Cofer Black, actual presidente de Total Intelligence Solutions (una subsidiara del proveedor militar más grande de Estados Unidos Blackwater) declaró lo siguiente en el pasado evento de BlackHat en las Vegas:
Hasta hace un par de años las tres principales amenazas para un país, de acuerdo al Pentágono y la CIA, eran los ataques bacteriológicos, radiológicos y los nucleares. En la segunda década del siglo XXI esa realidad cambió, colocando a los ciberataques como uno de los principales riesgos para la estabilidad de una nación.
Black tambien indicó que “todos los conflictos del futuro tendrán un componente cibernético”.
Me parece muy importante discutir este aspecto a nivel de global ya que hoy día los ciberataques son cada vez más comunes. Para eso me di a la tarea de revisar cientos de fuentes de información relacionadas al tema de la ciberseguridad y los ecosistemas de los ciberataques.
A continuación presento un corto análisis de los esfuerzos realizados a nivel global para tratar el tema de los ciberataques, tambien reseño algunos incidentes importantes de fuga de información y sus consecuencias:
Un importante detonador….Lockheed Martin
LOCKHEED MARTIN HACKED
Era una mañana tranquila cuando me levanté y leía sobre la noticia de la empresa americana Lockheed Martin la cual recibió un ciberataque que buscaba obtener información clasificada. Lockheed Martin es una de las principales contratistas del ejército estadounidense que posee información altamente confidencial. Esta compañía, el Departamento de Seguridad Interna y el Pentágono confirmaron que el ataque tuvo lugar el pasado 21 de mayo 2011, aunque la teniente coronel April Cunningham, a nombre del Departamento de la Defensa, señaló que el impacto para el Pentágono “es mínimo y no esperamos ningún efecto adverso”.
De acuerdo con la noticia los hackers violaron los controles de seguridad de la mayor compañía aeroespacial del mundo y el primer abastecedor del Pentágono. Los piratas crearon duplicados de las “llaves electrónicas” utilizadas para acceder al sistema, explicó la empresa. Aunque por ahora se desconoce qué clase de datos fueron robados, esta violación a los sistemas de seguridad de la multinacional evidenció el riesgo que corre la información confidencial de defensa del país, ya que las redes de Lockheed y otros contratistas de defensa conservan datos importantes sobre futuros sistemas de armas, además de información acerca de la tecnología militar que actualmente se utiliza en las guerras en Irak y Afganistán.
A consecuencia de este ataque el Pentágono salió a la prensa local para informar que desde ahora los actos de sabotaje computacional que provengan de otra nación constituirán un acto de guerra, es decir, que EU podría usar su cibercomando o sus fuerzas militares para responder a la agresión.
POSTURA DE USA Y REINO UNIDO EN CONTRA DE LOS CIBERATAQUES
En varios medios noticiosos se discutió la postura de USA y Reino Unido sobre conocer que considerarán un acto de guerra en contra de sus soberanías a los ciberataques que sus sistemas reciban por parte de otro país.
El gobierno del Reino Unido anunció que pondrá al mismo nivel a las operaciones militares por mar, tierra y aire que a las de ciberguerra, por lo que reclutará a cientos de expertos en seguridad informática para armar las defensas de las redes computacionales de país. Para ello, el gobierno británico destinará 650 millones de libras a proyectos relacionados con la ciberseguridad, de acuerdo con el Ministerio de Defensa. Ahora que tanto EU como el Reino Unido están de acuerdo en sus posturas sobre la ciberguerra, será cuestión de tiempo que convenzan a los países aliados de asumir estrategias similares.
Miremos un poco que esta haciendo CHINA…
EJERCITO AZUL DE CHINA
Los hechos antes mencionados coinciden con la confirmación de que China cuentaba con un escuadrón de expertos en ciberseguridad, cuya misión es responder a cualquier ciberataque o intento de ciberguerra contra la nación asiática.
Este equipo es conocido como ‘Ejército Azul”. El Ejercito Azul está conformado por 30 elementos, expertos en los temas de infiltración y ataque de redes, espionaje cibernético y mecanismos de defensa electrónica, según información atribuida a Geng Yansheng, vocero del Ministerio de la Defensa de China.
Datos oficiales indican que el escuadrón existe desde hace por lo menos dos años y que han sido destinados decenas de millones de dólares para el entrenamiento del Ejército Azul.
Entre sus tareas se encuentra el desarrollo de escenarios de ciberguerra para responder a ciberataques, bombardeo a sistemas y redes con códigos maliciosos y correos basura, así como misiones de infiltración y ciberespionaje.
Esta noticia fue dada a conocer a través de The Times y The Australian.
¿Cómo ha respondido Estados Unidos y otras naciones a los Ciberataques? ¿Qué mecanismos han desarrollado si algunos? Veámos a continuación una recopilación de esfuerzos llevados a cabo durante los años 2009-2011
Obama propuso legislación que detalla estrategia de ciberseguridad
La Casa Blanca envió a los legisladores su propuesta de ley en la que detalla una serie de medidas para proteger a los Estados Unidos de ciberataques y sus consecuencias.
Algunas de las acciones más importantes del que ya es conocido como el “plan de ciberseguridad de Obama” son medidas para minimizar el impacto en la infraestructura crítica del país, previsiones para proteger la privacidad de la información de los ciudadanos, métodos para reportar brechas de seguridad y la propia seguridad de la infraestructura tecnológica del gobierno.
Una de las virtudes del plan de ciberseguridad de Obama es que aglutina diversos aspectos del problema pues, por ejemplo, el Senado en particular ha promovido diversas iniciativas de ciberseguidad, entre ellas relacionadas con temas específicos como la privacidad de la información, lo que sería solo una parte de una estrategia integral de ciberseguridad.
En lo que respecta podrían ser ser las nuevas obligaciones para las empresas es que, serán responsables de desarrollar planes integrales de ciberseguridad que cubran los riesgos mencionados, los cuales debería reportar y registrar con el gobierno e incluso podrían ser auditados, según lo que hasta ahora se conoce del plan.
Ya en el pasado la Casa Blanca ha tenido intenciones de elevar a ley el poder que el presidente de EU podría tener sobre infraestructura crítica como internet. En junio de 2010 el Senado de EU propuso dar poderes al presidente para ‘bajar el switch’ a internet ordenando a los proveedores de servicios de internet (ISP, por sus siglas en inglés) a desconectar la infraestructura crítica concesionada para impedir el acceso a redes críticas en caso de una ciberamenaza.
Una mirada más profunda a este plan..
The Comprehensive National Cybersecurity Initiative – Iniciativa Nacional Comprensiva para Ciberseguridad
Howard Schmidt, coordinador de Ciberseguridad del Consejo Nacional de la oficina del Presidente de la Casa Blanca indicó:
“El presidente Obama ha identificado la ciberseguridad como uno de los temas más serios para la economía y una de los mayores retos que enfrenta nuestra nación, pero como gobierno y como país no estamos preparados adecuadamente para enfrentarlo”
Para enfrentar el cambiante y global escenario del cibercrimen y la seguridad IT el funcionario afirmó que el gobierno necesita trabajar de la mano con todos los involucrados en la materia como el sector privado y la academia, pero una colaboración que sólo puede ser posible, dijo, con transparencia y comunicación. Pueden descargar el documento (plan) en .pdf – http://www.whitehouse.gov/sites/default/files/cybersecurity.pdf
ESTADOS UNIDOS Y SU CAMPAÑA MASIVA DE CIBERSEGURIDAD
Janet Napolitano, del Departamento de Seguridad Interna de Estados Unidos invitó durante el año 2010 a todos los miembros del sector privado, academia y expertos en seguridad IT a desarrollar la campaña de publicidad en ciberseguridad más importante en la historia del país.
El Departamento de Seguridad Interna ha desarrollado un concurso de talento que tiene como base la búsqueda de las mejores ideas y conceptos para educar a los estadunidenses en el tema de seguridad IT.
Napolitano informó que el concurso tomará en cuenta el uso de herramientas y tecnologías Web 2.0, el cuidado y protección de los datos, el trabajo en equipo, el impacto y distribución del mensaje y la retroalimentación del público.
“Tenemos retos difíciles en materia de ciberseguridad desde instituciones federales, sector privado hasta las persona que entran a la web son blanco de ataque para estas amenazas. Tenemos que trabajar juntos para solucionarlo, movernos rápido, de manera innovadora y tratar de poner el ejemplo, como lo hemos hecho en ocasiones anteriores”, apuntó Napolitano.
Este programa se llamó “National Cybersecurity Awareness Campaign Challenge”
RESUMEN DE ESTRATEGIAS DE ESTADOS UNIDOS PARA TRABAJAR EL TEMA DE LA CIBERSEGURIDAD
Abril 2011- President Obama Releases the National Strategy for Trusted Identities in Cyberspace- http://www.whitehouse.gov/blog/2011/04/15/president-obama-releases-national-strategy-trusted-identities-cyberspace?utm_source=related Se puede descargar el reporte – http://www.whitehouse.gov/sites/default/files/rss_viewer/NSTICstrategy_041511.pdf
Mayo 2011- The Administration Unveils its Cybersecurity Legislative Proposal–http://www.whitehouse.gov/blog/2011/05/12/administration-unveils-its-cybersecurity-legislative-proposal?utm_source=related
Junio 2011- Announcing the Stop.Think.Connect. PSA Challenge Winners
Youtube channel- http://www.youtube.com/dhsengage
Septiembre 2011–A Dynamic Approach to Federal Cybersecurity-http://www.whitehouse.gov/blog/2011/09/29/dynamic-approach-federal-cybersecurity?utm_source=related
FRANCIA
Sarkozy llama a gobiernos a regular internet
El presidente de Francia, Nicolás Sarcozy llamó a los gobiernos de los países desarrollados y del mundo a regular internet. Sarcozy pidió que sean emitidas más leyes para la protección del derecho de autor y la privacidad de los usuarios de internet. En Francia, Sarkozy ha decretado leyes como la llamada de los “tres strikes” que castiga con la desconexión de internet además de multas e indemnizaciones al usuario de internet que sea culpado por descargar de internet música ilegalmente. Si desde la dirección IP de su computadora “bajó” piratería, la autoridad le dará tres avisos para que deje de hacerlo. Otra ley recién aprobada por el mandatario galo es la que filtrará el contenido web para evitar que sitios de pornografía infantil estén activos.
MÉXICO
El Senado de la República de México aprobó por unanimidad la Ley de Protección de Datos Personales en Posesión de Particulares, la cual pretende castigar el uso no autorizado o indebido de la información que identifique a los invididuos. La Ley también busca que los datos de las personas en posesión de empresas como bancos, hospitales, operadores de telefonía celular o tiendas departamentales, entre otras, protejan la información de sus clientes y que les informen sobre su uso.
Del Dip. Rodrigo Pérez-Alonso, del Grupo Parlamentario del Grupo Parlamentario del Partido Verde Ecologista de México, contiene un punto de acuerdo por el que se exhorta al Ejecutivo Federal para que México se adhiera formalmente al Convenio de Budapest. En La exposición de motivos del comunicado se hace referencia a la importancia de la adopción del Convenio de Budapest para facilitar la cooperación a nivel internacional y para la aprobación de una legislación adecuada para combatir delitos tales como los fraudes informáticos y la pornografía infantil a nivel nacional.
Asimismo, el comunicado exhorta al Ejecutivo Federal para que haga las diligencias necesarias para que México se adhiera formalmente al mismo y destaca que dicho instrumento “es un mecanismo bien articulado, vasto en sus concepciones, explícito en sus medios y fines, así como respetuoso de la soberanía y los sistemas judiciales de los países adherentes, a los que concede un notable campo de acción y de esta forma México coadyuve a nivel internacional en la investigación, persecución y sanción de los delitos informáticos.”–http://www.senado.gob.mx/index.php?ver=sp&mn=2&sm=2&id=4179&lg=61
Documentos relacionados a leyes en México:
1. Comunicado de prensa del Presidente de la Comisión Especial de Acceso Digital de la H. Cámara de Diputados-http://joelgomez.mx/uploads/Boletin_Prensa_Perez_Alonso_Ciberdelitos.pdf
2. Protección de datos y privacidad- http://www.protecciondedatos.org.mx/2010/08/proposicion-con-punto-de-acuerdo-para-que-la-camara-de-diputados-exhorte-al-ejecutivo-federal-para-que-mexico-se-adhiera-formalmente-al-convenio-de-budapest/
PERÚ
De acuerdo a varios portales de seguridad lo sistemas de seguridad en Perú son de tercer mundo. Se informó que la firma Netcraft reveló que casi la mitad de los intentos de “phishing” o robo de información bancaria desde servidores gubernamentales mundiales, salieron de dominios peruanos gob.pe.
A consecuencia de este evento el despacho del parlamentario Juan Carlos Eguren presentó un Proyecto de Ley que Regula los Delitos Informáticos. Sin embargo se advierte que las normas deben ser analizadas y explicadas a la perfección para evitar generar corrientes que vean en la legislación algún intento de frenar las libertades en la red.
Ver documento -http://www2.congreso.gob.pe/Sicr/TraDocEstProc/Contdoc01_2011.nsf/0/9acc347a13bfb859052578e9007c116f/$FILE/PL00034110811.pdf
VIRUS Y SEGURIDAD NACIONAL DE PERÚ
Voceros de Péru indicaron que los ataques informáticos serán cada vez más sofisticados y dentro de cinco años o menos explotarán los ataques APT o dirigidos “*cuyo objetivo será extraer o comprometer información confidencial sensible de carácter de seguridad de una nación*”.
“En cinco años, las naciones iberoamericanas producirán sus propios ataques y espiarán a sus vecinos”, pronosticó, en lugar de usar inteligencia militar. Esto podría llevar a conflictos bilaterales siempre y cuando se descubran. “La seguridad informática está en crisis”.
DATO CURIOSO: Brasil es el país con mayor cibercriminalidad en Latinoamérica
BRASIL
Brasil es considerado el país donde hay más cibercriminales que se benefician de esta actividad. De acuerdo con Misha Glenny una periodista britanica que viajo a este país durante el año 2009. De acuerdo a Kaspersky Lab, en Brasil existe 10 millones de computadoras; 73 millones de accesos a Internet, 38 millones de usuarios en línea; 2.2 millones de usuarios de banca móvil.
PROFESIÓN Raúl, Raúl es el nombre que utilizan los cibercriminales para designar a aquellos brasileños que viven de robar la banca en línea, la clonación detarjetas de crédito y huyen de la policía, la “Raulzada”.
Fabio Assolini, Analista de Malware, Kaspersky Lab – indicó que realizó un análisis de la situación de cibercriminaldiad en Brasil e hizo una comparación entre los cibercriminales de Brasil y Latinaomérica.
En Brasil el robo de bancos se los hace en su mayor parte con troyanos a diferencia de lo que ocurre en Latinoamérica que lo hace a través de botnet. Los troyanos con que se atacan en la banca brasileña en un 95% la hacen por brasileños, dice Assolini.
Assolini, comentó que el comportamiento de los cibercriminales en Brasil se orienta a atacar y obtener resultados inmediatos, aunque sostuvo que la finalidad entre los cibercriminales de este país y Latinoamérica es igual, “su objetivo es ganar dinero”. Los unos lo hacen con mecanismos que permiten el robo de forma inmediatamente y los otros con mecanismos como los botnet que infecta a más personas, roba información y cuyos resultados son a mediano plazo. Este experto brasileño se habló de en Brasil se utiliza más la ingeniería social para cometer delitos informáticos a través de malware de baja calidad.
EUROPA
La Comisión Europea incide en la importancia de reforzar la ciberseguridad de los países miembros
Para fortalecer al compromiso de los estados de la Unión Europea y a fin de mejorar y reforzar sus capacidades de ciberseguridad nacional la Comisión Europea anunció que se prepara para mejorar la seguridad de la información y las infraestructuras en Europa. En este plan, también se contempla una modernización de la agencia ENISA.
La Vicepresidenta de la Comisión Europea, Neelie Kroes, presentó ante el Consejo Europeo el informe (Informe-http://europa.eu/rapid/pressReleasesAction.do?reference=MEMO/11/345&format=HTML&aged=0&language=EN&guiLanguage=en) sobre telecomunicaciones de la Comisión correspondiente en el que, entre otras propuestas, se presta atención a la ciberseguridad en Europa.
En el informe se insta a establecer esfuerzos, tanto a nivel de la UE como globales, para abordar de forma efectiva todo tipo de ciberataques, ya sean ataques para explotar vulnerabilidades de los sistemas TI, interrupciones deliberadas o intentos de destruir sistemas TI.
La vicepresidenta Kroes pidió en su intervención un mayor compromiso de los estados miembros para mejorar y reforzar sus capacidades de ciberseguridadnacionales. De forma particular, la Comisión monitorizará la implementación de CERTs nacionales y la creación de una red de centros de alerta temprana en Europa para 2012 apoyados por estrategias nacionales efectivas. Asimismo, propone desarrollar planes de contingencia ante incidentes informáticos a nivel nacional y contribuir al desarrollo de un plan de contingencia europeo ante ciberincidentes para 2012; y organizar ejercicios de ciberseguridad nacionales y paneorupeos de forma regular; entre ellos, propone un ejercicio junto aEstados Unidos para finales de 2011 y un ejercicio de toda la Unión Europea en 2012.
OTROS Acuerdos y Documentos globales para tratar el tema de ciberataque
1. ENISA-Good Practice Guide for Incident Management–http://www.enisa.europa.eu/act/cert/support/incident-management
3. Resoluciones generales-http://ciberdelincuencia.org/fuentes/resoluciones.php#onu
-
Consejo de Europa (CoE)
-
Comisión Europea
-
Naciones Unidas (ONU)
-
Unión Internacional de Telecomunicaciones (UIT)
-
Organización de los Estados Americanos (OEA)
Este corto ensayo presenta una idea general sobre el panorama que enfrentan las naciones sobre el tema de los ciberataques. Aún queda mucho por hacer sobretodo por el lado de educar a la población sobre los riesgos y problemas que representa para la seguridad de una nación los ataques de informática.
FUENTES:
1. http://www.netmedia.info/featured/obama-propuso-legislacion-que-detalla-estrategia-de-ciberseguridad/
2. http://www.netmedia.info/ultimas-noticias/sarkozy-llama-a-gobiernos-a-regular-internet/
3. http://comunicacion.senado.gob.mx/
4. http://www.dailytech.com/Reports+Hackers+Use+Stolen+RSA+Information+to+Hack+Lockheed+Martin/article21757.htm
5. http://www.dhs.gov/files/cyber-awareness-campaign.shtm
6. http://globalspin.blogs.time.com/2011/05/27/meet-chinas-newest-soldiers-an-online-blue-army/
7. http://www.whitehouse.gov/cybersecurity/comprehensive-national-cybersecurity-initiative
8. http://www.zdnet.com/blog/security/chinas-blue-army-when-nations-harness-hacktivists-for-information-warfare/8686
9. http://www.pcworld.com.ec/2011/08/26/profesion-%E2%80%9Craul%E2%80%9D-analisis-de-cibercriminalidad-en-brasil/
10. http://ciberdelincuencia.org/fuentes/prensa.php
11. http://www.scansafe.com/downloads/gtr/2009_AGTR.pdf
