Contrarestando Ataques de Seguridad

Nombre de Ataque

Descripción

Remediación

DoS / DDoS

(Denegation of Service en inglés, Denegación de Servicio en español)

Este ataque se enfoca en generar una falla en el modo como los usuarios finales acceden a información o servicios.  El tipo más común es generando una sobrecarga de solicitudes a los equipos (servidores) donde se aloja dicha información o servicio interrumpiendo el acceso a otros usuarios, generando así la percepción de un fallo generalizado.

Para prevenir este tipo de ataques es necesario:

• Contar con una infraestructura como un WAF (Web Application Firewall) cuando hablamos de servicios web.
• Implementación de reglas de filtrado a nivel de routers y firewalls.
• Bloqueo de direcciones IP sin uso.
• Solo permitir acceso a tráfico deseado (ej. zonas geográficas especificas)
• Deshabilitar servicios de red innecesarios.
• Contar con una muy buena política de contraseñas.
• Limitar el ancho de banda que accede a los servicios.

MITM

Man in the Middle (Hombre en el medio en español)

Este suele suceder en un entorno cuando se intercepta la comunicación entre dos o más servicios, puede afectar redes sociales, web, correo electrónico y todo lo que pueda ser intervenido en el transito al punto de destino.

• Extensiones de correo seguro S/MIME que permite la firma de correos electrónicos y la encripción de los mismos con el fin de evitar si transito como texto plano.
• Certificados de autenticación tanto en los equipos como en los servicios web que permitan corroborar la autenticidad del tráfico generado al interior de la empresa.

Nombre de Ataque

Descripción

Remediación

Social Engineering (Ingeniería Social)

Este tipo de ataque influencia a personas con el fin que permitan sin conocimiento el acceso a lugares y/o elementos donde se almacena información confidencial.  La manera más conocida es teniendo acceso a tarjetas de acceso u obsequiando un elemento que abrirá una puerta de acceso remoto a información.

• Realizando capacitaciones al interior de la compañía acerca de los riesgos de exhibir los métodos de identificación corporativos.
• Restringiendo la ejecución y acceso a información por dispositivos de almacenamiento sin previa autorización.
• Reforzar periódicamente la importancia de la seguridad y el manejo de contraseñas seguras por parte de usuarios finales indiferente el cargo en la compañía.

OS Finger Printing (Huella de Sistema Operativo)

Esta amenaza se ejecuta por medio de servicios de rastreo de acceso de equipos a una red y determinando que tipo de sistema operativo esta ejecutando de manera que se puede realizar un ataque a la medida de las vulnerabilidades que presente el equipo objetivo, es tan fácil de ejecutar con tan solo una instrucción de nmap o un aplicativo como Wireshark se puede realizar este tipo de revisiones a lo largo de la red.

• Implementación de un firewall tanto físico como a nivel de software que prevenga este tipo de revisiones.
• Restricción de puertos para hacer sniffing a lo largo de la infraestructura de red de la organización.

Escaneo de Puertos

Este no es en sí un ataque, pero puede serlo desde el punto de vista de encontrar equipos que permitan el acceso irrestricto por medio de puertos de comunicación detectables desde otros equipos.

• Conocer los puertos abiertos y que tipo de tráfico manejan a lo largo de la red.
• Eliminar servicios innecesarios y siempre mantener usuarios con claves de acceso seguras.
• Conocer los niveles de acceso de los servicios disponibles en cada elemento de la red.

Nombre de Ataque

Descripción

Remediación

Keyloggers

Este tipo de amenaza puede usarse tanto a nivel de software como de hardware donde se registran todas las pulsaciones de teclas, en el caso de hardware requiere el acceso físico al dispositivo.  Al usar un software keylogger a menudo se requiere de un malware que infecta el sistema para tener acceso a dicha información.

• Para el caso de software, disponer de una solución de antivirus que detecte este tipo de actividad.
• En el caso de hardware, para evitarlos siempre utilizar las opciones disponibles de teclado virtual con el fin de evitar la captura de claves.

ICMP Tunneling

Este es usado normalmente para evitar firewalls que no permiten el bloqueo o delimitación de paquetes ICMP y así poder realizar el envió de solicitudes directo por medio de TCP y PING con el fin de evadir restricciones de navegación

• En este caso particular se requiere un firewall que permita delimitar el tamaño máximo de los paquetes y el modo en que viajan por la red siempre realizando la encripción de los mismos.

Ataques a Aplicaciones WEB

Inyección SQL: Forzar un servidor de bases de datos a dar una respuesta ante una instrucción básica.

Cross Site Request: Transmisión de datos en los cuales confía un sitio web pero que tienen una finalidad de acceder o falsificar información.

Envenenamiento de Cookies: Implica la modificación del contenido de una cookie con el fin de acceder a información del usuario y robar su identidad.

Phishing: Comúnmente denominado suplantación se realiza en su mayoría por medio de correos electrónicos suplantando una solicitud para derivar al usuario a un sitio web con las mismas características del original, pero con el único fin de robar datos bancarios o información de contraseñas.

• Implementación de WAF para prevenir el acceso tanto por medio de Inyección SQL, Cross Site y Envenenamiento de Cookies a las aplicaciones.
• Implementar verificadores de autenticidad como captchas y certificados que permitan confirmar la interacción con el usuario final.
• En el caso del phishing la mejor opción es implementando soluciones de detección de este tipo de correos electrónicos.
• Siempre revisar la finalidad y la idoneidad del mensaje recibido.
• Contar con un firewall a nivel de software y un antivirus que pueda detectar este tipo de amenazas se hace necesario.

Nombre de Ataque

Descripción

Remediación

Malware

Es un software malicioso que permite el acceso a funciones básicas del sistema e incluso realizar una afectación a la integridad de los datos contenidos en el/los equipo(s) afectados.  El medio más común de dispersión de estas infecciones es usando anuncios falsos y paginas de contenido no muy recomendable.  Otro modo de dispersión es por medio de redes inalámbricas abiertas.

• Contar con una solución Antivirus/AntiMalware que permita la detección y prevención de este tipo de amenazas.
• Mantener el Antivirus y Softwares con las actualizaciones más recientes.
• Ejecutar escaneos o revisiones periódicas por parte del antivirus.
• Pensar antes de dar clic
• Realizar copias de seguridad de los archivos.

Adware / Spyware

Software respaldado por publicidad y también espía el contenido o tráfico desde nuestro equipo hacia la red permitiendo el acceso a contenido confidencial.

• Al igual que el malware la mejor recomendación es mantener tanto el antivirus como el sistema operativo correctamente actualizado.
• Prevenir dar clic y descargar programas que puedan ser “patrocinados” sin leer y comprender los contratos y permisos o accesos que se conceden en el equipo.

Rootkit

Software pensado y realizado con el fin de obtener acceso total a nuestros equipos con un nivel de permisos de administrador y sin restricciones, muy comúnmente acompañado de la última categoría de amenaza.

• Controlar cuantas cuentas y de qué nivel de acceso tienen.
• Siempre cambiar la clave por defecto que tiene el usuario administrador de nuestros equipos.
• Contar con una aplicación de antivirus y ejecutar chequeos periódicos.

Ransomware

Software que en la mayoría de las ocasiones se acompaña de un rootkit y que permite generar un proceso de encripción de los archivos contenidos en nuestro computador con la finalidad de que el atacante pueda solicitar una recompensa a cambio de la revelación de la clave maestra de descifrado.  Este software tiene la capacidad de diseminarse a lo largo de una red donde se encuentre un equipo infectado.

• Preservar copia de seguridad de nuestros archivos.
• Contar con un antivirus capaz de detectar este tipo de amenazas.
• Mantener actualizado el Sistema Operativo.
• Restringir el tipo de trafico y recursos compartidos al interior de la red.
• Controlar los niveles de accesos de las cuentas de usuarios en cada equipo.