“Los nuevos retos y dificultades jurídico-tecnológicos frente a las ciberamenazas del S. XXI ”

D. Juan de Dios Meseguer González Militar de Carrera. Abogado en ejercicio. Especialidad: Delitos informáticos.

Tesis doctoral en Ciberseguridad en el Ciberespacio

SOBRE EL AUTOR

¿Cuál es el planteamiento inicial que motiva esta ponencia?

1.-Amenazas que atentan a la sociedad y a las Fuerzas Armadas.

2.-Enemigo virtual, ciber-asimétrico, no visible o fácil de detectar. 3.-La ciber-amenaza nos rodea y convivimos con ella diariamente.

4.-La prevención y respuesta frente a las nuevas ciber-amenazas, exige una metodología y un tratamiento normativo en ciber seguridad adaptado a los avances tecnológicos.

Las posibles soluciones deben ser supervisadas desde: …pero implementadas in situ por las distintas infraestructuras…

INDICE ¿Qué interesa destacar?

-INTRODUCCIÓN.

-La Ciber-seguridad como concepto.

-La CIBER-GUERRA como una nueva modalidad de conflicto internacional.

-Análisis de las Principales amenazas: Geolocalización: google maps, GPS, facebook, twitter, teléfonos inteligentes...

-Medios de propagación.

-¿Cómo debería ser Internet?

-Reflexiones y CONCLUSIONES.

INTRODUCCIÓN

En un mundo como el actual, plenamente dependiente de las nuevas tecnologías, se hace preciso, previamente, tomar conciencia de toda una variada gama de amenazas que atentan tanto a la seguridad de las infraestructuras de un país como a las unidades militares (eficacia de las misiones que tienen encomendadas en un escenario tanto nacional como internacional).

Las amenazas o más propiamente las ciber-amenazas procedentes del ciberespacio, se presentan, como un variado e innovador tipo de figuras que ya no nos son desconocidas y que responden a los términos de virus, troyanos, programas maliciosos (malware), etc, cuyo modus operandi individualizado consiste en atentar constantemente “desde el lado virtual y no visible de la red” a la seguridad de las personas y de las infraestructuras.

¿Qué debe entenderse por Ciber-seguridad?

-De manera general: -Lo que garantice la ausencia de amenazas que atentan a las TIC.

-De manera particular: -Lo que permita evitar injerencias en los protocolos de los sistemas informáticos y de sus redes.

-Lo que impida que las vulnerabilidades sean aprovechadas para atentar a los derechos de los ciudadanos.

-Lo que asegure la estabilidad y buen funcionamiento de las infraestructuras sociales y militares.

www.despacho-sagasta47-abogados.es

Como señala Camacho Losa: “En todas las facetas de la actividad humana existen el engaño, las manipulaciones, la codicia, el ansia de venganza, el fraude, en definitiva, el delito. Desgraciadamente es algo consustancial al ser humano y así se puede constatar a lo largo de la historia.” La preparación en Seguridad por parte de los Estados debe estar encaminada a una formación, que permita obtener unos resultados óptimos, con un personal cualificado y una tecnología, adaptada a las nuevas realidades tecnológicas.

Los riesgos, en términos de seguridad, se caracterizan por lo general mediante la siguiente ecuación:

RIESGO = (AMENAZA * VULNERABILIDAD) / CONTRAMEDIDA

La amenaza representa el tipo de acción que tiende a ser dañina, mientras que la vulnerabilidad (conocida a veces como falencias ((flaws) o brechas (breaches)) representa el grado de exposición a las amenazas en un contexto particular. Finalmente, la contramedida representa todas las acciones que se implementan para prevenir la amenaza.

Las contramedidas que deben implementarse no sólo son soluciones técnicas, sino también reflejan la capacitación y la toma de conciencia por parte del usuario, además de reglas claramente definidas.

www.despacho-sagasta47-abogados.es

INFRAESTRUCTURAS CIVILES Y MILITARES AFECTADAS

PROCEDENCIA DE LAS CIBER-AMENAZAS www.despacho-sagasta47-abogados.es

CONCRETANDO LAS INFRAESTRUCTURAS AFECTADAS

www.despacho-sagasta47-abogados.es

CIBERGUERRA

Según los expertos informáticos, y lo que podemos deducir a la vista de la realidad actual, se van a ir desarrollando progresiva y periódicamente, conflictos que se iniciarán en la Red informática, pero con repercusiones en la Sociedad civil y que también afectarán a la capacidad de respuesta de los ejércitos estatales que no estén preparados para hacer frente a un ciberataque en el CIBERESPACIO…

En los conflictos tradicionales normales, existen fronteras y límites, mientras que en el ciberespacio no. Para realizar un ciberataque no es necesario desplazarse, moverse o tener que pasar una frontera.

Esta es una de las principales características de este tipo de fenómeno. El ciberespacio es un ambiente único, sin fronteras geográficas, anónimo, asimétrico y puede ser fácilmente clandestino. Favorece, por tanto los conflictos que se pronostican…

El grado de conocimiento que necesita un atacante para realizar una agresión a los sistemas de información ha decrecido a lo largo del tiempo debido al espectacular aumento de la calidad, cantidad y disponibilidad de herramientas ofensivas.

Actualmente, es relativamente fácil encontrar en Internet multitud de herramientas de hacking que se intercambian en los diferentes foros dedicados a esta materia.

La OTAN ha definido la

CIBERDEFENSA

como: "la aplicación de medidas de seguridad para proteger las infraestructuras de los sistemas de comunicaciones frente a los ciberataques" información y (MC0571 - NATO Cyber Defence Concept).

A este esfuerzo de ciberseguridad contribuye también el Mando de Ciberdefensa de las Fuerzas Armadas españolas, cuya creación se anunció según la Orden Ministerial 10/2013, de 19 de febrero, por la que se crea el Mando Conjunto de Ciberdefensa de las Fuerzas Armadas , BOD Nº 40, de 26 de febrero de 2013, que debería dar respuesta a las tres necesidades "fundamentales" que las Fuerzas Armadas tienen en esta materia: especialización, dedicación exclusiva y permanencia.

¿Realidad o ciencia ficción?

http://map.ipviking.com/ http://cybermap.kaspersky.com/

La compañía Kaspersky ha asegurado a la BBC, que desde 2007 se han estado robando documentos confidenciales de instituciones gubernamentales, como embajadas o centros de investigación nuclear, debido a un complejo ciberataque.

Como han explicado los investigadores rusos, "el objetivo principal del virus eran los países de Europa del Este, la antigua URSS, y naciones de Asia central, aunque se pueden encontrar afectados en todas partes, incluida Europa Occidental y Norteamérica".

Durante el mes de marzo de 2012 , se llevó a cabo un ejercicio militar internacional bajo el nombre de operación Locked Shields (escudos cerrados) en la que no se oyeron explosiones, no hubo balas, ni carros de combate, aviones o pinturas de camuflaje.

De hecho, las tropas raramente abandonaron la sala de control en una base militar de alta seguridad en Estonia; el centro de defensa cibernética de la OTAN.

Esta gente representa a un nuevo tipo de guerrero: el ciber soldado. Debemos hablar, como así se ha denominado a nivel virtual, de “la I Guerra de Internet”.

Es lo que se conoce como Joint Functional Component Command for Network Warfare (JFCCNW), un cuerpo que reúne personal de la CIA, FBI, Agencia Nacional de Seguridad, miembros de los cuatro ejércitos e incluso civiles y militares de los países aliados de EEUU…

El ejercicio funcionó de la siguiente manera: un equipo de ingenieros informáticos fueron instruidos para atacar a otros nueve equipos situados en distintos puntos alrededor de Europa.

Para hacerlo, desde sus terminales “cocinaron” todo tipo de virus, gusanos y troyanos, entre otros tipos de ataques, para secuestrar y robar datos de las computadoras de sus enemigos ficticios.

La idea era aprender valiosas lecciones sobre cómo afrontar este tipo de ataques contra instalaciones militares y comerciales.

La “ciberguerra”, incluyendo ataques, explotación y defensa de las redes, no es un nuevo desafío para la seguridad nacional en EE.UU.

La guerra cibernética ya hacía furor a finales de los años 90, pero se desvaneció desde el 11-S y con el terrorismo islámico.

Ese interés de EE.UU. se debía a que concebía la guerra moderna cada vez más dependiente de ordenadores avanzados y a que ningún ejército de otro país dependía tanto de la era de la información como el de Estados Unidos.

En EE.UU, se ha creado el Comando Cibernético del Pentágono, contando con 13 unidades especiales de programadores y expertos informáticos para desarrollar contraofensivas en países extranjeros en el caso de que las principales redes informáticas de este país se vieran atacadas.

El último ciberataque de cierta magnitud registrado: Considerando que un ataque informático puede infectar con virus, provocar caídas de los sistemas, corromper datos, recoger inteligencia y diseminar información falsa, interfiriendo de manera efectiva en el mando y control, las comunicaciones, la inteligencia, la navegación, la logística y las operaciones.

No es de extrañar, que ese poder ascendente que es China se tome en serio la “ciberguerra” y esté desarrollando armas, incluyendo el llamado Shashou jian (incapacitar de un golpe) que le permitirá equilibrar la superioridad militar de Estados Unidos atacando sus “puntos débiles”.

Figura 1.

Relación entre el coste y el efecto en la disponibilidad de emplear unidades militares cibernéticas.

Figura 2.

Nuevos riesgos y vulnerabilidades

.

Los ciber-atacantes más sofisticados podrían hacer cosas como: descarrilar trenes por todo el país, desviar aviones de su ruta, contaminación de depósitos de agua, etc.

Pueden ocasionar apagones, no sólo desconectando la electricidad sino dañando permanentemente los generadores, lo que llevaría meses reparar.

Podrían hacer explotar tuberías de petróleo o gas. Podrían derribar aviones, interceptar las comunicaciones y la posición de las unidades militares...

Análisis de las Principales amenazas “desde dispositivos informáticos y/o móviles”

www.despacho-sagasta47-abogados.es

www.despacho-sagasta47-abogados.es

Análisis de las Principales amenazas: Geolocalización: google maps, GPS, facebook, twitter, teléfonos inteligentes...

a.

Contraseñas : archivo no cifrado.

b. Cifrado de la información : base de datos cifrada, tiene una ser conocida por terceros contraseña que puede c. Virus : Si se utiliza una app extraoficial se pueden almacenar archivos de cualquier tipo: virus, worms, troyanos, spyware, rootkits, entre otros. Lo que conlleva un grave riesgo para la seguridad de la información.

WhatsApp no garantiza la seguridad de la información y se han detectado vulnerabilidades técnicas que suponen un grave riesgo para la seguridad de los datos.

Cualquier persona puede leer tus conversaciones de WhatsApp . Lo revela un análisis exhaustivo de protocolo, sistema de seguridad y métodos usados por la compañía para enviar y recibir mensajes.

https://blog.thijsalkema.de/blog/2013/10/08/pi ercing-through-whatsapp-s-encryption/

¿Que es un APT?

(Amenaza Persistente Avanzada)

Realidades:

¿Como son?

• Los ataques APT pueden romper la seguridad de una empresa aunque esta haya sido diseñada en seguridad desde el diseño por medio de muchos vectores: Infección a través de malware en Internet (Drive-by-Download).

Ingreso de malware físicamente.

Explotación desde el exterior.

¿Quienes son?

(APT vs Hackers)

• Denominados “atacantes”, no hackers. Son profesionales organizados, muchas veces financiados por estructuras estatales o organizaciones / empresas con mucho poder.

• Su motivación, técnicas y tenacidad son diferentes.

• Aunque su motivación parezca familiar (robar datos), los ataques APT son diferentes...el TARGET es diferente.

• También establecen un medio para volver a la víctima, para robar datos adicionales y para permanecer ocultos en su red sin ser detectados por la víctima.

Objetivos del APT

Políticos Económicos Técnicos -Militares

Los APTs con capaces de comprometer la seguridad de cualquier objetivo que se fijen. Las medidas de seguridad convencionales son en 95% de casos inútiles frente a estos ataques.

EJEMPLOS

CASO Stuxnet: Unidos e Israel.

Investigadores de la empresa de productos antivirus “Symantec” han revelado nueva información sobre el virus Stuxnet, un gusano que se hizo famoso por sabotear una planta de enriquecimiento de uranio en 2009, y que fue fabricado como arma de ciberguerra por Estados Se asociaron para bloquear el plan nuclear de Irán, y que a finalmente lo consiguieron paralizando el proyecto un año y medio.

Operation Shady Rat: un APT dirigido a instituciones de los gobiernos, la defensa y empresas de tecnología punta: Yahoo, Nokia, Symantec, GE, SAP, Siemens, Daewoo, Cisco etc.

MALWARE =

MALICIOUS SOFTWARE Ransomware

Definición: Tipo de software que se dedica a la extorción de dinero: - Mensaje de Guardia Civil - software pirateado - Mensaje de Policia Nacional – pornografía infantil - Mensaje de RIAA – contenido descargado ilegal

¿Cómo debería ser Internet del futuro?

www.despacho-sagasta47-abogados.es

Análisis

: En la fase de análisis se determina los componentes del sistema que requieren protección, las vulnerabilidades que lo debilitan y las amenazas que lo ponen en peligro, con el objetivo de revelar su grado de riesgo. Por lo tanto al identificar las vulnerabilidades y las amenazas del sistema, permitirá conocer los riesgos potenciales que atentan la seguridad del sistema.

Clasificación

: En la fase de Clasificación se determina si los riesgos encontrados y los riesgos restantes son aceptables.

Reducción

: En la fase de Reducción se define e implementa las medidas de protección y de igual forma se sensibiliza y capacita a los usuarios conforme a las necesidades.

Control

: En la fase de Control se analiza el funcionamiento, la efectividad y el cumplimiento de las medidas y si es el caso ajustarlas.

www.despacho-sagasta47-abogados.es

MECANISMOS DE SEGURIDAD AUSENTES

Preventivos: Los mecanismos preventivos actúan antes de que se produzca un ataque, su misión principal es evitar el ataque.

Detectores: Los mecanismos detectores actúan cuando el ataque se ha efectuado y antes de que éste cause daños en el sistema.

Correctores: Los mecanismos correctores actúan después de que se ha presentado un ataque y se haya producido daños. Su principal objetivo es el de corregir las consecuencias del daño.

MECANISMOS DE SEGURIDAD AUSENTES

Preventivos: Los mecanismos preventivos actúan antes de que se produzca un ataque, su misión principal es evitar el ataque.

Detectores: Los mecanismos detectores actúan cuando el ataque se ha efectuado y antes de que éste cause daños en el sistema.

Correctores: Los mecanismos correctores actúan después de que se ha presentado un ataque y se haya producido daños. Su principal objetivo es el de corregir las consecuencias del daño.

Lo que el modelo español debería contemplar

CONCLUSIONES

• Se precisa mejorar el conocimiento de ciber-situación.

• Mejorar las capacidades de detección y análisis en ciber-amenazas.

• Mejorar los canales de comunicación entre los diferentes actores involucrados en la Ciberseguridad Nacional.

• Mejorar la resiliencia y seguridad del ciberespacio nacional.

• Fortalecer el marco jurídico nacional e internacional en materia de ciber-crimen.

• Mejorar la concienciación, educación, formación y desarrollo profesional en materia de ciberseguridad.

• Fomentar programas de I+D+i en materia de ciberseguridad.

• Apoyar la competitividad del sector privado en materia de ciberseguridad.

• Fomentar la cooperación internacional.

• Mejorar y ampliar la red de sensores de alerta temprana.

• Mejorar las capacidades de monitorización.

• Mejorar las capacidades de análisis de vulnerabilidades.

• Mejorar las capacidades de resolución de incidencias cibernéticas.

Agentes que provocan las principales amenazas y nos hacen vulnerables:

• • • •

Ciberespionaje a través de la red informática.

Ciberataques que intercepten las telecomunicaciones: virus, troyanos… Geolocalización (teléfonos inteligentes) y drones.

Objetivos: Anular el sistema de mando y control de las unidades, impidiendo que las órdenes del mando (datos y/o fonía) no lleguen a ejecutarse, generando descontrol o confusión, impidiendo la contrabatería y la localización de las unidades.

¿Cómo? A través de: -1.Código dañino o malicioso.

-2.Phishing (suplantación de identidad), DoD (ataque de denegación de servicio).

-3.Redes sociales a través de Telefonía móvil.

Datos curiosos desvelados por la NSA

GRACIAS

BIBLIOGRAFÍA:

-Tesis Doctoral sobre Análisis, Tratamiento y respuesta científico-legal en defensa de los Derechos fundamentales afectados por las amenazas procedentes del ciberespacio (autor: Juan de Dios Meseguer González-JUNIO 2014).

-Cátedra UDIMA-ANTPJI sobre Ciberdelitos y Ciberseguridad. www.antpji.com

-Basado en el artículo: La respuesta para hacer frente de manera efectiva a las ciberamenazas futuras exige una ruptura con el esquema de ciberseguridad actual.(autor Juan de Dios Meseguer González-Julio 2014).

-CESEDEN: Ciberespacio nuevo escenario de confrontación.

http://publicaciones.defensa.gob.es/pprevistas/fd69966b-fb63-65ab-9bdd-ff0000451707/index.html#/62/ http://www.defensa.gob.es/Galerias/politica/armamento-material/ficheros/DGM-nuevo-sistema-planeamiento.pdf