En esta ocasión os dejo enlace a un artículo sobre como prevenir o detectar posibles accesos no autorizados por agujeros en el sistema en windows 10. Para ver el artículo entero pulsa aquí.
Guías prácticas de seguridad en dispositivos móviles: iPhone (iOS 11.x y iOS 12.x)
Publicado el:
El CCN-CERT ha publicado en su portal las Guías Prácticas CCN-STIC-455C, de seguridad en dispositivos móviles: iPhone (iOS 11.x) y CCN-STIC-455D, de seguridad en dispositivos móviles: iPhone (iOS 12.x). En adelante, las guías de seguridad de dispositivos móviles de la serie 400 (Android o iOS) se denominarán guías prácticas. En ambas versiones se definen una serie de recomendaciones de seguridad para la configuración de dispositivos móviles, basados en el sistema operativo iOS de Apple (empleado en dispositivos iPhone, iPad, y iPod Touch, en sus diferentes variantes) y, en concreto, están centrados en las versiones 11.x y 12.x, con el objetivo de reducir su superficie de exposición frente a ataques de seguridad. Los documentos analizan, de manera exhaustiva, el procedimiento de actualización del sistema operativo, su modelo y arquitectura de seguridad, la gestión empresarial de estos dispositivos, el cifrado de datos y la localización geográfica, entre otras cuestiones. Además, explican el modo seguro de empleo de los distintos tipos de comunicaciones a través de estos dispositivos: comunicaciones USB, NFC1, Bluetooth, Wi-Fi, mensajes de texto (SMS), voz y datos o TCP/IP2. Del mismo modo, ambas Guías incluyen un Decálogo Básico de Seguridad de IOS 11 y 12 respectivamente. CCN-CERT (07/11/2018) |
Consejos seguridad para evitar vulnerabilidades habituales – Desarrollo/servicios WEB
Hoy os dejo una serie de consejos a tener en cuenta en el desarrollo y en servicios web en general para evitar las vulnerabilidades mas habituales. Es un poco mas técnico que las publicaciones anteriores. Espero que sea de utilidad.
- Asegurar que en la generación de cookies se activan las opciones HttpOnly y secure.
CVE-2012-0053
www.owasp.org/index.php/HttpOnly
https://www.owasp.org/index.php/SecureFlag
- Devolver con el contenido de la página las opciones X-Frame en la cabecera HTTP. Esto previene que el contenido de la página sea mostrado por otro sitio utilizando las etiquetas HTML frame o iframe.
La mayoría de los navegadores modernos soportan las opciones X-Frame en la cabecera. Se debe asegurar que estén establecidas en todas las páginas que devuelva el sitio (si se espera que la página se enmarque desde páginas del mismo servidor se puede utilizar la opción SAMEORIGIN, o si nunca debe ser enmarcada desde ninguna página debería utilizarse DENY. La opción ALLOW-FROM permite especificar que sitios pueden poner la página en un frame)
CWE:693
https://es.wikipedia.org/wiki/Clickjacking
https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet
https://blog.veracode.com/2014/03/guidelines-for-setting-security-headers/
- Asegurarse de que el filtro XSS del navegador está activado, configurando la opción X-XSS-Protection a 1. Esta opción esta soportada actualmente en los navegadores Internet Explorer, Chrome y Safari.
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet
https://blog.veracode.com/2014/03/guidelines-for-setting-security-headers/
- Utilizar explícitamente TLS y quitar el soporte de SSL v2 o v3
https://wiki.mozilla.org/Security/Server_Side_TLS
http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_3.0
http://en.wikipedia.org/wiki/HTTP_Secure
http://support.microsoft.com/kb/187498
- Especificar un conjunto de caracteres bien definido, como UTF-8, en la cabecera o el cuerpo de la respuesta.
https://www.owasp.org/index.php/OWASP_Top_Ten_Cheat_Sheet
Como evitar ataques de fuerza bruta en linux
Hoy empiezo una serie de publicaciones referentes a las lineas de defensea en los sistemas. Medidas que podemos y debemos adoptar para hacer nuestros equipos mas seguros. Apareceran todas bajo la etiqueta «lineas de defensa».
En esta primera publicación vamos a ver como los ataques de fuerza bruta producidos en los sistemas con servidores SSH.
¿Qué es un ataque de fuerza bruta?
Los ataques de fuerza bruta funcionan probando cada combinación posible que el usuario podría usar como contraseña y luego la prueba para ver si es la contraseña correcta. Para ver si la contraseña es correcta o no, verifica si hay errores en la respuesta del servidor.
A medida que aumenta la longitud de la contraseña, la cantidad de tiempo utilizada para encontrar la contraseña correcta también aumenta rápidamente. Eso significa que las contraseñas cortas son bastante fáciles de descifrar.
¿Cómo protegerse de este ataque?
Los métodos más recomendados que debe usar para protegerse de este ataque son:
- Ejecute SSH en un puerto no estándar. (Aparte de 22). Editar sshd_config cambiar Port 22 por Port 9122, por ejemplo. NO OLVIDAR REINICIAR SERVICIO.
- Bloquear el inicio de sesión SSH para el usuario root. Modificar la variable de PermitRootLogin yes a PermitRootLogin no en el archivo de configuración de SSH. Este está ubicado normalmente en sshd_config
- Reiniciar el servicio para aplicar los cambios.
Para CentOS:
# /etc/init.d/sshd restart
Para Debian:
# /etc/init.d/ssh restart
- Reiniciar el servicio para aplicar los cambios.
- Utilice Fail2Ban. En este enlace indican como configurarlo. Esta aplicacion controla los ficheros de logs mirando los reintentos de acceso y bloqueando las ip’s si es necesario.
- Limitar los intentos de inicio de sesión del usuario.
Entonces, ¿qué aprendimos de todo esto? Nunca use una contraseña débil, en serio nunca use contraseñas débiles. Lea Autenticación de dos factores, protegiendo sus cuentas de los hackers
Y, por otro lado, hemos aprendido cómo puede usar diferentes herramientas para probar y explotar este problema.
No cedais los certificados digitales personales a otras personas
El certificado digital nos ofrece la posibilidad de indentificarnos, de forma inequívoca, electrónicamente y con plena validez jurídica; así como poder realizar firma electrónica.
Según esto con la posible cesión de nuestro certificado a otra persona lo que le estamos dando es permiso para que pueda hacer algo en nuestro nombre y con plena validez legal, con todo lo que ello significa. Y no hablamos de temas de confianza con la persona a quien lo cedes, si no que la persona a la que lo cedas lo deje en lugar seguro, hoy por hoy ninguno, y que un «malo» lo robe si a la persona a la que lo has cedido tuviese una vulnerabilidad en el correo, o el ordenador desde donde lo ha utilizado.
Por lo que el perder el control de nuestro certificado nos puede acarrear problemas bastantes graves.
Sabemos desde Seguridad que se han cedido los certificados digitales a otros para realizar entrega de alguna documentación a alguna administración, les aconsejamos que si lo han hecho que revoquen el certificado y pidan uno nuevo si quieren tomar el control de nuevo de su «vida electrónica» y legal.
Algunas tareas que actualmente podemos hacer con un certificado:
– Firma digital de cualquier documento, y teniendo validez legal.
– Puedo usarlo para autenticarme y firmar en todos los lugares que se indican en esta URL http://www.cert.fnmt.es/certificados/donde-usar-certificado
- « Página anterior
- 1
- …
- 20
- 21
- 22
- 23
- 24
- …
- 28
- Página siguiente »