Reino Unido se alía con firmas de defensa y telecos para mejora la ‘ciberseguridad’

Nueve de los mayores fabricantes de armas del mundo y algunos proveedores de telecomunicaciones están asociándose con el Gobierno de Reino Unido para mejorar la ‘ciberseguridad’ del país, con el objetivo de abordar la creciente amenaza que representan los ‘piratas’ informáticos y otros atacantes.

Reino Unido convirtió la ‘ciberseguridad’ en una de sus prioridades de defensa nacional en 2010, debido a la creciente amenaza de ataques digitales por parte de delincuentes y grupos extranjeros con apoyo estatal. BAE Systems, Rolls-Royce, Lockheed Martin y Hewlett Packard están entre las compañías que se asociarán para compartir información y abordar amenazas cibernéticas, dijo el pasado viernes el Ministerio de Defensa británico.

Las redes del gobierno y de la industria sufren unos 70 ataques cibernéticos sofisticados al mes, y el 15% son contra el sector de defensa, dijo GCHQ, el centro de espionaje del Gobierno que también participa en el plan. La asociación se produce mientras contratistas como BAE aumentan sus negocios cibernéticos de modo que se anticipan a la creciente demanda de gobiernos y empresas, en un momento en que la demanda de equipos sufre por los recortes presupuestarios en defensa.

La denominada Asociación de Protección de la Defensa Cibernética también tratará de aplicar controles y compartir la inteligencia sobre amenazas para mejorar la seguridad de la cadena de suministros de defensa.

«Es una demostración clara de que el gobierno y la industria pueden trabajar juntos: compartir información, experiencias y conocimientos», dijo el ministro para el Equipamiento de Defensa, Apoyo y Tecnología, Philip Dunne.

Otras compañías implicadas son Selex, unidad de Finmeccanica; Cassidian, división de EADS, Thales, CGI Group y BT Group.

Fuente | El Mundo

El Gobierno de EEUU te da una guía para evitar los ataques informáticos

Desarrolladores de software preocupados por la protección frente a los ataques informáticos tienen ahora una nueva herramienta para identificar errores comunes.

El Gobierno estadounidense actualizó recientemente una lista de los 25 errores de software más peligrosos y guías para ayudar a los programadores a identificarlos y evitarlos.

El sistema busca eliminar brechas de seguridad comunes que los piratas han utilizado para atacar a empresas como Lockheed Martin y Sony Corp. Los consumidores de software ahora pueden pedir a los desarrolladores una puntuación de seguridad en función de un sistema estándar que pretende que los programadores estén más atentos a evitar fallos.

“El desarrollador de software no va a mostrar una puntuación baja”, indicó Alan Paller, director de investigación en el Instituto SANS, una compañía de formación en seguridad informática. “Va a arreglar el problema. Porque cómo vas a decir ‘¿Voy a venderte algo que es peligroso?’, agregó.

La lista de vulnerabilidades de software realizada por el Departamento de Seguridad Nacional y el MITRE, un organismo de investigación con financiamiento estatal, se publica cada año desde el 2009. En el primer lugar de la última lista aparece un agujero de seguridad llamado inyección SQL que permitió al grupo de hackers LulzSec acceder a los sistemas de Sony e InfraGard, un centro utilizado por el FBIpara establecer relaciones con negocios privados.

Dar un nombre común a los errores de software fue un paso crucial para crear un sistema de puntuación estandarizado. Anteriormente, muchas firmas que analizan software en busca de fallas describían los mismos errores con diferentes nombres, haciendo casi imposible crear un sistema de evaluación de seguridad.

Ahora, el MITRE presiona a las empresas para que adopten un lenguaje común, llamado enumeración de debilidades comunes, y el nuevo sistema de puntuación. La firma de análisis de software Fortify, propiedad de Hewlett-Packard, y la compañía Cenzic, han anunciado que adoptarán ambos criterios.

> Falta de educación

Muchos de los errores de software que explotan los hackers ya deben considerarse como blancos fáciles. La inyección SQL, por ejemplo, lleva años siendo un problema conocido en la industria.

Pero la existencia de agujeros de seguridad aparentemente sencillos se explica, en parte, porque no hay estándares reales para enseñar programación de software seguro. Los programadores provienen de campos muy diversos, desde autodidactas hasta profesionales con títulos de Harvard. Paller señaló que a la mayoría de los desarrolladores nunca se les enseñó cómo escribir códigos seguros. “Si nunca se les ha enseñado a hacerlo, y nadie se los pide y nadie lo comprueba, entonces no lo hacen porque no saben cómo”, explicó Paller a Reuters.

Paller afirmó que despertó un cierto malestar en la industria cuando ofreció premios en efectivo a los estudiantes que encontraran errores de seguridad en los libros que les enseñaban a escribir código. Joe Jarzombek, responsable del programa en el Departamento de Seguridad Nacional, señaló que la lista de los 25 primeros errores es como una guía sobre la que pueden basarse los programadores para certificar que su software está libre de esos problemas.

“Es un gran servicio para gente que de otro modo piensa: ‘Soy una víctima. No puedo hacer nada con el software’”, indicó en una entrevista. (Reuters)

Fuente

El principal proveedor de tecnología del Pentágono reconoce frecuentes ‘ciberataques’

Logotipo de Lockheed Martin | Afp

Lockheed Martin, el mayor proveedor de tecnología de información del Gobierno de Estados Unidos, reconoció que el «persistente» ataque contra su red hace semanas es parte de un patrón de frecuentes ‘ciberataques’ que sufre su plataforma desde todo el mundo.

«El hecho es que, en este nuevo contexto, somos blanco frecuentes de rivales en todo el mundo», explicó Sondra Barbour, directora de la división de información de la empresa en una nota dirigida a los empleados.

Ocho días después de que el «ataque tenaz y significativo» del 21 de mayo fuera detectado y controlado, Lockheed (con sede en Bethesda, Maryland) todavía trabaja a contrarreloj para restaurar el acceso de los empleados al sistema manteniendo un alto nivel de seguridad, dijo Barbour.

La primera respuesta de Lockheed incluyó el cierre «proactivo» de la red virtual privada (VPN por sus siglas en inglés) de la empresa, afirmó la ejecutiva. Una VPN es una forma segura de conectarse a una red privada, a través de Internet o cualquier otra red pública, para operar datos de forma privada mediante la encriptación de datos.

Otras medidas que se tomaron fueron el restablecimiento de las contraseñas, la actualización remota de las identidades de autenticación y la implementación de un nuevo nivel de seguridad en el proceso de acceso remoto, afirmó Barbour.

> Ataques repelidos

Lockheed informó el pasado fin de semana que los ataques habían sido repelidos tras detectarlos «casi de forma inmediata». También afirmó que habían llevado a cabo importantes acciones para proteger los sistemas y los datos, y que la información de los clientes, las aplicaciones o de los empleados no estaba comprometida.

Lockheed es el principal proveedor del Pentágono en volumen de ventas. La empresa fabrica los aviones de combate F-16, F-22 Y F-35, así como buques de guerra y los misiles de defensa THAAD.

Una portavoz del departamento de Defensa, la teniente coronel April Cunningham, dijo el pasado sábado que el Pentágono estaba trabajando junto a Lockheed para medir la importancia de los ataques. El impacto en el departamento había sido «mínimo y no se esperaban consecuencias adversas», dijo Cunningham.

Según medios estadounidenses, la vulnerabilidad de Lockheed Martin podría estar vinculada a un ataque «muy sofisticado» anunciado en marzo por la firma de seguridad informática RSA, que entonces advirtió de que ‘ciberintrusoso’ habían logrado penetrar en sus sistemas y recuperar información que podría permitirles eludir las defensas de sus clientes.

En aquel momento, la senadora republicana Susan Collins señaló que RSA había revelado que esta vulnerabilidad mostraba que «la amenaza de un ataque informático catástrofico es real».

> ¿China?

Ni Lockheed ni el gobierno del Estados Unidos hicieron comentarios sobre el posible origen del ataque, a diferencia de lo que sucedió el pasado año con el caso de los ataques a Google, que en enero de 2010 denunció que provenían de China. Las autoridades chinas han negado cualquier implicación.

Asimismo, la compañía McAfee afirmó que varias empresas petrolerashabían sido blanco de ataques también provenientes del gigante asiático.

Estas revelaciones suman a las sospechas de que una gran parte de los ataques informáticos contra sistemas corporativos y gubernamentales provienen de dicho país, alimentadas por acusaciones más o menos directas como la realizada en 2007 por una comisión del Congreso de EEUU, que acusó directamente Pekín de pilotar ataques informáticos masivos contra intereses estadounidenses.

Fuente