Auditoria Informática

En octubre del 2007 vimos ataques a las cookies de google. Que gmail Aún sea beta quiere decir que pueden volver a aparecer vulnerabilidades. Además hay el riesgo en la seguridad de la información. Podemos ver el proyecto ECHELON de la CIA o lo que hace google con su adsense. Nuestra conclusión es que no deberia haber información crítica en gmail.

Unas recomendaciones básicas son:

• Utilizar la versión HTTPS en: https://mail.google.com/mail
• Formar/formarse para evitar ser engañado con ataques de enginieria social.
• Evitar la fuga de información en cláusulas contractuales, de igual forma que en USBs o CDs.
• Usar PGP a nivel empresarial siempre que se envie información crítica.
• Valorar el uso de correo dedicado con VPN para los accesos remotos.
• Valorar oferecer internet en una red aislada para el uso personal y cerrarlo en la red corporativa o cómo alternativa a utilizar técnicas de DMZ (con doble firewall).

convert this post to pdf.

De todos es sabido que las macros de office son un peligro para todo ordenador que abra un fichero no confiable. En los documentos de word se puede esconder código malicioso que instale un virus o troyano o que causen una pérdida de información.

Debido a las recientes alertas de vulnerabilidades de Adobe Reader ahora podemos considerar que los ficheros PDF también pueden ser un peligro.

Las vulnerabilidades encontradas son en la utilización de JavaScript incrustado en los documentos PDF.

Esto afecta a las veriones anteriores a la 8.1.2, pero siempre pueden aparecer nuevas alertas. Para probar el exploit puedes ir aquí.

convert this post to pdf.

Abrimos nueva sección en la que miraremos los ámbitos de aplicación de cada estándar o guia de buenas prácticas en la gestión de TI.

Empezamos por el marco de trabajo COBIT para ver que objetivos están dentro del alcance de cada uno.

convert this post to pdf.

Se han encontrado Vulnerabilidades de buffer overflows en controles ActiveX de subida de imágenes. Esta vulnarabilidad afecta a la funcionalidad de algunos sitios web facilitan para la subida de imagenes a través de InternetExplorer o Programas que usan controles ActiveX.

Ya existe la prueba del error para MySpace y en Facebook se utiliza el mismo componente. El código del exploit está disponible en http://milw0rm.com/exploits/5025

convert this post to pdf.

Es sabido que los correos masivos saturan algunos buzones de correo (Cadenas, powerpoints, imágenes…). Mucha gente directamente utiliza el botón de responder a todos sin pensar en las posibles consecuencias legales de divulgar las direcciones de correo de sus contactos.

La dirección de correo es un dato privado y divulgar un dato privado de esta forma es ilegal y peligroso. Las cadenas acaban reenviándose hasta la muerte, y cuando llegan a un spammer, éste obtiene miles (sí, miles) de direcciones de correo VÁLIDAS de forma instantánea.

La forma es intentar que todos los emisores recuerden poner siempre a los destinatarios como copia oculta. Todos los programas de correo y webmails tienen una casilla debajo de los destinatarios llamada “CCO” o “Copia de Carbón Oculta”. El contenido del correo no deberia tener tampoco direcciones de correo que se incluyen en el cuerpo del mensaje a causa de todas las acciones de “responder a todos” realizadas.

Las penalizaciones de la Agencia de Protección de Datos son acomulativas y 600.000 € es la mayor, además ya hay resoluciones en este sentido no sólo para empresas sino también para particulares.

convert this post to pdf.

Hemos recibido diferentes llamadas de usuarios de hotmail preocupados porqué temen que están leyendo su correo. Un truco consiste en escribir un email trampa en la bandeja de entrada sin abrir. Para este truco necesitamos de algun servicio web que nos ofrezca control de accesos o análisis de logs.

Los pasos son:

1. Generar una imagen en la que no pueda acceder nadie.
2. Escribir un email a tu propio buzón en formato HTML con la imagen incrustada.
3. No bajarse ni leer el correo trampa para poder controlar los accesos.
4. Si leen el correo podremos visualizar su IP y su hora de acceso en los logs de acceso del servidor que contiene la imagen.

Esto sirve para cualquier servicio de correo electrónico que lea HTML. Si no tienes una web con control de accesos puedes contratar el servicio de hosting web en einnova desde 150€/anuales.

convert this post to pdf.

En la reducción de riesgos de seguridad en las TI, el personal es un riesgo a tener en cuenta: “El personal TI es poco confiable”.

Una medida a evitar es que los administradores TI no abusen de su cargo para espiar a sus propios compañeros de trabajo.

Establecer una buena política de administración de usuario es basico:

• Educar a los usuarios para que establezacan claves seguras y memorizables y así evitar los “post-it’s”.
• Evitar el acceso no autorizado del usuario administrador. El acceso a datos confidenciales se debe restringir incluso a los usuarios administradores, sólo deben tener acceso las personas autorizadas.
• Gestionar las bajas de usuarios y cambios de contraseña en las bajas de empleados en todos los accesos remotos y locales.
• Cada usuario debe tener su espacio de datos personal. El usuario administrador solo debe tener acceso bajo autorización.

Obtiene más recomendaciones de seguridad adecuadas a tu empresa contratando una auditoria de seguridad.

convert this post to pdf.

Se ha encontrado una vulnarabilidad de buffer overflow en el cliente UltraVNC que permite acceder a los usuarios remotos con privilegios de usuario local.

Esta vulnarabilidad afecta a todas las versiones anteriores al enero de 2008  (1.02 i 1.0.4)

Ref: http://forum.ultravnc.info/viewtopic.php?t=1185

convert this post to pdf.

Se ha descubierto un fallo de seguridad en los kernel linux de 2.6.17 a 2.6.24.1, afecta a aquellos kernels que hallan sido compilados con vmsplice. Afecta a la mayoría de las distribuciones incluyendo las últimas versiones de Debian, Fedora, Mandriva, openSUSE y Ubuntu. Se trata de un exploit local que permite alcanzar privilegios de root. El reporte de bug va acompañado del código necesario para probarlo.

Fuente: it.slashdot.org/article.pl?sid=08/02/10/2011257

convert this post to pdf.