The Security Skeptic

Sensibilización sobre la seguridad, un término de seguridad a la vez

Versión Inglés (original)

El Internet en muchos sentidos, se convierte en una parte integral de nuestra vida diaria. A pesar de ser tan familiar para nosotros, aun tenemos que aprender a navegar nuestro camino en este vasto territorio digital de forma segura. Todos nos enfrentamos a desafíos al tratar de entender cómo proteger a nuestras familias, a nosotros mismos, a nuestros lugares de trabajo, y cada vez más, a nuestra información clasificada de los ataques de Internet. 

Antes de que podamos comenzar a practicar la seguridad en Internet, tenemos que aprender el idioma. La terminología de seguridad es, sin duda, es de enormes proporciones. El vocabulario utilizado en la seguridad en Internet es casi tan complejo y denso como el que se utiliza en los campos de la medicina o el ejército. De hecho, muchos términos de seguridad de Internet tienen origen en la terminología médica o militar, y al igual que éstos, requieren extensas definiciones y son mejor comprendidos acompañados de ejemplos.

Esta publicación es la primera de una serie en la que voy a tratar de explicar temas de seguridad comunes y complejos. Espero que esta y futuras publicaciones le ayuden a navegar el pequeño laberinto tortuoso de seguridad de Internet y sin duda su aporte será fuente de reflexión para futuras publicaciones.

¿Qué es la ingeniería social?

La ingeniería social es un intento de influenciar o persuadir a una persona a tomar una acción determinada. 

La ingeniería social puede tener efectos beneficiosos; por ejemplo, una empresa puede distribuir un boletín de salud con información destinada a persuadirlo a obtener una vacuna contra la gripe. Sin embargo, la ingeniería social es comúnmente utilizada por los delincuentes para hacer que el destinatario de un correo electrónico, mensaje de texto o llamada telefónica, comparta información personal  (como su nombre de usuario y contraseña de banca en línea, o información de identificación personal, como su número de seguro social o pasaporte) o para tomar una acción que beneficiará al criminal, no el individuo.

La Ingeniería social criminal a menudo tiene un componente emocional, para hacer que el individuo actúe a toda prisa; por ejemplo, una notificación de correo electrónico que le informa que su tarjeta de crédito ha sido suspendida debido a actividad sospechosa, o un aviso que indica que usted ha ganado la lotería. Este es el "señuelo". El criminal espera que usted tome la acción indicada en el mensaje que recibe; por ejemplo, visitar un enlace en el mensaje de texto o correo electrónico, o llamar a un número de teléfono. El enlace es el "gancho": un enlace de un correo electrónico o de mensaje de texto "phishing" a menudo lo lleva a un sitio fraudulento que se hace pasar por la página de inicio de sesión de su banco, donde los criminales esperan que usted comparta sus credenciales de cuenta o información personal para utilizarlas o venderlas. Un número de teléfono puede ser igual de peligroso: la persona que usted llama puede ser un individuo experto en la obtención de su información personal.

Los criminales más adeptos hacen imitaciones muy convincentes de la correspondencia legítima y bien intencionada. Para entender mejor cómo protegerse contra la ingeniería social, visite stopthinkconnect.org o apwg.org.

Gracias a Belisario Contreras y OAS.org para esta traducción.

Defense _is_ sexy

Violet Blue begins a post reviewing a recent RAND study: Cyber-defense must change course, or else, with an apt summary of the report:

Defense isn't sexy.  We mythologize being the hacker, not the hacked.

The RAND study depicts network and system defenders as a hapless, hopeless, dispirited, confused lot. Defenders, it seems, have accepted the sum of disparaging or condemning remarks from journalists to bureaucrats and even their purportedly security practitioner peers and have raised the white flag.

Steve Werby (@stevewerby), Jerry Gamblin (@jgamblin) and I discussed this lamentable state of affairs in a thread on Twitter this morning. Jerry aptly summarized our shared perspective:

People who say defense isn't sexy are not playing it correctly 

I'm not questioning Rand's results. Given the carnage we've witnessed, the smell of defeat is palpable.  Steve, Jerry, and I are more interested both motivating deflated defenders and debunking the myth that defense isn't sexy.

We're using the wrong analogs. We're living in the past, describing defense in what is not only antiquated language but misguiding and constraining imagery as well. I'm as guilty as anyone, having used castles and the Maginot Line as analogs when describing firewalls or defense in depth.

"It should & can be sexy if we change how it's done"

Steve Werby  instigated a discussion about change. We've traditionally characterized defense using military terms and static defenses. While useful at the time, these terms put us in a Helm's Deep mindset: standing on the parapets waiting for the Urukai onslaught and inevitable defeat. It's time to modernize analogs. 

Defend with an attitude

Organizations who have had their ineffective defenses overrun make headlines. Organizations that, as Jerry says, "play defense correctly", don't make headlines. They defend with a "Not in my house" attitude. They're confident but not arrogant. 

Roll your eyes all you wish, but let's experiment with sports analogs to give defenders a more positive outlook. Werby laments that "The state of our analogies are so bad that almost anything is better." He's right.

It's time to bolster defenders' attitudes by making defense Sexy. Virile. Spirited. Indomitable. 

Defense in depth? Perimeter defense? Out. Hereafter, convince your defenders to play shot-blocking, ball-trapping, in-your-face-man-to-man, grind-you-down-I-own-you defense. If you prefer football analog, forego the zone, play man up gang-tackling, blitz-your-brains-out D. 

You want better security? Replace what Rand tells us is a culture of "awaiting annihilation" with a culture of relentless pursuit. It's long overdue. If your defenders aren't up to the task, find or make defenders who hate losing, hate being embarrassed by unskilled little shites who've downloaded or purchased an attack tool, criminal conspirators or state actors. Gather your defenders and quote from the 1976 movie, Network: "I'm as mad as hell and I'm not going to take this anymore!"