Soluciones de Gestión de Usuarios Privilegiados vitaminadas con Latch

jueves, 30 de marzo de 2017


Después de los dos artículos publicados en las semanas anteriores, donde se han definido conceptos de la gestión de accesos privilegiados, ventajas y usos. Ahora vamos a fortalecer (“vitaminar”) estas herramientas con la aplicación de Latch, nuestro cerrojo digital que nos proporciona una capa extra de seguridad.

Eventos de ciberseguridad en abril que no te puedes perder

martes, 28 de marzo de 2017


Si quieres estar al día sobre seguridad informática no puedes faltar a las citas que hemos seleccionado para ti. Aquí tienes la lista de actividades en las que participamos a lo largo del mes de abril, si coincide alguna de ellas en tu ciudad, acércate a conocernos. También hay eventos online, a los que puedes asistir estés donde estés. ¡Haz hueco en tu agenda!

ElevenPaths crea un addon para hacer Firefox compatible con Certificate Transparency

lunes, 27 de marzo de 2017

Certificate Transparency será obligatorio en Chrome para los nuevos certificados a finales de 2017. Esto significa que se mostrará una alerta en las páginas protegidas por certificados que no estén presentes en los logs que Chrome comprueba para esa fecha. Ningún otro navegador soporta Certificate Transparency todavía. Hasta ahora... Mozilla está en ello para hacerlo funcionar en Firefox pero no existe fecha oficial para publicarlo aún. En ElevenPaths, nos adelantamos a este acontecimiento y creamos el addon que permite la verificación de los certificados incrustados.

Comprobación de los SCT incrustados en el certificado de nuestra página

DirtyTooth: Es nuestro Rock’n Roll

viernes, 24 de marzo de 2017

Las comunicaciones vía bluetooth están aumentando constantemente. Millones de usuarios usan esta tecnología a diario para conectarse a dispositivos que nos ayudan a hacer nuestra vida más cómoda, desde wereables hasta altavoces o dispositivos de manos libres.

DirtyTooth es un pequeño hack que se aprovecha de la configuración de iOS en lo que a administración de perfiles bluetooth se refiere, a través de este pequeño fallo se puede obtener mucha información sobre los usuarios y su entorno (desde números de teléfono hasta los últimos cambios de portabilidad realizados). Hemos pasado por la resaca post-evento de RootedCON, pronto esperemos poder enseñaros los vídeos.


Cómo explotar en tres pasos la información de OpenStreetMap

jueves, 23 de marzo de 2017

El proyecto OpenStreetMap nació con el objetivo de ofrecer a sus usuarios información geográfica de libre uso. Es decir, que fueran estos los que tuvieran el poder de añadir información, corregir errores o incluso integrar los mapas con otras herramientas pero sin pagar por ellos. Sin embargo, ¿nos hacemos a la idea de la cantidad de información útil que la gente comparte con la comunidad a cambio de nada? Lo mejor de todo es que solo necesitamos seguir tres pasos para poder explotarla.

Primer paso. Descargar QGIS
Para trabajar con este tipo de información utilizaremos QGIS. Un sistema de información geográfica (GIS) software libre que opera bajo la licencia GNU GPL y que se puede descargar aquí. Como cualquier GIS, se trabaja con capas de información superponiendo unas con otras. En nuestro caso, como queremos trabajar con los mapas de OpenStreetMap, tenemos que ir a Complementos > Administrar e instalar complementos y nos descargaremos el plugin OpenLayers. En ese momento se nos habrá habilitado en la pestaña web los mapas tanto de OpenStreetMap como de Google o de Bing.

Figura 1. Capa de OpenStreetMap.

ElevenPaths y Wayra España buscamos a las tres mejores empresas de ciberseguridad

martes, 21 de marzo de 2017

Según IDG, se calcula que en el 2019 habrá una demanda de 6 millones de expertos en ciberseguridad para cubrir la demanda laboral que existirá y según Chris Bronk, catedrático de informática e investigador de ciberseguridad de la Universidad de Houston (USA), el mercado global de ciberseguridad crecerá por encima de los 120.000 millones de dólares en el 2017.

La continua aparición de nuevas amenazas exige un continuo desarrollo de proyectos que den solución a los nuevos escenarios. Como comenta Chema Alonso, CDO de Telefónica y Chairman de ElevenPaths, “cuando aparece una nueva tecnología disruptora, como es el caso de la inteligencia artificial, dónde a través de servicios cognitivos es muy fácil reconocer una cara, el habla, el sentimiento u otras características biométricas, se abren un montón de posibilidades. Todas estas nuevas tecnologías potenciadas con el ‘cloud’ y abaratadas hacen que a los emprendedores se les eclosionen las neuronas y se les ocurran un montón de nuevas soluciones disruptivas, que dan lugar a que aparezcan cada vez más iniciativas emprendedoras en este sector. Además, hay que tener en cuenta que los atacantes también evolucionan su forma de atacar y están creando ataques disruptivos, por lo que es necesario responder con la misma disrupción a la hora de proteger los sistemas y defenderse de los ataques”.

ElevenPaths participa en la UMA HackersWeek IV

lunes, 20 de marzo de 2017

La semana del 3 de abril tendrá lugar en Málaga una nueva edición de la UMA Hackers Week, un evento gratuito y abierto al público para desarrolladores y apasionados de la seguridad informática, que se celebra como cada año en la Universidad de Málaga.


Durante los días del 3 al 6 de abril se desarrollarán numerosas ponencias y talleres sobre nuevas tecnologías, programación y sobre todo seguridad informática. Las charlas, talleres, conferencias y coloquios reúnen tanto a profesionales del sector como a miembros de la comunidad. En sus cuatro ediciones han contado ya con ponentes de alto nivel de compañías como Google, Microsoft o Telefónica, entre otros.

Cómo mejorar la seguridad de tu organización con soluciones PAM

jueves, 16 de marzo de 2017

Si no tienes una solución de control de usuarios privilegiados en tu organización, deberías plantearte por qué no dispones de ella.

En el artículo anterior La importancia del control de las cuentas privilegiadas, os escribí lo que para mí es una de las principales soluciones en ciberseguridad en este 2017, me arriesgaría a decir que incluso hasta en 2019. Una solución que pretende cubrir la seguridad en un amplio número de tecnologías, y en la cual debería pensar cualquier organización que no disponga de controles de acceso a usuarios privilegiados. Bien es cierto que no cubre una seguridad de grano muy fino, no os voy a engañar, pero con ellas, podemos abarcar la seguridad de un gran número de tecnologías y alcanzar un nivel muy maduro de seguridad y control.

Desplegando soluciones PAM

Antes de ver posibles casos de usos que podemos llegar a cubrir, me gustaría indicaros cómo podríamos realizar el despliegue en tres grandes fases, las cuales deberíamos fijarnos como metas en relación a los usuarios privilegiados.

Figura 1: Fases del despliegue de cuentas privilegiadas

Buenas y malas noticias sobre Cloudbleed

miércoles, 15 de marzo de 2017

El viernes 17 de febrero el investigador de Google Tavis Ormandy realizaba una publicación en su cuenta de Twitter indicando la necesidad urgente de contactar con algún responsable de seguridad de la compañía Cloudflare. Tras ello, se inició una contrarreloj para intentar solventar un problema de seguridad a nivel mundial que podría estar permitiendo que la información privada de millones de direcciones web que tuviesen contratado este servicio estuviera siendo publicada en internet, llegando incluso a ser indexada por diferentes motores de búsqueda existentes. Dada la magnitud del incidente y el número de dominios potencialmente afectados fue apodado como «CloudBleed» mimetizando el nombre elegido para el incidente de SSL de 2014 denominado Hearthbleed.

Blockchain (III). Bitcoin. La criptomoneda precursora que abrió la caja de Pandora

lunes, 13 de marzo de 2017

Blockchain hubiera quedado en un cajón como una propuesta más si no hubiese venido con una interesante alianza que le da sentido y razón. Una propuesta que se puso sobre la mesa con el mensaje más claro, motivador e inspirador posible. ¿Estamos hablando de su modelo seguro? No. ¿De su versatilidad? Tampoco, ni mucho menos de su robustez. Sino de obviamente el objetivo de ganar mucho dinero y además de manera algo más encubierta… especular con él. Y cuando hay dinero entre manos, muchos interesados acuden raudos para saber cómo conseguirlo. Basta como ejemplo observar la siguiente figura donde podemos ver la evolución del bitcoin (BTC) y la onza de oro (XAU) los últimos seis meses. Donde el día 3 de marzo el bitcoin superó por fin el valor del oro.


BTC y XAU frente al euro.

La importancia del control de las cuentas privilegiadas

jueves, 9 de marzo de 2017

El control de las cuentas privilegiadas debería ser una de las principales prácticas en el plan estratégico global de nuestra compañía. Tal vez haya empezado de una forma muy tajante, pero para ser conscientes de la importancia del control de los usuarios privilegiados, podríamos hacer referencia a Forrester Research, quien estima que el 80 % de los incidentes de seguridad implican el robo de credenciales privilegiadas; o el Ponemon Institute quien señala a los insiders como los principales culpables de los agujeros de seguridad y fuga de datos.

Ya hemos visto la importancia del control de cuentas privilegiadas, pero ahora debemos asentar un concepto importante, ¿qué es exactamente una cuenta privilegiada? Me gusta aclarar este término, ya que, para mí, su amplitud se ha visto incrementada en los últimos años. Tendemos a asociarlas con cuentas como la de root o el administrador de Windows, cuentas con los permisos más elevados, pero no sólo debemos aplicar dicho concepto a los sistemas, ahora más que nunca, debemos atribuirlo a las aplicaciones. No sólo comprometer la cuenta root de un sistema puede generarnos daño, comprometer la cuenta twitter de la empresa tal vez pueda implicar mucho más. ¿Quién es más privilegiado?

Análisis, aclaraciones y primeras curiosidades sobre #Vault7

miércoles, 8 de marzo de 2017

Wikileaks ha desvelado una mina de oro. El arsenal de ciberarmas que la CIA mantenía para sus operaciones de ataques en la red. Un evento tremendamente interesante por muchas razones. Veamos algunas de ellas y además, las primeras curiosidades sobre un análisis preliminar.

Qué ha pasado

Wikileaks ha publicado bajo el nombre de Vault7 buena parte del arsenal de armas y documentación del que dispone la CIA para, fundamentalmente, atacar a través de medios electrónicos. Un arsenal cibernético, no es más que un buen puñado de gigabytes con documentación y herramientas. Entre ellas, tendremos:
  • Documentación pública más o menos ordenada sobre cómo realizar ciertas acciones.
  • Documentación privada sobre cómo realizar ciertas acciones.
  • Manuales de usuario y descripciones de herramientas y metodologías internas.
  • Código de vulnerabilidades públicas.
  • Código de vulnerabilidades privadas o mejoradas (0days).
  • Entornos y frameworks de trabajo, ensayo y desarrollo.

ElevenPaths Talks: La Red Bajo Ataque

martes, 7 de marzo de 2017




El próximo jueves 9 de marzo únete a un nuevo webcast de ElevenPaths Talks, nuestra serie de webinars sobre ciberseguridad. En esta ocasión aprende con los expertos Arsene Laurent, nuestro CSA en USA y Claudio Caracciolo, nuestro CSA en Argentina, que junto a un invitado especial, debatirán sobre las técnicas más actuales en ataques DDoS y darán algunos consejos para evitarlos. ¡Inscríbete ahora!

ElevenPaths e iLife Security firmamos un acuerdo tecnológico para ofrecer servicios de soporte, dirección de IT y seguridad

lunes, 6 de marzo de 2017


Con el objetivo de ayudar sus clientes a adaptar sus sistemas a la nueva realidad tecnológica y sus crecientes retos en materia de seguridad, recientemente, ElevenPaths e iLife Security, especializada en el Outsourcing Integral de la Gestión de IT, hemos firmado un acuerdo de colaboración tecnológica para la implementación de servicios especializados de soporte, dirección de IT y seguridad.

La colaboración se centrará en compartir conocimientos y recursos técnicos para la implantación de productos y servicios basados en la seguridad digital y la correcta dirección de IT, especialmente con nuestras tecnologías Latch, Security Monitoring y Metashield.

Todos somos objetivo del cibercrimen

viernes, 3 de marzo de 2017

Del 2 al 16 de febrero se celebró TIC Fórum Centroamérica, el evento donde Telefónica Business Solutions muestra cómo apoyan a las empresas en su migración digital, y en sus operaciones de negocio, a través de la implementación de la tecnología. Esta 6ª edición se celebró bajo el lema "Ciberseguridad: Protegiendo activos digitales".

ElevenPaths, como unidad de Ciberseguridad de Telefónica, apoyamos dicho evento para concienciar a las organizaciones en Centroamérica de la necesidad de implementar medidas de seguridad. Así que tuve el honor de realizar la ponencia principal, donde mi objetivo era mostrarles a los asistentes cómo podían y estaban siendo usados por el cibercrimen y cómo esto les estaba afectando.

Fue por esto que mi ponencia se llamó “¿A quién le interesaría atacarte? Todos somos objetivo del cibercrimen”, donde la idea era enseñar con ejemplos claros cómo los grandes mecanismos que usa la ciberdelincuencia les estaban afectando y cómo estaban siendo usados, en la mayoría de casos sin sospecharlo. Usando herramientas online mostramos cómo Panamá había sido atacado por DDoS durante el mes de diciembre de 2016.

¿Está seguro tu presidente en Twitter?

jueves, 2 de marzo de 2017

La red social Twitter se ha convertido en un canal habitual para muchos presidentes de gobierno y primeros ministros con el fin de comunicar en tiempo real sus pensamientos desde rincones del mundo que antes eran impensables. Sin embargo, ¿qué pasaría si sus cuentas fuesen comprometidas? 

Apenas hace un mes una ciberidentidad llamada WauchulaGhost se dirigió al presidente Trump publicando el siguiente mensaje: «Cambia tus ajustes de seguridad». Sin que se trate de una gran habilidad técnica, una simple recuperación de contraseñas en esta red social llegó a exponer parte de los correos utilizados por varios perfiles de la Casa Blanca sin que fuera muy complicado llegar a autocompletarlos. A raíz de ello, estas cuentas cambiaron la configuración de seguridad para evitar la exposición de la información con la que se dieron de alta en esta red social. Efectivamente: el presidente tenía una dirección de recuperación de correo asociada a una cuenta de Gmail.



ElevenPaths y Opencloud Factory juntos para ofrecer una solución diferencial en el control de acceso a redes corporativas

miércoles, 1 de marzo de 2017


ElevenPaths y Opencloud Factory hemos firmado un acuerdo de colaboración tecnológica con el objetivo de desarrollar una solución diferencial para el control de acceso a redes corporativas.

Gracias a este acuerdo, Mobile Connect, la solución multioperadora liderada por la GSMA (Global System for Mobile Communications Association) que Telefónica impulsa y lidera a través de ElevenPaths, se convierte en el complemento perfecto de la tecnología OpenNAC de OpenCloud Factory.

En el mundo digital, el número de teléfono móvil nos puede identificar como personas. El control de acceso a las redes corporativas es fundamental, para conocer el tipo de dispositivo conectado, y en el caso de dispositivos de usuario, es aún más relevante identificar y autenticar unívocamente a la persona que hay detrás de ese dispositivo. Bajo este contexto, OpenNAC como plataforma de control de acceso a redes, autentica, autoriza y audita todos los accesos a la red en función a la política de acceso definida.