Achtung Hacker!

Estrategias militares en Ciberespacio I: Blitzkrieg

Poca o ninguna referencia a estrategias de ciberguerra a nivel operacional (nivel intermedio y diferente de la guerra entre la estrategia militar, que considera la guerra en general, y las tácticas, que engloban a las batallas individuales. Glantz, Soviet Military Operational Art, p.10. (En inglés)). 

Desde Areópago vamos a aportar nuestro Brainstorming a este tema en una serie de artículos. En algunos casos, como en este artículo, intentaremos la adaptación de estrategias conocidas, en otros, contaremos estrategias ya seguidas en ciberconflictos conocidos, y también aportaremos ideas que espero sean influyentes. Queridos lectores, como con todos los artículos que hemos publicado sentíos libres de comentar nuestras ideas o aportar las vuestras. 

La historia bélica, demuestra que el que entiende mejor las "armas" del momento y entiende la estrategia a usar con las mismas, normalmente prevalece en la guerra. Ejemplo de estos casos son el Capitán Nelson en la batalla de Trafalgar, Alejandro Magno en Gaugamela o Napoleón manejando, este último, eficientemente la artillería gracias a la influencia de Jean Baptiste Vaquette de Gribeauval.

Blitzkrieg

Estaba yo jugando a un wargame (de mesa, Barbarossa: Kiev to Rostov) e intentando defender Rostov del avance del Eje con el ejército rojo y me puse a pensar si la guerra Blitzkrieg (Guerra Relámpago) que tanto éxito le dieron a los alemanes durante la Segunda Guerra Mundial podría aplicarse a un escenario de ciberguerra, algunas ideas se me han ocurrido.

La guerra relámpago era un nuevo y terrorífico concepto de la guerra, un golpe frontal a todo lo que se ponía por delante, siendo el general Heinz Guderian uno de sus grandes exponentes, el mismo fue el encargado de barrer a los aliados en Francia y los echaron a patadas al Canal de la Mancha durante los primeros años de la guerra. Así mismo esta estrategia aplastó en primer término al ejército rojo en la operación Barbarossa, siendo este éxito, en parte, la razón de su posterior derrota dada la sobre extensión de las líneas de suministro dado la gran cantidad de terreno avanzado en territorio soviético.

La rutina de esta estrategia consistía en mandar un avión de reconocimiento (normalmente al alba) para  situar las posiciones enemigas.

El segundo paso es un intenso bombardeo usando todo lo posible, artillería y por oleadas de Junker 87 (el famoso Stuka) con sus bombardeos en picado. El objetivo era debilitar las posiciones defensivas en un punto muy concreto.

El tercer paso son las divisiones de tanques Panzer, rodando a toda velocidad, golpeando fuerte y pasando por encima de todo lo que se ponía por delante, generalmente por una sola carretera.

Tras si llegaban los regimientos de infantería motorizada. Esta toma posiciones tras las líneas defensivas enemigas, las cuales, debido a la velocidad de penetración, no son conscientes de que están siendo rodeados. ¡Ojo! los Panzer siguen avanzando :D

El último paso es atacar las líneas defensivas desde la línea del  frente inicial, embolsando a los enemigos y venciéndolos así.

El objetivo es crear bolsas de enemigos en diferentes puntos, algunas veces a la vez en diferentes puntos.

El ataque de los Panzers sigue por la carretera tomada y ya con menos defensas la táctica de rodearlas es más sencilla, llegando a realizar en un solo ataque varias bolsas de enemigos.

Este sistema hace avanzar la línea del frente mucho en MUY poco tiempo y destroza la estrategia defensiva del enemigo. Y todo esto porque la Wehrmacht entendió en 1938 un arma, el tanque, que ya se usaba años atrás. Por ejemplo, el primer ataque blindado francés fue el 6 de Abril de 1917 en la ofensiva de Aisne, cuando el primer tanque alemán data de este mismo año, es decir, en unos principios iban muy por detrás tecnológicamente, pero a través de los años vieron la auténtica importancia de este arma y se dedicaron a desarrollar su avance tecnológico y teórico sobre su función en el campo de batalla. La clave está en la velocidad.

CiberBlitzkrieg

Si simplificamos aún más la doctrina de la guerra relámpago, podemos definir los siguientes pasos siendo así más fácil adaptarlos, como se verá estos pasos son en algunos casos tareas paralelas:

    1- Obtención de información sobre las fuerzas y situación enemigas.

    

    2- Bombardeo/Debilitamiento de las defensas.

    

    3- Un equipo realiza un ataque. Objetivos velocidad y sobre todo profundidad.

    

    4- Otro equipo sitúa posiciones tras las líneas defensivas siguiendo el camino abierto por el ataque anterior. El primer equipo prosigue con su ataque (paso 3) buscando profundidad. 

    

   5- Atacar las posiciones enemigas rodeadas. El primer equipo prosigue con su ataque (paso 3) buscando profundidad.

    

     6- Otros equipos se encargan de otros sistemas según se va profundizando.

    

Seguro que ahora está bastante claro, para un experto en redes, como aplicar esta estrategia en un ciberconflicto. No obstante, esta estrategia no es siempre la recomendada ya que produce mucho "ruido" y puede alertar a los administradores del sistema asediado rápidamente, y recordemos que es importante, la desconexión de sistemas una vez se entiende lo que ocurre se puede realizar muy muy rápido (tirar del cable), o muy rápido añadiendo reglas al firewall.

Como ya he expresado en otros artículos, en este mundo, el tanque es la vulnerabilidad/exploit 0 day (vulnerabilidad no conocida fuera del descubridor y un grupo muy cerrado, por este motivo lo normal es que no exista parche para arreglarla). Esta es el arma nos puede permitir acceder a una red enemiga y además permitir profundizar en la misma (En una red suelen existir sistemas muy similares para facilitar la gestión de los mismos).

Pensemos una situación donde esta estrategia es recomendable:

Un Tiger Team de un país consigue un 0 day para una vulnerabilidad que aún no ha sido publicada, este exploit lo han comprado en el "grey market" y por lo tanto saben que la información de esta vulnerabilidad puede llegar rápidamente a sus enemigos y estos pueden aislar sus sistemas vulnerables y aplicar reglas a sus IPS "Intrusion Prevention Systems". Además supongamos que el exploit deja rastros muy identificables en el sistema hackeado (un servicio inestable por ejemplo o existe un sistema centralizado de log donde quedan registros del ataque), en este caso, sabe que desde que entra hasta que le detecten puede pasar poco tiempo. En este caso es altamente recomendable una CiberBlitzkrieg.

Elegir el momento es clave a la hora de elegir un ataque (¡obvio!), en estos casos, se suele decir que las noches de las fiestas y fines de semana es lo mejor, claro está es seguir el horario y las costumbres del enemigo (¡obvio! x2).

Realizando el ataque, con el exploit que tiene este TT, se logra entrar en uno o varios sistemas de la red enemiga, el TT crea un "camino" de entrada sencillo para que otro TT entre en estos sistemas. Lo normal suele ser que estos sistemas pertenezcan a una DMZ. Esta es la estructura más común de una red:

La tarea del segundo TT, la metástasis por el resto de sistemas y en la elevación de privilegios si es necesario de la DMZ, además y dado la necesidad de velocidad en cada intrusión se ejecuta un programa que se encarga de recolectar ficheros claves (identificamos estos ficheros por extensión, por palabra clave dentro de ese fichero o ciertos ficheros conocidos como los de passwords ) y enviarlos a la "base de operaciones" donde son analizados por otro TT, descifrar contraseñas, obtener información que permita mejorar la profundidad en la intrusión, el análisis de inteligencia de documentos obtenidos puede hacerse en paralelo por analistas de inteligencia.

Mientras el primer TT, siguen buscando maneras de pasar al siguiente nivel, según la arquitectura normal, la red interna. Para la realización de esta tarea es posible que sea necesario extender la intrusión junto al segundo TT, pero una vez conseguida, se centrarán en abrir un camino para que otro TT (un tercer TT si es necesario) amplíen la intrusión, la redes internas suelen tener poca protección y suelen tener muchos sistemas, para esta tarea lo ideal sería un buen número de expertos.

A partir de este momento, el primer TT busca conexiones a otras redes (muy posiblemente las interesantes), aquí entramos en el bucle de intrusión en nueva red/metástasis en la misma. Tal y como lo vemos, la ciberblitzkrieg debe pasar por alto todos los sistemas de logs, da igual generar alertas, da igual dejar servicios caídos, da igual alterar la configuración de los sistemas, se trata de alcanzar los objetivos propuestos en el menor tiempo posible. El TT principal debe de ir accediendo a sistemas lo más rápido que pueda sin preocuparse de ninguna otra cosa, va poniendo puertas traseras y pasándole el acceso a los equipos que se encargan de descargar información de los mismos o de hacer lo que tengan que hacer.

Otras opciones a tener en cuenta, es introducir un equipo para evitar la desconexión (lógica), por ejemplo cambiando las contraseñas de los administradores, cerrando servicios de administración remota o metiendo reglas de firewall contra los propios administradores.

Clave es tener diferentes equipos que se dedicarán a diferentes funciones, estos equipos han de compartir información que puede facilitar la intrusión y la identificación de los sistemas más interesantes a atacar.

¿Es posible un tratado en ciberguerra Internacional?

En la “guerra convencional”, encontramos acuerdos internacionales como el Convenio de Ginebra, el Tratado de no proliferación de armas nucleares, la Convención sobre la prohibición del desarrollo, la producción y el almacenamiento de armas bacteriológica, la Convención sobre prohibiciones o restricciones del empleo de ciertas armas convencionales…

Todas estas convenciones internacionales se basan en algo primordial: la identificación casi inequívoca de los autores/responsables. Los países están sometidos a inspecciones (más o menos amplias) y vigilancia tanto interna como externa, de manera que no puedan eludir su responsabilidad ante ciertas acciones realizadas dentro de sus fronteras.

¿Es posible un tratado internacional en el campo de ‘la guerra en el Ciberespacio’?

En el caso de la Ciberguerra, ¿Qué distingue las acciones de un país de las de otro? Usar la ubicación de direcciones IP para atribuir una acción no es realmente viable, sólo es un leve indicio. Para la cuestión de la atribución, podemos contar con otras posibilidades: el análisis del software utilizado en el ataque (normalmente malware), o el análisis de la capacidad, en el caso de que un país no tenga los conocimientos y la infraestructura para hacer ciertos ataques. Estas son las vías que se siguen, por ejemplo, en el análisis del tan nombrado stuxnet (sí, ya hablaremos de él más adelante) o de la operación Aurora (en un futuro también se hablará de ella).

A cualquier experto le queda claro, que no es muy difícil ocultar estos rastros o, mejor, dejar rastros falsos. Por si alguien no tiene claro como se haría, aquí va un ejemplo:

Supongamos que el país A quiere ‘mapear’ la red de datos de telefonía de una maxi compañía del país F, obteniendo así más información de la misma para poder inutilizar o interceptar sus comunicaciones en un futuro cercano. Para infiltrase en sus sistemas, usan múltiples ataques, uno de ellos puede ser un ‘0day’ que instala un virus en la red que se distribuye por la misma mandando información de vuelta al centro de control.
Como quiero pasar desapercibido hago lo siguiente:

- Lanzo el ataque (usando redes inalámbricas abiertas o crackeables, locutorios,…) desde un país C.

- El 0day usado, está preparado para las versiones de la aplicación vulnerable de los países F e I.

- El malware usado tiene en su interior una cadena sin cifrar en el idioma del país C.

- Además tiene otras cadenas cifradas (rutas internas del sistema operativo por ejemplo) para las versiones de los países F e I.

Mucha gente acusará seguro al país I del ataque, afirmando que pretendía que pareciera culpable el país C. Si además elijo estos países con cierta mala idea, ¡mejor!


A partir de este punto, si queremos descubrir quién nos ha atacado, tenemos que salir del Ciberespacio (y no digo Internet a propósito) y recurrir a la inteligencia convencional (que puede también usar tácticas de ciberinteligencia):

- Análisis de las consecuencias.

- Usar otras vías, además de la forense, para encontrar nuevos indicios.

- Análisis del objetivo (¿Quién tiene un móvil para realizar este ataque?).

Cada vez que escucho comentarios del estilo “los chinos, o la gente del este, ha hecho esto o lo otro”, pienso ¿Y cómo lo saben?...

Para poder atribuir sin dudas un ataque a sistemas informáticos, se exige un gran compromiso, no solo a nivel político entre gobiernos, sino a nivel operativo entre las distintas fuerzas de seguridad, así como a nivel técnico, con nuevos estándares y proveedores e investigadores a la cabeza. Por supuesto, debe de existir una voluntad real de querer solucionar el problema de atribuir un ataque ;).

En esta situación veo totalmente imposible, a día de hoy un tratado sobre la guerra en el ciberespacio. Los países han de seguir confiando los unos en los otros…

(¿Relaciones de confianza? Próximamente….)

Leonardo Nve.

El sistema GPS, el tiempo y sus implicaciones en la ciberguerra.

El GPS forma parte de nuestras vidas, y aunque en principio se diseño como un sistema militar hoy casi todos contamos con un receptor de posicionamiento en nuestro Smartphone o en el navegador de nuestro coche.

El sistema GPS como la mayoría ya sabréis funciona mediante una red de satélites de órbita baja que emiten de forma constante una señal horaria extremadamente precisa así como su posición orbital. De esta forma un receptor de GPS observando el momento de la llegada de la señal, que se mueve a la velocidad de la luz, y conociendo la posición de los satélites concretos que la ha emitido puede determinar su propia posición con gran precisión.

La posibilidad de denegar el uso de GPS se ha tratado abundantemente en la literatura sobre ciberguerra o vulnerabilidades en infraestructuras criticas, es evidente que puesto que sus señales dependen de emisores que están en el espacio y que llegan con una señal relativamente débil a la tierra es comparativamente sencillo construir equipos que interfieran esta señal para imposibilitar su uso. Un transmisor de unos pocos watios, que en términos radioeléctricos es una potencia bastante modesta puede interferir la recepción de GPS en un radio de varios kilómetros.

Una interferencia de este tipo tendría múltiples impactos, irían desde la imposibilidad de uso de sistema AVL (Automatic Vehicle Location) que implementan los servicios de emergencias para localizar a sus efectivos, y que usa por ejemplo en España la Guardia Civil. Un transmisor potente también podría invalidar el uso de armas al enemigo, por ejemplo las bombas guiadas por GPS del tipo JDAM, el arma de precisión más usada por la fuerza aérea norteamericana. Sirva de ejemplo que según recoge el manual táctico de la JDAM, filtrado hace unos años por wikileaks, en uno de los párrafos marcado como información secreta explica que si se niega la señal gps durante momento del el lanzamiento este no puede realizarse, o que si en vuelo se produce la interferencia la precisión cae de unos pocos metros de margen de error, hasta los 30 metros derivados de su sistema de posicionamiento de backup usando navegación inercial.

Ahora bien, hasta el momento la mayoría de los escenarios de denegación del GPS hacían referencia a la capacidad de posicionamiento y navegación, cuando lo cierto es que GPS presta también para otro servicio: proporcionar una fuente de tiempo preciso y extraordinariamente estable. Como veíamos al principio si recibimos la señal de tiempo de múltiples satélites, y su posición, también podemos realizar el cálculo de la hora actual con una enorme precisión.

Esta precisión se necesita en múltiples infraestructuras modernas, existen sistemas que necesitan una cuidada sincronización para funcionar, por ejemplo sistemas de telecomunicaciones, distribución de energía eléctrica o experimentos científicos.

Un ejemplo de estas infraestructuras criticas es la monitorización de la calidad en las redes de energía, la electricidad que usamos día a día es una corriente alterna a una frecuencia de 50hz , y para poder interconectar diversas fuentes distintas estas tienen que estar perfectamente sincronizadas. Para monitorizar que todo va correctamente existen unos dispositivos llamados PMU (phasor measurement unit). Un phasor es un número complejo que representa tanto de las características de las ondas sinusoidales en una señal eléctrica, siendo los PMU los dispositivos que permiten su medición. En las aplicaciones típicas de las unidades PMU estas muestrean en lugares dispersos en la red del sistema de eléctrico y sincronizadas de la fuente de tiempo común de un sistema de posicionamiento global GPS.

También podrían ser objetivo de estos ataques la red de emisores de televisión mediante TDT , Así por ejemplo, en la arquitectura de distribución SFN (Single Frecuency Network), la empleada en España, cada mux (paquete de canales) se emite por todos los repetidores en una misma frecuencia de radio, es decir TVE1 o La2 se emiten en el mismo canal de radio por toda España, al contrario de los antiguos repetidores analógicos en que los canales debían alternarse para evitar interferirse mutuamente. Ahora bien, el tipo de modulación usada en una red SFN requiere de una cuidada sincronización de tiempo de todos los emisores, existiendo el riesgo de que, en caso contrario, se interfieran unos a otros. Como en otras aplicaciones que requieren una sincronización precisa una de las opciones es emplear la señal de tiempo GPS.

Otros servicios que requieren de una señal de tiempo precisa son ciertas redes de banda ancha basadas en fibra óptica, sistemas de time-stamping, o los servidores de tiempo NTP, también se utiliza para la sincronización de sistemas de radiocomunicaciones militares en salto de frecuencia, como HAVE QUICK.

Entraría dentro de un escenario de ciberguerra contra infraestructuras civiles, o incluso de ataques ciberterroristas la denegación de la señal GPS con el propósito de interrumpir o degradar sistemas como los vistos. De hecho no haría falta grandes potencias o aparatos complejos, perturbadores de GPS como los que se ofrecen en tiendas de internet por menos de 100 dólares podrían emplearse si se sitúan lo bastante cerca de la estación que recibe la señal de tiempo.

Estos perturbadores, que normalmente se venden para contrarrestar el uso de sistemas de seguimiento, como los usados para el control de flotas, podrían también ser modificados para obtener potencias más altas de emisión.

Y llega la pregunta, ¿cómo es posible defenderse de estas vulnerabilidades?, pues bien la tendencia actual es a rescatar los sistemas de tiempo utilizados antes de la llegada de GPS, estos normalmente consisten en el uso de estaciones de radio terrestres en onda corta o onda larga, tales como DCF77 o WWV (las usadas en los despertadores “radiocontrolados por relojes atómicos”) , estos sistemas por la propagación de las bandas que usan son mucho más difíciles de interferir y no existen dispositivos perturbadores fácilmente accesibles en el mercado como si es el caso de GPS.

Ciertamente se podría seguir hablando largo y tendido de vulnerabilidades de GPS, contramedidas, los sistemas de tiempo como objetivo de ataques, etc., etc. , sirva de introducción esta entrada y seguro que trataremos estos temas en próximas entregas.

Miguel Angel Hernandez

Conceptos de Ciberguerra: Intrusión como conquista de una posición

Un concepto que por sus similitudes es fácil de relacionar entre el mundo de la Guerra Tradicional y el mundo de la Ciberguerra es el de Intrusión como acto de toma o conquista de una posición.

En el mundo informático una intrusión se entiende como el acceso no autorizado a un sistema.

Por sistema entendemos cualquier dispositivo tecnológico que pueda ser gestionado de forma externa, por ejemplo ordenadores o servidores. Pero también cualquier tipo de dispositivo de red (routers, switches, firewalls, balanceadores) y también cualquier tipo de dispositivo embebido (centralitas telefónicas, sistemas de automatización industrial, autómatas, etc.).

Normalmente esta gestión es realizada por una o varias personas que acceden al sistema tras pasar por algún mecanismo de seguridad que comprueba su identidad (autenticación).

Una intrusión consiste en burlar los controles de seguridad, por ejemplo suplantando la identidad de un usuario o aprovechando algún defecto del software utilizado.

Obviamente los sistemas que están conectados a una red y pueden ser gestionados de forma remota son más vulnerables a una intrusión.

Una vez el atacante (o hacker) ha conseguido burlar los mecanismos de seguridad y tiene acceso al sistema puede realizar una serie de tareas en el. Algunos sistemas tienen varios niveles de privilegios que pueden limitar las acciones que puede realizar cada usuario.

Normalmente siempre existe un usuario con máximos privilegios (administrador, root, system) que tiene control total del sistema. Cuando un atacante consigue este nivel de privilegios se puede considerar que el sistema se encuentra comprometido o lo que en terminología clásica podríamos asimilar al concepto de conquista.

Pero no olvidemos que aunque hay características similares en la conquista de una posición en una Guerra clásica y la intrusión en una estrategia de Ciberguerra, también tenemos muchas diferencias que cambiaran sustancialmente las estrategias a tomar.

Ramon Pinuaga

¡Areópago 21 despega!

Después de mucho tiempo hablando del tema, un pequeño grupo de amigos que tenemos en común ser profesionales de la seguridad informática nos hemos decidido a ponernos manos a la obra y crear un espacio donde poder compartir nuestras reflexiones e ideas sobre esos temas tan publicitados últimamente, y al mismo tiempo tan difusos, como son la ciberguerra, el ciberterrorismo, la ciberinteligencia, y en general las implicaciones de seguridad en las nuevas tecnologías en los sectores de defensa.

Lo primero que queremos reseñar es que aunque tenemos muchos años de experiencia como técnicos consultores en eso que se suele llamar "hacking ético" ni somos ni hemos sido en ningún momento militares, y que nuestro conocimiento del tema se deriva principalmente de nuestra afición común a la historia militar, tecnología militar y la estratégia. Así que es posible que en algunos casos caigamos en uno de estos dos extremos: artículos excesivamente técnicos o metamos algún gazapo castrense.

Por ello comenzaremos con una serie de entradas introductorias y en función de la respuesta de nuestro público iremos aumentando progresivamente el nivel técnico. 

También veréis que en ocasiones nuestras opiniones divergen mucho, lo que esperamos es que en lugar de un hándicap sea una forma de dinamizar los contenidos de este blog. Nuestro fin último es poder ofrecer contenidos de calidad, amenos e interesantes y que lleguen a un público amplio que pueda estar interesado en estos temas.