Universidad de Granada

Seguridad Informática - Recopilación de información relevante sobre seguridad informática para el personal de la Universidad de Granada

  • Inicio
  • Normativa ciberseguridad en UGR
  • Buenas prácticas
  • Píldoras formativas
  • Manuales y Guías Seguridad
  • Noticias/Alertas
  • Enlaces de interés
    • CSIRC – Seguridad
    • Centro Criptologico Nacional
    • Instituto Nacional de Ciberseguridad
    • Oficina de Seguridad del Internauta
    • Agencia española de protección de datos
    • Grupo de delitos telemáticos Guardia Civil
    • Brigada Investigación Tecnológica
  • Objetivo de este blog
  • Políticas de Privacidad
Inicio >> Archivo de WEB

ALERTA: Vulnerabilidad en Apache Log4j 2

15 diciembre, 2021

ALERTA: Desde el CCN nos avisan de esta vulnerabilidad y nos piden que hagamos todo lo posible por revisar nuestros servidores web Apache donde se  utilice herramientas Java. Literalmente nos dicen desde el CCN:” Nos consta que esta vulnerabilidad esta operativa en el arsenal de más de 12 grupos de ataque y nos consta que esta siendo explotada desde, al menos, el 1 de diciembre.”

Por lo que es interesante revisarlo.

Os dejo contenido el mensaje de la alerta:

Actualización vulnerabilidad en Apache Log4j 2
Fecha de publicación: 14/12/2021
Nivel de peligrosidad: CRÍTICOEl Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, informa sobre la publicación de actualizaciones de la vulnerabilidad que afecta a Apache Log4j 2.

Como se alertó el pasado viernes, 10 de diciembre, se ha hecho pública una vulnerabilidad que afecta a la librería de registro de Java Apache Log4j 2, herramienta desarrollada por Apache Foundation que ayuda a los desarrolladores de software a escribir mensajes de registro, cuyo propósito es dejar constancia de una determinada transacción en tiempo de ejecución, además, Log4j permite filtrar los mensajes en función de su importancia.

Nuevas recomendaciones:

  • Revisar si se está usando log4j
    • PowerShell
      • https://github.com/crypt0jan/log4j-powershell-checker
      • gci ‘C:\’ -rec -force -include *.jar -ea 0 | foreach {select-string “JndiLookup.class” $_} | select -exp Path
    • Linux
      • find / 2>/dev/null -regex “.*.jar” -type f | xargs -I{} grep JndiLookup.class “{}”
    • Revisar ficheros de configuración buscando log4j2.formatMsgNoLookups y la variable de entorno LOG4J_FORMAT_MSG_NO_LOOKUPS. Deben estar a True.
    • Revisar aplicaciones de Java
      • https://github.com/logpresso/CVE-2021-44228-Scanner (Observación: realiza la mitigación de forma automática)
      • https://github.com/hillu/local-log4j-vuln-scanner
      • https://github.com/mergebase/log4j-detector
    • JAR file hashes
      • https://github.com/mubix/CVE-2021-44228-Log4Shell-Hashes
    • Class file hashes (2.15.0 no es vulnerable, pero está incluida)
      • https://gist.github.com/olliencc/8be866ae94b6bee107e3755fd1e9bf0d
    • JAR and Class hashes
      • https://github.com/nccgroup/Cyber-Defence/tree/master/Intelligence/CVE-2021-44228
    • Escaneo de vulnerabilidad en Go
      • https://github.com/hillu/local-log4j-vuln-scanner
    • Conjunto de reglas YARA para la detección de versiones de log4j vulnerables a CVE-2021-44228 by looking for the signature of JndiManager prior to 2.15.0.
      • https://github.com/darkarnium/CVE-2021-44228
  • Revisar si se ha tenido un aumento de conexiones DNS.
    • Los intentos durante el fin de semana se han focalizado en el uso de las POC que explotan la vulnerabilidad conectando con servidores de DNS. Un aumento fuera de lo habitual en las conexiones salientes a DNS durante el pasado fin de semana puede ser indicativo de explotación exitosa
  • Aplicar listas blancas en la salida de internet en caso de duda de estar usando la librería log4j
    • Revisar si tiene uno de los siguientes aplicativos:
      https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592
  • Revisar en logs los siguientes IOC:
    https://gist.github.com/gnremy/c546c7911d5f876f263309d7161a7217
    En caso de sospechas revisar los logs de las aplicaciones para buscar “jndi”, se pueden apoyar en los siguientes scripts:
    https://github.com/Neo23x0/log4shell-detector/
  • Revisar en Windows si se han creado tareas programadas, y en Linux en el Cron.
  • Actualizar a la versión versión de Log4j, se ha publicado la versión 2.16 https://github.com/apache/logging-log4j2/blob/cffe58f6a433ea1ab60ceb129d4c9b3377acda1d/RELEASE-NOTES.md
  • La vulnerabilidad también se puede mitigar en versiones anteriores (sólo versión 2.10 y posteriores) estableciendo la propiedad del sistema “log4j2.formatMsgNoLookups” en “true” o eliminando la clase JndiLookup del classpath.
  • En caso de no poder aplicar las medidas anteriores Deshabilitar JNDI si no se está usando
  • En caso de no poder aplicar las medidas anteriores eliminar las clases JndiLookup y JndiManager de la biblioteca  log4j-core jar. La eliminación de  JndiManager causara que no funcione JndiContextSelector y  JMSAppender.

En caso de haber detectado la explotación de esta vulnerabilidad puede informar de ello en la siguiente dirección de correo electrónico: incidentes@ccn-cert.cni.es

Posibles vectores de entrada

La vulnerabilidad puede ser explotada fácilmente en múltiples aplicaciones y servidores, una recopilación de aplicaciones comerciales afectadas es la siguiente https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

El exploit puede ser usado en campos propios de las aplicaciones de cada organismo usando los parámetros de comunicaciones o los datos de los formularios de la aplicación.

Se debe prestar especial atención a los siguientes parámetros de entrada de las aplicaciones con conexión a Internet:

  • X-Api-Version
  • User-Agent
  • Referer
  • X-Druid-Comment
  • Origin
  • Location
  • X-Forwarded-For
  • Cookie
  • X-Requested-With
  • X-Forwarded-Host
  • Accept

IOC

La lista de IOC se está ampliando según avanzan las investigaciones. Les sugerimos varios enlaces para actualizar listados de IPs que realizan escaneos activos e intentos de explotación de la vulnerabilidad:

  • https://community.riskiq.com/article/57abbfcf/indicators
  • https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html

Referencias:

  • https://www.reddit.com/r/blueteamsec/comments/rd38z9/log4j_0day_being_exploited
  • Sistemas vulnerables y situación

Atentamente,

Equipo CCN-CERT

Publicado en: Alertas, Noticias Etiquetado como: alertas, CCN, noticias, proteccion, WEB

Consejos Redes Sociales y otros.

2 julio, 2021

 

 

Publicado en: Buenas Prácticas, Consejos, Noticias Etiquetado como: consejos, noticias, RRSS, WEB

Como configurar correctamente tu navegador y algo más

25 septiembre, 2020

Aquí os dejo unos enlaces que nos orientaran para configurar correctamente tu navegador y tener una cierta privacidad en internet y no nos frian con publicidad, entre otras cosas.

https://victorhck.gitlab.io/privacytools-es/#addons

https://prism-break.org/es/all/

https://t.me/ThreatIntelligence

Publicado en: Consejos, Noticias Etiquetado como: consejos, noticias, Puesto de trabajo, Utilidades, WEB

Ataques DDoS contra servidores web de universidades españolas

11 mayo, 2020

  desde el Centro Criptológico Nacional nos avisan de ataques de denegación de servicio que estamos recibiendo en las universidades españolas. Me dirijo a vosotros para que los servidores web los configurareis siguiendo las medidas de seguridad que nos indican en el comunicado que cito mas abajo en el apartado servidores web.

Ataques DDoS contra servidores de universidades españolas

Fecha de publicación: 07/05/2020

Nivel de peligrosidad: ALTO

El Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, avisa del incremento de ataques de Denegación de Servicio (DDoS) contra servidores de diferentes universidades españolas. La campaña, apoyada en algunos casos desde diferentes cuentas de Twitter, viene promovida por la situación acaecida en los campus españoles tras la docencia virtual provocada por la crisis del COVID-19.

En este sentido, conviene reseñar que los ataques registrados de DDoS, además de la perturbación que ocasiona a los servicios online de la Universidad en un momento como el actual, pueden, además, ocultar otro tipo de ataques como inyección de SQL dirigidos a la exfiltración de información del organismo objetivo.

Medidas de mitigación:

  • Activar los servicios de mitigación anti DDoS que tengan a su disposición y tener preparada una copia estática de la página web por si los atacantes tuvieran éxito.
  • Contratación de un servicio anti-DDoS también del servidor donde se publique la web o el suministrado por diversos fabricantes.
  • Limitar los accesos a las bases de datos por si un ataque de inyección SQL tuviera éxito y los atacantes consiguieran exfiltrar información.
  • Uso de firewall a nivel de aplicación.
  • Usar procedimientos de almacenado o “prepare-statements” con comprobación de parámetros y tipificación de los mismos.
  • Usar Frameworks para la programación de las webs.
  • Todo texto introducido a través de la web debe ser utilizado como texto y formateado como tal.

Medidas en las configuraciones de los dispositivos perimetrales:

Para aplicar en routers:

  • Ajustar los parámetros de trafficshaping y rate-limiting.
  • Despliegue de Unicast Reverse Path Forwarding.

Para aplicar en firewalls:

  • Activar la protección contra SYN flood.
  • Activar el módulo de IPS para las conexiones entrantes a los servicios expuestos en internet.
  • Los umbrales de las conexiones por segundo establecerlos o bajar el umbral.
  • Permitir únicamente IPs con origen España en los servicios que no se vean afectados por recibir conexiones de otros países (medida de carácter temporal).
  • Bloquear IPs relacionadas con los ataques perpetrados estos días.
  • Eliminar conexiones con “User-Agents” relacionados con herramientas de test de intrusión o hacking.

Para Servidores web:

  • Activar Mod_security o/y instalar firewall de aplicaciones destinado al servidor de aplicaciones.
  • Activar Dynamic IP Restrictions (DIR)
  • Regular el número de conexiones máximas simultaneas (MaxClients).
  • Controlar el número de descargas desde una única IP (mod_limitpconn).
  • Activar mod_bwshare para permitir conexiones basado en histórico.
  • Activar mod_dosevasive módulo de apache destinado contra DDOS
  • Instalar fali2ban para regular los accesos de Login junto con la inclusión de captchas en los logins o formularios.

Más información:

  • Abstract: Ataques DDoS. Recomendaciones y buenas prácticas
  • SANS
  • Guía CCN-STIC-812 Seguridad en entornos y aplicaciones Web

Atentamente,

Equipo CCN-CERT

Puedes obtener mas información en este enlace https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/10067-ataques-de-denegacion-de-servicio-distribuido-recomendaciones-y-buenas-practicas.html

Publicado en: Alertas, Buenas Prácticas, Consejos, Noticias Etiquetado como: alertas, CCN, noticias, seguridad, WEB

Limpieza de metadatos en los documentos de la Universidad de Granada

17 diciembre, 2019

Se pone a disposición de toda la comunidad universitaria un servicio de limpieza de metadatos en los documentos que queremos enviar por correo o publicar en web, como así nos pide que hagamos la normativa sobre ciberseguridad (ENS). Solo funciona en equipos de la Universidad y se puede acceder a través del siguiente enlace http://lime.ugr.es

Hay otros servicios de pago y gratuitos por internet pero este está basado en software libre y los documentos no salen de la UGR a servicios en la red, evitando el posible fallo de seguridad e incumpliento legal con los documentos.

Desde Office también hay opciones para borrado de los metadatos, y que aconsejamos que se utilicen en el caso de publicación de datos en internet. Hay que evitar darle pistas a los malo.

Para saber mas de los metadatos os dejo referencia a un post que publiqué aquí hace un tiempo https://blogs.ugr.es/seguridadinformatica/los-metadatos-son-unos-chivatos/

Publicado en: Buenas Prácticas, Consejos, Normativa, Noticias Etiquetado como: consejos, LOPD, noticias, proteccion, Proteccion de datos, Utilidades, WEB

  • 1
  • 2
  • Página siguiente »

ÚLTIMAS ALERTAS

Publicado nuevo Esquema Nacional de Seguridad.

El FBI alerta sobre la amenaza de BlackCat.

Nueva campaña del malware Emotet.

En circulación SMS fraudulentos que suplantan a Correos y otras empresas de paquetería.

Últimas noticias Centro Criptológico Nacional

Ultimas noticias de la Oficina de Seguridad del Internauta

Subscripción blog Seguridad Informática UGR

Danos tu correo electrónico y te enviaremos las actualizaciones de este blog. Este servicio lo hacemos a través de Google. Puedes ver la política de privacidad de Google en https://policies.google.com/terms?gl=US&hl=es .
Recuerda verficar tu email cuando te des de alta. Te enviamos un email a la direccion que nos des.
Informacion de proteccion de datos aportados.
https://blogs.ugr.es/protecciondedatos/informacion-de-proteccion-de-datos/

Categorías

Etiquetas

AEPD (25) Alerta (2) alertas (55) Android (9) antivirus (3) BYOD (8) CCN (36) cibercrimen (3) cifrado (3) consejos (113) contacto (1) ENS (23) fake (4) Formacion (2) Fraude (7) guias ccn (16) hacktivismo (1) INCIBE (19) incidencias (4) informe (6) lineas de defensa (7) LOPD (24) malware (22) Moviles (13) Normativa (45) noticias (172) nube (3) OSI (21) Phising (16) privacidad (1) proteccion (49) Proteccion de datos (46) Puesto de trabajo (35) Ramsonware (3) Roles (1) RRSS (4) seguridad (71) Teletrabajo (1) Utilidades (19) vpn (2) WEB (8)

Meta

  • Acceder
  • Feed de entradas
  • Feed de comentarios
  • WordPress.org

Universidad de Granada
blogsUgr
C.S.I.R.C. · Plataformas webs corporativas
Acceder

En BlogsUGR utilizamos cookies propias con finalidad técnica y para personalizar su experiencia de usuario. Algunos blogs de BlogsUGR pueden utilizar cookies de terceros para fines analíticos.

 

Puede aprender más sobre qué cookies utilizamos o desactivarlas en los ajustes.

Seguridad Informática
Powered by  GDPR Cookie Compliance
Resumen de privacidad

BlogsUGR utiliza cookies propias para que podamos ofrecerte la mejor experiencia de usuario posible. La información de las cookies se almacena en tu navegador y realiza funciones tales como reconocerte cuando vuelves a BlogsUGR, haces algún comentario o seleccionas el idioma de un blog. Rechazar las cookies propias podría suponer la imposibilidad de acceder como usuario a BlogsUGR.

Algunos blogs de BlogsUGR utilizan cookies de terceros con fines analíticos para recabar estadísticas sobre la actividad del usuario en dicho blog y la actividad general del  mismo.

Cookies estrictamente necesarias

Las cookies estrictamente necesarias tiene que activarse siempre para que podamos guardar tus preferencias de ajustes de cookies.

Si desactivas esta cookie no podremos guardar tus preferencias. Esto significa que cada vez que visites esta web tendrás que activar o desactivar las cookies de nuevo.

Cookies de terceros

Algunos blogs de BlogsUGR utilizan Google Analytics para recopilar información anónima tal como el número de visitantes del sitio, o las páginas más populares.

Dejar esta cookie activa nos permite mejorar nuestra web.

También algunos blogs de BlogsUGR utilizan cookies de twitter.com que se utilizan para la visualización de esta red social en el blog.

¡Por favor, activa primero las cookies estrictamente necesarias para que podamos guardar tus preferencias!

Política de cookies

La presente política de cookies tiene por finalidad informarle de manera clara y precisa sobre las cookies que se utilizan en los blogs del servicio BlogsUGR de la Universidad de Granada.

¿Qué son las cookies?

Una cookie es un pequeño fragmento de texto que los sitios web que visita envían al navegador y que permite que el sitio web recuerde información sobre su visita, como su idioma preferido y otras opciones, con el fin de facilitar su próxima visita y hacer que el sitio le resulte más útil. Las cookies desempeñan un papel muy importante y contribuyen a tener una mejor experiencia de navegación para el usuario.

Tipos de cookies

Según quién sea la entidad que gestione el dominio desde dónde se envían las cookies y se traten los datos que se obtengan, se pueden distinguir dos tipos: cookies propias y cookies de terceros.

Existe también una segunda clasificación según el plazo de tiempo que permanecen almacenadas en el navegador del cliente, pudiendo tratarse de cookies de sesión o cookies persistentes.

Por último, existe otra clasificación con cinco tipos de cookies según la finalidad para la que se traten los datos obtenidos: cookies técnicas, cookies de personalización, cookies de análisis, cookies publicitarias y cookies de publicidad comportamental.

Para más información a este respecto puede consultar la Guía sobre el uso de las cookies de la Agencia Española de Protección de Datos.

Cookies utilizadas en la web

A continuación se identifican las cookies que están siendo utilizadas en este portal así como su tipología y función:

Todos los blogs de BlogsUGR utilizan cookies técnicas y propias, necesarias para la personalización de su experiencia de usuario y para el mantenimiento de sesión.

Algunos blogs de BlogsUGR pueden utilizar cookies de Twitter para personalizar la visualización de dicha red social en el blog.

Algunos blogs de BlogsUGR pueden utilizar Google Analytics, un servicio de analítica web desarrollada por Google, que permite la medición y análisis de la navegación en las páginas web. En su navegador podrá observar cookies de este servicio. Según la tipología anterior se trata de cookies  de terceros, de sesión y de análisis.

A través de esta analítica web se obtiene información relativa al número de usuarios que acceden a la web, el número de páginas vistas, la frecuencia y repetición de las visitas, su duración, el navegador utilizado, el operador que presta el servicio, el idioma, el terminal que utiliza y la ciudad a la que está asignada su dirección IP. Información que posibilita un mejor y más apropiado servicio por parte de este portal.

Para garantizar el anonimato, Google convertirá su información en anónima truncando la dirección IP antes de almacenarla, de forma que Google Analytics no se usa para localizar o recabar información personal identificable de los visitantes del sitio. Google solo podrá enviar la información recabada por Google Analytics a terceros cuanto esté legalmente obligado a ello. Con arreglo a las condiciones de prestación del servicio de Google Analytics, Google no asociará su dirección IP a ningún otro dato conservado por Google.