Slides de Chema Alonso

Pues recién hoy me vengo a enterar de la existencia de uná página en slideshare con todo el contenido del maligno, la comparto con todos aquellos que aún no la conocen y un saludo desde aquí a Chema que en estos días esta muy ocupado pero siempre nos mantiene entretenidos con su lado del mal ;).

Saludos, Leer más...

Penetration Test Frameworks: AS/400 & Wireless

Hoy les traigo algo que puede llegar a resultar muy interesante a la hora de la realización de pen testing, sí, más frameworks ;-).
La gente de Security Database ha desarrollado un Framework para pen-test de sistemas AS/400, si bien aún esta en fase "Beta" podemos acceder a ella y a más información aquí: AS 400 Auditing Framework Tool.


Por otra parte también agrego información de un framework ya existente para el pen-testing de Redes wireless: Wireless Penetration.



Espero que les sirva tanto como a mi.
Saludos, Leer más...

Perdón NIC.ar, XSS by arielik

Muchos dicen que una imagen vale más que mil palabras, veánlo ustedes mismos:



Ya les avise, no se preocupen ;-)

Saludos,
AL Leer más...

Cisco incursiona en el mercado

Según publicó recientemente el New York Times, Cisco presentará en marzo un servidor con software de virtualización para ayudar a sus clientes a administrar sus centros de datos. Esto puede resultar chocante, teniendo en cuenta las buenas relaciones que el vendor mantiene tradicionalmente con los fabricantes de servidores más conocidos pero, en realidad, no es demasiado sorprendente.

En efecto, Cisco ha estado en los últimos años desarrollando tecnologías que complementan su negocio principal de routers y switches, incluyendo videoconferencia y un vasto abanico de ofertas relacionadas con la seguridad informática. La creación en Cisco del Grupo de Tecnologías Emergentes generó una incubadora de nuevas iniciativas con sólo dos prerrequisitos: que cada tecnología pudiera convertirse en un negocio de al menos mil millones de dólares, y que complementara el negocio de networking de la firma. Por lo tanto, si Cisco ya era dueña de los “caños” que redirigen los datos en las redes y estaba armando nuevas ofertas complementarias, los servidores que administrasen esos datos eran el componente faltante.

Por otra parte, es un modo de devolver con la misma moneda ciertas estrategias de otros fabricantes de servidores que también quieren hacerse fuertes en el mercado de networking. Por ejemplo, aunque en la época de Carly Fiorina al frente de HP la decisión de dicho vendor fue hacer que su fuerza de ventas promoviese los productos Cisco por encima de su propia línea ProCurve, con Mark Hurd las cosas son diferentes y hoy ProCurve es una pieza crucial de la estrategia de HP.

IBM, por su parte, tiene una relación de larga data con Brocade en relación con productos de almacenamiento en red, y sus laboratorios están trabajando en sus propios proyectos de este tipo de hardware. Pero IBM también ha sido uno de los principales resellers de equipos Cisco. Lo cual podría cambiar si Cisco incursiona en servidores.

Por el momento, Cisco no se expresó oficialmente acerca de esta novedad pero, en su blog, la Chief Technology Officer de la compañía, Padmasree Warrior, dio algunos indicios: “Cisco está ingresando en nuevos mercados. Nosotros vemos los períodos de incertidumbre económica como el momento perfecto para desafiar al statu quo y hacer evolucionar nuestro negocio para brindar más valor a nuestros clientes y accionistas. El éxito de Cisco siempre fue impulsado por inversiones en adyacencias del mercado durante épocas que podrían hacer parpadear a otras compañías”.

Sugestivamente, la ejecutiva señaló que dicha decisión puede llevar al vendor a competir con empresas con las que habitualmente estuvo aliada, pero enfatizó la necesidad de que los principales fabricantes trabajen cooperativamente.

Warrior también detalló el foco de Cisco en lo que se ha dado en llamar “computación unificada”. Según la CTO, esto representa un enfoque arquitectónico que incluye plataformas de cómputo y almacenamiento en unidad con la red y la plataforma de virtualización.

Con lo cual, se puede deducir que, si Cisco entra en el mercado de servidores, no será más que la continuación de la misma estrategia que vino llevando a cabo durante muchos años. Aunque sea una decisión que venga a quebrar la cómoda simbiosis que hay hasta el momento entre el vendor y los grandes fabricantes de PCs, servidores, sistemas de almacenamiento y software. Así que varios expertos han expresado que el ingreso de Cisco en el terreno de sus colegas puede una guerra entre los titanes tecnológicos para robarse mutuamente los clientes.

Enigmas

El anuncio es una decisión riesgosa. Porque el mercado de servidores lleva mucho tiempo comoditizado y bajo presión. Mientras los márgenes que gana Cisco vendiendo networking llegan al 65 por ciento, las compañías que venden servidores básicos apenas arañan un 25 por ciento. En su blog, Padmasree Warrior afirmó que, al integrar diversos componentes de hardware con software, Cisco podría ganar márgenes más altos que los típicos para servidores. Porque su intención no es competir en el mercado más comoditizado de hardware, sino en el de servidores con software de virtualización integrado, en alianza con VMware. Es más, algunos analistas han especulado con la posibilidad de que Cisco adquiera esta empresa, de la cual ya posee un 2 por ciento o, incluso, todo EMC, quien actualmente posee la mayor parte de las acciones de VMware. Lo cual, por supuesto, también plantea un desafío para Microsoft, que quiere posicionarse en el mismo mercado.

Asimismo, habría que seguir de cerca los movimientos futuros de Cisco con respecto al mercado de almacenamiento. Porque, aunque Cisco tiene switches Fibre Channel, software de administración de almacenamiento y productos de encriptación de datos para almacenamiento, le faltan los dispositivos mismos que almacenan los datos que atraviesan la red. Por eso, también ciertos analistas vaticinan que Cisco podría comprar un vendor de este rubro, como NetApp, o incluso la unidad de almacenamiento de Sun.

Y no hay que pensar que el escritorio del usuario quedará fuera del alcance de la estrategia de Cisco. Porque su renovada relación con VMware podría llevarlo a interesarse por el mercado de clientes delgados o en la provisión de aplicaciones para dispositivos móviles. Esto abriría nuevos frentes contra HP, Dell o Wyse Technology.

Tampoco hay que suponer que Cisco ya tiene todo lo necesario en cuanto a tecnologías de seguridad. Ha adquirido compañías, como IronPort, que complementan su oferta existente en este tema. Y su estrecha alianza con Trend Micro es un reconocimiento tácito de que aún le falta un antivirus crítico, más seguridad para Web y software de seguridad. Así que se pueden esperar más compras de empresas de seguridad informática en el futuro.

Por supuesto, el arma nada secreta de Cisco es su canal. El vendor tiene una probada experiencia en construir y administrar canales y, ya sea que decida expandir su portafolio tecnológico mediante adquisiciones o por desarrollo propio, necesitará de sus canales para ampliar el alcance de su imperio.

La opinión del mercado

“Este será el producto más importante y comentado del año. Habrá reacciones competitivas masivas tanto de IBM como de HP, y esperamos que esto llevará hacia una nueva ola de consolidación de la industria”. Brent Bracelin, analista de hardware de Pacific Crest Securities.
“Creo que ésta es una de las amenazas competitivas más directas que haya visto hacer a Cisco sobre un socio principal en mucho tiempo. Ciertamente, será un desafío para Cisco tener en los nuevos productos los mismos márgenes que en los actuales. Y no creo que Cisco tenga el mismo nivel de experiencia en el desarrollo de aplicaciones que competidores como IBM tienen en dar soporte a la administración de aplicaciones. Necesitará desarrollar mayor experiencia en esto para ganar la confianza de los clientes”. Erik Suppiger, analista del Signal Hill Group.

“Todo el mundo está intentando alcanzar el mismo punto en el futuro. Es inevitable que a medida que vayan más lejos, comiencen a cruzar hacia el territorio de los otros más y más”. James Staten, analista de Forrester Research.
“Esto es parte del hecho de que Cisco se da cuenta de que su negocio principal es relativamente maduro y trata de capurar algo más del presupuesto global de TI”. Mark McKechnie, analista de Broadpoint AmTech.

“Cisco no es una compañía de networking y no se ha dedicado puramente al networking por bastante tiempo. Es una compañía que abarca múltiples áreas, incluyendo VoIP, software de colaboración, y otras, así que no veo que este anuncio sea sorprendente. Sí representa una ligera ampliación del significado del término “servidor” y es un resultado natural de la transformación real que hemos visto en el centro de datos en los últimos cinco años”. Andreas Antonopoulos, vicepresidente senior Leer más...

Penetration Test Framework

Les dejo un link a un EXCELENTE material sobre todos los aspectos a evaluar durante un penetration test:

http://www.vulnerabilityassessment.co.uk/Penetration%20Test.html#

Enjoy it, realmente es muy bueno.

Saludos, Leer más...

RequestPolicy: Protegiéndonos de CSRF, Clickjacking y más.

Hace unos días estuvimos hablando del creciente problema del Clickjacking y surgió entonces una pregunta básica, ante un problema siempre buscamos la solución, pero ante estos temas el camino parecía sinuoso y oscuro, ¿qué hemos conseguido entonces? RequestPolicy.

¿Qué es RequestPolicy?
Un addon para Firefox que nos permite tener el control sobre todas las peticiones de cross-site que pasen sobre nuestro cadáver/browser.

¿Qué logramos con ésto?
Pues tener control sobre una infinidad de peticiones que no necesariamente serán las que nosotros hacemos ;).

¿Qué quiere decir ésto?
Que no caeremos más en la trama de enviar peticiones o consultas falsas (CSRF), ni tampoco dejaremos que esos pequeñísimos iframes se carguen en la página que estamos visitando (clickjacking).

Actualmente RequestPolicy nos brinda su versión 0.5.2 y es desarrollada por Justin Samuel. Aunque hay muchas mejoras en camino ya es una obra digna de tener en nuestra PC ayudándonos en la interminable tarea de la seguridad.

Pueden descargarse RequestPolicy desde la página de addons firefox.
Pueden encontrar un breve tutorial en la página oficial del proyecto.

Algo más, se ve que lo que dijimos en áquel post no estaba tan errado, por lo cual seguimos insistiendo que el addon NoScript sigue siendo más que valioso, úsenlo! Leer más...