La Comunidad DragonJAR » Colombia

Registraduría Nacional de Colombia.. ¿DoS o Negligencia?

DragoN — Thu, 18 Mar 2010 21:09:54 +0000

En este articulo hablaremos sobre el supuesto ataque de “hackers” que sufrió la Registraduría Nacional de Colombia el día de elecciones, para entender mejor lo sucedido pongámonos en contexto:

El pasado domingo 14 de marzo se realizaron en Colombia las elecciones para el Senado de la República, Cámara de Representantes, los representantes de Colombia en el Parlamento Andino y las consultas interpartidistas. En años pasados los resultados parciales o “boletines” de las elecciones se generaban desde la Registraduría y eran entregados inmediatamente a medios de comunicación y a veedores internacionales unicamente, este año quisieron ademas de esto, ofrecer a todos los ciudadanos esta información también en “tiempo real” desde el sitio de la Registraduría nacional.

Para cumplir con la labor de divulgación de estos boletines, se contrató a la empresa UNE, que a su vez subcontrato a la empresa “Arolen” quienes serian los encargados de implementar toda la infraestructura tecnológica necesaria para cumplir con la demanda de información que tendría la pagina de la Registraduría.

El dia de elecciones, varios medios de comunicación reportaban fallos constantes en el portal de la Registraduría nacional, impidiendo así el acceso a la información, no solo para los ciudadanos sino para todos los medios que deseaban informar a la población, después de los fallos “Arolen” admite los problemas y habla sobre ello en la siguiente rueda de prensa echándole la culpa de los fallos a un ataque informático:

En el vídeo habla Iván Ribón, gerente de “Arolen” donde explica que los fallos se debieron a un ataque informático, por esto contrataron una empresa llamada “Adalid” para investigar el caso y llegaron a la conclusión que se trataba de un ataque de denegación de servicios (DoS) y afirman que “casos como estos normalmente no son obra de un hacker, sino son obra de una empresa de delincuentes que esta tratando de tumbar un servicio como el de la Registraduría o como el de la información”.

El Registrador Nacional del Estado Civil Carlos Ariel Sánchez en una entrevista para el programa de televisión “El Radar”, nos da un poco mas de información sobre el tema:

Como pueden ver el problema fue debido a un ataque de denegación de servicio hacia la pagina de la Registraduría, pero les recuerdo que estas paginas no necesitan un ataque de este tipo para caerse, se caen solas, es como decir que a la pagina del ICFES le hacen un DoS cada que salen los resultados de los estudiantes.

Personalmente pienso que la empresa “Arolen” no supo anticipar la cantidad de personas que consultarían la pagina de la Registraduría este día y el sistema les colapsó (como pasa con el ICFES, o los portales del gobierno cuando ofrecen 10 puestos para 5000 aspirantes), pero supongamos que es cierto y el ataque se llevo a cabo, ¿acaso no tenían los recursos para solucionar el problema?, miremos:

Arolen cuenta entre su portafolio el servicio de “seguridad informática“, por lo que en teoría debe tener personal capacitado en seguridad que sepa reaccionar frente a un ataque de este tipo, aunque es una realidad que muchas empresas ponen en su portafolio este servicio, pero no cuentan con personal propio para realizar las labores sino que subcontratan, como parece ser este caso, ya que se asesoraron de una empresa externa llamada Adalid solo después que el ataque fue realizado.
Mitigar un ataque de denegación de servicio (y mas si es distribuido) no es sencillo, pero el contrato del que estamos hablando asciende a los 77 mil millones de pesos, estoy seguro que podían contratar una empresa de seguridad decente (que tenemos muchas en el país) que les solucionara el problema (ya que claramente ellos no pudieron hacerlo).
UNE tiene una de las mejores infraestructuras de telecomunicaciones del país, fácilmente podría soportar la cantidad de trafico que aseguran recibió la pagina de la Registraduría (75 mil veces por segundo) incluso sin poner ningún tipo de reglas en su firewall que mitigara el ataque, pero UNE es una empresa privada y busca maximizar sus ingresos a toda costa, por eso subcontrató a Arolen y se desentendió del problema (aunque ellos podian solucionarlo).
La Registraduría cuenta con diferentes cuentas en distintas redes sociales que podrían haberse utilizado como medio alternativo para divulgar la información sin sufrir ningún problema, por ejemplo su cuenta de twitter pude ser un excelente medio de difusión de información, su blog en Blogger seguro no hubiera sentido los 75mil hits por segundo, lo mismo con sus cuentas en y *.
No creo que servicios como el Amazon Simple Storage Service (Amazon S3) o el Google App Engine. hubieran sido tomados en cuenta por la empresa Arolen para solucionar el problema *.

* posiblemente utilizar redes sociales y servidores externos no hubiera sido una buena opción debido a lo delicado de la información, pero es una posible solución al problema.

Al afirmar que “casos como estos normalmente no son obra de un hacker, sino son obra de una empresa de delincuentes que esta tratando de tumbar un servicio como el de la Registraduría o como el de la información” nos dan a entender que se trataba de un ataque de denegación de servicio distribuido (DDoS), posiblemente lanzado desde alguna red de equipos zombies (botnet), pero tratan de incriminar una “empresa” u “organización criminal” cuando la realidad es que cualquier persona con 300USD disponibles, puede alquilar una Botnet para realizar un ataque como el que supuestamente sufrió la Registraduría.

El que arolen tuviera que contratar a una empresa de seguridad para saber qué fue lo que pasó en sus servidores, solo demuestra que sus servicios de “seguridad informática” son una total farsa y no contaban con el personal adecuado para hacer frente a un incidente como este, tenían todos los medios necesarios para solucionar el problema ¿por que no lo hicieron?, quedamos a la espera del análisis forense que se le realice a lo servidores afectados (si es que se les realizaría este tipo de análisis) para aclarar lo sucedido el pasado domingo 14 de marzo.

ACTUALIZADO:
El periódico el tiempo acaba de publicar un articulo titulado “Desde una misma dirección ingresaron 75 mil veces a la página de la Registraduría” en el que nos confirma que el ataque se realizo desde una sola maquina y no fue un ataque de denegación de servicios distribuido (DDoS) como se pensaba, lo que confirma que el problema en la pagina de la Registraduría fue por NEGLIGENCIA de la empresa Arolen ya que con un simple “iptables -A INPUT -s IP -j DROP" (si el servicio estaba sobre un servidor GNU/Linux) o bloquear la ip con cualquier otro firewall bastaba para detener el ataque.

También puede interesarte...

COMBAT Training v2.0 en Colombia

DragoN — Sat, 13 Mar 2010 22:11:54 +0000

La Comunidad DragonJAR y BASE4 Security traerán a colombia el COMBAT Training, una de las mas completas capacitaciones en seguridad informática, dictadas en español.

Durante este curso de 5 días, el asistente aprenderá como comprometer la seguridad de toda una organización utilizando las mismas técnicas, herramientas y metodología usada por atacantes reales. Este es un curso altamente práctico, donde el asistente se enfrentará a diferentes desafíos que deberá superar, y que luego serán explicados en detalle. De esta forma, el asistente aprenderá del instructor, de sus colegas, y de sus propios errores y aciertos.

MODALIDAD DEL CURSO
El COMBAT training es un curso 90% práctico – 10% teórico, en donde el asistente será constantemente enfrentado a nuevos desafíos, con la guía del instructor.

A cada asistente se le proveerá una máquina virtual con BACKTRACK, una distribución de Linux diseñada para Penetration Testers, desde donde se realizarán la mayoría de los laboratorios. También se proveerá una placa Wireless para ser usada durante los laboratorios de Wireless Hacking.

QUIEN DEBERÍA ASISTIR
Penetration Testers, Ethical Hackers, Consultores y Auditores que necesiten tener un mayor conocimiento técnico, Estudiantes de Sistemas, todos aquel los interesados en aprender como descubrir vulnerabilidades en las redes de su organización.

FECHA, LUGAR Y COSTO
Las fechas y las ciudades donde se realizarán las 2 capacitaciones son:

BOGOTÁ: 5,6,7,8 y 9 de Abril de 9am a 6pm.
MEDELLÍN: 12,13,14,15 y 16 de Abril de 9am a 6pm.

El costo es de 999USD (el mismo entrenamiento en argentina tiene un costo de 1200USD) e incluye una entrada gratuita a la EKO Party de este año, certificación del training, almuerzos, refrigerios, memoria y participación el el Capture The Flag al final del curso, cuyos premios son:

Espadas, dagas y estrellas ninja

FORMAS DE PAGO:

Realizar una consignacion bancaria en cualquier Citibank de tu ciudad a la cuenta de ahorros 1000793929 a nombre de Jaime Andrés Restrepo (despues de esto envias una copia escaneada de la consignación Sol Argento <sargento@base4sec.com>).
Otra forma de pago es enviar desde cualquier agente de Wester Union el dinero a nombre de Luis Alberto Cruz, Capital Federal, Argentina y remitir el numero de control de envio de dinero (MTCN) y los datos del remitente o pagador al siguiente email Sol Argento <sargento@base4sec.com>.
Pagar en linea con tarjeta de crédito, mediante la siguiente dirección >>http://www.base4sec.com/HyNCT2.0-colombia.html

Si no tienes todo el dinero junto, puedes comunicarte con Sol Argento <sargento@base4sec.com> quien hablara contigo sobre separaciones de cupos y otras formas de ayudarte.

Para ver los temas a tratar en estos 5 días e información mas detallada del entrenamiento, pueden descargar este pdf.

Si estas interesado en asistir a esta capacitación, por favor PRE-Inscribete en el siguiente formulario:

También puede interesarte...

Confirmado el COMBAT Training en Colombia

DragoN — Tue, 16 Feb 2010 07:43:06 +0000

Es un placer para La Comunidad DragonJAR y Base 4 Security anunciar las fechas en las que se llevará a cabo el primer COMBAT Training realizado en Colombia, debido a la gran acogida que ha tenido esta capacitación en seguridad informática, decidimos realizarlo en 2 de las principales ciudades de nuestro país, Bogotá y Medellín, en las cuales se encuentran la mayoría de los pre-inscritos.

Las fechas en las que se realizarán las 2 capacitaciones son:

BOGOTÁ: 5,6,7,8 y 9 de Abril de 9am a 6pm.
MEDELLÍN: 12,13,14,15 y 16 de Abril de 9am a 6pm.

Si apenas te enteras del COMBAT Training, te recomiendo que leas el anuncio realizado en la comunidad o descargues este documento en PDF con toda la información.

Recuerden que para mantener la calidad de cada entrenamiento el numero máximo de asistentes en cada ciudad es de 20 personas, por eso es recomendable que si estas pre-inscrito, confirmes tu asistencia realizando el pago del training por alguno de estos medios, si no estas pre-inscrito pero estas interesado en asistir al entrenamiento, puedes llenar el siguiente formulario para realizar tu pre-inscripción.

Es la primera vez que una capacitación en seguridad de este tipo se realiza en Colombia (al menos de forma publica), !NO te la puedes perder¡, si tienes alguna duda puedes publicarla en los comentarios, o hacerla llegar a cualquiera de estos correos sargento (arroba) base4sec.com o dragon (arroba) dragonjar.org

Mas Información:
COMBAT Training v2.0 en Colombia
Capacitaciones Base4 Security
Formas de Pago Disponibles

También puede interesarte...

¿Dónde estudiar seguridad informática en Colombia?

DragoN — Thu, 28 Jan 2010 05:16:47 +0000

Esta pregunta es bastante común en los correos que me envían desde el formulario de contacto de la comunidad y la realizan mas que todo, estudiantes universitarios interesados por seguir su formación académica con alguna especialización o maestría en seguridad de la información, para estas personas y los interesados en realizar post grados en seguridad informática, les dejo un listado con información de programas de especialización o maestría en auditoría de tecnologías de información y seguridad Informática en Colombia.

En esta lista no se han tenido en cuenta los cursos, seminarios y capacitaciones en seguridad informática, solo se tienen en cuenta programas universitarios de post grado y maestrias.

Universidad: Universidad Pontifica Bolivariana (Sede Bucaramanga)
Programa: Especialización en Seguridad Informática
Tiempo: 1 año
Mas Información…

Universidad: Corporación Universitaria de Investigación y Desarrollo – UDI Sede Bucaramanga
Programa: Especialización en Seguridad Informática
Tiempo: 1 año
Mas Información…

Universidad: Universidad de los Andes
Programa: Especialización en Seguridad de la Información
Tiempo: 1 año
Mas Información…

Universidad: Universidad Externado de Colombia
Programa: Especialización en Riesgo Informático
Tiempo: 1 año
Mas Información…

Universidad: Universidad Católica de Colombia
Programa: Especialización en Seguridad en Redes
Tiempo: 1 año
Mas Información…

Universidad: Universidad Católica de Colombia
Programa: Especialización en Auditoría de Sistemas de Información
Tiempo: 1 año
Mas Información…

Universidad: Corporación Universitaria de la Costa
Programa: Especialización en Auditoria de Sistemas de Información
Tiempo: 1 año
Mas Información…

Universidad: Universidad EAFIT
Programa: Especialización en Auditoría de Sistemas
Tiempo: 1 año
Mas Información…

Universidad: Universidad Santo Tomás
Programa: Especialización en Auditoría de Sistemas
Tiempo: 1 año
Mas Información…

Universidad: Universidad Piloto de Colombia
Programa: Postgrado en Seguridad Informática
Tiempo: 1 año
Enviado por: sp1b0t
Mas Información…

Universidad: Universidad Piloto de Colombia
Programa: Postgrado en Seguridad Informática
Tiempo: 1 año
Enviado por: sp1b0t & ingedah
Mas Información…

Si conoces otra universidad que cuente con un programa relacionado con la seguridad de la información, por favor háznolo saber por medio de un comentario, para agregarla a la lista (recuerda que solo añadiremos programas universitarios de pre o post grado, maestrías y especializaciones)

También puede interesarte...

2do Congreso Nacional de Hacking Ético (Bogotá, Colombia)

DragoN — Tue, 20 Oct 2009 05:58:39 +0000

El Grupo de Investigación en Hacking Ético y el Programa de Redes Computadores y Seguridad Informática, de la Facultad de Ingeniería de Uniminuto, invita a toda la comunidad de seguidores de la filosofía Hacker, a participar en el Segundo Congreso Nacional de Hacking Ético y Computo Forense, que tendrá lugar en el Teatro Minuto de Dios el día Sábado 07 de Noviembre de 2009, desde las 7:00 a.m. hasta las 5:00 p.m.

La Corporación Universitaria Minuto de Dios ha ofrecido un descuento considerable para que los visitantes de nuestra comunidad puedan asistir a este evento cómodamente, el costo del evento es de $70.000 para estudiantes Universitarios y $120.000 para Profesionales, pero por el solo echo de ser visitante de nuestra comunidad SOLO PAGAS $50.000 pesos.

Para obtener el descuento es necesario que realices lo siguiente:

Realiza la pre-inscripción en el evento siguiendo este enlace, cuando te pregunte por “* Universidad / Empresa”“Comunidad DragonJAR”.
Realiza el pago de los 50.000 pesos a la Cuenta de Ahorros No. 00400014699-5 del Banco Davivienda como se indica en la siguiente imagen:

Envié su consignación al Fax numero 4 831 552 (bogotá) y al correo dragonjar@gmail.com

Si aun así no tienes con que ir al congreso, no te preocupes, en la comunidad dragonjar posiblemente realicemos una rifa “relámpago” de entradas uno o 2 días antes de iniciar el evento para que estés pendiente .

Para mas informacion sobre el evento, visita la pagina oficial: www.congresohacking.com

También puede interesarte...

Entrevista con Andrés Eduardo Ormaza, sobre la ley de delitos informaticos en colombia

DragoN — Mon, 03 Aug 2009 06:54:04 +0000

Andrés Eduardo Ormaza Mejía es abogado bogotano egresado de la Universidad Santo Tomás, especialista en Derecho Penal y Criminología de la Universidad Externado de Colombia.

Su participación específica en materia de delito informático data de septiembre de 2006, en el marco del análisis coordinado en Colombia por el Ministerio de Relaciones Exteriores, con el objeto de avanzar en la implementación de la Estrategia Interamericana Integral para Combatir las Amenazas a la Seguridad Cibernética, en cuanto a la Creación de una Red Hemisférica de Equipos Nacionales de Respuesta a Incidentes de Seguridad de Computadores, en el cual se puso de presente la necesidad de adecuar la normatividad interna a los parámetros internacionales, en particular frente al denominado cybercrime.

A partir de la fecha ha integrado las mesas de trabajo interinstitucionales encargadas de estudiar el marco jurídico internacional y los avances normativos internos, entre ellos, el proyecto de ley gestado en el Congreso de la República, y que dio lugar a la aprobación de la Ley 1273 de 2009.

En la entrevista Andrés nos habla sobre la ley de delitos informáticos, habeas data y la ley 1273, ademas de resolver gran cantidad de dudas sobre estas leyes.

También puede interesarte...

OLPC y Sugar en Colombia

DragoN — Thu, 09 Jul 2009 04:05:15 +0000

Hace ya más de cuatro años que la iniciativa OLPC fue lanzada al mundo en el Foro Económico Mundial, en Davos, Suiza. Desde ese entonces muchas cosas han pasado, cambios administrativos, reenfoques, despidos y surgimiento de nuevos proyectos. En este momento para OLPC, hay más de 785,000 XO-1 en manos de niños y niñas, un nuevo prototipo en desarrollo y un futuro aparentemente incierto. Sin embargo, el espíritu original de tener una plataforma de software libre para educación, lo que inicialmente hizo que gran parte de la comunidad de software libre apoyara el proyecto, sigue en pie. Buena parte de los desarrolladores, voluntarios y seguidores del proyecto OLPC están ahora participando activamente en Sugar Labs, una fundación que tiene el fin de extender Sugar, el software creado para el XO-1, de forma que esté disponible para la mayor cantidad de computadores posible.

Incluyendo, además de los XO-1, soluciones como el XO-LiveCD y SoaS (Sugar on a Stick) y el uso de Sugar como escritorio alterno en distribuciones GNU/Linux (Ubuntu, Debian, Fedora, Gentoo, etc) Sugar ha logrado extenderse en 25 idiomas diferentes, a cerca de 40 países, donde casi un millón de niños y niñas lo usan para aprender a aprender. En Colombia hay una comunidad activa que trabaja en la divulgación, desarrollo e implementación de Sugar, que además de colaborar con los pilotos de OLPC, también ha logrado comenzar un trabajo con profesores de colegios del Distrito de Bogotá para usar Sugar como complemento en sus clases.

La charla fue trasmitida en vivo por este medio, pronto la pondremos para que la vean de nuevo los que se la perdieron…

También puede interesarte...

Transmitiendo en VIVO desde La Campus Party Colombia

DragoN — Wed, 08 Jul 2009 03:13:46 +0000

Transmisión Oficial de La Campus Party Colombia 2009

Transmisión exclusiva para La Comunidad DragonJAR gracias a convenio con la empresa cehis.net

Camara reservada para transmitir en vivo vídeo podcast de La Comunidad DragonJAR

Espero que lo disfruten…

También puede interesarte...

Seguridad Informática con Software Libre

DragoN — Fri, 03 Jul 2009 20:59:06 +0000

Esta es una charla dictada por 4v4t4r en el pasado FLISOL 2009 realizado en la ciudad de Medellin Colombia, con un gran toque de humor nos habla sobre las principales amenazas en seguridad informática y como contrarrestarlas con software libre.

Seguridad Informática con Software Libre (Flisol 2009) 1/4

Seguridad Informática con Software Libre (Flisol 2009) 2/4

Seguridad Informática con Software Libre (Flisol 2009) 3/4

Seguridad Informática con Software Libre (Flisol 2009) 4/4

También puede interesarte...

DragoN Party 2009

DragoN — Thu, 02 Jul 2009 20:49:07 +0000

La Comunidad DragonJAR quiere invitarlos a la primera DragonParty que se realizará el 10 de julio de 2009 a las 8:00 p.m. en el Tokyo Club de Bogotá (Cra. 15 # 97 – 22). Están invitadas todas la comunidades y obviamente todas aquellas personas que quieran acompañarnos, la idea es compartir, integrarnos y pasar un rato muy agradable.

El evento se realiza para integrar las comunidades informáticas del país reunidas en la Campus Party Colombia 2009, aunque cualquier persona que quiera asistir, puede hacerlo; es importante que los Campuseros (los que tienen escarapela) la presenten en la entrada y durante la compra de bebidas, lo anterior para disfrutar de los descuentos super especiales que los asistentes tendremos (pronto los estaremos publicando).

Banda invitada TrOo (descargar brochure)

La organización de DragonParty 2009 se preocupó por tener unos precios muy cómodos para los asistentes (por eso es muy importante que los campuseros presenten su escarapela).

Wisky = 80.000
Tequila = 80.000
Ron = 55.000
Aguardiente = 50.000
Heineken = 6.000
Cerveza Nacional = 3.000
Cover Por Persona = 5.000

Como pueden ver, la comunidad ha gestionado unos MUY BUENOS precios para que los campuseros disfrutemos de una excelente integración.

Los anteriores precios son solo para personas identificadas con carne o escarapela del Campus Party.

Es posible que consigamos transporte (bus – pasaje a $1.200.oo) exclusivo: Campus Party Vs. Bar y Bar Vs. Campus Party.

Aquí puedes ver algunas imágenes de las instalaciones donde se realizara el evento (Tokyo Club):

Para estar al tanto de esta y otras noticias relacionadas con La Comunidad DragonJAR, no olvides seguirnos en Twitter: