Publicado por el CCN: jueves, 18 octubre 2018
El CCN-CERT ha publicado las Guías CCN-STIC 599A 18. Implementación de seguridad sobre Microsoft Windows 10 Enterprise LTSB (Cliente miembro de dominio) y CCN-STIC 599B 18. Implementación de seguridad sobre Microsoft Windows 10 Enterprise LTSB (Cliente independiente). En ambos casos se ha subido el cuerpo de la guía en la parte pública del portal, así como su anexo adaptable al Esquema Nacional de Seguridad (ENS) y otro apartado, en la sección privada del portal, destinado a las redes clasificadas. El objetivo de ambas guías es proporcionar los procedimientos para implementar y garantizar la seguridad para una instalación del sistema “Microsoft Windows 10 en sus versiones “Enterprise” con sus opciones de mantenimiento “CB”, “CBB” o “LTSB” y “Professional”, actuando en la Guía 599A 18 como cliente miembro de un dominio y en el caso de la Guía 599B 18 como cliente independiente. Ambos documentos incluyen operaciones básicas de administración para la aplicación de las versiones, así como una serie de recomendaciones para su uso y un paso a paso para implantar las configuraciones de seguridad en clientes Microsoft Windows 10 Enterprise LTSB miembros de un dominio y cliente independiente, respectivamente. Las guías también contienen una sección con versiones y opciones de mantenimiento y licencias en MS Windows 10, nuevas funcionalidades y componentes en MS Windows 10, otro aparatado de funcionalidades adicionales de seguridad en la versión de MS Windows 10 Enterprise, novedades Windows 10 versión 1607, 1703 y 1709. Acceso a la Guía CCN-STIC-599B18 Seguridad en Windows 10 Enterprise LTSB (cliente independiente) Acceso a la Guía CCN-STIC-599A18 Seguridad en Windows 10 Enterprise LTSB (cliente miembro de dominio) CCN-CERT (18/10/2018) |
Como saber si mi cuenta de Facebook ha sido hackeada
Parte de artículo publicado por PCActual el 15 de octubre
A finales del mes de septiembre saltó la noticia: Facebook reconocía públicamente haber sufrido una brecha de seguridad que afectaba a 50 millones de cuentas. O, dicho de otro modo, 50 millones de usuarios de la famosa red social habían quedado al descubierto durante unas horas, comprometiendo la información privada (datos, contraseñas, fotografías) que allí almacenaran. “Nuestra investigación aún está en ciernes”, decían desde la compañía, “pero está claro que los atacantes explotaron una vulnerabilidad en el código de Facebook”. ¿Eres uno de los afectados? ¿Cómo puedes saber si tu cuenta fue hackeada?
Pincha aquí.
Consejos seguridad para evitar vulnerabilidades habituales – Desarrollo/servicios WEB
Hoy os dejo una serie de consejos a tener en cuenta en el desarrollo y en servicios web en general para evitar las vulnerabilidades mas habituales. Es un poco mas técnico que las publicaciones anteriores. Espero que sea de utilidad.
- Asegurar que en la generación de cookies se activan las opciones HttpOnly y secure.
CVE-2012-0053
www.owasp.org/index.php/HttpOnly
https://www.owasp.org/index.php/SecureFlag
- Devolver con el contenido de la página las opciones X-Frame en la cabecera HTTP. Esto previene que el contenido de la página sea mostrado por otro sitio utilizando las etiquetas HTML frame o iframe.
La mayoría de los navegadores modernos soportan las opciones X-Frame en la cabecera. Se debe asegurar que estén establecidas en todas las páginas que devuelva el sitio (si se espera que la página se enmarque desde páginas del mismo servidor se puede utilizar la opción SAMEORIGIN, o si nunca debe ser enmarcada desde ninguna página debería utilizarse DENY. La opción ALLOW-FROM permite especificar que sitios pueden poner la página en un frame)
CWE:693
https://es.wikipedia.org/wiki/Clickjacking
https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet
https://blog.veracode.com/2014/03/guidelines-for-setting-security-headers/
- Asegurarse de que el filtro XSS del navegador está activado, configurando la opción X-XSS-Protection a 1. Esta opción esta soportada actualmente en los navegadores Internet Explorer, Chrome y Safari.
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet
https://blog.veracode.com/2014/03/guidelines-for-setting-security-headers/
- Utilizar explícitamente TLS y quitar el soporte de SSL v2 o v3
https://wiki.mozilla.org/Security/Server_Side_TLS
http://en.wikipedia.org/wiki/Transport_Layer_Security#SSL_3.0
http://en.wikipedia.org/wiki/HTTP_Secure
http://support.microsoft.com/kb/187498
- Especificar un conjunto de caracteres bien definido, como UTF-8, en la cabecera o el cuerpo de la respuesta.
https://www.owasp.org/index.php/OWASP_Top_Ten_Cheat_Sheet
Como evitar ataques de fuerza bruta en linux
Hoy empiezo una serie de publicaciones referentes a las lineas de defensea en los sistemas. Medidas que podemos y debemos adoptar para hacer nuestros equipos mas seguros. Apareceran todas bajo la etiqueta “lineas de defensa”.
En esta primera publicación vamos a ver como los ataques de fuerza bruta producidos en los sistemas con servidores SSH.
¿Qué es un ataque de fuerza bruta?
Los ataques de fuerza bruta funcionan probando cada combinación posible que el usuario podría usar como contraseña y luego la prueba para ver si es la contraseña correcta. Para ver si la contraseña es correcta o no, verifica si hay errores en la respuesta del servidor.
A medida que aumenta la longitud de la contraseña, la cantidad de tiempo utilizada para encontrar la contraseña correcta también aumenta rápidamente. Eso significa que las contraseñas cortas son bastante fáciles de descifrar.
¿Cómo protegerse de este ataque?
Los métodos más recomendados que debe usar para protegerse de este ataque son:
- Ejecute SSH en un puerto no estándar. (Aparte de 22). Editar sshd_config cambiar Port 22 por Port 9122, por ejemplo. NO OLVIDAR REINICIAR SERVICIO.
- Bloquear el inicio de sesión SSH para el usuario root. Modificar la variable de PermitRootLogin yes a PermitRootLogin no en el archivo de configuración de SSH. Este está ubicado normalmente en sshd_config
- Reiniciar el servicio para aplicar los cambios.
Para CentOS:
# /etc/init.d/sshd restart
Para Debian:
# /etc/init.d/ssh restart
- Reiniciar el servicio para aplicar los cambios.
- Utilice Fail2Ban. En este enlace indican como configurarlo. Esta aplicacion controla los ficheros de logs mirando los reintentos de acceso y bloqueando las ip’s si es necesario.
- Limitar los intentos de inicio de sesión del usuario.
Entonces, ¿qué aprendimos de todo esto? Nunca use una contraseña débil, en serio nunca use contraseñas débiles. Lea Autenticación de dos factores, protegiendo sus cuentas de los hackers
Y, por otro lado, hemos aprendido cómo puede usar diferentes herramientas para probar y explotar este problema.
No cedais los certificados digitales personales a otras personas
El certificado digital nos ofrece la posibilidad de indentificarnos, de forma inequívoca, electrónicamente y con plena validez jurídica; así como poder realizar firma electrónica.
Según esto con la posible cesión de nuestro certificado a otra persona lo que le estamos dando es permiso para que pueda hacer algo en nuestro nombre y con plena validez legal, con todo lo que ello significa. Y no hablamos de temas de confianza con la persona a quien lo cedes, si no que la persona a la que lo cedas lo deje en lugar seguro, hoy por hoy ninguno, y que un “malo” lo robe si a la persona a la que lo has cedido tuviese una vulnerabilidad en el correo, o el ordenador desde donde lo ha utilizado.
Por lo que el perder el control de nuestro certificado nos puede acarrear problemas bastantes graves.
Sabemos desde Seguridad que se han cedido los certificados digitales a otros para realizar entrega de alguna documentación a alguna administración, les aconsejamos que si lo han hecho que revoquen el certificado y pidan uno nuevo si quieren tomar el control de nuevo de su “vida electrónica” y legal.
Algunas tareas que actualmente podemos hacer con un certificado:
– Firma digital de cualquier documento, y teniendo validez legal.
– Puedo usarlo para autenticarme y firmar en todos los lugares que se indican en esta URL http://www.cert.fnmt.es/certificados/donde-usar-certificado
- « Página anterior
- 1
- …
- 23
- 24
- 25
- 26
- 27
- …
- 31
- Página siguiente »