Seguridad informática, un campo en el que el problema son las vulnerabilidades en el conocimiento de los usuarios
Seguridad informática, un campo en el que el problema son las vulnerabilidades en el conocimiento de los usuarios
Autor: David Alejandro Yanover, Director de MasterMagazine
—————————–
Ignacio Sbampato, Vicepresidente de Eset Latinoamérica, habla a solas con MMagazine sobre las amenazas actuales en seguridad informática, que ponen en riesgo el mundo digital. Los ataques continúan evolucionando junto a las nuevas tecnologías, haciendo necesaria la concientización de los usuarios.
——————————————-
David: ¿Cómo describe el lugar que ocupa Eset en el mercado Antivirus, así como los objetivos que se plantea en su lucha diaria por proteger a usuarios particulares y empresas?
Ignacio: Hoy en día, Eset está entre las empresas que están emergiendo, mientras que hay otras que ya están establecidas en el mercado desde hace tiempo, con presencia global. Eset se hizo fuerte, en primer lugar, en la zona de donde es originaria, Europa del Este, y a partir de allí empezó a tratar de salir al mundo. Particularmente, aquí en Argentina y Latinoamérica, Eset es una empresa que de a poco está ganando mercado.
Aproximadamente, comparando las ventas de Eset en Latinoamérica el año pasado con el actual, este mes ya se alcanzó el mismo nivel de ventas de todo el año pasado. O sea, un 250% de crecimiento. Además, este año contamos con clientes más importantes: PAMI trabaja con NOD32, Telefónica usa el antivirus en función de los clientes que tiene en el área de Internet, y tenemos mucha llegada en el ámbito universitario. En ese sentido, tenemos dos puntos importantes: el hecho de que el producto es muy liviano, ya que las PC’s que se tienen en los laboratorios o entornos administrativos o gubernamentales no pueden correr aplicaciones que consuman demasiados recursos. El otro tema, es que hay descuentos sustanciales para el sector educativo. En la lista de clientes aparecen la Universidad de Luján de Argentina, la Universidad Oriental del Uruguay, la Universidad de Santiago de Chile y la Universidad de San Pablo.
En lo que se refiere a los objetivos, tratamos de brindarle a los clientes el mejor producto posible. Hasta ahora, Eset siempre se caracterizó por no invertir demasiado en publicidad, sino en la parte técnica. Por eso, la gente del área de programación trabaja en Eset desde el ’96, y no se fue nadie. Ellos son quienes vienen mejorando el producto, y el objetivo es mantener el estándar que tenemos hoy en día en lo que se refiere al nivel de detección, que lo acreditan varias certificaciones; de hecho Eset es el más grande. Nadie tiene tantos premios Virus Bulletin como nosotros, el cual es uno de los pocos que certifican las soluciones del mercado.
David: ¿Qué motivó la visita de Eset a las distintas facultades regionales de la UTN?
Ignacio: Eset tiene un perfil particular como empresa. Partiendo del CEO para abajo, son todas personas relacionadas con la educación y la capacitación, en muchos casos sin fines de lucro. Nuestro CEO fue profesor universitario, el CTO está vinculado con grupos de investigación antivirus, AVIEN y AVIEWS, desde hace mucho tiempo. Nos importa el hecho de que los profesionales se capaciten. No solamente dedicarnos a comercializar y desarrollar un producto sino también a brindar la capacitación que sea necesaria.
En Latinoamérica, no se venía desarrollando ninguna actividad así. Empezamos con un proyecto piloto, en el que la idea era hacerlo en Argentina, porque nuestras oficinas para Latinoamérica están en Buenos Aires, y elegimos la UTN por ser la mayor universidad del país, con presencia en el área técnica. Tiene regionales en muchas de las ciudades más importantes de la Argentina, y más o menos, cinco de cada diez ingenieros que se reciben provienen de la UTN.
La intención no era, como ocurre generalmente, hacer todo en Buenos Aires, por lo que visitamos primero las regionales del interior, desde Río Grande, en Tierra del Fuego, y después Tucumán, La Plata, Mendoza, Córdoba y Santa Fé, y estaremos definiendo otras. La idea es cerrar en Buenos Aires o que sea una de las últimas citas. Además, cae bien el hecho de que no sea un seminario de venta del producto, sino que se dé capacitación en serio sobre el tema. Y tras haber llenado la sala en cada visita, la idea es también expandir la experiencia a otros países, mediante otras universidades con las que tenemos contacto. Queremos dedicarnos a la educación y el punto inicial fue éste.
David: ¿Cuáles son, a su criterio, las más recientes y peligrosas tendencias de ataque?
Ignacio: Hoy en día, una de las cuestiones más peligrosas, porque tiene consecuencias que van más allá de la computadora en sí, son los ataques relacionados con el phishing. No sólo puede afectar la PC, sino también instalar algún troyano capaz de obtener información, por lo que es uno de los temas más preocupantes.
Después, los gusanos de correo electrónico siguen siendo el punto número uno en las áreas de amenazas de virus, porque son los que más se reproducen y en muchos casos pueden ocasionar problemas con la información, o incluso el cese de servicios internos de alguna empresas. Más de una vez pasó, que a raíz del ataque de un gusano, una compañía que tenía muchos equipos infectados vio colapsar el servidor de correo electrónico. Este tipo de cosas implica costes y pérdidas, no sólo de dinero y recursos.
David: ¿Qué herramientas y mecanismos de detección se destacan en los modelos actuales de Antivirus, con respecto a lo que el mercado ofrecía diez años atrás?
Ignacio: Lo que más se nota en los antivirus actuales es el hecho de que cada vez se desarrollan mejor las técnicas heurísticas para detectar los virus desconocidos. Hoy en día, un antivirus sin heurística es obsoleto, porque no puede seguirle el paso a las amenazas que van apareciendo. Éstas, se reproducen cada vez más rápido, y si los antivirus se manejan con firmas, quedan atrás. De a poco, crece el número de empresas que comienza a trabajar con heurística, y aunque no lo creas, no son de las más conocidas. Si revisas las tres o cuatro empresas principales, encontrás que no son éstas las que están desarrollando este campo, sino que lo hacen otras compañías, como Eset. En nuestro caso, quizás porque estamos focalizados en el aspecto técnico y no tanto en el comercial.
Antes, cuando no había Internet, tal vez hace diez años, los virus se reproducían de manera mucho más lenta y había uno o dos tipos de gusanos distintos, que trabajaban de forma similar. Hoy, existen montones de tipos de malware, ya ni siquiera virus, que funcionan de maneras diversas. Un antivirus tiene que ofrecer protección para el correo electrónico, la navegación por Internet, y la posibilidad de actualizarse a diario, incluso más de una vez al día si es necesario. Esto último, en el pasado, podía realizarse por semana o cada quince días, y el tiempo que se tomaba la gente en instalar las actualizaciones era otro tema.
David: ¿Cuáles son las propuestas de Eset de cara a los distintos sectores? ¿En qué se caracterizan las soluciones?
Ignacio: Inicialmente, para el usuario final, la propuesta es brindarle un producto que, al mismo tiempo que lo está protegiendo, le permite usar la computadora. Si te fijas en algunos foros de empresas de juegos importantes, leerás que cuando recomiendan un antivirus, recomiendan NOD32, porque uno lo puede tener activado mientras juega. Eso no suele pasar con otros productos. La gente que usa la PC en la casa, no la utiliza para demasiadas cosas, más allá de navegar por Internet, usarla como herramienta de trabajo y estudio, o para entretenerse. La idea es que el antivirus no interfiera con esas actividades.
A nivel empresa, cada vez estamos desarrollando más productos para el sector corporativo. De este modo, tenemos una solución que sirve para administrar de forma centralizada los antivirus instalados en una red, para saber si la misma está en orden o si por el contrario, hay equipos que no se están actualizando o tienen problemas.
A nivel gobierno y ambiente educativo, la propuesta también se basa en el hecho de que el producto usa pocos recursos del sistema. En ese sentido, NOD32 posee una interfaz normal, que le exige poco a la PC, además de un modo no gráfico, que se asemeja a los Windows de antes. Esto resulta importante para los equipos que no están en la última ola tecnológica.
Hay que brindar protección en todos los niveles, tanto en los equipos internos como en los servidores de archivos de correo electrónico. NOD32 se integra con varios firewalls y productos de gateways, tanto bajo Linux como Windows.
Nuestra idea es enfocarnos en lo que es antivirus, en lugar de tratar de abarcar demasiados mercados y no hacerlo bien. Queremos ser un muy bien antivirus, que pueda ser integrado con otros productos para brindar la mejor protección.
David: Acaban de lanzar la versión beta para 64 bits, ¿no es así?
Ignacio: Es verdad, la misma funciona tanto para los procesadores de 64 bits de AMD como Intel. Estos chips tal vez aún no van a llegar al consumidor final, pero sí a los servidores. Por eso se quiere protegerlos. Esta versión es compatible con los equipos de 64 bits, aunque posee un módulo que sigue trabajando en 32 bits, el cual comprende la protección del correo electrónico. Pero la heurística y las funcionalidades están pensadas para trabajar sobre plataformas de 64 bits.
[NOTA: Al día de la publicación, la beta está completamente desarrollada para 64 bits, incluso el módulo que restaba]
David: La efectividad de los virus sociales demuestra el poco conocimiento de los usuarios y las debilidades de la informática. ¿Es la concientización de las amenazas digitales el arma más poderosa?
Ignacio: Sí, lo es. Antes de trabajar en Eset, lo hacía de forma independiente y me enfocaba mucho en concientizar, capacitar y educar. Pero es imprescindible tener un antivirus, porque por más que uno siga al pie de la letra todas las recomendaciones de seguridad, siempre es preferible tener una herramienta que dé más tranquilidad. Recomendaciones básicas son: no confiar en nada de lo que te viene por Internet, y mantener el equipo actualizado así como también el antivirus. Pero para eso, uno debe tener una idea general del tema. Por lo tanto, las empresas antivirus no deben limitarse al desarrollo y a la venta de un producto, sino que también hay que concientizar acerca de la mejor forma de usarlo, y de que tener un antivirus no significa estar completamente protegido, ya que depende en gran medida de uno mismo. Es como tener una casa blindada contra tanques, a la que le dejamos una ventana abierta.
Hay una cosa que todavía no entiendo; cómo los proveedores de servicios de Internet, los ISP, nunca proporcionan un manual de uso seguro de Internet. Es algo que me parece que tendrían que hacer, es decir, la tarea de informar no solamente lo tendrían que hacer las empresas de antivirus, sino también aquellos que te dan la computadora, que te la venden y te dan la posibilidad de usar Internet. Es como regalarle un auto a alguien y no haberle enseñado nunca a manejar.
David: A un año y medio del lanzamiento de la polémica ley CAN-SPAM, que tiene por objetivo eliminar el correo basura dentro del territorio norteamericano, y teniendo en cuenta ciertos desarrollos técnicos, tales como FairUCE (Fair use of Unsolicited Commercial Email) de IBM, y SIDF (Sender ID Framework) de Microsoft, ¿cree que alguna vez habrá una sólida respuesta a la problemática del correo basura? ¿De dónde vendrá, del escenario jurídico o técnico?
Ignacio: Creo que de a poco sí. El tema es que todavía por la vía legal no se le pudo encontrar la vuelta. Aún el proyecto CAN-SPAM, ni siquiera fue completamente aplicable en el territorio norteamericano. En general, son iniciativas limitadas.
Pero las propuestas de IBM o Microsoft me parecen muy buenas, porque si bien éstas tal vez no traigan una solución completa contra el spam, es una forma de empezar.
El correo electrónico es una vía de comunicación que existe desde hace diez o doce años, y necesita una actualización. Como existe hoy en día, no es seguro.
Y la respuesta vendrá del lado técnico. Siempre que hubo una norma legal, le buscaron la vuelta para evadirla. Por ejemplo, si la ley es en Estados Unidos, se mandan mensajes desde Taiwan. O como está pasando ahora, que están los gusanos capaces de instalar un pequeño servidor SMTP en tu computadora para enviar spam, y de esa manera permanecen en el anonimato.
Entonces, desde el ámbito legal es bastante complicado. Mientras que por el lado técnico, puede ser que con el desarrollo de un sistema de e-mail más confiable, capaz de verificar la persona que envía el mensaje, y obviamente sin los agujeros de seguridad con los que contamos en las aplicaciones, vayamos a tener una solución mucho más completa.
Sin embargo, mientras tanto tenemos que seguir confiando en aplicaciones que dan una respuesta parcial o que deben usarse en conjunto con otros programas.
El problema es que este tipo de cosas evolucionan, como pasa con los virus. Si mañana no está el spam, es posible que haya otro tema sobre el cual discutir. Internet es demasiado libre como para legislarla o protegerla a nivel global en todos sus aspectos.
David: ¿Qué está pasando en el mundo de la telefonía móvil?
Ignacio: Entre el 2000 y el 2001, se empezó a hablar de que habría gusanos y troyanos para celulares. Desde entonces, se viene diciendo, “el año que viene va a haber una amenaza global”, y hasta ahora no la hubo.
Sacando algún caso puntual, como ocurrió con una empresa japonesa, NTT Dokomo, en la que apareció un gusano que se reproducía a través de mensajes causando varios problemas (pero se dio por un fallo de seguridad en los teléfonos que ellos usaban), no hay nada que pueda compararse al nivel de propagación de los gusanos tradicionales de computadoras.
En los últimos años se viene diciendo lo mismo, “que van a aparecer”. Y se puede hablar de diez o veinte casos aislados, de los cuales uno o dos se vieron en la calle en serio. Más que todo, se ve empresas que ya han desarrollado un antivirus para celulares o telefonía móvil, y que de alguna manera quieren captar clientes. Creo que se está exagerando la situación. Sin embargo, en algún punto, sí van a surgir virus para celulares. Ello dependo cuánto mejore la tecnología actual, que va a hacerlo hasta asemejar los teléfonos con las computadoras. Pero esto no lo veremos ahora, y calculo que tampoco durante el año que viene, al menos no ocurrirá a principios del 2006.
El otro tema con los celulares es que el sistema operativo no es estándar. No sucede como en las PC’s, que el 90% de los equipos es Windows. Ahí es mucho más fácil que la amenaza sea global. Mientras que en el mercado de celulares está Symbian, otros que tienen un pequeño Windows, algunos soportan Java y otros no. Ello limita el alcance que pueda tener un virus.
David: Hoy las comunicaciones están migrando a lo que es voz sobre IP. ¿Qué amenazas encuentra en este ámbito?
Ignacio: El mayor problema de la voz sobre IP es que todavía las tecnologías para la comunicación, dentro del marco de la seguridad, no están demasiado avanzadas. Ocurrió lo mismo cuando aparecieron las tecnologías WiFi o Bluetooth. Son innovaciones que se lanzan por tener usos muy interesantes, pero a veces los estándares de seguridad no están difundidos, ni aplicados, y a veces ni siquiera contemplados. No obstante, no es un terreno inseguro, porque hasta ahora no se han conocido casos importantes de problemas de seguridad en telefonía de voz sobre IP. Pero las empresas que se dedican a este mercado tienen que tenerlo en cuenta. De la misma manera que hay gente que hackea servicios a través de Internet, se lo verá en la telefonía IP, abriendo la puerta al espionaje industrial, entre otros escenarios.
Así como hay formas seguras de encriptación de mensajes, sé que hay iniciativas para hacer sistemas de esta línea en voz sobre IP. Aunque las tecnologías de comunicación IP no son óptimas para realizar encriptaciones de la forma más segura posible, dado que se estaría comprometiendo la velocidad de la conversación. Existe la posibilidad de las amenazas, por lo que es importante tener en cuenta las opciones de seguridad que ofrecen los distintos productos; hay algunos más completos que otros.
David: Teniendo en cuenta los recientes avances tecnológicos, tales como el salto a los 64 Bits, las soluciones de conectividad WiFi y próximamente WiMax, el crecimiento de la telefonía IP, entre otras innovaciones, ¿A qué desafíos piensa que se estará enfrentando en los próximos años?
Ignacio: El principal desafío que vamos a tener en los próximos años es la concientización y capacitación de la gente en cuanto a las medidas de seguridad a utilizar en los distintos equipos tecnológicos. Hay muchas personas que están empezando a usar Internet WiFi, encontrando los hotspots, y no saben que al activar sus máquinas, de la manera en la que lo hacen, están permitiendo el acceso a intrusos. Seguramente, las aplicaciones que usan tienen la posibilidad de cubrir estas fallas, pero no lo saben.
Con los avances tecnológicos, habrá que ver qué otras vías de comunicación aparecen, y cómo las aprovechan los virus informáticos, o de qué manera aparecen nuevas amenazas, del estilo del phishing, pero con acciones puntuales, como ocurrió hace poco, con la salida de un troyano secuestrador. Así, podríamos tener tranquilamente un virus capaz de secuestrar teléfonos de voz sobre IP. A medida que las comunicaciones, las computadoras y las tecnologías avanzan, el abanico de desafíos se hace demasiado amplio y difícil de predecir.
Pero lo que sí va a ser una constante en los próximos años, es el tema de la educación, capacitación y concientización. Habrá que tomarlo muy en serio, porque para muchas de las innovaciones que nombraste, las herramientas están (quizás sin la experiencia del mercado antivirus) y hay que enseñar a usarlas. Además, advertir que ninguna solución puede ofrecer el noventa y tanto por ciento de protección. El porcentaje restante lo tiene que poner el usuario.
Lo único que espero es que las otras empresas que están relacionadas con estos temas, también se lo tomen en serio, porque si no va a ser un armagedon.
Por Sistemas, el 20/06/2005.
Siguiente