2018-04-16

Administrando #Docker con Portainer.io

Estás iniciando en #Docker y te resulta muy complicado? A todos, de alguna u otra manera pasamos por esto. Nuevas plataformas, nuevas tecnologías, muchos comandos en la consola, y aunque muchas veces no parezca, claro que es complejo y complicado de entender a la primera.

Navegando un poco por la web, encontré una excelente herramienta de Administración y Despliegue para Docker llamado Portainer.io

Figura 1: Administrando Docker con Portainer.io

Portainer.io es un Dashboard Web que permite realizar la administración, monitoreo y despliegue para contenedores Docker con la facilidad de no tener que recordad la secuencia de comandos para cada actividad.

Portainer.io se encuentra publicado en Docker Hub y está disponible para que comencemos a trabajar de la siguiente forma:

$ docker volume create portainer_data

$ docker run -d -p 9000:9000 -v /var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data portainer/portainer

De esta manera, lo que hacemos es descargar la imagen desde Docker Hub y habilitar el puerto 9000 para ingresar a su administración.

Una vez allí, vamos a encontrar los estados de cada contenedor, sus archivos Logs en tiempo real, un acceso directo a su consola de administración.

Ademas, desde Portainer.io es posible realizar la administración de las redes, imagenes, volúmenes y una colección de templates disponibles para realizar el despliegue de forma simple.

Figura 2: Administración de Templates en Portainer.io

No dejen de probar esta excelente herramienta de administración para iniciar rápidamente en el universo Docker.

Saludos!

Enlace | Portainer.io

2018-03-29

Secure Podcast

Desde hace un par de semanas, unos grandes amigos dieron inicio un interesante proyecto que hoy les quiero compartir. Se trata de Secure Podcast, un podcast en español sobre Infosec.

Secure Podcast

¿Por qué un Podcast?


Un día nos reunimos con la idea de compartir un momento y charlar. Nos gustaba la idea poder seguir compartiendo pero dejando una huella. Aqui podrás escuchar novedades, temas de interés, opiniones de especialistas y divagues.

Ya se encuentran los dos primeros episodios, y dentro de un par de días van a estar publicando el siguiente, y así un episodio nuevo cada 15 días, con excelentes invitados, muy buena onda y toda la información sobre lo acontecido en la Seguridad Informática.

Les envío un gran saludo a mis grandes amigos Emiliano Piscitelli @emilianox, Maxi Soler @maxisoler y Diego Bruno @BlackMantisSeg y éxitos para este proyecto.

No dejen de seguirlo en las Redes Sociales (Facebook y Twitter) y en su Canal de Telegram!

Enlace | Secure Podcast

2018-03-28

TLS 1.3 es el nuevo estándar para Internet

TLS 1.3 es la nueva versión de este protocolo criptográfico cuya principal finalidad es permitirnos establecer conexiones seguras a través de Internet. La versión actual de TLS (protocolo sucesor del SSL) es la 1.2, versión definida en 2008 y que, hasta la fecha, ha estado protegiendo nuestras comunicaciones. Sin embargo, esta nueva versión 1.3, que hasta ahora no es más que un borrador, ya está un paso más cerca de convertirse en el nuevo estándar de Internet, y es que acaba de recibir la aprobación de la IETF.

TLS 1.3 es el nuevo estándar para Internt

La IETF (Internet Engineering Task Force) es una organización encargada de aprobar los nuevos estándares de Internet. Tras 4 años de desarrollo, y un total de 28 borradores publicados, finalmente esta organización ha decidido que el desarrollo de TLS 1.3 ya está finalizado, y que será este último borrador el que pasará a formar parte del nuevo estándar de Internet.

En comparación con TLS 1.2, algunas de las novedades que se han establecido con este nuevo estándar de seguridad para Internet son:


  • Modo 0-RTT.
  • Se elimina la hora GMT.
  • Soporte ECC sin curvas elípticas.
  • Un nuevo handshake con el fin de ofrecernos un modo 1-RTT.
  • Se eliminan los grupos DHE.
  • Eliminado el soporte para compresión de datos, intercambio de claves RSA y DH y todos los sistemas de cifrado que no sean AEAD.
  • TLS 1.3 será un protocolo con mucha más seguridad y mucha menos latencia que sus predecesores
  • Sin duda, las principales novedades de este nuevo estándar es que elimina todo tipo de algoritmos inseguros, como el MD5 y SHA-224, a favor de nuevos algoritmos mucho más seguros e imposibles de romper hoy en día como ChaCha20, Poly1305, Ed25519, x25519 y x448). Además, las negociaciones para establecer las conexiones son mucho más rápidas y seguras gracias a las nuevas funciones como TLS False Start y Zero Round Trip Time (0-RTT).


Además, una función importante es que esta versión es invulnerable a los ataques que intentan forzar el uso de una versión inferior de TLS (a fin de poder aprovecharse de las debilidades de ella), acabando definitivamente con este vector de ataque.

TLS 1.3 no tendrá una puerta trasera, aunque sí se ha intentado incluirla
El sector financiero, las grandes empresas de Internet y los gobiernos han estado intentando incluir una puerta trasera en este nuevo estándar que les permitiera descifrar el tráfico cifrado en caso de querer controlar las comunicaciones. Sin embargo, la IETF ha sido clara en su propósito, y ha analizado todos los aspectos del borrador a conciencia para garantizar que esto no ocurría.

Cómo utilizar ya mismo las conexiones TLS 1.3 en nuestros navegadores web
Aunque aún menos del 1% de los servidores es compatible con este nuevo estándar de seguridad, los principales navegadores y sistemas operativos modernos sí que lo soportan desde hace ya algún tiempo, aunque no es una opción que venga activada por defecto, al menos de momento.

Si queremos empezar a utilizar este nuevo estándar os recomendamos leer el siguiente artículo donde explicamos cómo habilitar el protocolo TLS 1.3 en Google Chrome y Firefox. Otras aplicaciones directamente relacionadas con la seguridad, como OpenSSL 1.1.1, también han implementado ya el uso de este nuevo protocolo seguro.

Fuente | RedesZone

2018-02-06

Nuevo #WordPress 4.9.3, actualización de mantenimiento

Ya se encuentra disponible una nueva versión de mantenimiento WordPress 4.9.3.

Figura 1: WordPress 4.9.3

Esta versión de mantenimiento soluciona 34 fallos de la versión 4.9, incluyendo soluciones a los registros de cambios del Personalizador, widgets, el editor visual, y compatibilidad con PHP 7.2. Para ver la lista de cambios consulta la lista de tickets y el registro de cambios.

Es muy importante llevar adelante y ejecutar esta actualización, para evitar cualquier tipo de problemas.

Por otro lado, para aprender a implementar diferentes esquemas de mantenimiento y actualización, no se olviden que se encuentra disponible mi libro "Máxima Seguridad en WordPress" publicado por la editorial 0xWORD.


Además, se encuentra el curso virtual de Seguridad en Entornos WordPress HCSWP para no perderse ningún detalle, con videos prácticos y mucha documentación.


Saludos!

Fuente | WordPress en español

2018-02-05

#OWASP Top 10 en español por @SeguInfo

Luego de haberse publicado la RC1 en junio de 2017, la RC2 en noviembre y la versión final en inglés en noviembre, finalmente llevaron a una actualización en la metodología de recopilación de datos, y finalmente se ha lanzado la versión de OWASP Top 10 en Español.

Figura 1: OWASP Top 10 - Español

Esta importante actualización agrega varios tipos de vulnerabilidades nuevas, incluidos dos problemas seleccionados por la comunidad. Los comentarios de la comunidad generaron la mayor recopilación de datos de la historia de OWASP y permitió la preparación de un nuevo estándar de seguridad de aplicaciones.

El Top 10 de OWASP 2017 se basa principalmente en más de 40 presentaciones de datos de firmas especializadas en seguridad de aplicaciones y una encuesta de la industria que fue completada por 515 personas. Estos datos abarcan vulnerabilidades recopiladas de cientos de organizaciones y
más de 100.000 aplicaciones y APIs del mundo real. Los 10 elementos principales se seleccionaron y priorizaron de acuerdo con estos datos de prevalencia, en combinación con estimaciones consensuadas de explotabilidad, detectabilidad e impacto.

Mi saludos de agradecimientos a Cristian Borghello y a Gerardo Canedo de OWASP Uruguay que participaron en la traducción oficial al español de OWASP Top 10.

Fuente | Segu-Info

2018-02-02

Comprometidos los paquetes oficiales del popular sistema de foros #phpBB

El pasado 26 de enero un atacante desconocido comprometió el sitio oficial del popular sistema de foros phpBB, suplantando dos paquetes oficiales por otros que contenían ficheros maliciosos. En concreto han sido suplantadas las versiones phpBB 3.2.2 y el parche para actualizar de la versión 3.2.1 a la 3.2.2.

Comprometidos los paquetes oficiales del popular sistema de foros phpBB

Los enlaces a los archivos fraudulentos sólo estuvieron activos durante tres horas. En este tiempo casi 500 personas descargaron el paquete comprometido.

El equipo de phpBB todavía está investigando los vectores de ataque, pero ha declarado que ni el dominio oficial phpBB.com ni la aplicación fueron explotados en el ataque.

El código malicioso cargaba código JavaScript desde una infraestructura remota que actualmente se encuentra en control del equipo de phpBB, por lo que la amenaza ya se encuentra neutralizada.

Como medida preventiva ante este tipo de ataques recomendamos siempre comparar las sumas SHA o MD5 de los ficheros descargados con las publicadas en el sitio oficial.

Enlace | Hispasec una-al-dia

2018-01-30

Nueva campaña de KeyLogger en #WordPress

Una nueva campaña de malware ha sido descubierta, la cual está infectando a sitios web con WordPress instalando un KeyLogger que además está siendo aprovechado para minar #Bitcoins.


El malware ha sido descubierto por el investigador de seguridad de Sucuri, Denis Sinegubko, el cual tiene sospechas que esta nueva campaña pueda estar ligada a la campaña que sufrió este CMS en diciembre de 2017, en la cual se afectó a unos 5500 sitios web. El motivo de esta sospecha es debido a que en los dos ataque realizados se utilizó este keylogger de criptomoneda como método de ataque, un malware llamado “cloudflare[.]solutions”, aunque hay que aclarar que este malware no tiene nada que ver con la empresa Cloudflare.

El nombre de este malware es debido a que los scripts utilizados utilizaban los recursos de este dominio, actualmente inactivo, aunque esta nueva versión ya tiene nuevos dominios registrados como cdjs[.]online, cdns[.]ws y msdns[.]online.

El ataque se realiza en sitios WordPress con una seguridad débil, por medio de la injección de scripts en base de datos (en tabla "wp_posts") o en el archivo "functions.php".

Como medida de limpieza, se recomienda eliminar el código malicioso de los ficheros de temas "functions.php", revisar las tablas "wp_posts" y cambiar todas las contraseñas del sitio web.

Fuente | una-al-dia Hispasec

2018-01-29

Regresando al día a día

Luego de un excelente año de trabajo, no está nada mal una vacaciones por un par de semanas. Creo que si uno tendría la posibilidad de descansar por más tiempo sin duda lo pediría, pero lo cierto es que es momento de regresar al día a día.


En estas vacaciones, tuve la suerte de conocer los lugares más icónicos de Ciudad de Buenos Aires - Argentina.-  y tengo que recomendarles a todos que no dejen de pasar y conocerlos que muchos de ellos son excelente. Jardín Japones, Obelisco, Puerto Madero, Palermo, Belgrano, Plaza de Mayo, etc.

Regresando al día a día


Tengo un par de ideas, que me gustaría compartirlas en el tiempo para continuar movilizando el Blog, escribiendo varias review de herramientas, recursos, recomendaciones y noticias de las que le dedico varias horas al día.

Por lo pronto aquellas personas que están interesadas en aprender como pueden mejorar la seguridad de sus proyectos en WordPress, recuerden que pueden conseguir mi libro "Máxima Seguridad en WordPress" publicado por la editorial 0xWORD.


Además pueden apuntarse al Curso virtual de Seguridad en Entornos WordPress HCSWP en The Security Sentinel donde también van a poder aprovechar las recomendaciones que tengo para darles en la administración y gestión de la seguridad de sus proyectos en WordPress.


Saludos!

2018-01-11

#WhatsApp hoy es noticia por un problema de Privacidad

Hoy se dió a conocer una vulnerabilidad que afecta la seguridad de los grupos de chats privados de WhatsApp.


El informe fue presentado por expertos de la Universidad Ruhr de Bochum y señala que es posible incorporarse o incorporar a un tercero en un chat grupal. A pesar de que el error también puede ser aplicado a Signal o Threema, en WhatsApp el asunto parece ser más serio.

Si bien el cifrado E2EE posibilita que nadie pueda ver las conversaciones que se mantienen por la aplicación, incluyendo a los mismos desarrolladores y trabajadores de WhatsApp, el fallo cambia parcialmente esta realidad.

El ataque aprovecha un error en la forma en que WhatsApp maneja los chats grupales, y permite que cualquiera que controle los servidores de WhatsApp, pueda insertar nuevos participantes en un grupo. Al mismo tiempo, un atacante que tenga acceso al grupo podría bloquear selectivamente lo que quisiera, cerrando la posibilidad de alertas entre los miembros (dentro del grupo).

Nótese que, según lo informado, sólo es posible accediendo a los servidores de WhatsApp. Evidentemente, se podría pensar que no es una situación de riesgo, pero es necesario considerar que cualquier trabajador de la aplicación con acceso podría llevar a cabo este método. Es más, conociéndose el error, entra la posibilidad que organismos externos exijan acceso al contenido de los usuarios.

Sin dudas para WhatsApp un inicio de año 2018 no tan favorable para la firma.

Enlace | Fayerwayer

2018-01-10

Protocolo de Red IPv6 por @lwayar

Hoy les quería compartir una presentación de mi gran amigo Luis Tomás Wayar @lwayar sobre el Protocolo de Red IPv6 que hace un par de años presentó en la Universidad Nacional de Jujuy - UNJU




Protocolo de Red IPv6


En esta presentación van a encontrar una introducción a los conceptos que emergen en IPv6, por medio de diferentes ejemplos, Luis nos muestra diferentes direcciones IPv6.

Finalmente, en los dos últimos puntos propone un plan de migración de IPv4 a IPv6 y presenta diferentes casos de estudios para acompañar este proceso de transformación.


Saludos!

Entradas populares