A mediados de la década de 1980, una diferencia de apenas 75 centavos de dólar en los registros de un laboratorio de investigación parecía un problema administrativo menor, sin embargo, aquella pequeña anomalía llevó a Clifford Stoll, astrónomo y administrador de sistemas del Lawrence Berkeley National Laboratory (LBL), a descubrir una intrusión informática que terminaría relacionada con una red internacional de espionaje durante la Guerra Fría.
En agosto de 1986, Clifford Stoll asumió la gestión de los sistemas informáticos en el Lawrence Berkeley National Laboratory (LBL) y durante una revisión rutinaria de las cuentas del tiempo de procesamiento en la computadora del laboratorio, Stoll detectó una pequeña discrepancia financiera: un desfase de 75 centavos de dólar.
La cantidad era insignificante, pero el registro no cuadraba. Al revisar el sistema, Stoll encontró que una cuenta de usuario había utilizado recursos informáticos sin que ese tiempo apareciera correctamente registrado para su facturación. En lugar de corregir simplemente el descuadre, decidió averiguar qué había ocurrido. Pronto descubrió que alguien había conseguido acceso no autorizado al sistema y estaba utilizando una cuenta que no le pertenecía.
Lo que comenzó como una diferencia contable se convirtió entonces en una pregunta mucho más importante: ¿quién había entrado al sistema y qué estaba buscando?
El título del libro de Stoll The Cuckoo's Egg proviene del comportamiento biológico del cuco, un ave parásita que deposita sus huevos en los nidos de otras especies. Cuando el huevo del cuco eclosiona, la cría empuja fuera del nido los huevos legítimos y consume los recursos aportados por los padres adoptivos, quienes no perciben el engaño. Stoll utilizó esta metáfora para describir el método de intrusión del hacker.
La comparación resulta adecuada para describir la intrusión ya que el atacante había introducido su presencia dentro de sistemas ajenos y utilizaba la infraestructura de otras organizaciones para continuar sus actividades sin llamar inicialmente la atención, aprovechaba vulnerabilidades y cuentas comprometidas para acceder a diferentes sistemas. Una vez dentro, podía explorar nuevos equipos y redes, utilizando los sistemas afectados como puntos de partida para continuar su recorrido.
El laboratorio de Berkeley no era necesariamente el objetivo final, en buena medida, funcionaba como un punto desde el cual el atacante podía alcanzar otros sistemas conectados a las redes académicas, gubernamentales y militares de la época.
Stoll decidió no limitarse a bloquear la cuenta comprometida. Quería saber hasta dónde llegaba la intrusión y durante meses observó las conexiones del atacante y registró cuidadosamente sus movimientos. En una época en la que las herramientas de monitoreo de redes eran muy diferentes de las actuales, tuvo que recurrir a soluciones poco convencionales para seguir el rastro de las conexiones realizadas mediante módems.
El seguimiento reveló que el intruso intentaba acceder a numerosos sistemas conectados a redes como ARPANET y MILNET. Entre la información que buscaba había documentos relacionados con proyectos militares estadounidenses, incluida información vinculada con la Iniciativa de Defensa Estratégica (SDI).
Había un problema ya que las conexiones internacionales podían durar muy poco tiempo y para identificar su origen, las autoridades necesitaban disponer de suficiente tiempo para rastrear la llamada telefónica y Stoll encontró una forma ingeniosa de conseguirlo.
Creó archivos y sistemas señuelo que simulaban contener información militar de interés para el atacante de los cuales uno de ellos estaba relacionado con un supuesto proyecto denominado SDInet. La estrategia funcionó y el atacante permaneció conectado durante un periodo mucho más prolongado mientras consultaba y descargaba la información ficticia y ese tiempo adicional permitió seguir el recorrido de la conexión telefónica hasta Hannover, en Alemania Occidental.
La investigación terminó relacionando las conexiones con Markus Hess, un programador alemán que había utilizado redes informáticas estadounidenses para obtener información. Las investigaciones posteriores realizadas en Alemania determinaron que Hess había obtenido material procedente de sistemas militares y gubernamentales estadounidenses y que parte de esa información había llegado a los servicios de inteligencia soviéticos.
Sin embargo, para Stoll, la importancia de aquella experiencia iba más allá de identificar a un atacante ya que su investigación mostró lo difícil que podía ser detectar una intrusión cuando el responsable utilizaba cuentas legítimas, sistemas de terceros y redes distribuidas entre diferentes países.
La historia de El huevo del cuco comenzó con algo que parecía demasiado pequeño para importar: 75 centavos. Pero aquella diferencia permitió descubrir una cadena de acontecimientos que involucraba sistemas comprometidos, redes internacionales y espionaje durante los últimos años de la Guerra Fría.
Más de tres décadas después, la tecnología ha cambiado, pero la lección permanece: una anomalía aparentemente insignificante puede ser la primera señal de un incidente mucho mayor.
Por eso, en ciberseguridad, revisar los registros, identificar comportamientos inusuales y conservar evidencias no son tareas menores. En ocasiones, la pista que permite descubrir una intrusión no está en una gran alarma, sino en un pequeño dato que alguien decidió no pasar por alto.
Stoll, Clifford. The Cuckoo's Egg: Tracking a Spy Through the Maze of Computer Espionage. Doubleday, 1989.
INSTITUTO POLITÉCNICO NACIONAL
D.R. Instituto Politécnico Nacional (IPN). Av. Luis Enrique Erro S/N, Unidad Profesional Adolfo López Mateos, Zacatenco, Alcaldía Gustavo A. Madero, C.P. 07738, Ciudad de México. Conmutador: 55 57 29 60 00 / 55 57 29 63 00.
Esta página es una obra intelectual protegida por la Ley Federal del Derecho de Autor, puede ser reproducida con fines no lucrativos, siempre y cuando no se mutile, se cite la fuente completa y su dirección electrónica; su uso para otros fines, requiere autorización previa y por escrito de la Dirección General del Instituto.
