existencia de una herramienta para hacer spam por medio de Skype, el costo de esta es aproximadamente $10 USD, la adquirirla da un bono de 5000 cuentas válidas de Skype para iniciar ataques. Dicha herramienta es “Skype Flooder”, permite añadir, buscar y hacer spam vía Skype,  recolecta información específica como nombres basados en un país, genero, y muestra información como ciudad, nombre de usuario y estado del servicio por usuario.

¿Cuál es la amenaza más peligrosa para los sistemas virtualizados? Pista: no es algún exploit. El riesgo más importante es el personal IT que tiene privilegios plenos en estos sistemas. En febrero de 2011, un ex empleado de IT de una compañía farmacéutica, penetró remotamente en el sistema de la firma que lo despidió y borró hosts virtuales que corrían las aplicaciones críticas de la compañía, como el e-mail, software de finanzas y el rastreo de pedidos. La compañía sufrió pérdidas por $800,000 dólares con unos cuantos tecleos, de acuerdo con información del FBI. No significa que todos los administradores sean unos atacantes en potencia, pero una encuesta sobre seguridad de la virtualización, elaborada en septiembre de 2010 por la revista InformationWeek, en Estados Unidos, arrojó que el acceso a los sistemas de virtualización está bastante extendido: el 42% de los participantes dice que los administradores tienen acceso a las máquinas virtuales hospedadas. Por lo mismo, tiene sentido tomar precauciones, como
monitoreo de la seguridad, para que nadie, ni maliciosa ni descuidadamente, “borre” aplicaciones y servicios críticos. Los sistemas virtualizados vuelven más difícil la gestión del riesgo, pero las prácticas sensatas sobre seguridad no dejan por ello de ser aplicables. Dado lo anterior, les compartimos cuatro pasos para proteger sus entornos virtuales y responder a amenazas y otros incidentes.
1. Asegurar por capas Los ambientes virtualizados están constituidos por capas, por lo que es preciso establecer controles de seguridad en cada capa dentro de la arquitectura virtual, incluidos los controles que ya se tienen en la red de la organización; por ejemplo, en la capa del switch virtual, redirigir el tráfico fuera a un firewall o un sistema de prevención de intrusiones para monitorear el tráfico; o bien, usar un firewall virtual dentro de las máquinas virtuales. Las capas virtuales primarias que proteger incluyen el hipervisor y los sistemas operativos hospedados, la red virtual que conecta las máquinas virtuales, la red física, el sistema de gestión de la virtualización y el almacenamiento físico de las imágenes virtuales.
2. Definir y documentar No se pueden establecer controles de seguridad en torno a elementos que uno no sabe que están. Así que es vital tener una información precisa y actualizada del ambiente virtual de la organización, lo que significa que hay que estar en posibilidades de identificar los componentes de la infraestructura virtual. Hay que cerciorarse de que las funciones primarias de estos componentes están documentadas, y lo mismo sus propietarios y administradores. También es crítico entender cómo fluye el tráfico a través de la infraestructura, porque el tipo de datos, determinará los pasos extra que se deberán dar para asegurar los servidores virtuales de bases de datos que almacenan datos críticos del negocio. Sin embargo, los respaldos también tienen copias de estos datos confidenciales. Es preciso rastrear los flujos de datos, de principio a fin, para advertir cuáles son las áreas críticas donde se requieren medias adicionales de seguridad.
3. Restringir y separar
 El control y autorización para el acceso son funciones básicas de seguridad, en particular en los ambientes virtualizados donde el control sobre un solo hipervisor puede significar también control sobre las múltiples máquinas virtuales que corren sobre ese hipervisor. Al igual que en el mundo físico, el acceso de los administradores de sistemas y el que estén autorizados para desempeñar funciones específicas tienen que estar lo más especificado posible. Cada administrador no debería poder prender, modificar y cerrar ningún servidor virtual del centro de datos. Las contraseñas son otra función crítica de la seguridad. Permiten monitorear y rastrear todas las actividades que tienen lugar dentro del ambiente virtualizado. Las consolas de gestión de los principales proveedores de hipervisores proporcionan controles decentes de los accesos basándose en roles, los cuales restringen los permisos de los administradores para desempeñar tareas básicas, y es preciso aprovechar esas capacidades. Sin embargo, estas consolas de administración no validan las solicitudes de cambio, dejan constancia de todos los cambios e implementan capacidades como autenticación bifactorial. Para esto se necesita software de terceros, como el proporcionado por Trend Micro, que suministran controles adicionales. Con estos controles se puede supervisar y notificar de cambios importantes en los sistemas críticos. Estas herramientas de terceros también distribuyen las funciones entre diferentes departamentos IT; por ejemplo, el área de seguridad IT puede encargarse de manejar los ingresos desde la consola de gestión de la virtualización, en vez de que lo hagan los administradores de los servidores. Esta separación de deberes significa que ningún administrador solo pueda modificar o inhabilitar sistemas sin que sea detectado.
4. Asegurar la red virtual
 La red virtual presenta los mismos problemas que la física, incluido el potencial de ataques potenciales de man-in-the-middle, donde máquinas virtuales comprometidas interceptan el tráfico entre otras máquinas virtuales. Para impedir estos ataques es importante aprovechar las características de seguridad de los switches virtuales. La mayor parte de los proveedores de virtualización permiten que las empresas establezcan  VLAN que segmentan los dispositivos y el tráfico de la red de acuerdo con políticas de seguridad y administrativas. Sin embargo, el switch virtual que se haya instalado puede carecer de las características de seguridad y de monitoreo avanzadas que poseen los switches físicos; por ejemplo, un switch físico permite crear VLAN privadas que posibilitan posterior segmentación (algo así como una VLAN dentro de una VLAN), pero muchos switches virtuales no admiten esta característica. Los switches virtuales también pueden carecer de la capacidad de proporcionar datos sobre el flujo que tiene lugar en la red, lo que se puede usar para monitoreo del desempeño y detección de ataques. Si se puede implementar sola uno de estos pasos desde un comienzo, es conveniente centrarse en el control de los accesos y la separación de responsabilidades. La mayoría de las compañías ya tienen procedimientos y herramientas para controlar los accesos a los sistemas físicos y estos se pueden aplicar directamente a los ambientes virtuales. Los riesgos y retos de la virtualización se pueden contrarrestar con prácticas de sentido común. Anabel Aceves Ventas Seguridad en Software

El 
Acta de Ciberseguridad de 2012, mejor conocida como 
CSA, ha sido frenada el día de ayer por el Senado de Estados Unidos. El acta requería 60 votos para avanzar, pero únicamente consiguió 52 a favor. Al final, ha sido la presión de las empresas la que ha logrado que los legisladores no dejen pasar la propuesta. ¿Por qué debe importarnos la retirada de la CSA? Porque -igual que CISPA- aunque se trate de una legislación de Estados Unidos, nos afecta a todos. El Acta de Ciberseguridad de 2012 fue introducida por los senadores Joe Lieberman y Susan Collins. La idea era crear un marco legal para defender a EE.UU ante posibles posibles ciberataques desde el extranjero, así como atentados contra la infraestructura crítica del país (como las plantas eléctricas, por ejemplo). Sin embargo, en la práctica, el acta permitía que las compañías pudieran espiar a los usuarios y compartir sus datos personales con el gobierno. Bajo la CSA, 
cualquier persona podría ser espiada si se consideraba (sin pruebas) que era una amenaza potencial para sus redes. En un corto vídeo, la Electronic Frontier Foundation lo explica: Es decir, el gobierno delegaría de alguna forma la vigilancia a empresas, otorgándoles la facultad no sólo de compartir la información sensible de los usuarios, sino también modificar, bloquear o interrumpir conexiones bajo sospecha. Aunque el acta presumía un intercambio “voluntario” de información entre empresas y gobierno, el usuario no tenía control sobre este proceso. Como la ley aplica para servicios en Estados Unidos, toda la información de servicios internacionales como Google, Facebook o Twitter podría estar a la alcance del gobierno 
sin necesidad de una orden judicial. Aún si un usuario descubriera que su información fue enviada a terceros, la CSA garantizaría inmunidad para las compañías. Por fortuna, la CSA no pasó el corte del Senado. Como señala Techdirt, lo más probable es que venga otro esfuerzo similar (o superior) para 2013, toda vez que la Casa Blanca se ha mostrado “decepcionada” por la decisión. Paradójicamente, esta vez hay que agradecer a los senadores republicanos y a la Cámara de Comercio por el revés, ya que estaban preocupadas por las regulaciones que les impondrían a las compañías. Una victoria agridulce, pues 
el tema de la privacidad no fue el motor para frenar a la CSA, sino el interés particular. Como sea, otra batalla más que se gana, por ahora. Victor Pacheco Ingeniero de Pre-Venta  

Los dos fabricantes de software utilizan los productos del rival para desacreditarse mutuamente. Microsoft ha publicado una herramienta para estimar los costos de un 
proceso de virtualización. 
Server Virtualization Tool calcula los costos de virtualizar aplicaciones utilizando 
Windows Server 2012 Hyper-V. Utilizando la calculadora para seleccionar el número de máquinas virtuales y el ratio de consolidación (bajo, medio o alto), el usuario puede evaluar los costos de adquisición de licencias del software y soporte para una solución de virtualización de servidores. Todo esto no tendría nada de particular de no ser porque 
los resultados se comparan con los de un competidor directo, vSphere5 de VMware. De esta forma, la calculadora muestra la diferencia de costes y licencias entre Microsoft y VMWare, y cómo la inversión en éstas repercutirá en el futuro.

El fraude bancario es una práctica que afecta a un número importante de personas que han sido perjudicados con el robo de cuentas y dinero ya sea por descuido, desinformación en temas de seguridad o, simplemente, por desidia.  Aquí les dejamos los
 errores más comunes que nos convierten en potenciales objetivos de los delincuentes que se dedican a estas prácticas: -No cubrir la clave de acceso tanto para ingresar a la web del banco donde tenemos nuestra cuenta como para las transacciones en los establecimientos. -Permitir que las tarjetas de débito o crédito sean utilizadas para capturar los datos de ellas en otros dispositivos electrónicos de entidades comerciales. -Permitir que las tarjetas sean manipuladas por terceros fuera del tiempo permitido para una transacción -Dejar en los cajeros los vouchers de las transacciones que se realizan. -Brindar datos bancarios cuando se solicitan por correo electrónico, aun cuando esto nunca es solicitado por los bancos. -Colocar la clave de accesos de sus tarjetas en el teléfono. -Usar claves de acceso muy fáciles. -Hacer conocer a otras personas las claves de acceso de sus tarjetas. -No verificar las transacciones bancarias.
Modalidades comunes Las modalidades más comunes de fraude bancario son el phising por página WEB y el phising enviado por correo electrónico.  El phising tiene como objetivo el adquirir información confidencial (contraseñas o información bancaria sobre tarjetas de crédito) de manera fraudulenta.  Para estos fines, el estafador se hace pasar como una persona o empresa de confianza en una aparente comunicación oficial electrónica u otras vías.
Delincuentes se reinventan El especialista alertó que los delincuentes cibernéticos renuevan sus estrategias de manera constante y hasta diaria.  Actualmente lo común es que clonen páginas webs de entidades bancarias para generar ataques de phising y que aprovechen para ello servidores de instituciones privadas y públicas que tienen brechas de seguridad.
Riesgos de redes sociales y canales electrónicos Es  importante que los usuarios no brinden en las redes sociales datos que permitan una identificación directa o que expongan datos frente a un posible fraude o secuestro. Es importante hacer una evaluación antes de ser cliente de entidades  financieras, a fin de que se le brinde la información necesaria sobre las medidas de seguridad electrónica con las que cuenta para la protección de datos. Es recomendable que se realicen campañas frente al fraude bancario esto para crear mas conciencia en la población así como que las carreras de ingeniería en software den mayor impulso a la seguridad informática.