Por: Carlos Lozano.

Después de mi colaboración pasada (¿Vivir para la seguridad informática?), seguramente muchos de aquellos que la leyeron y sobre todo los recién egresados o aún estudiantes, estarán ansiosos por dar el paso y adentrarse en el mundo de la seguridad en su versión profesional de traje, corbata y laptop De… bueno, no escribamos marcas.

Primero que nada lamento decirles a todos los lectores que esto no es tan rápido y tiene sus descalabros.

¿Qué se necesita para dedicarse a la seguridad?

Es una de las preguntas más recurrentes que los alumnos hacen a un profesional cuando se presenta a dar alguna charla; y obviamente la respuesta varía mucho dependiendo de la trayectoria misma del profesional, pero sobre todo, de sus intereses.

Comparto esto porque precisamente los comentarios que vierta en esta y las siguientes colaboraciones, depende de mi perspectiva sobre la industria de seguridad informática, por lo que intentaré ser lo más objetivo posible, pero sin duda esto puede prestarse a buenos debates e intercambios de ideas.

El antes de la vida laboral.

Esta parte es muy importante, sin importar a qué área de TI te vas a dedicar. Cuando nos encontramos en los últimos semestres o cuatrimestres de la universidad, debemos de empezar a tomar decisiones. La universidad si bien muchos se quejan de que no aprendemos aspectos prácticos, en realidad es una excelente fuente de conocimientos que nos da las bases para aprender temas más complicados.

De las universidades y tecnológicos que he podido apreciar, la mayoría ofrece materias optativas a elección del alumno; con lo cual éste puede dirigir su educación hacia sus intereses personales. Así que si te encuentras interesado en dedicarte a la seguridad informática; éste es un buen momento para elegir alguna materia relacionada. Por desgracia no podemos creer que en una materia aprenderemos todo lo necesario para desarrollarnos profesionalmente en esta actividad, pero probablemente aprendamos algunos temas, nada sencillos ni despreciables, como pueden ser seguridad en redes, criptografía, estándares de seguridad, etc.

La vida real.

Ahora bien, profesionales de seguridad hay de muchos tipos, no todos nos dedicamos a las mismas actividades, no tenemos los mismos conocimientos, formación, intereses, etc. Existen diferentes áreas a las que uno se puede dedicar, entre ellas se encuentran:

• Seguridad ofensiva: para muchos de nosotros el área más emocionante, en ella, el objetivo es la evaluación de aplicaciones e infraestructura con el fin de detectar las debilidades en una organización o producto, con el fin de apoyar en su mejora.
• Gestión del riesgo y auditoría: aquellos encargados de ver todo a un nivel más abstracto. Diseñando, implementando y monitoreando controles lógicos que no necesariamente tienen que ser meramente tecnológicos.
• Monitoreo y manejo de incidentes: siempre hay quienes tienen que estar 24/7/365 al pendiente de cualquier evento , saber detectarlo y cómo responder ante él.
• Servicios forenses: cuando algo malo sucede, es muy importante para las organizaciones saber detectar qué fue lo que pasó a fin de remediarlo, y si es posible buscar un responsable con el fin de saber las razones e impacto que conlleva.

Seguridad ofensiva

Como se habrán dado cuenta el área es muy grande, así que intentaré ser puntual platicando de lo que más he tenido oportunidad de conocer; la seguridad ofensiva.

Algo muy importante que como profesional de la seguridad que se dedique a realizar pruebas de penetración, análisis de vulnerabilidades o revisiones de seguridad a aplicaciones; es que estas actividades no es “hackear”. En un proyecto en donde hay miles de dólares de por medio, información sensible y el trabajo de muchas personas, se requiere de un uso de metodologías, estándares, niveles de servicio… pero sobre todo, sentido común, el cual se va generando con la experiencia.

Para este tipo de servicios existen programas de becarios, que algunas de las empresas especializadas en seguridad en México ofrecen; en ellas uno aprende a manejar las herramientas más sencillas, a seguir una metodología normalmente basada en alguna estándar como OSSTMM y adaptada por las empresas mismas.

Aunque hay muchas personas con vasta experiencia que seguramente recomendarán el no tomar certificación o curso alguno; habrá otros que opten porque sí hacerlo. Ello ya queda a elección y juicio de cada profesional.

La certificación más popular en México es la de Ethical Hacker (C|EH) de EC-Council. Probablemente la razón de su popularidad es que por mucho tiempo fue la única certificación en seguridad ofensiva que ofrecía un curso presencial en México.

Por desgracia, incluso en su versión 8 (la más nueva), el temario es extenso, y por ende imposible de abarcar en las cinco sesiones que dura el curso. Esto nos lleva a que los instructores ofrezcan de forma extremadamente superficial los temas de la primera mitad del curso.

Los contenidos están más orientados al “¿cómo?”, que al “¿por qué?”; esto quiere decir que en esta certificación no esperes aprender a detalle el funcionamiento de cada herramienta, o la raíz de los diferentes problemas de seguridad; sino aprenderás el uso de herramientas para aprovechar estas vulnerabilidades sin realmente entender el trasfondo, lo cual no es lo más adecuado pues personalmente considero esta certificación como un “curso de iniciación”. En el otro lado de la moneda, mientras en México, EC-Council cuenta con un buen prestigio, a nivel internacional ha perdido bastante credibilidad.

Mi recomendación es que C|EH está orientada a personas interesadas en seguridad, pero que no tienen idea de cómo empezar; o profesionales de TI de otras áreas que desean empaparse un poco de los conocimientos en esta materia. No esperen que les abra las puertas del mercado laboral, ni que obtengan beneficios en cuanto a conocimiento se refiere, más de los que podría obtenerse por  medio de otros cursos más económicos sin reconocimiento.

Una certificación más orientada al mundo laboral es GPEN del SANS Institute; ésta no se encuentra tan difundida en nuestro país y la mayor parte de quienes actualmente la ostentan en sus currículos la han obtenido mediante autoestudio o atendiendo el curso en el extranjero. Recientemente la Asociación de Seguridad Informática Mexicana (ASIMX) ha anunciado que mediante una alianza con SANS, ofrecerá ésta y otras certificaciones de forma presencial en México.

Esta es una certificación más práctica, con un temario más reducido y real. Dentro del material se encontrará una sección orientada únicamente a la práctica de los conocimientos aprendidos y que son aplicables a los ambientes corporativos reales.

Así mismo el examen incluye preguntas en donde más que aprender nombres de herramientas, habrá que analizar salidas de comandos, herramientas, tramas de red, etc. Algo que me parece muy interesante es que se incluye información sobre cómo reportar los descubrimientos, la forma de integrar un reporte y la presentación de resultados; lo cual es básico para un profesional (el lograr exponer su trabajo a terceros).

La certificación OSCP de Offensive Security, tiene fama de ser una de las más completas y avanzadas en cuanto a seguridad ofensiva. En México no ha tenido una gran penetración, sin embargo a nivel mundial sí la tiene, así como un importante reconocimiento por la calidad de los contenidos. En general el temario es el mismo que C|EH y GPEN, sin embargo los contenidos son tratados de una forma más profunda.

Estas son las tres principales certificaciones de seguridad ofensiva que se manejan en México; sin embargo existen algunos cursos que sin tener el valor de certificación pueden ayudar a adentrarse en el área.

Uno de ellos, y muy popular es eLearnSecurity. Esta compañía tiene un original estilo de enseñanza, por una parte permite el acceso a sus recursos de aprendizaje en línea mediante presentaciones que incluyen videos prácticos de cada tema, y por otro, al momento del pago del curso se incluyen horas de entrenamiento en un ambiente virtual que permite practicar los temas vistos en los videos.

En opinión personal los temas son demasiado básicos y la forma de exponerlos es utópica para la realidad, pero la inclusión del ambiente virtual de entrenamiento es una idea muy original y útil. Se da la opción de poder tomar una certificación sin embargo en México jamás he tenido antecedente de alguien que la posea, si conocen a alguien, háganmelo saber para que conozcamos su opinión.

Otra empresa en ofrecer alternativas de estudio es Strategic Security; en donde se organizan cursos de diferentes temáticas como pentesting, uso de la herramienta Metasploit, talleres de desarrollo de exploits, ingeniería inversa, etcétera.

El nivel técnico de estos cursos es muy bueno, ofrecido directamente por Joe McCray, un experto en seguridad con conocimientos sólidos comprobables y mucha experiencia como instructor; sin embargo los materiales proporcionados no son de buena calidad, normalmente son presentaciones con notas que en sí mismas no ofrecen mucho detalle para revisar fuera de las sesiones. Los laboratorios están poco estructurados e incluso algunas veces tomados de otros sitios (con referencia), pero al final se esperaría que contara con materiales propios.

Lo mencionado aquí, son algunos de los cursos y certificaciones base del perfil que un profesional enfocado a seguridad ofensiva podría tomar; no son los únicos, falta hablar de otros más, sin embargo creo que he tocado los más populares en México y los más requeridos por los clientes al momento de contratar un servicio.

En próximas colaboraciones estaré platicando sobre certificaciones y opciones de capacitación para las otras sub áreas de la seguridad informática. Espero tengan la oportunidad de comentar sobre el tema, contar sus experiencias profesionales y cuáles han sido las decisiones en cuanto a capacitación que ustedes han tomado y recomendarían.

El autor, Carlos A. Lozano Vargas, es especialista en Seguridad Informática, fundador y director del comité técnico de BugCON y CEO de blueMammut. Se le puede seguir en @BelindoFan, en Twitter.