Universidad de Granada

Seguridad Informática - Recopilación de información relevante sobre ciberseguridad para el personal de la Universidad de Granada

Inicio >> Archivo de Noticias

Curso en colaboración con varias universidades en materia de Protección de Datos

Os dejo este enlace por si os interesa este curso en materia de Protección de Datos impartido por profesorado de varias universidades andaluzas, aquí teneis la información para el que esté interesado en aprender mas sobre esta materia https://www.unia.es/estudiantes/actividades-academicas/todos-los-cursos/item/diploma-de-especializacion-en-proteccion-de-datos-en-la-sociedad-digital

Ataques DDoS contra servidores web de universidades españolas

  desde el Centro Criptológico Nacional nos avisan de ataques de denegación de servicio que estamos recibiendo en las universidades españolas. Me dirijo a vosotros para que los servidores web los configurareis siguiendo las medidas de seguridad que nos indican en el comunicado que cito mas abajo en el apartado servidores web.

Ataques DDoS contra servidores de universidades españolas

Fecha de publicación: 07/05/2020

Nivel de peligrosidad: ALTO

El Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, avisa del incremento de ataques de Denegación de Servicio (DDoS) contra servidores de diferentes universidades españolas. La campaña, apoyada en algunos casos desde diferentes cuentas de Twitter, viene promovida por la situación acaecida en los campus españoles tras la docencia virtual provocada por la crisis del COVID-19.

En este sentido, conviene reseñar que los ataques registrados de DDoS, además de la perturbación que ocasiona a los servicios online de la Universidad en un momento como el actual, pueden, además, ocultar otro tipo de ataques como inyección de SQL dirigidos a la exfiltración de información del organismo objetivo.

Medidas de mitigación:

  • Activar los servicios de mitigación anti DDoS que tengan a su disposición y tener preparada una copia estática de la página web por si los atacantes tuvieran éxito.
  • Contratación de un servicio anti-DDoS también del servidor donde se publique la web o el suministrado por diversos fabricantes.
  • Limitar los accesos a las bases de datos por si un ataque de inyección SQL tuviera éxito y los atacantes consiguieran exfiltrar información.
  • Uso de firewall a nivel de aplicación.
  • Usar procedimientos de almacenado o «prepare-statements» con comprobación de parámetros y tipificación de los mismos.
  • Usar Frameworks para la programación de las webs.
  • Todo texto introducido a través de la web debe ser utilizado como texto y formateado como tal.

Medidas en las configuraciones de los dispositivos perimetrales:

Para aplicar en routers:

  • Ajustar los parámetros de trafficshaping y rate-limiting.
  • Despliegue de Unicast Reverse Path Forwarding.

Para aplicar en firewalls:

  • Activar la protección contra SYN flood.
  • Activar el módulo de IPS para las conexiones entrantes a los servicios expuestos en internet.
  • Los umbrales de las conexiones por segundo establecerlos o bajar el umbral.
  • Permitir únicamente IPs con origen España en los servicios que no se vean afectados por recibir conexiones de otros países (medida de carácter temporal).
  • Bloquear IPs relacionadas con los ataques perpetrados estos días.
  • Eliminar conexiones con “User-Agents” relacionados con herramientas de test de intrusión o hacking.

Para Servidores web:

  • Activar Mod_security o/y instalar firewall de aplicaciones destinado al servidor de aplicaciones.
  • Activar Dynamic IP Restrictions (DIR)
  • Regular el número de conexiones máximas simultaneas (MaxClients).
  • Controlar el número de descargas desde una única IP (mod_limitpconn).
  • Activar mod_bwshare para permitir conexiones basado en histórico.
  • Activar mod_dosevasive módulo de apache destinado contra DDOS
  • Instalar fali2ban para regular los accesos de Login junto con la inclusión de captchas en los logins o formularios.

Más información:

Atentamente,

Equipo CCN-CERT

Puedes obtener mas información en este enlace https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/10067-ataques-de-denegacion-de-servicio-distribuido-recomendaciones-y-buenas-practicas.html

¿Es seguro tu escritorio remoto?

Estracto del artículo publicado por INCIBE, si desea verlo entero pinche aquí.

Recomendaciones de seguridad para el escritorio remoto

Lo primero que se tiene que valorar es si realmente es necesario utilizar un escritorio remoto en la empresa, ya que cualquier servicio público en Internet supone un riesgo añadido a la ciberseguridad de la empresa. Si no es necesario conviene deshabilitar el servicio de escritorio remoto. Para ello es recomendable que contactes con el servicio técnico o el administrador de la red.

En caso de ser necesario para las labores de la empresa, se han de tener en cuenta las siguientes consideraciones para que su uso suponga el mínimo riesgo posible.

Sistemas actualizados

El primer aspecto de seguridad en cualquier sistema es que todo el software que se utilice debe estar actualizado a la última versión disponible. Así, las vulnerabilidades públicas no podrán ser utilizadas para atacar a la organización.

Como ya se indicó en el aviso anterior, siguen existiendo dispositivos cuyo ciclo de vida ha terminado, como por ejemplo Windows XP o Windows Server 2008, o algunos como Windows 7 que están a punto de terminar. Se debe evitar utilizar sistemas operativos sin soporte aunque ante vulnerabilidades tan críticas como la anterior sigan recibiendo parches de seguridad.

Redes privadas virtuales

Utilizar redes privadas virtuales o VPN como puerta de enlace entre el servidor RDP y el usuario minimizará los riesgos de sufrir un incidente de seguridad. Una VPN crea una conexión cifrada entre ambos dispositivos, por lo que se aumenta considerablemente la privacidad de las comunicaciones. Al igual que sucede con el resto del software, el servidor VPN debe estar actualizado a la última versión.

Utilizar la combinación VPN más escritorio remoto aumentará el nivel de seguridad, ya que hay una doble barrera hasta la información de la empresa. En caso de que los ciberdelincuentes consigan acceso por medio del servidor VPN, todavía tendrían que conseguir acceso al escritorio remoto.

Nombres de usuario y contraseñas robustas

Como se mostró en el estudio sobre ataques que reciben los escritorios remotos en Internet, muchos se hacen utilizando nombres de usuario genéricos como Administrador, por tanto habrá que utilizar nombres de usuario que no sean comunes. Así será más difícil que los ataques de fuerza bruta sean exitosos.

Además es común que los ataques utilicen contraseñas débiles por lo que utilizando una contraseña robusta lo más larga posible se reducirá considerablemente la posibilidad de que se produzca un acceso no autorizado. Se deben utilizar nombres de usuario no genéricos y contraseñas robustas, tanto para acceder al servidor VPN, como al escritorio remoto.

Bloqueo de cuenta

Los ataques de fuerza bruta basan su funcionamiento en probar posibles nombres de usuario y contraseña hasta que consiguen el acceso o deciden abandonar el ataque en busca de otro objetivo. Se recomienda aplicar una política de seguridad que restrinja el acceso del usuario durante un tiempo determinado tras varios intentos no exitosos. El tiempo de bloqueo aumentará en función del número de intentos no exitosos llegando incluso a bloquear completamente el usuario atacado.

Doble factor de autenticación

Utilizar un sistema de doble factor de autenticación  para acceder al escritorio remoto dotará de un plus extra de seguridad a la organización. Para ello, además de tener que conocer el binomio usuario/contraseña, será obligatorio saber un tercer dato (huella, código generado en el momento, etc.). Se utilizarán preferiblemente aplicaciones específicas como mecanismo de doble factor de autenticación en lugar de mensajes SMS, ya que estos son más vulnerables a ataques.

Cambiar el puerto por defecto de RDP

En caso de no utilizar una solución VPN para acceder al escritorio remoto, se recomienda cambiar el puerto utilizado por defecto para conectarse. Comúnmente, la conexión al servicio de escritorio remoto de Windows se hace por medio del puerto 3389. Si se cambia por otro distinto, se dificultará los ataques automatizados que llevan a cabo los ciberdelincuentes. Esto se conoce como seguridad por oscuridad.

Listas de acceso mediante NLA

Probablemente no todos los usuarios de la empresa deben tener acceso al escritorio remoto por lo que se debe limitar este a los estrictamente necesarios. Limitando el número de usuarios posibles con acceso, se reduce el riesgo de que un ciberdelincuente consiga acceso de forma fraudulenta. Para ello, es recomendable utilizar NLA, por sus siglas en inglés Network Level Authentication. Mediante esta tecnología, los usuarios deben autenticarse en la red de la empresa antes de poder hacerlo en el servidor RDP. NLA añade una capa extra de seguridad ante posibles ataques ya que se requiere una doble autenticación. En cualquier caso, debemos mantener la lista de accesos habilitados actualizada, sin olvidar supervisar y monitorizar los accesos remotos.

Reglas del cortafuegos

En el cortafuegos o firewall de la empresa también se recomienda crear reglas específicas para restringir el acceso al servidor de escritorio remoto a un subconjunto de máquinas controlado. Este filtrado se puede hacer por medio de direcciones IP, permitiendo que únicamente accedan las asociadas a los equipos de la empresa.

 

Utilizar un sistema de escritorio remoto puede ser de gran ayuda a la hora de desempeñar las funciones de trabajo diarias pero también puede ser la puerta de entrada de los ciberdelincuentes. Proteger su acceso implantando medidas y políticas de seguridad será vital para evitar ser víctima de un incidente de seguridad.