[HACK] Decimo aniversario CERTS espanyoles

[merce]

11/05/2005 16:38


DIEZ AÑOS "APATRULLANDO" LA RED

Los dos equipos españoles de respuesta a incidentes
informáticos (CERTs) celebran un década de lucha contra
virus y "crackers"


Mercè Molist
Son el teléfono al que llamar cuando intrusos o virus
provocan estragos en las redes de empresas y universidades.
Se les considera como los bomberos de Internet y, en España,
llevan diez años apagando fuegos. Lo han celebrado por todo
lo alto, con conferencias y una regata en la playa de
Barcelona.


Todo empezó por un virus: el "Gusano de Morris". En 1988, un
estudiante creó un código autorreplicante que colapsó por
primera vez la incipiente Internet. El Departamento de
Defensa de los Estados Unidos encargó a la universidad
Carnegie Mellon la creación de un equipo para que aquello no
volviese a suceder. Así nació el "Computer Emergence
Response Team Coordination Center" o CERT/CC.

Pronto empezaron a surgir equipos similares en Europa,
siempre ligados a las universidades. Manel Medina, director
del esCERT, lo recuerda: "Fue una corriente liderada por la
red académica alemana, con soporte de noruegos, holandeses y
franceses. Los primeros CERTs se crearon en 1992, aunque fue
en 1995 cuando se generalizaron, a petición del CERT/CC en
Estados Unidos, que reclamó soporte europeo ante el aumento
de incidentes y la dificultad de atenderlos, debido a la
diferencia horaria".

A principios de 1995 se creaba en la Universitat Politècnica
de Catalunya (UPC) el esCERT, dedicado a asesorar, prevenir
y resolver gratuitamente incidencias de seguridad en la red
académica catalana y empresas y administraciones nacionales.
En noviembre del mismo año, nacía en Madrid IRIS-CERT, que
ofrecía el mismo servicio a la comunidad académica y de
investigación española. Rubén Martínez lideraba el proyecto
de Madrid, mientras Manel Medina y Jordi Buch hacían lo
propio en Barcelona.

Fueron los primeros equipos de seguridad cibernética en
España. La criminalidad entonces no era muy elevada, dice
Medina: "Más bien había inconsciencia, promiscuidad e
irresponsabilidad. Considerábamos que el hecho de que el uso
de la red se estuviera extendiendo podía comportar problemas
de seguridad y confianza, que frenarían el desarrollo del
incipiente comercio electrónico. Creamos el organismo de
reacción y prevención antes de que el problema fuera
incontrolable".

El primer año, el esCERT trabajó sólo en media docena de
intrusiones: "Los atacantes no estaban acostumbrados a ser
detectados y no tomaban precauciones. También había
empresarios preocupados por castigar a empleados que les
habían robado información y demandaban apoyo pericial. No
había tradición de sanciones por mal uso de sistemas
informáticos y mucho menos legislación", explica Medina.

Desde entonces, los incidentes atendidos no han parado de
crecer. En IRIS-CERT se ha pasado de 110, en 1998, a 1.714,
el año pasado. Dice Chelo Malagón, miembro del equipo: "Ha
habido notables modificaciones en el modus operandi de los
atacantes y los tipos de ataques, que han ido siendo más
masivos, como gusanos o denegaciones de servicio, lo que
dificulta su seguimiento y coordinación".

Añade Medina: "Ha habido una profesionalización de los
atacantes. Cada vez hay herramientas más sofisticadas que
facilitan su uso a atacantes inexpertos y más maliciosos. La
diferencia cualitativa está en la confección de programas
maliciosos usados de forma privada por atacantes
profesionales, para robar información confidencial de las
empresas".

Otro cambio ha sido el tipo de ordenadores objetivo de los
ataques, explica Malagón: "Antes eran los servidores pero,
al existir mayor conscienciación en estas instalaciones,
ahoran son las máquinas de los usuarios finales, que se usan
para bombardear sitios o enviar correo basura. Hoy en día
son el verdadero talón de Aquiles de Internet".

Medina lo ratifica: "El aumento de ancho de banda no ha ido
acompañado de la formación necesaria entre los usuarios para
utilizarlo de forma segura. Además, la aparición de
programas "peer to peer" ha provocado el crecimiento de los
delitos contra la propiedad intelectual y el robo de
información".

De todas formas, según el director del esCERT, aunque los
incidentes y vulnerabilidades crecen constantemente, "si lo
miramos respecto al número de usuarios, veremos que su valor
relativo disminuye. Además, los servicios y herramientas que
permiten utilizar Internet con seguridad también han
crecido".

Con el tiempo, los CERTs han creado una tupida malla en
Europa, con 42 equipos coordinados entre sí, lo que conforma
un red única en el mundo de seguimiento de incidentes de
seguridad informática. Por su origen universitario, han
hecho especial hincapié en la formación dirigida a empresas,
instituciones y fuerzas de seguridad, con las que mantienen
una constante colaboración.

La mejor preparación de las fuerzas de la ley no es una
amenaza para la supervivencia de los CERTs, dice Malagón:
"Somos complementarios, atendemos incidentes diferentes.
Ellos se centran en pedofilia, amenazas, fraudes. Además,
somos un enlace entre ellos y nuestra comunidad,
proporcionando asesoría para agilizar las denuncias en caso
de que una institución lo necesite". Añade Medina: "Somos
como los investigadores privados o los vigilantes jurados".

A pesar de sus méritos, la constante en los CERTs españoles
ha sido la falta de recursos, que han suplido con
imaginación. La financiación de IRIS-CERT procede del Plan
Nacional de I+D. El esCERT se financió en un primer momento
con ayudas de la Unión Europea y la administración. Cuando
se acabaron las subvenciones y sólo quedó la ayuda de la
UPC, crearon una empresa de servicios de seguridad,
InetSecur.



TRES CASOS QUE HAN HECHO HISTORIA


El director del esCERT, Manel Medina, destaca los tres
principales incidentes de seguridad de los últimos diez años
en España:

1. La detención de dos hackers, con la colaboración del
esCERT, en mayo de 1997, por haber accedido a cuentas de
correo de profesores de la Universitat Rovira i Virgili de
Tarragona, que sentó un precendente en la intervención de
las fuerzas de seguridad en los delitos informáticos. Los
jóvenes, estudiantes de la universidad, fueron los primeros
detenidos en España por intrusión en redes informáticas. Se
les acusaba de ataques en ordenadores de diversas
universidades, el Centre de Supercomputació de Catalunya, un
congreso de Internet, una empresa de Canarias, la red
ciudadana TINET y el Registro Mercantil de Tarragona. Al
final, la universidad retiró los cargos y fueron absueltos.


2. El gusano "I love you", aparecido el 4 de mayo del 2000,
que constituyó la explotación masiva de una técnica de
ingeniería social para engañar a los usuarios y propagar
mundialmente un virus en pocos días. Llegó a infectar al
Pentágono y el Parlamento Británico. Se transmitía a través
del correo electrónico, como un archivo adjunto a un mensaje
con el tema "I love you" (te quiero), lo que provocó que
mucha gente lo abriera, creyendo que recibían una carta de
amor. Cuando infectaba un ordenador, se autoenviaba a los
contactos de su libreta de direcciones. Se cree que procedía
de Filipinas.


3. El gusano "SQL Slammer", aparecido el 26 de enero de
2003, que perpetró un ataque de denegación de servicio
extremadamente rápido, afectando a una gran mayoría de
ordenadores de todo el mundo en muy pocas horas, se dice que
infectó a más de 200.000 servidores en un fin de semana. En
España tuvo especial incidencia en la red académica. Este
pequeño gusano, de sólo 376 bytes, no se transmitía por
correo ni necesitaba de la intervención humana directa para
infectar los ordenadores. Aprovechaba un agujero en los
servidores MS-SQL para colarse automáticamente y, desde
allí, buscaba nuevas víctimas en las subredes cercanas,
mediante una técnica muy rápida pero que consumía mucho
ancho de banda, lo que provocaba que las comunicaciones en
las redes afectadas fuesen cada vez más lentas, hasta el
colapso.


10 años cuidando la red
http://www.cuidandolared.org
IRIS-CERT
http://www.rediris.es/cert
esCERT
http://escert.upc.edu/index.php/web/es/index.html
CERTs en Europa
http://www.ti.terena.nl/teams/country.html



Copyright 2005 Mercè Molist.
Verbatim copying, translation and distribution of this
entire article is permitted in any digital medium, provided
this notice is preserved.