ACTUALIZACIONES DE SOFTWARE INTECO-CERT Mayo 2011
La presente publicación pertenece al Instituto Nacional de Tecnología de la Comunicación (INTECO) y esta bajo licencia Reconocimiento-No comercial 3.0 España de Creative Commons, y por ello estar permitido copiar, distribuir y comunicar públicamente esta obra bajo las condiciones siguientes: Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra. Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su uso no tenga fines comerciales. Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia menoscaba o restringe los derechos morales de INTECO. http://creativecommons.org/licenses/by-nc-sa/3.0/es/ El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format). Así, se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de idioma y orden de lectura adecuado. Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la sección Accesibilidad > Formación > Manuales y Guías de la página http://www.inteco.es Actualizaciones de Software 2
INDICE 1. INTRODUCCIÓN 4 2. NECESIDAD DE LAS ACTUALIZACIONES 5 3. SISTEMA OPERATIVO 6 3.1 Microsoft 6 3.2 Apple 9 3.3 Ubuntu 11 4. NAVEGADORES 13 4.1 Plugins 16 5. SOFTWARE DE APOYO 18 5.1 Secunia PSI 18 5.2 Techtracker Free 20 5.3 Conan 22 Actualizaciones de Software 3
1. INTRODUCCIÓN Cuando un desarrollador/fabricante publica un programa (sistema operativo, lector de documentos, reproductor de vídeo, etc.) pueden aparecen fallos de seguridad. Estos fallos de seguridad, a los que denominaremos vulnerabilidades, son aprovechados por los cibercriminales para tratar de infectar nuestro equipo con software malicioso con el objetivo de robar nuestros datos, usar nuestro equipo para su «trabajo», etc. Desde INTECO-CERT siempre hemos hecho hincapié en la constante atención sobre las actualizaciones de nuestro sistema operativo así como aquellos programas que puedan implicar un agujero de seguridad en caso de ser explotados por un atacante o cualquier tipo de malware. No seguir estas recomendaciones es temerario, lo mismo que otra serie de acciones por parte del usuario como son: el uso de cuentas privilegiadas, abrir ficheros adjuntos o URL de fuentes desconocidas, carecer de un Firewall o de Antivirus que nos avise de acciones sospechosas, etc. El presente contenido tiene como objetivo ofrecer una serie de recomendaciones así como pautas a seguir a la hora de actualizar nuestros sistemas con el apoyo de herramientas gratuitas que permiten simplificar enormemente la gestión de actualizaciones sin que ello conlleve una rutina que resulte engorrosa y consuma tiempo al usuario final. El documento se encuentra dividido en una serie de apartados ordenados por orden de importancia en función de su criticidad. De esta forma, se comenzarán explicando las configuraciones recomendadas en los sistemas operativos más comunes, así como herramientas que facilitarán el mantenimiento de los mismos para garantizar que los componentes más importantes se encuentren actualizados y en caso de no ser así alertar al usuario. Posteriormente se enumerarán los métodos de actualización de cada uno de los navegadores más utilizados (Chrome, Firefox, Opera) recomendando también determinados complementos (plugins) y herramientas externas que proporcionarán protección adicional a los mismos. Actualizaciones de Software 4
2. NECESIDAD DE LAS ACTUALIZACIONES Mientras hacemos uso de Internet y sus servicios, los ciberdelincuentes- de forma análoga a como haría un ladrón al intentar entrar a robar a una casa desarrollan software malicioso para aprovechar cualquier vulnerabilidad en el sistema a través del cual infectar el equipo. Para ello, suelen aprovechar las vulnerabilidades más recientes que tienen tanto el sistema operativo como las aplicaciones instaladas en el mismo. Hay que tener en cuenta que cuanto más tiempo tardemos en actualizar nuestros equipos más tiempo estaremos expuestos a que cualquier tipo de malware pueda explotar alguna vulnerabilidad y nuestro equipo quede bajo el control del atacante. Para facilitar esta tarea, la mayoría de aplicaciones y sistemas operativos tienen la opción de actualizar el sistema automáticamente, lo que permite tener los programas actualizados sin la necesidad de comprobar manual y periódicamente si la versión utilizada es la última disponible y, por tanto, la más segura. Estas actualizaciones de software vienen justificadas por diferentes motivos: Corregir las vulnerabilidades detectadas. Proporcionar nuevas funcionalidades o mejoras respecto a las versiones anteriores. Aunque es posible hacer la actualización de forma manual, lo más sencillo es hacerlo de forma automática. De esta forma el propio sistema busca las actualizaciones y las descarga e instala sin que nosotros tengamos que intervenir en el proceso. Actualizaciones de Software 5
3. SISTEMA OPERATIVO Según define la Wikipedia Un sistema operativo (SO) es el programa o conjunto de programas que efectúan la gestión de los procesos básicos de un sistema informático, y permite la normal ejecución del resto de las operaciones." El SO se trata por tanto del componente más importante de nuestro equipo al servir de intermediario entre los recursos físicos (hardware) de nuestra máquina y las aplicaciones de usuario. Por este motivo, debemos de estar constantemente al día de sus actualizaciones y fallos de seguridad, sobre todo si estos afectan a servicios que pueden ser explotados remotamente (ej: W32/Sasser). Generalmente los sistemas operativos vienen configurados de forma predeterminada con la opción de Actualizaciones Automáticas por lo que no es necesario habilitarla manualmente. A continuación se explicarán donde y como se activan estas directivas de seguridad en los sistemas operativos más comunes. 3.1 MICROSOFT El ciclo habitual de actualizaciones de Microsoft se realiza los segundos martes de cada mes, salvo casos en los que el problema sea crítico y requiera de una actualización más inminente; este es uno de los motivos por el que se desaconseja totalmente no tener las actualizaciones automáticas habilitadas ya que nuestro equipo podría encontrarse desprotegido en situaciones en las que se liberara un 0-day. Las actualizaciones no interferirán con otras descargas y se descargarán de forma transparente al usuario siempre y cuando esté conectado a Internet. Para comprobar que tenemos configurado nuestro equipo correctamente siga los siguientes pasos. Windows XP: 1. Haga clic en Inicio Panel de control Centro de seguridad Actualizaciones de Software 6
2. Haga clic en Actualizaciones automáticas. Seleccione la opción Automáticas (recomendado) haga clic en el botón Aceptar Windows Vista: 1. Pulse en Inicio Todos los programas Windows Update. 2. En el panel izquierdo seleccione la opción Cambiar la configuración y posteriormente Instalar actualizaciones automáticamente (recomendado), además se debe marcar la casilla de verificación Permitir que todos los usuarios instalen actualizaciones en este equipo. Por último haga clic en el botón «Aceptar» Actualizaciones de Software 7
Windows 7: 1. Pulse en Inicio Todos los programas -> Windows Update, en el panel izquierdo, pulse en Cambiar la configuración. 2. Del desplegable de Actualizaciones importantes, seleccione Instalar actualizaciones automáticamente (recomendado), se marcará la opción Permitir que todos los usuarios instalen actualizaciones en este equipo". Por último, hacer clic en el botón «Aceptar» Actualizaciones de Software 8
3.2 APPLE Mac OS X v10.5 y posteriores permiten configurar «Actualización de Software» para que descargue actualizaciones importantes automáticamente. Cuando las actualizaciones estén listas para su instalación, se recibirá un aviso. El proceso para configurar las actualizaciones es el siguiente: 1. Se abre el menú principal de Mac OS, se selecciona «Preferencias del sistema», y posteriormente la opción «Actualización de software». Actualizaciones de Software 9
2. Es posible configurar la periodicidad de comprobación de las mismas, pudiendo elegir entre diaria (recomendada), semanal o mensualmente. También es posible forzar la búsqueda de actualizaciones, la forma de hacerlo es: 1. En el menú Apple seleccionar la opción Actualización de Software" 2. En la ventana Actualización de Software, selecciona los elementos que deseas instalar y, a continuación, haz clic en Instalar. En principio te conviene instalar todas las actualizaciones disponibles. Introduce un nombre de cuenta de administrador y la contraseña. 1. Una vez finalizada la instalación, reinicia el ordenador si fuera necesario. Puedes repetir estos pasos para ver si hay más actualizaciones disponibles. Ciertas actualizaciones de software tienen que instalarse antes que otras, por lo que puede ser necesario repetir estos pasos varias veces para completar la secuencia de actualización. Actualizaciones de Software 10
3.3 UBUNTU Ubuntu también permite configurar actualizaciones automáticamente sin intervención del usuario o bien comprobar manualmente las actualizaciones disponibles. Para ello se seguirán los siguientes pasos: 1. La configuración de las actualizaciones se encuentra en " Sistema" "Administración" "Gestor de Actualizaciones." 2. La ventana nos mostrará la opción de comprobar manualmente si existen actualizaciones y en caso de ser así instalarlas (botón Instalar Actualizaciones ). Actualizaciones de Software 11
3. Desde aquí también podremos acceder a la configuración de las actualizaciones mediante el botón Configuración, desde donde podremos seleccionar el tipo de actualizaciones (importantes, recomendadas, aún no publicadas, no soportadas), el intervalo de las mismas (diariamente, semanalmente, etc.) y si deseamos instalar las actualizaciones de seguridad sin confirmación (opción recomendada) o bien manualmente. Las actualizaciones importantes de seguridad y actualizaciones recomendadas solucionan problemas de seguridad críticos y actualizan aplicaciones y módulos del Sistema Operativo, por lo que se recomienda que estén activadas. Actualizaciones de la distribución: Además de las actualizaciones de determinados programas y las actualizaciones circunstanciales que solventan problemas de seguridad, Ubuntu publica una versión estable de la distribución cada 6 meses proporcionando cambios importantes mediante la instalación de nuevos paquetes y actualizaciones para los componentes de nuestro sistema operativo. Además, Canonical proporciona soporte técnico y actualizaciones de seguridad durante 18 meses excepto para las versiones Long Term Support (versiones que se liberan cada cuatro versiones de Ubuntu) a las que proporcionan tres años para la versión de escritorio y cinco para la versión servidor. Cuando exista una versión disponible para descargar, el gestor de actualizaciones nos avisará con un mensaje del siguiente tipo: Actualizaciones de Software 12
4. NAVEGADORES Otro de los elementos imprescindibles y más utilizados en nuestros equipos es el Navegador. Mantener nuestro navegador actualizado nos protegerá de múltiples amenazas que se aprovechan de versiones vulnerables para llevar a cabo acciones maliciosas en nuestro equipo. El navegador es uno de los elementos a los que más atención tenemos que prestar ya que es el medio principal con el que nos conectamos a Internet. Visitar una Web con un navegador vulnerable es suficiente para infectarnos con virus, troyanos u otro tipo de malware. Una vector de ataque utilizado por los atacantes es enviar correos electrónicos masivamente en los que animan al usuario a abrir una determinada dirección. Otra vía de engaño pueden ser las redes sociales o clientes de mensajería instantánea a través de los cuales nos envían direcciones con un mensaje sugerente. Estas páginas fraudulentas suele estar programadas para conseguir la versión de nuestro navegador y sistema operativo que ayudarán a localizar determinadas vulnerabilidades por medio de las cuales comprometer el equipo. Tener nuestro navegador correctamente actualizado es fundamental si queremos estar a salvo de las últimas amenazas. A continuación explicaremos la forma de cumplir dicho objetivo en los navegadores más ampliamente utilizados. Chrome Para comprobar si se tiene instalada la última versión o existe alguna actualización manual, se debe hacer click en el icono de "herramientas" y seleccionar "Acerca de Google Chrome": Si existe una actualización manual, aparecerá: Actualizaciones de Software 13
Firefox Para comprobar si existen actualizaciones podemos hacerlo desde la barra de herramientas de [Ayuda >> Buscar actualizaciones...]: NOTA: A partir de la versión 4, Firefox proporciona la opción de instalar las actualizaciones de seguridad automáticamente cuando se reciben las notificaciones de actualización o bien esperar hasta que el usuario acepte manualmente las mismas. Además, avisará al usuario cuando existan complementos desactualizados y permitirá actualizarlos también a su versión más reciente. Para seleccionar el tipo de configuración deseada siga los siguientes pasos: 1. Pulse el menú de Firefox Complementos 2. Pulse el icono de configuración en la parte superior derecha y selecciona Actualizar complementos automáticamente. Actualizaciones de Software 14
Si no desea llevar a cabo actualizaciones para determinados complementos (algo desaconsejable) siga lo siguientes pasos: 1. Seleccione la ficha Extensiones en el Administrador de complementos. 2. Seleccione el complemento en el quieres deshabilitar la actualización automática y pulse en el botón mas. 3. Seleccione la opción No en el apartado Actualizaciones automáticas. De esta forma, Firefox 4 no actualizará de forma automática dicho complemento aunque si se le indicará cuando exista una actualización disponible. Opera De forma similar a Chrome, opera permite actualizaciones automáticas dando diversas opciones a la hora de configurar el tipo de actualización. Un cuadro de diálogo aparecerá cuando se publica una nueva versión dando diversa información sobre dicha actualización. Opera comprobará de forma periódica si existen nuevas versiones disponibles aunque es posible comprobarla de forma manual seleccionando la opción "Ayuda->Comprobar Actualizaciones" desde el botón Menu. Una vez finalizada la descarga, dará la opción se instalarla inmediatamente reiniciando el navegador o bien instalarla más adelante, instalándose la próxima vez que se inicie. Actualizaciones de Software 15
El panel de configuración de las actualizaciones se encuentra en "Configuración- >Opciones, Seguridad". Se recomienda mantener la opción de Instalar actualizaciones automáticamente ; de esta forma todas las actualizaciones futuras ocurrirán silenciosamente, lo que implicará que la información acerca de la actualización se mostrará minimizada en la barra de estado y que la instalación se realizará automáticamente la próxima vez que inicie el navegador. 4.1 PLUGINS El término plugin generalmente hace referencia a un complemento del navegador que tiene capacidad de interactuar con el Sistema Operativo y con aplicaciones externas. Los plugins permiten extender y añadir nuevas funcionalidades al navegador como por ejemplo visualizar formatos de imagen (PDF, 3D), reproducir videos o representar animaciones Flash. En cualquier caso, las actualizaciones de los plugins requieren una vigilancia constante ya que además de aportar nuevas mejoras a las ya existentes, suelen corregir vulnerabilidades que podrían ser aprovechadas por terceros para acceder a nuestro equipo o para instalar malware. Actualizaciones de Software 16
Un claro ejemplo sobre el nivel de criticidad que representa una falta de revisión de nuestros plugins lo muestra un estudio realizado por el proveedor de servicios de navegación segura Truster, según el cual dos semanas después de que Adobe liberara un parche crítico para Flash y Acrobat Reader, casi el 80% de los usuarios de Internet eran todavía vulnerables a dicho fallo de seguridad. Es necesario revisar periódicamente los plugins que tenemos instalados al igual que lo es mantener nuestro antivirus actualizado y nuestro cortafuegos activo. Existen servicios web y herramientas gratuitas que permiten facilitar esta tarea y ahorrar gran cantidad de tiempo. A continuación mostraremos algunas herramientas de apoyo que nos avisarán y facilitarán la gestión de nuestros plugins. Check For Everyone «Check for everyone» es un servicio web de Mozilla que comprueba el número de plugins instalados, así como su versión, para posteriormente informar al usuario de aquellos que no se encuentran actualizados. Además, proporcionará un enlace para descargar la última versión de los mismos. Si no es posible determinar la versión de algún plugin, mostrará la opción Research que lanzará una búsqueda en Google con el criterio «current version plugin» seguido del nombre del plugin. Check For Everyone actualmente soporta los siguientes navegadores: Firefox, IE, Chrome, Safari y Opera. Secbrowsing Otra herramienta similar es la extensión para Chrome «Secbrowsing», la cual comprueba periódicamente las actualizaciones de los plugins instalados alertando al usuario mediante un icono en la barra de direcciones cuando detecta una actualización pendiente. Pulsando este icono, mostrará aquellos plugins que necesitan ser actualizadas y un enlace a la página de descarga, de forma similar a «Check for everyone». Actualizaciones de Software 17
5. SOFTWARE DE APOYO Además de las actualizaciones del sistema operativo, nuestros equipos contienen multitud de aplicaciones que usamos a diario y que, como cualquier software, contienen vulnerabilidades. Visores PDF, reproductores de música y vídeo, programas ofimáticos, clientes de correo, etc. Todos ellos son también objeto de atacantes y por tanto también se le debe prestar la atención necesaria para mantenerlos actualizados y a salvo de los fallos de seguridad más recientes. Aunque existen multitud de listas de seguridad a las que nos podemos suscribir para estar al día de las últimas vulnerabilidades y actualizaciones más relevantes, esto resulta una opción muy tediosa para un usuario que únicamente utiliza su equipo para trabajar y que no dispone de tiempo suficiente para revisar las actualizaciones de seguridad más recientes en cada uno de los programas que utiliza. Por este motivo, una de las opciones más recomendables es apoyarnos en herramientas de seguridad que nos simplifiquen esta tarea avisándonos cuando algún programa de nuestro ordenador está desactualizado. De esta forma, el usuario no tendrá que preocuparse de mirar si su software está actualizado a la última versión ya que automáticamente nuestro equipo nos alertará o bien actualizará cuando detecte un programa que lo necesite. A continuación os mostraremos algunas de las herramientas gratuitas que nos facilitarán enormemente la gestión de actualizaciones. 5.1 SECUNIA PSI Secunia PSI es una herramienta de seguridad diseñada para detectar programas y plugins vulnerables y desactualizados que requieran de parches de seguridad y que pueden exponer tu equipo a ataques que rara vez son bloqueados por antivirus tradicionales. Puedes descargarte Secunia PSI desde su página oficial. Durante la instalación te dará opción a elegir si actualizar automáticamente el software que detecte desactualizado o bien que requiera previa autorización del usuario. Actualizaciones de Software 18
Durante la instalación también dará la opción de seleccionar el nivel de detalle de la información que mostrará a través de las notificaciones. Estas notificaciones se visualizarán en el "área de notificación de Windows" justo encima del icono de Secunia cuando se realice algún cambio o algún escaneo del sistema. Si se selecciona la opción "Show full change information in tray icon notifications" el Tray Icon incluirá detalles como el nombre del programa que ha sido instalado o eliminado. Si no se selecciona, únicamente indicará que un cambio ha ocurrido o bien que un programa ha sido añadido o eliminado sin especificar el nombre del mismo. Una vez que finalice la instalación, la primera vez que se ejecute Secunia PSI, empezará a escanear en segundo plano el equipo en busca de parches de seguridad para los programas instalados. Actualizaciones de Software 19
Una vez finalizado el análisis, desde la página de "Scan Results" podrás ver los el resultado del escaneo y si alguno de los programas requiere de algún parche crítico de seguridad. 5.2 TECHTRACKER FREE De forma similar a Secunia PSI, TechTracker permite informar al usuario cuando algún programa de los que se encuentra en su base de datos y está instalado en el equipo del usuario se encuentra desactualizado. Para usar el programa es necesario crear una cuenta de CNET para poder visualizar los resultados completos una vez realizado el análisis. Después de descargar e instalar TechTracker, podrás ver su icono en el área de notificación, desde donde se pude acceder a los parámetros de configuración. Actualizaciones de Software 20
Puede configurar la frecuencia con que debe buscar actualizaciones (diaria, semanal o mensualmente). Por defecto, está configurado para comprobar todos los días. Cada vez que TechTracker realiza un escaneo de nuestra máquina nos indicará el número de actualizaciones disponibles para los programas instalados. Para visualizar el resultado completo del análisis pulsamos en el botón My Software, llevándonos a la página de CNET TechTracker y desde donde podremos ver el software instalado en nuestro equipo así como aquellas versiones que se encuentras desfasadas, facilitándonos también la descarga de la versión más reciente. Actualizaciones de Software 21
Es importante destacar que CNET dispone de una de las mayores bases de datos de software y que, por tanto, TechTracker únicamente se limitará a dicha base de datos para localizar e informar al usuario sobre las actualizaciones de software. Puede consultar más información desde su página oficial. 5.3 CONAN Herramienta gratuita del Instituto Nacional de Tecnologías de la Comunicación (INTECO) que alertará de configuraciones incorrectas en nuestro sistema. Conan es una utilidad no intrusiva y pensada como complemento al antivirus ofreciendo un servicio de seguridad capaz de analizar y detectar posibles configuraciones de riesgo. A partir de la información recopilada, Conan generará un informe enfocado a prevenir fallos de seguridad y a reaccionar ante infecciones o ataques al sistema, identificando los elementos que causan el problema y ofreciendo a su vez soluciones para mitigar los mismos. De este modo, internautas y pymes pueden obtener un informe inmediato del nivel de seguridad de sus PCs, lo que podrá posibilitar un incremento en la protección del equipo de una manera rápida y sencilla. Desde el cuadro resumen que ofrece Conan, se puede ver los elementos de riesgo así como las recomendaciones y posibles soluciones para corregir y elevar el nivel de seguridad del PC. Asimismo, enlaza a la Oficina de Seguridad del Internauta y el Catálogo de Empresas y Soluciones de Seguridad TIC donde el usuario podrá encontrar las recomendaciones adecuadas para los diferentes problemas de seguridad detectados, actualización de sistemas operativos, y herramientas de seguridad, entre otros. Para poder usar Conan es necesario previo registro desde la página de Conan. Las credenciales que demos de alta serán las empleadas para acceder tanto a la propia aplicación como a la plataforma Web desde la cual podemos visualizar todos los informes realizados. Para comenzar el análisis se tiene que introducir nuestras credenciales en Conan y una vez autenticados pulsar el botón Analizar. Conan empezará a analizar múltiples aspectos de seguridad de nuestra máquina y una vez que finalice enviará automáticamente el informe con los resultados a la plataforma web. Actualizaciones de Software 22
Cada informe abarca numerosos aspectos de nuestra máquina proporcionando información detallada sobre recursos compartidos, servicios en ejecución, conexiones de red, actualizaciones del Antivirus, ActiveX instalados, plugins, políticas de seguridad, actualizaciones del sistema operativo, etc. Actualizaciones de Software 23