Este documento presenta las mejores prácticas de seguridad operacional (OPSEC) para analistas de seguridad. Explica que la OPSEC identifica información crítica para determinar si nuestras acciones pueden ser observadas por adversarios. Señala que la regla de oro es mantener silencio como disciplina defensiva, aunque es difícil de implementar. También recomienda adoptar un nivel de OPSEC que se pueda cumplir para evitar ser más vulnerable. Finalmente, concluye que la OPSEC es difícil pero no es necesario hacerlo a n

1. OPSEC para analistas de seguridad
The Data Cult
x@thedatacult.com

2. Acerca de esta presentación
“Opsec (Operational security) identifica información
crítica para determinar si nuestras acciones pueden ser
observadas por sistemas de inteligencia adversarios”
• No sólo hablaremos de identificar – también de cómo aplicar
las mejores prácticas.
• ¿Cómo se aplica a la industria de la seguridad?
• No trataremos contra-inteligencia.

3. Grandes fallos de Opsec
Regla de oro:
El silencio como disciplina defensiva.
Ayudar e Impresionar están en la naturaleza humana.

4. La regla es simple de entender
Pero difícil de implementar.
Nos gusta impresionar.
Regla de oro2:
OPSEC no funciona
retrospectivamente.

5. No tengo enemigos!
Poniendo las cosas en contexto:
_Trabajamos en temas delicados
_Encontramos cosas extrañas
_El entorno tiene una regulación laxa
_Hipocresía y líneas rojas
_Sensación de invulnerabilidad
No se trata de cuestionar la ética de la industria.

6. Sin embargo
¿Es tu trabajo interesante para alguien más?
¿Podría percibirse como peligroso para los intereses de un
tercero?
¿Son todas nuestras acciones como analistas, impecables?
Puede que seamos el eslabón más débil al colaborar con fuerzas
del orden en lo referente a Opsec.

7. Bajo los focos
Estamos en un grupo de interés
Objetivo: no ser un individuo de interés!
Mantener silencio, pero no total.
Si se produce una escalada en la vigilancia: Game Over.

8. Adversarios
En general:
_Cibercriminales comunes
_”Cibercriminales” no comunes
_Agencias
_El futuro (o vigilancia masiva)
Importante: adoptar el nivel de
De lo contrario puede ser
peor que no aplicar
OPSEC en absoluto.
OPSEC que se pueda cumplir

9. Adversarios
MEET OUR ADVERSARIES

10. Cibercriminales comunes
Grupos poco organizados, con pocos recursos.
El riesgo es bajo, pero depende del entorno.
Opsec básica puede dejarlos fuera.

11. Cibercriminales comunes
Grupos poco organizados, con pocos recursos.
El riesgo es bajo, pero depende del entorno.
Opsec básica puede dejarlos fuera.

12. Cibercriminales comunes
Grupos poco organizados, con pocos recursos.
El riesgo es bajo, pero depende del entorno.
Opsec básica puede dejarlos fuera.

13. “Cibercriminales” no comunes
Digamos que el cibercrimen no
es su objetivo principal.
Organizados, peligrosos,
con recursos.
No suelen ser el objeto de una investigación, sino colateral.
¿Qué ocurre si nuestra Opsec no es buena?

14. Agencias
Tienen todos los recursos.
Aproximación primaria no técnica, solemos olvidar que
existe.
Aproximación típica:
Reclutamiento.

15. Vigilancia masiva – agencias? No únicamente
Datos y metadatos a niveles astronómicos.
Lo que hoy parece seguro, puede no serlo en el futuro.
Las compañías también están recolectando estos datos.
En caso de filtraciones - festín.

16. Vigilancia masiva – agencias? No únicamente
Datos y metadatos a niveles astronómicos.
Lo que hoy parece seguro, puede no serlo en el futuro.
Las compañías también están recolectando estos datos.
En caso de filtraciones - festín.

17. Vigilancia masiva – agencias? No únicamente
Datos y metadatos a niveles astronómicos.
Lo que hoy parece seguro, puede no serlo en el futuro.
Las compañías también están recolectando estos datos.
En caso de filtraciones - festín.
Importante:
Evitar ser una anomalía!

18. IMPLEMENTACIÓN
Recordad: Sed meticulosos!

19. Proceso de implementación: aproximación
Análisis de situación
Entender tu situación
Posibles adversarios
Entorno
Datos valiosos
Metadatos
Analizar amenazas y vulnerabilidades
Análisis de riesgos
Decidir qué medidas de OPSEC implementar

20. Proceso de implementación: aproximación
Análisis de situación
“Existen distintas Entender perspectivas tu situación
de riesgo que se pueden usar para diseñar
un modelo de amenaza: Posibles centrado adversarios
en el adversario, en los activos, o en el
software.
Entorno
…
La razón por la que Datos valiosos
medidas elegantes Metadatos
una startup pequeña y ágil puede implementar
de Opsec es la misma por la que adoptar los
procidimientos de Opsec centrado en operaciones es efectivo.”
Analizar amenazas y vulnerabilidades
Análisis de riesgos
Decidir qué medidas de OPSEC implementar

21. Implementación en grupos
Como siempre en seguridad, tan fuerte como el eslabón más débil.
Externamente:
en quién confiar, cómo comunicarnos
cadena de comando, protocolos para distintos eventos
à Creación de un responaible de Opsec?
Internamente:
ProTip: ser cuidadosos con
el lenguaje, también internamente
compartimentalizar
entrenamiento y avergonzar
etiquetar la sensibilidad de la info

22. Implementación en grupos
Como siempre en seguridad, tan fuerte como el eslabón más débil.
Externamente:
en quién confiar, cómo comunicarnos
cadena de comando, protocolos para distintos eventos
à Creación de un responaible de Opsec?
Internamente:
ProTip: ser cuidadosos con
el lenguaje, también internamente
compartimentalizar
entrenamiento y avergonzar
etiquetar la sensibilidad de la info

23. Identidades digitales
Es una recomendación habitual de Opsec.
Necesario a veces, pero muy difícil de hacer correctamente.
Un error significará una ventaja para un adversario.
Consejo: Evitarlas si es posible.
Pero si no,
Regla de oro: Evitar
contaminación entre identidades

24. HERRAMIENTAS BÁSICAS
Tools – quick review

25. Herramientas mínimas
Cifrado
Correo electrónico
Mensajería instantánea
Telefonía
Internet
Habilidades en el “mundo real”

26. Cifrado
Problemas inherentes – una vez roto, todos los datos
pasados están comprometidos.
Esta posibilidad aumenta con el tiempo.
No obstante la recomendación es cifar todo.
Una partición creíble anti-coerción es buena idea.

27. Cifrado
Problemas inherentes – una vez roto, todos los datos
pasados están comprometidos.
Esta posibilidad aumenta con el tiempo.
No obstante la recomendación es cifar todo.
Una partición creíble anti-coerción es buena idea.

28. Cifrado
Problemas inherentes – una vez roto, todos los datos
pasados están comprometidos.
Esta posibilidad aumenta con el tiempo.
No obstante la recomendación es cifar todo.
Una partición creíble anti-coerción es buena idea.

29. Cifrado
Problemas inherentes – una vez roto, todos los datos
pasados están comprometidos.
Esta posibilidad aumenta con el tiempo.
No obstante la recomendación es cifar todo.
Una partición creíble anti-coerción es buena idea.

30. Correo electrónico
Mejor evitarlo: problemas con metadatos y con nuestros
interlocutores.
Problemas con proveedores externos: ProtonMail, LavaMail,
Gmail PGP.
Para PGP, usar una clave de mínimo 2048.
Mensajería con OTP es una opción mucho mejor.

31. Mensajería instantánea
Adium y Pidgin: el cifrado está bien. Tiene algunos
problemas como almacenar logs.
Cryptocat: joven, algunos pequeños problemas como que
cualquiera puede unirse a una sesión si conoce el nombre.
Metadata, correlación y ataques no técnicos!

32. Mensajería instantánea
Adium y Pidgin: el cifrado está bien. Tiene algunos
problemas como almacenar logs.
Cryptocat: joven, algunos pequeños problemas como que
cualquiera puede unirse a una sesión si conoce el nombre.
Metadata, correlación y ataques no técnicos!

33. TOR
Correlación máxima.
Nodos de salidaà Para operaciones críticas, estamos
proporcionando logs gratis!
No obstante, puede ser suficiente para evitar la mayoría de
adversarios.

34. TOR
Correlación máxima.
Nodos de salidaà Para operaciones críticas, estamos
proporcionando logs gratis!
No obstante, puede ser suficiente para evitar la mayoría de
adversarios.

35. Telefonía
Mejor no usarlo – pero es una batalla perdida.
Teléfonos desechables, cambiarlos a menudo, no tener nada
importante en ellos.
Ser coherente entre el contendio del teléfono y el del
ordenador.

36. Telefonía
Mejor no usarlo – pero es una batalla perdida.
Teléfonos desechables, cambiarlos a menudo, no tener nada
importante en ellos.
Ser coherente entre lo que hay en el teléfono y en el
ordenador.

37. Mundo real
No intentar impresionar al a gente – no dejarse impresionar
por extraños.
¿Cómo reaccionar ante un requerimiento de fuerzas del
orden?
Tener un portátil y un teléfono para viajar, y monedas en el
bolsillo!

38. EN RESUMEN

39. Conclusiones
Opsec es difícil – las buenas noticias es que no es necesario
hacerlo a nivel de espía.
Empecemos siendo conscientes y aplicándolo poco a poco.
Más importante que las herramientas – ser meticulosos.
La Opsec buena es la que podemos aplicar.

40. Referencias (fallos en Opsec)
- http://en.wikipedia.org/wiki/Abu_Omar_case
- http://nakedsecurity.sophos.com/es/2013/12/20/use-of-tor-pointed-fbi-to-harvard-
university-bomb-hoax-suspect/
- http://en.wikipedia.org/wiki/Hector_Xavier_Monsegur
- http://rt.com/usa/jeremy-hammond-sentence-nyc-785/
- http://www.theguardian.com/technology/2013/oct/03/five-stupid-things-dread-pirate-
roberts-did-to-get-arrested

41. The Data Cult
www.thedatacult.com
x@thedatacult.com