AMENAZAS LÓGICAS

Amenazas Lógicas:

Los protocolos de comunicación utilizados carecen (en su mayoría) de seguridad o esta ha sido implementada en forma de "parche" tiempo después de su creación.

Existen agujeros de seguridad en los sistemas operativos.

Existen agujeros de seguridad en las aplicaciones.

Existen errores en las configuraciones de los sistemas.

Los usuarios carecen de información respecto al tema.

Esta lista podría seguir extendiéndose a medida que se evalúen mayor cantidad de elementos de un Sistema Informático.

Las empresas u organizaciones no se pueden permitir el lujo de denunciar ataques a sus sistemas, pues el nivel de confianza de los clientes (ciudadanos) bajaría enormemente.

Los Administradores tienen cada vez mayor conciencia respecto de la seguridad de sus sistemas y arreglan por sí mismos las deficiencias detectadas. A esto hay que añadir las nuevas herramientas de seguridad disponibles en el mercado.

Los "advisories" (documentos explicativos) sobre los nuevos agujeros de seguridad detectados y la forma de solucionarlos, lanzados por el CERT, han dado sus frutos.

Acceso - Uso - Autorización

La identificación de estas palabras es muy importante ya que el uso de algunas implica un uso desapropiado de las otras.

Específicamente "Acceso" y "Hacer Uso" no son el mismo concepto cuando se estudian desde el punto de vista de un usuario y de un intruso. Por ejemplo:

Cuando un usuario tiene acceso autorizado, implica que tiene autorizado el uso de un recurso.

Cuando un atacante tiene acceso desautorizado está haciendo uso desautorizado del sistema.

Pero, cuando un atacante hace uso desautorizado de un sistema, esto implica que el acceso fue autorizado (simulación de usuario).

Luego un Ataque será un intento de acceso, o uso desautorizado de un recurso, sea satisfactorio o no. Un Incidente envuelve un conjunto de ataques que pueden ser distinguidos de otro grupo por las características del mismo (grado, similitud, técnicas utilizadas, tiempos, etc.).

John D. Howard(1) en su tesis estudia la cantidad de ataques que puede tener un incidente. Al concluir dicho estudio y basado en su experiencia en los laboratorios del CERT afirma que esta cantidad varía entre 10 y 1.000 y estima que un número razonable para estudios es de 100 ataques por incidentes.

Detección de Intrusos

A finales de 1996, Dan Farmer (creador de una de las herramientas más útiles en la detección de intrusos: SATAN) realizó un estudio sobre seguridad analizando 2.203 sistemas de sitios en Internet. Los sistemas objeto del estudio fueron Web Sites orientados al comercio y con contenidos específicos, además de un conjunto de sistemas informáticos aleatorios con los que realizar comparaciones.

El estudio se realizó empleando técnicas sencillas y no intrusivas. Se dividieron los problemas potenciales de seguridad en dos grupos: rojos (red) y amarillos (yellow).

Los problemas del grupo rojo son los más serios y suponen que el sistema está abierto a un atacante potencial, es decir, posee problemas de seguridad conocidos en disposición de ser explotados. Así por ejemplo, un problema de seguridad del grupo rojo es un equipo que tiene el servicio de FTP anónimo mal configurado. Los problemas de seguridad del grupo amarillo son menos serios pero también reseñables. Implican que el problema detectado no compromete inmediatamente al sistema pero puede causarle serios daños o bien, que es necesario realizar tests más intrusivos para determinar si existe o no un problema del grupo rojo.

La tabla 7.1 resume los sistemas evaluados, el número de equipos en cada categoría y los porcentajes de vulnerabilidad para cada uno. Aunque los resultados son límites superiores, no dejan de ser... escandalosos.

Como puede observarse, cerca de los dos tercios de los sistemas analizados tenían serios problemas de seguridad y Farmer destaca que casi un tercio de ellos podían ser atacados con un mínimo esfuerzo.

Identificación de las Amenazas

La identificación de amenazas requiere conocer los tipos de ataques, el tipo de acceso, la forma operacional y los objetivos del atacante.

Las consecuencias de los ataques se podrían clasificar en:

Data Corruption: la información que no contenía defectos pasa a tenerlos.

Denial of Service (DoS): servicios que deberían estar disponibles no lo están.

Leakage: los datos llegan a destinos a los que no deberían llegar.

Desde 1990 hasta nuestros días, el CERT viene desarrollando una serie de estadísticas que demuestran que cada día se registran más ataques informáticos, y estos son cada vez más sofisticados, automáticos y difíciles de rastrear.

La Tabla 7.2 detalla el tipo de atacante, las herramientas utilizadas, en que fase se realiza el ataque, los tipos de procesos atacados, los resultados esperados y/u obtenidos y los objetivos perseguidos por los intrusos.

Cualquier adolescente de 15 años (Script Kiddies), sin tener grandes conocimientos, pero con una potente y estable herramienta de ataque desarrollada por los Gurús, es capaz de dejar fuera de servicio cualquier servidor de información de cualquier organismo en Internet, simplemente siguiendo las instrucciones que acompañan la herramienta.

Los número que siguen no pretenden alarmar a nadie ni sembrar la semilla del futuro Hacker. Evidentemente la información puede ser aprovechada para fines menos lícitos que para los cuales fue pensada, pero esto es algo ciertamente difícil de evitar.

Nota I: Estos incidentes sólo representan el 30% correspondientes a los Hackers.Nota II: En 1992 el DISA(2) realizó un estudio durante el cual se llevaron a cabo 38.000 ataques a distintas sitios de organizaciones gubernamentales (muchas de ellas militares). El resultado de los ataques desde 1992 a 1995 se resumen en el siguiente cuadro(3):

Puede observarse que solo el 0,70% (267) de los incidentes fueron reportados. Luego, si en el año 2000 se denunciaron 21.756 casos eso arroja 3.064.225 incidentes en ese año.

Nota III: Puede observarse que los incidente reportados en 1997 con respecto al año anterior es menor. Esto puede deberse a diversas causas:

Las empresas u organizaciones no se pueden permitir el lujo de denunciar ataques a sus sistemas, pues el nivel de confianza de los clientes (ciudadanos) bajaría enormemente.

Los administradores tienen cada vez mayor conciencia respecto de la seguridad de sus sistemas y arreglan por sí mismos las deficiencias detectadas. A esto hay que añadir las nuevas herramientas de seguridad disponibles en el mercado.

Los "Advisories" (documentos explicativos) sobre los nuevos agujeros de seguridad detectados y la forma de solucionarlos, lanzados por el CERT, han dado sus frutos.

Tipos de Ataques

A continuación se expondrán diferentes tipos de ataques perpetrados, principalmente, por Hackers. Estos ataques pueden ser realizados sobre cualquier tipo de red, sistema operativo, usando diferentes protocolos, etc. En los primeros tiempos, los ataques involucraban poca sofisticación técnica. Los Insiders (operadores, programadores, data entrys) utilizaban sus permisos para alterar archivos o registros. Los Outsiders ingresaban a la red simplemente averiguando una password válida. A través de los años se han desarrollado formas cada vez más sofisticadas de ataque para explotar "agujeros" en el diseño, configuración y operación de los sistemas.

Ingeniería Social

Ingeniería Social Inversa

Trashing (Cartoneo)

Ataques de Monitorización

Ataques de Autenticación

Denial of Service (DoS)

Ataques de Modificación - Daño

Errores de Diseño, Implementación y Operación

Muchos sistemas están expuestos a "agujeros" de seguridad que son explotados para acceder a archivos, obtener privilegios o realizar sabotaje. Estas vulnerabilidades ocurren por variadas razones, y miles de "puertas invisibles" son descubiertas (cada día) en sistemas operativos, aplicaciones de software, protocolos de red, browsers de Internet, correo electrónico y todas clase de servicios informático disponible.

Los Sistemas operativos abiertos (como Unix y Linux) tienen agujeros mas conocidos y controlados que aquellos que existen en sistemas operativos cerrados (como Windows©). La importancia (y ventaja) del código abierto radica en miles de usuarios analizan dicho código en busca de posibles bugs y ayudan a obtener soluciones en forma inmediata.

Constantemente encontramos en Internet avisos de nuevos descubrimientos de problemas de seguridad (y herramientas de Hacking que los explotan), por lo que hoy también se hace indispensable contar con productos que conocen esas debilidades, puedan diagnosticarlas y actualizar el programa afectado con el parche adecuado.

implementación de las técnicas

A lo largo de mi investigación he recopilando distinto tipos de programas que son la aplicación de las distintas técnicas enumeradas anteriormente. La mayoría de las mismos son encontrados fácilmente en Internet en versiones ejecutables, y de otros se encuentra el código fuente, generalmente en lenguaje C, Java y Perl.

Cada una de las técnicas explicadas (y más) pueden ser utilizadas por un intruso en un ataque. A continuación se intentarán establecer el orden de utilización de las mismas, pero siempre remarcando que un ataque insume mucha paciencia, imaginación acumulación de conocimientos y experiencia dada (en la mayoría de los casos) por prueba y error.

Identificación del problema (víctima): en esta etapa se recopila toda la información posible de la víctima. Cuanta más información se acumule, más exacto y preciso será el ataque, más fácil será eliminar las evidencias y más difícil será su rastreo.

Exploración del sistema víctima elegido: en esta etapa se recopila información sobre los sistemas activos de la víctima, cuales son los más vulnerables y cuales se encuentran disponibles. Es importante remarcar que si la victima parece apropiada en la etapa de Identificación, no significa que esto resulte así en esta segunda etapa.

Enumeración: en esta etapa se identificaran las cuentas activas y los recursos compartidos mal protegidos. La diferencia con las etapas anteriores es que aquí se establece una conexión activa a los sistemas y la realización de consultas dirigidas. Estas intrusiones pueden (y deberían) ser registradas, por el administrador del sistema, o al menos detectadas para luego ser bloqueadas.

Intrusión propiamente dicha: en esta etapa el intruso conoce perfectamente el sistema y sus debilidades y comienza a realizar las tareas que lo llevaron a trabajar, en muchas ocasiones, durante meses.

Contrariamente a lo que se piensa, los sistemas son difíciles de penetrar si están bien administrados y configurados. Ocasionalmente los defectos propios de la arquitectura

de los sistemas proporciona un fácil acceso, pero esto puede ser, en la mayoría de los casos, subsanado aplicando las soluciones halladas.

¿Cómo defenderse de estos Ataques?

La mayoría de los ataques mencionados se basan en fallos de diseño inherentes a Internet (y sus protocolos) y a los sistemas operativos utilizados, por lo que no son "solucionables" en un plazo breve de tiempo.

La solución inmediata en cada caso es mantenerse informado sobre todos los tipos de ataques existentes y las actualizaciones que permanentemente lanzan las empresas desarrolladoras de software, principalmente de sistemas operativos.

Las siguientes son medidas preventivas. Medidas que toda red y administrador deben conocer y desplegar cuanto antes:

Mantener las máquinas actualizadas y seguras físicamente

Mantener personal especializado en cuestiones de seguridad (o subcontratarlo).

Aunque una máquina no contenga información valiosa, hay que tener en cuenta que puede resultar útil para un atacante, a la hora de ser empleada en un DoS coordinado o para ocultar su verdadera dirección.

No permitir el tráfico "broadcast" desde fuera de nuestra red. De esta forma evitamos ser empleados como "multiplicadores" durante un ataque Smurf.

Filtrar el tráfico IP Spoof.

Auditorias de seguridad y sistemas de detección.

Mantenerse informado constantemente sobre cada unas de las vulnerabilidades encontradas y parches lanzados. Para esto es recomendable estar suscripto a listas que brinden este servicio de información.

Por último, pero quizás lo más importante, la capacitación continua del usuario.

Las amenazas de seguridad

La más reciente conferencia Black Hat en Las Vegas reunió un grupo de investigadores en temas de seguridad que demostraron las nuevas formas de atacar servicios que funcionan a través de cloud computing.

Dentro de los servicios que utilizaron para ejemplificar ciertas vulnerabilidades en la estructura de funcionamiento de la nube destacan Amazon S3, MobileMe de Apple y la plataforma de Salesforce.com. Una de las preocupaciones de la transición de la tecnología actual a la nube es la proliferación de métodos inseguros al tratar con passwords y distintos tipos de hacks. Sin embargo, esa no es la única preocupación y creo que es un asunto de interés para todos hacernos la siguiente pregunta:

¿Está la tecnología cloud poniéndonos a nosotros y a nuestra información en peligro?

Todos los huevos en una sola canasta

De los peligros más grandes que nos presenta la nube es el equivalente a aquella vieja frase de “poner todos los huevos en una sola canasta”.

Los amigos que hicieron la presentación de Sensepost nos proveen varios ejemplos que incitan a preocuparnos por la integridad de nuestra información. Te recomiendo que veas su trabajo, en formato PowerPoint y por si no habías escuchado de ellos, son una compañía independiente que se especializa en temas de seguridad informática.

El sitio de bookmarking llamado Ma.gnolia experimentó una caída de los servidores que resultó en pérdidas masivas de información, suficientes para que el servicio cerrara debido a que la información de los usuarios no pudo ser recuperada… ni podrá serlo.

Este fue un accidente con poca incidencia a la larga, pero también ha habido otros casos similares en donde los usuarios han sido afectados. Por ejemplo, el servicio de almacenaje MediaMax salió del mercado luego de un error del sistema que eliminó información de los consumidores. También sucedió que los clientes de Salesforce sufrían mientras les era imposible acceder a sus aplicaciones por la interrupción del servicio.

Estas eventualidades solo resaltan algunas de las debilidades de la excesiva confianza que tenemos en los servicios de cloud computing, lo que nos lleva al problema #2.

Exceso de confianza

El caso de Amazon Web Services es emblemático y los de Sensepost lo analizaron con detenimiento. El proceso de utilización del servicio implica iniciar una nueva instancia dentro de la EC2 de Amazon (Elastic Compute Cloud) y crear una AMI (Amazon Machine Image) que contenga tus aplicaciones, librerías, información y datos.

Como una alternativa puedes utilizar una imagen pre-configurada para estar listo para utilizar el servicio en un dos por tres. Solo que hay un problema con eso. Mientras que Amazon nos ha provisto con 47 imágenes de máquina (si se vale la traducción literal), cuando las 2721 restantes fueron construidas por usuarios. ¿Cuántas de esas creen que fueron construidas de forma segura?

El contenido generado por usuarios puede ser descrito en una sola palabra: RIESGOSO.

Lo normal es que las personas utilicen máquinas y protocolos creados por alguien más, porque servicios como el de Amazon demuestran que muchas de las imágenes (o demás instancias en otros servicios, pero igualmente creados por usuarios) dejan muchas puertas traseras para la fuga de información.

El asunto de las contraseñas en cloud computing

Otro asunto preocupante de los servicios de computación en nube es que, a pesar de las medidas de protección que implementan todas las empresas, TODA CUENTA de TODO USUARIO es sólo TAN SEGURA COMO EL PASSWORD QUE LE CONCEDE ACCESO A ELLA.

Un ejemplo reciente de las consecuencias de utilizar contraseñas inseguras fue evidente hace poco tiempo en el caso Twittergate. Este fue un evento en el que un hacker obtuvo numerosos documentos corporativos pertenecientes al popular servicio de microblogging, Twitter, publicados por el sitio de noticias y tecnología TechCrunch.

Estos documentos estaban alojados en Google Docs y a pesar de que Google no puede aceptar la responsabilidad por la fuga de información, los archivos no hubieran sido robados en primer lugar si hubieran estado seguramente albergados detrás de un firewall, algo así como siguiendo el modelo de la vieja escuela. En lugar de eso, la información clave de la compañía estaba a un paso de ser descubierta, “a un password descifrado de distancia”.

La diferencia entre una red corporativa y una cuenta en línea es que en un ecosistema de negocios, los administradores pueden crear políticas para la creación de contraseñas que los obliguen a mantener ciertos niveles de complejidad y pueden obligarlos a crear nuevas contraseñas periódicamente. No obstante, en la nube, tenemos la libertad de establecer lo que sea como contraseña y no volver a cambiarlos nunca más.

Esta es un área que aún necesita mucho trabajo.

Encripción de datos en la nube

Otra de las flaquezas (poco conocidas) de la computación en nube es que pocas máquinas tienen acceso a los números generados al azar que se necesitan para cifrar información.

Los detalles de este lío son excesivamente técnicos pero el resultado es que la mera naturaleza de la computación virtual hace mucho más simple la tarea a los hackers porque les permite adivinar con facilidad los números utilizados para generar las llaves de cifrado.

Si bien este no es un problema inmediato que amenaza la integridad de la nube, sí requerirá investigación al largo plazo.

Usar adecuadamente los servicios de la nube

Si consideramos los problemas ya descritos, probablemente pensaremos dos veces antes de confiar en los servicios que funcionan a través de la nube. Incluso peor, el material de lectura sobre los peligros de esta nueva tendencia no puede sino asustarnos. Aquí hay sólo un par de artículos y podcasts que les ayudará a seguir ampliando el tema:

Entrevista de BlackHat a Alex Stamos

Artículo de Forbes sobre seguridad en cloud computing

Artículo en el Financial Times.

Pero, ¿en verdad es tan malo? ¿es la nube una plataforma peor de lo que ya tenemos?

En realidad, a pesar de que la nube traerá bajo el hombro un paquete de retos y amenazas con las que estaremos lidiando en el futuro inmediato, esto será precisamente durante las primeras fases de la transición. Tampoco presenta amenazas necesariamente peores que las del sistema tradicional.

Al final de cuentas, el mercado como ente regulador y espontáneo hará que los desarrolladores y propietarios de servicios para la nube hagan propuestas cada vez más sólidas y seguras. Serán justamente esas personas quienes serán mejor recompensadas por sus esfuerzos y serán precisamente sus plataformas las que serán adoptadas por los usuarios.

Los servicios que funcionan a través de la nube no son como deberían ser actualmente, pero en poco tiempo podrán competir fácilmente con cualquier otra plataforma. En efecto, podría llegar el día donde sean consideradas incluso más seguras. Hasta entonces, los usuarios deben proceder con precaución cuando se muden a la nube. Al menos, deben hacerlo conscientes de las capacidades Y LOS RIESGOS que ello implica

Lista de amenazas de seguridad

Guía de Seguridad elaborada por Mercedes Martin. Security & Privacy Initiatives

Vulnerabilidades en el Software: Debilidad en el software que podría ser explotada.

Ataques Directos

- Trabajadores Descontentos

- Clientes Insatisfechos

- Competidores

Malware

- Virus: Malware cuyo cometido es alterar el funcionamiento normal de un ordenador.

- Gusanos: Programa parecido a un virus, cuya principal característica es la capacidad de poder replicarse a si mismos.

- Troyanos: Programas que se introducen en el ordenador, para realizar acciones con el objetivo de tomar el control del sistema afectado.

Ataques de Denegación de Servicio (DOS): Ataque que evita al usuario la utilización de determinados servicios.

Spam: Correo basura o no deseado.

Spyware: Programas espía que recopilan información.

Contenido inapropiado o ilegal

Phishing: Suplantación de identidad de una página Web.

Vishing: es una práctica fraudulenta en donde se hace uso del Protocolo VoIP y la ingeniería social para engañar a personas.

Snifadores de Paquetes: Programas que capturan información en los paquetes que cruzan los nodos de conmutación de las redes.

Acceso a Wifi’s inseguras

Web Sites con código malicioso

- Instalando Troyanos

- Redirección a un site indeseado

- Robo passwords

- Instalación de keyloggers

- Adware/ spyware/ lectura cookies

Ataques a las Contraseñas

- Ataque de Fuerza Bruta

- Snifadores de Paquetes

- Suplantación de IP: Consiste en la sustitución de una dirección IP origen de un paquete TCP/IP por otra dirección IP a la cual se desea suplantar.

- Troyanos

Según un estudio realizado recientemente por Inteco, 8 de cada 10 equipos se encuentran infectados con algún tipo de código malicioso. Ante estos datos tan alarmantes, Microsoft ha elaborado una Guía de Seguridad que intenta describir los pasos prioritarios que una empresa debe implementar para proteger su entorno.Es necesario incidir en la necesidad de un cambio de concepción, que conlleva al empleo de medidas reactivas a proactivas en la gestión de la seguridad. Las medidas reactivas son soluciones parciales, medidas de protección implementadas sin apenas intervención del usuario, que básicamente consisten en “la instalación del producto” sin un seguimiento y control continuado.

Si desea evaluar los puntos débiles de su entorno de seguridad de IT puede usar la herramienta gratuita de Evaluación de Seguridad de Microsoft (MSAT), diseñada para ayudar a las organizaciones de menos de 1.000 empleados.

Paso 1: Establecer la política de seguridad de la empresa

Los riesgos a los que se ven expuestas las empresas llevan consigo la creación de directrices que orienten hacia un uso responsable de los recursos y evitar su uso indebido, lo cual puede ocasionar serios problemas a los activos de una empresa.Las políticas de seguridad son documentos que constituyen la base del entorno de seguridad de una empresa y deben definir las responsabilidades, los requisitos de seguridad, las funciones, y las normas a seguir por los trabajadores de la empresa.

Qué debe incluir su política de Seguridad de la empresa

Responsables del desarrollo, implantación y gestión de la política

- Director de Política de Seguridad. Personal encargado de realizar, supervisar, inspeccionar, modificar las normas y reglas establecidas en la política de seguridad.

- Director de Seguridad. Personal encargado de, en virtud de la política de seguridad establecida, asignar roles de acceso a la información, proveer de permisos y soportes informáticos, controlar la entrada y salida de información, identificación y resolución de incidencias, etc.

Cree una directiva de uso aceptable

Una directiva de uso aceptable es un documento en el que se informa a los empleados de lo que pueden y no pueden hacer en los equipos de la empresa.Ponga por escrito las normas que espera que se cumplan. Puede describir su política sobre la creación de contraseñas, indicar la frecuencia de cambio de contraseñas o mencionar el riesgo que supone abrir archivos adjuntos de correo electrónico de remitentes desconocidos. También puede incluir la prohibición de instalar software no autorizado en los equipos. En este documento, que debe ser firmado por todos los empleados, tienen que constar las sanciones (en casos extremos, incluso el despido) por contravenir esas normas. En su calidad de propietario o director del negocio, también deberá firmar una copia de la directiva.

Si la directiva es larga y detallada, ayude a los empleados a recordar los puntos principales con un resumen de una página que puede distribuir y colocar cerca de sus estaciones de trabajo.

Plan de Actuación en caso de alarma de Seguridad

1. Protéjase de los virus y el software espía

Los virus, así como los gusanos y los troyanos, son programas maliciosos que se ejecutan en su equipo. Entre las acciones que pueden provocar este tipo de código malicioso se encuentran: borrado o alteración de archivos, consumo de recursos del equipo, acceso no autorizado a archivos, infección de los equipos de los clientes con los que se comunique mediante correo electrónico… El virus se puede extender por los equipos de su empresa y producir momentos de inactividad y pérdidas de datos muy graves. Existen herramientas de eliminación de software malintencionado que

comprueban infecciones por software malintencionado específico y ayuda a eliminarlas

Instale software antivirus. Debe disponer de protección antivirus en todos sus equipos de escritorio y portátiles. El software antivirus examina el contenido de los archivos en su PC en busca de indicios de virus. Cada mes aparecen cientos de virus nuevos, por lo que hay que actualizar periódicamente los antivirus con las últimas definiciones para que el software pueda detectar los nuevos virus.

2. Actualizaciones SW

A los piratas informáticos les gusta encontrar y aprovechar cualquier error de seguridad en los productos de software más populares. Cuando Microsoft u otra compañía descubren una vulnerabilidad en su software, suelen crear una actualización que se puede descargar de Internet (tanto para el Sistema Operativo como cualquier aplicación que se tenga instalada). Es necesario instalar las actualizaciones tan pronto se pongan a la disposición del público.

3. Configure un firewall

Un firewall es un programa encargado de analizar tanto el tráfico entrante como saliente de un equipo, con el fin de restringir la entrada de diversas amenazas.

4. Evite el correo electrónico no deseado (Spam)

El spam son mensajes de correo electrónico comercial no solicitado.Si recibe un correo electrónico de un remitente desconocido elimínelo sin abrirlo, puede contener virus, y tampoco responda al mismo, ya que estaría confirmando que su dirección es correcta y esta activa. No realice envió de publicidad a aquellas personas que no hayan autorizado previamente el consentimiento de recibir publicidad, ya que podría ser sancionado por la Agencia de Protección de Datos. Adopte medidas de protección frente al correo electrónico no deseado. Como filtros de correo electrónico actualizados.

5. Utilice solamente software legal

El uso de software ilegal además de generar riesgos de carácter penal, también puede generar problemas en la seguridad de la información, lo que lo que conlleva a pérdidas en la rentabilidad y productividad de la organización. El software legal ofrece garantía y soporte.

6. Navegación Segura

- Acceda únicamente a sitios de confianza.

- Analice con un antivirus todo lo que descarga antes de ejecutarlo en su equipo.

- No explore nunca sitios Web desde un servidor. Utilice siempre un equipo o portátil cliente.

- Mantenga actualizado su navegador a la última versión.

- Configure el nivel de seguridad de su navegador según sus preferencias.

- Descargue los programas desde los sitios oficiales para evitar suplantaciones maliciosas (Phishing).

- Configure su navegador para evitar pop-ups emergentes.

- Utilice un usuario sin permisos de Administrador para navegar por Internet, así impide la instalación de programas y cambios en los valores del sistema.

- Borre las cookies, los ficheros temporales y el historial cuando utilice equiposajenos para no dejar rastro de su navegación.

E- commerce

- Observe en la barra de navegación de su navegador, que la dirección Web comienza por https: indica que se trata de una conexión segura y el contenido que transfiera será cifrado por la Red.

- Observe que aparece un candado en la parte inferior derecha de su navegador. Esto significa que la entidad posee un certificado emitido por una autoridad certificadora, el cual garantiza que realmente se ha conectado con la entidad destino y que los datos transmitidos son cifrados.

Paso 3: Proteja su red

Guía de Seguridad elaborada por Mercedes Martin. Security & Privacy Initiatives

Si su compañía trabaja con una red con cables o inalámbrica y tiene información que desea mantener confidencial, preste atención a los siguientes consejos:

1. Utilice contraseñas seguras

Informar a los empleados de la importancia de las contraseñas es el primer paso para convertir las contraseñas en una valiosa herramienta de seguridad de la red, ya que dificultan la suplantación de su usuario. Es decir, no se debe dejar en cualquier parte ni se debe compartir.

Características de una contraseña "segura":

- Una longitud de ocho caracteres como mínimo; cuanto más larga, mejor.

- Una combinación de letras mayúsculas y minúsculas, números y símbolos.

- Se debe cambiar cada 90 días como mínimo y, al cambiarla, debe ser muy distinta de las contraseñas anteriores.

2. Proteger una Red WIFI

Para maximizar seguridad en la red Wifi es necesario usar la siguiente lista de consejos en conjunto.

2.1 Ocultar el SSID

Ocultar el identificador SSID al exterior es una buena medida para evitar las intrusiones, aunque este dato puede descubrirse fácilmente aunque este se presente oculto.

2.2 Cambiar el nombre SSID

2.3 Encriptación WEP

Se basa en claves de 64 ó 128 bits. La encriptación WEP no es la opción más segura.

2.4 Encriptación WPA o WPA2(Wi-Fi Protected Access )

Surgió como alternativa segura y eficaz al WEP, se basa en el cifrado de la información mediante claves dinámicas, que se calculan a partir de una contraseña.

2.5 Cambiar clave de acceso del punto de acceso

Es necesario modificar las claves de acceso periódicamente.

3. Configure un firewall

Un firewall es simplemente un filtro que controla todas las comunicaciones que pasan de una red a la otra y en función de lo que sean permite o deniega su paso.Un firewall puede ser un dispositivo software o hardware

Paso 4: Proteja sus servidores

Guía de Seguridad elaborada por Mercedes Martin. Security & Privacy Initiatives

En el momento en que los servidores están en peligro, también lo está toda la red.

1. Certificados de servidor

Identifican a los sitios Web. Requiere de la existencia de una autoridad certificadora (CA) que afirme, mediante los correspondientes certificados de servidor, que éstos son quienes dicen ser antes del establecimiento del canal seguro. Le permitirá establecer comunicaciones seguras con sus clientes, cifrando la conexión usando la tecnología SSL para que no pueda ser leída por terceros.

2. Mantenga sus servidores en un lugar seguro

Las empresas deben asegurarse de que sus servidores no son vulnerables a las catástrofes físicas. Coloque estos equipos en una sala segura y con buena ventilación. Haga una relación de los empleados que tienen las llaves de la sala de servidores.

3. Práctica de menos privilegios

Asigne distintos niveles de permisos a los usuarios. En vez de conceder a todos los usuarios el acceso "Administrador, debe utilizar los servidores para administrar los equipos cliente. Los servidores de Windows se pueden configurar para conceder a cada usuario acceso únicamente a programas específicos y para definir los privilegios de usuario que se permiten en el servidor. De este modo se garantiza que los usuarios no pueden efectuar cambios que son fundamentales en el funcionamiento del servidor o equipo cliente.

4. Conozca las opciones de seguridad

Los servidores actuales son más seguros que nunca, pero las sólidas configuraciones de seguridad que se encuentran en los productos de servidor de Windows sólo son eficaces si se utilizan del modo adecuado y se supervisan estrechamente.

Paso 5: Mantenga sus datos a salvo

Guía de Seguridad elaborada por Mercedes Martin. Security & Privacy Initiatives

La combinación de estas cuatro prácticas debe proporcionar el nivel de protección que necesita la mayoría de las empresas para mantener sus datos a salvo.

1. Copias de seguridad de los datos cruciales

La realización de copias de seguridad de los datos significa crear una copia de ellos en otro medio. Por ejemplo, puede grabar todos los archivos importantes en un CD-ROM o en otro disco duro.

Es recomendable probar las copias de seguridad con frecuencia mediante la restauración real de los datos en una ubicación de prueba.

2. Establezca permisos

Se pueden asignar distintos niveles de permisos a los usuarios según su función y responsabilidades en la organización. En vez de conceder a todos los usuarios el acceso "Administrador" (instituya una política de "práctica de menos privilegios”).

3. Cifre los datos confidenciales

Cifrar los datos significa convertirlos en un formato que los oculta. El cifrado se utiliza para garantizar la confidencialidad y la integridad de los datos cuando se almacenan o se transmiten por una red. Utilice el Sistema de archivos cifrados (EFS) para cifrar carpetas y archivos confidenciales.

4. Utilice sistemas de alimentación ininterrumpida (SAI)

Para evitar que los equipos informáticos no se interrumpan bruscamente en caso de corte del suministro eléctrico y para filtrar los “microcortes” y picos de intensidad, que resultan imperceptibles, es recomendable el uso de SAI.