Seguridad Informática

No hay ninguna duda de que Microsoft ha hecho mucho por nosotros, quien lo ponga en duda sólo tiene que pensar cual fue su primer S.O., qué editor de textos utiliza actualmente o qué emplea para hacer presentaciones profesionales cuando tiene que impartir alguna clase o realizar alguna ponencia, por poner algunos ejemplos. Sin embargo, todas estas ventajas se han conseguido a costa de un alto precio, la pérdida de la percepción de lo que realmente hacemos al instalar un software propietario pirata. Estamos robando, si señores, no se nos ocurriría ir a un supermercado y llenarnos los bolsillos de bolsas de pipas, pero es que instalar un software pirata resulta extremadamente sencillo y total… si nadie me va a buscar, ¿o si?.

El mes pasado, acompañado del secretario judicial, el procurador y un compañero de profesión nos dirigimos a la sede de una empresa con objeto de realizar una auditoría de software por una denuncia anterior de las empresas Autodesk, Microsoft, Adobe y Symantec. Aquí está mi experiencia.

Una vez nos encontramos en la empresa, el secretario judicial solicitó la presencia del gerente, quien rápidamente apareció por el hall y se prestó a todo lo que necesitábamos. Tras exposición de lo que había ocurrido al Gerente, nos dispusimos a realizar nuestro trabajo, que básicamente según rezaba el auto se reducía a una Auditoría de Software en la que se obtuvieran determinadas propiedades del software instalado, entre las que se encontraba, como no, el serial  o product key del producto.

Solicitamos inspección visual de las instalaciones con objeto de hacer un conteo de los PCs y, por ende poder dar una estimación de la duración de la intervención. Una vez estimado el volumen de PCs y el tiempo se lo transmitimos al secretario judicial que debe estar presente durante toda la intervención como fedatario del procedimiento seguido por el perito.

Comenzamos pues la actuación y fuimos realizando las siguientes acciones:

• Extracción de listado de programas instalados en cada PC y su fecha de creación
• Extracción de listado de programas instalados en cada PC y su fecha de último acceso
• Ejecución de una herramienta automática Stand Alone que extraía todos los datos solicitados por los demandantes (Me reservo para un post posterior la exposición de las alternativas posibles para este objetivo)
• Fotografiar las posibles licencias que encontráramos en forma de pegatinas adheridas a cada uno de los PCs
• Fotografiar la pestaña General y Nombre de Equipo de cada PC
• Construir un mapa con la ubicación física de cada uno de los PCs examinados

Antes de nada pusimos al corriente al gerente de la empresa, ya que el responsable de sistemas estaba de vacaciones, de cuáles iban a ser nuestras actuaciones y qué íbamos exactamente a extraer de cada uno de los PCs corporativos.

Nada más comenzar la situación se volvió algo tensa dado que a nadie le gusta que le toquen sus… sistemas. Salimos bien de la situación por algo coyuntural, el gerente era conocido de uno de los allí presentes y esa confianza nos ahorró tener que lidiar con los abogados del demandado, pero es más probable que sean requeridos por el demandado que que no lo sean.

Así todo, fuimos ordenador por ordenador ejecutando los comandos y desde un CD la herramienta y grabando en local los informes que finalmente ubicamos en una carpeta de red para poder grabarlos desde una máquina que disponía de grabador de CD. El uso del CD como soporte para este tipo de actuaciones se hace indispensable. Plantearse utilizar un dispositivo tipo pendrive tanto para la ejecución de la herramienta stand-alone para la extracción de informes como para almacenar las evidencias obtenidas es poco menos que un suicidio por las altas probabilidades de infección de alguno de los sistemas.

Con todo eso, desde un PC portátil de nuestra propiedad, grabamos las fotografías a un CD y copiamos su contenido a la misma carpeta en la que disponíamos de los informes. Acto seguido ordenamos todo por nombre del PC de forma que disponíamos de todas las evidencias clasificadas. Finalmente todo este contenido fue grabado por triplicado dejando una copia a la empresa demandada, otra al secretario judicial y otra que nos quedamos nosotros para la elaboración del correspondiente dictámen.

Nos despedimos y fin del trabajo de campo, que se cuenta rápido pero llevó unas 5 horas para 23 sistemas.

En resumen una nueva experiencia que requiere más de aplomo y saber estar que de cualidades técnicas y que tiene varios puntos críticos:

1. Selección de Software
2. Elaboración de la Metodología más apropiada
3. Cambios on the fly por restricciones de la infraestructura de sistemas de la empresa
4. Y sobre todo, saber estar en los momentos de presión, no ponerse nervioso y ser consciente de que simplemente haces tu trabajo.

Salu2 y felices vacaciones para los que las estéis disfrutando actualmente!