Así serán los Ciber-equipos del US Army.

La formación de equipos de trabajo dentro de cualquier área técnica suele ser un asunto crítico y de gran importancia para la obtención de los resultados deseados. Lo es por ejemplo en el ámbito de la Ciberdefensa debido a la gran cantidad de campos conocimiento y habilidades requeridas. Nos encontramos con necesidades que van desde la comprensión de alto nivel de sistemas de información usados en campos específicos como el militar o de infraestructuras críticas a habilidades de bajo nivel desde la programación de exploits, obtención de inteligencia de fuentes abiertas o el hacking de hardware. Es algo que tratamos de manera humorística, aunque no por ello menos trascendente, en una de nuestras primeras entradas ¿Cómo debe ser un Tiger Team?

Pero… ¿cómo están articulando realmente los ejércitos el reto de la formación de equipos? ¿Cuáles son los perfiles que componen una unidad militar de Ciberdefensa? Hoy lo veremos a través de cuál es el modelo de ciber-equipo que se está diseñando en el ejército de tierra norteamericano, el US Army. Aunque todavía vivimos en una fase inicial de la formulación de estas unidades, gracias a la información abierta disponible podemos hacernos una idea de hacia dónde caminan las fuerzas armadas de Norteamérica. Y la cosa no es baladí ya que estas fuerzas suelen sentar cátedra en todo lo relacionado con doctrina militar de los países OTAN.

La fuerza del U.S. Army está basada en la creación de un equipo de soldados profesionales, entrenados en especialidades desempeñando más de un centenar de  trabajos igualmente importantes y muy específicos. El papel que desempeñan viene dado por la Especialidad Profesional Militar (Military Occupational Specialty, MOS por sus siglas en inglés). El MOS se obtiene después de realizar la formación y evaluación correspondiente, cuál será el MOS de un soldado se define por sus preferencias y por la puntuación obtenida en pruebas como el ASVAB (Conjunto de Aptitud Vocacional en las Fuerzas Armadas). Los MOS son normalmente designados por un código alfanumérico que denomina la especialidad, rango asociado y otra información específica. Así un MOS 31B corresponde con un empleo de Policía Militar, mientras que un 92G seria Food Service Specialist, o lo que viene a ser lo mismo, un cocinero militar.

Como no podían ser de otra forma la integración del ámbito de Ciberdefensa ha llevado a la creación de MOS específicos, como son los 25D, 35Q y la serie 255.

35Q Cryptologic Network Warfare Specialist

Los Cryptologic Network Warfare Specialist llevan a cabo el análisis digital para establecer la identificación de objetivos y sus patrones operacionales. Responde a las necesidades en el ámbito ciber de información de inteligencia en apoyo de los oficiales al mando de operaciones. Produciendo informes y productos que permiten la toma de decisiones, soporte a operaciones militares en curso, etc.

Llegar a ser 35Q supone un curso básico militar de 10 semanas más una formación específica de 27 semanas. Ademas dada la criticidad de la información manejada requiere la obtención de una de las habilitaciones de seguridad de mas alto nivel en EEUU , la TOP SECRET SCI.


25D Cyber Network Defender

Se trata de uno de los MOS más recientes, enfocado específicamente en las acciones de defensa de red. Esta especialidad se obtiene después de un curso de 14 semanas. Las responsabilidades de un Cyber Network Defender incluyen la protección, vigilancia, detección, análisis y respuesta a las acciones de dominio del ciberespacio no autorizadas; implementación y administración de las infraestructuras de protección de redes informáticas, tales como firewalls, sistemas de detección de intrusos y demás. Los soldados también tienen la tarea de adoptar medidas para modificar los sistemas de información, configuraciones de seguridad y recoger datos para analizar los acontecimientos o advertir de ataques. Los 25D estarán capacitados para realizar evaluaciones de amenazas y vulnerabilidades en el entorno de red, realizar evaluaciones de daños a la red, y desarrollar acciones de respuesta.

Los tipos anteriores que corresponderían con los niveles básicos se verían complementados por los Cyberspace Content Technician (255A), the Cyberspace Network Management Technician (255N), Cyberspace Defense Technician (255S) y  Senior Cyberspace Network Operations Technician (255Z). Estos MOS está enfocado a su obtención por parte de los oficiales técnicos (warrant officers) , se trata de una escala de personal altamente especializado sin equivalente directo en nuestras fuerzas armadas en el que se sitúan con rangos inferiores a los oficiales de carrera pero superiores a los suboficiales.

En cuanto a la orientación de los perfiles vemos que mientras el 35Q tiene un enfoque mas ofensivo, encaminado al soporte de inteligencia, los 25D están mas enfocados a las tareas de protección de los activos propios, mientras que los ocupados por Warrant Officers (como el 255Z) se encargarían de tareas mas especializadas, o del liderazgo técnico y humano de los equipos.

Una tendencia en este tipo de calificaciones es el aprovechamiento del conocimiento civil ya existente, algunos MOS incluyen la participación de acciones formativas de entidades tales como el SANS Institute.

Como ya hemos tratado desde este blog el ámbito de Ciberdefensa tiene fuertes interconexiones con otros aspectos militares como la administración de sistema IT militares, la inteligencia o la guerra electrónica. Los perfiles indicados se completan con otros MOS de aquellos campos que van desde 25B especialista en tecnologías de la información, a los 35G oficial SIGINT y de guerra electrónica.

Es destacable que el US Army reconoce desde un principio que todos estos perfiles necesitan verse complementados por civiles. En las perspectivas de aumento de efectivos de principios de este año en el US Army Cyber Command ubicado en Fort Gordon se hablaba de 400 nuevos puestos civiles frente a la oferta de únicamente 300 militares. Es decir podría darse el caso de unidades militares que estarán formadas mayoritariamente por personal civil. Y es que el ámbito de la seguridad informática requiere en algunos casos de conocimientos técnicos profundos cuya obtención difícilmente se pueden compaginar con la vida militar. Los tiempos en el ámbito civil empresarial y militar también son distintos, por lo que supone un reto mantenerse al día en un mundo tan cambiante como el de la seguridad informática. Mientras que en otros casos por decirlo de forma diplomática el estilo de vida militar puede no encajar con el de cierto tipo de experto de seguridad informática. Por ello es imprescindible el uso tanto de la empresa privada, en forma de contratistas de defensa, o bien individualmente en forma de personal civil del departamento de defensa.

Estrategias militares en Ciberespacio II: Elegir el campo de batalla

En 490 a.C. fuerzas invasoras persas desembarcan en las cercanías de Maratón, a 32 kilómetros de Atenas. La historia habla de unos 100.000 persas, pero los historiadores cifran la cantidad de persas en 20.000-25.000 soldados. Los persas eligieron Maratón  ya que estaban lo suficientemente lejos de Atenas como para poder desembarcar de forma ordenada, además la llanura de Maratón resultaba adecuada para la caballería persa que superaba a la ateniense.

A la hora de la batalla 10.000 atenienses y 1.000 platenses se enfrentaron a un ejército  de al menos el doble de experimentados soldados. Entre un ejército y otro había apenas 1.500 metros, cuando los atenienses avanzaron rápidamente al ataque, las flechas persas pasaron por encima ya que estaban demasiado cerca, además debido a la estrechez del llano la caballería persa no pudo avanzar por los flancos como tenía previsto entorpecían las montañas por un lado y el mar por el otro. La batalla terminó con el increíble resultado de 203 muertos en el ejército atenienses (192 atenienses y 11 platenses) y 6.400 caídos persas, teniendo en cuenta que estos son datos de Heródoto un historiador griego. Al final el resultado de la batalla, exagerado o no, fue debido a una mala elección del campo de batalla por parte de los persas.

¿Puede afectar el concepto campo de Batalla a la ciberguerra? 

Como siempre hago, pensemos en una posible situación.  Un Tiger Team, diseña e implementa su nueva arma: un virus que explota una vulnerabilidad que nadie, solo ellos, conoce y que por lo tanto no está parcheada que además abre un camino para que los miembros de equipo entren en la red objetivo.

Con el mismo consiguen acceso a un servidor externo de la entidad atacada. Una vez dentro, aparecen los primeros problemas. Resulta que los sistemas internos no funcionan con sistemas operativos “estándar”, la red interna no es una red IPv4 al uso sino una red IPv6 o una red Novell (El caso de Novell lo digo por experiencia propia en el desarrollo de una auditoría de seguridad), las herramientas que tenemos preparadas para la metástasis interna no están adaptadas. Toca tomar una decisión: intentar ampliar la intrusión sacándose lo que se pueda, o una retirada estratégica esperando que no se den cuenta y poder volver en un futuro cercano.

En la situación anterior, ninguna de las opciones a tomar es buena, tanto una como con la otra existe la probabilidad de que nos detecten, además a la hora de hacer el análisis de la intrusión, puede que se detecte la vulnerabilidad 0 day que este Tiger Team tenía para introducirse en los sistemas “enemigos”.  Desde mi punto de vista, una tragedia estratégica.

En otra situación, un equipo logra entrar en un sistema, tiene acceso a preciadas bases de datos con información crítica, por ejemplo, sobre el diseño de la red eléctrica de un país (información muy importante y útil a la hora de hacer unos bombardeos convencionales por ejemplo). Los ficheros de estas bases de datos pueden ser de un gran tamaño por la cantidad de información que tienen. A la hora de hacer un downloading de esta información, la velocidad de subida del objetivo es extremadamente baja y a cuanto más tiempo dura esa transmisión de información más probabilidades de que detecten este robo de información. Esto ya ha pasado, en el siguiente link se cuenta la historia de un troyano instalado en un ordenador de la oficina de la Canciller Angela Merkel y otros sistemas de miembros del gobierno alemán, el ataque se detectó cuando el troyano enviaba 160 Gigabytes de datos a una IP de China desde un PC de un ministro Alemán.

http://www.timesonline.co.uk/tol/news/world/europe/article2332130.ece

Otras situaciones lógicas es que en ciertos puntos estratégicos, los gobiernos o empresas introduzcan en sus detectores de intrusiones alerten del tráfico con dirección IP de destino u origen China (por ejemplo), o Irán, o Francia…..

Elegir bien

¿Qué se debería de buscar (en el mundo digital) a la hora de elegir un Campo de Batalla?

- Anonimato (o no….).

- Rapidez en las maniobras.

- Aprovechamiento al máximo de las herramientas y conocimientos que se poseen.

- Indetectabilidad del ataque (o no….).

En los términos que se habla normalmente, se piensa siempre en ataques cibernéticos que se realizan desde posiciones distantes gracias a que Internet nos acerca a todos. Mi planteamiento personal es que siempre cuanto más cerca mejor, con la idea clara de que los que realizan el ataque no puedan ser descubiertos o identificados a posteriori.

Mi primera idea es que si vamos a entrar en la red de una entidad de un país extranjero, si podemos situar un equipo en ese país perfecto. Si este equipo puede tener una conexión en el mismo proveedor que el objetivo mejor (siempre con una identidad falsa, claro). En muchas ocasiones, esto incluso puede facilitar el proceso de ataque sobre el objetivo, un caso sería en el que ya que estamos en el mismo proveedor hacernos con sus routers y por lo tanto con el tráfico a Internet del objetivo. Hay que tener en cuenta que esto también agiliza la investigación del caso por parte del afectado.

Además, seamos imaginativos, que mejor que en una intrusión obtener las contraseñas de las redes inalámbricas del objetivo (si es que no se pueden piratear de por si…), esto nos permitiría desde una posición cercana más velocidad y más capacidad de penetración en su red. 

El uso de direcciones de Internet cercanas al rango del objetivo, puede hacer que el ataque pase algo más desapercibido, o al menos, el operador de turno dude un poco más en definir un tráfico extraño como un ataque. También al no usar direcciones extranjeras, permite ligeramente algo más de seguridad frente a la opción de que un detector de intrusiones salte al detectar envío de datos hacia un país extranjero.

También se ha de realizar un estudio del objetivo para ver que “terreno” nos vamos a encontrar una vez dentro de su red Interna, para ser algo ilustrativo he realizado unas pruebas con un  posible objetivo. En este caso, he elegido la ahora desgraciadamente famosa Tepco (Tokyo Electric Power COmpany), la dueña de la central nuclear de Fukushima Daiichi. Ya en situaciones normales es un claro ejemplo de posible objetivo en una situación de ciberguerra.

Todos los expertos españoles y muchos extranjeros conocen la FOCA de Informática 64, vamos a ver que nos da sobre esta compañía:

  

Si examinamos todos los resultados encontraremos nombres de usuario, rutas internas, sistemas operativos y software usado internamente. Con esta información, al menos sabemos algunas de las cosas que tenemos dentro.

Otra forma para obtener información sobre lo que nos podemos encontrar la podemos sacar de los correos electrónicos de los empleados de la compañía objetivo, en las cabeceras de estos, podemos encontrar IP internas, los diferentes SMTPs por los que ha pasado el correo antes de llegar al destinatario, software y versión de los mismos en muchos casos, además se puede extraer el cliente de correo y versión de la cabecera X-Mailer de los que se puede deducir el sistema operativo usado. Lluis Mora, uno de los grandes en España en el mundo de la seguridad informática, ya presentó en 2007 una ponencia sobre esta técnica:

https://www.blackhat.com/presentations/bh-europe-07/Mora/Presentation/bh-eu-07-mora.pdf

Existen numerosas formas de conseguir inteligencia sobre los sistemas y servicios que nos podemos encontrar  más allá de los que se muestran a Internet.

Es importante resaltar que se ha de conocer donde atacar para conseguir tu objetivo, cualquier experto en seguridad sabe que atacar, por ejemplo, la página principal de FBI de nada sirve si no es que quieres cambiar la foto de Bin Laden por la de G.W. Bush, pero si quieres obtener información de su red interna, se tendría que entrar por otros sitios… Saber la IP por la que salen o entran los correos electrónicos por ejemplo:

Un estudio además puede reflejar las diferentes tecnologías que usa una entidad para conectarse entre sus diferentes centros y/o agentes, ya que pueden plantear un campo de batalla mejor como podrían comunicaciones vía satélite, comunicaciones móviles y los dispositivos que suelen usar.

Determinar previamente y concienzudamente, que sistemas atacar y desde donde es un requisito esencial para el éxito de una misión de ciberataque y entra perfectamente en la analogía de Campo de Batalla usado en la guerra convencional.

«Caballeros, examinen este territorio con cuidado, será un campo de batalla, y ustedes jugarán un papel en él».

Napoleon Bonaparte antes de la Batalla de Austerlitz

Achtung Hacker!

Estrategias militares en Ciberespacio I: Blitzkrieg

Poca o ninguna referencia a estrategias de ciberguerra a nivel operacional (nivel intermedio y diferente de la guerra entre la estrategia militar, que considera la guerra en general, y las tácticas, que engloban a las batallas individuales. Glantz, Soviet Military Operational Art, p.10. (En inglés)). 

Desde Areópago vamos a aportar nuestro Brainstorming a este tema en una serie de artículos. En algunos casos, como en este artículo, intentaremos la adaptación de estrategias conocidas, en otros, contaremos estrategias ya seguidas en ciberconflictos conocidos, y también aportaremos ideas que espero sean influyentes. Queridos lectores, como con todos los artículos que hemos publicado sentíos libres de comentar nuestras ideas o aportar las vuestras. 

La historia bélica, demuestra que el que entiende mejor las "armas" del momento y entiende la estrategia a usar con las mismas, normalmente prevalece en la guerra. Ejemplo de estos casos son el Capitán Nelson en la batalla de Trafalgar, Alejandro Magno en Gaugamela o Napoleón manejando, este último, eficientemente la artillería gracias a la influencia de Jean Baptiste Vaquette de Gribeauval.

Blitzkrieg

Estaba yo jugando a un wargame (de mesa, Barbarossa: Kiev to Rostov) e intentando defender Rostov del avance del Eje con el ejército rojo y me puse a pensar si la guerra Blitzkrieg (Guerra Relámpago) que tanto éxito le dieron a los alemanes durante la Segunda Guerra Mundial podría aplicarse a un escenario de ciberguerra, algunas ideas se me han ocurrido.

La guerra relámpago era un nuevo y terrorífico concepto de la guerra, un golpe frontal a todo lo que se ponía por delante, siendo el general Heinz Guderian uno de sus grandes exponentes, el mismo fue el encargado de barrer a los aliados en Francia y los echaron a patadas al Canal de la Mancha durante los primeros años de la guerra. Así mismo esta estrategia aplastó en primer término al ejército rojo en la operación Barbarossa, siendo este éxito, en parte, la razón de su posterior derrota dada la sobre extensión de las líneas de suministro dado la gran cantidad de terreno avanzado en territorio soviético.

La rutina de esta estrategia consistía en mandar un avión de reconocimiento (normalmente al alba) para  situar las posiciones enemigas.

El segundo paso es un intenso bombardeo usando todo lo posible, artillería y por oleadas de Junker 87 (el famoso Stuka) con sus bombardeos en picado. El objetivo era debilitar las posiciones defensivas en un punto muy concreto.

El tercer paso son las divisiones de tanques Panzer, rodando a toda velocidad, golpeando fuerte y pasando por encima de todo lo que se ponía por delante, generalmente por una sola carretera.

Tras si llegaban los regimientos de infantería motorizada. Esta toma posiciones tras las líneas defensivas enemigas, las cuales, debido a la velocidad de penetración, no son conscientes de que están siendo rodeados. ¡Ojo! los Panzer siguen avanzando :D

El último paso es atacar las líneas defensivas desde la línea del  frente inicial, embolsando a los enemigos y venciéndolos así.

El objetivo es crear bolsas de enemigos en diferentes puntos, algunas veces a la vez en diferentes puntos.

El ataque de los Panzers sigue por la carretera tomada y ya con menos defensas la táctica de rodearlas es más sencilla, llegando a realizar en un solo ataque varias bolsas de enemigos.

Este sistema hace avanzar la línea del frente mucho en MUY poco tiempo y destroza la estrategia defensiva del enemigo. Y todo esto porque la Wehrmacht entendió en 1938 un arma, el tanque, que ya se usaba años atrás. Por ejemplo, el primer ataque blindado francés fue el 6 de Abril de 1917 en la ofensiva de Aisne, cuando el primer tanque alemán data de este mismo año, es decir, en unos principios iban muy por detrás tecnológicamente, pero a través de los años vieron la auténtica importancia de este arma y se dedicaron a desarrollar su avance tecnológico y teórico sobre su función en el campo de batalla. La clave está en la velocidad.

CiberBlitzkrieg

Si simplificamos aún más la doctrina de la guerra relámpago, podemos definir los siguientes pasos siendo así más fácil adaptarlos, como se verá estos pasos son en algunos casos tareas paralelas:

    1- Obtención de información sobre las fuerzas y situación enemigas.

    

    2- Bombardeo/Debilitamiento de las defensas.

    

    3- Un equipo realiza un ataque. Objetivos velocidad y sobre todo profundidad.

    

    4- Otro equipo sitúa posiciones tras las líneas defensivas siguiendo el camino abierto por el ataque anterior. El primer equipo prosigue con su ataque (paso 3) buscando profundidad. 

    

   5- Atacar las posiciones enemigas rodeadas. El primer equipo prosigue con su ataque (paso 3) buscando profundidad.

    

     6- Otros equipos se encargan de otros sistemas según se va profundizando.

    

Seguro que ahora está bastante claro, para un experto en redes, como aplicar esta estrategia en un ciberconflicto. No obstante, esta estrategia no es siempre la recomendada ya que produce mucho "ruido" y puede alertar a los administradores del sistema asediado rápidamente, y recordemos que es importante, la desconexión de sistemas una vez se entiende lo que ocurre se puede realizar muy muy rápido (tirar del cable), o muy rápido añadiendo reglas al firewall.

Como ya he expresado en otros artículos, en este mundo, el tanque es la vulnerabilidad/exploit 0 day (vulnerabilidad no conocida fuera del descubridor y un grupo muy cerrado, por este motivo lo normal es que no exista parche para arreglarla). Esta es el arma nos puede permitir acceder a una red enemiga y además permitir profundizar en la misma (En una red suelen existir sistemas muy similares para facilitar la gestión de los mismos).

Pensemos una situación donde esta estrategia es recomendable:

Un Tiger Team de un país consigue un 0 day para una vulnerabilidad que aún no ha sido publicada, este exploit lo han comprado en el "grey market" y por lo tanto saben que la información de esta vulnerabilidad puede llegar rápidamente a sus enemigos y estos pueden aislar sus sistemas vulnerables y aplicar reglas a sus IPS "Intrusion Prevention Systems". Además supongamos que el exploit deja rastros muy identificables en el sistema hackeado (un servicio inestable por ejemplo o existe un sistema centralizado de log donde quedan registros del ataque), en este caso, sabe que desde que entra hasta que le detecten puede pasar poco tiempo. En este caso es altamente recomendable una CiberBlitzkrieg.

Elegir el momento es clave a la hora de elegir un ataque (¡obvio!), en estos casos, se suele decir que las noches de las fiestas y fines de semana es lo mejor, claro está es seguir el horario y las costumbres del enemigo (¡obvio! x2).

Realizando el ataque, con el exploit que tiene este TT, se logra entrar en uno o varios sistemas de la red enemiga, el TT crea un "camino" de entrada sencillo para que otro TT entre en estos sistemas. Lo normal suele ser que estos sistemas pertenezcan a una DMZ. Esta es la estructura más común de una red:

La tarea del segundo TT, la metástasis por el resto de sistemas y en la elevación de privilegios si es necesario de la DMZ, además y dado la necesidad de velocidad en cada intrusión se ejecuta un programa que se encarga de recolectar ficheros claves (identificamos estos ficheros por extensión, por palabra clave dentro de ese fichero o ciertos ficheros conocidos como los de passwords ) y enviarlos a la "base de operaciones" donde son analizados por otro TT, descifrar contraseñas, obtener información que permita mejorar la profundidad en la intrusión, el análisis de inteligencia de documentos obtenidos puede hacerse en paralelo por analistas de inteligencia.

Mientras el primer TT, siguen buscando maneras de pasar al siguiente nivel, según la arquitectura normal, la red interna. Para la realización de esta tarea es posible que sea necesario extender la intrusión junto al segundo TT, pero una vez conseguida, se centrarán en abrir un camino para que otro TT (un tercer TT si es necesario) amplíen la intrusión, la redes internas suelen tener poca protección y suelen tener muchos sistemas, para esta tarea lo ideal sería un buen número de expertos.

A partir de este momento, el primer TT busca conexiones a otras redes (muy posiblemente las interesantes), aquí entramos en el bucle de intrusión en nueva red/metástasis en la misma. Tal y como lo vemos, la ciberblitzkrieg debe pasar por alto todos los sistemas de logs, da igual generar alertas, da igual dejar servicios caídos, da igual alterar la configuración de los sistemas, se trata de alcanzar los objetivos propuestos en el menor tiempo posible. El TT principal debe de ir accediendo a sistemas lo más rápido que pueda sin preocuparse de ninguna otra cosa, va poniendo puertas traseras y pasándole el acceso a los equipos que se encargan de descargar información de los mismos o de hacer lo que tengan que hacer.

Otras opciones a tener en cuenta, es introducir un equipo para evitar la desconexión (lógica), por ejemplo cambiando las contraseñas de los administradores, cerrando servicios de administración remota o metiendo reglas de firewall contra los propios administradores.

Clave es tener diferentes equipos que se dedicarán a diferentes funciones, estos equipos han de compartir información que puede facilitar la intrusión y la identificación de los sistemas más interesantes a atacar.

Como debería de ser un Tiger Team

Aficionado un servidor a las películas de robos "bien planeados", estilo Ocean Eleven, Heat o Ronin, donde existe un grupo multidisciplinar pero donde todos saben de todo aunque cada uno destaca en alguna tarea específica, siempre me ha ilusionado aplicar esa filosofía, lo reconozco algo peliculera pero no sin sentido, a un Tiger Team.

Para que no haya confusiones, como Tiger Team no me refiero a un equipo de auditoría de seguridad, estos equipos tienen objetivos diferentes, en una auditoría buscas todos los fallos de un sistema, normalmente corporativo, para documentarlos, no siempre se explotan estos fallos para conseguir acceso. Un Tiger Team es diferente, el objetivo es conseguir 'la bandera', esto puede entenderse como simplemente entrar en un sistema y mantener acceso, conseguir datos protegidos, conseguir una denegación de servicio y un largo etc. Para esto, además generalmente se tienen fuertes obstáculos y exigencias, como puede ser la falta de información, la necesidad de velocidad, o la necesidad de pasar desapercibidos. 

A mi entender un buen equipo deberían de ser al menos cuatro personas, con los roles que ahora describiré. También, expongo mi idea sobre qué recursos necesitarán a priori y que contactos externos pueden ser requeridos:

El/La geek

Esta persona debería de tener unos muy buenos conocimientos generales de programación, debe de ser capaz desde hacer un troyano simple o modificar uno complejo de Windows/Linux/MacOSX como tener un mínimo de experiencia en JAVA, JSP, PHP, ASP, C, RUBY,BASH SHELL y PERL. Esta experiencia debe de ser la suficiente como para con un libro hacer lo que tenga que hacer rápidamente, los lenguajes que he puesto no son al azar, estos le permitirán poner backdoors en casi cualquier sistema.

El rol del programador también incluiría el programar/adaptar los exploits necesarios, por esto también se le requiere un conocimiento profundo sobre la estructura interna de MS Windows. Personalmente creo la estructura y funcionamiento a bajo nivel de los sistemas operativos *nix incluido MacOSX son más fáciles de aprender en un momento de necesidad. 

También a mi manera de verlo, esta persona será la que de inicio tendría más trabajo, pero con el paso del tiempo y de los "casos" debería de tener una biblioteca de código y unos conocimientos adquiridos bastantes fuertes que le permita hacer su trabajo de forma más veloz y llevadera.

Una persona de protocolo

Esta es una persona que debe de manejarse bien entre diferentes protocolos, desde una capa 2 hasta la más alta, y ¡ojo! esto lo digo porque no me refiero solo a  protocolos IP sino también a otros como puede ser X.25, DVB, Bluetooth, SSL,... lo dicho, todas las capas. Y como es imposible saberse todos los protocolos, debe de tener una importante capacidad de análisis para poder investigar capturas de tráfico de protocolos desconocidos y también de leer con soltura los diferentes estándares como RFCs, ETSI, IEEE (de verdad, algunos son un infierno).

Debe de ser capaz desde hacer hijackings, spoofings y sniffings hasta configurar en elementos de red una backroute. También ha de ser capaz de implementar los ataques, que han diseñado sus compañeros, usando diferentes técnicas de evasión de IDS. 

Esta persona debe de trabajar estrechamente junto con el geek.

Cables

Aquí entramos en el más bajo nivel. ¡Qué bien nos vendría alguien que nos hiciera un arduino que esnifara un teclado por HW! ¡Qué bien estaría una persona que saque el firmware de un AP y le pusiera una backdoor programándola en ensamblador de ARM! Y si esta persona extrae los datos de cualquier memoria flash de cualquier dispositivo ¡tope! XD. Puede tener que troyanizar una impresora o fotocopiadora....

Le será necesario conocimientos de ensamblador x86, MIPS y ARM, así como el manejo de herramientas de desensamblado y debugging, cross compiling y manejo ágil del soldador.

El/La guap@

Una persona que se gane a la gente fácilmente es esencial en este campo (ingeniería social), existen diferentes formas de hacer esto, por teléfono, con un email correctamente escrito, con una web simulando ser una empresa... Esto incluye incluso hacer de comunity manager, creando falsos perfiles de diferentes profesionales y empresas que pueden ser necesarias en un futuro (Linkedin, Wikipedia, facebook, tuenti, twitter...). 

 ( La comunidad de Murcia ya hizo esto es el caso de Vladimir Karabatic para engañar a la prensa [link] )

  

He expresado las tareas un poco diferenciadas, pues luego hay otras tareas comunes, como vigilancias o buscar nuevas vulnerabilidades, estas serán una de las armas más importantes. Lo he dicho muchas veces, y no me cansaré, en este mundo quien tiene un 0 day para algún tipo de tecnología de uso común (IE, Firefox, pdf, ms office,...) tiene un puto tomahawk.

También ha de quedar claro, que estos son, a mi ver, los roles principales, pero de ningún modo los únicos. Soporte externo es esencial, desarrollo de plataformas para la gestión de información, empresas y organizaciones externas que aporte información sobre nuevas vulnerabilidades (por ejemplo CERTs). Aparte  de contactos técnicos para resolver posibles dudas. El evidente OSINT es esencial (OSINT), y el usar sistemas online para crackear cifrados. 

Las necesidades técnicas también son fuertes, debemos tener nuestras propias rainbowtables NTLM y A5/1, esto es mucho espacio de disco duro. Distintas maquinas de distintas arquitecturas con diferentes sistemas operativos que no son inicialmente virtualizables es lo ideal. Imaginemos que se consigue la intrusión en un sistemas antiguo como puede ser un TRU64, este por defecto no lleva compilador de C, ¿como conseguimos un binario que explote una vulnerabilidad en el mismo? Pues o conseguimos que nos dejen uno (hace unos 6/7 años te dejaban shells gratuitas en este tipo de sistemas para probarlos  con compilador ;) o tenemos un HP donde lo podemos instalar (si es que conseguimos el software)... Otro caso posible, es nuestro nuevo troyano superdelamuertestealth, funciona en WinXP SP3 y en Windows 7 32bits, pero evidentemente habrá que probarlo en Vista, Win 7 64 bits, Win XP SP2... Y como último ejemplo, puede ser una nueva supervulnerabilidad de pdf, afecta a Adobe Reader, hacemos el exploit que necesita unas direcciones de memoria muy exactas igualmente habrá que probar en todos los Windows a ver si encontramos alguna dirección de memoria común o al menos la de cada SO, y por supuesto habrá que probar si el Adobe reader de MacOS es también vulnerable... Creo que con estos ejemplos está suficientemente explicado.

Y por último movilidad, no penséis que un Tiger Team hace todos sus ataques por internet, existen otros ataques que exigen cercanía al objetivo, como por ejemplo intentar crackear su red wifi, o fingir que un vulgar ladrón ha robado un portátil. Tampoco tenéis que pensar que los ataques son solo a ordenadores, se pueden intentar ataques a smartphones tanto de forma remota como cercana bluetooth, aplicaciones troyanas, ingeniería social e incluso sustrayéndolo por breve espacio de tiempo. 

Un posible escenario de actuación de un Tiger Team: Egipto hace 2 semanas. Una organización quiere influenciar en los recientes acontecimientos en Egipto, y para eso manda su Tiger Team allí. El/la guap@ y el/la geek se encargan de hacer un perfil en Internet de un estudiante de ciencias políticas, por ejemplo de la Universidad de Marruecos, pero de origen Egipcio. Este, impresionado por el movimiento se ha vuelto a su país, además es un activo usuario de twitter y actualiza asiduamente su Facebook. Se agrega a todos los grupos de esta red social y publica asiduamente (el texto no lo redacta nuestro TT sino unos especialistas en mundo árabe y en Egipto concretamente), además con el hastag #Egypt también hace gran cantidad de comentarios, dando importante información de los acontecimientos.  Cuando Internet es cortada, nuestra persona de protocolo y cables, montan varias conexiónes a Internet por satélite con el Eutelsat W3A que tiene cobertura en Egipto, configuran varias lineas de modem locales y puntos wifi en los principales sitios. Se extiende el rumor de que existen en ciertos puntos wifis por los que salir a Internet, se asegura además, que estos rumores llegan a las principales figuras del movimiento (por ejemplo el famoso directivo de google).  Se configura en estas redes preferencia de tráfico a facebook y twitter, también al tráfico de correo (enviar y recibir).  ¿Que le permite esto hacer al TT?  1) Tener un personaje activo en las redes sociales que tanto han influido.  2) Dando Internet proveemos accesibilidad para que la gente lea lo que este personaje 'aporte' al movimiento.   3) Por si acaso no consiguen una voz importante, podemos monitorizar las conexiones de Internet que hemos instalado en sitios estratégicos. Así un analista puede extraer inteligencia de los que por las mismas se dice. Tanto de un bando como de otro.  4) Si consigue que gente relevante use sus redes, posiblemente sean capaces de conseguir acceso a sus cuentas, controlándolas y pudiendo secuestrarlas si lo estiman necesario. Ciertos aspectos a tener en cuenta: ¿Enviar gente a una zona de conflicto? Bueno, he considerado Egipto ya que ha sido una revolución mayoritariamente pacífica, excepto algunos tristes altercados. En ningún momento se ha dado la impresión de golpe de estado o guerra civil. ¿Existe riesgo de que apresen  al Tiger Team? En este caso, al contrario que en El Aaiún, no han existido importantes restricciones al movimiento. El equipo puede dejar todo preparado y alejarse de las zonas para controlar el tráfico remotamente. Si acaso, el proceso de distribuir el rumor de donde se provee de  internet entre los diferentes grupos es lo más peligroso. ¿Por qué Eutelsat W3A y no Inmarsat? Se me ocurren varias razones, como puede ser no es muy sospechoso una parabólica apuntando al cielo, el precio y la velocidad, el teléfono de Inmarsat es bastante más pequeño y pasa desapercibido pero el precio es bastante más alto y la velocidad es menor. Pensad que esto lo puede hacer cualquiera, desde una empresa con intereses, al gobierno egipcio o uno extranjero con diferentes objetivos.

En resumen, un Tiger Team es a mi ver un pequeño grupo con recursos propios y externos, cuya función va más lejos que el meramente "entrar en ordenadores". Dado el pequeño tamaño de este grupo, se pueden tener varios de estos, los cuales compartirán algunos recursos e información.