La Orden Ejecutiva de la Casa Blanca para promover Innovación en IA Avanzada y Seguridad para protegerse de, y con, la IA

Ayer antes de irme a la cama me topé con la publicación de la Presidential Executive Order del 2 de Junio que publicaba la Casa Blanca de Estados Unidos para "Promoting Advanced Artificial Intelligence Innovation and Security", donde se insta a los principales organismo del gobierno de los EEUU a tomar en el plazo de un mes medidas para Mejorar la Innovación en IA Avanzada y en Seguridad, algo que a todo el mundo empresarial tiene muy preocupado últimamente.

Figura 1: La Orden Ejecutiva de la Casa Blanca para promover Innovación

en IA Avanzada y Seguridad para protegerse de, y con, la IA

Ya he hablado mucho de esto, pero básicamente el Impacto de la IA en la Ciberseguridad de una organización, sea esta una Infraestructura Crítica, una Empresa o un Organismo del Gobierno, se puede catalogar en varios puntos fundamentales, que son los que ha intentando reflejar esta orden que podéis leer completamente.

Figura 2: Promoting Advanced Artificial Intelligence Innovation and Security

1.- La IA inyecta nuevos problemas de seguridad

De esto he hablado muchas veces, y hasta hemos publicado el libro de "Hacking AI", donde se tratan todos los problemas de seguridad de los que nos debemos preocupar si se utilizan sistemas con modelos de IA. Desde los BIAS, hasta las Hallucinations, pasando por el Poisoning de datos y de modelos, los problemas de Jailbreak, la vulnerabilidad a las técnicas de Prompt Injection, y el Desalineamiento de los modelos, que fuerzan los atacantes.

Figura 3:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Todos estos problemas de seguridad no deben frenar el desarrollo y el uso de la IA, pero sí que exigen desarrollo de planes de contención robustos basados en Guardarrailes, y el despliegue seguro de IA... que no es tan sencillo. 

Figura 4: Advanced AI introduce nuevas consideraciones de seguridad

En la Executive Order, en el primer punto de la misma podemos leer lo que tenéis arriba, y es que las capacidades de IA hacen a la nación más fuerte, pero también introducen nuevas consideraciones de seguridad que hay que tomar en cuenta, para lo que se insta a hacer muchas cosas.

2.- Securizar IA y usar IA para Securizar

En la Sección 2 de la Executive Order, donde se insta a todos los departamentos a tomar precauciones, toca tes puntos muy relevantes, a saber:

Figura 5: Executive Order Section 2. Security

El primero de ellos es el que todos conocemos, y es que un adversario con IA es un adversario mucho más peligroso hoy en día. Tanto en el uso de Agentes IA de Seguridad Ofensiva, como en la búsqueda y explotación de vulnerabilidades. 

Figura 6: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso,

Agentes de Seguridad Ofensiva de gran efectividad y modelos como Mythos, son ya una realidad presente que hace que las soluciones de seguridad hasta el momento se queden insuficientes.

3.- Buscar bugs con IA y Parchearlos con IA

El segundo de ellos es que hay que que utilizar herramientas de seguridad basadas en IA, es decir, el uso de Agentic SOC, uso de IA para detectar ataques e, incluso, utilizar IA para parchear sistemas, como el caso de Plexicus, que está empujando José Palanco, del que tanto os he hablado ya, que permite parchear en caliente y gestionar las vulnerabilidades de una organización de manera automática utilizando IA.

Figura 7: Plexicus parchea con IA los bugs descubiertos

El tercero de los problemas es permitir el acceso a nuevas herramientas de seguridad que puedan resolver los nuevos problemas de seguridad que introducen los sistemas que utilizan IA. Hace un par de días os hablaba del Despliegue de Agentes AI con políticas de Zero-Trust y la cantidad de nuevas herramientas que son necesarias para proteger, medianamente, un entorno de Agentic AI en una organización.

Figura 8: Búsqueda de Vulnerabilidades con IA y Parchear lo antes posible

Además, para poder hacer este trabajo, hay que realizar, como hace todo buen CISO, una nueva auditoría buscando vulnerabilidades en todos los sistemas utilizando herramientas de AI - tipo Mythos - para buscar esas vulnerabilidades, y parchearlas lo antes posible. 

4.- Auditoría de los Modelos de Frontera 

La última parte de la orden tiene que ver directamente con los Modelos de Frontera de IA que se van a utilizar con todo este proyecto, donde se insta a que se haga un Benchmarking de auditoría completo para saber cuáles son los modelos que, en función de las necesidades anteriormente descritas cumplen o no cumplen los requisitos que se les demandan.

Figura 9: Despliegues de Modelos de Frontera Seguros

Como podéis ver, habla en todo momento de Secure Frontier Model, porque son conocidas las debilidades y por tanto hay que poner en valor su robustez, y el despliegue seguro que se haga de los mismos con guardarraíles para tener entornos securizados.

Los plazos

Lo más llamativo, son los plazos. Se habla de 30 días y 60 días en todas las aciones demandadas, lo que muestra y evidencia el nivel de preocupación que el gobierno de los Estados Unidos tiene con el impacto de la IA en la Seguridad Nacional a todos los niveles. Os dejo esta charla de finales del año pasado - pre- Mythos -.

Figura 10: Inteligencia Artificial y Ciberseguridad

La pregunta que me surge es ¿haremos lo mismo en Europa pronto? ¿Lo haremos en todas las empresas en Europa pronto? Como se suele decir. "Clock is ticking".

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

El impacto de Mythos en concreto y la IA en general en el trabajo de los CISOs

Llevo toda mi vida profesional buscando bugs, y la búsqueda de vulnerabilidades de forma automática ha sido algo que ha existido desde que se creó Internet. Escáneres que buscan puertos para localizar sistemas conocidos, herramientas de webcrawlings o frameworks de pentesting que buscaban tipos de bugs. Esto ha sido parte del trabajo en seguridad informática, y yo he estado años haciendo eso. Para mi trabajo del Ph.D me dediqué a diseñar un algoritmo para detectar vulnerabilidades explotables a ciegas de tipo SQL, XPath o LDAP, que fue de lo que estuve trabajando esos años.

Figura 1: El impacto de Mythos en concreto y la

IA en general en el trabajo de los CISOs

Lo mismo sucedió con la FOCA, para buscar no solo metadatos el documentos públicos - que era lo único que tenía al principio - sino que se fue convirtiendo en un buscador de Well-Known Bugs explotables. Usando esas capacidades, acabamos en el entre los agradecimientos de Apple en al año 2011 y también en el año 2012.

Figura 2: Plugin de la FOCA para buscar Heartbleed

Como parte de esta visión de buscar vulnerabilidades automáticas, en ElevenPaths creamos Faast para hacer Pentesting Persistente, y buscar todas las vulnerabilidades de manera automática, de manera persistentes como fuera posible. El servicio era un SaaS que llevaba el espíritu de la FOCA y de mi trabajo de PhD que estuvo escaneando webs de clientes de manera masiva antes incluso de que apareciera la tendencia de hacer Continuos Monitoring. El objetivo, por supuesto, era reducir el tiempo de exposición de una vulnerabilidad publicada.

Figura 3: "The Art of Pentesting" El nuevo libro de

0xWord para formarse como pentester

En la parte de explotación de las vulnerabilidades, pues lo mismo. Desde que se creó Metasploit, se busca eso. En este caso, con vulnerabilidades conocidas, pero automatizando con payloads la generación de exploits adaptados a objetivos concretos. De nuevo, con un objetivo de automatización y acelerar el proceso de explotación de bugs descubiertos. Y por supuesto, permite la creación en nuevos vulnerabilidades y nuevos payloads con sus propio lenguaje. Lo que sería The Art of Pentesting.

Y llegaron los LLMs

Por supuesto, cuando llegaron los LLM, estos comenzaron a ser parte de las herramientas de búsqueda de vulnerabilidades y de su explotación. Con la madurez, vimos como los resultados comenzaron a ser espectaculares. En el año 2024 tuvimos el paper de "LLM Agents can Autonomously Hack Websites", que sigue la filosofía de hacer un Faast, pero utilizando modelos de lenguaje de Inteligencia Artificial, lo que daba un resultados espectaculares construyendo SQL Inejction.

Figura 4: "LLM Agents can autonomouslly hack websites" 

Se publicó en el año 2024, al igual que el paper de "LLM Agents can Autonomously Exploit One-day Vulnerabilities" para dada una lista de CVEs parcheados en un software, utilizar LLMs para intentar hacer el exploit de manera automática. Todo esto antes de aquel 1 de Diciembre de 2024 cuando OpenAI publicó el primer modelo de Deep Reasoning que daría origen a la carrera de los Agentic AI.

Figura 5: LLM Agents can Autonomously Exploit One-day Vulnerabilities

Con la llegada de los modelos de Deep Reasoning, todo cambió. Comenzamos a construir Agentes IA que hicieran Red Teaming, realizando las fases de footprinting, fingerprinting, busca de vulnerabilidades y explotación de las mismas. 

Y llegaron los Deep Reaoning al mundo de la Ciberseguridad

Así, en 2025 tuvimos el paper de "On the Feasibility of Using LLMs to Execute Multistage Network Attacks" donde se crea una Agentic AI para hacer el trabajo completo de un pentester - o de un ciberatacante - automatizando todas las fases con Inteligencia Artificial. Y el resultado es brutal.

Figura 6: On the Feasibility of Using LLMs to Execute Multistage Network Attacks

Este trabajo anterior, tiene la gracia de que, sin utilizar MCPs, demuestra cómo, al crear una capa de abstracción para que el LLM pueda utilizar las herramientas sin pegarse con el CLI (Command Line Interface)  a la que llama Incalmo - la efectividad del Agentic AI para hacer ataques a organizaciones es espectacularmente satisfactoria. Así que estaba claro que el futuro de la Seguridad Ofensiva pasaba por la IA.

Figura 7: CAI: An Open, Bug Bounty-Ready Cybersecurity AI

En Abril CAI (Cybersecurity AI) compite en competiciones CTF (Capture The Flag) con equipos de hackers especializados, y consigue llegar al puesto número 20 del cuadro de ganadores, resolviendo 19/20 retos. Pero lo brutal es que quedó en esa posición porque no dio con la idaa feliz que resolvía el número 20, pero había sido el primero en resolver los 19 primeros retos.

Figura 8: Ranking de AI Agents en reto "AI vs Humans"

Esto nos deja el año pasado con un escenario donde los modelos LLM de IA se utilizan para Buscar Vulnerabilidades y Explotarlas. El mundo del Pentesting había cambiado definitivamente, y publicamos el libro de "Hacking & Pentesting con Inteligencia Artificial" donde nos centramos en cómo sacarle partido a la IA para hacer el trabajo de seguridad ofensiva que tantas veces hemos hecho sin ella.

Figura 9: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso.

Y es que, buscar y explotar vulnerabilidades con modelos de IA se convirtió en algo bastante sencillo. El año pasado por estas fechas yo publiqué el artículo de "Usar Deep Reasoning en GitHub para buscar ( y parchear ) Bugs en proyectos Open Source" donde, viendo lo fácil que es buscar vulnerabilidades con modelos de Deep Reasoning, no podíamos permitirnos tener el sistema como lo teníamos hasta el momento.

Figura 10: Bug de LDAP Injection alertada en LABE

Mi preocupación es que tenemos todo el código de los proyectos OpenSource disponibles para que un modelo de IA encuentra las vulnerabilidades, y que en todo caso, deberíamos utilizar esas capacidades para acelerar la creación de partches. La plataforma Plexicus, que está empujando José Palanco, hace justo eso, generar parches con IA de manera automática.

Figura 11: Plexicus parchea con GenAI los bugs

Y esto es algo que para acelerar, se puede hacer con Neo de Sagittal.ai, que tiene en la generación de parches con IA una de sus capacidades de codificación más importantes. Usar IA para eliminar bugs que han sido descubiertos por IA.

Figura 12: Comienza a probar Neo desde hoy mismo

En Octubre del año pasado Google presentó CodeMender, que utilizando esta misma idea lo había estado usando para analizar y parchear código de proyectos OpenSorce con un Agente AI. Y si veis el proceso en el vídeo siguiente, el modelo es muy, muy, muy similar a lo que tenéis con Pléxicus.

Figura 13: Esquema de funcionamiento de CodeMender

Es decir, el camino del uso de los MM-LLM para buscar vulnerabilidades, para explotarlas, y para parchearlas no es nueva. Hace dos semanas tuvimos la investigación de "Cómo crear un exploit 1-day sobre un CVE de Chrome con Vibe Coding usando Claude Opus (no Mythos) y poner en jaque todas las apps en Electron" donde con poco más de 2.000 USD se conseguía un 1-Day para Google Chrome que era un 0-day para Cursor, Discord o Slack.

Figura 14: Explotación del CVE-2026-5873 con Claude Code. Horas, tokes y coste

Y es una salvajada poder hacer eso, simplemente con IA. Por supuesto, probando con el 86-DOS del año 1981 buscar los bugs y hacer los exploits en un sistema sin DEP, ASRL, y demás protección de la pila, la memoria y la llamada a funciones, es un juego de niños para la IA, como os conté.

Figura 15: PoC de Exploit para el bug 1

Estaba claro hacía donde vamos, y las capacidades de la IA, así que no nos podemos dormir. Hemos visto en estos dos años cómo ha ido cambiando todo, pero de repente, esto se complica porque...

Y entonces llegó Mythos

Pero claro, ahora llega Mythos, y aumentan la potencia en descubrimiento y explotación de vulnerabilidades, lo que obliga a repensar la estrategia de los CISOs, como se ha publicado en el paper de la Cloud Security Alliance titulado "The AI Vulnerability Storm: Building a Mythos-Ready Security Program".

Figura 16: "The AI Vulnerability Storm: Building a Mythos-Ready Security Program".

Nos encontramos con que desde el descubrimiento de una bug, hasta su explotación, si el CVE está publicado, el tiempo se reduce hasta unas 20 horas, como hemos visto en el ejemplo anterior. Unos tiempos que dejan casi sin margen de maniobra a los equipos de seguridad que tienen que parchear sistemas complejos en la grandes empresas.

Figura 17: Reducción de Time-To-Exploit año a año

Y lo peor, con las capacidades de un modelo como Mythos, el principal problema para los CISOs es que, un atacante con estas capacidades puede encontrar Bugs Complejos, crear Exploits Robustos y Funcionales, y hacerlo no como era hasta hora, donde en bugs complejos necesitaba de un humano que le iba dirigiendo, sino que se hace en 1 Single Prompt.

Figura 18: Exploits con Mythos

Y parece que esto es así, porque si vemos la última actualización de seguridad e Mozilla Firefox - que ha sido auditado por Mythos - el resultado es que han parchado más bugs que en toda su historia, y más que sumados los últimos quince meses. No está mal.

Figura 19:  Mozilla Firefox y 432 bugs parcheados tras auditarlo con Mythos

La Gestión después de llegar Mythos

Claro y... ¿cómo lo solucionamos? ¿Cómo lo gestionamos?  Esa es la gran pregunta que deben responder los CISOs ante el comité ejecutivo de la empresa, y exige una inversión en la seguridad preventiva y en la fortificación de la plataforma.

Las vulnerabilidades están en los sistemas porque aunque es verdad que el ratio de líneas de código con bugs por volumen de líneas de código se ha reducido drásticamente, el número de líneas de código que tienen las tecnologías que se usan en la empresa hoy en día ha crecido exponencialmente. Y si ahora tenemos con la IA la posibilidad e encontrarlas mucho más rápido, explotarlas en tiempo record, y poder ponerlas en juego todas a la vez, la cosa se pone complicada.

Por supuesto, anticiparse a la auditoría de las vulnerabilidades es fundamental, así que hacer a revisiones de código con LLMs - Mythos o no - cuanto antes, es fundamental. Pero luego estresar los sistemas de defensa perimetral, ya que es mucho más fácil y rápido firmar los ataques externos que parchear un sistema en producción crítico de la organización.

Figura 20: Cloudflare Edge Network

Los equipos de Cloudforce ONE y las protecciones en el WAF de Cloudflare gracias a ser la mayor plataforma en el EDGE de Internet, están detectando del orden de 232 Billones de ataque al día, con actualizaciones constantes cada hora de nuevas explotaciones de vulnerabilidades firmadas, actualizando la plataforma en todo el mundo en tiempos record por debajo del minuto. 

Con el objeto de poner lo más difícil posible a un atacante poder explotar una vulnerabilidad existente en uno de los servicios expuestos en la red de cualquier empresa en Cloudflare. Para eso, también se usa la IA para hacer el triage del tráfico de red sospechoso, y para la generación de reglas de firmado y configuraciones de seguridad en los servicios de protección perimetral.

Figura 21:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

¿Es esto suficiente? Pues a mí me gusta decir que, en medio de esta tormenta perfecta, las empresas están desplegando modelos de IA embebidos en los servicios digitales que también - surprise, surprise - traen vulnerabilidades como Prompt Injection, Jailbreak, Misalignment, Hallucinations, y si vemos los CVSS de los bugs que salen, los niveles son mucho más altos en media, lo que hace que sea otra de las preocupaciones para los CISOs. 

Figura 22: Configuración de Guardarrailes en Workers de Cloudflare

Tener Guardarraíles en el WAF, el RAG, la protección de los API Gateway, el MCP Server y el CASBI, y hacerlo sin caer en ataques de DDoS lógico por el alto costo computacional de ejecutar Guardrails robustos, como os conté en el artículo de "Cómo desplegar Inteligencia Artificial con seguridad en una empresa". Y hacerlo sin ser un blocker para la transformación al mundo de la IA de la empresa. No ser el blocker malo. 

Con todo esto, más vale que si en tu empresa quieras apostar por la IA, comiences a apoyar no solo a tu CIO y tu CTO, sino a tu CISO, que el panorama que se viene por delante es, cuanto menos, muy retador. Ya sabes que en Ciberseguridad, los ahorros pueden salir muy caros.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

27th International Information Security Conference: La Evolución de la Ciberseguridad

Sí, sé que os he dicho que estaré en el II Congreso de Hackers en Segovia el próximo 13 de Noviembre, y así será. Pero antes, por la mañana, estaré en la 27th International Information Security Conference que tendrá lugar también ese día 13 de Noviembre, en el estadio de fútbol del Atlético de Madrid. En el Metropolitano.

Figura 1: 27th International Information Security Conference.

La Evolución de la Ciberseguridad

La conferencia tiene un tamaño respetable, con una lista de ponentes espectacular, ya que en un solo día van a tener en paralelo siete tracks de discusiones, paneles, charlas, etcétera. La mía, en el Track 1 de Ciberseguridad será una charla con el gran Roberto Baratta.

Figura 2: La Evolución de la Ciberseguridad.

Chema Alonso y Roberto Baratta.

Roberto Baratta es un viejo amigo y compañero de mil una batallas. Más de las que la gente se imagina, que desde antes de que yo usara el gorro en mis charlas, ya iba con él a CaixaNova, NovaGalicia Banco, Abanca y tantas cosas, que la vida lo mismo nos junta en Vigo, que en Miami que en Madrid, que en Lisboa. Así que hemos comido, cenado, tomado refrigerios y charlado desde que yo era un jovencito, y el un profesional enorme.

Figura 3: Track 1 Cyber Security Policy & Strategy

Así que charlaremos, no sé de qué, que seguro que em pregunta cosas "a pillar", pero seguro que será entretenido y divertido para mí, que estar con el ahora también "Presidente del ISMS Forum", puede dar juego para cualquier cosas. Ya veremos.

Figura 4: Ponentes del 27th International Information

Security Conference del ISMS Forum

Pero como os he dicho, la lista de ponentes es larga, porque no es sólo un track, sino un total de siete agendas en paralelo para debatir de los temas que preocupan a los CISOs, uno de los puestos profesionales más sufridos por ser la primera línea de defensa contra los malos en el mundo digital.

Figura 5: Los 7 tracks del 27th International Information

Security Conference del ISMS Forum

Y como os he dicho, la lista de expositores, ponentes y panelistas es de lo más florida. Merece la pena que veas todos los profesionales que van a asistir. Entre todos, la experiencia en Ciberseguridad debe estar cerca a 1.000 años, ya que hay alrededor de un centenar de expositores con una experiencia media que debe rondar los 10 años... Ahí lo dejo.

Figura 6: Ponentes del 27th International Information

Security Conference del ISMS Forum

Los temas de los que se van a hablar, pues van a ser de lo más variado, y este año, además, con foco en la nueva generación de CISOs con menos de 40 años, que es algo que se está intentando impulsar desde el ISMS Forum y a mí me mola mucho la idea.

Figura 7: Temas a tratar en todos los tracks

Así que si quieres un evento en el que hacer Networking, en el que puedas conocer de primera mano en qué consiste el trabajo de los CISOs, en conocer lo que otros compañeros de profesión están haciendo, o las últimas tendencias tecnológicas en Ciberseguridad, éste es el lugar en Madrid y en España.

Figura 8: Ponentes del 27th International Information

Security Conference del ISMS Forum

Yo tendré poco tiempo, pero si quieres verme a mí, o conocer más de Cloudflare, ya sabes que puedes contactar siempre conmigo en mi buzón público, o acercarte al evento que te presentaré al resto del equipo que se está construyendo de Cloudflare en España.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

¿Cuál es la mejor solución AntiDDos para defenderse de los Ataques DDoS en Internet?

Si eres un profesional del mundo de la Ciberseguridad, ya sea en el Blue Team, en el Red Team o directamente el CISO de una compañía, seguro que ya sabes la respuesta a esta pregunta, y sabes que Cloudflare tiene la mejor solución AntiDDoS en Internet por algo que es intrínseco a la arquitectura de la plataforma de la compañía, pero para los que no sabéis por qué, dejadme que os lo explique en un artículo cortito que va a hacer que lo entendáis e una forma muy sencilla.

Figura 1: ¿Cuál es la mejor solución AntiDDos para

defenderse de los Ataques DDoS en Internet?

Esta pregunta que os hecho en el título la podías responder sin necesidad de que yo escribiera este artículo, ya que si vas a cualquier lugar de Internet lo vas a encontrar de una forma u otra. Podéis preguntarle a cualquier buscador de GenAI, y si no os contesta que es Cloudflare, entonces es que no funciona y tienes que cambiar de buscador.

Figura 2: La mejor solución AntiDDoS hoy en día según ChatGPT

Como os he dicho, esta información es fácil de conocer, y cualquier CISO de una organización que tiene claro que perder su puesto de trabajo por que la solución AntiDDoS que ha implantado no proteja suficientemente sus activos, probablemente tiene Cloudflare como protección. Las grandes empresas digitales en Internet que basan sus ingresos en modelos de suscripción SaaS, pero la mayoría de los e-commerce que vemos hoy en día. 

Intensidad de los Ataques DDoS

La primera de ellas es la virulencia e intensidad de los Ataques DDoS que tenemos hoy en día, donde en Cloudflare se han detectado ataques de hasta 29,4 y 29,7 Tbs, que seguro que es un tráfico mucho mayor que el que soporta la conexión a Internet de todos los servidores expuestos en la red. 

Figura 3: Los ataques DDosS más grandes mitigados por Cloudflare

Y estos dos últimos han sido en este mes de Octubre, e indica que esto no va a parar, sino que va a seguir creciendo en intensidad. Así que, si tienes un activo en Internet que es la fuente de tus ingresos, y no estás protegido contra estos ataques que se ejecutan a nivel mundial, la cosa pinta mal.

El Edge como Superficie de Exposición

El segundo punto importante de por qué las soluciones AntiDDoS de Cloudflare son capaces de mitigar estos ataques se basan en varios conceptos que tienen que ver con el diseño de la plataforma en el Edge de Cloudflare, que desde el inicio está pensada para dotar de Seguridad y Alto Rendimiento a todos los servicios de Internet. ¿Cómo? Pues sencillo, con una red global de nodos en el Edge que forman una única plataforma.

Figura 4: La plataforma y la red de Cloudfalre en el Edge

Como podéis ver en la imagen, en Julio de este año, la capacidad de tráfico en el Edge que soporta la red de Cloudflare es de 405 Tbps, gracias a tener una red distribuida por más de 330 ciudades en el mundo en más de 120 países, lo que hace que tenga 3 veces más capacidad en el Edge que la suma de todos los otros proveedores AntiDDos. Pero es que está conectado a más de 13.000 redes directamente para lograr la distribución de tráfico más rápida en el Edge posible. Y es que la plataforma de Cloudflare tiene el Doble de Puntos de Presencia en Edge en el mundo a la suma de todos los demás proveedores. Vamos, Cloudflare es el "Big Gorilla" en el Edge.

Figura 5: Un Edge que se gestiona a escala global

Pero la magia final es que es una única plataforma mundial, que cuando detecta un ataque de DDoS, este es distribuido tanto en origen como de manera coordinada, para evitar que se pueda tumbar un PoP, haciendo que todos los nodos colaboren en las distribución del ataque. ¿Cómo? Pues gracias primero a la gestión de manera global del tráfico, y en segundo lugar, gracias al diseño de la red AnyCast de Cloudflare.

Una red Anycast para distribuir la superficie en el Edge

Cuando un servicio está publicado en Cloudflare, su dirección IP está distribuida de forma Anycast, o lo que es lo mismo, está en todos los nodos del Edge. Cuando un cliente se quiere conectar a esa dirección IP, la dirección está publicada en el nodo más cercano a la persona. Es decir, que las 12.000 redes a las que está conectado alguno de los PoP de Cloudflare, cada cliente tiene a unos 20 ms la dirección IP que busca, porque está en el nodo más cercano a él, igual que está en el resto de los PoPs. 

Figura 6: Diferencia entre Anycast & Unicast

¿Y qué efecto tiene en la protección AntiDDoS? Pues sencillo, supongamos una botnet que controla millones de dispositivos en Internet, y son utilizados para hacer un Ataque de DDoS contra una dirección IP de Internet. Este tráfico de ataque tendrá muchos orígenes distintos, y vendrá desde muchas redes distintas, así que si la dirección IP es una dirección IP Anycast en la plataforma Edge de Cloudflare, cada parte del tráfico de ataque se gestiona en un nodo diferente. Divide y Vencerás en la protección por diseño.

Figura 7: El ataque es distribuido en origen, y distribuido en destino

Después, si se diera el caso de que hay mayor impacto en un nodo en concreto del PoP, la gestión global de la red permite que parte de este tráfico sea redirigido a PoPs más cercanos sin pararse a limpiarlo, con lo que se el análisis del tráfico y su limpieza se comparte entre nodos más descargados. Y mientras tanto, el tráfico legítimo que ha sido limpiado es enviado correctamente al servicio que sigue funcionando.

Figura 8: La mejor solución AntiDDoS según Gemini, y las razones de por qué

Estas características únicas de la plataforma de Cloudflare le permiten a cualquier sitio de Internet protegido por los servicios AntiDDoS tener una superficie mundial de defensa. Y la magia se produce ya cuando, desde una de las herramientas de seguridad de la plataforma, ya sea WAF, DLP,  Cloud Access Security Broker, Bot Control, AI Audit, e-mail Filtering, Content Filtering, etcétera, da igual la que sea, la configuras, la aplicas, y en segundos está distribuida en todos los PoP del mundo. Único. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

I Congreso de Ciberseguridad ETJ: El valor de proteger la información, las personas y las empresas. Ciberseguridad en el C-Level.

El próximo 29 de Noviembre, en Madrid, tendrá lugar el I Congreso de Ciberseguridad ETJ: El valor de proteger la información, las personas y las empresa, cuya dirección académica dirige el Ilmo. Sr. Eloy Velasco Núñez, Magistrado de la Audiencia Nacional, y que ha preparado una formación intensa de alto nivel técnico, pero en el área, legal, de cumplimiento regulatorio, de gestión de seguridad, de administración. Es decir, pensada para los profesionales de Ciberseguridad que quieren llegar al C-Level.

Figura 1: I Congreso de Ciberseguridad ETJ: El valor de proteger

la información, las personas y las empresa 29 de Noviembre.

Ciberseguridad en el C-Level.

Como sabéis, el C-Level, o el nivel de "Chief", cuenta con varios roles de ciberseguridad que tienen que ver con la parte de más de gestión de los planes directores de seguridad, como son los que llevan los CSO (Chief Security Officer) o CISO (Chief Information Security Officer), o con la parte regulatoria/legal, como son el CCO (Chief Compliance Officer), o desde la parte regulatoria de privacidad, como el CDPO (Chief Data Privacy Officer) o CPO (Chief Privaty Officer). Y por supuesto, para los CLO (Chief Legal Officer) que van a gestionar incidentes de ciberseguridad en las empresas.

Figura 2: Entrevista a Eloy Velasco sobre el

I Congreso de Ciberseguridad ETJ

Estos roles son fundamentales en todas las medianas y grandes empresas, y el área de ciberseguridad tenemos mucha formación técnica, de investigación, de comunicad de ciberinteligencia, o directamente nuestras CONs de Hackers. Pero el número de eventos de formación desde el punto de vista más regulatorio y legal para profesionales que quieren ser C-Suite es menor. 

Figura 3: Contactar con Eloy Velasco en MyPublicInbox

Para ello, el gran Eloy Velasco - que ha hecho esta pequeña entrevista, ha desarrollado esta jornada intensiva, donde entre otros está nuestro compañero Chief Compliance Officer de Telefónica, D. Manuel Crespo. Aquí tienes la agenda.

• 09:45-10:00: Inauguración.

• 10:00-10:45: Introducción a la Ciberseguridad. Infraestructuras, redes, sistemas y su aseguramiento. Certificación, Reglamento de resiliencia operativa digital (DORA). Gobernanza digital.
• Ponente: D. Javier Puyol. Of Counsel de MA Abogados. Ex Magistrado. Ex Director de los Servicios Jurídicos del BBVA.

• 10:45-11:30: Ley de Servicios Digitales: Intermediación, Alojamiento, Plataformas on line y Plataformas de gran tamaño (gatekeepers), Digital Services Act.
• Ponente: Dª. Ofelia Tejerina Rodríguez. Abogada, Doctora en Derecho Constitucional por la UCM. Premio Mejor Jurista Digital ENATIC 2021. Presidenta Asociación de Internautas.

• 11:30-11:50: Pausa-Café.

• 12:00-12:45: Ciberdelincuencia Intrusiva. Pornografía Infantil, Child Grooming, Acoso, descubrimiento y revelación de secretos. Custodia documentos / violación de secretos para su venta; contra el orden público; incitación al odio y violencia contra grupos; delitos de protección a la infancia.
• Ponente: D. Ángel Perrino. Fiscal de la Sección de Criminalidad informática de la Fiscalía de Madrid. www.etj.es

• 12:45-13:45: Ciberdelincuencia Económica. Estafa, defraudación, hurto de tiempo, daños informáticos contra la propiedad intelectual e industrial, espionaje informático de secretos de empresa, falsedad, spoofing, falsedad de tarjetas, blanqueo de capitales.
• Ponente: Ilmo. Sr. D. Eloy Velasco. Magistrado - Juez de la Audiencia Nacional.

• 13:45-14:30: Cómo proteger a las empresas en el ámbito de la ciberseguridad. Consecuencias jurídicas.
• Ponente: D. Francisco Pérez Bes. Ex Director del INCIBE - Instituto Nacional de Ciberseguridad. Abogado Derecho Digital en Ecix.

• 16:30-17:15 Ciberseguridad y Protección de Datos. Retos para las Empresas.
• Ponente: D. José Luis Piñar Mañas. Ex Director de la Agencia de Protección de datos. Catedrático de Derecho Administrativo de la Universidad San Pablo. Of Counsel de CMS Albiñana y Suárez de Lezo.

• 17.15-18.00: Ciberseguridad: Cumplimiento Normativo en Grandes Empresas.
• Ponente: D. Manuel Crespo de la Mata. Chief Compliance Officer de Telefónica

• 18.00-18.45: Seguridad desde el diseño en la Inteligencia Artificial
• Ponente: D. Ricard Martínez Martínez. Director de la Cátedra de Privacidad y Transformación Digital Microsoft-Univesitat de Valencia.

• 18:45-19:30 Metaverso y Ciberseguridad.
• Ponente: D. Moisés Barrio Andrés. Letrado del Consejo de Estado. Doctor en Derecho Digital. 

• 19:30-20:10: Debate Final

Tienes el programa completo y detallado en la web del evento del I Congreso de Ciberseguridad ETJ: El valor de proteger la información, las personas y las empresas, donde verás que hay dos modalidades de inscripción con dos modelos de pago, y en el programa del evento que tienes en la web tienes cómo formalizar el pago.

• Presencial: Precio inscripción: 240 €/persona. Aforo limitado por riguroso orden de inscripción. 
• Conexión en streaming: Precio inscripción: 125 €/persona. Se indicarán oportunamente los datos de acceso.
• Visualización en diferido en www.etj.es: Precio inscripción: 125 € /persona. (Los contenidos estarán disponibles a partir del 15 diciembre de 2022 y por un plazo de 40 días a partir de dicha fecha.)

En MyPublicInbox, en la sección de Convierte tus Tempos, puedes conseguir un código de descuento con el 10% de reducción (24€ o 12.5€) en el precio para cualquiera de las modalidades de inscripción, pero solo hay 20 códigos para los 20 primeros que los soliciten por Tempos.

Figura 4: Código 10% de descuento en MyPublicInbox

Además, en esta jornada se entregarán Tempos de MyPublicInbox a todos los asistentes, habrá libros de 0xWord que se regalarán entre los asistentes, y una evaluación de capacidades de Singularity Hackers. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)