[HACK] Entrevista Chelo Malagon del IRIS-CERT

[merce]

[publicado en la revista @rroba]


---------------------------------------------------->8------------------


15/11/05 10:50:14


CHELO MALAGÓN: Bailando con lobos


"A los script-kiddies les recomendaría que salieran más de marcha"


Pocas mujeres pueden presumir de que aparezca su foto en una revista
de informática sin tener que ponerse en biquini. Y no es que a Chelo
Malagón le quede mal el biquini, pero tiene otros méritos, como ser
la componente más veterana del equipo de respuesta a incidentes
IRIS-CERT (Computer Emergency Response Team de RedIRIS), que vela
por la seguridad de la red académica española. Chelo tiene 33 años y
está casada. Eficiente, alegre, inteligente, el destino la puso
aquí. Y nunca mejor dicho.


-¿De pequeña jugabas con ábacos, en vez de muñecas?

-Más bien con castañuelas, zapatillas de ballet y zapatos de gitana.
Yo lo que quería era ser bailarina, pero una lesión de espalda me lo
impidió. Tengo la carrera de Danza Española por el Conservatorio de
Danza de Córdoba y hasta quinto curso de Ballet Clásico por el
Conservatorio de Sevilla y también 3 cursos de solfeo. Cuando
terminé la Selectividad me tomé un año sabático, para dedicarme a la
danza de forma profesional, pero vino la lesión y luego la
informática, que dio un giro a mi vida de 180 grados.

-Me parece un paso de gigante, de bailarina a informática.

-Sí. Y lo hice de una forma inconsciente. Escogí informática porque
parecía una carrera con futuro y no me disgustaba. Hice la
Diplomatura en Córdoba y la Licenciatura en Granada, donde me lo
pasé muy bien.

-¿Desde el principio te gustaban los temas de seguridad?

-Me interesaba la administración de sistemas, fundamentalmente.

-¿Por qué?

-Mi proyecto de fin de carrera en Granada fue la creación de un
entorno para automatizar las tareas de un administrador de sistemas
multiusuario en Linux. Me divertí mucho haciéndolo.

-Pregunta típica: ¿Por qué hay pocas mujeres informáticas?

-Tanto mujeres como hombres estamos capacitados. Es una cuestión de
educación que, poco a poco, va cambiando. Lo que sigue siendo cierto
es que, en los entornos técnicos, las mujeres tienen aún las de
perder y, para que se equiparen a los hombres, tienen que realizar
el doble de trabajo y demostrar que son cien mil veces mejores. Y no
te hablo ya de puestos de responsabilidad, aquí el número de mujeres
se pueden contar con los dedos de una mano.

-¿Qué se siente cuando eres la única mujer que trabaja como técnica
en un CERT español?

-Nunca me ha supuesto ningún problema trabajar en un entorno de
hombres, siempre que te traten como un igual y no como la "niña". He
hecho muy buenos amigos, tanto en España como fuera, y en la mayoría
de casos me he encontrado con mucho respeto.

-A los chicos informáticos les despiertan curiosidad las informáticas.

-Sí, es verdad.

-¿Qué les dirías?

-Lo siento, no estoy disponible ;)

-Jaja. Es cierto que a muchos les gustaría tener una novia informática.

-Y a las informáticas, los informáticos. Mi marido es informático,
aunque no al uso.

-Tu trayectoria profesional es muy constante.

-Tenía muy claro que me tenía que buscar la vida para ser
independiente. En cuarto de carrera ya buscaba becas, ofertas...
Tenía ganas de trabajar, dinamismo y buenas notas. Me lo curré y
tuve suerte cuando la necesité. Entrar en el servicio de informática
de la Universidad de Granada fue una de las mejores cosas que me
pasaron entonces. Aprendí mucho, me trataron muy bien y me permitió
dar el salto a RedIRIS.

-¿Cuándo llegaste al IRIS-CERT?

-En septiembre de 1998. No tenía ni idea de seguridad y mi
compañero, que había sido el fundador del IRIS-CERT, se largó a los
3 meses de yo entrar, dejándome con un marrón de narices. Cuando
sonaba el teléfono me entraban ganas de salir corriendo.
Afortunadamente aguanté y me puse las pilas.

-¿Cómo entraste en el CERT?

-Salió una plaza para el equipo de seguridad. Como estaba en la
Universidad de Granada, afiliada a RedIRIS, me llegaban las ofertas
de empleo. Mandé el currículum, me llamaron para hacer la entrevista
y me avisaron una semana después, para decirme que había sido aceptada.

-¿Recuerdas el primer incidente de seguridad con el que tuviste que
lidiar?

-Tengo una memoria malísima. Supongo que se trataría de algún
escaneo o uso de alguna herramienta automatizada. Por aquel entonces
los ataques eran menos sofisticados. Se han producido notables
modificaciones en el 'modus operandi' de los atacantes y en los
tipos de ataques que, poco a poco, han ido siendo más masivos.
También ha habido una modificación en el tipo de máquina objetivo,
de servidores a máquinas de usuarios finales, el verdadero talón de
Aquiles de Internet hoy en día.

-¿Los tipos de atacantes han cambiado?

-Con el mogollón de herramientas que permiten lanzar ataques de
forma automatizada, lo que se ve es mucho atacante con poco
conocimiento técnico.

-¿Y su procedencia?

-En nuestro caso, manejamos incidencias con origen fundamentalmente
en nuestra comunidad. Algunas veces se trata de atacantes locales y
otras, de máquinas a su vez comprometidas, en cuyo caso intentamos
rastrear el origen. Ese rastreo nos suele llevar a países
extranjeros de lo más variado.

-¿Has visto alguna vez al autor de un ataque que hayas vivido?

-No, ni creo que lo vea. Nosotros actuamos como un CERT de
coordinación, pasamos los casos a los responsables de seguridad de
las universidades y centros públicos de investigación, ofreciendo
asesoramiento y prestándonos para analizar las evidencias, pero son
ellos los que lidian con los usuarios y máquinas finales. De todas
formas, si me encontrara cara a cara con el autor de un incidente lo
respetaría muchísimo, si se tratara de alguien con conocimientos.
Creo que si hacen un hacking ético están contribuyendo a mejorar la
seguridad de la red. Si fuese un típico "script-kiddie", le
recomendaría que estudiara más y que saliera más de marcha. También
hay gente con muy mala leche y poca ética, que se aprovechan de los
demás, de su confianza y desconocimiento, con malas intenciones. A
estos no los entiendo.

-¿Qué se siente cuando al otro lado de tu trabajo hay alguien oscuro?

-Quizás por mi personalidad y el tipo de incidencias que manejo,
nunca he visto a la gente del otro lado como alguien oscuro. En
algunos casos, ves gente con ganas de aprender; en otros, gente que
no tiene ni idea de lo que se trae entre manos y ni siquiera es
consciente de las repercusiones; en otros, gente con ganas de
divertirse sin mala intención y, por último, gente con más mala
leche, pero ningún Darth Vader, aunque existan.

-¿La adrenalina que dice sentir el hacker malo, la siente también
quien le da caza?

-Siiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiii

-¿Y la paranoia?

-No soy nada paranoica. La paranoia no es buena compañera. La red es
insegura por naturaleza. Debemos hacer lo que está en nuestra mano
para evitar los problemas de seguridad y, si algo pasa, saber qué
hay que hacer para contrarrestar los efectos y poner solución de
forma rápida y ágil.

-Otra pregunta tópica: ¿Hay que ser hacker para cazar a un hacker?

-Para cazar a uno bueno hay que ser tan bueno o más que el, o tener
un golpe de suerte. Además, ayuda conocer el mundillo, los
procedimientos...

-¿Desde el IRIS-CERT estais al tanto de este mundillo?

-Intentamos estar al día de todo lo que podemos y el tiempo nos
permite, pero podríamos aprender mucho más de ellos de lo que lo
hacemos ahora.

-¿Qué fue lo primero que aprendiste sobre la seguridad informática?

-Que siempre necesitas saber más y nunca puedes dejar de estudiar.

-¿Cuál ha sido el incidente que más te ha impactado?

-Algún que otro ataque de Denegación de Servicio Distribuido (DDoS)
que detectamos en nuestra troncal. Al final, afortunadamente, todo
se resuelve.

-¿Qué es lo que más te gusta de este mundo?

-Que es un área multidisciplinar. Tienes que saber un poco de todo,
sistemas, red, administración, programación... También la relación
con la gente y la sensación de que estás haciendo algo de utilidad
para la comunidad.

-¿Qué sistemas y lenguajes dominas?

-Soy del mundo Linux. En cuanto a lenguajes de programación, domino
C y Perl. El que más utilizo es Perl.

-¿Cuál es tu trabajo en IRIS-CERT?

-Como el resto de mis compañeros, me encargo de atención y
coordinación de incidentes y tengo asignados algunos proyectos
asociados, además de representar a RedIRIS en diversos foros
internacionales.

-¿Estás especializada en algo?

-En temas formales relacionados con la creación de CERTs. Ahora me
estoy metiendo en seguridad en wireless y análisis de flujos para la
detección de ataques. Además, he trabajado mucho con
Infraestructuras de Clave Pública (PKI). Cuando llegué a RedIRIS, se
acababa de lanzar una iniciativa para el despliegue de una PKI para
la red académica. Me encargué de todo el proyecto y en el 2000 vio
la luz dicha infraestructura, que sigo operando.

-Pongamos que te llaman un sábado a las 4 de la mañana porque hay un
DDoS en RedIRIS. ¿Qué haces?

-Afortunadamente para mi, no ofrecemos servicio 7x24, así que dudo
que me despierten y, si lo hacen, tengo muy mal genio :) De todas
formas, me pondría manos a la obra, identificando el tipo de ataque
concreto, el origen y alcance, tirando de contactos en ambos
extremos para avisar y poner solución, e intentando preservar el
mayor número de evidencias para su posterior análisis cuando la
situación de emergencia pase (lo mejor de esto es aprender de cada
caso que se produce). Evidentemente, si el incidente está causando
perjuicio en otros, poner solución inmediata desde RedIRIS, si no es
posible hacerlo desde las instituciones en cuestión. De todas
formas, cada incidente es un mundo y no existe un procedimiento
único para todos.

-¿Cuál es tu trabajo a nivel internacional?

-La cooperación entre CERTs ha existido desde siempre, de una forma
u otra. Actualmente, el principal foro, en Europa y países
limítrofes, es el operado por TERENA (Trans-European Research and
Education Networking Association) y se llama TF-CSIRT, formado en el
2000. De aquí han surgido diversas iniciativas de bastante
repercusión. Una de ellas es el Trusted Introducer for CSIRTs in
Europe (TI), cuya función es establecer una red de confianza entre
CERTs europeos. Surge de un problema importante, que ha causado
preocupación desde hace mucho tiempo, porque los equipos necesitan
colaborar entre ellos, por ejemplo para intercambiar información
sobre incidentes que afecten conjuntamente a sus redes, y esta
colaboración se ha de realizar en base a una confianza fuerte.
IRIS-CERT fue el tercer equipo de seguridad europeo incluido en esta
red, en marzo de 2001.

-¿Cómo se crea una red de confianza entre CERTs?

-La confianza entre CERTs se ha basado tradicionalmente en un 90% en
relaciones personales y sólo un 10% en la descripción formal de los
servicios que proporcionan, declaraciones de calidad, visitas,
reuniones. La iniciativa TI intenta mejorar ese 10%
(http://www.ti.terena.nl/). De todas formas, no hay nada mejor que
conocer a la gente en persona, tomarse unas cervezas y ponerle cara
a los correos que recibes.

-¿En qué otros temas internacionales representas a RedIRIS?

-Dentro del proyecto Geant2, para dotar a las redes de investigación
europeas de una red avanzada, se han definido una serie de
actividades de investigación. Una está centrada en crear un marco de
seguridad, tanto en protección de equipos como en cooperación entre
las distintas redes, para proporcionar una respuesta coordinada ante
incidentes.

-¿Geant2 es la Internet2?

-Algo parecido, pero en Europa (http://www.geant2.net).

-¿Todos los CERTs europeos pertenecen al mundo académico?

-No todos, si bien es donde existe más tradición. Hay tantos tipos
de CERTs como entornos diferentes: académicos, tanto asociados a
redes nacionales de investigación (el caso de IRIS-CERT) como a
universidades y centros públicos de investigación, pero también
CERTs comerciales, en ISPs, gubernamentales, etc.

-¿Cómo se delimita lo que pertenece al terreno del CERT y al de la
policía?

-Somos complementarios. El tipo de incidentes que atienden los
grupos especializados de los cuerpos de seguridad del estado son
bastante diferentes a los que atendemos los CERTs, por lo menos en
nuestro caso. Ellos se centran en problemas de pornografía infantil,
amenazas, phishing. Nuestro rol fundamental es actuar de enlace
entre las fuerzas de seguridad y nuestra comunidad, proporcionando
asesoría técnica, los puntos de contacto adecuados y teniendo un
conocimiento de los procedimientos de denuncia y requerimientos
sobre las evidencias, para agilizar las denuncias en el caso de que
una institución decida emprender acciones legales.

-¿Cuáles son los principales incidentes de seguridad con los que
estais lidiando ahora?

-Mucho escaneo, gusanos, compromisos de máquinas, phishing, botnets
(redes de equipos comprometidos controlados remotamente desde un
equipo/servidor central vía IRC), DoS...

-¿La solución son más leyes?

-No existe una solución única sinó, más bien, un compendio de
medidas. La más básica y muy importante, que en la mayoría de casos
se olvida, es la conscienciación y educación a todos los niveles
(usuarios finales, directivos, responsables). A partir de aquí, la
inversión en recursos, que es fundamental. Impulsar la colaboración
entre los diferentes actores y una legislación apropiada también
cumplen su papel.

-¿Qué opinas de la directiva europea que ilegaliza el uso de
herramientas de hacking?

-No creo que sirva de mucho para hacer de la red un sitio más
seguro. Cualquier programa de este tipo tiene una doble vertiente,
una en lo que respecta a su uso para trabajar legalmente en nuestra
red y otra para trabajar ilegalmente en redes ajenas. Me preocupa
cómo puede afectar a los responsables de seguridad que tienen que
utilizar estas herramientas. En principio, no debería existir ningún
problema, siempre que no vulneren el derecho de intimidad de los
usuarios, pero no está del todo claro.

-Hace unos años, las universidades eran el gran agujero de seguridad
de Internet. ¿La cosa sigue igual?

-Cada vez menos y espero que en eso IRIS-CERT haya puesto su granito
de arena. Poco a poco, existe más conscienciación y ha empezado a
aparecer la figura del responsable de seguridad. El problema
principal que tienen las universidades es la falta de recursos
humanos y el elevado número de usuarios, muy difícil de controlar.

-Un técnico de una universidad se quejaba de que no le dejaban
montar una red wireless libre y abierta, como según él deberían ser
las redes universitarias. ¿Difícil el equilibrio es?

-Montar un punto de acceso completamente abierto puede dar acceso a
la red corporativa y causar muchos problemas, es lógico que no le
dejen hacerlo. Pero la seguridad tiene que ser proporcional al valor
de lo que quieras proteger y, además, no dificultar en exceso el
trabajo de la gente, respetando la idiosincrasia de la comunidad
concreta. Como dices, difícil el equilibrio es, pero posible es y,
además, necesario.

-¿Desde que entrase en el IRIS-CERT, se ha complicado vuestro
trabajo de gato que persigue al ratón?

-Sí, cada vez atendemos más incidentes, más sofisticados, y el
volumen de trabajo ha crecido de una manera casi exponencial.

-¿Hoy, saben más los ratones o estais a la par?

-Hehehe. Hay ratones que saben mucho, pero mucho, sin embargo de lo
que más hay es ratones que no tienen ni idea. De todas formas,
también hay buenos profesionales de la seguridad (gatos que saben
tanto o más que los ratones).



Mercè Molist



Copyright 2005 Mercè Molist.
Verbatim copying, translation and distribution of this entire
article is permitted in any digital medium, provided this notice is
preserved.