También el del encuentro “Bloggers de seguridad 2011″, mesa redonda en la que tuve el privilegio de estar junto a Jose Selvi, Manolo Benet, Sergio De Los Santos y Yago Jesús. Lo cierto es que me da bastante palo verme en pantalla y soy el mayor de los críticos conmigo mismo, pero ayer al fin lo visioné, y me reafirmo en las buenas sensaciones que tuve durante mi participación y estancia en León.

Los vídeos;

Todas las ponencias y talleres de ENISE.

El vídeo de nuestra mesa redonda

Para acabar, suscribo al 100% lo que ha publicado Yago en Security By Default, me refiero al gran trato recibido por INTECO, mención especial a Alberto (no tengo tu Twitter;) Javier Berciano y Francisco Losada, un saludo para el resto del equipo y compañeros de mesa, además del público que asistió al evento, sin olvidar a quienes estaban con el streaming -;).

Compartir

Edito y añado, ya están los vídeos.

Creo que un buen resumen acerca de lo que hablamos lo hizo (y muy rápido, dada la hora a la que nos retiramos) Sergio de los Santos en el Blog del laboratorio de Hispasec. (no “de los Santosm” como dice ABC, tampoco su crónica, leyendo ya el primer párrafo se ajusta a la realidad-;). Edito y añado la crónica de Manolo (grande;) en Security Art Work, así podéis leer todos los puntos de vista.

Por añadir algo a los suyos, entramos en un debate con opiniones diversas sobre si la concienciación en buenas prácticas sobre seguridad informática era efectiva. Bien desde la divulgación pura y dura, acompañada de la dureza de posibles sanciones, etc. Sobre este punto hay una cosa que tengo muy clara, independientemente de las opiniones vertidas, la realidad es que todos los que estábamos en la mesa, desde hace años, venimos haciéndolo en distintos medios y seguiremos haciéndolo. Creo que por encima de nuestras opiniones o percepciones, seguiremos porque es necesario y más con el panorama actual, ciertos mensajes sí llegan al usuario final.

En mi caso creo recordar que me centré relativos a las configuraciones por defecto en los servidores web tal y como se entregan a los clientes, las posibles responsabilidades legales en caso de fugas de información, de viejos problemas en nuevos dispositivos e infraestructuras, del gran nivel en materia de seguridad que tenemos aquí sin falta de mirar tanto hacia fuera, volví a hablar del bug (escribiré una entrada) del cambio de passw en Twitter vía web y cómo desde el móvil se accede con el cliente de turno (en este caso Echofon) hasta que no hagas un “logout”, de que la formación en seguridad es un activo para la empresa, etc.

La “foto oficial” (tomada con mi teléfono y sin una justa atribución;)

Click para ampliar la imagen

De izquierda a derecha;

Javier Berciano (@jberciano) de  INTECO-CERT.

Manolo Benet (@mbnet) de  Security Art Work.

Sergio de los Santos (@ssantosv) de  Hispasec.

(Sín gorra y en el medio para el “balance de blancos de la foto;)

 Jose Selvi (@JoseSelvi) de  Pentester

Yago Jesús (@Yjesus) de  Security By Default.

Francisco Losada (@flosadam) de INTECO-CERT.

Por cierto, en la foto falta Alberto López (un saludo desde aquí) y dejando a un lado nuestra mesa o ponencia, quiero resaltar el excelente trato que se nos dio a todos, el gran componente humano, la cercanía y ganas de ayudar que hay detrás de unas siglas como INTECO.

Sobre todos los contenidos que aportan día a día y su calidad, es algo que cualquiera puede comprobar vía web. Herramientas de seguridad, formación gratuita en línea, boletines de noticias, documentación en PDF sobre cuestiones de privacidad en redes sociales, para PYMES o autónomos y un largo etc. Yo tengo descargados muchos de sus contenidos.

Sobre los compañeros del “5EBloggers“, que voy a decir, después de la sorpresa de última hora con la incorporación de Sergio, ha sido toda una experiencia para mi compartir ponencia, “plato y mesa”" además de alguna copa, con gente a la que sigues habitualmente y por fin les puedes poner cara, pero también comprobar, que en “las distancias cortas”, te dejan las mismas buenas sensaciones que en la distancia que te separa de ellos a través del cable de red cuando lees sus contenidos.

También pude “ponerles cara” a muchos otros como David Barroso, Ignacio Vázquez, Pablo Teijeira, etc y ver a gente ya conocida como Samuel Linares además de algún otro (del que no tengo su Twitter;).

En definitiva, una experiencia como para repetir sin dudarlo, gran organización, profesionalidad y más humanidad. Muchas gracias a INTECO-CERT por haberme hecho partícipe de un evento como este y un saludo a toda la gente con la que he estado estos días.

Compartir

Con el tema “Hacia una sociedad conectada más confiable” (ceo que el tema dará mucho juego), pudiendo seguirse de un modo presencial (entrada libre hasta completar el foro) o para quienes no puedan asistir, vía web. Tras una primera intervención por parte de quienes formamos la mesa, luego habrá un turno de preguntas y respuestas. En Twitter, el “hashtag” será; #5Ebloggers

En la mesa compartiré espacio junto a;

Moderador; Javier Berciano (Coordinador del Área de Operaciones de INTECO-CERT)

José Selvi Pentester | Manuel Benet Security Art Work |  Yago Jesús SecurityByDefault

Así que ya sabes, si te pasas por León, allí nos veremos, gracias a la organización por invitarme a asistir y un saludo a los compañeros de mesa ;).

Más info; “Encuentro Blogueros de Seguridad 2011“.

Compartir

Edito y añado; Disponible el vídeo (mi monólogo a partir del minuto 24, pero recomiendo verlo entero).

Y no quiero hacerlo, ya que creo que tendría que incluir a la gran mayoría de gente que asistió al FIMP, bien como ponentes o asistentes (y el resto que pudiese faltar, sería por no haber podido hablar con ellos). Aquí mi resumen del año pasado y mi parte de la charla sobre seguridad y servidores web..

Arriba, una imagen de mi apreciado Fernando (@sinlavenia) en la puerta del hotel Silken (enlace a su post), donde tuvo lugar el evento. Tuve la oportunidad de conocer a gente nueva, estrechar los lazos con viejos amigos y llevarme gratas sorpresas entre bytes, mesas redondas, un alto grado de necesario escepticismo, alguna cerveza y un ambiente genial. Viendo la lista de participantes no era difícil, (tampoco con los que asistieron), el programa prometía y 1+1 = 2 ;).

Con dos buenos amigos, Fernando de la Cuadra (ESET) y Ricardo Galli (Menéame), por @sinlavenia.

Este año me tocó la sección “Monólogos” o “enséñame lo que sabes en 5 min” y hablé de (IN) Seguridad, PYMES y webs. Cuando me avisó Carlos Urioste  (alma mater del Fimp junto a Ana, “la que siempre está ahí”) faltaban sólo cuatro días, ya me había comentado vía Twitter que tenía pendiente hablar conmigo del tema pero estaba a tope, intenté en esos días hacer un ejercicio de “resumir al máximo” para hablar de seguridad en cinco minutos. Os adelanto que hubo otros que estuvieron más brillantes que yo y que no faltó (como el año pasado) mi típico “momento” con algún cable que se cruzó ;D.

Estuvo salado porque después de haber probado la conexión a los monitores externos desde el Asus con mi Debian antes de comer, luego no iba y en cambio sí la conexión Wi-Fi en el mío pero no en la de otro equipo que sí estaba conectado a los monitores, cosas del directo.

Haré un copy & paste sobre lo que hablé, ya que quien lo redactó en la web cuando tocó entrar en escena, lo ha resumido bien;

David Hernández (Dabo): ‘De (IN) Seguridad, PYMES y webs’

La seguridad en las empresas es una cuestión muy complicada, especialmente para las PYMES. David Hernández habló del ‘PDF de los 300.000 euros’, que mucha gente encuentra en internet cuando busca su nombre, y en el que aparecen los datos de cuándo empezaron a trabajar en su empresa. Con ello ha querido mostrar los riesgos que pueden tener las empresas en la red y, o desconocen u obvian. También demostró que, cambiando su contraseña en Twitter a través del ordenador portátil, pudo seguir mandando tuits con la contraseña antigua a través del móvil. “¡Esto es inseguridad de la de verdad!” dijo.

“Fotografiando al fotógrafo”, min antes de mi charla, por Mauro (@fotomaf).

El vídeo lo podéis ver en la portada de la web (zona inferior), en el que salgo yo es este (min 24) pero os recomiendo ver todo el material. Efectivamente, tal y como han redactado, hablé de cuestiones que afectan a las empresas además de las certificaciones (tipo ISO 27001) u obligaciones de la LOPD, (IN) Seguridad “real”, me centré en un caso reciente y al final lo que hice, fue una demo de cómo seguir usando Twitter vía móvil habiendo cambiado el password vía web. Primero envié un Twitt desde el móvil, lo dejé en la mesa, luego vía web cambié mi password salió el “Hurra, tu password ha cambiado” y después cerré con un “WTF” desde el móvil con el password antiguo. En este caso era con la aplicación Echofon, pero podía haber sido otra y se podría hablar mucho de sesiones activas, Tokens, etc…

Pero sobre todo, quise hacer ver en caso de pérdida del móvil, lo importante que es tener en cuenta (además de un “plan B”, bloqueos, borrado y localización remota, revocar permisos a aplicaciones de terceros vía web, etc) cuestiones tan imprevisibles como estas, ya que normalmente, si pasa algo así, la gente va vía web a cambiar su password y creen que “ya está”, pues no, hasta que no hubiese cerrado mi sesión, podía haber tenido acceso total a la cuenta…Para acabar, dar las gracias a la organización, asistentes, ponentes y amigos. Ya falta menos para el FIMP 2012 ;)

Con el gran Fernando De la Cuadra (ESET), por Fernando Silva (Faltan otras también de Fernando que como veréis en su blog no ha parado muy chulas y que dan fe del espíritu que se respira en el FIMP y la cercanía que se vive junto al resto de participantes)

Ahora lo próximo será en León, el 26 de este mes, dentro del programa de ENISE (INTECO-CERT) en la ponencia de “Bloggers de Seguridad 2011” en la que estaré como se ve en el enlace, con unos auténticos cracks de la seguridad.

Compartir

En mi caso, a diferencia del año pasado del que (a pesar de la fiebre) guardo un gran recuerdo de mi ponencia compartida con Fernando de la Cuadra (de ESET, que vuelve a patrocinar el evento y nos dedicó este bonito artículo en la revista “Linux +” ) y Oscar Reixa (recuerdos para Josep Albors), en esta ocasión estaré el Sábado dentro del apartado “Monólogos y enséñame lo que sabes en 5 min”. Yo humildemente y sin querer parecer pretencioso, (por aquello de “enseñar lo que sé” con todo lo que me falta por saber) hablaré “De (IN) Seguridad, PYMES y Webs“.

Si te quieres inscribir, aún estás a tiempo y vaya, si pasas por el evento este fin de semana allí nos veremos. Muchas gracias a la organización por contar conmigo de nuevo y por el esfuerzo que supone hacer realidad en los tiempos que corren algo así.

Nos vemos en Gijón !!!

Compartir

(Pincha para ampliar)

Yo ya estoy inscrito, el “hashtag” en Twitter que he creado para la ocasión si os apuntáis es #KDDKernelPanicHuesca

¿Te lo vas a perder? —-> Más información

Compartir

Comentar que el formato es el siguiente, el ponente presenta y desarrolla su presentación durante 30 min y después, a modo de enriquecer la ponencia, el público tiene otros 30 min para aportar ideas u opinar sobre lo tratado.

Algunos de los temas a desarrollar y ponentes;

Apertura – Cristian Borghello (Segu-Info)
Seguridad Móvil – Ezequiel Sallis, Claudio Caracciolo (Root-Secure)
Continuidad de Negocio y Gestión de Crisis – Mateo Martinez (TATA Consultancy Services)
Virtualización y Seguridad en VDI (Virtual Desktop Infrastructure) – Diego Bruno (Consultor)
Seguridad en Cloud Computing – Hernán Racciatti (SIClabs):
MITM y robo de información en sesiones SSL – Matias Katz (Mkit Argentina):
Criminología informática a través de botnets – Jorge Mieres (MalwareIntelligence):
Debate de cierre con resumen de las principales ideas de la jornada

Lugar;

Vive ForoS! se desarrollará el próximo jueves 28 de octubre de 2010 de 13 a 19 hs en las instalaciones de TATA Consultancy Services, Uspallata 3034 en el Distrito Tecnológico de la Ciudad Autónoma de Buenos Aires, Argentina.

Podrás verlo en streamming;

Vive ForoS! será transmitido en vivo por streaming de modo de permitir la participación de asistentes de cualquier lugar del mundo.

Para acceder al video simplemente debes ingresar al sitio web el día del evento. La transmisión comenzará a las 13 hs de Argentina (GMT-03:00)

Toda la información e inscripción (suerte con el evento, a ver si os puedo seguir online-;)

Compartir

Pues bien, tengo el placer de comunicaros que compartirá mesa junto a Oscar Reixa y yo en nuestro; “Cómo sobrevivir a tu tráfico web sin arruinarte o morir en el intento” del que ya os hablé en el blog hace unos días a modo de presentación.

Hablar de Fernando De La Cuadra es hablar de seguridad con mayúsculas, cuenta con una trayectoria impecable primero en Panda y ahora en ESET como director de comunicación y formación de Ontinet, distribuidor exclusivo de ESET en España (NOD32 antivirus, Outpost Firewall, etc). Pero sobre todo y por encima de todo, alguien que disfruta con lo que hace y que estará con nosotros en Gijón como uno más.

Ese “cómo uno más” es un matiz importante ya que, no se trata de ninguna imposición por parte del patrocinador, nada más lejos de la realidad, es el complemento ideal a nuestra charla y después de una conversación que he tenido con Carlos Urioste, alma mater del evento, Fernando y yo hemos contactado o más bien debería decir “conectado” porque estamos en la misma onda, quedando en que sería él quien “abra fuego” el Sábado a las 18,45 h, (Aquí el programa) para darnos paso después a Oscar y a mi.

Por último, os informo que él expondrá varios conceptos-consejos sobre seguridad informática y luego será Oreixa quien recoja el testigo hablando de optimización a nivel de server y seguridad en WordPress, la parte final me toca a mi y con ello, las cuestiones de seguridad y filtrado de tráfico legítimo e indeseado que afectan a nuestros servidores dedicados-privados con varios ejemplos reales de ataques web.

Bueno amigos, ya queda menos, nos veremos en Gijón y aprovecharé para poner cara a gente a la que sigo desde hace tiempo y ver a otros colegas que se pasarán por allí. Como podéis suponer, tanto Oscar como yo estamos encantados de compartir espacio y temática con Fernando -;).

Compartir

Edito y añado; Resumen de mi charla

A raíz de una distendida y enriquecedora charla que mantuve con Carlos Urioste (Blog > “Voolive“), gerente de El Comercio Digital y gran conocedor de un medio tan “desconocido a veces por los medios” (tradicionales) como es Internet, me he embarcado de lleno (hasta la piscina diría yo-;) en la tercera edición del Foro Internet Meeting Point, Fimp) que se celebrará en Gijón entre los días 1 y 3 de Julio.

En reunión estuvo también Ana Fernández Ordíz (Blog > “Con Alegría e Ilusión“), ella forma parte del equipo que se encarga de promoción y participación online en El Comercio Digital y se nota cuando la gente hace su trabajo llevando el título de su blog a la práctica “con alegría e ilusión”.

Insistieron en que tenía que estar en el FIMP de este año y a pesar de que les dije que hay gente más preparada que yo para estar en un evento de tal calibre, quise estar a la altura de la confianza que depositaron en mi y acepté encantado, consciente de la responsabilidad que supone.

No hay más que darle un vistazo al plantel de ponentes o participantes de este Fimp 2010 (PDF) en las diferentes charlas o mesas redondas para darse cuenta de lo que hablo cuando digo “responsabilidad”…Podéis también ponerles cara a algunos de los organizadores y participantes (no pude estar) que vía Twitter lo presentaron.

Carlos me dio libertad total para prepararlo, imagino que buscaba también la experiencia personal de alguien que como yo, se ha tenido que ir buscando la vida para ir canalizando el tráfico que le llegaba a sus webs.

Un incremento de tráfico que tuve que lidiar primero con un Daboweb que, cuando empezamos (año 2002) ya era un foro con bastante tráfico y sobre todo, hablando de incremento de tráfico, la prueba definitiva para mi llegó a partir del 2005 con Caborian que, al mover tantas imágenes y con unas dos millones de páginas vistas al mes, además de muchas consultas a la base de datos, también es un buen “potro” que domar, además de otras webs que ya conocéis.

Por otro lado, los más asiduos al podcast o el blog, ya sabéis de mi relación tan estrecha con los temas relacionados con la seguridad. El eterno aprendiz, así me podría catalogar en un campo tan vivo como este. Al final, después de darte de leches noches y más noches con el sistema (ya lo digo en mi ficha de participante en el FIMP, no he tenido la suerte de poder estudiar nada relacionado con la informática dentro de un aula) te das cuenta de la gran relación con la seguridad que hay entre un sistema bien optimizado y uno que no lo esté.

Corría el año 2005 cuando contraté mi primer servidor dedicado en Interdominios, (a los que les doy las gracias por el apoyo continuado desde que empecé), un Pentium III con 512 mb de Ram y 40 Gb de disco duro que se portó siempre como un campeón, estaba cansado de sufrir caídas del foro dentro del alojamiento compartido en el que estaba y gracias a Raúl Naveiras, gran amigo y mejor sysadmin, programador y un largo etc, comencé a ser mi propio ISP y de paso, a verle las orejas al lobo y darme cuenta de lo poco que sabía acerca de estas temáticas.

Gracias a Raúl, también aprendí a vivir sin esos paneles gráficos como Plesk, Cpanel, DA, etc que tanto te facilitan la vida cuando no sabes pero que a su vez, tanto limitan tus conocimientos sobre el sistema (GNU/Linux en mi caso), además de tomar un protagonismo excesivo sobre el mismo. Ya les dediqué una entrada en el blog a estos sistemas y la falta de una administración adicional en la máquina.

Luego, cuando fui aprendiendo a base de prueba-error, pasé a meterle mano a servidores dedicados más potentes y a administrar otros de terceros. En estos 5 años, he ido pasando por diferentes fases hasta llegar a comprender más o menos como se mueve todo esto.

También a ser consciente de los problemas que se encuentra cualquiera que inicia un blog u otro proyecto web y empiezan a subir sus visitas, y con ello sus problemas a la hora de elegir su plan de alojamiento adecuado, o ser consciente de lo que deberían pedir cuando contraten un nuevo hosting.

No deja de ser menos cierto que el compartir experiencias en nuestros foros de Daboweb, te ayuda hacerte una idea de los problemas de los demás y cómo intentar paliarlos llegado el caso. Y relacionado con todo esto y la charla-demostración práctica del FIMP, pensé que el compañero de viaje ideal para llevarla a buen puerto era Oscar Reixa (Oreixa).

Alguien que de blogs, ahí están todos sus planetas dentro de Galaxia Blog, ( Recién renovados; Reixa, Mac, iOS, iPhone), de tráfico y de cómo buscarse la vida también sabe mucho. El mismo día en que se confirmó mi asistencia al FIMP, me tomé una cerveza con otro que de este medio podría hablar largo y tendido, desde el punto de vista del blogger, formador, usuario o sufridor de los picos de tráfico de su éxito -;). Hablo de mi amigo Juan García, “Kids” de Blogoff, quien por cierto ha escrito una recomendable entrada sobre “Por qué ir al Fimp sin conocer el Fimp“.

Juan me dio algún consejo para la charla, o más bien me contó cómo le gustaría que fuese según su percepción de las cosas o cómo le afectan las cuestiones de optimización y seguridad en el día a día de la publicación y la forma de afrontarlas. Además darme un montón de ánimos para el día 3, como muchos de vosotros -;).

También estos días, hablando con grandes amigos y gente que lleva adelante proyectos con peso y solera en Internet como pueden ser Destroyer y Danae, Forat, AJ, Rafa Espada o Diego, (juntos llevamos adelante DebianHackers) en este caso me refiero a personas que llevan adelante blogs regularmente pero que también administran sus servidores Privados/Dedicados (o co-administramos, ahí estamos ayudándonos unos a otros desde hace años-;), también voy cogiendo ideas (Liamngls, me faltas tú-;).

Pero para no perder la perspectiva, las sugerencias de otros que van “más tranquilos” en La Red como David Busto o Karbonato, nos vienen muy bien para preparar la charla. En este caso hablo de usuarios a los que no les preocupa tanto el sistema, sino el resultado final de la publicación aunque se interesan por el sistema y Karbonato por ejemplo, tiene un VPS bajo Debian.

¿El resultado?, más o menos la descripción que Oscar y yo a modo de resumen, hemos hecho para dar unas pinceladas de lo que compartiremos con el resto de compañeros que asistirán al evento. Tal y como se indica en el programa definitivo del Fimp; También está al completo con los participantes en PDF.

Título;

“Sobrevive a tu tráfico web sin morir o arruinarte en el intento”.

Descripción;

“Soñamos con aumentar el tráfico de nuestros blogs, pero ¿estamos preparados para un incremento súbito en las visitas sin perder el “sueño”? Repasaremos técnicas básicas de guerrilla para tener a punto tu WordPress, optimizar y preparar el servidor web para absorber ese tráfico.

También veremos con ejemplos y demostraciones prácticas, lo complejo que resulta a veces diferenciar entre el tráfico legítimo y el indeseado que llega hacia tu sitio web. Todo ello apoyado con escenarios reales de ataques web de diversos tipos, dando desde nuestra propia experiencia, algunas pautas para paliarlos y una visión global de lo que deberías saber antes de pasar por caja y contratar una nueva máquina”.

Quizás lo más complejo haya sido darle forma a todo o más bien resumir lo más importante. Esa fase ya está superada (más o menos-;) y ahora queda preparar cada uno nuestra parte. Dispondremos de 60 min y lo haremos en dos bloques, estamos controlando ahora mismo el tiempo para cada uno de ellos. En ambos casos, apoyaremos lo comentado con ejemplos realizados en riguroso (esperemos que no falle-;) directo.

Mi compañero de viaje en el Fimp, Oreixa, se centrará en temas relativos a lo importante que es la elección de un hosting y los puntos a tener en cuenta para contratar un nuevo plan de alojamiento, hablará de optimización desde lo más básico en WordPress (usado por la gran mayoría de asistentes a la charla, también dará pautas y herramientas para asegurarlo), hasta temas de más complejidad en el lado del servidor, válido para un VPS o dedicado, (cachés de disco, memoria, PHP, MySQL, etc), monitorización de servicios y el sistema, etc.

Por mi parte me centraré en temas que afectan a la seguridad y en lo complejo que resulta a veces diferenciar el tráfico legítimo del indeseado. También haré alguna demostración práctica de cómo se llevan a cabo ataques de fuerza bruta como los que realizan servidores o hosts troyanizados (típica Botnet) contra protocolos tan delicados como SSH, FTP, etc, ataques DoS bajo peticiones HTTP o Syn.

También se verán ejemplos de cómo un buscador puede tumbarte un servidor, ataques XSS, vulnerabilidades en PHP y otros servicios, seguridad por oscuridad con varios ejemplos y sus correspondientes test de intrusión externos, ver un firewall en acción y algún consejo para usarlos, búsqueda de Rootkits, control de puertos y servicios a la escucha, etc.

A su vez, iremos viendo alguna medida para poder paliar (en parte, ya que la seguridad “total” es una utopía y más en un servidor web). Como todo esto se va realizar usando 4 o 5 servidores reales en producción, sólo espero que no nos fallen las comunicaciones aunque intentaremos tener un plan B o C. Si os pasáis por el Fimp esos días, puede ser un buen punto de encuentro para ponernos cara delante de unas birras -;).

Edito y añado;

Resumen de mi participación y los temas que traté

Muchas gracias a todos por los ánimos y por vuestras entradas que voy leyendo ;)

Oscar en Planeta Reixa

Fernando en SInLaVeniA

David en Ennegativo

Forat en Forat Dot Info

Diego en DebianHackers.

Caborian Caborians en el FIMP

Además de todos los apoyos que llegan desde Twitter, mails, etc. En “Fimp” que sois la leche ;)

Compartir

Para seguir el Congreso en directo este es nuestro Twitter | Más info y fotos.

Compartir