Download actualizaciones de software

ACTUALIZACIONES DE
SOFTWARE
INTECO-CERT
Mayo 2011
La presente publicación pertenece al Instituto Nacional de Tecnología de la Comunicación (INTECO) y esta bajo
licencia Reconocimiento-No comercial 3.0 España de Creative Commons, y por ello estar permitido copiar, distribuir
y comunicar públicamente esta obra bajo las condiciones siguientes:
Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros,
citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web:
www.inteco.es. Dicho reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho
tercero o apoya el uso que hace de su obra.
Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y
exhibidos mientras su uso no tenga fines comerciales.
Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas
condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en
esta licencia menoscaba o restringe los derechos morales de INTECO.
http://creativecommons.org/licenses/by-nc-sa/3.0/es/
El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format).
Así, se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual,
marcado de idioma y orden de lectura adecuado.
Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible
en la sección Accesibilidad > Formación > Manuales y Guías de la página
Actualizaciones de Software
http://www.inteco.es
2
INDICE
1.
2.
3.
4.
5.
INTRODUCCIÓN
NECESIDAD DE LAS ACTUALIZACIONES
SISTEMA OPERATIVO
4
5
6
3.1
Microsoft
6
3.2
Apple
9
3.3
Ubuntu
11
NAVEGADORES
13
4.1
16
Plugins
SOFTWARE DE APOYO
18
5.1 Secunia PSI
18
5.2 Techtracker Free
20
5.3 Conan
22
Actualizaciones de Software
3
1. INTRODUCCIÓN
Cuando un desarrollador/fabricante publica un programa (sistema operativo, lector de
documentos, reproductor de vídeo, etc.) pueden aparecen fallos de seguridad. Estos fallos
de seguridad, a los que denominaremos vulnerabilidades, son aprovechados por los
cibercriminales para tratar de infectar nuestro equipo con software malicioso con el
objetivo de robar nuestros datos, usar nuestro equipo para su «trabajo», etc. Desde
INTECO-CERT siempre hemos hecho hincapié en la constante atención sobre las
actualizaciones de nuestro sistema operativo así como aquellos programas que puedan
implicar un agujero de seguridad en caso de ser explotados por un atacante o cualquier
tipo de malware. No seguir estas recomendaciones es temerario, lo mismo que otra serie
de acciones por parte del usuario como son: el uso de cuentas privilegiadas, abrir ficheros
adjuntos o URL de fuentes desconocidas, carecer de un Firewall o de Antivirus que nos
avise de acciones sospechosas, etc.
El presente contenido tiene como objetivo ofrecer una serie de recomendaciones así
como pautas a seguir a la hora de actualizar nuestros sistemas con el apoyo de
herramientas gratuitas que permiten simplificar enormemente la gestión de
actualizaciones sin que ello conlleve una rutina que resulte engorrosa y consuma tiempo
al usuario final.
El documento se encuentra dividido en una serie de apartados ordenados por orden de
importancia en función de su criticidad. De esta forma, se comenzarán explicando las
configuraciones recomendadas en los sistemas operativos más comunes, así como
herramientas que facilitarán el mantenimiento de los mismos para garantizar que los
componentes más importantes se encuentren actualizados y en caso de no ser así alertar
al usuario.
Posteriormente se enumerarán los métodos de actualización de cada uno de los
navegadores más utilizados (Chrome, Firefox, Opera) recomendando también
determinados complementos (plugins) y herramientas externas que proporcionarán
protección adicional a los mismos.
Actualizaciones de Software
4
2. NECESIDAD DE LAS ACTUALIZACIONES
Mientras hacemos uso de Internet y sus servicios, los ciberdelincuentes- de forma
análoga a como haría un ladrón al intentar entrar a robar a una casa– desarrollan software
malicioso para aprovechar cualquier vulnerabilidad en el sistema a través del cual infectar
el equipo. Para ello, suelen aprovechar las vulnerabilidades más recientes que tienen
tanto el sistema operativo como las aplicaciones instaladas en el mismo.
Hay que tener en cuenta que cuanto más tiempo tardemos en actualizar nuestros equipos
más tiempo estaremos expuestos a que cualquier tipo de malware pueda explotar alguna
vulnerabilidad y nuestro equipo quede bajo el control del atacante.
Para facilitar esta tarea, la mayoría de aplicaciones y sistemas operativos tienen la opción
de actualizar el sistema automáticamente, lo que permite tener los programas
actualizados sin la necesidad de comprobar manual y periódicamente si la versión
utilizada es la última disponible y, por tanto, la más segura.
Estas actualizaciones de software vienen justificadas por diferentes motivos:
 Corregir las vulnerabilidades detectadas.
 Proporcionar nuevas funcionalidades o mejoras respecto a las versiones anteriores.
Aunque es posible hacer la actualización de forma manual, lo más sencillo es hacerlo de
forma automática. De esta forma el propio sistema busca las actualizaciones y las
descarga e instala sin que nosotros tengamos que intervenir en el proceso.
Actualizaciones de Software
5
3. SISTEMA OPERATIVO
Según define la Wikipedia “Un sistema operativo (SO) es el programa o conjunto de
programas que efectúan la gestión de los procesos básicos de un sistema informático, y
permite la normal ejecución del resto de las operaciones." El SO se trata por tanto del
componente más importante de nuestro equipo al servir de intermediario entre los
recursos físicos (hardware) de nuestra máquina y las aplicaciones de usuario. Por este
motivo, debemos de estar constantemente al día de sus actualizaciones y fallos de
seguridad, sobre todo si estos afectan a servicios que pueden ser explotados
remotamente (ej: W32/Sasser).
Generalmente los sistemas operativos vienen configurados de forma predeterminada con
la opción de “Actualizaciones Automáticas” por lo que no es necesario habilitarla
manualmente.
A continuación se explicarán donde y como se activan estas directivas de seguridad en
los sistemas operativos más comunes.
3.1 MICROSOFT
El ciclo habitual de actualizaciones de Microsoft se realiza los segundos martes de cada
mes, salvo casos en los que el problema sea crítico y requiera de una actualización más
inminente; este es uno de los motivos por el que se desaconseja totalmente no tener las
actualizaciones automáticas habilitadas ya que nuestro equipo podría encontrarse
desprotegido en situaciones en las que se liberara un 0-day.
Las actualizaciones no interferirán con otras descargas y se descargarán de forma
transparente al usuario siempre y cuando esté conectado a Internet.
Para comprobar que tenemos configurado nuestro equipo correctamente siga los
siguientes pasos.
Windows XP:
1. Haga clic en “Inicio” → “Panel de control” → “Centro de seguridad”
Actualizaciones de Software
6
2. Haga clic en → “Actualizaciones automáticas”. Seleccione la opción
“Automáticas (recomendado)”→ haga clic en el botón “Aceptar”
Windows Vista:
1. Pulse en “Inicio” → “Todos los programas” → “Windows Update”.
2. En el panel izquierdo seleccione la opción “Cambiar la configuración” y
posteriormente “Instalar actualizaciones automáticamente (recomendado)”,
además se debe marcar la casilla de verificación “Permitir que todos los
usuarios instalen actualizaciones en este equipo”. Por último haga clic en el
botón «Aceptar»
Actualizaciones de Software
7
Windows 7:
1. Pulse en “Inicio” → “Todos los programas”-> “Windows Update” , en el panel
izquierdo, pulse en “Cambiar la configuración.”
2. Del desplegable de “Actualizaciones importantes”, seleccione “Instalar
actualizaciones automáticamente (recomendado)”, se marcará la opción
“Permitir que todos los usuarios instalen actualizaciones en este equipo".
Por último, hacer clic en el botón «Aceptar»
Actualizaciones de Software
8
3.2 APPLE
Mac OS X v10.5 y posteriores permiten configurar «Actualización de Software» para que
descargue actualizaciones importantes automáticamente. Cuando las actualizaciones
estén listas para su instalación, se recibirá un aviso.
El proceso para configurar las actualizaciones es el siguiente:
1. Se abre el menú principal de Mac OS, se selecciona «Preferencias del sistema», y
posteriormente la opción «Actualización de software».
Actualizaciones de Software
9
2. Es posible configurar la periodicidad de comprobación de las mismas, pudiendo
elegir entre diaria (recomendada), semanal o mensualmente.
También es posible forzar la búsqueda de actualizaciones, la forma de hacerlo es:
1. En el menú Apple seleccionar la opción “Actualización de Software"
2. En la ventana Actualización de Software, selecciona los elementos que deseas
instalar y, a continuación, haz clic en Instalar. En principio te conviene instalar todas
las actualizaciones disponibles.
Introduce un nombre de cuenta de administrador y la contraseña.
1. Una vez finalizada la instalación, reinicia el ordenador si fuera necesario.
Puedes repetir estos pasos para ver si hay más actualizaciones disponibles. Ciertas
actualizaciones de software tienen que instalarse antes que otras, por lo que puede ser
necesario repetir estos pasos varias veces para completar la secuencia de actualización.
Actualizaciones de Software
10
3.3 UBUNTU
Ubuntu también permite configurar actualizaciones automáticamente sin intervención del
usuario o bien comprobar manualmente las actualizaciones disponibles. Para ello se
seguirán los siguientes pasos:
1. La configuración de las actualizaciones se encuentra en " Sistema" →
"Administración" → "Gestor de Actualizaciones."
2. La ventana nos mostrará la opción de comprobar manualmente si existen
actualizaciones y en caso de ser así instalarlas (botón “Instalar Actualizaciones”).
Actualizaciones de Software
11
3. Desde aquí también podremos acceder a la configuración de las actualizaciones
mediante el botón “Configuración”, desde donde podremos seleccionar el tipo de
actualizaciones (importantes, recomendadas, aún no publicadas, no soportadas), el
intervalo de las mismas (diariamente, semanalmente, etc.) y si deseamos instalar
las actualizaciones de seguridad sin confirmación (opción recomendada) o bien
manualmente.
Las actualizaciones importantes de seguridad y actualizaciones recomendadas solucionan
problemas de seguridad críticos y actualizan aplicaciones y módulos del Sistema
Operativo, por lo que se recomienda que estén activadas.
Actualizaciones de la distribución:
Además de las actualizaciones de determinados programas y las actualizaciones
circunstanciales que solventan problemas de seguridad, Ubuntu publica una versión
estable de la distribución cada 6 meses proporcionando cambios importantes mediante la
instalación de nuevos paquetes y actualizaciones para los componentes de nuestro
sistema operativo. Además, Canonical proporciona soporte técnico y actualizaciones de
seguridad durante 18 meses excepto para las versiones Long Term Support (versiones
que se liberan cada cuatro versiones de Ubuntu) a las que proporcionan tres años para la
versión de escritorio y cinco para la versión servidor.
Cuando exista una versión disponible para descargar, el gestor de actualizaciones nos
avisará con un mensaje del siguiente tipo:
Actualizaciones de Software
12
4.
NAVEGADORES
Otro de los elementos imprescindibles y más utilizados en nuestros equipos es el
Navegador. Mantener nuestro navegador actualizado nos protegerá de múltiples
amenazas que se aprovechan de versiones vulnerables para llevar a cabo acciones
maliciosas en nuestro equipo.
El navegador es uno de los elementos a los que más atención tenemos que prestar ya
que es el medio principal con el que nos conectamos a Internet. Visitar una Web con un
navegador vulnerable es suficiente para infectarnos con virus, troyanos u otro tipo de
malware. Una vector de ataque utilizado por los atacantes es enviar correos electrónicos
masivamente en los que animan al usuario a abrir una determinada dirección.
Otra vía de engaño pueden ser las redes sociales o clientes de mensajería instantánea a
través de los cuales nos envían direcciones con un mensaje sugerente. Estas páginas
fraudulentas suele estar programadas para conseguir la versión de nuestro navegador y
sistema operativo que ayudarán a localizar determinadas vulnerabilidades por medio de
las cuales comprometer el equipo.
Tener nuestro navegador correctamente actualizado es fundamental si queremos estar a
salvo de las últimas amenazas. A continuación explicaremos la forma de cumplir dicho
objetivo en los navegadores más ampliamente utilizados.
Chrome
Para comprobar si se tiene instalada la última versión o existe alguna actualización
manual, se debe hacer click en el icono de "herramientas" y seleccionar "Acerca de
Google Chrome":
Si existe una actualización manual, aparecerá:
Actualizaciones de Software
13
Firefox
Para comprobar si existen actualizaciones podemos hacerlo desde la barra de
herramientas de [Ayuda >> Buscar actualizaciones...]:
NOTA: A partir de la versión 4, Firefox proporciona la opción de instalar las actualizaciones
de seguridad automáticamente cuando se reciben las notificaciones de actualización o
bien esperar hasta que el usuario acepte manualmente las mismas. Además, avisará al
usuario cuando existan complementos desactualizados y permitirá actualizarlos también a
su versión más reciente. Para seleccionar el tipo de configuración deseada siga los
siguientes pasos:
1. Pulse el menú de Firefox → “Complementos”
2. Pulse el icono de configuración en la parte superior derecha y selecciona
“Actualizar complementos automáticamente”.
Actualizaciones de Software
14
Si no desea llevar a cabo actualizaciones para determinados complementos (algo
desaconsejable) siga lo siguientes pasos:
1. Seleccione la ficha “Extensiones” en el Administrador de complementos.
2. Seleccione el complemento en el quieres deshabilitar la actualización automática y
pulse en el botón “mas”.
3. Seleccione la opción “No” en el apartado “Actualizaciones automáticas”.
De esta forma, Firefox 4 no actualizará de forma automática dicho complemento aunque
si se le indicará cuando exista una actualización disponible.
Opera
De forma similar a Chrome, opera permite actualizaciones automáticas dando diversas
opciones a la hora de configurar el tipo de actualización.
Un cuadro de diálogo aparecerá cuando se publica una nueva versión dando diversa
información sobre dicha actualización. Opera comprobará de forma periódica si existen
nuevas versiones disponibles aunque es posible comprobarla de forma manual
seleccionando la opción "Ayuda->Comprobar Actualizaciones" desde el botón Menu.
Una vez finalizada la descarga, dará la opción se instalarla inmediatamente reiniciando el
navegador o bien instalarla más adelante, instalándose la próxima vez que se inicie.
Actualizaciones de Software
15
El panel de configuración de las actualizaciones se encuentra en "Configuración>Opciones, Seguridad". Se recomienda mantener la opción de “Instalar actualizaciones
automáticamente”; de esta forma todas las actualizaciones futuras ocurrirán
silenciosamente, lo que implicará que la información acerca de la actualización se
mostrará minimizada en la barra de estado y que la instalación se realizará
automáticamente la próxima vez que inicie el navegador.
4.1
PLUGINS
El término plugin generalmente hace referencia a un complemento del navegador que
tiene capacidad de interactuar con el Sistema Operativo y con aplicaciones externas.
Los plugins permiten extender y añadir nuevas funcionalidades al navegador como por
ejemplo visualizar formatos de imagen (PDF, 3D), reproducir videos o representar
animaciones Flash. En cualquier caso, las actualizaciones de los plugins requieren una
vigilancia constante ya que además de aportar nuevas mejoras a las ya existentes, suelen
corregir vulnerabilidades que podrían ser aprovechadas por terceros para acceder a
nuestro equipo o para instalar malware.
Actualizaciones de Software
16
Un claro ejemplo sobre el nivel de criticidad que representa una falta de revisión de
nuestros plugins lo muestra un estudio realizado por el proveedor de servicios de
navegación segura Truster, según el cual dos semanas después de que Adobe liberara un
parche crítico para Flash y Acrobat Reader, casi el 80% de los usuarios de Internet eran
todavía vulnerables a dicho fallo de seguridad.
Es necesario revisar periódicamente los plugins que tenemos instalados al igual que lo es
mantener nuestro antivirus actualizado y nuestro cortafuegos activo. Existen servicios web
y herramientas gratuitas que permiten facilitar esta tarea y ahorrar gran cantidad de
tiempo.
A continuación mostraremos algunas herramientas de apoyo que nos avisarán y facilitarán
la gestión de nuestros plugins.
Check For Everyone
«Check for everyone» es un servicio web de Mozilla que comprueba el número de plugins
instalados, así como su versión, para posteriormente informar al usuario de aquellos que
no se encuentran actualizados. Además, proporcionará un enlace para descargar la última
versión de los mismos.
Si no es posible determinar la versión de algún plugin, mostrará la opción “Research” que
lanzará una búsqueda en Google con el criterio «current version plugin» seguido del
nombre del plugin. Check For Everyone actualmente soporta los siguientes navegadores:
Firefox, IE, Chrome, Safari y Opera.
Secbrowsing
Otra herramienta similar es la extensión para Chrome «Secbrowsing», la cual comprueba
periódicamente las actualizaciones de los plugins instalados alertando al usuario mediante
un icono en la barra de direcciones cuando detecta una actualización pendiente. Pulsando
este icono, mostrará aquellos plugins que necesitan ser actualizadas y un enlace a la
página de descarga, de forma similar a «Check for everyone».
Actualizaciones de Software
17
5.
SOFTWARE DE APOYO
Además de las actualizaciones del sistema operativo, nuestros equipos
contienen multitud de aplicaciones que usamos a diario y que, como cualquier
software, contienen vulnerabilidades.
Visores PDF, reproductores de música y vídeo, programas ofimáticos, clientes
de correo, etc. Todos ellos son también objeto de atacantes y por tanto también
se le debe prestar la atención necesaria para mantenerlos actualizados y a
salvo de los fallos de seguridad más recientes. Aunque existen multitud de listas
de seguridad a las que nos podemos suscribir para estar al día de las últimas
vulnerabilidades y actualizaciones más relevantes, esto resulta una opción muy
tediosa para un usuario que únicamente utiliza su equipo para trabajar y que no
dispone de tiempo suficiente para revisar las actualizaciones de seguridad más
recientes en cada uno de los programas que utiliza.
Por este motivo, una de las opciones más recomendables es apoyarnos en
herramientas de seguridad que nos simplifiquen esta tarea avisándonos cuando
algún programa de nuestro ordenador está desactualizado. De esta forma, el
usuario no tendrá que preocuparse de mirar si su software está actualizado a la
última versión ya que automáticamente nuestro equipo nos alertará o bien
actualizará cuando detecte un programa que lo necesite.
A continuación os mostraremos algunas de las herramientas gratuitas que nos
facilitarán enormemente la gestión de actualizaciones.
5.1 SECUNIA PSI
Secunia PSI es una herramienta de seguridad diseñada para detectar
programas y plugins vulnerables y desactualizados que requieran de parches
de seguridad y que pueden exponer tu equipo a ataques que rara vez son
bloqueados por antivirus tradicionales.
Puedes descargarte Secunia PSI desde su página oficial. Durante la instalación te
dará opción a elegir si “actualizar automáticamente” el software que detecte
desactualizado o bien que requiera previa autorización del usuario.
Actualizaciones de Software
18
Durante la instalación también dará la opción de seleccionar el nivel de detalle
de la información que mostrará a través de las notificaciones. Estas
notificaciones se visualizarán en el "área de notificación de Windows" justo
encima del icono de Secunia cuando se realice algún cambio o algún escaneo
del sistema. Si se selecciona la opción "Show full change information in tray
icon notifications" el Tray Icon incluirá detalles como el nombre del programa
que ha sido instalado o eliminado. Si no se selecciona, únicamente indicará
que un cambio ha ocurrido o bien que un programa ha sido añadido o
eliminado sin especificar el nombre del mismo.
Una vez que finalice la instalación, la primera vez que se ejecute Secunia PSI,
empezará a escanear en segundo plano el equipo en busca de parches de
seguridad para los programas instalados.
Actualizaciones de Software
19
Una vez finalizado el análisis, desde la página de "Scan Results" podrás ver los
el resultado del escaneo y si alguno de los programas requiere de algún parche
crítico de seguridad.
5.2 TECHTRACKER FREE
De forma similar a Secunia PSI, TechTracker permite informar al usuario
cuando algún programa de los que se encuentra en su base de datos y está
instalado en el equipo del usuario se encuentra desactualizado.
Para usar el programa es necesario crear una cuenta de CNET para poder
visualizar los resultados completos una vez realizado el análisis.
Después de descargar e instalar TechTracker, podrás ver su icono en el área
de notificación, desde donde se pude acceder a los parámetros de
configuración.
Actualizaciones de Software
20
Puede configurar la frecuencia con que debe buscar actualizaciones (diaria,
semanal o mensualmente). Por defecto, está configurado para comprobar
todos los días.
Cada vez que TechTracker realiza un escaneo de nuestra máquina nos indicará
el número de actualizaciones disponibles para los programas instalados. Para
visualizar el resultado completo del análisis pulsamos en el botón “My
Software”, llevándonos a la página de CNET TechTracker y desde donde
podremos ver el software instalado en nuestro equipo así como aquellas
versiones que se encuentras desfasadas, facilitándonos también la descarga
de la versión más reciente.
Actualizaciones de Software
21
Es importante destacar que CNET dispone de una de las mayores bases de
datos de software y que, por tanto, TechTracker únicamente se limitará a dicha
base de datos para localizar e informar al usuario sobre las actualizaciones de
software. Puede consultar más información desde su página oficial.
5.3 CONAN
Herramienta gratuita del Instituto Nacional de Tecnologías de la Comunicación
(INTECO) que alertará de configuraciones incorrectas en nuestro sistema.
Conan es una utilidad no intrusiva y pensada como complemento al antivirus
ofreciendo un servicio de seguridad capaz de analizar y detectar posibles
configuraciones de riesgo.
A partir de la información recopilada, Conan generará un informe enfocado a
prevenir fallos de seguridad y a reaccionar ante infecciones o ataques al
sistema, identificando los elementos que causan el problema y ofreciendo a su
vez soluciones para mitigar los mismos. De este modo, internautas y pymes
pueden obtener un informe inmediato del nivel de seguridad de sus PCs, lo que
podrá posibilitar un incremento en la protección del equipo de una manera
rápida y sencilla.
Desde el cuadro resumen que ofrece Conan, se puede ver los elementos de
riesgo así como las recomendaciones y posibles soluciones para corregir y
elevar el nivel de seguridad del PC. Asimismo, enlaza a la Oficina de Seguridad
del Internauta y el Catálogo de Empresas y Soluciones de Seguridad TIC donde el
usuario podrá encontrar las recomendaciones adecuadas para los diferentes
problemas de seguridad detectados, actualización de sistemas operativos, y
herramientas de seguridad, entre otros.
Para poder usar Conan es necesario previo registro desde la página de Conan.
Las credenciales que demos de alta serán las empleadas para acceder tanto a
la propia aplicación como a la plataforma Web desde la cual podemos
visualizar todos los informes realizados. Para comenzar el análisis se tiene que
introducir nuestras credenciales en Conan y una vez autenticados pulsar el
botón “Analizar”. Conan empezará a analizar múltiples aspectos de seguridad
de nuestra máquina y una vez que finalice enviará automáticamente el informe
con los resultados a la plataforma web.
Actualizaciones de Software
22
Cada informe abarca numerosos aspectos de nuestra máquina proporcionando
información detallada sobre recursos compartidos, servicios en ejecución,
conexiones de red, actualizaciones del Antivirus, ActiveX instalados, plugins,
políticas de seguridad, actualizaciones del sistema operativo, etc.
Actualizaciones de Software
23